Các phương pháp xác thực (Authentication) trong bảo mật mạng

Xác thực (Authentication) trong bảo mật mạng là gì?

Quy trình xác minh danh tính của người dùng, thiết bị hoặc tiến trình trước khi cấp quyền truy cập tài nguyên mạng. Đảm bảo "Ai đang truy cập" là chính xác.

3 Yếu tố xác thực cốt lõi (3 Factors)

Các phương pháp xác thực phổ biến

1. Xác thực đơn yếu tố (SFA - Single Factor Authentication)

Chỉ dùng 1 yếu tố (thường là mật khẩu). Yếu kém, dễ bị tấn công brute-force, phishing, keylogger.

2. Xác thực hai yếu tố (2FA - Two-Factor Authentication)

Kết hợp 2 yếu tố khác nhau (Knowledge + Possession). Tiêu chuẩn hiện nay cho tài khoản quan trọng.

Mật khẩu + OTP SMS/Email (yếu do SIM swap)
Mật khẩu + Authenticator App (TOTP) – Khuyên dùng
Mật khẩu + Hardware Token (FIDO2/U2F – YubiKey) – Mạnh nhất

3. Xác thực đa yếu tố (MFA - Multi-Factor Authentication)

≥2 yếu tố, có thể bao gồm cả sinh trắc. Dùng cho hệ thống nhạy cảm (ngân hàng, chính phủ, quản trị đặc quyền).

4. Xác thực không mật khẩu (Passwordless Authentication)

FIDO2/WebAuthn: Khóa công khai/riêng tư trên thiết bị + sinh trắc/PIN cục bộ.
Magic Link / Email OTP: Gửi link/OTP qua email.
Push Notification: Phê duyệt trên app điện thoại (Microsoft Authenticator, Duo).

5. Đăng nhập đơn (SSO - Single Sign-On)

Một lần xác thực → truy cập nhiều ứng dụng/hệ thống. Giao thức: SAML 2.0, OIDC/OAuth 2.0, Kerberos. Giảm mệt mỏi mật khẩu, tập trung quản trị.

6. Xác thực dựa trên chứng chỉ (Certificate-Based Authentication)

Dùng chứng chỉ số X.509 (PKI) trên Smart Card, PIV, CAC, hoặc máy tính. Mạnh, phù hợp môi trường doanh nghiệp/chính phủ.

7. Xác thực Kerberos (Three-Way Authentication)

Mô hình 3 bên: Client – KDC (Key Distribution Center) – Service. Dùng ticket (TGT, Service Ticket), mã hóa đối xứng. Mặc định trong Active Directory.

So sánh độ an toàn

Yếu tố	Mô tả	Ví dụ
Knowledge (Biết)	Thông tin chỉ chủ sở hữu biết	Mật khẩu, PIN, câu hỏi bảo mật, mẫu vẽ (Pattern)
Possession (Có)	Vật lý hoặc thiết bị chỉ chủ sở hữu có	Token phần cứng (YubiKey), Smart card, OTP SMS/Email, App Authenticator (Google Auth, Microsoft Authenticator), USB Security Key
Inherence (Là - Sinh trắc)	Đặc điểm sinh học/hành vi đặc trưng	Vân tay, khuôn mặt, mống mắt, giọng nói, chữ ký, keystroke dynamics, gait analysis

Phương pháp	Độ an toàn	Trải nghiệm người dùng	Chi phí triển khai
Mật khẩu đơn độc	Thấp	Cao	Thấp
2FA (SMS/Email)	Trung bình	Trung bình	Thấp
2FA (Authenticator App)	Cao	Trung bình	Thấp
2FA (FIDO2 Hardware Key)	Rất cao	Trung bình	Trung bình
Passwordless (FIDO2 + Biometric)	Rất cao	Cao	Trung bình/Cao
Certificate (Smart Card/PIV)	Rất cao	Thấp	Cao

Khuyến nghị thực hành tốt nhất

Bật MFA cho tất cả tài khoản đặc quyền, email, VPN, đám mây.
Ưu tiên FIDO2/WebAuthn (hardware key hoặc platform authenticator).
Triển khai SSO + MFA tập trung (IdP: Entra ID, Okta, Ping, Keycloak).
Vô hiệu hóa xác thực yếu (NTLM, Basic Auth, SFA).
Giám sát log xác thực: đăng nhập thất bại, địa lý bất thường, thiết bị mới.
Đào tạo người dùng: nhận diện phishing, không chia sẻ OTP, bảo quản hardware key.

Kết luận: Xác thực sinh trắc (Biometric) + Hardware Key (FIDO2) là phương pháp an toàn nhất hiện nay, kết hợp với Zero Trust Architecture.