Bài 75. Quản lý danh tính (2): MFA, passkeys, backup codes và chính sách mật khẩu

Khóa học CompTIA Security+ SY0-801 · Phần 4: Vận hành bảo mật · Bài 75 · 🎯 Objective 4.5 · ⏱️ Đọc khoảng 18 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Phân biệt các yếu tố xác thực và hiểu vì sao MFA chặn được phần lớn tấn công vào tài khoản.
• Biết ưu và nhược điểm của các loại authenticator: SMS, ứng dụng mã, thông báo đẩy, khóa bảo mật, sinh trắc học.
• Hiểu passkey (FIDO2/WebAuthn) và vì sao nó chống được phishing.
• Nắm backup codes, chính sách mật khẩu hiện đại và vai trò của trình quản lý mật khẩu.

📎 Vị trí trong đề thi: tiếp nối Bài 74 (vòng đời danh tính, SSO), bài này lo cách chứng minh "tôi là tôi". Nó dùng lại các tấn công mật khẩu và vòng qua MFA ở Bài 32, AAA ở Bài 2, mật mã khóa công khai ở Bài 9 và hashing, salting ở Bài 10.

💡 Liên hệ thực tế: mật khẩu bị lộ nhưng tài khoản vẫn an toàn

Một nhân viên của chị Lan nhận email giả mạo "hệ thống bán hàng yêu cầu đăng nhập lại" và nhập mật khẩu vào một trang giả. Kẻ tấn công có mật khẩu và thử đăng nhập thật ngay. Nhưng tài khoản này đã bật mã xác nhận thứ hai gửi tới điện thoại, nên kẻ tấn công bị chặn ở bước hai. Đây là tình huống minh họa, không phải vụ việc có thật.

Nam kể thêm một kịch bản xấu hơn: kẻ tấn công gửi liên tục yêu cầu phê duyệt trên điện thoại lúc nửa đêm; người dùng mệt và bấm "Đồng ý" cho yên. Đó là MFA fatigue. Vì vậy Nam chọn ứng dụng có đối chiếu số cho nhân viên thường và khóa bảo mật hoặc passkey cho quản trị, loại xác thực mà trang giả không thể lừa được.

🔑 Hình 75a. MFA thật sự cần hai yếu tố thuộc hai nhóm khác nhau.

📘 Kiến thức cốt lõi

🧩 Các yếu tố xác thực và MFA

MFA (Multi-Factor Authentication) là yêu cầu ít nhất hai yếu tố thuộc hai nhóm khác nhau. Mật khẩu cộng PIN (cùng nhóm "biết") không phải MFA thật sự. 2FA là trường hợp MFA có đúng hai yếu tố. Nếu mật khẩu bị lộ do phishing, tái sử dụng hay vét cạn (Bài 32) thì yếu tố thứ hai vẫn ngăn kẻ tấn công. Với quyền quản trị, truy cập từ xa (VPN) và dịch vụ đám mây, MFA nên là bắt buộc.

📱 Các loại authenticator

Sinh trắc học có hai chỉ số sai: FAR (False Acceptance Rate) là tỷ lệ chấp nhận nhầm người lạ (rủi ro bảo mật), FRR (False Rejection Rate) là tỷ lệ từ chối nhầm người thật (khó chịu cho người dùng). Điểm hai tỷ lệ này bằng nhau gọi là CER/EER; càng thấp thì hệ thống càng chính xác. Sinh trắc học thường được lưu trên thiết bị để mở khóa khóa riêng chứ không gửi đi.

🗝️ Passkey: xác thực không mật khẩu

Passkey (dựa trên chuẩn FIDO2/WebAuthn) thay mật khẩu bằng cặp khóa mật mã khóa công khai (Bài 9):

1. Khi đăng ký, thiết bị tạo cặp khóa; khóa công khai gửi cho dịch vụ, khóa riêng ở lại trên thiết bị.
2. Khi đăng nhập, dịch vụ gửi một thử thách (chuỗi ngẫu nhiên).
3. Người dùng mở khóa khóa riêng bằng vân tay, khuôn mặt hoặc PIN trên thiết bị (không gửi đi).
4. Thiết bị ký thử thách; dịch vụ xác minh bằng khóa công khai.

🗝️ Hình 75b. Khóa riêng nằm yên trên thiết bị: không có mật khẩu để bị lừa nhập vào trang giả.

