Hầu hết các doanh nghiệp không cố tình xây dựng một hệ thống xác thực yếu. Điều này thường xảy ra một cách rất tự nhiên theo thời gian.
Một phương thức xác thực quen thuộc được triển khai, người dùng đăng nhập thành công, dự án kịp tiến độ và sản phẩm được phát hành. Khi hệ thống xác thực hoạt động ổn định, sự ưu tiên nhanh chóng chuyển sang các hạng mục khác. Mọi người thường cho rằng các cải tiến về bảo mật có thể được thực hiện sau.
Đáng tiếc là "sau này" thường đến theo cách không ai mong muốn.
Có thể mọi chuyện bắt đầu bằng một yêu cầu hỗ trợ khách hàng về một lỗi lặp đi lặp lại, một vụ tài khoản bị xâm nhập mà lẽ ra không nên xảy ra, hoặc chi phí SMS tăng đột biến do SMS Pumping Fraud (gian lận bơm SMS). Khi doanh nghiệp bắt đầu điều tra, nguyên nhân thường quay trở lại một quyết định về xác thực vốn được cho là hoàn toàn hợp lý tại thời điểm triển khai.
Xác thực phức tạp hơn nhiều so với những gì chúng ta nhìn thấy
Thoạt nhìn, quy trình xác thực có vẻ rất đơn giản: người dùng chứng minh danh tính, hệ thống xác minh và cấp quyền truy cập.
Tuy nhiên, phía sau quy trình đó là hàng loạt quyết định quan trọng như:
- Phiên đăng nhập (session) nên được duy trì trong bao lâu?
- Điều gì sẽ xảy ra nếu người dùng mất quyền truy cập vào yếu tố xác thực thứ hai?
- Hệ thống nên xử lý như thế nào khi người dùng đăng nhập từ một thiết bị lạ?
- Những phương án khôi phục tài khoản nào sẽ được cung cấp khi phương thức xác thực chính không còn khả dụng?
- Quy trình khôi phục có vô tình làm suy yếu chính phương thức xác thực chính hay không?
Nhiều doanh nghiệp tăng cường bảo mật bằng cách triển khai Passkey hoặc các phương thức xác thực mạnh hơn nhưng vẫn giữ SMS làm phương án dự phòng. Việc loại bỏ SMS thường bị xem là ảnh hưởng đến trải nghiệm người dùng.
Tuy nhiên, cơ chế dự phòng chỉ mạnh khi mắt xích yếu nhất của nó đủ an toàn. Nếu kẻ tấn công có thể chiếm quyền truy cập thông qua quy trình khôi phục tài khoản, thì việc sử dụng phương thức xác thực chính mạnh đến đâu cũng trở nên vô nghĩa.
Quản lý phiên đăng nhập (Session Management) cũng tồn tại nhiều rủi ro tương tự. Những mã truy cập (Access Token) có thời gian tồn tại quá dài, việc không hủy hoàn toàn phiên sau khi đăng xuất, hoặc mã làm mới (Refresh Token) vẫn còn hiệu lực quá lâu có thể không gây vấn đề ngay lập tức, nhưng đây đều là những điểm yếu thường bị khai thác theo thời gian.
Phần lớn các doanh nghiệp chỉ thực sự xây dựng được hệ thống xác thực vững chắc sau khi đã trải qua một hoặc nhiều sự cố bảo mật. Rất nhiều thực tiễn tốt nhất (Best Practices) trong ngành được hình thành từ chính những bài học thực tế đó.
Một quan niệm sai lầm khác là xem xác thực đồng nghĩa với toàn bộ hệ thống quản lý danh tính, bao gồm Single Sign-On (SSO), phân quyền (Authorization), OpenID Connect (OIDC) hay quản lý người dùng. Thực tế, mặc dù các thành phần này có liên quan, nhưng Authentication (xác thực) vẫn là một lĩnh vực chuyên biệt với những thách thức riêng.
Luồng xác thực (Authentication Flow), các yếu tố xác thực (Authentication Factors) và cơ chế khôi phục tài khoản (Recovery Mechanisms) luôn cần được thiết kế và đánh giá cẩn thận, bất kể doanh nghiệp đang sử dụng nhà cung cấp danh tính (Identity Provider) nào.
Nhiều tổ chức cho rằng chỉ cần triển khai các nền tảng như Okta hoặc Auth0 là đã giải quyết xong bài toán xác thực. Trên thực tế, các khoảng trống về bảo mật vẫn thường tồn tại ở những khu vực ít được chú ý.
