Xác thực hai yếu tố thực sự làm gì
Nếu chỉ có mật khẩu, tài khoản của bạn chỉ có đúng một lớp bảo vệ. Mật khẩu có thể bị đoán ra, bị lộ vì bạn dùng lại nó trên một trang web sau này bị rò rỉ dữ liệu, hoặc bị gõ nhầm vào một trang đăng nhập giả trông y như thật. Khi đó, ai nắm được nó cũng có thể đăng nhập dưới danh nghĩa của bạn. Xác thực hai yếu tố, thường gọi tắt là 2FA, thêm một lớp kiểm tra thứ hai không liên quan đến thứ bạn biết: đó là thứ bạn có, như điện thoại hay khóa vật lý, hoặc chính bạn, như vân tay.
Nhờ vậy, chỉ lấy được mật khẩu thôi là chưa đủ. Kẻ gian có mật khẩu của bạn vẫn cần mã từ ứng dụng xác thực, một lần chạm vào khóa bảo mật hoặc lượt phê duyệt trên thiết bị tin cậy của bạn. Phần lớn các vụ tấn công nhắm vào tài khoản thông thường đều chạy tự động và kiểu “thả lưới”, nên bước kiểm tra thêm này đưa bạn ra khỏi nhóm mục tiêu dễ bị tấn công và khiến nguy cơ bị chiếm tài khoản giảm đi rất nhiều.
2FA không thay thế cho một mật khẩu tốt. Nó hiệu quả nhất khi đi kèm một mật khẩu dài, không trùng với nơi nào khác và được lưu trong trình quản lý mật khẩu. Hai lớp này bù đắp điểm yếu cho nhau: mật khẩu riêng biệt hạn chế thiệt hại khi dịch vụ khác bị rò rỉ, còn yếu tố thứ hai bảo vệ bạn nếu mật khẩu vẫn bị lộ.
Các loại yếu tố thứ hai phổ biến
Ứng dụng xác thực tạo ra một mã ngắn mới, thường gồm sáu chữ số và thường đổi sau mỗi 30 giây, dựa trên một khóa bí mật mà dịch vụ chia sẻ với ứng dụng khi bạn quét mã QR. Loại này chạy được khi không có mạng, thường miễn phí và được hầu hết các nền tảng lớn hỗ trợ, nên là lựa chọn mặc định hợp lý cho đa số người dùng.
Khóa bảo mật phần cứng là những thiết bị nhỏ kết nối qua USB, NFC hoặc Bluetooth mà bạn cắm vào hoặc chạm khi đăng nhập. Khóa truy cập (passkey) hoạt động theo nguyên lý tương tự nhưng nằm ngay trên điện thoại hoặc máy tính và được mở bằng vân tay, khuôn mặt hoặc mã PIN của thiết bị. Cả hai đều gắn với đúng địa chỉ trang web thật, nên sẽ không phản hồi một trang lừa đảo có tên miền na ná. Đây là những lựa chọn mạnh nhất mà người dùng phổ thông có thể sử dụng.
Thông báo đẩy yêu cầu bạn xác nhận lượt đăng nhập trên một thiết bị đã đăng nhập sẵn. Mã qua SMS hoặc cuộc gọi gửi mã dùng một lần đến số điện thoại của bạn. Mã dự phòng là danh sách các mã chỉ dùng được một lần, dành cho lúc khẩn cấp khi phương thức quen thuộc không dùng được. Hầu hết dịch vụ cho phép bật nhiều phương thức, và bạn nên làm vậy: một phương thức chính cộng với ít nhất một phương án dự phòng.
Vì sao mã SMS là lựa chọn yếu nhất
Mã qua tin nhắn vẫn tốt hơn nhiều so với không có yếu tố thứ hai, nhưng nó phụ thuộc vào số điện thoại, mà số điện thoại thì không hoàn toàn nằm trong tay bạn. Trong chiêu chiếm đoạt SIM (SIM swap), kẻ gian thuyết phục hoặc mua chuộc nhân viên nhà mạng để chuyển số của bạn sang một thẻ SIM do chúng giữ. Từ lúc đó, mọi mã gửi cho bạn đều về máy của chúng.
Mã SMS cũng có thể bị lừa lấy y như mật khẩu: một trang đăng nhập giả hỏi mã, và kẻ tấn công chuyển ngay mã đó sang trang thật chỉ trong vài giây. Bạn cũng có thể mất quyền truy cập vì những lý do rất đời thường, chẳng hạn đi nước ngoài mà không bật chuyển vùng, đổi nhà mạng, hoặc để thuê bao trả trước bị thu hồi rồi số đó được cấp lại cho người khác.
Nếu dịch vụ hỗ trợ ứng dụng xác thực, khóa bảo mật hoặc khóa truy cập, hãy chuyển sang một trong số đó và chỉ giữ SMS làm phương án dự phòng, hoặc gỡ hẳn nếu dịch vụ cho phép. Khi SMS là lựa chọn duy nhất, hãy bảo vệ chính số điện thoại: nhiều nhà mạng cho phép đặt mã PIN cho thuê bao hoặc khóa chuyển số, khiến việc chuyển số trái phép khó hơn.
Cách thiết lập 2FA cho đúng
Hãy bắt đầu từ những tài khoản có thể mở khóa mọi thứ khác. Email chính đứng đầu danh sách vì nó nhận các liên kết đặt lại mật khẩu, tiếp theo là tài khoản Apple, Google hoặc Microsoft, trình quản lý mật khẩu và mọi tài khoản dính đến tiền bạc hay dữ liệu quan trọng. Xong nhóm này, hãy lần lượt xử lý mạng xã hội như Facebook, các ứng dụng nhắn tin như Telegram, Discord và phần còn lại.
