Xác thực nhiều lớp để bảo vệ tài khoản

Tình trạng giả mạo nhằm lừa đảo tài chính diễn ra ngày càng nhiều, thủ đoạn ngày càng tinh vi. Tội phạm công nghệ ngày càng dùng những thuật toán thông minh hơn kết hợp với những cỗ máy tính mạnh để chạy các phần mềm phá mật khẩu.

Xác thực 2 yếu tố

Theo TS Châu Thành Đức, Giám đốc AI của mạng xã hội Zalo, có 3 hình thức giả mạo phổ biến đang được sử dụng để chống lại việc xác thực người dùng điện tử (eKYC) hiện nay gồm: DeepFake giả mạo khuôn mặt; mô hình 3D (như ma-nơ-canh); chỉnh sửa thông tin giả CCCD hoặc CMND. Với kỹ thuật giả mạo ngày càng tinh vi, kẻ xấu đang lợi dụng công nghệ để lừa đảo, chiếm đoạt tài sản.

Trong khi đó, đa phần việc xác thực eKYC trong khâu đối chiếu người thật và ảnh trên giấy tờ tùy thân hiện dừng lại ở mức độ đơn giản như yêu cầu ảnh chụp chân dung hay những tác vụ đơn giản. Chính điều này đã đặt ra bài toán đòi hỏi các công nghệ xác thực, chống giả mạo phải ngày càng tiến bộ. Các chuyên gia an ninh mạng trên thế giới vẫn luôn khuyến cáo người dùng nên đặt các mật khẩu mạnh và mỗi tài khoản dùng một mật khẩu riêng. Trang PhoenixNAP dẫn chứng một chương trình phá mật khẩu có thể mất khoảng 44 giờ để dò ra mật khẩu được tạo ngẫu nhiên "89&^598" nhưng phải mất tới 7 năm để dò ra mật khẩu "IloveMyCatLordStewart". Để "ép" người dùng phải đặt mật khẩu mạnh, nhiều ứng dụng, nhà cung cấp dịch vụ… yêu cầu người dùng phải tuân thủ các quy định mật khẩu như: số ký tự tối thiểu phải 6 hay 8, bao gồm chữ và số, có ít nhất một chữ in hoa và một ký tự đặc biệt (như *, &, #, @...) và không bao gồm hay giống như tên đăng nhập.

Đặc biệt, các dịch vụ điện tử, nhất là những dịch vụ quan trọng như ngân hàng, thanh toán..., còn khuyến nghị người dùng nên trang bị thêm một lớp khóa bảo vệ tài khoản của mình. Giải pháp khóa 2 lớp phổ biến hiện nay là dùng phương thức xác thực 2 yếu tố (2FA), thay vì chỉ dùng phương pháp xác thực truyền thống dựa trên 1 yếu tố là mật khẩu hay số PIN. Xác thực 2FA là phương pháp xác thực yêu cầu 2 yếu tố phụ thuộc vào nhau để chứng minh tính đúng của danh tính. Xác thực này dựa trên những thông tin mà người dùng biết (số PIN, mật khẩu) cùng với những gì mà người dùng có (SmartCard, USB, Token, Grid Card...) để chứng minh danh tính. Với khóa 2 lớp này, sau khi đăng nhập vào tài khoản bằng tên người dùng và mật khẩu, người dùng còn phải thực hiện thêm bước mở khóa thứ hai là nhập mật khẩu một lần OTP được nhà cung cấp dịch vụ, ngân hàng gửi tới thiết bị đã đăng ký được kết nối qua e-mail, SMS, cuộc gọi thoại…

Hiện các tài khoản Google, Apple ID, Faecbook… đều hỗ trợ xác thực 2FA. Đó là một tùy chọn mà người dùng cần bật lên - nghĩa là được trao quyền tự quyết định. Riêng với tài khoản Facebook, khi bật tính năng xác thực 2FA, người dùng sẽ được yêu cầu chọn 1 trong 3 phương thức bảo mật: Nhấn vào khóa bảo mật (giống như dạng Token USB) trên thiết bị tương thích; mã đăng nhập từ ứng dụng xác thực của bên thứ ba; mã nhận qua tin nhắn văn bản (SMS) trên điện thoại di động.

Xác thực 2 yếu tố trên Apple IDẢnh: Apple

Dùng sinh trắc học

Tuy nhiên, việc sử dụng xác thực 2FA chỉ có giá trị tăng độ bảo mật lên gấp đôi chứ không phải là một giải pháp bảo vệ tuyệt đối. Đó là lý do mà mỗi khi gửi SMS mã OTP, nhiều dịch vụ đều khuyến cáo người dùng không cung cấp mã này cho ai khác và cũng đặt ra thời hạn hiệu lực của mã, có khi là 1-2 phút.

Vì thế, để tăng cường độ bảo mật cho xác thực 2FA, các chuyên gia khuyên người dùng nên sử dụng phương thức xác thực thứ hai bằng sinh trắc học (vân tay, khuôn mặt, mống mắt...). Dễ nhất và phổ biến nhất là dùng vân tay thay cho mã OTP. Hiện hầu như các smartphone - ngoại trừ loại giá quá rẻ - đều tích hợp cảm biến vân tay hay đăng nhập bằng khuôn mặt. Nhiều laptop cũng tích hợp tính năng này. Riêng máy tính để bàn thì phải có thêm thiết bị quét vân tay gắn ngoài. Đại diện Công ty An ninh mạng Kaspersky Việt Nam cho hay: "Bản thân xác thực 2FA làm giảm nghiêm trọng nguy cơ tài khoản của bạn bị xâm nhập nhưng nó không bảo đảm bảo mật hoàn toàn. 

Do đó, cần thực hiện các biện pháp phòng ngừa bổ sung như: Bảo đảm đặt mật khẩu để đăng nhập vào thiết bị đã cài đặt trình xác thực; sử dụng ứng dụng xác thực biết cách ẩn mã dùng một lần khỏi những con mắt không mong muốn và cho phép bạn đặt mật khẩu để đăng nhập vào chính ứng dụng đó; sao lưu trình xác thực...

Trình quản lý mật khẩu sẽ giúp người dùng tạo và ghi nhớ các chuỗi ký tự duy nhất và an toàn. Đồng thời đề phòng rò rỉ và kịp thời thay đổi mật khẩu từ các dịch vụ bị ảnh hưởng, đặc biệt nếu đó là e-mail mà các tài khoản khác được liên kết tới.