Xác thực hai yếu tố

Xác thực hai yếu tố nghĩa là gì

Xác thực hai yếu tố, thường viết tắt là 2FA, là phương thức đăng nhập yêu cầu hai loại bằng chứng khác nhau để chứng minh bạn đúng là người mà bạn nói. Yếu tố thứ nhất thường là thứ bạn biết, chẳng hạn mật khẩu. Yếu tố thứ hai là thứ bạn có, chẳng hạn điện thoại chạy ứng dụng xác thực, khóa bảo mật phần cứng hoặc mã gửi qua tin nhắn, hoặc là thứ thuộc về con người bạn, chẳng hạn vân tay hay quét khuôn mặt.

Ý tưởng rất đơn giản. Một mật khẩu bị đánh cắp hay đoán được thì tự nó chưa đủ, vì kẻ tấn công còn cần yếu tố thứ hai. Mật khẩu bị rò rỉ trong các vụ xâm nhập dữ liệu, bị dùng lại trên nhiều trang web và có thể bị chiếm bằng các trang đăng nhập giả mạo. Yếu tố thứ hai tạo thêm một rào cản mà các kiểu tấn công thông thường này khó vượt qua.

Với bất kỳ ai có tài khoản môi giới, giao dịch hay thanh toán, 2FA là một trong những biện pháp bảo vệ hiệu quả nhất và ít tốn kém nhất hiện có. Tài khoản chứa tiền và giấy tờ cá nhân, có thể được dùng để đặt lệnh hoặc yêu cầu rút tiền, nên là mục tiêu tự nhiên của tội phạm. Nhiều công ty được quản lý yêu cầu hoặc khuyến khích mạnh việc dùng 2FA, và ở một số khu vực, quy tắc xác thực khách hàng mạnh đối với thanh toán khiến nó được áp dụng cho một số thao tác dù bạn có chọn hay không.

Cách hoạt động

Quy trình thêm một bước sau mật khẩu.

1. Bạn nhập tên đăng nhập và mật khẩu như bình thường.
2. Dịch vụ yêu cầu yếu tố thứ hai. Đó có thể là mã sáu chữ số thay đổi mỗi 30 giây, một thông báo đẩy mà bạn phê duyệt, một lần chạm vào khóa vật lý hoặc một lần kiểm tra sinh trắc học.
3. Dịch vụ đối chiếu yếu tố thứ hai với những gì nó mong đợi. Nếu cả hai đều đúng, phiên đăng nhập bắt đầu.

Các loại chính khác nhau về độ mạnh.

• Mã SMS hoặc cuộc gọi thoại. Một mã được gửi đến số điện thoại của bạn. Dễ thiết lập nhưng yếu hơn, vì số điện thoại có thể bị chiếm đoạt qua hoán đổi SIM (SIM swapping) và tin nhắn có thể bị chặn.
• Ứng dụng xác thực. Ứng dụng và dịch vụ chia sẻ một khóa bí mật trong lúc thiết lập. Sau đó ứng dụng tạo ra các mã dùng một lần theo thời gian ngay trên thiết bị, không cần mạng. Đây là lựa chọn tiêu chuẩn thường dùng.
• Phê duyệt bằng thông báo đẩy. Dịch vụ gửi một lời nhắc đến ứng dụng đã đăng ký và bạn chấp thuận hoặc từ chối. Tiện lợi nhưng có thể bị lợi dụng nếu bạn bấm chấp thuận theo thói quen.
• Khóa bảo mật phần cứng. Một thiết bị nhỏ chứng minh danh tính của bạn bằng mật mã và gắn với đúng địa chỉ trang web thật, nên chống được các trang đăng nhập giả. Nhìn chung là lựa chọn mạnh nhất đối với người dùng thông thường.
• Sinh trắc học. Nhận dạng vân tay hoặc khuôn mặt trên thiết bị, thường để mở khóa một thông tin xác thực đã lưu chứ không gửi trực tiếp đến dịch vụ.

Các dịch vụ cũng cấp mã dự phòng khi thiết lập. Những mã này cho phép bạn vào tài khoản nếu mất thiết bị, và nên được lưu ngoại tuyến.

Ví dụ minh họa

Đây là một kịch bản minh họa. Một nhà giao dịch dùng cùng một mật khẩu cho một diễn đàn và cho tài khoản môi giới. Diễn đàn bị xâm nhập, và mật khẩu xuất hiện trong một danh sách được bán trên mạng.

Không có 2FA

1. Kẻ tấn công thử email và mật khẩu bị rò rỉ trên trang đăng nhập của sàn môi giới.
2. Thành công. Kẻ tấn công vào tài khoản, thay đổi thông tin liên hệ và thử gửi yêu cầu rút tiền.

Có 2FA qua ứng dụng xác thực

1. Kẻ tấn công thử cùng email và mật khẩu đó.
2. Sàn môi giới yêu cầu mã sáu chữ số. Kẻ tấn công không có điện thoại của nhà giao dịch và không thể tạo ra mã.
3. Đăng nhập thất bại. Nhà giao dịch có thể nhận được thông báo về lần thử không thành công và có thể đổi mật khẩu.

Mật khẩu bị rò rỉ là như nhau trong cả hai trường hợp. Điểm khác biệt là một rào cản thứ hai. Nếu kẻ tấn công thay vào đó lừa nhà giao dịch nhập mã vào một trang đăng nhập giả theo thời gian thực, mã từ ứng dụng vẫn có thể bị chuyển tiếp, đó là lý do khóa phần cứng và các phương thức chống lừa đảo giả mạo (phishing) được đánh giá cao.