Lợi ích: không có mật khẩu để lộ hay tái sử dụng; chống phishing vì passkey gắn với tên miền thật nên trang giả không dùng được; kẻ tấn công lấy cắp cơ sở dữ liệu của dịch vụ chỉ được khóa công khai vô dụng. Lưu ý: passkey có thể đồng bộ qua tài khoản nền tảng để tiện nhưng cũng cần bảo vệ tài khoản đó; cần phương án khôi phục khi mất thiết bị; và tổ chức cần chính sách cho thiết bị cá nhân.

🔢 Backup codes và khôi phục tài khoản

Backup codes (mã dự phòng) là các mã dùng một lần cấp sẵn để vào tài khoản khi mất yếu tố thứ hai (mất điện thoại, hỏng khóa).

• Lưu ở nơi an toàn, tách khỏi thiết bị chính (trình quản lý mật khẩu hoặc nơi cất vật lý); không lưu chung với mật khẩu ở nơi dễ lộ.
• Mỗi mã chỉ dùng một lần; dùng hết thì phải tạo bộ mới (bộ cũ sẽ bị vô hiệu).
• Quy trình khôi phục là mắt xích yếu nhất: nếu bộ phận hỗ trợ đặt lại MFA chỉ qua một cuộc điện thoại thì kẻ lừa đảo sẽ nhắm vào đó. Cần xác minh danh tính chặt (identity proofing, Bài 74) và thông báo cho người dùng thật khi có thay đổi yếu tố xác thực.

🔐 Chính sách mật khẩu hiện đại

Nhiều khuyến nghị hiện đại (như hướng dẫn của NIST SP 800-63B) khác với thói quen cũ:

Các khái niệm thường gặp trong đề: độ dài (length), độ phức tạp (complexity), tái sử dụng (reuse), hết hạn (expiration), tuổi mật khẩu (age), lịch sử mật khẩu (history). Chính sách cũ thường kết hợp độ phức tạp, hết hạn và lịch sử; xu hướng mới nhấn mạnh độ dài và việc kiểm tra bị lộ, đồng thời giảm phụ thuộc mật khẩu bằng MFA và passkey. Hãy đọc đề kỹ: nếu đề hỏi về "chính sách truyền thống" thì độ phức tạp và hết hạn là câu trả lời; nếu hỏi "khuyến nghị hiện đại" thì ưu tiên độ dài và kiểm tra bị lộ.

🧰 Trình quản lý mật khẩu

Password manager lưu mật khẩu trong kho được mã hóa, mở bằng một mật khẩu chủ mạnh (cộng MFA):

• Cho phép dùng mật khẩu dài, ngẫu nhiên, khác nhau cho từng dịch vụ mà không phải nhớ.
• Nhiều sản phẩm tự điền chỉ khi đúng tên miền, giúp phát hiện trang giả.
• Có thể cảnh báo mật khẩu yếu, trùng, bị lộ; tích hợp tạo mã dự phòng và lưu passkey.
• Rủi ro tập trung: nếu mật khẩu chủ hoặc tài khoản bị chiếm thì mất tất cả; vì vậy cần MFA mạnh, mật khẩu chủ dài và có phương án khôi phục.
• Tổ chức nên dùng bản dành cho doanh nghiệp có chia sẻ an toàn, nhật ký và thu hồi khi nhân viên rời đi (Bài 74).

🚫 Passwordless và xu hướng

Passwordless (không mật khẩu) dùng passkey, khóa bảo mật hoặc thẻ thông minh thay cho mật khẩu. Nó loại bỏ cả một họ tấn công (đoán, nhồi mật khẩu, phishing mật khẩu) nhưng vẫn cần bảo vệ thiết bị, khôi phục tài khoản và hỗ trợ cho ứng dụng cũ chưa dùng được chuẩn mới.

🎯 Mẹo làm bài: "Hai yếu tố thuộc hai nhóm khác nhau" → MFA. "Mật khẩu cộng PIN" → không phải MFA (cùng nhóm biết). "Chiếm số điện thoại để lấy mã" → SIM swap, nhược điểm của SMS. "Gửi liên tục yêu cầu phê duyệt cho tới khi người dùng bấm Đồng ý" → MFA fatigue, chống bằng number matching. "Chống phishing mạnh nhất" → khóa bảo mật FIDO2 hoặc passkey. "Khóa riêng không rời thiết bị, gắn với tên miền" → passkey. "Mã dùng một lần khi mất yếu tố thứ hai" → backup codes. "Chấp nhận nhầm người lạ" → FAR; "từ chối nhầm người thật" → FRR. "Điểm FAR bằng FRR" → CER/EER. "Khuyến nghị hiện đại cho mật khẩu" → ưu tiên độ dài, kiểm tra bị lộ, không ép đổi định kỳ. "Kho mã hóa mật khẩu mở bằng mật khẩu chủ" → password manager.

