Chỉ một lần bị lộ dữ liệu, cả cuộc sống "online" và thực tại của bạn đều bị đảo lộn hết. Vấn đề ở đây nằm ở mật khẩu, cách bảo mật tài nguyên vô vọng để bảo mật tài nguyên quý giá.
Đừng để bị ru ngủ bởi cảm giác an toàn, rằng tạo mật khẩu dài, phức tạp, khó đoán sẽ giúp bạn an toàn hơn trên không gian mạng. Bạn có thể gõ mật khẩu cực-kì-dài, và sẽ vô tác dụng khi trang web bạn dùng không lưu trữ mật khẩu đúng cách, mật khẩu của bạn sẽ bị "lộ" nếu trang web đó bị hack. Gần đây, tình trạng này xảy ra thường xuyên.
Và, ngay cả những chính sách hợp lý ( mật khẩu phức tạp, thay đổi thường xuyên, không tái sử dụng mật khẩu), con người vẫn là mắt xích yếu nhất trong chuỗi bảo mật. Kĩ thuật Social Engineering (khai thác con người) có thể thuyết phục ngay cả những người thông minh nhập thông tin đăng nhập của họ vào một trang web lừa đảo hoặc nói qua điện thoại.
Giải pháp là xác thực hai yếu tố, hoặc 2FA. (Một số dịch vụ, gọi nó là xác thực đa yếu tố, nhưng 2FA là thuật ngữ được sử dụng rộng rãi nhất.). Một báo cáo năm 2019 từ Microsoft đã kết luận rằng 2FA đã hoạt động, chặn 99,9% các cuộc tấn công tự động. Nếu một nhà cung cấp dịch vụ hỗ trợ xác thực đa yếu tố, Microsoft khuyên bạn nên sử dụng nó, ngay cả khi nó đơn giản như mật khẩu một lần dựa trên SMS. Một báo cáo năm 2019 riêng biệt của Google đã đưa ra kết luận tương tự.
2FA HOẠT ĐỘNG NHƯ THẾ NÀO?
Việc bật 2FA cho một dịch vụ sẽ thay đổi các yêu cầu bảo mật, buộc bạn phải cung cấp ít nhất hai bằng chứng nhận dạng khi truy cập dịch vụ bảo mật lần đầu tiên trên một thiết bị không xác định. Hai hình thức xác thực đó có thể đến từ bất kỳ sự kết hợp nào của ít nhất hai trong số các yếu tố sau:
- "Bạn biết gì", chẳng hạn như mật khẩu hoặc mã PIN
- "Bạn là ai ", chẳng hạn như dấu vân tay hoặc ID sinh trắc học khác
- "Bạn có gì", chẳng hạn như điện thoại thông minh đáng tin cậy có thể tạo hoặc nhận mã xác nhận hoặc thiết bị bảo mật dựa trên phần cứng
Đối với hầu hết các hệ thống, hệ thống xác thực hai yếu tố mà bạn thấy hiện nay sử dụng mục đầu tiên (mật khẩu của bạn) và mục cuối cùng (điện thoại thông minh của bạn). Điện thoại thông minh đã trở nên phổ biến và trở thành thiết bị bảo mật lý tưởng.
Điện thoại thông minh của bạn có thể hỗ trợ xác thực bằng cách cung cấp một mã duy nhất mà bạn sử dụng cùng với mật khẩu của mình để đăng nhập. Bạn có thể lấy mã đó theo một trong hai cách: Được gửi dưới dạng tin nhắn văn bản từ dịch vụ hoặc được tạo bởi một ứng dụng được cài đặt trên điện thoại.
Ví dụ: đây là những gì tôi đã thấy cách đây vài phút khi thử đăng nhập vào tài khoản Gmail của mình từ một trình duyệt mà tôi chưa từng sử dụng trước đây.
PHƯƠNG THỨC XÁC THỰC NÀO LÀ TỐT NHẤT?
