A. LÝ THUYẾT
I. 2FA Là Gì?
Khi nói đến bảo mật, có 3 cách cơ bản để chứng minh bạn là “chính chủ” chứ không phải ai khác:
- 1. Điều bạn biết
- Ví dụ: Password (phổ biến nhất), PIN (thường được ngân hàng sử dụng), Security Questions,…
- 2. Điều bạn có
- Ví dụ: Phone (phổ biến nhất), USB, Card,…
- 3. Điều bạn sở hữu
- Ví dụ: vân tay (phổ biến nhất), võng mạc, khuôn mặt, giọng nói,…
2FA là quá trình sử dụng 2 hình thức xác thực khác nhau để xác minh danh tính người dùng trước khi đăng nhập vào một dịch vụ.
Các tên gọi thường dùng: Two Factor Authentication, 2-Step Verification, xác thực 2 yếu tố, xác thực 2 bước, bảo mật 2 lớp,… tất cả đều đang nói đến 2FA.
Thông thường trong hầu hết các trường hợp, 2FA là sự kết hợp giữa “điều bạn biết” và “điều bạn có” để xác minh chính chủ, cụ thể đó là Password và Phone. Cho nên chức năng này mới được gọi là “Two Factor”.
Ví dụ khi đăng nhập WordPress (hoặc Gmai, Facebook, Online Banking,…) bạn sẽ cần xác minh lớp đầu tiên, đó là Password (điều bạn biết).
Bất kỳ ai khác biết được thông tin này đều có thể đăng nhập. Vì vậy, để tăng tính bảo mật chúng ta sẽ xác minh thêm lớp thứ hai, đó là Phone (điều bạn có).
II. 2FA Hoạt Động Như Thế Nào?
Nếu một dịch vụ được bật 2FA thì quá trình đăng nhập sẽ như sau:
- Đầu tiên bạn cần nhập Username và Password như chúng ta thường làm.
- Sau đó dịch vụ sẽ gửi cho bạn một mã xác thực tới Phone và bạn cần nhập mã này mới có thể đăng nhập vào dịch vụ.
Mã này thường được tạo ra và gửi cho bạn theo nhiều cách:
- Thông qua SMS: đây là cách phổ biến nhất và đơn giản nhất để cấu hình, bởi vì bạn chỉ cần cung cấp số điện thoại là xong.
- Nhưng cách này thường gặp 2 vấn đề: có thể không nhận được SMS hoặc khi người khác mượn dùng Phone của bạn thì xem như lớp bảo mật thứ 2 sẽ vô dụng (bởi vì họ có thể đọc được SMS).
- Thông qua App cài trên Phone: cách này sẽ bảo mật và có nhiều lợi ích hơn so với SMS.
- Nhưng ngược lại việc cấu hình sẽ tương đối nhiều bước hơn (tải và cài đặt App, đăng ký tài khoản,…). Mặc dù nhiều bước nhưng chỉ cần làm 1 lần là xong và việc sử dụng cũng dễ dàng.
- Còn một số cách khác ít phổ biến hơn nên mình không giải thích để tránh dài dòng: Voice Call, Email, Push Notification,…
III. Ví Dụ Thực Tế
Trong cuộc sống hàng ngày có 2 trường hợp mà chúng ta đang sử dụng 2FA thường xuyên:
- Thao tác trên máy ATM: bạn cần PIN (điều bạn biết) và Card (điều bạn có).
- Thao tác trên Online Banking: bạn cần Password (điều bạn biết) và Phone (điều bạn có, để nhận SMS chứa mã OTP).
Các dịch vụ khác như Gmail, Facebook, WordPress, PayPal,… đều có chức năng 2FA. Vì vậy mình rất khuyến khích nên bật 2FA lên, vì nó giúp tăng cao tính bảo mật cho tài khoản của bạn.
IV. Authy Là Gì?
Authy là một App hỗ trợ tạo mã xác thực cho các dịch vụ có chức năng 2FA.
Có khá nhiều App dạng này nhưng đây là cái mà mình đang dùng hàng ngày.
Dùng Authy có gì khác so với dùng SMS?
- Ví dụ khi bạn bật 2FA trên Facebook thì với cách truyền thống bạn chỉ cần cung cấp số điện thoại là xong. Mỗi lần đăng nhập, Facebook sẽ gửi mã xác thực về Phone thông qua SMS.
- Còn nếu sử dụng Authy bạn cần kết nối Facebook với Authy. Mỗi lần đăng nhập, Authy sẽ tự động tạo ra mã xác thực và hiện ra trên App. Chỉ khác nhau như vậy.
Lợi ích khi dùng Authy:
- Dù cho Phone có mất/hư/reset hoặc người khác mượn dùng thì bạn cũng không phải lo lắng gì cả (lý do sẽ được nói kỹ hơn trong phần thực hành).
- Bạn có thể cài đặt Authy trên nhiều thiết bị: PC, Laptop, Phone, Tablet. Điều này giúp thuận tiện trong quá trình sử dụng bởi vì đâu phải lúc nào Phone cũng có sẵn bên cạnh.
- Ngoài ra Authy còn giúp bạn quản lý được nhiều dịch vụ khác nhau: Gmail, Facebook, WordPress,…
- Giao diện đơn giản và dễ dùng.
- Hoàn toàn miễn phí.
B. THỰC HÀNH
I. Cài Đặt Authy
Lưu ý: các số liệu bên dưới chỉ là ví dụ.
Như vậy chúng ta có các thông tin sau cần được lưu trữ thật kỹ để sử dụng:
- PIN: 4444
- Master Password: 88888888
- Backup Password: 12345678
Trong đó:
- Backup Password là giống nhau cho tất cả thiết bị.
- PIN và Master Password là khác nhau cho từng thiết bị. Vì vậy nếu bạn cài đặt Authy trên 2 Phone thì cần ghi chú cho rõ để nhận dạng, Ví dụ:
- PIN-Authy (Samsung): 4444
- PIN-Authy (iPhone): 5555
II. Thêm 2FA Token Vào Authy
Trong phần này có 2 khái niệm cần biết:
– 2FA Token (còn gọi là Authentication Token)
- 16 hoặc 32 ký tự. Ví dụ: PASWE6TVPVCCG2DT
- Mã này là của trang dịch vụ cung cấp để bạn thêm vào Authy.
- Mã này không cần ghi nhớ.
– 2FA Code (còn gọi là Authentication Code hoặc Verification Code)
- 6 chữ số. VD: 938638
- Mã này là của Authy cung cấp cho bạn để nhập vào dịch vụ mỗi lần đăng nhập.
- Mã này không cần ghi nhớ.
Quy trình thêm một dịch vụ vào Authy (nói cách khác là đang kết nối cả 2 với nhau):
- Bật chức năng 2FA trên dịch vụ.
- Nhập 2FA Token (của dịch vụ) vào Authy.
- Nhập 2FA Code (của Authy) vào dịch vụ.
Quy trình đăng nhập vào dịch vụ sau khi đã bật chức năng 2FA:
- Login vào dịch vụ như bình thường (nhập Username + Password).
- Mở Authy lên và chọn tài khoản cần đăng nhập.
- Copy 2FA Code trên Authy.
- Paste 2FA Code vào dịch vụ.
- Bấm Authenticate/Done/OK (tùy dịch vụ) để đăng nhập.
- Tắt màn hình tạo 2FA Code trên Authy.
Lưu ý: “dịch vụ” ở đây là mình đang nói tới các loại tài khoản như Gmail, Facebook, WordPress,…