🧠 Áp vào câu chuyện của Nam

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• MFA cần hai yếu tố thuộc hai nhóm khác nhau; mật khẩu cộng PIN không đủ.
• SMS là loại MFA yếu nhất (SIM swap); push cần number matching chống MFA fatigue; khóa bảo mật FIDO2 và passkey chống phishing.
• Passkey dùng cặp khóa công khai, khóa riêng ở lại thiết bị, gắn với tên miền thật.
• Backup codes dùng một lần, cất an toàn; quy trình khôi phục phải xác minh chặt.
• Mật khẩu hiện đại: ưu tiên độ dài, kiểm tra danh sách bị lộ, không ép đổi định kỳ, không tái sử dụng, dùng password manager.

💬 Hỏi & Đáp nhanh

❓ SMS có đáng bị bỏ hoàn toàn không? Không nên bỏ nếu là lựa chọn duy nhất, vì có SMS vẫn tốt hơn không có MFA. Nhưng với tài khoản quan trọng nên chuyển sang ứng dụng mã, khóa bảo mật hoặc passkey.

❓ Passkey có thay thế hoàn toàn mật khẩu không? Dần dần. Nhiều dịch vụ đã hỗ trợ, nhưng ứng dụng cũ và hệ thống nội bộ vẫn cần mật khẩu. Giai đoạn chuyển tiếp thường là kết hợp passkey, MFA và mật khẩu mạnh.

❓ Vì sao không còn khuyên đổi mật khẩu mỗi 90 ngày? Vì ép đổi định kỳ khiến người dùng chọn mật khẩu dễ đoán theo quy luật. Hướng dẫn hiện đại khuyên chỉ đổi khi có dấu hiệu bị lộ, và bù lại bằng độ dài, kiểm tra danh sách bị lộ và MFA.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Cách nào sau đây là xác thực đa yếu tố (MFA) thật sự?

• A. Mật khẩu và PIN
• B. Hai mật khẩu khác nhau
• C. Mật khẩu và mã từ ứng dụng trên điện thoại
• D. Câu hỏi bí mật và mật khẩu

Câu 2. Kẻ tấn công liên tục gửi yêu cầu phê duyệt MFA tới điện thoại nạn nhân lúc nửa đêm cho tới khi họ bấm Đồng ý. Đây là tấn công nào?

• A. SIM swap
• B. Brute force
• C. Pass-the-hash
• D. MFA fatigue

Câu 3. Phương pháp xác thực nào sau đây chống phishing tốt nhất?

• A. Khóa bảo mật FIDO2 hoặc passkey
• B. Mã SMS
• C. Câu hỏi bí mật
• D. Mật khẩu dài

Câu 4. Một hệ thống sinh trắc học chấp nhận nhầm người lạ với tỷ lệ cao. Chỉ số nào bị ảnh hưởng?

• A. FRR
• B. FAR
• C. TOTP
• D. SAML

Câu 5. Theo khuyến nghị mật khẩu hiện đại, biện pháp nào sau đây phù hợp nhất?

• A. Bắt đổi mật khẩu mỗi 30 ngày
• B. Chặn việc dán mật khẩu
• C. Ưu tiên độ dài và từ chối mật khẩu nằm trong danh sách đã bị lộ
• D. Cho phép thử mật khẩu không giới hạn

👉 Đáp án

Câu 1: C — Mật khẩu (điều bạn biết) cộng mã từ điện thoại (thứ bạn có) thuộc hai nhóm khác nhau.

Câu 2: D — Đây là MFA fatigue; chống bằng number matching và cảnh báo khi có nhiều yêu cầu liên tiếp.

Câu 3: A — Khóa FIDO2 và passkey gắn với tên miền thật nên trang giả không thể lừa được.

Câu 4: B — FAR là tỷ lệ chấp nhận nhầm người lạ, rủi ro bảo mật của sinh trắc học.

Câu 5: C — Hướng dẫn hiện đại ưu tiên độ dài, kiểm tra danh sách bị lộ, không ép đổi định kỳ, cho phép dán và giới hạn số lần thử.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng