Xác thực hai yếu tố loại nào an toàn nhất: SMS, ứng dụng hay passkey
So sánh SMS, ứng dụng xác thực, khóa bảo mật và passkey: loại nào an toàn hơn, ưu nhược điểm và cách chọn cho từng tài khoản quan trọng của bạn.
Bật xác thực hai yếu tố (2FA) là một trong những việc đáng làm nhất để bảo vệ tài khoản. Nhưng khi bật, bạn sẽ gặp nhiều lựa chọn: mã gửi qua SMS, ứng dụng xác thực, khóa bảo mật hay passkey. Câu hỏi đúng là: loại nào đủ an toàn với tài khoản của tôi mà vẫn dễ dùng?
Bài này so sánh từng loại bằng ngôn ngữ đời thường, kèm gợi ý chọn theo mức độ quan trọng của tài khoản. Điều quan trọng nhất cần nhớ: loại nào cũng tốt hơn không có 2FA.
Xác thực hai yếu tố hoạt động thế nào
Đăng nhập thường chỉ cần một thứ bạn biết: mật khẩu. 2FA thêm một thứ khác mà chỉ bạn có (điện thoại, khóa vật lý) hoặc là chính bạn (vân tay, khuôn mặt). Nếu mật khẩu bị lộ, kẻ gian vẫn bị chặn ở lớp thứ hai.
Tuy vậy, các lớp thứ hai không bằng nhau. Mức an toàn phụ thuộc vào việc kẻ gian có thể chặn, lừa hay đánh cắp lớp đó dễ đến đâu.
Mã qua SMS
Người dùng nhận mã 6 số qua tin nhắn.
Ưu điểm: dễ dùng, ai cũng có số điện thoại, không cần cài ứng dụng.
Nhược điểm:
- Có thể bị lừa đọc mã cho người gọi điện giả danh.
- Có nguy cơ đối tượng chiếm số điện thoại (như làm lại SIM bằng thông tin giả) hoặc tin nhắn bị chuyển hướng.
- Mất sóng, ra nước ngoài, hết tiền nên khó nhận mã.
- SMS không phân biệt được trang thật hay trang giả, nên nếu bạn nhập mã vào trang lừa đảo là mất.
Khi nào dùng: khi dịch vụ chỉ hỗ trợ SMS hoặc làm lớp dự phòng. Còn hơn không dùng. Đừng bao giờ đọc mã cho người khác, kể cả người tự xưng nhân viên ngân hàng.
Ứng dụng xác thực
Ứng dụng như Google Authenticator hoặc Microsoft Authenticator tạo mã đổi mỗi 30 giây ngay trên máy bạn. Hướng dẫn chi tiết có trong bài dùng ứng dụng Google Authenticator, Microsoft Authenticator.
Ưu điểm: không phụ thuộc sóng điện thoại, khó bị chiếm hơn SMS, dùng được khi ra nước ngoài.
Nhược điểm:
- Vẫn có thể bị lừa nhập mã vào trang giả để kẻ gian dùng ngay (tấn công thời gian thực).
- Mất điện thoại mà chưa sao lưu hoặc chưa có mã dự phòng sẽ rất khó khôi phục.
Khi nào dùng: lựa chọn cân bằng cho phần lớn người dùng: email, mạng xã hội, ví điện tử, tài khoản làm việc.
Khóa bảo mật vật lý
Một thiết bị nhỏ cắm USB hoặc chạm NFC. Khi đăng nhập, bạn cắm và bấm vào khóa. Nó chỉ trả lời đúng trang web thật nên rất khó bị lừa bởi trang giả. Xem cách dùng khóa bảo mật vật lý cho tài khoản.
Ưu điểm: chống phishing rất tốt, không cần pin.
Nhược điểm: phải mua, dễ mất nếu không cất kỹ, cần có khóa dự phòng, không phải dịch vụ nào cũng hỗ trợ.
Khi nào dùng: tài khoản rất quan trọng (email chính, quản trị website, tài khoản doanh nghiệp).
Passkey
Passkey thay mật khẩu bằng cặp khóa mã hóa lưu trên thiết bị của bạn, mở bằng vân tay, khuôn mặt hoặc mã khóa màn hình. Bạn không phải nhớ hay gõ gì. Bài dùng passkey đăng nhập không cần mật khẩu hướng dẫn chi tiết.
Ưu điểm: chống phishing vì khóa gắn với đúng tên miền, không có mật khẩu để lộ, đăng nhập nhanh.
Nhược điểm: chưa phải dịch vụ nào cũng hỗ trợ, cần hiểu cách đồng bộ giữa các thiết bị, và cần cách khôi phục khi mất máy.
Khi nào dùng: hãy bật ở mọi nơi dịch vụ hỗ trợ, nhất là email, tài khoản Apple, Google, Microsoft.
Bảng so sánh nhanh
- Dễ dùng nhất: SMS, passkey.
- Chống phishing tốt nhất: passkey và khóa bảo mật vật lý.
- Khá an toàn, cân bằng: ứng dụng xác thực.
- Yếu nhất trong các loại nhưng vẫn nên bật nếu chỉ có SMS: SMS.
Nên chọn thế nào cho từng tài khoản
- Email chính, tài khoản Apple, Google, Microsoft: passkey hoặc ứng dụng xác thực, thêm khóa dự phòng. Email là chìa khóa để đặt lại mật khẩu của mọi tài khoản khác.
- Ngân hàng và ví điện tử: dùng phương thức xác thực do ứng dụng chính thức của ngân hàng cung cấp, như sinh trắc học trên ứng dụng, và không bao giờ đọc OTP cho ai.
- Mạng xã hội: ứng dụng xác thực. Xem cách bật xác thực hai yếu tố cho Facebook.
- Dịch vụ phụ ít quan trọng: SMS cũng được.
Dù chọn loại nào, hãy lưu mã dự phòng (backup codes) ra giấy, thêm ít nhất hai cách xác thực nếu dịch vụ cho phép, và dùng trình quản lý mật khẩu để mật khẩu luôn mạnh và khác nhau.
Cần hỗ trợ thêm?
Nếu bạn cần cài đặt bảo mật cho điện thoại, laptop hoặc nhiều tài khoản cùng lúc, bạn có thể mang máy tới cửa hàng để được hỗ trợ, xem sửa chữa và cài đặt. Gọi hotline 0943.847.333 nếu muốn hỏi trước.
Câu hỏi thường gặp
Xác thực hai yếu tố bằng SMS có an toàn không?
Có tác dụng hơn là không bật, nhưng kém an toàn hơn ứng dụng xác thực hay passkey vì mã có thể bị lừa đọc hoặc bị chiếm SIM. Không đọc mã cho bất kỳ ai.
Passkey có an toàn hơn mật khẩu và SMS không?
Nhìn chung có, vì passkey gắn với trang web thật nên khó bị phishing và không có mật khẩu để lộ. Cần hiểu cách khôi phục khi mất thiết bị.
Nên dùng Google Authenticator hay SMS?
Ứng dụng xác thực thường tốt hơn SMS vì không phụ thuộc số điện thoại. Hãy lưu mã dự phòng phòng khi mất điện thoại.
Có cần mua khóa bảo mật vật lý không?
Không bắt buộc với đa số người dùng. Khóa vật lý phù hợp với tài khoản rất quan trọng như email chính hoặc tài khoản quản trị, và nên có thêm một khóa dự phòng.
