Phương pháp xác thực phổ biến
| Loại | Mô tả | Ví dụ |
|---|---|---|
| Single-Factor (1FA) | Chỉ một yếu tố (thường là mật khẩu) | Mật khẩu đăng nhập |
| Two-Factor (2FA) | Hai yếu tố khác nhau | Mật khẩu + OTP SMS/App |
| Multi-Factor (MFA) | Hai hoặc nhiều yếu tố | Mật khẩu + OTP + Vân tay |
| Single Sign-On (SSO) | Đăng nhập một lần truy cập nhiều hệ thống | Azure AD, Okta, Google Workspace |
Xác thực hai yếu tố (2FA) là gì?
2FA yêu cầu người dùng cung cấp hai yếu tố xác thực khác nhau từ hai danh mục sau:
- Knowledge (Kiến thức): Mật khẩu, PIN, câu hỏi bí mật.
- Possession (Sở hữu): Điện thoại (OTP SMS/Authenticator App), Security Key (YubiKey), Smart Card.
- Inherence (Bản chất - Sinh trắc học): Vân tay, Face ID, Mặt nét, Giọng nói.
Yếu tố 1 thường là mật khẩu. Yếu tố 2 thường là OTP (TOTP qua Google Authenticator, Authy, Microsoft Authenticator) hoặc Push Notification.
Các loại 2FA phổ biến
- SMS/Voice OTP: Dễ dùng nhưng dễ bị SIM Swap, SS7 attack. Không khuyến nghị cho tài khoản quan trọng.
- Authenticator App (TOTP): Google Authenticator, Microsoft Authenticator, Authy. An toàn hơn SMS, hoạt động offline.
- Push Notification: Duo, Microsoft Authenticator, Okta Verify. Tiện lợi, chống phishing tốt hơn OTP.
- FIDO2/WebAuthn (Hardware Security Key): YubiKey, Google Titan, Feitian. An toàn nhất, chống phishing hoàn hảo, không thể clone từ xa.
- Backup Codes: Mã dự phòng một lần dùng khi mất thiết bị 2FA.
Ba yếu tố xác thực (3FA) & Bốn yếu tố (4FA)
- 3FA: Kết hợp cả 3 danh mục: Biết (Mật khẩu) + Có (Key) + Là (Vân tay). Dùng cho hệ thống cực kỳ nhạy cảm.
- 4FA: Thêm yếu tố Location (Vị trí) hoặc Time (Thời gian). Ví dụ: Chỉ cho phép đăng nhập từ IP Việt Nam, giờ hành chính.
So sánh độ an toàn
| Phương pháp | Độ an toàn | Khả năng bị tấn công |
|---|---|---|
| Mật khẩu đơn lẻ | Thấp | Brute-force, Phishing, Keylogger, Credential Stuffing |
| SMS OTP | Trung bình | SIM Swap, SS7, Malware đọc SMS |
| Authenticator App (TOTP) | Cao | Phishing (real-time), Malware endpoint |
| Push Notification (Number Matching) | Rất cao | MFA Fatigue (bombardment), Social Engineering |
| FIDO2 Security Key | Cao nhất | Gần như không thể tấn công từ xa (cần chiếm vật lý key) |
Lưu ý quan trọng
- 2FA không tuyệt đối: Kẻ tấn công có thể bypass qua Phishing kit (Evilginx2, Modlishka), Session Hijacking, Social Engineering hỗ trợ kỹ thuật.
- Luôn bật 2FA cho: Email, Ngân hàng, Mạng xã hội, Cloud, VPN, Quản trị hệ thống.
- Ưu tiên FIDO2/WebAuthn cho tài khoản đặc quyền (Admin, Root, Service Account).
- Lưu trữ Backup Codes an toàn (In ấn, KeePass, Bitwarden).