Xác thực hai lớp bằng khóa bảo mật vật lý FIDO2 cho Tipclub
Văn phòng cổ có một thói quen: văn bản quan trọng phải đóng con dấu đồng, và con dấu ấy luôn cất trong ngăn kéo có khóa. Chữ ký thì ai cũng có thể bắt chước, nhưng con dấu thật chỉ nằm ở một nơi. Khóa bảo mật vật lý chuẩn FIDO2 hoạt động theo đúng tinh thần đó. Nếu bạn muốn nâng cấp lớp bảo vệ cho tài khoản Tipclub vượt trên mật khẩu và mã OTP, đây là chiếc con dấu đáng cân nhắc.
Ảnh: Frank R / Unsplash
Khóa bảo mật vật lý là gì
Đó là một thiết bị nhỏ, thường cỡ chiếc USB hoặc chiếc móc khóa, cắm vào cổng máy tính hoặc chạm vào điện thoại qua NFC. Các dòng phổ biến như YubiKey đều tuân theo chuẩn FIDO2, do một liên minh công nghiệp xây dựng. Bên trong khóa có một mạch chứa khóa mật mã riêng, được tạo ra ngay trong thiết bị và không bao giờ rời khỏi nó.
Khi bạn đăng nhập, dịch vụ gửi một thử thách mật mã. Khóa ký vào thử thách đó bằng khóa riêng của nó, thường sau khi bạn chạm tay vào nút cảm ứng hoặc nhập mã PIN. Dịch vụ kiểm tra chữ ký bằng khóa công khai đã đăng ký trước. Bạn không gõ mã nào, không đọc số nào, và không có gì để lộ cho người khác.
Vì sao chống phishing tốt hơn OTP
Mã OTP gửi qua tin nhắn hoặc ứng dụng chỉ là sáu con số. Kẻ lừa đảo dựng trang giả, bảo bạn nhập mật khẩu, rồi bảo tiếp "nhập mã vừa gửi". Chúng lấy ngay mã đó dùng trên trang thật trong vài chục giây. OTP không biết mình đang được nhập vào trang nào, nên bị đánh lừa dễ dàng.
Khóa FIDO2 giải quyết đúng điểm yếu này. Khi đăng ký, khóa gắn khóa công khai với tên miền của dịch vụ thật. Lúc đăng nhập, trình duyệt gửi kèm tên miền hiện tại vào thử thách. Nếu bạn đang ở một trang giả, tên miền không khớp, và khóa đơn giản là không đáp ứng. Bạn có bị đánh lừa đến đâu, trang giả cũng không nhận được thứ có giá trị.
Ngoài ra, không có thứ gì để đọc hộ qua điện thoại. Người tự xưng "hỗ trợ viên" không thể yêu cầu bạn đọc nội dung từ khóa, vì chẳng có gì để đọc. Cả nhóm lừa đảo qua tin nhắn, cuộc gọi lẫn trang giả gần như mất công cụ chính.
Chọn mua và chuẩn bị
Một vài điều cần cân nhắc trước khi mua:
- Hỗ trợ chuẩn: ghi rõ FIDO2 hoặc WebAuthn.
- Cổng kết nối: USB-A, USB-C, hay NFC cho điện thoại. Hãy chọn đúng loại phù hợp với thiết bị bạn dùng nhiều nhất.
- Nguồn mua: mua từ nhà phân phối chính hãng, nhà bán uy tín, không mua đồ cũ hoặc hàng quá rẻ không rõ nguồn gốc.
- Số lượng: mua ít nhất hai chiếc, vì lý do bạn sẽ thấy ở phần dưới.
Trước khi đăng ký, kiểm tra xem dịch vụ bạn muốn bảo vệ có hỗ trợ khóa bảo mật ở phần cài đặt bảo mật không. Với Tipclub, hãy xem mục bảo mật tài khoản hiện có những phương thức nào, và dựa trên thông tin chính thức của nền tảng. Nếu nền tảng chưa hỗ trợ trực tiếp khóa vật lý, bạn vẫn có thể bảo vệ hộp thư email khôi phục bằng khóa, và đó đã là bước tiến rất lớn, vì email là cửa dự phòng của nhiều tài khoản.
Đăng ký khóa chính và khóa dự phòng
Quy trình thường gồm vài bước:
- Đăng nhập tài khoản trên thiết bị tin cậy, vào mục bảo mật.
- Chọn thêm phương thức xác thực bằng khóa bảo mật.
- Cắm khóa hoặc chạm vào, làm theo hướng dẫn, đặt PIN nếu được hỏi.
- Đặt tên dễ nhớ cho khóa, ví dụ "khóa chính, ví" và "khóa dự phòng, két sắt".
- Lặp lại với khóa thứ hai. Không bỏ bước này.
Khóa dự phòng là chiếc ô để dành. Ngay khi đăng ký, hãy đăng ký cả hai khóa vào mọi tài khoản. Cất khóa dự phòng ở nơi an toàn khác với nơi bạn thường để khóa chính, tránh cùng chung một rủi ro như cháy, mất cắp hay thất lạc cả túi.
Kịch bản mất khóa và khôi phục an toàn
Mất khóa không phải là thảm họa nếu bạn đã chuẩn bị. Lập sẵn kế hoạch từ bây giờ:
Nếu mất khóa chính: dùng khóa dự phòng đăng nhập ngay, vào phần bảo mật gỡ khóa đã mất ra khỏi danh sách, đăng ký một khóa mới thay thế. Đổi mật khẩu, kiểm tra danh sách phiên đang hoạt động.
Nếu mất cả hai: dựa vào các phương thức khôi phục đã thiết lập trước, như mã khôi phục in ra giấy, email khôi phục có bảo vệ riêng, hoặc quy trình xác minh danh tính của dịch vụ. Điều này tốn thời gian hơn, nên mã khôi phục cần được cất kỹ ngay khi tạo, tách khỏi khóa.
Nếu nghi khóa bị người khác lấy: bản thân khóa thường còn cần PIN hoặc thao tác chạm của bạn mới dùng được, nhưng vẫn nên gỡ nó ngay khỏi tài khoản và thay mật khẩu.
Một sai lầm hay gặp là đăng ký khóa, tắt mọi phương thức khác rồi mới nhớ ra không còn đường lùi. Hãy giữ ít nhất một phương thức khôi phục chắc chắn, và nhớ rằng phương thức khôi phục yếu nhất chính là mắt xích mà kẻ tấn công sẽ nhắm tới.
Những thói quen đi kèm
Khóa vật lý không thay thế hoàn toàn các thói quen cơ bản:
- Vẫn dùng mật khẩu duy nhất cho mỗi dịch vụ.
- Vẫn tự nhập địa chỉ đã lưu, không đi theo liên kết trong tin nhắn.
- Vẫn xem định kỳ danh sách thiết bị đăng nhập.
- Không cho ai mượn khóa, và không để khóa cắm sẵn trên máy chung.
Khóa là con dấu thật, nhưng bạn vẫn là người giữ chìa của ngăn kéo. Nội dung về Tipclub dành cho người từ đủ 18 tuổi, mang tính tham khảo. Mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn thời gian và ngân sách giải trí hợp lý, và tự chịu trách nhiệm với quyết định của mình.
Tham khảo thông tin tại https://tip.club/.