Authentication là gì?
Quy trình xác minh danh tính của người dùng, thiết bị hoặc tiến trình trước khi cho phép truy cập tài nguyên mạng. Khác với Authorization (phân quyền - sau khi đã xác thực).
3 yếu tố xác thực (Authentication Factors)
- Knowledge (Kiến thức): Mật khẩu, PIN, câu hỏi bảo mật.
- Possession (Sở hữu): Token phần cứng (YubiKey), Smartphone (OTP app), Smart card, Badge.
- Inherence (Bản chất/Sinh trắc): Vân tay, khuôn mặt, mống mắt, giọng nói, hành vi gõ phím.
Các mô hình xác thực phổ biến
| Mô hình | Mô tả | Ví dụ |
|---|---|---|
| Single-Factor (SFA) | 1 yếu tố | Chỉ mật khẩu |
| Two-Factor (2FA) | 2 yếu tố khác nhau | Mật khẩu + OTP app (Google Authenticator) |
| Multi-Factor (MFA) | ≥2 yếu tố | Mật khẩu + YubiKey + Vân tay |
| Single Sign-On (SSO) | Đăng nhập 1 lần truy cập nhiều hệ thống | SAML, OIDC, Kerberos (AD) |
| Passwordless | Không dùng mật khẩu | FIDO2/WebAuthn, Magic link, QR code |
Giao thức/Chuẩn kỹ thuật phổ biến
- RADIUS (AAA): Trung tâm xác thực cho VPN, Wi-Fi Enterprise (802.1X), ISP.
- LDAP/Active Directory: Xác thực tập trung trong doanh nghiệp.
- Kerberos: Ticket-based, dùng trong Windows Domain.
- SAML 2.0 / OIDC / OAuth 2.0: Federation, SSO cho ứng dụng web/SaaS.
- EAP (Extensible Authentication Protocol): Khung cho 802.1X: EAP-TLS (cert), PEAP-MSCHAPv2, EAP-TTLS.
- TOTP/HOTP (RFC 6238/4226): OTP dựa trên thời gian/sự kiện (Google Auth, Authy, Microsoft Authenticator).
- FIDO2 / WebAuthn / CTAP: Xác thực không mật khẩu, khóa phần cứng (YubiKey, Titan), platform authenticator (Windows Hello, Touch ID).
Best Practice hiện nay
- Bắt buộc MFA cho mọi tài khoản đặc quyền, VPN, email, cloud console.
- Triển khai Passwordless (FIDO2) cho nhân viên.
- Sử dụng 802.1X (EAP-TLS) cho Wi-Fi doanh nghiệp – không dùng PSK chung.
- Zero Trust: Verify explicitly, least privilege, assume breach.
- Giám sát log xác thực (SIEM) – alert trên đăng nhập bất thường (impossible travel, new device, brute force).