Xác thực (Authentication) trong An ninh mạng
Xác thực (Authentication) là quá trình **xác minh danh tính** của một chủ thể (User, Device, Process, Service) để đảm bảo rằng **"Chính là người/điều họ tuyên bố"**. Là bước **đầu tiên** trong mô hình AAA (Authentication, Authorization, Accounting).
3 Yếu tố xác thực cốt lõi (Authentication Factors)
| Yếu tố (Factor) | Tên gọi | Ví dụ | Đặc điểm |
|---|---|---|---|
| Knowledge (Kiến thức) | Something You Know | Mật khẩu, PIN, Passphrase, Câu hỏi bí mật, Pattern khóa màn hình | Dễ triển khai, dễ chia sẻ, dễ bị phishing/keylogger/brute-force/credential stuffing |
| Possession (Sở hữu) | Something You Have | Điện thoại (OTP SMS/App), Security Key (YubiKey - FIDO2), Smart Card, OTP Token (RSA SecurID), Push Notification App (Duo, MS Authenticator), Certificate/Private Key (File/TPM/HSM) | Cần vật lý sở hữu. Khó tấn công từ xa. Rủi ro: Mất, hỏng, clone (SIM swap), malware endpoint đọc OTP. |
| Inherence (Bản chất - Sinh trắc học) | Something You Are | Vân tay (Fingerprint), Khuôn mặt (Face ID/Windows Hello), Mống mắt (Iris), Giọng nói (Voiceprint), Động mạch lòng bàn tay, Dấu vân tay mềm (Behavioral Biometrics: Keystroke, Mouse dynamics, Gait) | Khó mất/quên, tiện lợi. Rủi ro: Không thể đổi (Irrevocable), Spoofing (Fake finger, Deepfake, 3D mask), False Accept/Reject Rate, Privacy concern. |
Các mức độ xác thực
- Single-Factor Authentication (SFA/1FA): 1 yếu tố (Thường là Password). **Yếu, không đủ cho tài khoản quan trọng.**
- Two-Factor Authentication (2FA): 2 yếu tố **KHÁC NHAU** (VD: Password + OTP App). **Tiêu chuẩn tối thiểu hiện nay.**
- Multi-Factor Authentication (MFA): ≥ 2 yếu tố. 2FA là tập con của MFA.
- Three-Factor Authentication (3FA): 3 yếu tố (Knowledge + Possession + Inherence). Hệ thống cực nhạy cảm (Ngân hàng trung ương, Quân sự, Hạ tầng then chốt).
- Adaptive / Risk-Based Authentication (RBA): Yêu cầu yếu tố thêm dựa trên rủi ro: Địa điểm mới, Thiết bị mới, Thời gian bất thường, IP Tor/VPN, Impossible Travel, Behavioral Anomaly. Cân bằng bảo mật & trải nghiệm người dùng.
- Continuous Authentication: Xác thực liên tục trong phiên làm việc (Behavioral Biometrics, Re-authentication định kỳ, Zero Trust).
Giao thức xác thực mạng phổ biến (Network Authentication Protocols)
| Giao thức | Mô tả | Ứng dụng chính | Độ an toàn |
|---|---|---|---|
| PAP (Password Authentication Protocol) | Gửi user/pass plaintext. 2 chiều. | PPP cũ, FTP, HTTP Basic Auth | Rất yếu - Cấm dùng |
| CHAP (Challenge-Handshake Authentication Protocol) | Server gửi Challenge (Random) → Client hash(Challenge+Secret) → Response. Server verify. Periodic re-auth. | PPP, Dial-up, PPPoE | Trung bình (Dùng MD5 - yếu, no Mutual Auth mặc định) |
| MS-CHAPv2 | Microsoft CHAP v2. Mutual Auth. Dùng NT Hash. | VPN Windows (PPTP, L2TP/IPsec cũ), PEAP-MSCHAPv2 | Yếu (Có thể offline crack NT Hash). Đang loại bỏ. |
| EAP (Extensible Authentication Protocol) - Framework | Khung khung cho nhiều method. Chạy trong TLS Tunnel (PEAP, EAP-TTLS, EAP-FAST) hoặc trực tiếp (EAP-TLS). | 802.1X (Wi-Fi Enterprise, Wired, VPN), RADIUS | Tùy Method (EAP-TLS mạnh nhất) |
| EAP-TLS | Certificate-based (Client Cert + Server Cert). Mutual Auth trong TLS. Không pass. | 802.1X Enterprise (Wi-Fi, VPN, Wired), mTLS. **Gold Standard** | Rất mạnh (Phishing-resistant) |
| EAP-PEAP (PEAP-MSCHAPv2) | TLS Tunnel bảo vệ MS-CHAPv2 bên trong. Server Cert validate. Client dùng User/Pass. | Wi-Fi Enterprise (Win NPS, Cisco ISE, Aruba ClearPass). Phổ biến nhất. | Mạnh (Nếu validate Server Cert). Rủi ro: Misconfig (Client không validate Cert), MITM. |
