Xác thực hai lớp bằng khóa bảo mật vật lý FIDO2 cho Go88
Ngày xưa, thư từ quan trọng được niêm bằng một con dấu sáp. Ai cũng có thể viết một bức thư giả, nhưng không ai đóng được con dấu thật nếu không có chiếc ấn trong tay. Tôi nghĩ đến hình ảnh ấy mỗi khi nói về khóa bảo mật vật lý. Mật khẩu là chữ viết, dễ bị chép lại. Mã OTP là một dòng chữ viết thêm, vẫn có thể bị dụ khai ra. Còn khóa vật lý FIDO2 là chiếc ấn thật, nằm trong tay bạn, và chỉ đóng được khi bạn thật sự có mặt. Bài này gõ chậm về cách dùng nó để tăng lớp bảo vệ cho tài khoản Go88.
Ảnh: Sasun Bughdaryan / Unsplash
Khóa bảo mật vật lý là gì
Khóa bảo mật là một thiết bị nhỏ, cỡ chiếc chìa khóa, thường cắm vào cổng USB hoặc chạm vào điện thoại qua công nghệ NFC. Những dòng phổ biến trên thị trường có YubiKey và nhiều sản phẩm khác tuân theo chuẩn FIDO2. Chuẩn này do một liên minh ngành công nghệ xây dựng, nhằm thay thế dần mật khẩu bằng phương pháp mạnh hơn.
Bên trong khóa chứa một cặp khóa mật mã. Khi bạn đăng ký khóa với một dịch vụ, khóa tạo ra một cặp riêng cho dịch vụ đó: phần công khai gửi cho dịch vụ lưu, phần bí mật nằm im trong chip và không bao giờ rời khỏi khóa. Khi đăng nhập, dịch vụ gửi một thử thách, khóa ký lên thử thách bằng phần bí mật, và dịch vụ kiểm tra chữ ký bằng phần công khai. Bạn thường chỉ cần chạm tay vào khóa để xác nhận có mặt.
Điều tôi thích ở thiết kế này: không có chuỗi ký tự nào để bạn lỡ tay gõ cho kẻ lạ. Không có gì để đọc to, để dán vào ô lạ, để chuyển tiếp.
Vì sao chống phishing tốt hơn OTP
Mã OTP gồm sáu số do ứng dụng hoặc tin nhắn tạo ra. Nó mạnh hơn mật khẩu đơn thuần, nhưng có một điểm yếu cốt lõi: nó là thứ bạn có thể nhập vào bất cứ đâu. Nếu kẻ gian dựng một trang giả giống hệt trang thật, bạn nhập mật khẩu và mã OTP vào đó, chúng lập tức lấy hai thứ ấy đưa sang trang thật để đăng nhập. Mã còn hiệu lực vài chục giây, đủ cho chúng làm việc đó.
Khóa FIDO2 chặn được kịch bản này nhờ một chi tiết then chốt: chữ ký của khóa gắn chặt với tên miền của dịch vụ đã đăng ký. Khi bạn bị dẫn tới một trang giả có tên miền khác, khóa nhìn thấy tên miền không khớp và từ chối ký. Không phải bạn phải tỉnh táo soát từng ký tự; chính chiếc khóa tự làm việc đó thay bạn. Đó là lý do giới an ninh xếp loại xác thực này vào nhóm chống lừa đảo giả mạo (phishing-resistant).
Ngoài ra, OTP qua tin nhắn còn có rủi ro riêng: bị chiếm số điện thoại, hoặc bị chuyển hướng số sang SIM khác. Khóa vật lý không phụ thuộc vào mạng viễn thông, nên loại bỏ cả nhóm rủi ro này.
Dĩ nhiên khóa cũng không phải thần dược. Nó không cứu bạn nếu chính bạn tự tay đưa thông tin qua điện thoại cho người lạ, hay cài phần mềm độc hại cho phép kẻ khác điều khiển máy. Nó là một lớp bảo vệ rất mạnh trong nhiều lớp, không phải lớp duy nhất.
Cách bắt đầu với dịch vụ của bạn
Trước hết, hãy kiểm tra xem dịch vụ bạn dùng có hỗ trợ đăng ký khóa bảo mật trong phần cài đặt an toàn của tài khoản hay không. Tính năng này tùy thuộc từng nền tảng, nên hãy xem mục bảo mật trong tài khoản Go88 của bạn để biết các phương thức xác thực hiện có. Nếu chưa có tùy chọn khóa vật lý, bạn vẫn nên bật phương án xác thực hai lớp mạnh nhất đang được cung cấp, và dùng khóa cho những tài khoản quan trọng khác như email chính.
