Bảo vệ tài khoản: mật khẩu, MFA, phiên và khôi phục

Hai khái niệm hay bị nhầm:

Một tài khoản đăng nhập thành công vẫn có thể bị từ chối hành động (xóa bài, sửa lệ phí). Đó là phân quyền hoạt động đúng. Bảo vệ đăng nhập làm người lạ khó dùng tài khoản; giới hạn quyền làm tài khoản bị chiếm cũng không làm được mọi thứ. Hai việc bổ sung nhau, không thay thế nhau.

Nguyên tắc quan trọng nhất: mỗi dịch vụ một mật khẩu riêng. Nếu diễn đàn và email dùng chung mật khẩu A, kẻ có dữ liệu lộ từ diễn đàn đã có thứ để thử ở email (Nhồi thông tin đăng nhập (Credential stuffing)). Nếu email dùng mật khẩu B độc lập thì biết A không cho biết B.

• Dài quan trọng hơn phức tạp: một cụm từ dài (passphrase) gồm nhiều từ ngẫu nhiên khó đoán hơn chuỗi ngắn đầy ký hiệu.
• Dùng trình quản lý mật khẩu (password manager) để tạo và lưu mật khẩu khác nhau, thay vì cố nhớ.
• Không đổi vài ký tự theo tên trang (ví dụ thêm "fb" hay "mail" vào cuối): quy luật này dễ đoán.
• Không gửi mật khẩu qua chat, không ghi vào tài liệu chung. Mật khẩu, mã khôi phục và khóa API đều là Thông tin bí mật (Secret).
• Kiểm tra email có nằm trong các vụ lộ dữ liệu đã biết bằng dịch vụ như Have I Been Pwned; nếu có, đổi mật khẩu ở mọi nơi đã dùng chung.

Mật khẩu một mình vẫn yếu vì có thể bị lộ, bị lừa lấy, hoặc bị đoán. Lớp tiếp theo giải quyết việc đó.

Xác thực đa yếu tố (MFA) yêu cầu nhiều yếu tố thuộc nhóm khác nhau. Mật khẩu cộng câu hỏi bí mật vẫn cùng nhóm "thứ bạn biết", nên cả hai có thể bị lộ cùng lúc. Mật khẩu cộng khóa bảo mật là hai nhóm độc lập.

Các cách làm MFA, từ yếu đến mạnh

Vì sao passkey chống được lừa đảo

Lừa đảo giả mạo (Phishing) là giả mạo trang đăng nhập để lấy mật khẩu và mã OTP. Passkey dùng cặp khóa mật mã: khóa riêng nằm trên thiết bị của bạn, và chỉ tạo bằng chứng xác thực cho đúng tên miền đã đăng ký. Trang giả có tên miền khác nên không nhận được bằng chứng dùng được. Bạn không có mật khẩu nào để bị lừa đưa ra.

Sau khi đăng nhập, bạn không nhập lại mật khẩu cho mỗi trang. Dịch vụ tạo một Phiên đăng nhập (Session) để nhận ra bạn ở các yêu cầu tiếp theo. Mô hình phổ biến:

1. Trình duyệt gửi mật khẩu và mã MFA hợp lệ.
2. Server tạo phiên, trả về cookie chứa [mã phiên].
3. Trình duyệt gửi cookie kèm các yêu cầu sau.
4. Server tra mã phiên để biết tài khoản nào,
   rồi kiểm tra quyền cho hành động đó.

Cookie trình duyệt (Cookie) là dữ liệu nhỏ trình duyệt lưu và gửi kèm yêu cầu. Mã phiên trong cookie (hoặc Thông tin đại diện quyền/phiên (Token)) là bằng chứng "đã đăng nhập". Ai có được mã phiên còn hiệu lực thì dùng được quyền của phiên đó mà không cần mật khẩu hay MFA. Đây là hướng tấn công đánh cắp phiên (session hijacking), thường do mã độc đánh cắp thông tin trên máy hoặc trang giả chuyển tiếp.

Cách phòng

• Đăng xuất khi dùng máy chung; đóng tab không đủ để kết thúc phiên.
• Định kỳ xem danh sách thiết bị và phiên đang đăng nhập; thu hồi cái lạ.
• Sau khi đổi mật khẩu, chọn tùy chọn đăng xuất mọi thiết bị nếu dịch vụ có, vì không dịch vụ nào đảm bảo tự thu hồi mọi phiên.
• Giữ hệ điều hành và trình duyệt được cập nhật, tránh cài phần mềm không rõ nguồn.

Đường Khôi phục tài khoản (Account recovery) cho phép lấy lại tài khoản khi mất cách đăng nhập thường dùng. Vì nó có thể đổi quyền truy cập, nó phải được bảo vệ ngang với đăng nhập, nếu không kẻ tấn công đi đường vòng.

Hai kiểu lỗi ngược nhau:

• Khôi phục quá yếu: tài khoản có MFA mạnh nhưng email khôi phục dùng mật khẩu yếu hoặc không còn thuộc quyền của bạn. Kẻ tấn công khôi phục tài khoản qua email đó.
• Khôi phục quá chặt hoặc không dùng được: mã khôi phục chỉ lưu trên chính điện thoại vừa mất, nên chính chủ không lấy lại được tài khoản.

Danh sách kiểm tra

• Email và số điện thoại khôi phục còn đúng và thuộc quyền của bạn.
• Mã khôi phục lưu ở nơi an toàn, tách khỏi thiết bị chính (ví dụ in ra cất kỹ hoặc lưu trong trình quản lý mật khẩu), không ghi vào ghi chú chung.
• Thêm phương thức đăng nhập mới và thử ở phiên khác trước khi gỡ phương thức cũ.
• Biết nơi xem và thu hồi phiên, và cách liên hệ hỗ trợ của dịch vụ.