Bảo mật thông tin là yếu tố quan trọng đối với các hệ thống trực tuyến và ứng dụng. Một trong những yếu tố then chốt trong bảo mật là Authentication (xác thực). Vậy authentication là gì? Có gì khác so với authorization? Làm sao để thực hiện quy trình xác thực người dùng này? Cùng tìm hiểu trong bài viết dưới đây nhé!

Authentication là gì?

Authentication (xác thực) là quá trình xác minh danh tính của một người dùng, thiết bị hoặc ứng dụng để đảm bảo rằng họ có quyền truy cập vào một hệ thống hoặc dữ liệu cụ thể. Thông qua quá trình này, hệ thống sẽ xác nhận rằng người truy cập là ai thông qua các phương thức như mật khẩu, sinh trắc học, Face ID hoặc mã OTP.

Xác thực là bước đầu của hầu hết các quy trình bảo mật trước khi cho phép người dùng thực hiện bất kì hành động tiếp theo nào trong ứng dụng hoặc trên website. Quá trình này có thể bao gồm một hoặc nhiều bước và phụ thuộc vào yêu cầu bảo mật. Chẳng hạn các app tài chính như Momo sẽ cần mật khẩu cho mỗi lần giao dịch, tuy nhiên đối với các web app mua hàng thì chỉ cần tài khoản và mật khẩu để truy cập vào là đủ. 

Tại sao nên sử dụng Authentication?

Authentication đóng vai trò quan trọng trong bảo mật hệ thống. Dưới đây là một số lý do tại sao cần phải sử dụng authentication:

• Bảo vệ thông tin người dùng: Authentication giúp bảo vệ tài khoản và thông tin cá nhân của người dùng khỏi bị xâm nhập trái phép.
• Đảm bảo quyền truy cập hợp pháp: Authentication giúp hệ thống xác định người dùng có quyền truy cập vào dữ liệu hoặc chức năng nhất định, tránh những hành động truy cập trái phép.
• Ngăn chặn tấn công từ bên ngoài: Authentication là lớp phòng thủ đầu tiên giúp ngăn chặn các cuộc tấn công từ hacker và kẻ xấu.
• Tuân thủ yêu cầu pháp lý: Một số ngành nghề, đặc biệt là ngân hàng và chăm sóc sức khỏe, yêu cầu xác thực mạnh để bảo vệ dữ liệu nhạy cảm, tuân thủ các quy định bảo mật.
• Tăng cường trải nghiệm người dùng: Các phương pháp authentication hiện đại giúp tối ưu hóa trải nghiệm người dùng, như đăng nhập bằng vân tay hoặc nhận diện khuôn mặt.

Phân loại Authentication

Có nhiều cách để xác thực người dùng, và chúng được chia thành các loại phổ biến sau đây:

HTTP Basic Authentication

HTTP Basic Authentication là một phương thức xác thực đơn giản, nơi người dùng phải cung cấp tên người dùng và mật khẩu. Mặc dù phương thức này dễ dàng sử dụng, nhưng nó không phải là giải pháp bảo mật tối ưu vì các thông tin nhạy cảm thường được truyền tải dưới dạng văn bản thuần túy (plain text) nếu không sử dụng HTTPS.

> Tìm hiểu lý do tại:Giao thức HTTP có gì khác biệt so với HTTPs?

Multi - factor Authentication (MFA)

MFA là một phương thức xác thực mạnh mẽ hơn, yêu cầu người dùng cung cấp nhiều yếu tố xác minh trước khi truy cập vào hệ thống. Điều này giúp tăng cường bảo mật, bởi vì nếu một yếu tố (ví dụ, mật khẩu) bị lộ, kẻ tấn công vẫn cần phải vượt qua các yếu tố khác để truy cập.

Các thành phần khi xác thực Authentication hiện nay là gì?

Các thành tố quan trọng trong quá trình xác thực authentication bao gồm:

Password và PIN (Mật Khẩu)

Mật khẩu và mã PIN là phương thức xác thực truyền thống và phổ biến nhất. Tuy nhiên, mật khẩu không phải lúc nào cũng an toàn, đặc biệt nếu người dùng chọn mật khẩu yếu hoặc bị lộ. Vì vậy, kết hợp với các phương thức xác thực khác sẽ giúp gia tăng bảo mật.

Biometrics (Sinh học)

Biometric authentication sử dụng đặc điểm sinh học của con người, như dấu vân tay, nhận diện khuôn mặt, hoặc quét mống mắt để xác minh danh tính. Phương pháp này ngày càng trở nên phổ biến và là một phần trong các hệ thống bảo mật mạnh mẽ, đặc biệt là trong các thiết bị di động và ứng dụng tài chính.

