Xác thực hai lớp bằng khóa bảo mật vật lý FIDO2 cho Sunwin
Nhiều tiệm đánh máy xưa cất bản thảo quan trọng trong tủ sắt, và chiếc chìa tủ không ai sao chép được nếu không cầm vật thật trên tay. Thế giới tài khoản số cũng có một thứ tương tự: khóa bảo mật vật lý, thường gọi là YubiKey hoặc khóa theo chuẩn FIDO2. Với người dùng Sunwin muốn lớp bảo vệ mạnh nhất cho tài khoản, hiểu và dùng được chiếc chìa này là một bước đáng làm.
Ảnh: Julio Lopez / Unsplash
Khóa bảo mật vật lý là gì
Khóa bảo mật vật lý là một thiết bị nhỏ, cỡ chiếc chìa khoá hoặc cái USB, cắm vào máy qua cổng USB, hoặc chạm vào điện thoại qua NFC, hoặc kết nối bằng Bluetooth. Bên trong có một con chip lưu trữ khóa mật mã mà không thể trích xuất ra ngoài. Khi bạn đăng nhập, dịch vụ gửi một "thử thách", khóa ký lên thử thách đó bằng khóa bí mật của nó, và bạn thường chỉ cần chạm vào nút hoặc vùng cảm ứng để xác nhận có người thật đang ở đó.
FIDO2 là bộ chuẩn mở cho kiểu xác thực này, trong đó có WebAuthn ở phía trình duyệt. Điểm hay là mọi thứ diễn ra bằng mật mã khoá công khai: dịch vụ chỉ giữ khóa công khai, còn khóa bí mật không bao giờ rời khỏi thiết bị của bạn. Nghĩa là dù máy chủ có bị tấn công, kẻ xấu cũng không thể lấy được thứ để mạo danh bạn.
Cần lưu ý: khả năng hỗ trợ khóa bảo mật phụ thuộc vào từng dịch vụ. Bạn nên xem trong phần cài đặt bảo mật tài khoản của Sunwin hoặc tài liệu hướng dẫn chính thức xem tùy chọn này có sẵn không, và chỉ dùng thiết bị mua từ nguồn đáng tin.
Vì sao khóa vật lý chống phishing tốt hơn mã OTP
Mã OTP gồm sáu chữ số gửi qua tin nhắn hoặc sinh từ ứng dụng là lớp bảo vệ tốt hơn không có gì, nhưng nó có một điểm yếu: bạn có thể bị lừa tự tay gõ mã ấy vào một trang giả. Kẻ lừa đảo dựng trang trông y hệt trang đăng nhập, bạn nhập mật khẩu, trang giả chuyển tiếp lên trang thật để lấy yêu cầu mã, bạn nhập mã, và chúng lập tức dùng mã ấy. Mã OTP không "biết" nó đang được nhập ở đâu.
Khóa FIDO2 giải quyết đúng chỗ đó. Khi đăng ký, khóa gắn thông tin với tên miền thật của dịch vụ. Lúc đăng nhập, khóa chỉ trả lời cho đúng tên miền đã đăng ký. Nếu bạn lỡ vào trang giả có tên miền khác, khóa đơn giản không phản hồi hợp lệ, dù trang giả trông giống đến đâu. Nói cách khác, khóa kiểm tra "cánh cửa" thay cho đôi mắt dễ bị đánh lừa của bạn.
Ngoài ra, khóa còn tránh được các nguy cơ liên quan tin nhắn như hoán đổi SIM, chặn tin nhắn, hay người lạ dụ bạn đọc mã qua điện thoại. Chẳng có mã nào để đọc, nên chẳng có gì để bị dụ.
Cách đăng ký khóa và nhất định phải có khóa dự phòng
Quy trình chung thường như sau. Bước một, mua ít nhất hai chiếc khóa từ nhà sản xuất uy tín, ưu tiên loại hợp với cổng kết nối của thiết bị bạn hay dùng. Bước hai, đăng nhập tài khoản và vào phần cài đặt bảo mật, tìm mục thêm khóa bảo mật hoặc xác thực hai lớp. Bước ba, làm theo hướng dẫn: cắm khóa, chạm vào khóa khi được yêu cầu, đặt tên gợi nhớ như "khóa chính" rồi lưu. Bước bốn, lặp lại đúng quy trình đó với chiếc khóa thứ hai.
