Google hay Microsoft Authenticator: đồng bộ và khôi phục

Nếu chủ yếu cần mã xác minh cho tài khoản cá nhân, Google Authenticator là lựa chọn gọn; nếu thường đăng nhập Microsoft 365 hoặc tài khoản Entra của cơ quan, Microsoft Authenticator phù hợp hơn với các phương thức đăng nhập của hệ sinh thái này. Trong bài thử nghiệm của TechRadar, Google được đánh giá cao cho nhu cầu lấy mã đơn giản, còn Microsoft thuận tiện cho đăng nhập tài khoản Microsoft.

Cả hai đều có cách giúp người dùng lấy lại mã khi đổi điện thoại, nhưng đồng bộ và sao lưu làm thay đổi điều bạn phải bảo vệ: quyền truy cập tài khoản dùng để khôi phục trở thành một phần của kế hoạch giữ tài khoản an toàn. Giữ mã trên một máy giảm sự phụ thuộc đó, song nếu máy hỏng hoặc thất lạc trước khi chuyển mã, bạn phải dùng phương thức dự phòng của từng dịch vụ.

Chỉ cần mã xác minh: Google cho phép chọn nơi lưu

Google Authenticator tạo mã dùng một lần cho các dịch vụ hỗ trợ ứng dụng xác thực. Theo hướng dẫn Google Authenticator, mã vẫn được tạo khi điện thoại không có Internet hoặc sóng di động; đăng nhập Tài khoản Google trong ứng dụng sẽ đồng bộ mã sang thiết bị khác. Người dùng cũng có thể chọn sử dụng ứng dụng mà không đăng nhập Tài khoản Google.

Hai cách lưu dẫn đến hai cách đổi máy. Khi bật đồng bộ, bạn đăng nhập đúng Tài khoản Google trên điện thoại mới để lấy lại các mã đã lưu. Khi dùng chế độ chỉ lưu trên thiết bị, bạn cần điện thoại cũ để xuất mã QR rồi quét trên điện thoại mới. Nếu máy cũ đã mất, thao tác chuyển thủ công không còn thực hiện được; bạn phải lấy lại quyền vào từng dịch vụ bằng phương thức mà dịch vụ đó cho phép.

Google cho biết mã được mã hóa khi truyền và khi lưu trong hệ thống của hãng. Điều đó vẫn khiến khả năng đăng nhập hoặc khôi phục Tài khoản Google có vai trò thiết yếu đối với người chọn đồng bộ. Tùy chọn Privacy Screen có thể yêu cầu mã mở máy hoặc sinh trắc học trước khi dùng ứng dụng, giúp hạn chế việc xem mã trên một điện thoại đã mở khóa. Passkey dùng để đăng nhập Tài khoản Google là phương thức riêng; bật passkey không biến các mã trong Google Authenticator thành passkey.

Sao lưu Microsoft giúp đổi máy đến mức nào?

Microsoft Authenticator có sao lưu đám mây, nhưng bản sao lưu không khôi phục mọi loại thông tin đăng nhập theo cùng một cách. Hướng dẫn sao lưu của Microsoft quy định chỉ sao lưu và khôi phục trên cùng loại thiết bị: bản tạo trên iPhone không khôi phục sang Android, và bản tạo trên Android cũng không khôi phục sang iPhone. Trên Android, người dùng bật Cloud Backup; trên iPhone, việc sao lưu cần các thiết lập iCloud mà ứng dụng yêu cầu.

Với tài khoản bên thứ ba dùng mã một lần, mã có thể xuất hiện trở lại sau khi khôi phục. Với tài khoản cơ quan hoặc trường học, bản sao lưu chỉ giữ tên tài khoản và người dùng cần đăng nhập lại. Tài khoản Microsoft cá nhân đã dùng đăng nhập không mật khẩu cũng cần đăng nhập lại sau khi phục hồi. Vì thế, nhìn thấy tên tài khoản trên máy mới chưa có nghĩa bạn đã lấy lại khả năng phê duyệt đăng nhập.

Khác biệt này đáng chú ý khi chuyển giữa hai hệ điều hành hoặc khi chiếc máy cũ biến mất đột ngột. Nếu còn máy cũ, bạn có thể thêm và xác nhận phương thức đăng nhập trên máy mới trước khi bỏ máy cũ. Nếu chỉ có một phương thức xác thực trên chiếc máy đã mất, quá trình khôi phục tài khoản công việc có thể cần phương thức dự phòng đã đăng ký hoặc sự hỗ trợ của quản trị viên.

