Mật khẩu, dù mạnh tới đâu, vẫn có thể bị lộ qua rò rỉ dữ liệu, qua trang lừa đảo, hoặc qua phần mềm ghi phím. Xác thực hai lớp thêm một yếu tố thứ hai để một mình mật khẩu là chưa đủ. Nhưng không phải lớp thứ hai nào cũng như nhau — khác biệt giữa chúng lớn hơn nhiều người tưởng.
SMS: có còn hơn không, nhưng yếu nhất
Mã gửi qua tin nhắn là hình thức phổ biến nhất vì không cần cài gì. Nó chặn được kẻ tấn công chỉ có mật khẩu trong tay, và với đa số người dùng thì đã tốt hơn hẳn không có gì.
Nhưng nó có những điểm yếu thật sự:
- Chiếm quyền SIM — kẻ tấn công thuyết phục nhà mạng chuyển số của bạn sang SIM của họ, thường bằng thông tin cá nhân thu thập được từ nơi khác.
- Không chống được lừa đảo — trang giả yêu cầu bạn nhập mã, bạn nhập, kẻ tấn công dùng ngay mã đó trên trang thật.
- Phụ thuộc sóng — ra nước ngoài hoặc mất sóng là không đăng nhập được.
Ứng dụng TOTP: cân bằng tốt cho hầu hết trường hợp
TOTP là mã sáu chữ số đổi mỗi 30 giây, sinh bởi ứng dụng trên điện thoại. Cơ chế đơn giản: khi thiết lập, dịch vụ và ứng dụng của bạn cùng lưu một khoá bí mật. Cả hai lấy khoá đó cộng với thời gian hiện tại rồi tính ra cùng một mã.
Điểm mấu chốt: không có gì được gửi qua mạng. Ứng dụng hoạt động cả khi máy bay, và không có SIM nào để chiếm.
Vấn đề còn lại là TOTP vẫn không chống được lừa đảo. Trang giả xin mã, bạn đưa, họ dùng trong vòng 30 giây. Ngoài ra bạn phải tự lo chuyện sao lưu: mất điện thoại mà không có mã dự phòng là mất quyền truy cập.
Khi bật TOTP, hãy làm hai việc ngay: lưu mã khôi phục ở nơi an toàn ngoài điện thoại, và cân nhắc ứng dụng có đồng bộ mã hoá giữa nhiều thiết bị.
Khoá bảo mật phần cứng: lớp duy nhất chặn được lừa đảo
Khoá vật lý theo chuẩn FIDO2/WebAuthn — cắm USB hoặc chạm NFC — là hình thức mạnh nhất, vì một lý do kỹ thuật rất đẹp.
Khi đăng ký, khoá tạo một cặp khoá riêng cho từng trang web và ghi nhớ tên miền. Lúc đăng nhập, nó chỉ ký nếu tên miền đang yêu cầu khớp đúng với tên miền đã đăng ký.
Hệ quả: bạn vào một trang giả mạo giống hệt về giao diện nhưng khác tên miền, khoá đơn giản là không phản hồi. Không có mã nào để bạn lỡ đưa nhầm. Đây là khác biệt căn bản — TOTP dựa vào việc bạn nhận ra trang giả, khoá phần cứng không cần bạn nhận ra.
Đổi lại: tốn tiền mua, phải mang theo, và nên mua hai cái — một dùng, một cất dự phòng. Mất cái duy nhất mà chưa đăng ký cái thứ hai là rắc rối lớn.
Passkey: khoá phần cứng nhưng nằm trong máy bạn
Passkey dùng đúng nền tảng WebAuthn như trên, nhưng khoá riêng lưu trong chip bảo mật của điện thoại hoặc máy tính và mở bằng vân tay hay khuôn mặt.
Nó thừa hưởng khả năng chống lừa đảo của FIDO2 mà không cần mua thiết bị rời, lại đồng bộ được qua tài khoản hệ điều hành. Với phần lớn người dùng, đây là điểm cân bằng tốt nhất hiện nay giữa an toàn và tiện.
Nên chọn gì
| Loại tài khoản | Đề xuất |
|---|---|
| Email chính, ngân hàng, tên miền | Khoá phần cứng hoặc passkey |
| Mạng xã hội, công cụ công việc | TOTP hoặc passkey |
| Dịch vụ linh tinh ít quan trọng | TOTP; SMS nếu không có lựa chọn khác |
Ưu tiên bảo vệ email chính trước tất cả. Ai kiểm soát được hộp thư của bạn thì đặt lại mật khẩu được gần như mọi tài khoản khác — mọi lớp bảo vệ ở nơi khác trở nên vô nghĩa.
Và dù chọn hình thức nào, hãy lưu mã khôi phục ở nơi bạn thật sự tìm lại được khi mất điện thoại.