| EAP-TTLS | Tương tự PEAP, hỗ trợ nhiều Inner Method (PAP, CHAP, EAP-GTC, MS-CHAPv2). | 802.1X, VPN. Linh hoạt hơn PEAP. | Mạnh (Tương tự PEAP). |
| EAP-FAST | Cisco. Dùng PAC (Protected Access Credential) thay Server Cert. Tiết kiệm tài nguyên. | Cisco Wireless/VPN (Legacy). | Mạnh (Nếu PAC bảo vệ tốt). |
| Kerberos | Ticket-based (TGT, Service Ticket). Symmetric Key (Secret Key). Trusted Third Party (KDC). | Active Directory (Windows Domain), Linux (MIT/Heimdal), Hadoop, Kafka. | Mạnh (Single Sign-On, Mutual Auth, Delegation). Rủi ro: Golden/Silver Ticket, Kerberoasting, AS-REP Roasting. |
| SAML 2.0 / OIDC (OpenID Connect) | Federated Identity (IdP → SP). XML (SAML) / JSON/JWT (OIDC). Web SSO. | Cloud Apps (O365, Google Workspace, Salesforce, SaaS), Mobile Apps. | Mạnh (Delegated Auth, MFA tại IdP). Rủi ro: IdP Compromise, Token Replay, XML Sig (SAML). |
| FIDO2 / WebAuthn / CTAP | Public Key Crypto. Private Key không rời Authenticator (YubiKey, Platform Authenticator - TPM/Secure Enclave). Origin-bound (Chống Phishing). | Web App MFA, Passwordless, Step-up Auth, Windows Hello, Passkeys. | Mạnh nhất hiện nay (Phishing-resistant, No Shared Secret) |
Tại sao Xác thực quan trọng trong An ninh mạng?
- Cửa ngõ đầu tiên (First Line of Defense): Ngăn chặn truy cập trái phép ngay từ đầu.
- Cơ sở cho Authorization (Phân quyền): Phải biết "Ai" mới quyết định "Được làm gì" (RBAC, ABAC, PBAC).
- Trách nhiệm giải trình (Accountability/Non-repudiation): Audit log gắn liền với Identity đã xác thực.
- Tuân thủ (Compliance): MFA bắt buộc: PCI-DSS (Req 8.3), NIST 800-53 (IA-2), GDPR (Art 32), Luật An ninh mạng VN (Điều 16, 26), Cyber Insurance.
- Giảm thiểu tác động Breach: Credential stuffing, Phishing, Password Spraying thất bại nếu MFA mạnh (FIDO2, Number Matching Push).
Best Practice triển khai Xác thực (2024)
- Loại bỏ Password (Passwordless) nơi có thể: FIDO2/WebAuthn (Passkeys), Windows Hello for Business, Mobile Push + Number Matching, Certificate-based (EAP-TLS, mTLS).
- Bắt buộc MFA Phishing-Resistant (FIDO2, Cert-based) cho: Tài khoản Admin/Root, Tài khoản đặc quyền (PAM), VPN/Remote Access, Email, Cloud Console, Code Repo, CI/CD, SaaS quan trọng.
- Triển khai Zero Trust / Continuous Verification: Không tin cậy mặc định. Verify Identity + Device Health + Context (Location, Time, Behavior) cho **MỌI** request truy cập tài nguyên.
- Quản trị vòng đời Danh tính (Identity Lifecycle Management - ILM): JML (Joiner-Mover-Leaver) tự động (HR → IdP → AD/Entra ID → App). Certify/Recertification định kỳ.
- Bảo vệ Credential: Password Manager doanh nghiệp, Không hardcode secret (Vault: HashiCorp Vault, CyberArk, AWS Secrets Manager, Azure Key Vault), Rotate Key/Cert tự động.
- Giám sát & Phát hiện bất thường (ITDR - Identity Threat Detection & Response): Impossible Travel, Token Theft (Pass-the-Cookie), MFA Fatigue, Password Spray, Golden Ticket. Tool: Microsoft Defender for Identity, Okta Identity Threat Protection, CrowdStrike Falcon Identity Protection.
- Đào tạo & Phishing Simulation liên tục: Nhắm vào hành vi: Không click link lạ, Không nhập pass trên trang không phải domain chính, Báo cáo email đáng ngờ, Sử dụng Passkey/FIDO2.
Kết luận
Xác thực không chỉ là "đăng nhập". Là nền tảng của **Zero Trust**, **Least Privilege**, **Accountability**. Chuyển dịch từ **Password-based (Knowledge)** → **Possession/Inherence-based (FIDO2, Biometrics, Certificates)** + **Adaptive/Continuous** là xu hướng bắt buộc để chống lại Threat Landscape hiện đại (Ai-powered Phishing, Infostealer, Session Hijacking, Identity-based Attacks).