Đơn giản hóa và bảo mật thông tin đăng nhập trực tuyến với YubiKey

Những thiết bị đơn giản, không tốn pin này giúp dễ dàng xác minh rằng chính bạn mới thực sự là người đang muốn truy cập vào các tài khoản trực tuyến của mình.

• Trình quản lý mật khẩu hoạt động như thế nào? 

Khi chúng ta bị phụ thuộc nhiều hơn vào các nền tảng trực tuyến cho các mục đích xã hội và nghề nghiệp, việc áp dụng các biện pháp bảo mật trực tuyến mạnh mẽ hơn ngày càng trở nên quan trọng. Một trong những bước quan trọng nhất bạn có thể thực hiện để bảo mật các dịch vụ trực tuyến của mình là thiết lập xác thực hai yếu tố. Giao thức này — thường được viết tắt là 2FA — yêu cầu bạn nhập mật khẩu và cũng cung cấp một bằng chứng khác cho thấy bạn là chính mình trước khi bạn có thể đăng nhập vào một dịch vụ. 

Một trong những phương pháp 2FA phổ biến được sử dụng ngày nay sử dụng mật mã gồm sáu chữ số được gửi đến điện thoại của bạn qua tin nhắn văn bản. Khi một dãy số duy nhất hiển thị trên điện thoại của bạn, bạn nhập chúng vào trình duyệt cùng với mật khẩu của mình tại màn hình đăng nhập. Được kết hợp với một cụm mật khẩu mạnh như những cụm từ được tạo bởi trình quản lý mật khẩu như 1Password hoặc LastPass, đăng nhập 2FA khá hiệu quả trong việc xác minh danh tính của bạn.

Nhưng bất kể mật khẩu mạnh đến mức nào hay trang web đang phương pháp xác thực nào, bất kỳ hệ thống nào gửi mã trong tin nhắn văn bản đều có thể bị xâm nhập từ xa bởi một hacker lành nghề. Cách tốt nhất để thiết lập xác thực hai yếu tố là sử dụng một ứng dụng an toàn trên điện thoại của bạn để tạo các mã gồm sáu chữ số đó hoặc mang theo một phần cứng có thể xác minh danh tính của bạn.

YubiKey chính là một loại phần cứng như vậy. Công cụ hình chìa khóa nhỏ này cắm vào máy tính của bạn và cùng với mật khẩu của bạn, hoàn thành nửa sau của quá trình đăng nhập web 2FA. Một tin tặc có thể tìm cách đánh cắp mật khẩu của bạn hoặc đánh chặn mã 2FA gồm sáu chữ số trong khi mã này được gửi đến điện thoại của bạn, nhưng chúng sẽ khó mà ăn cắp được một chiếc chìa khóa vật lý từ bạn.  

Rất tuyệt nếu bạn đã thiết lập 2FA thông qua một ứng dụng như Google Authenticator hoặc Duo Security. Một YubiKey sẽ chỉ đơn giản là cung cấp một phương pháp xác thực khác thuận tiện hơn. Nếu bạn làm mất YubiKey hoặc để quên nó ở nhà, bạn có thể sử dụng trình tạo mã bảo mật trên điện thoại để hoàn tất đăng nhập 2FA của mình.

Yubikey là gì?

YubiKey là một chiếc chìa khóa bằng kim loại và nhựa nhỏ có kích thước bằng một thanh USB. Nó có thể cắm vào máy tính và một số cũng có thể kết nối với điện thoại. Bạn có thể sử dụng nó, cùng với mật khẩu của mình, để xác thực thông tin đăng nhập web. Yubikey giống như một chiếc chìa khóa vật lý, nhưng thay vì mở cửa, nó mở khóa cuộc sống trực tuyến của bạn.

