3 lầm tưởng về xác thực hai yếu tố

Mật khẩu phức tạp có thể bảo mật tài khoản trực tuyến của bạn, nhưng tin tặc vẫn có thể truy cập vào tài khoản của bạn bằng cách sử dụng các kỹ thuật tấn công vũ phu và kỹ thuật xã hội.

Xác thực hai yếu tố (2FA) được đưa vào phương trình như một biện pháp bảo mật bổ sung. Vì các ngân hàng nắm giữ dữ liệu nhạy cảm nhất nên họ là những người đầu tiên triển khai xác thực hai yếu tố. Kể từ đó, ngày càng có nhiều nền tảng triển khai dịch vụ, vì vậy điều quan trọng là bạn phải sử dụng cấp độ bảo vệ bổ sung này để giữ an toàn cho tài khoản của mình.

Tuy nhiên, có một số lập luận cho rằng xác thực hai yếu tố có thể không thực sự mang lại mức độ bảo mật cao hơn.

Lầm tưởng: 2FA là sự đảm bảo chống gian lận

Xác thực hai yếu tố khiến tin tặc hoặc kẻ trộm khó đột nhập vào tài khoản trực tuyến của bạn hơn rất nhiều. Ngay cả khi thông tin đăng nhập của bạn đã bị xâm phạm, kẻ tấn công sẽ không thể truy cập vào tài khoản của bạn.

Bạn không thể truy cập tài khoản của mình chỉ bằng tên người dùng và mật khẩu. Mật khẩu một lần dựa trên thời gian (TOTP) sẽ được gửi đến địa chỉ email hoặc số điện thoại đã đăng ký tài khoản. Mã bạn cung cấp được xác minh ngay khi bạn nhập mã vào giao diện. Nếu đúng, nó sẽ nhận ra bạn là người dùng được ủy quyền của tài khoản.

Tuy nhiên, các công cụ cụ thể, bao gồm cả phần mềm được sử dụng để đánh cắp cookie phiên, có thể được sử dụng để đánh cắp mã OTP. Tương tự, nếu một tin tặc cũng đã kiểm soát email của bạn và bạn sử dụng email đó để nhận mã 2FA, thì chúng có thể dễ dàng truy cập vào các dịch vụ khác.

Cần lưu ý rằng việc bỏ qua xác thực hai yếu tố (2FA) thành công là tương đối hiếm. Những cái thành công thường liên quan đến lỗi của con người; chẳng hạn, bạn có thể cung cấp cho kẻ lừa đảo mật mã tạm thời khi họ cho rằng họ cần. Nếu kỹ thuật xã hội không hoạt động, tin tặc sẽ sử dụng các lỗi bảo mật của hệ thống làm điểm vào.

Nhìn chung, xác thực hai yếu tố có một lịch sử vững chắc trong việc giữ an toàn cho tài khoản. Nó ngăn tin tặc phá hủy dữ liệu, thao túng chương trình, gửi thư rác hoặc phát tán mã độc. Nó không phải là hoàn hảo, mặc dù.

Lầm tưởng: Tất cả các phương pháp 2FA đều giống nhau

Mặc dù mã tạm thời dựa trên SMS hoặc email là phổ biến nhất, xác thực hai yếu tố cũng có thể được sử dụng theo những cách khác. Một số kỹ thuật này an toàn hơn những kỹ thuật khác.

Chẳng hạn, SMS không phải là một hình thức liên lạc được mã hóa. Cài đặt ứng dụng xác thực của bên thứ ba và kết nối ứng dụng đó với tài khoản của bạn để lấy mã tạm thời qua kết nối được mã hóa. Nói cách khác, bạn sẽ nhận được mã trên ứng dụng xác thực thay vì email hoặc số điện thoại đã đăng ký của mình—bất kể bạn có dữ liệu di động hay kết nối internet hay không.

Một tùy chọn khác là sử dụng thiết bị vật lý có mã mật mã thông qua USB, Bluetooth hoặc Giao tiếp trường gần (NFC). Sử dụng ứng dụng xác thực hoặc mã thông báo phần cứng có uy tín, thay vì chỉ dựa vào mã dựa trên SMS, sẽ cung cấp thêm một lớp bảo mật. Nó tạo ra một mã duy nhất, dựa trên thời gian cho mỗi lần thử xác thực. Sau đó, hệ thống sẽ xác minh rằng bạn có khóa bảo mật vật lý khi bạn nhập khóa đó.

Một số ứng dụng cũng cho phép bạn xác thực danh tính của mình bằng khuôn mặt, mắt hoặc dấu vân tay. Chẳng hạn, Dashlane—một trình quản lý mật khẩu an toàn—cho phép người dùng iOS đăng nhập bằng FaceID thay vì mật khẩu chính mỗi lần.

Lầm tưởng: Xác thực hai yếu tố phức tạp và tốn thời gian

Một số người cho rằng 2FA là một việc rắc rối dài dòng, nhưng thường chỉ mất chưa đầy một phút để thực hiện xác thực hai yếu tố. Mã này được gửi đi trong vài giây và vì mã này nhạy cảm với thời gian nên bạn phải nhập mã ngay lập tức.

So với các kỹ thuật khác, 2FA dựa trên SMS đôi khi có thể chậm hơn, nhưng ngay cả như vậy, chỉ mất vài giây. Trong trường hợp xấu nhất, nếu bạn không nhập mã kịp thời, bạn có thể phải yêu cầu lại. Việc gửi lại có thể mất một chút thời gian nhưng hiếm khi xảy ra.

Các kỹ thuật khác—như bảo mật vật lý và ứng dụng xác thực—nhanh hơn nhiều. Thậm chí có thể thuận tiện hơn khi sử dụng xác thực hai yếu tố so với mật khẩu.

Xác thực hai yếu tố có sẵn trên tất cả các dịch vụ không?

Hầu như tất cả các nền tảng chính đều hỗ trợ xác thực hai yếu tố. Ngay cả các doanh nghiệp cũng đã cấu hình nó trên cổng trực tuyến của họ để bảo mật tối đa.

Một số nền tảng cũ hơn hoặc kém an toàn hơn có thể không có xác thực hai yếu tố, trong khi những nền tảng khác có thể có các biện pháp bảo mật thay thế. Google, Apple và Microsoft đang mở rộng khả năng đăng nhập không cần mật khẩu, vì nó thường được coi là an toàn hơn mật khẩu.