Bảo mật 2 lớp có thực sự an toàn?

Ngoài Bitcoin, các tài liệu được công bố trong năm 2017 bởi The Intercept cho thấy một nhóm người Nga lựa chọn mục tiêu nhằm vào các quan chức bầu cử của Hoa Kỳ đã xây dựng một kế hoạch riêng với các hành động cụ thể để tấn công các tài khoản có bảo mật hai lớp. Chúng thu thập mã xác nhận bằng cách sử dụng cùng một phương pháp được dùng để lấy cắp mật khẩu.

Trong hầu hết mọi trường hợp, vấn đề không phải là bản thân bảo mật hai lớp mà là tất cả mọi thứ xung quanh nó. Vấn đề nằm ở chỗ cách bạn sử dụng máy tính thế nào, còn không thì cho dù có rất nhiều lớp bảo mật, bạn vẫn có thể bị tin tặc đột nhập nếu không hành động cẩn trọng.

Mạng không dây chính là điểm yếu yếu nhất của bảo mật hai lớp. Nếu bạn đột nhập tài khoản AT&T, Verizon, hoặc T-Mobile, những tài khoản hỗ trợ số điện thoại cho một cá nhân, bạn có thể dễ dàng chặn cướp bất kỳ cuộc gọi hoặc văn bản nào được gửi tới họ. Với những ứng dụng điện thoại như Signal, nơi ràng buộc hoàn toàn với một số điện thoại được định sẵn, ta có thể chặn cướp toàn bộ tài khoản. Tại thời điểm này, các nhà cung cấp vẫn là những người thích nghi chậm nhất với bảo mật hai lớp, hầu hết đều ưa thích những mật mã cá nhân dễ dàng hoặc thậm chí những câu hỏi bảo mật thiếu vững chắc.

Viện quốc gia về Tiêu chuẩn và Công nghệ của Hoa Kỳ đã lặng lẽ rút lại khoản hỗ trợ cho tính năng bảo mật hai lớp dựa trên SMS, họ đã chỉ ra những nguy cơ của việc bị đánh chặn hoặc lừa đảo nhưng các công ty công nghệ đã không thực sự chú ý. SMS là trung tâm của rất nhiều vụ xâm nhập bảo mật hai lớp. Có thể kể đến hàng loạt chặn cướp tài khoản Telegram ở Iran. Bảo mật hai lớp thông qua SMS khiến cho bất cứ ai cũng có thể xâm nhập vào tài khoản nhà cung cấp của bạn một cách dễ dàng.

Năm 2014, hệ thống iCloud của Apple đã bị chỉ trích kịch liệt sau khi các câu hỏi phục hồi tài khoản dễ dàng bị đoán được đã cho phép tin tặc ăn cắp hàng loạt những tấm ảnh nhạy cảm. Một chính sách gần đây của Apple cũng gây ra những vấn đề đáng lo ngại khi người dùng bị mất Recovery Key và quên mật khẩu thì tài khoản AppleID của họ sẽ bị khóa vĩnh viễn.

Google là một trong số ít những dịch vụ cho phép bạn từ chối những thiết bị điện tử xác thực yếu kém như SMS, mặc dù nó chỉ dành cho các khách hàng doanh nghiệp trên G Suite. Theo hệ thống đó, quản trị viên có thể đặt chính sách bảo mật hai lớp cho toàn bộ tổ chức của họ, cấm các thiết bị điện tử xác thực không an toàn hoặc buộc tất cả người dùng trên một tên miền nhất định phải sử dụng một phương pháp đăng nhập cụ thể. Nhưng điều đó chỉ hiệu quả khi có một quản trị viên có khả năng thiết lập các chính sách và giải quyết được bất kỳ vấn đề cốt lõi căn bản nào. Việc thiết lập chính sách sẽ trở nên khó khăn khi bạn phải thực hiện nó với hàng tỷ người dùng Gmail, do đó, đến nay Google vẫn chưa thực sự áp dụng rộng rãi nó.

Không phải tất cả những chuyện này có nghĩa là bảo mật hai lớp là vô nghĩa, nhưng nó không thực sự là cú hích mà nó đáng lẽ đã trở thành. Việc thêm một mã xác thực tăng thêm mức độ vững chắc cho trang đăng nhập, nhưng những kẻ tấn công thông minh vẫn sẽ tìm thấy một góc độ tiếp cận khác cho dù đó là nhà cung cấp dịch vụ tài khoản, thiết bị đăng ký trước, hay là bộ phận dịch vụ khách hàng. Những điểm yếu này là thước đo thực sự để đánh giá mức độ an toàn của một tài khoản tuy chúng không dễ nhận thấy được từ bên ngoài.

Khi Internet phát triển vượt trội mà không đi cùng với tính năng bảo mật hai lớp, vấn đề an ninh mạng sẽ trở nên khó khăn hơn. Trọng tâm mới là phát hiện mối đe dọa dựa trên hàng chục tín hiệu xung quanh như thiết lấy dấu vân tay và hành vi trên các trang mạng để xác định liệu một đăng nhập đã định sẵn có bảo đảm được những kiểm tra nghiêm ngặt. Một chuỗi đăng nhập đủ đáng ngờ có thể gây ra tình trạng đóng băng tài khoản hoặc yêu cầu một cuộc điện thoại đến dịch vụ khách hàng trước khi chủ thể có thể tiếp tục.

Theo Boroditsky, mô hình phát hiện và phòng ngừa có nhiều khả năng thành công hơn trong dài hạn, đây cũng là một cách hữu hiệu để tóm những tên tội phạm đột nhập hệ thống mạng, đặc biệt là đối với các công ty như Facebook và Google khi họ có các trí thông minh nhân tạo đẳng cấp thế giới và kho dữ liệu khổng lồ vô cùng thuận tiện cho việc triển khai các thuật toán.

Vấn đề đặt ra khi người dùng bị đẩy trở lại tình trạng trước khi có sự xuất hiện của iPhone hoặc thậm chí là Internet: Nếu không sử dụng bảo mật hai lớp, vấn đề bảo mật bị giao phó cho các quản trị viên mạng. Sử dụng bảo mật hai lớp vẫn là lời khuyên hữu ích nhưng nó chưa đủ, những lổ hổng khuyết điểm của tính năng vẫn chưa hoàn toàn được giải quyết. Sự thực là, không ai có thể bảo vệ bạn hoàn toàn, không có thứ gì an toàn tuyệt đối. Hãy là người dùng thông minh, hãy tự cập nhật cho mình các kỹ năng tự vệ trên mạng để không bị tin tặc lợi dụng.

Bình chọn bên dưới để chia sẻ cho nhau biết: người dùng ở Việt Nam có quan tâm đến bảo mật 2 lớp hay không.