Giải thích về xác thực hai yếu tố (2FA): Là gì và vì sao một mật khẩu là chưa đủ

Mật khẩu là một bí mật tồn tại ở nhiều nơi hơn mọi người vẫn nghĩ. Người dùng nhập mật khẩu vào các trang web, dùng lại mật khẩu cho nhiều tài khoản và đôi khi mật khẩu bị lộ trong vụ rò rỉ dữ liệu của người khác. Vì vậy, chỉ dùng mật khẩu để bảo vệ những thứ có giá trị là không an toàn.

Xác thực hai yếu tố bổ sung một loại bằng chứng khác, nhờ đó mật khẩu bị đánh cắp không đủ để đăng nhập. Sau đây là giải thích về phương thức này, các loại yếu tố thứ hai phổ biến, lợi ích và những hạn chế của nó.

Xác thực hai yếu tố là gì

Xác thực hai yếu tố, thường được viết tắt là 2FA, nghĩa là chứng minh danh tính của bạn bằng hai loại bằng chứng khác nhau. Hướng dẫn về danh tính số của NIST mô tả ba loại yếu tố xác thực: thứ bạn biết, chẳng hạn như mật khẩu; thứ bạn có, chẳng hạn như điện thoại hoặc khóa bảo mật; và đặc điểm thuộc về bạn, chẳng hạn như dấu vân tay.

Hai yếu tố phải thuộc hai loại khác nhau. NIST lưu ý rằng mật khẩu và mã PIN không được tính là hai yếu tố, vì cả hai đều là thứ bạn biết. Bạn cũng có thể thấy phương thức này được gọi là xác thực đa yếu tố (MFA) hoặc xác minh hai bước. Trong sử dụng hằng ngày, CISA xem các tên gọi này có ý nghĩa tương tự nhau: thêm một bước để xác nhận bạn đúng là người mà bạn tự nhận.

Các loại yếu tố thứ hai phổ biến

Yếu tố thứ hai quen thuộc nhất là mã dùng một lần, được gửi qua tin nhắn văn bản hoặc tạo bởi ứng dụng xác thực trên điện thoại. Một lựa chọn khác là khóa bảo mật vật lý hoặc passkey, sử dụng công nghệ mật mã được tích hợp trong thiết bị. Dấu vân tay hoặc quét khuôn mặt cũng có thể được sử dụng; NIST cho biết sinh trắc học chỉ được tính là một phần của xác thực đa yếu tố khi kết hợp với thiết bị vật lý.

Các phương thức này không có mức độ bảo mật như nhau. Theo CISA, hình thức xác thực dựa trên tiêu chuẩn FIDO, chẳng hạn như khóa bảo mật và passkey, là mạnh nhất và có khả năng chống lừa đảo. Mã từ ứng dụng xác thực tốt hơn tin nhắn văn bản, nhưng vẫn có thể bị đánh cắp bằng hình thức lừa đảo; tin nhắn văn bản là lựa chọn yếu nhất trong số các phương thức phổ biến. So sánh chi tiết các loại này là một chủ đề riêng.

Vì sao một mật khẩu là chưa đủ

CISA giải thích rằng mật khẩu — thứ bạn biết — có thể bị dùng lại, dễ bị bẻ khóa hơn hoặc bị đánh cắp. Nếu dùng cùng một mật khẩu cho nhiều tài khoản, một vụ rò rỉ có thể khiến tất cả tài khoản đó bị xâm nhập. Khi có yếu tố thứ hai, kẻ tấn công dù đã có mật khẩu vẫn cần thêm yếu tố còn lại. Theo CISA, điều này làm giảm đáng kể khả năng tài khoản của bạn bị tấn công.

CISA khuyên nên bật xác thực đa yếu tố ở mọi nơi có hỗ trợ, bắt đầu với những tài khoản quan trọng nhất: email trước, sau đó đến dịch vụ tài chính, mạng xã hội và cửa hàng trực tuyến. CISA cũng khuyến nghị sử dụng mật khẩu mạnh, riêng biệt cùng với trình quản lý mật khẩu, vì hai biện pháp bảo vệ này bổ trợ cho nhau.