Phương pháp xác thực tốt nhất là phương pháp bạn thấy thoải mái nhất. Chỉ cần đảm bảo rằng bạn có ít nhất hai lựa chọn, để tránh nguy cơ bị khóa tài khoản.
Tôi thích tùy chọn sử dụng ứng dụng xác thực (Google Authentication) hơn là nhận mã qua tin nhắn văn bản bất cứ khi nào có thể, và bạn cũng vậy, vì hai lý do chính đáng. Đầu tiên là vấn đề vận chuyển mã. Đôi khi bạn truy cập Internet (qua kết nối có dây hoặc Wi-Fi) nhưng không thể nhận được tin nhắn văn bản, do tín hiệu di động của bạn yếu hoặc không tồn tại hoặc bạn đang sử dụng một SIM khác khi đang đi du lịch. Thứ hai là cơ hội nhỏ nhưng đã có trong thực tế, kẻ tấn công có thể giả mạo thẻ SIM của bạn để lấy mã, một quá trình được gọi là "SIM-jacking", đã được mô tả ở đây:
TÔI NÊN BẢO VỆ NHỮNG DỊCH VỤ NÀO TRƯỚC?
Bạn có thể có thông tin đăng nhập tại hàng tá dịch vụ trực tuyến hỗ trợ 2FA, vì vậy chiến lược tốt nhất là tạo danh sách ưu tiên và thực hiện theo cách của bạn. Tôi đề nghị những ưu tiên sau:
- Quản lý mật khẩu / danh tính. Sử dụng trình quản lý mật khẩu có lẽ là cách quan trọng nhất để đảm bảo rằng bạn có một mật khẩu mạnh, duy nhất cho mọi dịch vụ, nhưng điều đó cũng tạo ra một điểm tấn công duy nhất. Thêm 2FA khắc phục điểm yếu tiềm ẩn đó. Lưu ý rằng đối với một số phần mềm quản lý mật khẩu, hỗ trợ 2FA là một tùy chọn trả phí.
- Tài khoản Microsoft và Google. Nếu bạn sử dụng dịch vụ của một trong hai công ty, việc bổ sung hỗ trợ 2FA là điều cần thiết. May mắn thay, nó cũng dễ dàng.
- Các tài khoản email. Nếu một kẻ xấu có thể chiếm đoạt tài khoản email của bạn, chúng thường có thể tàn phá, vì email là phương tiện tiêu chuẩn để gửi các liên kết đặt lại mật khẩu. Thư được gửi từ một tài khoản email bị xâm nhập cũng có thể được sử dụng để tấn công bạn bè và đồng nghiệp của bạn (ví dụ: bằng cách gửi các tệp đính kèm chứa đầy phần mềm độc hại). Nếu bạn sử dụng Outlook.com, Exchange Online, Gmail hoặc G Suite, tài khoản email của bạn sẽ sử dụng phương pháp xác minh danh tính được liên kết với tài khoản Microsoft hoặc Google của bạn. Nếu bạn sử dụng một dịch vụ email khác, bạn sẽ cần thiết lập 2FA riêng biệt.
- Tài khoản mạng xã hội. Đối với email, rủi ro lớn nhất liên quan đến tài khoản Twitter hoặc Facebook bị tấn công là nó sẽ được sử dụng để chống lại bạn bè và cộng sự của bạn. Ngay cả khi bạn là một người ẩn mình và hiếm khi đăng bất cứ điều gì trên mạng xã hội, bạn nên bảo vệ những tài khoản này.
- Các ngân hàng và các tổ chức tài chính. Hầu hết các ngân hàng và công ty thẻ tín dụng đã đầu tư đáng kể vào các chương trình phát hiện gian lận nội bộ, đó là lý do tại sao các tùy chọn 2FA thường bị hạn chế so với các danh mục khác. Tuy nhiên, bạn nên khám phá các cài đặt này và thắt chặt chúng nhiều nhất có thể.
- Mua sắm và thương mại trực tuyến. Bất kỳ trang web nào bạn đã lưu số thẻ tín dụng đều phải được bảo mật.
TPN
Tham khảo: ZDNet.