Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Hai bước phổ biến trong xác thực (Authentication) bảo mật mạng

Phương pháp xác thực mạng phổ biến

  • Single-Factor (1FA): Chỉ một yếu tố (thường là password).
  • Two-Factor Authentication (2FA): 2 yếu tố khác nhau (password + OTP SMS/App, password + FIDO2 key).
  • Single Sign-On (SSO): Đăng nhập 1 lần truy cập nhiều hệ thống (SAML, OIDC, Kerberos).
  • Multi-Factor Authentication (MFA): ≥2 yếu tố (knowledge + possession + inherence). Mạnh hơn 2FA.
  • PAP (Password Authentication Protocol): Truyền password plaintext – không an toàn, lỗi thời.
  • CHAP (Challenge-Handshake Authentication Protocol): Challenge-response, không truyền password qua mạng.
  • EAP (Extensible Authentication Protocol): Khung chung cho nhiều phương pháp (EAP-TLS, PEAP, EAP-TTLS) dùng trong 802.1X, VPN, Wi-Fi Enterprise.

2 bước trong quy trình xác thực

  1. Identification (Nhận diện): User cung cấp identifier (username, email, certificate).
  2. Verification (Xác minh): User chứng minh danh tính bằng credential (password, OTP, biometric, key).

Mở rộng: Authorization (Phân quyền) đến sau Authentication – quyết định "được làm gì".

Các bước xác thực chi tiết (Client-Server)

  1. User nhập username/password.
  2. Client gửi DN (Distinguished Name) + credential lên server (qua kênh mã hóa TLS).
  3. Server so sánh credential với entry trong directory (AD, LDAP, IdP).
  4. Khớp → tạo session token / ticket (Kerberos) / JWT / SAML assertion.
  5. Client dùng token truy cập resource.

3 yếu tố xác thực (Authentication Factors)

Yếu tốVí dụ
Knowledge (Biết): Điều bạn biếtPassword, PIN, câu hỏi bảo mật, pattern
Possession (Có): Đồ vật bạn cóĐiện thoại (OTP SMS/Authenticator), FIDO2 key (YubiKey), Smart card, Hardware token
Inherence (Là): Đặc điểm sinh trắcVân tay, Face ID, mống mắt, giọng nói, keystroke dynamics

MFA thực sự = kết hợp ≥2 yếu tố khác nhóm (ví dụ: password + OTP app = Knowledge + Possession).

Loại 2FA phổ biến

  1. SMS 2FA: Mã OTP qua tin nhắn – dễ bị SIM swap, SS7 attack.
  2. Authenticator App / TOTP: Google Authenticator, Authy, Microsoft Authenticator (RFC 6238) – an toàn hơn SMS.
  3. Push 2FA: Thông báo duyệt/từ chối trên app (Duo, Okta Verify, Microsoft Authenticator) – UX tốt, chống phishing tốt.
  4. FIDO2 / WebAuthn / U2F: Hardware key (YubiKey, Titan) – kháng phishing mạnh nhất, không thể remote steal.
  5. Backup Codes: Mã dự phòng dùng 1 lần (in giấy/lưu keepass).

2 yếu tố xác thực phổ biến nhất

Hầu hết MFA triển khai: Password (Knowledge) + OTP App/TOTP hoặc Push (Possession). Xu hướng: loại bỏ password → Passwordless (FIDO2 + Biometric).

4 yếu tố xác thực (4FA)

Knowledge + Possession + Inherence + Location/Context (địa lý, IP, device fingerprint, time). Dùng cho high-value transaction (ngân hàng, chính phủ).

Phương pháp xác thực an toàn nhất

FIDO2/WebAuthn + Biometric (Platform Authenticator: Windows Hello, Touch ID, Face ID) hoặc Hardware Key (YubiKey). Tiêu chuẩn: phishing-resistant, không shared secret, private key không bao giờ rời thiết bị. Được NIST, Google, Microsoft, Apple khuyến nghị.

2 bước xác thực (2-Step Verification) – quy trình

  1. User đăng nhập username/password (bước 1).
  2. Hệ thống yêu cầu yếu tố 2: OTP app, push notification, hardware key, SMS.
  3. User cung cấp yếu tố 2 → xác minh thành công → cấp session.

2FA là gì và hoạt động như thế nào?

Yêu cầu 2 bằng chứng khác nhóm trước khi cho truy cập. Ví dụ: Password (biết) + Mã OTP trên điện thoại (có). Ngăn chặn takeover tài khoản ngay cả khi password bị rò rỉ.

Chính sách 2-Step Verification

Admin bắt buộc bật 2SV cho toàn tổ chức. Nếu user/admin mất yếu tố 2 (mất key, mất phone) → không đăng nhập được → cần quy trình recovery (backup codes, admin reset, support ticket).

2 yếu tố trong 2FA

  1. Yếu tố 1: Password (hoặc passwordless: biometric/FIDO2).
  2. Yếu tố 2: OTP SMS/App, Push, Hardware key, Biometric.

Lưu ý: 2 password = 1FA (cùng nhóm Knowledge). Phải khác nhóm.

Các bước xác thực (tóm tắt)

  1. User nhập credential.
  2. Client gửi lên server (mã hóa).
  3. Server verify với identity store.
  4. Cấp token/session.

Xác thực user trên Server

Server verify identity qua: username/password, smart card, biometric (vân tay, mặt, giọng), certificate, FIDO2. Chọn phương pháp phù hợp rủi ro (risk-based authentication).

Triển khai xác thực an toàn (Best Practices)

  • Bảo vệ secret (key, password) – không hardcode, dùng Vault/KMS.
  • Token JWT: ký (RS256/ES256), set exp, aud, iss, không chứa PII nhạy cảm.
  • Bắt buộc HTTPS (TLS 1.2/1.3) mọi endpoint auth.
  • Rate limiting, account lockout, CAPTCHA chống brute-force.
  • MFA bắt buộc cho admin, remote access, privileged access.
  • Session management: secure cookie, SameSite, rotation, revocation.
  • Audit log mọi sự kiện auth (success/fail, MFA, password change).

Các loại xác thực (Summary)

  • Password / Passphrase
  • Certificate / PKI (X.509)
  • Symmetric Key (Kerberos, PSK)
  • Biometric (Fingerprint, Face, Iris, Voice)
  • Hardware Token (FIDO2, U2F, Smart Card, OTP Token)
  • Behavioral / Continuous Authentication
  • Risk-based / Adaptive Authentication

3 loại xác thực chính & chi tiết

  1. Knowledge-based: Password, PIN, câu hỏi. Ưu: dễ triển khai. Nhược: yếu, bị phishing, reuse, guess.
  2. Possession-based: OTP app, SMS, hardware key, smart card. Ưu: mạnh hơn password. Nhược: mất thiết bị, SIM swap (SMS).
  3. Biometric-based: Vân tay, mặt, mống mắt. Ưu: tiện, không quên. Nhược: false accept/reject, không thể đổi (non-revocable), privacy concern.

3 nhóm yếu tố MFA (NIST SP 800-63B)

  1. Something you know: Password, PIN.
  2. Something you have: Phone (OTP app), FIDO2 key, Smart card, Badge.
  3. Something you are: Biometric (fingerprint, face, iris, voice).

MFA = chọn ≥2 nhóm khác nhau. Passwordless = bỏ nhóm 1, dùng nhóm 2+3.