Identification (Nhận diện/Xác danh) là gì?
Là quá trình khai báo danh tính của một chủ thể (user, process, device) đối với hệ thống. Chủ thể trình diện một Identifier (ID) duy nhất: Username, User ID, Email, MAC address, Certificate Serial Number, Device ID...
- Mục đích: Hệ thống biết "Ai đang yêu cầu truy cập?".
- Đặc điểm: Công khai, không bí mật, có thể đoán được.
- Ví dụ: Gõ username "admin", quét thẻ từ, gửi Client Certificate.
Identification vs Authentication vs Authorization (Tam giác vàng AAA)
| Quá trình | Câu hỏi | Ví dụ | Yếu tố |
|---|---|---|---|
| Identification (Nhận diện) | "Bạn là ai?" | Username: "john.doe" Email: "john@company.com" MAC: 00:1A:2B:3C:4D:5E | Identifier (Public) |
| Authentication (Xác thực) | "Bạn có phải là người đó không?" | Mật khẩu, OTP, Vân tay, FaceID, Private Key, Smart Card, YubiKey | Credential / Secret (Bí mật) |
| Authorization (Uỷ quyền) | "Bạn được làm gì?" | RBAC: Role "Admin" được xóa user, "User" chỉ đọc. ACL: IP 10.0.0.5 truy cập port 443 server DB. | Policy / Rule / Permission |
Thứ tự: Identification → Authentication → Authorization.
3 Yếu tố xác thực (Authentication Factors) - MFA
| Yếu tố | Loại | Ví dụ | Độ mạnh |
|---|---|---|---|
| Knowledge (Biết)Something you know | Password, PIN, Passphrase, Câu hỏi bảo mật, Pattern | Yếu (dễ bị phishing, keylogger, đoán) | |
| Possession (Có) | Something you have | Điện thoại (SMS/Authenticator App), Smart Card, YubiKey, Token OTP, USB Key, Thẻ từ | Trung bình (mất thiết bị = mất yếu tố) |
| Inherence (Là) | Something you are | Vân tay, Nhận diện khuôn mặt (FaceID), Giọng nói, Mống mắt, Static signature | Mạnh (khó giả mạo, nhưng không thể đổi nếu bị lộ) |
| Location (Ở đâu) | Somewhere you are | GPS, IP Geo-location, Wi-Fi SSID, Beacon Bluetooth | Bổ sung (Context-aware) |
| Behavior (Hành vi) | Something you do | Keystroke dynamics, Mouse movement, Gait analysis, Thời gian đăng nhập thông thường | Bổ sung (Continuous Authentication) |
Phương pháp xác thực phổ biến trong An ninh mạng
- Single-Factor (SFA): Chỉ mật khẩu (Yếu).
- Two-Factor (2FA/MFA): Mật khẩu + OTP (App/SMS/Email), Mật khẩu + YubiKey. Tiêu chuẩn tối thiểu hiện nay.
- Certificate-based (PKI): Client Certificate (mTLS), Smart Card (CAC/PIV). Dùng cho VPN, Wi-Fi 802.1X, Zero Trust.
- Kerberos: Ticket-based, dùng trong Windows Domain (Active Directory). Single Sign-On (SSO).
- SAML/OIDC/SAML2: Federation, Web SSO (Azure AD, Okta, Google Workspace, Auth0).
- RADIUS/TACACS+: AAA cho Network Devices (Router, Switch, Firewall, VPN, Wi-Fi Enterprise 802.1X).
- FIDO2/WebAuthn: Passwordless - YubiKey, Windows Hello, Touch ID, Passkeys. Xu hướng tương lai.
Công cụ & Công nghệ hỗ trợ Identification/Authentication
| Loại | Công cụ/Ví dụ |
|---|---|
| Identity Provider (IdP) | Microsoft Entra ID (Azure AD), Okta, Ping Identity, Keycloak, Auth0, Google Workspace |
| Directory Service | Active Directory (AD), OpenLDAP, Azure AD DS |
| MFA/2FA Provider | Microsoft Authenticator, Google Authenticator, Authy, Duo Security, YubiKey, RSA SecurID |
| PAM (Privileged Access Management) | CyberArk, BeyondTrust, Thycotic, HashiCorp Vault |
| NAC (Network Access Control) | Cisco ISE, Aruba ClearPass, FortiNAC, Portnox |
| SIEM (Log & Correlation) | Splunk, Elastic, Microsoft Sentinel, IBM QRadar, LogRhythm |
Identification cho Thiết bị & Dịch vụ (Non-human)
- Machine Identity: X.509 Certificate, API Key, JWT, SPIFFE ID, Kubernetes Service Account.
- IoT Device Identity: X.509 Cert (manufacturing), TPM/TEE, Device Attestation.
- Service Mesh Identity: SPIFFE/SPIRE (Istio, Linkerd, Consul Connect).
Chính sách Identification & Authentication (I&A Policy)
Tài liệu quy định:
- Yêu cầu độ phức tạp mật khẩu (độ dài, lịch sử, thời hạn).
- Bắt buộc MFA cho: Admin, Remote Access, Privileged Access, Cloud Console.
- Khóa tài khoản sau N lần sai (Account Lockout).
- Quản lý vòng đời Identity: Provisioning, Review (Access Certification), Deprovisioning (Joiners/Movers/Leavers).
- Passwordless strategy roadmap.
Lưu ý quan trọng
- Username ≠ Authentication. Username chỉ là Identification. Authentication cần Secret (mật khẩu, key, sinh trắc).
- Identification phải duy nhất (Unique) trong phạm vi hệ thống.
- Zero Trust: "Never trust, always verify" - Xác thực liên tục (Continuous Authentication), không chỉ một lần lúc login.
- Logging/Audit: Mọi Identification/Authentication event phải được ghi log (Success/Failure) cho SIEM.