Tốt hơn cả những mật khẩu tốt nhất: Dùng 2FA (bảo mật 2 lớp) để làm tài khoản bạn khó bị hack hơn

TNP
13:43 22/01/2021

Chỉ một lần bị lộ dữ liệu, cả cuộc sống "online" và thực tại của bạn đều bị đảo lộn hết. Vấn đề ở đây nằm ở mật khẩu, cách bảo mật tài nguyên vô vọng để bảo mật tài nguyên quý giá.

Đừng để bị ru ngủ bởi cảm giác an toàn, rằng tạo mật khẩu dài, phức tạp, khó đoán sẽ giúp bạn an toàn hơn trên không gian mạng. Bạn có thể gõ mật khẩu cực-kì-dài, và sẽ vô tác dụng khi trang web bạn dùng không lưu trữ mật khẩu đúng cách, mật khẩu của bạn sẽ bị "lộ" nếu trang web đó bị hack. Gần đây, tình trạng này xảy ra thường xuyên.

Và, ngay cả những chính sách hợp lý ( mật khẩu phức tạp, thay đổi thường xuyên, không tái sử dụng mật khẩu), con người vẫn là mắt xích yếu nhất trong chuỗi bảo mật. Kĩ thuật Social Engineering (khai thác con người)  có thể thuyết phục ngay cả những người thông minh nhập thông tin đăng nhập của họ vào một trang web lừa đảo hoặc nói qua điện thoại.

Giải pháp là xác thực hai yếu tố, hoặc 2FA. (Một số dịch vụ, gọi nó là xác thực đa yếu tố, nhưng 2FA là thuật ngữ được sử dụng rộng rãi nhất.). Một báo cáo năm 2019 từ Microsoft đã kết luận rằng 2FA đã hoạt động, chặn 99,9% các cuộc tấn công tự động. Nếu một nhà cung cấp dịch vụ hỗ trợ xác thực đa yếu tố, Microsoft khuyên bạn nên sử dụng nó, ngay cả khi nó đơn giản như mật khẩu một lần dựa trên SMS. Một báo cáo năm 2019 riêng biệt của Google đã đưa ra kết luận tương tự.

2FA HOẠT ĐỘNG NHƯ THẾ NÀO?

Việc bật 2FA cho một dịch vụ sẽ thay đổi các yêu cầu bảo mật, buộc bạn phải cung cấp ít nhất hai bằng chứng nhận dạng khi truy cập dịch vụ bảo mật lần đầu tiên trên một thiết bị không xác định. Hai hình thức xác thực đó có thể đến từ bất kỳ sự kết hợp nào của ít nhất hai trong số các yếu tố sau:

Nguồn ảnh: Kipalog

Đối với hầu hết các hệ thống, hệ thống xác thực hai yếu tố mà bạn thấy hiện nay sử dụng mục đầu tiên (mật khẩu của bạn) và mục cuối cùng (điện thoại thông minh của bạn). Điện thoại thông minh đã trở nên phổ biến và trở thành thiết bị bảo mật lý tưởng.

Điện thoại thông minh của bạn có thể hỗ trợ xác thực bằng cách cung cấp một mã duy nhất mà bạn sử dụng cùng với mật khẩu của mình để đăng nhập. Bạn có thể lấy mã đó theo một trong hai cách: Được gửi dưới dạng tin nhắn văn bản từ dịch vụ hoặc được tạo bởi một ứng dụng được cài đặt trên điện thoại.

Ví dụ: đây là những gì tôi đã thấy cách đây vài phút khi thử đăng nhập vào tài khoản Gmail của mình từ một trình duyệt mà tôi chưa từng sử dụng trước đây.

PHƯƠNG THỨC XÁC THỰC NÀO LÀ TỐT NHẤT?

Phương pháp xác thực tốt nhất là phương pháp bạn thấy thoải mái nhất. Chỉ cần đảm bảo rằng bạn có ít nhất hai lựa chọn, để tránh nguy cơ bị khóa tài khoản.

Tôi thích tùy chọn sử dụng ứng dụng xác thực (Google Authentication) hơn là nhận mã qua tin nhắn văn bản bất cứ khi nào có thể, và bạn cũng vậy, vì hai lý do chính đáng. Đầu tiên là vấn đề vận chuyển mã. Đôi khi bạn truy cập Internet (qua kết nối có dây hoặc Wi-Fi) nhưng không thể nhận được tin nhắn văn bản, do tín hiệu di động của bạn yếu hoặc không tồn tại hoặc bạn đang sử dụng một SIM khác khi đang đi du lịch. Thứ hai là cơ hội nhỏ nhưng đã có trong thực tế, kẻ tấn công có thể giả mạo thẻ SIM của bạn để lấy mã, một quá trình được gọi là "SIM-jacking", đã được mô tả ở đây:

https://inseclab.uit.edu.vn/xac-thuc-bang-sms-khong-an-toan-khach-hang-att-bi-danh-cap-tien-dien-tu-bang-phuong-phap-hoan-doi-sim/

TÔI NÊN BẢO VỆ NHỮNG DỊCH VỤ NÀO TRƯỚC?

Bạn có thể có thông tin đăng nhập tại hàng tá dịch vụ trực tuyến hỗ trợ 2FA, vì vậy chiến lược tốt nhất là tạo danh sách ưu tiên và thực hiện theo cách của bạn. Tôi đề nghị những ưu tiên sau:

TPN

Tham khảo: ZDNet.