Sử dụng khóa (Public-key cryptography)

Public-key cryptography là phương thức xác thực sử dụng một cặp khóa công khai và khóa riêng. Người dùng sẽ sử dụng khóa riêng của mình để ký xác thực, trong khi khóa công khai sẽ được sử dụng để xác minh chữ ký đó. Đây là phương pháp rất an toàn và được sử dụng rộng rãi trong các giao dịch trực tuyến.

7 phương pháp Authentication phổ biến

Dưới đây là bảy phương pháp xác thực phổ biến mà các tổ chức và doanh nghiệp hiện nay đang sử dụng:

Xác thực bằng mật khẩu

Xác thực bằng mật khẩu là phương pháp phổ biến nhất, nơi người dùng phải cung cấp một chuỗi ký tự bí mật để chứng minh danh tính. Tuy nhiên, mật khẩu yếu và dễ đoán vẫn là nguyên nhân dẫn đến nhiều vụ tấn công brute-force.

Ưu điểm:

• Dễ sử dụng và phổ biến.
• Hầu hết mọi người đều quen thuộc với việc sử dụng mật khẩu.

Nhược điểm:

• Mật khẩu có thể dễ dàng bị lộ nếu người dùng chọn mật khẩu yếu hoặc không bảo vệ mật khẩu đúng cách.
• Người dùng thường có xu hướng sử dụng lại mật khẩu trên nhiều dịch vụ, gây nguy cơ bảo mật.

Ví dụ:

Trong hầu hết các dịch vụ trực tuyến, như Gmail, Facebook, hay các tài khoản ngân hàng trực tuyến, người dùng phải nhập tên đăng nhập và mật khẩu để đăng nhập vào tài khoản. Hệ thống yêu cầu mật khẩu có độ dài tối thiểu và bao gồm cả các ký tự đặc biệt để giảm thiểu nguy cơ bị tấn công.

Xác thực không mật khẩu

Xác thực không mật khẩu (passwordless authentication) là phương pháp xác thực mà không yêu cầu người dùng nhập mật khẩu. Thay vào đó, hệ thống sử dụng các mã xác minh gửi qua email hoặc tin nhắn SMS, hoặc các yếu tố sinh trắc học như dấu vân tay hoặc nhận diện khuôn mặt.

Ưu điểm:

• Không yêu cầu nhớ mật khẩu, giảm nguy cơ bị tấn công do mật khẩu yếu hoặc bị lộ.
• Tiện lợi và nhanh chóng cho người dùng.

Nhược điểm:

• Cần phải có kết nối internet hoặc tín hiệu di động để nhận mã xác thực.
• Nếu tin nhắn SMS hoặc email bị tấn công, phương pháp này có thể không an toàn.

Ví dụ: Email-based authentication: Khi người dùng đăng nhập vào một dịch vụ như Gmail hoặc Dropbox, thay vì nhập mật khẩu, họ có thể nhận một mã xác thực qua email để đăng nhập.

Xác thực 2 yếu tố (2FA)

Xác thực 2 yếu tố (Two-factor authentication - 2FA) yêu cầu người dùng cung cấp hai yếu tố độc lập để chứng minh danh tính, thường là mật khẩu và mã xác thực gửi qua SMS hoặc ứng dụng.

Ưu điểm:

• Tăng cường bảo mật đáng kể so với chỉ sử dụng mật khẩu.
• Giảm thiểu rủi ro nếu mật khẩu bị lộ.

Nhược điểm:

• Cần có thêm một yếu tố xác thực khác (chẳng hạn điện thoại) để hoàn tất quá trình đăng nhập.
• Nếu thiết bị di động bị mất hoặc hỏng, người dùng có thể gặp khó khăn trong việc đăng nhập.

Ví dụ:

Google 2FA: Khi đăng nhập vào tài khoản Google, ngoài việc nhập mật khẩu, người dùng sẽ cần nhập mã OTP được gửi qua ứng dụng Google Authenticator hoặc tin nhắn SMS.

Xác thực nhiều yếu tố (MFA)

MFA mở rộng 2FA, yêu cầu người dùng cung cấp nhiều yếu tố xác minh từ các loại khác nhau, chẳng hạn như mật khẩu, mã OTP và xác thực sinh trắc học. Điều này giúp tăng cường bảo mật đáng kể.

Ưu điểm:

• Rất an toàn, ngay cả khi một yếu tố bị lộ hoặc bị tấn công.
• Được áp dụng trong các hệ thống yêu cầu bảo mật cao, như ngân hàng và các dịch vụ tài chính.

Nhược điểm:

• Quá trình đăng nhập có thể phức tạp và mất thời gian hơn.
• Đôi khi người dùng sẽ gặp khó khăn nếu họ không có đủ yếu tố xác thực cần thiết (chẳng hạn mất điện thoại hoặc thẻ bảo mật).

