User Authentication (Xác thực người dùng) là gì?
Quá trình xác minh danh tính của người dùng (hoặc thiết bị, dịch vụ) khớp với danh tính được khai báo (Identification). Là lớp bảo vệ đầu tiên (First Line of Defense) kiểm soát truy cập hệ thống, mạng, ứng dụng, dữ liệu.
Công thức: Authentication = Identification + Verification of Credentials.
3 Yếu tố xác thực (Authentication Factors) - Cơ sở của MFA
| Yếu tố | Loại | Ví dụ | Độ mạnh / Rủi ro |
|---|---|---|---|
| Knowledge Factor (Yếu tố Kiến thức) | Something you know (Điều bạn biết) | Mật khẩu (Password), Passphrase, PIN, Câu hỏi bảo mật, Pattern khóa màn hình | Yếu: Dễ bị Phishing, Keylogger, Brute-force, Credential Stuffing, Social Engineering, Reuse. |
| Possession Factor (Yếu tố Sở hữu) | Something you have (Đồ bạn có) | Điện thoại (SMS OTP, Authenticator App: Google/MS Authenticator, Authy), Hardware Token (YubiKey, Feitian, RSA SecurID), Smart Card (CAC/PIV), FIDO2 Security Key, Push Notification. | Trung bình: Mất thiết bị = mất yếu tố. SMS OTP dễ bị SIM Swapping. App/Hardware Key an toàn hơn. |
| Inherence Factor (Yếu tố Sinh trắc / Bản chất) | Something you are (Điều bạn là) | Vân tay (Fingerprint/Touch ID), Nhận diện khuôn mặt (Face ID/Windows Hello), Mống mắt (Iris), Giọng nói (Voiceprint), Static/Dynamic Signature, Typing rhythm (Keystroke dynamics). | Mạnh: Khó giả mạo. Nhược: Không thể đổi nếu bị lộ (Irrevocable). False Accept/Reject Rate. Privacy concerns. |
| Location Factor (Yếu tố Vị trí) | Somewhere you are (Nơi bạn ở) | GPS, IP Geolocation, Wi-Fi SSID/BSSID, Bluetooth Beacon, Corporate Network (Domain joined). | Bổ sung (Contextual): Impossible travel detection. Không dùng độc lập. |
| Behavior Factor (Yếu tố Hành vi) | Something you do (Điều bạn làm) | Keystroke dynamics, Mouse movement, Gait analysis, Thời gian/ngày thường đăng nhập, Ứng dụng thường dùng, Command pattern. | Bổ sung (Continuous Authentication): Passive, seamless. Dùng cho Risk-based/Adaptive Auth. |
Phương pháp xác thực phổ biến
- Single-Factor Authentication (SFA): Chỉ 1 yếu tố (thường Password). Không còn đủ an toàn.
- Two-Factor Authentication (2FA): 2 yếu tố khác nhau (vd: Password + OTP App). Tiêu chuẩn tối thiểu hiện nay.
- Multi-Factor Authentication (MFA): ≥2 yếu tố. Có thể 2FA + Location/Behavior.
- Certificate-based / PKI (mTLS): Client Certificate (X.509) + Private Key. Dùng cho: VPN, Wi-Fi 802.1X, Zero Trust (mTLS), API Security, Smart Card (PIV/CAC).
- Kerberos: Ticket-based (TGT, Service Ticket). Windows Active Directory Domain. SSO trong Enterprise. Mutual Authentication.
- SAML 2.0 / OIDC (OpenID Connect): Federation / Web SSO. IdP (Azure AD, Okta, Ping, Keycloak) ↔ SP (SaaS Apps, Cloud Console). Token: SAML Assertion / ID Token + Access Token (JWT).
- RADIUS / TACACS+: AAA cho Network Device Admin (CLI), VPN, Wi-Fi Enterprise (802.1X).
- FIDO2 / WebAuthn / Passkeys (Passwordless): Public Key Credential trên Authenticator (Platform: Windows Hello, Touch ID, Android Biometric / Roaming: YubiKey). Kháng Phishing tốt nhất hiện nay. Không có mật khẩu. Xu hướng tương lai.
