Xác thực hai lớp bằng khóa bảo mật vật lý FIDO2 cho Hitclub
Chiếc máy chữ của tôi có một ổ khóa nhỏ ở nắp hộp. Nó không phức tạp, nhưng có một ưu điểm mà không mật khẩu nào có: muốn mở, phải có chiếc chìa khóa thật nằm trong tay. Khóa bảo mật vật lý, loại hỗ trợ chuẩn FIDO2 mà người ta hay gọi theo tên các sản phẩm như YubiKey, mang đúng tinh thần ấy vào thế giới tài khoản. Nếu bạn muốn bảo vệ tài khoản Hitclub ở mức cao, đây là một trong những lớp khóa mạnh nhất hiện có cho người dùng bình thường.
Ảnh: Samsung Memory / Unsplash
Khóa bảo mật vật lý là gì
Đó là một thiết bị nhỏ cỡ chiếc chìa khóa xe hay ngón tay cái, cắm vào cổng USB hoặc chạm vào điện thoại qua kết nối không dây gần. Bên trong nó cất giữ một thông tin bí mật không bao giờ rời khỏi thiết bị. Khi bạn đăng nhập, dịch vụ gửi một thử thách, thiết bị ký lên thử thách bằng bí mật ấy, thường sau khi bạn chạm tay vào nút của nó để xác nhận có người thật đang thao tác.
Chuẩn FIDO2 là bộ quy tắc chung để các trình duyệt, hệ điều hành và dịch vụ nói chuyện được với loại thiết bị này. Điểm cốt lõi là: không có mã nào để bạn gõ, không có bí mật nào đi qua lại trên đường truyền để bị nghe lén. Chỉ có một phép ký được thực hiện trong thiết bị. Một số khóa còn dùng được cả cho dạng đăng nhập không mật khẩu, nhưng với bài này, ta tập trung vào vai trò lớp xác thực thứ hai.
Vì sao chống phishing tốt hơn mã OTP
Mã OTP, tức dãy số dùng một lần gửi qua tin nhắn hoặc ứng dụng, đã là một bước tiến so với chỉ dùng mật khẩu. Nhưng nó có một điểm yếu then chốt: mã là thứ bạn đọc được và gõ được. Nếu kẻ lừa đảo dựng một trang đăng nhập giả trông giống hệt, bạn có thể nhập mật khẩu và mã OTP vào đó, và chúng chuyển ngay tiếp cho trang thật để đăng nhập thay bạn. Mã chỉ sống vài chục giây, nhưng thế là đủ.
Khóa FIDO2 giải quyết đúng điểm này nhờ một cơ chế gắn kết với tên miền. Khi đăng ký, khóa ghi nhớ nó thuộc về dịch vụ nào. Khi đăng nhập, khóa chỉ trả lời thử thách đến từ đúng dịch vụ ấy. Trang giả mạo, dù trông giống đến đâu, có tên miền khác, nên khóa đơn giản là không đáp lại. Không có mã nào để bạn lỡ tay nhập vào trang sai. Nói cách khác, bảo vệ không còn phụ thuộc vào việc bạn có tỉnh táo nhìn ra trang giả hay không, mà được thiết bị tự động thực thi. Với người dễ bị đánh lừa vì mệt mỏi hay vội vã, đó là một lợi thế rất lớn.
Chọn khóa và cách đăng ký
Khi mua, hãy chọn khóa từ nhà sản xuất uy tín, mua từ kênh phân phối chính hãng để tránh hàng bị can thiệp. Kiểm tra loại cổng cắm phù hợp với thiết bị bạn dùng: USB-A, USB-C, hoặc hỗ trợ chạm không dây cho điện thoại. Đảm bảo khóa hỗ trợ chuẩn FIDO2.