Tài khoản Entra cần phân biệt mã, thông báo và passkey

Microsoft Authenticator làm nhiều việc hơn hiển thị mã TOTP trong môi trường Entra. Tài liệu Microsoft Entra mô tả mã xác minh OATH, thông báo để chấp thuận hoặc từ chối yêu cầu xác thực, đăng nhập không mật khẩu qua thông báo và passkey trong ứng dụng. Nếu tài khoản công việc yêu cầu thông báo phê duyệt hoặc passkey của Authenticator, việc chọn ứng dụng chỉ dựa trên khả năng tạo mã sẽ bỏ sót phương thức đang dùng.

Passkey trong Microsoft Authenticator gắn với thiết bị nơi nó được tạo. Khôi phục các mã TOTP từ bản sao lưu không đồng nghĩa khôi phục passkey trên điện thoại thay thế. Với tài khoản do tổ chức quản lý, các phương thức có thể đăng ký còn phụ thuộc cấu hình của quản trị viên; người dùng nên xem mục Security info của tài khoản để biết mình đang dùng mã, thông báo hay đăng nhập không mật khẩu.

Nếu tổ chức chỉ yêu cầu nhập mã từ ứng dụng xác thực, nhu cầu đó gần với TOTP thông thường hơn. Nếu quy trình đăng nhập hằng ngày dùng thông báo hoặc passkey trong Entra, Microsoft Authenticator đáp ứng trực tiếp quy trình ấy. Đây là lý do hai ứng dụng có thể cùng tạo mã nhưng không thay thế nhau trong mọi tài khoản công việc.

Ngoại tuyến giúp lấy mã, không bảo vệ khỏi mọi trang giả

Mã TOTP đã thiết lập có thể được tạo trên điện thoại khi không có kết nối mạng, miễn thời gian trên thiết bị chính xác. Đây là lợi ích thực tế ở nơi sóng yếu: bạn vẫn đọc được mã để nhập vào phiên đăng nhập khi thiết bị dùng để đăng nhập có kết nối. Thông báo phê duyệt và việc tải bản sao lưu là những luồng khác, nên không nên suy từ khả năng tạo mã ngoại tuyến rằng mọi chức năng xác thực đều hoạt động ngoại tuyến.

Khả năng tạo mã không quyết định mức chống lừa đảo qua trang giả. Hướng dẫn định danh số của NIST nêu rằng mã dùng một lần phải nhập thủ công không có khả năng chống phishing: một trang giả có thể nhận mã rồi chuyển tiếp vào phiên đăng nhập thật. Passkey dựa trên xác thực mật mã có thể ràng buộc yêu cầu với dịch vụ hợp lệ, giải quyết kiểu chuyển tiếp ấy theo cách mã TOTP không làm được. Một thông báo phê duyệt thông thường cũng không nên được mặc định có cùng mức bảo vệ với passkey.

Khi mất máy, đường khôi phục nào còn dùng được?

Với Google Authenticator đã bật đồng bộ, đường trở lại là Tài khoản Google chứa mã. Với mã chỉ lưu trên máy, bạn cần một phương thức dự phòng ở từng dịch vụ để đăng nhập và thiết lập lại ứng dụng. Với Microsoft Authenticator, bản sao lưu có thể đưa mã của tài khoản bên thứ ba trở lại trên cùng loại thiết bị, còn tài khoản công việc và đăng nhập không mật khẩu vẫn cần bước đăng ký hoặc đăng nhập lại.

Trước khi đổi hoặc mất điện thoại, một danh sách ngắn giúp nhận ra chỗ nào còn phụ thuộc vào chiếc máy đang dùng:

Ghi rõ tài khoản nào dùng mã TOTP, tài khoản nào dùng thông báo phê duyệt hoặc passkey; cách chuyển và khôi phục của chúng khác nhau.
Lưu mã khôi phục do từng dịch vụ cung cấp ở nơi an toàn, tách khỏi điện thoại chứa ứng dụng xác thực.
Đảm bảo tài khoản dùng để đồng bộ hoặc sao lưu có cách đăng nhập dự phòng vẫn sử dụng được khi điện thoại không còn.
Với tài khoản cơ quan, xác định phương thức đăng nhập khác đã đăng ký và cách liên hệ bộ phận quản trị nếu mọi phương thức trên máy cũ đều mất.

Đọc thêm: