Chức năng xác thực (Authentication) trong mô hình AAA
Trong bảo mật mạng, AAA là viết tắt của Authentication, Authorization, Accounting (Xác thực, Phân quyền, Kiểm toán). Chức năng Authentication có mục đích cốt lõi:
Mục đích chính
Yêu cầu người dùng chứng minh danh tính của họ (who they are) trước khi cho phép truy cập tài nguyên mạng.
Cơ chế hoạt động
- Something you know: Mật khẩu, PIN, passphrase
- Something you have: Token phần cứng, smart card, OTP trên điện thoại
- Something you are: Sinh trắc học (vân tay, khuôn mặt, mống mắt)
- Multi-factor (MFA): Kết hợp 2+ yếu tố trên
So sánh: AAA tập trung vs Cơ sở dữ liệu cục bộ
| Tiêu chí | AAA Server (RADIUS/TACACS+) | Local Database |
|---|---|---|
| Quản trị | Tập trung, dễ dàng | Phân tán, khó quản lý |
| Chính sách | Thống nhất toàn mạng | Mỗi thiết bị riêng |
| Dự phòng | Hỗ trợ fallback (local nếu server down) | Không có dự phòng |
| Kiểm toán | Chi tiết, tập trung | Hạn chế |
| Mở rộng | Dễ dàng thêm thiết bị | Khó mở rộng |
3 thành phần của AAA
- Authentication (Xác thực): "Bạn là ai?" - Xác minh danh tính
- Authorization (Phân quyền): "Bạn được làm gì?" - Cấp quyền truy cập tài nguyên dựa trên danh tính
- Accounting (Kiểm toán): "Bạn đã làm gì?" - Ghi log hoạt động cho thanh toán, audit, troubleshooting
Ví dụ thực tế
Khi nhân viên VPN vào mạng công ty:
- Auth: Nhập user/pass + OTP từ app Microsoft Authenticator
- Authz: Server RADIUS kiểm tra group AD → gán ACL cho phép truy cập server dev, chặn server HR
- Acct: Ghi log: user, thời gian, IP, lượng dữ liệu, lệnh CLI gõ (nếu TACACS+)
Tóm tắt
Authentication là "cửa ngõ" đầu tiên của bảo mật mạng - đảm bảo chỉ thực thể hợp pháp mới được xét duyệt quyền truy cập tiếp theo.