Bối cảnh các mối đe dọa không ngừng thay đổi
Hệ thống xác thực được xây dựng vài năm trước vốn được thiết kế cho một môi trường hoàn toàn khác với hiện nay.
Một ví dụ điển hình là tấn công giả mạo (Phishing).
Trước đây, các chương trình đào tạo an ninh mạng thường hướng dẫn người dùng nhận biết email lừa đảo thông qua lỗi chính tả, địa chỉ người gửi đáng ngờ hoặc những nội dung mang tính thúc ép.
Sự phát triển của AI tạo sinh (Generative AI) đã thay đổi hoàn toàn bức tranh này. Tin tặc giờ đây có thể tạo ra những chiến dịch phishing được cá nhân hóa và rất thuyết phục với chi phí cực thấp. Điều này khiến việc chỉ dựa vào nhận thức của người dùng không còn là một biện pháp phòng vệ đủ hiệu quả.
Song song với đó, quy trình khôi phục tài khoản cũng ngày càng trở thành mục tiêu hấp dẫn đối với tin tặc. Khi các phương thức xác thực chính trở nên an toàn hơn, kẻ tấn công sẽ chuyển sang khai thác những mắt xích yếu hơn.
Các cơ chế như:
- Câu hỏi bảo mật (Security Questions)
- Khôi phục tài khoản qua SMS
- Đặt lại mật khẩu thông qua bộ phận hỗ trợ (Support-assisted Reset)
thường nhận được ít sự quan tâm hơn so với quy trình đăng nhập. Nếu quy trình khôi phục kém an toàn hơn quy trình xác thực, tin tặc chắc chắn sẽ lựa chọn con đường dễ dàng hơn.
Các yêu cầu pháp lý cũng thay đổi nhanh hơn nhiều doanh nghiệp vẫn nghĩ, đặc biệt trong các lĩnh vực có quy định nghiêm ngặt như tài chính - ngân hàng. Những yêu cầu chưa bắt buộc hôm nay hoàn toàn có thể trở thành quy định bắt buộc chỉ trong một thời gian ngắn.
Việc chỉ phát hiện các thay đổi sau khi quy định đã có hiệu lực thường khiến doanh nghiệp rơi vào thế bị động.
Điều này không có nghĩa là doanh nghiệp cần lo lắng quá mức, nhưng là lời nhắc nhở rằng hệ thống xác thực cần được đánh giá định kỳ để đảm bảo vẫn đủ hiệu quả và có thể thích ứng mà không phải tái phát triển toàn bộ.
Đó cũng là lý do các nền tảng như Authsignal ra đời. Thay vì để đội ngũ phát triển nội bộ liên tục theo kịp các tiêu chuẩn, mối đe dọa và yêu cầu mới, toàn bộ trách nhiệm này được xử lý ngay ở cấp độ nền tảng.
Những điểm yếu trong xác thực thường vô hình cho đến khi xảy ra sự cố
Phần lớn các lỗ hổng xác thực không biểu hiện ngay từ đầu.
Không có cảnh báo, không có dấu hiệu rõ ràng và cũng không có chỉ báo cho thấy hệ thống đang bị xâm phạm. Chúng âm thầm tồn tại cho đến khi một sự cố bảo mật xảy ra.
Một ví dụ điển hình là Replay Attack.
Nhiều hệ thống sử dụng OTP (One-Time Password) mặc định rằng mã OTP hợp lệ đồng nghĩa với việc người nhập mã chính là chủ tài khoản.
Trong thực tế, mã OTP có thể bị đánh cắp thông qua:
- Proxy thời gian thực (Real-time Reverse Proxy)
- Phishing
- Phần mềm độc hại (Malware)
Nếu kẻ tấn công có được mã OTP hợp lệ, hệ thống vẫn sẽ xác thực thành công. Từ góc độ của hệ thống, quy trình xác thực vẫn diễn ra hoàn toàn đúng như thiết kế và được coi là thành công.
Theo nghiên cứu của Microsoft năm 2024, hơn 40% các tài khoản bị chiếm quyền kiểm soát vẫn đang bật xác thực đa yếu tố (MFA) tại thời điểm xảy ra sự cố. Điều đó không có nghĩa MFA hoạt động sai, mà là thiết kế tổng thể của hệ thống vẫn tồn tại những khoảng trống bảo mật.
