auth_token và ct0 thực sự làm gì trên X (Twitter)

Bạn đang thiết lập một công cụ kết nối với X và biểu mẫu không yêu cầu tên người dùng và mật khẩu. Nó muốn hai chuỗi gọi là auth_token và ct0, sao chép từ công cụ dành cho nhà phát triển trong trình duyệt của bạn. Trông có vẻ như là một giải pháp tạm do ai đó nghĩ ra.

Thực ra không phải vậy. Đây chính là cơ chế mà trình duyệt của bạn đã dùng mỗi khi bạn mở x.com mà không bị hỏi đăng nhập lại. Hiểu rõ hai phần này giúp bạn dễ đánh giá hơn liệu công cụ yêu cầu có hợp lý không, và cần bảo vệ các giá trị này cẩn thận đến mức nào khi đã có chúng.

Hai cookie, và mỗi cái một mình thì vô dụng

Khi bạn đăng nhập bằng mật khẩu, X đặt một loạt cookie để không phải hỏi lại bạn ở lần tải trang tiếp theo. Hai trong số đó đảm nhiệm vai trò chính.

auth_token là danh tính. Nó cho biết trình duyệt này đang đăng nhập vào tài khoản nào, và đây là cái quan trọng nhất. Ai giữ nó là giữ quyền đăng nhập của bạn.

ct0 là mã chống giả mạo yêu cầu chéo trang (CSRF). Nó không gắn với danh tính nào cả. Nhiệm vụ của nó là phải hiện diện và khớp khi thực hiện các thao tác ghi, để một trang web khác không thể âm thầm khiến trình duyệt đã đăng nhập của bạn đăng bài.

Vậy nên auth_token một mình chứng minh bạn là ai nhưng sẽ không qua được bước kiểm tra thao tác ghi. ct0 một mình thì vô nghĩa. Một công cụ cần cả hai để thao tác trên tài khoản giống như một tab đã đăng nhập, và đó chính là lý do các công cụ yêu cầu cả cặp này.

Chúng tồn tại bao lâu, và tại sao chúng tôi sẽ không nói cho bạn

Các hướng dẫn thường đưa ra thời gian tồn tại đầy tự tin cho những cookie này. Một cái thì vài tháng, cái kia thì vài giờ hoặc vài ngày. Phiên bản trước của trang này cũng từng nói vậy.

Không con số nào trong đó được công bố chính thức. Đây là chi tiết triển khai nội bộ của một nền tảng riêng tư, các trang trợ giúp của X từ chối yêu cầu tự động nên chúng tôi không thể đọc được, và mọi con số đang lưu hành đều bắt nguồn từ tài liệu của công cụ bên thứ ba sao chép lẫn nhau. Một con số không thể kiểm chứng còn tệ hơn là không có con số nào, vì nó khiến bạn ngừng tìm hiểu.

Tin tốt là bạn không cần ước đoán của ai cả, vì cookie tự mang thời hạn hết hạn và trình duyệt của bạn sẽ hiển thị cho bạn. Mở công cụ dành cho nhà phát triển, vào tab Application hoặc Storage, tìm Cookies, chọn x.com, và đọc cột Expires trên dòng bạn quan tâm. Đó là câu trả lời thực tế cho phiên làm việc thực tế của bạn, ngay hôm nay. Nó đáng tin hơn mọi con số trên internet, kể cả những gì chúng tôi có thể in ở đây.

Tại sao công cụ lại hỏi cookie thay vì mật khẩu

Vì lý do thực tế, không phải điều gì mờ ám. Nhập cookie giúp bỏ qua việc lặp lại đăng nhập nhiều bước mỗi khi phiên kết thúc, và nó hoạt động trên tài khoản đã bật xác thực hai yếu tố, vì cookie đã đại diện cho một phiên đã vượt qua lớp xác thực thứ hai. Với ai chạy nhiều tài khoản qua một công cụ, điều này loại bỏ rất nhiều thao tác lặp lại.

Đánh đổi là có thật và đáng nói thẳng. Mật khẩu có thể đổi và mọi chuyện kết thúc. Còn auth_token bị lộ sẽ cho người giữ nó quyền truy cập giống như bạn, trong suốt thời gian phiên đó còn sống, mà không cần mật khẩu của bạn và không kích hoạt lớp xác thực thứ hai, vì lớp đó đã được xác nhận khi cookie được tạo ra.

So sánh thẳng thắn giữa đăng nhập bằng mật khẩu và đăng nhập bằng cookie

Không cách nào tự động đúng. Tùy vào việc bạn đang làm gì và bạn tin tưởng thứ đang yêu cầu đến mức nào.

• Công sức thiết lập lặp lại. Mật khẩu và xác thực thứ hai: chậm hơn, và phải lặp lại. Nhập cookie: nhanh hơn khi bạn đã có các giá trị.
• Cắt quyền truy cập lần nữa. Mật khẩu: không tự nó làm được, xem bên dưới. Cookie: kết thúc phiên từ danh sách phiên.
• Nếu bị chặn bắt. Mật khẩu: lớp xác thực thứ hai thường ngăn việc dùng nó. Cookie: nó hoạt động ngay lập tức, một mình.
• Phù hợp với việc gì. Mật khẩu: dùng tay hàng ngày. Cookie: công cụ bạn đã nghiên cứu và định dùng lâu dài.