Ví dụ: Khi người dùng đăng nhập vào tài khoản trong các app của một số ngân hàng, ngoài mật khẩu, họ có thể được yêu cầu phải nhập mã OTP gửi qua SMS hoặc sử dụng thiết bị bảo mật như thẻ token.

Xác thực sinh trắc học

Xác thực sinh trắc học là việc sử dụng các yếu tố sinh học như vân tay, quét mống mắt hoặc nhận diện khuôn mặt để xác minh danh tính người dùng. Đây là phương pháp rất tiện lợi và an toàn.

Ưu điểm:

• Tiện lợi và nhanh chóng, không cần nhớ mật khẩu.
• Khó bị giả mạo, vì mỗi người có dấu vân tay và khuôn mặt riêng biệt.

Nhược điểm:

• Cần thiết bị hỗ trợ sinh trắc học (cảm biến vân tay, camera nhận diện khuôn mặt, v.v.).
• Có thể gặp khó khăn với các yếu tố môi trường (chẳng hạn vân tay bị mờ hoặc khuôn mặt bị che khuất).

Ví dụ:

• iPhone Face ID: Apple sử dụng nhận diện khuôn mặt để xác thực người dùng mở khóa điện thoại và thực hiện các giao dịch tài chính qua Apple Pay.
• Vân tay hoặc mống mắt trên điện thoại Android: Người dùng có thể mở khóa điện thoại và xác thực giao dịch bằng dấu vân tay hoặc mống mắt.

Xác thực dựa trên Token

Token-based authentication sử dụng các mã xác thực (token) để xác minh người dùng. Các token này có thể được cấp bởi hệ thống sau khi người dùng đăng nhập lần đầu tiên và sẽ có thời gian hết hạn. Phương pháp này rất phổ biến trong các ứng dụng web và API.

Ưu điểm:

• Tiện lợi, giảm bớt sự cần thiết phải đăng nhập lại.
• Phù hợp cho các ứng dụng web và API.

Nhược điểm: Token có thể bị đánh cắp và sử dụng để giả mạo quyền truy cập nếu không bảo vệ tốt.

Ví dụ: Các ứng dụng web hiện đại thường sử dụng JWT (JWT Web Token) để xác thực người dùng. Sau khi người dùng đăng nhập, hệ thống sẽ cấp một token JWT để người dùng có thể truy cập các API mà không phải đăng nhập lại.

Xác thực đơn đăng nhập (SSO)

Single Sign-On (SSO) cho phép người dùng đăng nhập một lần và truy cập tất cả các ứng dụng và dịch vụ mà không phải đăng nhập lại. Đây là phương pháp rất hữu ích cho các tổ chức có nhiều hệ thống và dịch vụ cần sử dụng.

Ưu điểm:

• Tiện lợi và tiết kiệm thời gian cho người dùng.
• Giảm thiểu số lượng mật khẩu cần nhớ.

Nhược điểm: Nếu tài khoản SSO bị xâm phạm, kẻ tấn công có thể truy cập vào tất cả các ứng dụng mà người dùng có quyền sử dụng.

Ví dụ: Google SSO: Khi người dùng đăng nhập vào Google, họ có thể dễ dàng truy cập vào các dịch vụ như Gmail, Google Drive, YouTube mà không cần phải đăng nhập lại.

Sự khác nhau giữa Authentication và Authorization là gì?

Authentication và Authorization khác nhau về mục đích sử dụng và cách thức hoạt động. Trong khi Authentication (xác thực) là quá trình xác minh danh tính người dùng để đảm bảo rằng người truy cập chính là người mà họ tuyên bố thì Authorization (ủy quyền) là quá trình xác định quyền truy cập của người dùng sau khi xác thực thành công. Nó quyết định người dùng có quyền truy cập vào các tài nguyên cụ thể hay không, dựa trên vai trò hoặc quyền hạn được cấp.

Authentication sẽ hoạt động dựa trên các phương pháp xác minh danh tính user trong 7 phương pháp ở trên mà các lập trình viên chọn tùy theo yêu cầu của dự án, còn Authorization sẽ xác định quyền hạn mà một ai đó được cấp dựa trên API.

Có thể thấy, Authentication đóng vai trò cực kỳ quan trọng trong việc bảo vệ hệ thống và dữ liệu khỏi các mối đe dọa. Hiểu rõ các phương pháp xác thực và ứng dụng chúng đúng cách giúp tăng cường bảo mật cho cả người dùng và tổ chức. 

Qua bài viết trên của LPTech, hy vọng bạn đã nắm được Authentication là gì và những phương pháp xác thực bổ biến nhất hiện nay để thực hiện quy trình bảo mật.