Xác thực qua SMS cũng tồn tại nhiều rủi ro riêng, bao gồm các hình thức gian lận có thể gây ra chi phí rất lớn. Tuy nhiên, SMS chỉ là một ví dụ cho một thực tế rộng hơn: mọi phương thức xác thực đều có giới hạn. Câu hỏi quan trọng là doanh nghiệp có phát hiện ra những điểm yếu đó trước khi tin tặc khai thác hay không.
Cho phép người dùng lựa chọn giúp tăng cả bảo mật lẫn trải nghiệm
Một hệ thống xác thực có thể hoạt động hoàn hảo trong môi trường thử nghiệm nhưng lại thất bại khi triển khai thực tế, đơn giản vì người dùng không hành xử giống các kịch bản kiểm thử.
Không phải ai cũng có thể sử dụng Passkey ngay lập tức. Khả năng tương thích giữa các thiết bị vẫn chưa đồng nhất. Khách hàng doanh nghiệp thường đã có yêu cầu về SSO. Một số người dùng đơn giản là không muốn cài đặt ứng dụng Authenticator, cho dù lợi ích đã được giải thích rất rõ.
Nếu lựa chọn duy nhất là từ bỏ quy trình đăng ký, doanh nghiệp sẽ đánh mất những khách hàng hợp pháp chỉ vì phương thức xác thực
Đó là lý do tính linh hoạt trở nên rất quan trọng.
Không phải vì mọi phương thức xác thực đều có mức độ an toàn như nhau, mà bởi người dùng luôn có xu hướng tìm cách vượt qua những quy trình tạo ra quá nhiều rào cản. Một giải pháp bảo mật mà người dùng muốn tránh né thường kém hiệu quả hơn một giải pháp được thiết kế dựa trên hành vi thực tế.
Việc hỗ trợ đồng thời nhiều phương thức xác thực như:
- Passkey
- TOTP
- Magic Link
- Push Notification
- Sinh trắc học (Biometrics)
- Các cơ chế khôi phục hợp lý
sẽ giúp giảm thiểu rào cản trong quá trình sử dụng, cải thiện tỷ lệ hoàn tất đăng ký và thúc đẩy người dùng chuyển sang các phương thức xác thực mạnh hơn.
Lựa chọn an toàn nhất cũng nên là lựa chọn dễ sử dụng nhất.
Đây không chỉ là một thách thức kỹ thuật mà còn là bài toán về thiết kế trải nghiệm người dùng.
Authsignal được xây dựng dựa trên chính triết lý này. Thay vì tích hợp từng phương thức xác thực riêng lẻ, doanh nghiệp có thể cấu hình toàn bộ thông qua một nền tảng duy nhất, đồng thời dễ dàng đáp ứng những nhu cầu xác thực mới của khách hàng trong tương lai.
Tốc độ triển khai và bảo mật không còn là hai mục tiêu đối lập
Quan điểm cho rằng doanh nghiệp phải đánh đổi giữa tốc độ phát triển và việc triển khai xác thực đúng cách ngày càng trở nên lỗi thời.
Trước đây, xây dựng một hệ thống xác thực an toàn đòi hỏi rất nhiều thời gian và nguồn lực. Ngày nay, các công cụ hiện đại đã thay đổi điều đó.
Các giao diện xác thực tưởng như đơn giản nhưng lại tiêu tốn rất nhiều thời gian phát triển. Từ màn hình đăng nhập, quy trình đăng ký MFA, xác thực bổ sung (Step-up Authentication) đến quy trình khôi phục tài khoản đều phát sinh vô số tình huống ngoại lệ trong thực tế.
Sau khi hoàn tất kiểm thử trên nhiều trình duyệt, thiết bị và hệ điều hành khác nhau, đội ngũ phát triển thường đã tiêu tốn đáng kể nguồn lực mà chưa tạo ra giá trị trực tiếp cho sản phẩm.
Các giao diện xác thực được xây dựng sẵn (pre-built authentication interfaces) giúp giải quyết thách thức này bằng cách cung cấp trải nghiệm sẵn sàng triển khai cho môi trường thực tế (production-ready), đã được kiểm thử toàn diện trước đó. Các yêu cầu về khả năng truy cập (accessibility) được đáp ứng, những tình huống ngoại lệ (edge cases) đã được xử lý, đồng thời thời gian triển khai cũng được rút ngắn đáng kể.
Nguyên tắc tương tự cũng áp dụng với các thử thách xác thực.
