An toàn gấp đôi

.
Một cuộc tấn công dữ liệu thành công có thể dẫn đến những hậu quả khó lường. Đã có trường hợp những kẻ tấn công không rõ danh tính dùng tài khoản của nạn nhân để đăng nội dung khiêu khích bằng tên của người dùng đó trên mạng xã hội hoặc để gửi email lừa đảo. Một số người khác thì bị mất tiền trong các tài khoản ngân hàng trực tuyến. Người ta thường không nhận thức được việc tài khoản của mình đã bị xâm nhập cho đến khi xảy ra thiệt hại.

Một nguyên nhân khiến các vụ đánh cắp dữ liệu xảy ra hết lần này đến lần khác là hầu hết người dùng đều quá phụ thuộc vào mật khẩu trong việc bảo vệ bản thân trên mạng. Mọi người không biết đến sự tồn tại của những danh sách trực tuyến chứa hàng triệu tổ hợp tên người dùng và mật khẩu. "Kho mật khẩu rò rỉ", tên mà các chuyên gia đặt cho những danh sách đó, là tập hợp dữ liệu đánh cắp được từ vô số vụ đánh cắp dữ liệu đã thành công. Vì nhiều người sử dụng mật khẩu của mình cho nhiều mục đích khác nhau, nên dữ liệu đăng nhập Tài khoản Google của họ cũng có thể xuất hiện trong “kho mật khẩu bị rò rỉ”, ngay cả khi tài khoản thực tế chưa từng bị hack. Một mối đe dọa thường trực khác là hành vi lừa đảo – những hành vi lừa dối nhằm chiếm đoạt mật khẩu và thông tin khác thông qua những trang web hoặc email có vẻ là đáng tin cậy.

Đó là lý do các công ty như Google khuyên người dùng bảo mật tài khoản của họ trên mạng bằng tính năng xác thực hai yếu tố, theo đó họ sẽ cung cấp 2 yếu tố riêng biệt để đăng nhập, chẳng hạn như một mật khẩu và một mã gửi qua tin nhắn. Phương pháp xác thực này đã trở nên rất phổ biến, nhất là đối với các ngân hàng và công ty cấp thẻ tín dụng.

Giới chuyên gia bảo mật phân biệt 3 loại yếu tố bảo mật cơ bản. Yếu tố đầu tiên là thông tin ("một thứ bạn biết"): ví dụ như khi người dùng nhận được một mã thông qua tin nhắn rồi nhập mã đó hoặc phải trả lời một câu hỏi bảo mật. Yếu tố thứ hai là vật thể ("một thứ bạn sở hữu") có thể dùng để xác thực chẳng hạn như thẻ tín dụng. Yếu tố thứ ba là dữ liệu sinh trắc học ("một đặc điểm sinh học của bạn"). Một ví dụ là khi người dùng điện thoại thông minh mở khoá màn hình bằng vân tay. Mọi chiến lược xác thực hai yếu tố đều sử dụng kết hợp hai trong số các loại yếu tố trên.

Google cung cấp nhiều kiểu xác thực hai yếu tố. Cùng với mật khẩu bình thường, người dùng có thể nhập một mã bảo mật dùng một lần mà họ nhận được thông qua tin nhắn hoặc cuộc gọi thoại hoặc họ có thể tạo mã đó bằng ứng dụng Google Authenticator – ứng dụng chạy trên Android và iOS, hệ điều hành của Apple cho thiết bị di động. Người dùng cũng có thể cung cấp một danh sách các thiết bị tin cậy trong Tài khoản Google của mình. Nếu một người dùng tìm cách đăng nhập bằng một thiết bị không có trong danh sách đó, thì người đó sẽ nhận được cảnh báo bảo mật của Google.

3 năm vừa qua, Google cũng đã hỗ trợ người dùng sử dụng một loại thiết bị bảo mật gọi là khoá bảo mật. Khoá này là một thiết bị phần cứng USB, NFC hoặc Bluetooth mà người dùng cần phải kết nối với thiết bị có liên quan. Quy trình này dựa trên một tiêu chuẩn xác thực mở có tên là Universal 2nd Factor (Yếu tố thứ hai chung, hay còn gọi là U2F) do Liên minh FIDO phát triển. Google là một thành viên của liên minh này, cùng với các công ty khác như Microsoft, Mastercard và PayPal. Nhiều nhà sản xuất bán các thiết bị bảo mật dựa trên tiêu chuẩn U2F với giá rẻ. Các thiết bị này cho thấy hiệu quả rất cao – từ khi khoá bảo mật ra mắt, rủi ro bị đánh cắp dữ liệu đã giảm đi đáng kể. Trên lý thuyết, một tài khoản trực tuyến có thể bị tấn công từ bất kỳ nơi nào trên thế giới, nhưng thiết bị bảo mật thì phải thật sự rơi vào tay kẻ đánh cắp (kẻ này cũng cần có thông tin đăng nhập của nạn nhân thì mới có thể truy cập vào tài khoản). Ngoài Google, nhiều công ty khác cũng đã hỗ trợ các mã bảo mật này.

Đương nhiên là việc xác thực hai yếu tố cũng có những điểm bất lợi. Những người sử dụng mã xác thực qua tin nhắn phải có điện thoại di động bên mình khi đăng nhập từ một thiết bị mới. Và các thiết bị phần cứng USB và Bluetooth thì có thể bị mất. Tuy nhiên, đây không phải là những vấn đề không thể giải quyết. Khi cân nhắc khả năng tăng cường bảo mật mà các thiết bị này mang lại thì những điểm bất lợi này là hoàn toàn có thể chấp nhận được. Những người bị mất khoá bảo mật có thể xoá khoá đó khỏi tài khoản rồi thêm một khoá mới. Một cách khác là đăng ký một khoá bảo mật thứ hai ngay từ đầu rồi đặt khoá đó ở nơi an toàn.

Để biết thêm thông tin, hãy truy cập: g.co/2step

Hình minh hoạ: Birgit Henne