Khi mua khóa, hãy chọn sản phẩm hỗ trợ chuẩn FIDO2, mua từ nơi bán chính hãng hoặc đại lý ủy quyền. Một chiếc khóa mua lại không rõ nguồn gốc có thể đã bị can thiệp. Chọn loại có cổng phù hợp với thiết bị bạn đang dùng: USB-A, USB-C, hoặc có NFC cho điện thoại.
Các bước đăng ký thường như sau. Đăng nhập tài khoản bằng cách bình thường. Vào phần cài đặt bảo mật, chọn thêm khóa bảo mật. Làm theo hướng dẫn: cắm khóa, chạm vào khi đèn nhấp nháy, đặt tên dễ nhớ cho khóa. Sau đó đăng xuất rồi thử đăng nhập lại để chắc rằng khóa hoạt động trước khi tắt các phương án cũ.
Đăng ký khóa dự phòng: một con dấu không bao giờ đủ
Đây là phần nhiều người bỏ sót. Nếu bạn chỉ có một chiếc ấn và nó bị mất, bạn khóa luôn cả cánh cửa của chính mình. Vì thế quy tắc vàng là: luôn đăng ký ít nhất hai khóa. Một khóa dùng hằng ngày, một khóa dự phòng cất ở nơi an toàn khác, ví dụ trong két sắt gia đình hoặc nơi người tin cậy giữ hộ.
Đừng để cả hai khóa cùng nằm trong một chiếc ví, một chùm chìa khóa. Khi mất đồ, mất cả hai thì dự phòng thành vô nghĩa. Hãy đăng ký cả hai khóa ngay trong cùng một buổi, khi bạn đang có đủ thời gian và đầu óc tỉnh táo, thay vì hẹn "sẽ làm sau".
Với những dịch vụ cho phép, hãy lưu thêm mã khôi phục do dịch vụ cấp. In ra giấy, cất ở nơi kín đáo, tuyệt đối không chụp ảnh lưu trong điện thoại hay gửi qua tin nhắn. Mã khôi phục cũng nguy hiểm như chính mật khẩu nếu rơi vào tay người khác.
Kịch bản mất khóa và khôi phục an toàn
Hãy luyện trước phương án xấu nhất, như diễn tập thoát hiểm. Giả sử bạn làm mất khóa chính. Bước một, bình tĩnh dùng khóa dự phòng để đăng nhập. Bước hai, vào cài đặt bảo mật, gỡ bỏ khóa đã mất khỏi danh sách để nó không còn giá trị. Bước ba, đăng ký khóa mới để khôi phục đủ hai chiếc. Bước bốn, đổi mật khẩu tài khoản cho chắc, đề phòng kẻ nhặt được khóa còn biết thêm mật khẩu.
Nếu mất cả hai khóa, hãy dùng mã khôi phục đã in. Nếu cũng không có, bạn sẽ phải đi theo quy trình khôi phục chính thức của dịch vụ, thường mất thời gian và đòi hỏi chứng minh danh tính. Hãy liên hệ qua kênh hỗ trợ mà bạn tự tìm từ nguồn đáng tin, và cẩn thận với những "nhân viên hỗ trợ" tự tìm đến bạn trước, vì kẻ lừa đảo rất thích lợi dụng lúc bạn hoảng.
Một thói quen nữa: định kỳ vài tháng, thử đăng nhập bằng khóa dự phòng để chắc nó vẫn hoạt động. Chiếc ấn nằm trong ngăn kéo ba năm mà chưa thử lần nào thì không ai dám chắc lúc cần.
Dòng cuối của bản thảo
Khóa bảo mật FIDO2 không làm đăng nhập phức tạp hơn bao nhiêu, chỉ thêm một cú chạm tay, nhưng nó đổi hẳn cuộc chơi trước những chiêu giả mạo. Hai chiếc khóa, một cất kỹ, một dùng hằng ngày, cộng với mã khôi phục in giấy là bộ ba nên có cho những tài khoản quan trọng, gồm cả tài khoản bạn dùng khi giải trí cùng Go88.
Xin gõ nhắc một dòng không thể thiếu: các hình thức giải trí có yếu tố may rủi chỉ dành cho người từ đủ 18 tuổi, và cần tuân thủ pháp luật nơi bạn sống. Hãy xem đây là giải trí, đặt giới hạn thời gian cùng ngân sách rõ ràng, và tự chịu trách nhiệm với mọi quyết định của mình. Bảo mật tốt giữ cho tài khoản an toàn, nhưng sự tỉnh táo của bạn mới là con dấu cuối cùng.
Tham khảo thông tin tại Go 88.