- Adaptive / Risk-Based Authentication (RBA): Đánh giá rủi ro real-time (IP, Device, Geo, Behavior, Threat Intel) → Yêu cầu step-up auth (MFA) chỉ khi rủi ro cao. Cân bằng Security & UX.
Xác thực trên Mạng (Network Authentication)
| Cảnh cảnh | Cơ chế | Giao thức/Chuẩn |
|---|---|---|
| Wi-Fi Enterprise | 802.1X (EAP-TLS, PEAP-MSCHAPv2, EAP-TTLS) | RADIUS (ISE, ClearPass, NPS, FreeRADIUS) |
| VPN Remote Access | IPsec (IKEv2 + EAP), SSL/TLS VPN | RADIUS/SAML/OIDC + MFA |
| Network Device Admin (CLI) | TACACS+ (Command Authz) | TACACS+ Server (ISE, ACS, tac_plus) |
| Zero Trust Network Access (ZTNA) | Identity-Aware Proxy, Device Trust | OIDC/SAML + Device Posture + mTLS |
| Service-to-Service (East-West) | mTLS, SPIFFE/SPIRE, JWT, API Keys | Service Mesh (Istio, Linkerd, Consul) |
Best Practices Xác thực An ninh mạng (2024)
- Bắt buộc MFA cho TẤT CẢ: Admin, Privileged, Remote Access, Cloud Console, Email, VPN, Critical Apps. Không ngoại lệ.
- Ưu tiên Phishing-Resistant MFA: FIDO2/WebAuthn (Passkeys, YubiKey) > Authenticator App (TOTP) > Push Notification > Tránh SMS/Voice/Email OTP (dễ bị SIM Swap, Phishing).
- Triển khai Passwordless: Windows Hello for Business, Passkeys (Apple/Google/Microsoft), FIDO2 Keys. Giảm bề mặt tấn công mật khẩu.
- Chính sách Mật khẩu hiện đại (NIST 800-63B): Dài ≥15 ký tự (Passphrase), Không yêu cầu đổi định kỳ (chỉ đổi khi bị lộ), Kiểm tra danh sách mật khẩu yếu (HIBP), Không quy tắc phức tạp giả tạo (chữ hoa/số/đặc biệt), Cho phép Paste, Cho phép Manager.
- Quản trị vòng đời Identity (Joiner-Mover-Leaver - JML): Provisioning tự động (SCIM/HRIS), Access Review định kỳ (Quarterly), Deprovisioning ngay (≤ 4h) khi nghỉ việc/chuyển phòng.
- Privileged Access Management (PAM): Just-in-Time (JIT) Access, Session Recording/Monitoring, Credential Vaulting (Check-out/Check-in), Zero Standing Privileges (ZSP).
- Continuous / Adaptive Authentication: Đánh giá rủi ro liên tục (Device Health, Location, Behavior, Threat Intel) → Step-up hoặc Revoke session.
- Logging & Monitoring tất cả Auth Events: Success, Failure, MFA Prompt, Lockout, Password Reset, Privilege Escalation → SIEM → Alerting (Brute Force, Password Spray, Impossible Travel, MFA Fatigue).
- Service Account / Non-Human Identity: Managed Identities (Azure/AWS/GCP), Vaulted Secrets (HashiCorp Vault, CyberArk, AWS Secrets Manager), Short-lived Certificates (SPIFFE), Không hardcode secret.
Kết luận
User Authentication đã phát triển từ Password đơn lẻ → MFA → Passwordless (FIDO2/Passkeys) → Continuous/Adaptive Authentication trong Zero Trust. Mục tiêu: Xác minh danh tính chắc chắn nhất với ma sát (friction) thấp nhất cho người dùng hợp pháp. Network Security Engineer cần nắm vững: Các yếu tố, Giao thức (RADIUS/TACACS+/SAML/OIDC/FIDO2), Triển khai trên hạ tầng (Wi-Fi, VPN, Firewall, Cloud, App), và Chính sách quản trị vòng đời.