Vì sao điều này quan trọng

Chiếm đoạt tài khoản là một nguyên nhân hàng đầu của gian lận trong giao dịch cá nhân, và hậu quả có thể gồm các giao dịch trái phép, các lần thử rút tiền gian lận, đánh cắp danh tính và việc lạm dụng các giấy tờ bạn đã tải lên để xác minh. Việc khắc phục có thể chậm, và không phải khoản mất nào cũng được hoàn trả, vì điều khoản phụ thuộc vào công ty và vào việc bạn có bất cẩn với thông tin đăng nhập hay không.

Các tính năng bảo mật cũng khác nhau giữa các sàn môi giới. Có sàn bắt buộc 2FA cho mọi lần đăng nhập và cho việc rút tiền, có sàn để tùy chọn, và có sàn chỉ hỗ trợ SMS. Bảo vệ rút tiền, chẳng hạn xác nhận bổ sung khi thêm tài khoản ngân hàng mới, có thể quan trọng không kém chính việc đăng nhập. Cách tiếp cận xác thực của một sàn môi giới là một dấu hiệu cho thấy họ coi trọng bảo mật khách hàng đến mức nào, bên cạnh tài khoản tách biệt tiền khách hàng và các biện pháp kiểm soát khác.

Cách sử dụng trong thực tế

1. Bật 2FA cho sàn môi giới, email, ngân hàng và mọi tài khoản thanh toán hay tiền mã hóa của bạn. Email đặc biệt quan trọng, vì nó có thể đặt lại mật khẩu của tất cả các tài khoản khác.
2. Ưu tiên ứng dụng xác thực hoặc khóa phần cứng hơn SMS khi dịch vụ có cung cấp.
3. Lưu mã dự phòng ngoại tuyến, ví dụ in ra và cất giữ an toàn, không để trong cùng tài khoản email.
4. Dùng mật khẩu riêng cho từng dịch vụ, tốt nhất là mật khẩu được tạo tự động và lưu trong trình quản lý mật khẩu.
5. Kiểm tra xem sàn môi giới của bạn có cung cấp xác nhận bổ sung cho việc rút tiền và thay đổi thông tin ngân hàng hay không, và bật tính năng đó.
6. Cập nhật số điện thoại và email để bạn có thể khôi phục quyền truy cập.
7. Không bao giờ chia sẻ mã với bất kỳ ai, kể cả người tự nhận là bộ phận hỗ trợ. Nhân viên thật không hỏi mã này.
8. Thường xuyên xem lại các thông báo đăng nhập và thiết bị từ sàn môi giới.

Những sai lầm và quan niệm sai thường gặp

• Cho rằng mã SMS mạnh như mã từ ứng dụng. Chúng tốt hơn không có gì nhưng dễ bị hoán đổi SIM.
• Chấp thuận các lời nhắc đẩy mà bạn không khởi tạo. Những lời nhắc bất ngờ nên bị từ chối và nên đổi mật khẩu.
• Mất thiết bị duy nhất mà không có bản dự phòng. Không có mã dự phòng, việc khôi phục có thể cần các bước kiểm tra danh tính kéo dài.
• Tin rằng 2FA khiến lừa đảo giả mạo (phishing) trở nên vô hại. Các cuộc tấn công chuyển tiếp theo thời gian thực có thể lấy được mã dùng một lần. Hãy kiểm tra địa chỉ web trước khi nhập.
• Dùng 2FA cho sàn môi giới nhưng không dùng cho tài khoản email. Kẻ tấn công có email thường có thể đặt lại mật khẩu sàn môi giới và đôi khi cả yếu tố thứ hai.
• Đọc mã cho ai đó qua điện thoại vì họ nói đó là một bước kiểm tra bảo mật.

Rủi ro và hạn chế

Xác thực hai yếu tố làm giảm rủi ro nhưng không loại bỏ hoàn toàn. Phần mềm độc hại trên thiết bị, các cuộc chuyển tiếp lừa đảo giả mạo, thủ thuật tác động tâm lý nhằm vào nhân viên hỗ trợ và quy trình khôi phục yếu vẫn có thể dẫn đến bị xâm nhập. Các phương thức mạnh cũng có thể khiến bạn bị khóa tài khoản nếu mất thiết bị mà không có bản dự phòng. Quy tắc và phương thức khả dụng khác nhau tùy quốc gia và công ty, và 2FA bảo vệ quyền truy cập vào tài khoản chứ không bảo vệ giá trị của các khoản đầu tư trong đó, nên nó không phải là biện pháp chống lại thua lỗ thị trường.

Brokeli nhìn nhận vấn đề này thế nào

Khi thu thập dữ liệu nghiên cứu về sàn môi giới, chúng tôi ghi nhận các tùy chọn xác thực được cung cấp, việc 2FA là bắt buộc hay tùy chọn, và liệu có áp dụng thêm các bước kiểm tra cho việc rút tiền hay không. Đây là một trong nhiều hạng mục an toàn tài khoản mà chúng tôi ghi lại, cùng với quy định pháp lý, việc tách biệt tiền khách hàng và quy trình xác minh. Chúng tôi mô tả những gì sàn môi giới công bố và không kiểm tra hay chứng nhận tính bảo mật của họ.