Có lựa chọn thứ ba mà hầu hết mọi người bỏ qua, và đó là lựa chọn đúng cho bất kỳ thứ gì chạy dài hạn. Một ứng dụng được cấp quyền qua quy trình dành cho nhà phát triển chính thức của X sẽ có quyền riêng của nó. Nó không phụ thuộc vào phiên trình duyệt, nên việc dọn dẹp bảo mật thông thường không phá vỡ nó, và nó có thể bị tắt riêng lẻ mà không ảnh hưởng gì khác. Trên kệ X của chúng tôi, đây cũng là định dạng hiếm hơn và rẻ hơn: các mục được gắn nhãn cho quy trình cấp quyền chính thức chỉ chiếm khoảng một phần mười ba, với giá khoảng hai phần năm mức giá trung bình.

Thu hồi token, và điều mà ai cũng hiểu sai ở đây

Người ta thường nói, và phiên bản trước của trang này cũng từng nói, rằng đổi mật khẩu sẽ vô hiệu hóa các cookie phiên cũ, nên đổi mật khẩu là nút dừng khẩn cấp của bạn.

Đừng dựa vào điều đó. X không công bố tuyên bố nào mà chúng tôi có thể đọc theo hướng này hay hướng kia, và vào tháng 9 năm 2022, Twitter đã tiết lộ rằng việc tự nguyện đổi mật khẩu đã không kết thúc phiên trên các thiết bị khác, một lỗi đã tồn tại hàng tháng trước khi được sửa. Dù hành vi hiện tại là gì, một nút điều khiển mà bạn không thể xác minh tác dụng của nó không phải là nút dừng khẩn cấp.

Hành động thực sự có tác dụng là rõ ràng và nằm trong cài đặt của bạn: Security and account access, rồi Apps and sessions, rồi Sessions. Đăng xuất khỏi tất cả phiên khác. Mọi cookie được tạo bởi các phiên đó sẽ chết cùng chúng, kể cả bản sao mà người khác đã lấy. Đổi mật khẩu nữa nếu bạn muốn, nhưng danh sách phiên mới là thứ thực sự hoạt động. Trình tự đầy đủ, và lý do thực hiện theo thứ tự cụ thể trên tài khoản bạn vừa mua, nằm trong bài đổi mật khẩu X mà không tự khóa mình.

Xử lý các giá trị, nếu bạn định dùng chúng

Hãy coi chuỗi này như mật khẩu, vì về chức năng nó chính là mật khẩu. Chỉ dán nó vào công cụ bạn đã tìm hiểu kỹ. Đừng chụp màn hình, đừng đưa vào chat hay ticket, và đừng để trong file văn bản đồng bộ lên đám mây. Khi bạn không còn tin tưởng một công cụ, hãy kết thúc phiên thay vì chỉ gỡ công cụ, vì gỡ công cụ không xóa bản sao mà nó đã tạo.

Nếu tài khoản đi kèm file token

Rất nhiều mục rao bán kèm theo, và trên kệ của chúng tôi đây là định dạng bình thường chứ không phải hiếm: chỉ dưới một phần ba số mục X đang hoạt động được gắn nhãn là bao gồm cookie. Đáng chú ý là chúng có giá thấp hơn mức trung bình của kệ chứ không phải cao hơn, khoảng bốn phần năm mức giá trung bình, điều đó cho thấy thị trường coi token đi kèm là tiện lợi chứ không phải tài sản.

Lý do nó được định giá như một tiện lợi chính là lý do bạn nên cẩn thận với nó. Một token đi kèm khi bán đã được ít nhất một người khác nhìn thấy, và có thể là tất cả những ai nhận cùng một lô. Hãy coi nó là thông tin đăng nhập dùng chung, vì thực tế nó là vậy.

Vậy hãy dùng nó để vào, rồi ngừng dùng. Đăng nhập, đăng xuất tất cả phiên khác, gắn email và số điện thoại khôi phục của riêng bạn vào tài khoản, và chỉ sau đó mới đổi mật khẩu. Token bạn được đưa sẽ ngừng hoạt động ở bước phiên, và đó chính là kết quả bạn muốn. Tạo một token mới sau đó, từ trình duyệt đã đăng nhập của chính bạn, chỉ mất một phút.

Những gì người bán tiết lộ về việc bàn giao token rất khác nhau, và đó chính là lý do nên so sánh thay vì chọn mục đầu tiên. Trang đầy đủ danh sách tài khoản X cho thấy từng mục ghi gì.

Trước khi bạn dựa vào đăng nhập bằng cookie cho bất kỳ điều gì quan trọng

• Bạn biết từng giá trị trong hai giá trị làm gì, chứ không chỉ biết cặp này hoạt động
• Bạn đã đọc thời hạn hết hạn thực tế từ trình duyệt của mình thay vì tin con số trong hướng dẫn
• Công cụ có thành tích rõ ràng, hoặc hỗ trợ quy trình cấp quyền chính thức thay thế
• Mọi token đi kèm khi mua đã bị loại bỏ bằng cách đăng xuất tất cả phiên khác
• Không có giá trị thô nào nằm trong nhật ký chat, ảnh chụp màn hình, hay file văn bản đồng bộ
• Bạn biết danh sách phiên ở đâu, vì đó là thứ bạn sẽ cần khi gấp

Các trang trợ giúp của X là tài liệu tham khảo chính thức cho các phương thức đăng nhập được hỗ trợ. Chúng tôi không thể đọc chúng từ đây, nên chúng tôi sẽ không tóm tắt chúng cho bạn.