Xác thực hai yếu tố: lớp bảo vệ hiệu quả ngay cả khi có người đánh cắp mật khẩu của Quý khách

Xác thực hai yếu tố là một bước bổ sung ngoài mật khẩu – thường là mã từ ứng dụng hoặc tin nhắn SMS. Nhờ đó, không ai có thể vào tài khoản của Quý khách, kể cả khi họ biết mật khẩu. Đây là một trong những biện pháp bảo vệ hiệu quả nhất và đồng thời đơn giản nhất mà Quý khách có thể thiết lập, và việc bật nó chỉ mất vài phút. Trong bài viết này, chúng tôi sẽ hướng dẫn Quý khách cách làm mà không phải lo lắng – kể cả cách xử lý khi mất điện thoại.

Vì sao chỉ riêng mật khẩu là chưa đủ

Ngay cả mật khẩu tốt nhất cũng có một điểm yếu: chỉ cần nó rơi vào tay kẻ xấu là hết tác dụng. Và điều này có thể xảy ra theo hai cách không phải lỗi của Quý khách. Hoặc Quý khách vô tình nhập nó vào một trang web lừa đảo trông giống trang thật, hoặc nó bị rò rỉ từ một dịch vụ bị xâm nhập mà Quý khách đã dùng mật khẩu đó.

Mật khẩu mạnh và duy nhất vẫn là nền tảng – chúng tôi giải thích cách tạo mật khẩu như vậy trong bài viết về mật khẩu an toàn. Nhưng ngay cả mật khẩu hoàn hảo cũng chỉ giải quyết được một nửa vấn đề. Nửa còn lại do xác thực hai yếu tố đảm nhiệm. Nó không thay thế mật khẩu tốt – nó là lớp bảo vệ thứ hai, phát huy tác dụng đúng lúc lớp đầu tiên thất bại.

Ý tưởng rất đơn giản: mật khẩu là thứ Quý khách biết, còn bước thứ hai là thứ Quý khách có – điện thoại hoặc khóa bảo mật. Kẻ tấn công ở bên kia nửa vòng trái đất có thể biết mật khẩu của Quý khách, nhưng không có chiếc điện thoại trong túi Quý khách. Và không có nó, họ không thể đăng nhập.

Điều gì xảy ra nếu mật khẩu thực sự bị lộ

Hãy hình dung trường hợp xấu nhất: mật khẩu của Quý khách đã bị lộ. Nếu không có bước thứ hai, kẻ tấn công đã thắng – họ đăng nhập và vào được bên trong. Nhưng với xác thực hai yếu tố, họ sẽ vấp phải bức tường ngay ở bước đầu tiên sau khi nhập mật khẩu:

Đây chính là điều xảy ra trong thực tế. Nếu Quý khách bỗng nhận được mã xác minh dù không tự đăng nhập, thường đó là dấu hiệu có người đang thử mật khẩu của Quý khách – và bước thứ hai đã chặn họ lại. Đừng nhập mã đó vào bất cứ đâu, và hãy đổi mật khẩu càng sớm càng tốt.

Ba cách thực hiện bước thứ hai

Bước thứ hai có thể thực hiện theo ba cách. Chúng khác nhau về mức độ an toàn và tiện lợi – nhưng cả ba đều tốt hơn đáng kể so với không dùng gì. Đừng nản chí chỉ vì một trong số đó không “hoàn hảo”.

Mã SMS

Phương pháp phổ biến nhất: sau khi nhập mật khẩu, Quý khách nhận được tin nhắn SMS chứa mã để nhập vào. Đây là cách dễ hiểu nhất, nhưng cũng yếu nhất – trong trường hợp hiếm hoi có thể bị vượt qua nếu ai đó khiến nhà mạng chuyển số của Quý khách sang thẻ SIM khác (gọi là SIM swapping). Dù vậy, SMS vẫn có giá trị: ai không bật gì vì cho rằng “SMS yếu” thì còn tệ hơn người ít nhất có SMS.

Ứng dụng xác thực trên điện thoại

Một ứng dụng trên điện thoại tạo ra mã ngắn thay đổi sau mỗi vài giây. Mã không được gửi đi đâu cả – nó được tạo ngay trên thiết bị, nên không thể bị chặn bắt giữa đường, và vẫn hoạt động khi không có sóng. Nó mang lại sự cân bằng hợp lý giữa an toàn và tiện lợi, vì vậy chúng tôi khuyên dùng làm lựa chọn mặc định. Có nhiều ứng dụng xác thực và chúng hoạt động với nhiều dịch vụ – nên Quý khách có thể dùng một ứng dụng cho e-mail, ngân hàng và mạng xã hội cùng lúc.