Việc đăng ký thường đi theo các bước tương tự. Bạn vào phần cài đặt bảo mật của tài khoản, tìm tùy chọn thêm khóa bảo mật hoặc phương thức xác thực bổ sung. Làm theo hướng dẫn: cắm khóa, chạm vào nút khi được nhắc, đặt tên gợi nhớ cho khóa, chẳng hạn "khóa chính". Hãy chỉ thao tác trong phần cài đặt mà bạn tự mở từ kênh chính thức của Hitclub, không đi qua đường dẫn ai đó gửi. Nếu tính năng khóa bảo mật chưa được hỗ trợ trực tiếp ở một nơi nào đó, hãy dùng phương thức xác thực mạnh nhất có sẵn và theo dõi thông báo cập nhật.
Khóa dự phòng: đừng chỉ có một chiếc
Đây là quy tắc mà người dùng khóa vật lý nào cũng phải thuộc: luôn đăng ký ít nhất hai khóa. Một khóa dùng hằng ngày, một khóa dự phòng. Vì khóa là vật thể, nó có thể thất lạc, hỏng, bị ướt, hay đơn giản là rơi đâu đó trong chuyến đi. Nếu chỉ có một và bạn mất nó, bạn có thể tự khóa mình khỏi chính tài khoản.
Hãy đăng ký khóa thứ hai ngay trong cùng phiên đăng ký đầu tiên, khi mọi thứ đang thuận lợi. Sau đó cất khóa dự phòng ở nơi an toàn và khác chỗ với khóa chính, ví dụ trong hộc tủ có khóa ở nhà, không mang theo người. Đừng để cả hai cùng một túi. Nếu dịch vụ cung cấp mã khôi phục dùng một lần, hãy in hoặc chép tay và cất riêng, không lưu dạng ảnh chụp trong điện thoại hay đám mây chung.
Kịch bản mất khóa và khôi phục an toàn
Giả sử một sáng bạn nhận ra khóa chính đã mất. Hãy làm theo thứ tự bình tĩnh sau. Trước hết, dùng khóa dự phòng để đăng nhập. Tiếp theo, vào phần bảo mật và gỡ khóa bị mất khỏi danh sách tin cậy, để ai nhặt được cũng không dùng được. Sau đó, đổi mật khẩu tài khoản, vì khóa chỉ là lớp thứ hai nên mật khẩu vẫn nên thay cho chắc. Cuối cùng, mua và đăng ký khóa mới để khôi phục lại cặp đôi chính và dự phòng.
Nếu mất cả hai, hãy dùng mã khôi phục đã cất. Nếu cũng không có, bạn phải đi theo quy trình xác minh danh tính của chính dịch vụ qua kênh hỗ trợ chính thức. Quy trình này thường chậm và nghiêm ngặt, đó là cố ý, và là lý do việc chuẩn bị trước đáng giá hơn việc xoay xở sau. Cảnh giác với bất kỳ ai tự xưng hỗ trợ chủ động liên hệ bạn để "giúp khôi phục", đó là chiêu quen thuộc của kẻ gian.
Những sai lầm thường gặp
Chỉ mua một khóa. Mua khóa từ nguồn không rõ ràng. Cất khóa chính và dự phòng chung một chỗ. Đăng ký khóa nhưng vẫn giữ mật khẩu yếu và dùng lại ở nhiều nơi. Dán ghi chú mã khôi phục lên màn hình hoặc lưu trong hộp thư không được bảo vệ. Quên gỡ khóa cũ khi đã mất. Và nghĩ rằng có khóa rồi thì có thể xem nhẹ email gốc, trong khi hộp thư là cửa phụ nếu ai chiếm được nó.
Gài nốt lớp khóa cuối
Một chiếc khóa kim loại nhỏ không làm bạn bất khả xâm phạm, nhưng nó nâng độ khó cho kẻ tấn công lên một bậc lớn, đặc biệt trước các kiểu lừa đảo giả mạo trang đăng nhập. Hãy coi nó như ổ khóa thật gắn trên chiếc hộp máy chữ, còn mật khẩu mạnh và email an toàn là những lớp bên cạnh.
Lưu ý: dịch vụ giải trí trực tuyến chỉ dành cho người từ đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, dùng Hitclub như một hình thức giải trí trong giới hạn thời gian và ngân sách bạn tự đặt, và tự chịu trách nhiệm với các lựa chọn của mình.
Tham khảo thông tin tại Hit club.