Vì sao phải có khóa dự phòng? Giống chiếc chìa tủ sắt duy nhất, mất đi là gặp rắc rối lớn. Khóa dự phòng nên:
- Được đăng ký ngay lúc thiết lập, không để "lúc nào rảnh làm sau".
- Cất ở nơi khác với khóa chính, ví dụ khóa chính mang theo người, khóa phụ trong két hoặc ngăn kéo ở nhà.
- Được kiểm tra thỉnh thoảng bằng cách thử đăng nhập, để chắc nó vẫn hoạt động.
Đồng thời hãy giữ lại phương án phụ mà dịch vụ cung cấp, ví dụ mã khôi phục dùng một lần. In mã đó ra giấy và cất cùng chỗ với khóa dự phòng, tuyệt đối không chụp ảnh lưu lên mạng hay gửi vào hộp thư.
Kịch bản mất khóa và khôi phục an toàn
Hãy tập tình huống xấu trước khi nó xảy ra. Giả sử bạn đánh rơi khóa chính. Các bước nên làm:
- Bình tĩnh, đừng hoảng. Khóa vật lý đơn độc không đủ để vào tài khoản, vì kẻ nhặt được vẫn thường cần mật khẩu của bạn.
- Đăng nhập bằng khóa dự phòng trên thiết bị tin cậy.
- Gỡ khóa đã mất khỏi danh sách khóa được phép trong phần cài đặt bảo mật, để nó vô hiệu với tài khoản.
- Đổi mật khẩu nếu có nghi ngờ mật khẩu bị lộ cùng lúc.
- Đăng ký khóa thay thế mới để quay lại trạng thái có hai khóa.
Nếu mất cả hai khóa, hãy dùng mã khôi phục đã cất, hoặc liên hệ kênh hỗ trợ chính thức của dịch vụ để làm theo quy trình xác minh danh tính. Hãy chủ động tìm kênh hỗ trợ qua đường bạn tự xác minh, không tin các tin nhắn tự xưng "hỗ trợ" tự tìm đến bạn, vì kẻ lừa đảo thường nhắm đúng thời điểm bạn đang lo lắng.
Những sai lầm thường gặp
- Chỉ mua một khóa rồi coi như xong, đến khi mất mới biết mắc kẹt.
- Gắn chung khóa chính và khóa phụ vào cùng một chùm chìa, mất là mất cả hai.
- Quên cập nhật phương án khôi phục sau khi đổi số điện thoại hoặc email.
- Mua khóa từ nguồn không rõ ràng, có thể là hàng giả hoặc đã bị can thiệp.
- Tắt hết phương thức yếu hơn nhưng chưa chuẩn bị đường lui, dẫn tới tự khoá mình ngoài cửa.
Khóa bảo mật không phải phép màu, nhưng nó rất đáng tin trong phạm vi nó làm. Kết hợp mật khẩu mạnh, duy nhất cho từng dịch vụ, cộng khóa vật lý, bạn đã dựng một chiếc tủ sắt đúng nghĩa cho tài khoản của mình.
Lưu ý 18+ và chơi có trách nhiệm
Nội dung giải trí liên quan đến Sunwin chỉ dành cho người đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật nơi bạn cư trú, xem đây là hoạt động giải trí, đặt giới hạn thời gian và ngân sách phù hợp, và tự chịu trách nhiệm với lựa chọn của mình. Bảo mật tài khoản là một phần của chơi có trách nhiệm, nhưng không thay thế việc giữ cân bằng cuộc sống. Nếu cảm thấy mất kiểm soát, hãy dừng lại và tìm sự hỗ trợ phù hợp.
Tham khảo thông tin tại customplays.in.net.