Việc yêu cầu MFA trong mọi lần đăng nhập sẽ tạo ra nhiều phiền toái không cần thiết. Một cách tiếp cận hiệu quả hơn là đánh giá các tín hiệu ngữ cảnh như:
- Thiết bị quen thuộc
- Vị trí đăng nhập quen thuộc
- Hành vi sử dụng bình thường
và chỉ yêu cầu xác thực bổ sung khi phát hiện dấu hiệu bất thường.
Cách tiếp cận này vừa nâng cao bảo mật, vừa cải thiện trải nghiệm người dùng.
Một thành phần khác thường bị trì hoãn nhưng gần như luôn khiến doanh nghiệp phải hối tiếc là Audit Logging (ghi nhật ký kiểm toán).
Doanh nghiệp thường chỉ nhận ra giá trị của nhật ký kiểm toán khi cần đến chúng trong:
- Điều tra sự cố bảo mật
- Đánh giá tuân thủ
- Giải quyết tranh chấp với khách hàng
- Phân tích và tái dựng sự cố
Đến lúc đó, nếu dữ liệu chưa từng được ghi nhận thì không còn cách nào khôi phục được. Vì vậy, Audit Logging nên được triển khai ngay từ đầu.
Giá trị của kinh nghiệm thực tiễn
Xác thực là một lĩnh vực chuyên môn sâu.
Những doanh nghiệp thành công trong lĩnh vực này đã dành nhiều năm để tích lũy kinh nghiệm thông qua hàng trăm dự án triển khai, xử lý các sự cố bảo mật, thích ứng với thay đổi của quy định, duy trì thư viện phần mềm trước các thay đổi lớn và liên tục ứng phó với các lỗ hổng mới.
Kiến thức này được tích lũy theo thời gian và rất khó để sao chép một cách nhanh chóng.
Việc tự xây dựng toàn bộ hệ thống xác thực đồng nghĩa doanh nghiệp phải tự mình giải quyết tất cả những thách thức này, trong khi vẫn phải tập trung phát triển sản phẩm cốt lõi. Đa số các đội ngũ chỉ nhận ra chi phí thực sự khi đã đầu tư quá nhiều để có thể quay lại.
Authsignal được xây dựng với niềm tin rằng doanh nghiệp không nên bắt đầu từ con số không.
Passkey, xác thực sinh trắc học, TOTP, Magic Link, WhatsApp OTP, Push Notification và Email OTP đều được cung cấp sẵn. Giao diện người dùng đã sẵn sàng cho môi trường sản xuất. Cơ chế xác thực dựa trên rủi ro (Risk-based Authentication) tự động điều chỉnh yêu cầu xác thực dựa trên các tín hiệu thực tế. Audit Logging được tích hợp ngay từ ngày đầu triển kha
Quan trọng hơn, khi các tiêu chuẩn bảo mật, phương thức tấn công hoặc quy định pháp lý thay đổi, toàn bộ việc cập nhật sẽ được thực hiện ở cấp độ nền tảng, thay vì trở thành gánh nặng cho đội ngũ phát triển nội bộ.
Về DT Asia
DT Asia được thành lập năm 2007 với sứ mệnh đưa các giải pháp bảo mật CNTT tiên phong khác nhau từ Hoa Kỳ, Châu Âu và Israel gia nhập thị trường.
Hiện tại, DT Asia đã là một nhà phân phối giá trị gia tăng trong khu vực đối với các giải pháp an ninh mạng, cung cấp công nghệ tiên tiến cho các tổ chức chính phủ trọng yếu cũng như các khách hàng tư nhân lớn bao gồm các ngân hàng toàn cầu và các công ty trong danh sách Fortune 500. Với các văn phòng và đối tác rộng khắp trong khu vực Châu Á Thái Bình Dương, chúng tôi hiểu rõ hơn về thị trường và từ đó mang đến những giải pháp bản địa hóa phù hợp với từng quốc gia, từng tổ chức.
DT Asia hỗ trợ doanh nghiệp như thế nào?
Nếu doanh nghiệp đang cân nhắc giữa việc tự phát triển hệ thống xác thực hay sử dụng một nền tảng chuyên biệt như Authsignal, đội ngũ DT Asia sẵn sàng đồng hành cùng bạn.
Là nhà phân phối của Versasec tại Singapore và nhiều quốc gia châu Á, DT Asia sở hữu đội ngũ kỹ thuật giàu kinh nghiệm, cung cấp giải pháp trọn gói từ tư vấn, triển khai đến bảo trì và hỗ trợ vận hành.
Tìm hiểu thêm tại: https://dtasiagroup.com/authsignal/