Về cơ bản, các khóa Yubikey khác nhau đều tuân theo một tiêu chuẩn công nghiệp được gọi là Universal 2nd Factor, hoặc U2F. Tiêu chuẩn này xác thực dựa trên phần cứng với mật mã khóa công khai — một bộ công cụ cực kỳ khó xâm phạm. Các khóa U2F này đơn giản hóa quá trình truy cập an toàn vào các dịch vụ trực tuyến như Google, Facebook, Dropbox, Windows và Mac OS. Nó cũng hỗ trợ các trình quản lý mật khẩu như Lastpass, Dashlane và Keepass. Các khóa U2F thậm chí có thể được sử dụng để mở khóa máy Mac hoặc PC Windows của bạn từ màn hình chính.

 Bắt đầu sử dụng khóa Yubikey như thế nào? 

Bạn bắt đầu sử dụng Yubikey bằng cách kích hoạt nó. Truy cập trang web của Yubico và lựa chọn loại khóa YubiKey của bạn. Tiếp theo, chọn các dịch vụ bạn muốn sử dụng YubiKey của mình để đăng nhập. Các dịch vụ phổ biến hỗ trợ U2F và FIDO2, như Facebook, Google và Dropbox, được liệt kê ở trên cùng. Cũng nằm trong số các lựa chọn hàng đầu là các tùy chọn đăng nhập máy tính cho Mac và PC Windows. Bạn có thể thiết lập YubiKey của mình để sử dụng với các giải pháp quản lý mật khẩu như Dashlane và LastPass cũng như các nền tảng dành cho lập trình viên như Github và Bitbucket. Hầu như tất cả mọi dịch vụ bạn có thể truy cập bằng quá trình xác thực hai yếu tố (2FA) mà không dựa trên SMS đều cho phép bạn thêm YubiKey vào giao thức đăng nhập của mình.

Để cung cấp cho bạn một ví dụ rõ ràng, hãy thiết lập YubiKey để hoạt động với Facebook. 

Trên trang thiết lập YubiKey, nhấp vào Facebook. Yubico sẽ gửi bạn đến trang Facebook có tên “Khóa bảo mật là gì và nó hoạt động như thế nào?“. Để thiết lập YubiKey, Facebook hướng bạn đến Cài đặt bảo mật và đăng nhập (Security and Login Settings). Vì YubiKey là một trong hai yếu tố dùng để xác thực, nếu bạn chưa thiết lập 2FA, trước tiên Facebook sẽ hướng dẫn bạn thiết lập. Điều này thường liên quan đến việc cung cấp cho Facebook một số điện thoại để nhắn tin cho bạn mật mã một lần (OTP – One time password). Sau khi thiết lập xong, hãy quay lại trang Cài đặt bảo mật và đăng nhập và xem bên dưới có nội dung “Thiết lập bảo mật bổ sung” (Setting up extra security). Bên cạnh mục menu “Sử dụng xác thực hai yếu tố” (Use two-factor authentication), hãy nhấp vào Chỉnh sửa/Edit. Trong “Khóa bảo mật” (Security Keys), bạn sẽ tìm thấy tùy chọn có tên “Thêm khóa” (Add key).

Cắm YubiKey vào cổng USB. Sau khi được cắm vào, khóa sẽ hiển thị đèn nhấp nháy. Nếu nó không nhấp nháy, hãy thử cắm nó vào một cổng USB khác hoặc lật ngược lại — có thể bạn đã cắm ngược. Khi thấy đèn nhấp nháy, hãy nhấn vào đĩa vàng ở giữa phím. (Nếu kiểu máy của bạn có nút, hãy nhấn nút.) Sau đó, khóa xác thực hai yếu tố phần cứng của bạn được kích hoạt. Vào lần tiếp theo khi bạn đăng nhập vào Facebook, thay vì sử dụng mật mã gồm sáu chữ số để xác minh danh tính của mình, bạn sẽ được yêu cầu cắm khóa YubiKey của mình vào.

Nếu bạn quên YubiKey ở nhà, đừng căng thẳng. Facebook (hoặc bất kỳ dịch vụ nào) sẽ chỉ yêu cầu bạn sử dụng một dạng 2FA khác để đăng nhập. Nếu bạn đánh mất YubiKey, bạn có thể vào cài đặt của dịch vụ và xóa YubiKey cũ khỏi danh sách khóa bảo mật.

Vân Nguyễn (theo Wired)