Xác thực hai lớp bằng khóa bảo mật vật lý FIDO2 cho B52club
Chiếc máy đánh chữ cổ thường có một ổ khóa nhỏ ở nắp hoặc ngăn kéo, và chìa khóa luôn nằm trong túi người chủ chứ không dán lên thân máy. Lý do rất đời thường: khóa chỉ có ích khi chìa nằm trong tay đúng người. Xác thực bằng khóa bảo mật vật lý FIDO2 vận hành theo cùng triết lý ấy. Khi tài khoản B52club của bạn đòi một vật thật mà bạn cầm trên tay, kẻ ở xa dù biết mật khẩu cũng khó lòng mở cửa.
Ảnh: Maksym Diachenko / Unsplash
Khóa vật lý FIDO2 là gì
FIDO2 là một chuẩn xác thực mở. Khóa vật lý, thường có dạng chiếc que nhỏ cắm cổng USB hoặc chạm qua kết nối không dây gần như YubiKey, chứa một con chip lưu trữ cặp khóa mật mã. Khi bạn đăng nhập, dịch vụ gửi một "thử thách" ngẫu nhiên, khóa ký lên thử thách đó bằng khóa riêng nằm trong chip, và chỉ khi bạn chạm vào khóa để xác nhận có mặt thì chữ ký mới được gửi đi.
Khóa riêng không bao giờ rời khỏi thiết bị. Không có dòng mã nào để đọc, để chép hay để đọc cho ai nghe. Điều bạn mang theo thực chất là khả năng ký, không phải một bí mật có thể bị sao chép bằng cách nhìn lén hay đọc trộm tin nhắn.
Vì sao chống phishing tốt hơn mã OTP
Mã OTP gửi qua tin nhắn hoặc sinh bởi ứng dụng là một lớp bảo vệ tốt so với việc chỉ dùng mật khẩu, nhưng nó có một điểm yếu cố hữu: mã là thứ con người có thể đọc và gõ vào. Một trang đăng nhập giả khéo léo chỉ cần dụ bạn nhập mật khẩu rồi nhập luôn mã sáu số, và kẻ gian sẽ dùng ngay mã còn hiệu lực ấy trên trang thật.
Khóa FIDO2 chặn kịch bản này ở nền móng. Khi tạo cặp khóa, khóa gắn nó với tên miền của dịch vụ thật. Lúc đăng nhập, trình duyệt kiểm tra tên miền hiện tại có khớp với tên miền đã đăng ký hay không; trang giả mạo có giao diện giống đến đâu cũng không đáp ứng được thử thách. Nói cách khác, khóa không "bị lừa" vì nó không nhìn giao diện mà nhìn tên miền. Chính điều đó làm cho nó đứng ở nhóm xác thực chống phishing mạnh nhất hiện nay.
Cần nói rõ giới hạn: khóa không bảo vệ bạn khỏi mọi rủi ro. Nếu bạn tự tay chuyển tiền theo lời lừa, hay máy tính bị cài phần mềm độc hại điều khiển phiên đã đăng nhập, khóa vẫn không cứu được. Nó là một lớp rất tốt, không phải lớp duy nhất.
Cách đăng ký khóa, bước theo bước
Quy trình cụ thể có thể khác đôi chút tuỳ giao diện, nhưng tinh thần chung gồm:
- Chuẩn bị ít nhất hai khóa cùng loại tương thích với chuẩn FIDO2, mua từ nguồn bán chính hãng.
- Mở phần cài đặt bảo mật của tài khoản, truy cập bằng địa chỉ chính thức do bạn tự lưu, rồi tìm mục xác thực hai lớp hoặc khóa bảo mật. Nếu B52club chưa hỗ trợ khóa vật lý trực tiếp, hãy bảo vệ tài khoản email gắn với nó bằng khóa và dùng phương án mạnh nhất hiện có cho chính tài khoản.
- Chọn thêm khóa bảo mật, cắm khóa vào, làm theo hướng dẫn của trình duyệt và chạm vào khóa khi được yêu cầu.
- Đặt cho khóa một tên dễ nhận biết, ví dụ "khóa chính" và "khóa dự phòng".
- Đăng xuất rồi đăng nhập thử bằng khóa để chắc rằng nó hoạt động trước khi tắt các phương án cũ.
Hãy làm mọi bước này trong lúc bình tĩnh, với đủ thời gian, chứ không phải lúc đang vội dùng dịch vụ.
Khóa dự phòng, thứ nhiều người bỏ quên
Một chiếc khóa duy nhất là một điểm hỏng duy nhất. Khóa có thể rơi, ngâm nước, thất lạc trong chuyến đi. Vì vậy, đăng ký khóa thứ hai ngay từ đầu không phải xa xỉ mà là một phần của quy trình.
Cách cất giữ: khóa chính mang theo bên người cùng chùm chìa khóa; khóa dự phòng cất ở nơi an toàn khác, như két hoặc ngăn kéo có khóa ở nhà, không để chung chỗ với khóa chính. Ghi lại ở chỗ riêng, không phải trong ghi chú máy tính thông thường, danh sách các dịch vụ đã đăng ký từng khóa để khi cần bạn biết phải làm gì.
Kịch bản mất khóa và khôi phục an toàn
Chuẩn bị trước cho điều tệ nhất sẽ làm cơn hoảng bớt nặng. Nếu bạn mất khóa chính:
- Bình tĩnh, dùng khóa dự phòng để đăng nhập.
- Vào cài đặt bảo mật, gỡ khóa đã mất khỏi danh sách để nó không còn quyền gì.
- Đăng ký một khóa mới để khôi phục lại cặp đôi chính–dự phòng.
- Đổi mật khẩu và kiểm tra các phiên đăng nhập, thiết bị lạ.
- Nếu bạn nghi khóa rơi vào tay người xấu, hãy nhớ rằng chỉ có khóa chưa đủ, họ còn cần mật khẩu của bạn, nhưng vẫn nên xử lý như trên càng sớm càng tốt.
Nếu mất cả hai khóa, hãy dùng các mã khôi phục đã in ra cất kỹ, hoặc quy trình xác minh danh tính của dịch vụ qua kênh chính thức. Tuyệt đối không chia sẻ mã khôi phục cho bất kỳ ai tự xưng là hỗ trợ, và không chụp ảnh lưu lên chỗ ai cũng truy cập được.
Sai lầm hay gặp và lời cuối
Sai lầm thường thấy gồm: chỉ mua một khóa, để khóa dự phòng cùng chỗ khóa chính, không thử đăng nhập lại sau khi đăng ký, giữ nguyên phương án mã tin nhắn cũ làm đường vòng yếu, và dùng một chiếc khóa quá lâu mà không kiểm tra tình trạng. Hãy dành vài phút mỗi quý để thử lại cả hai khóa.
Chiếc chìa khóa tốt không bao giờ bị khoe ra, và cũng không bao giờ bị bỏ quên trong ngăn kéo lạ. Với B52club, một chiếc khóa vật lý cùng một chiếc dự phòng cất kỹ sẽ giúp bạn yên tâm hơn, nhưng sự yên tâm đó chỉ đến từ thói quen đúng chứ không từ riêng thiết bị.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.
Tham khảo thông tin tại B52 club.