Xác thực hai yếu tố không thể làm gì

Yếu tố thứ hai khiến tài khoản khó bị chiếm quyền kiểm soát hơn, nhưng không thể bảo đảm tài khoản không bị xâm nhập. Trang đăng nhập giả mạo tinh vi có thể lấy được mã và sử dụng ngay lập tức; tin nhắn văn bản cũng có thể bị chặn hoặc chuyển hướng, chẳng hạn qua hình thức hoán đổi SIM. Vì vậy, việc lựa chọn phương thức rất quan trọng, và kiểm tra xem bạn đang truy cập đúng trang web trước khi nhập mã cũng là một phần của biện pháp bảo vệ.

Phương thức này cũng không bảo vệ được mọi thứ. 2FA bảo vệ tài khoản đăng nhập thông qua một dịch vụ, nhưng không thể bảo vệ khóa riêng tư hoặc cụm từ hạt giống (seed phrase) của ví tiền mã hóa, vì những thứ đó không phải là tài khoản. 2FA cũng không thay thế mật khẩu mạnh, riêng biệt hay phương thức an toàn để khôi phục quyền truy cập nếu bạn làm mất điện thoại.

Lưu ý từ WEEX: hãy bật 2FA và bảo vệ mã xác thực

WEEX nhắc người dùng bật xác thực hai yếu tố ở mọi nơi có hỗ trợ, bắt đầu với email và các tài khoản tài chính. Hãy cất mọi mã dự phòng hoặc mã khôi phục ở nơi an toàn, không kết nối mạng, đồng thời kiểm tra địa chỉ trang web trước khi nhập mã. Tuyệt đối không chia sẻ mã dùng một lần hoặc cụm từ hạt giống với bất kỳ ai, kể cả người tự xưng là nhân viên hỗ trợ, vì một dịch vụ chính thức sẽ không bao giờ cần những thông tin này.

Kết luận

Xác thực hai yếu tố yêu cầu hai loại bằng chứng khác nhau, nhờ đó mật khẩu bị đánh cắp không đủ để đăng nhập. Các loại yếu tố thứ hai có mức độ bảo mật khác nhau: khóa bảo mật và passkey ở nhóm mạnh nhất, còn tin nhắn văn bản ở nhóm yếu nhất. Không phương thức nào có thể thay thế mật khẩu tốt, thói quen cẩn trọng hoặc việc bảo vệ khóa riêng tư của ví. Bật 2FA là một trong những cách đơn giản nhất để khiến tài khoản khó bị chiếm quyền kiểm soát hơn.

Câu hỏi thường gặp

1. Xác thực hai yếu tố là gì?
Đây là cách đăng nhập yêu cầu hai loại bằng chứng khác nhau, chẳng hạn như mật khẩu cùng với mã gửi đến điện thoại, thay vì chỉ dùng mật khẩu.

2. 2FA có giống MFA và xác minh hai bước không?
Trong cách dùng hằng ngày, các tên gọi này có ý nghĩa gần như giống nhau. Nói chính xác, MFA là phương thức sử dụng nhiều hơn một loại yếu tố riêng biệt, còn 2FA là phương thức sử dụng đúng hai yếu tố.

3. Xác thực hai yếu tố có khiến tài khoản không thể bị tấn công không?
Không. Phương thức này khiến việc chiếm quyền kiểm soát tài khoản khó hơn, nhưng trang đăng nhập giả mạo vẫn có thể lấy được mã và tin nhắn văn bản có thể bị chặn. Vì vậy, cả phương thức được chọn lẫn thói quen của bạn đều rất quan trọng.

4. Mật khẩu cộng với mã PIN có được tính là xác thực hai yếu tố không?
Không. Cả hai đều là thứ bạn biết, vì vậy theo hướng dẫn của NIST, chúng chỉ được tính là một yếu tố.

5. Nên bật xác thực hai yếu tố cho những tài khoản nào trước?
CISA đề xuất bắt đầu với email, sau đó đến dịch vụ tài chính, mạng xã hội và cửa hàng trực tuyến. Email cần được ưu tiên vì thường được dùng để đặt lại mật khẩu cho các tài khoản khác.