Tùy chọn này thường nằm trong phần cài đặt bảo mật của tài khoản, với tên gọi như xác minh hai bước, xác thực hai yếu tố hoặc xác minh đăng nhập. Hãy chọn ứng dụng xác thực hoặc khóa bảo mật, quét mã QR bằng ứng dụng và nhập mã hiển thị để xác nhận mọi thứ hoạt động. Nếu dịch vụ hỗ trợ khóa truy cập, việc thêm một khóa trên điện thoại và máy tính sẽ cho bạn cách đăng nhập vừa tiện vừa chống được lừa đảo.
Trước khi đóng trang cài đặt, hãy lưu mã dự phòng, thêm phương thức thứ hai nếu có thể và kiểm tra xem email cùng số điện thoại khôi phục có còn đúng và thuộc về bạn không. Sau đó đăng xuất rồi đăng nhập lại một lần để biết bước xác thực trông ra sao trước khi thật sự phải dựa vào nó.
Mã dự phòng: phần nhiều người bỏ qua
Mã dự phòng là đường quay lại tài khoản khi điện thoại bị mất, hỏng hoặc bị cài đặt lại. Mỗi mã chỉ dùng được một lần, và trên nhiều dịch vụ, tạo bộ mã mới sẽ vô hiệu hóa bộ cũ. Hãy coi chúng như chìa khóa nhà dự phòng: rất cần khi gặp sự cố, vô dụng nếu bạn không tìm thấy và nguy hiểm nếu lọt vào tay người lạ.
Nơi cất giữ tốt là một bản in để chung với giấy tờ quan trọng, hoặc một ghi chú được mã hóa trong trình quản lý mật khẩu mà bạn mở được mà không cần chiếc điện thoại chứa ứng dụng xác thực. Nơi cất giữ kém là hộp thư email, ứng dụng ghi chú không khóa, ảnh chụp màn hình trong thư viện ảnh hoặc một tệp trên chính thiết bị tạo mã, vì chỉ cần mất thiết bị đó là bạn bị khóa ngoài hoàn toàn.
Hãy gạch bỏ từng mã sau khi dùng và tạo bộ mới khi sắp hết. Nếu nghi ngờ ai đó đã nhìn thấy mã của bạn, hãy tạo lại ngay để danh sách cũ mất hiệu lực.
Bảo mật tài khoản bạn vừa nhận
Nếu bạn nhận một tài khoản từ người khác, dù là đồng nghiệp bàn giao tài khoản dự án hay món hàng mua trên một sàn giao dịch hàng hóa số, hãy mặc định rằng người giữ trước đó có thể vẫn còn quyền truy cập. Mục tiêu là biến bạn thành người duy nhất đăng nhập được. Luôn sử dụng tài khoản đúng theo điều khoản sử dụng của thương hiệu.
Hãy làm theo thứ tự: đổi sang một mật khẩu mới không trùng lặp, cập nhật email và số điện thoại khôi phục thành những thứ bạn kiểm soát, gỡ mọi ứng dụng xác thực, khóa bảo mật hoặc thiết bị tin cậy không phải do bạn thêm, rồi bật 2FA bằng ứng dụng của chính bạn và tạo bộ mã dự phòng mới. Cuối cùng, xem lại các phiên đang hoạt động và đăng xuất mọi thiết bị trừ thiết bị của bạn.
Trên rStock, nội dung được giao hiển thị trên trang đơn hàng của bạn dưới dạng bản ghi giao hàng gắn với đơn, nên bạn có thể sao chép thông tin từ đó thẳng vào trình quản lý mật khẩu. Tiền của bạn được tạm giữ chứ không chuyển ngay cho cửa hàng, và nếu tài khoản được giao không hoạt động như mô tả, bạn có thể mở khiếu nại trong một khoảng thời gian giới hạn sau khi giao hàng. Cửa hàng phản hồi trước, và nếu hai bên không thống nhất được thì có thể gọi người kiểm duyệt vào cuộc. Tự tay bảo mật và kiểm tra tài khoản sớm giúp bạn phát hiện vấn đề khi vẫn còn trong thời hạn đó.
Những sai lầm thường gặp
Bấm chấp thuận một thông báo đẩy mà bạn không hề tạo ra là một trong những lý do phổ biến nhất khiến 2FA thất bại. Nếu yêu cầu xác nhận hiện lên khi bạn không đăng nhập, hãy từ chối và đổi mật khẩu, vì ai đó đã có nó. Điều này cũng áp dụng với bất kỳ ai gọi điện hay nhắn tin nhờ bạn đọc mã, kể cả khi họ tự xưng là nhân viên ngân hàng hay nhà mạng: dịch vụ chính danh không bao giờ cần bạn chia sẻ mã dùng một lần với ai.
Một sai lầm khác là bật 2FA nhưng vẫn để ngỏ một đường khôi phục cũ và yếu, như địa chỉ email đã bỏ hoặc số điện thoại không còn dùng. Kẻ tấn công sẽ đi vòng qua cánh cửa chắc nhất nếu còn một cánh cửa yếu hơn chưa khóa, vì vậy hãy xem lại các tùy chọn khôi phục mỗi khi đổi điện thoại hoặc đổi nhà cung cấp email.
Cuối cùng, đừng đợi đến lúc cầm điện thoại mới trên tay mới tính chuyện chuyển mã. Trước khi thay hoặc cài đặt lại thiết bị, hãy chuyển các mã xác thực, kiểm tra chúng chạy tốt trên máy mới rồi mới xóa máy cũ. Vài phút chuẩn bị có thể giúp bạn tránh hàng giờ khôi phục tài khoản.