Khóa bảo mật hoặc đăng nhập bằng vân tay, khuôn mặt

Lựa chọn an toàn nhất. Khóa bảo mật là một thiết bị nhỏ cắm vào máy tính hoặc áp vào điện thoại; đăng nhập bằng vân tay hoặc khuôn mặt hoạt động theo cách tương tự. Phương pháp này hầu như không thể bị lạm dụng từ xa. Nó phù hợp với ai muốn mức bảo vệ tối đa – thường là cho e-mail và ngân hàng.

Nên bật ở đâu trước tiên

Quý khách không cần bật ở mọi nơi cùng một lúc. Hãy đi theo mức độ quan trọng, không theo thứ tự bảng chữ cái – và bắt đầu từ e-mail. Vì sao lại là e-mail? Vì mật khẩu của mọi thứ khác đều được đặt lại qua e-mail. Ai chiếm được e-mail của Quý khách thì dần dần có thể vào mọi thứ còn lại.

Sau e-mail là đến lượt ngân hàng và thanh toán, rồi mạng xã hội (nơi danh tính của Quý khách bị đe dọa) và cuối cùng là cửa hàng trực tuyến có lưu thẻ. Chỉ trong vài buổi tối, Quý khách sẽ hoàn tất những việc cốt yếu. Không cần vội – điều quan trọng là bắt đầu từ e-mail và ngân hàng; phần còn lại có thể bổ sung dần, khi nào dịch vụ nào tiện tay.

Cách bật xác thực hai yếu tố

Quy trình cụ thể hơi khác nhau ở từng dịch vụ và menu thỉnh thoảng thay đổi, nên chúng tôi sẽ không đưa ra hướng dẫn từng cú nhấp chuột mà một năm sau sẽ lỗi thời. Tuy nhiên nhìn chung ở đâu cũng hoạt động giống nhau – và Quý khách chỉ cần biết tìm gì:

• Trong tài khoản của mình, hãy tìm mục Bảo mật, Đăng nhập hoặc Quyền riêng tư.
• Tìm mục như xác thực hai yếu tố, xác minh hai bước hoặc đơn giản là two-factor / 2FA.
• Chọn phương pháp (ứng dụng hoặc SMS) và làm theo hướng dẫn – với ứng dụng, thường Quý khách quét một mã QR hình vuông.
• Cuối cùng, hãy lưu mã dự phòng mà dịch vụ cung cấp. Đừng bỏ qua bước này.

Nếu chưa chắc chắn với một dịch vụ cụ thể, hãy tìm trong trang trợ giúp của dịch vụ đó cụm từ “xác thực hai yếu tố” – hướng dẫn chính thức luôn đáng tin cậy nhất.

Nếu tôi mất điện thoại thì sao

Đây là lý do phổ biến nhất khiến người ta không bật xác thực hai yếu tố – họ sợ bị khóa khỏi tài khoản của chính mình. Quý khách sẽ không bị như vậy nếu chuẩn bị sẵn phương án dự phòng. Quý khách có ba cách để vào lại:

Những phản đối thường gặp nhất (và vì sao chúng không đứng vững)

“Nó làm tôi chậm lại.”

Thực tế hầu như không. Các dịch vụ ghi nhớ thiết bị Quý khách tin cậy và chủ yếu chỉ hỏi bước thứ hai khi Quý khách đăng nhập từ nơi mới. Vài giây thỉnh thoảng đổi lấy sự yên tâm là một món hời.

“Sẽ chẳng ai để ý đến tôi.”

Các cuộc tấn công mật khẩu không nhắm vào những người cụ thể – chúng diễn ra hàng loạt và tự động. Chúng thử các mật khẩu bị lộ trên hàng nghìn tài khoản cùng lúc. Vấn đề không phải Quý khách có thú vị hay không, mà là Quý khách có điểm yếu hay không.

“Tôi không có điện thoại thông minh.”

Không vấn đề gì. Hãy dùng mã SMS trên điện thoại thường, hoặc khóa bảo mật cho những tài khoản quan trọng nhất. Xác thực hai yếu tố không chỉ dành cho người có điện thoại đời mới nhất.

Đọc tiếp

• Cách tạo mật khẩu an toàn – nền tảng mà xác thực hai yếu tố dựa vào.
• Cách nhận biết tin nhắn lừa đảo – con đường phổ biến nhất khiến mật khẩu rơi vào tay kẻ xấu.
• Mười quy tắc để an toàn trên mạng – tóm tắt nhanh các nguyên tắc.
• Điều gì đe dọa Quý khách trên internet – tổng quan các mối đe dọa.

Câu hỏi thường gặp