Trong thập kỷ qua, xác thực đa yếu tố (Multi-Factor Authentication – MFA) đã trở thành một phần không thể thiếu trong cuộc sống số của chúng ta. Ban đầu, xác thực dựa trên SMS (nhắn tin văn bản) là phương pháp phổ biến nhất, cho phép người dùng thêm một lớp bảo mật bằng cách nhập mã được gửi đến điện thoại. Tuy nhiên, theo đánh giá của các chuyên gia bảo mật, xác thực qua SMS chưa bao giờ thực sự an toàn. Do những lỗ hổng cố hữu trong công nghệ và cơ sở hạ tầng xung quanh thẻ SIM, việc sử dụng mã 2FA bằng SMS không chỉ không đủ mạnh mà còn tiềm ẩn nhiều rủi ro, đe dọa trực tiếp đến an toàn thông tin cá nhân. Bài viết này sẽ phân tích 4 lý do chính khiến bạn nên chuyển sang dùng ứng dụng xác thực chuyên dụng thay vì tiếp tục phụ thuộc vào SMS.
Máy tính xách tay Surface đang hiển thị giao diện đăng nhập, minh họa cho việc bảo mật tài khoản
Ứng Dụng Xác Thực Miễn Nhiễm Với Tấn Công SIM-Swapping
Kẻ thù của bảo mật SMS 2FA
Xác thực đa yếu tố dựa trên SMS từng là tiêu chuẩn để cung cấp một lớp bảo mật bổ sung cho các tài khoản trực tuyến quan trọng. Mặc dù nó hiệu quả trong việc ngăn chặn các cuộc tấn công cơ bản nhất, nhưng lại có một điểm yếu không thể bỏ qua: tấn công SIM-swapping. Đây là một phương pháp lừa đảo xã hội cho phép kẻ xấu chiếm quyền kiểm soát số điện thoại của bạn, từ đó nhận được mã xác thực SMS mà không cần truy cập vào thiết bị vật lý của bạn.
Về cơ bản, chỉ với một vài thông tin cá nhân, kẻ tấn công có thể thuyết phục nhà cung cấp dịch vụ điện thoại kích hoạt một thẻ SIM mới với số điện thoại của bạn. Ngay lập tức, mọi tin nhắn SMS, bao gồm cả mã OTP (One-Time Password) được gửi đến cho các dịch vụ bảo mật tài khoản, đều sẽ rơi vào tay kẻ gian. Cách tốt nhất để giảm thiểu rủi ro này là không sử dụng xác thực dựa trên SMS. Các ứng dụng xác thực chuyên dụng liên kết với thiết bị của bạn chứ không phải số điện thoại, do đó chúng hoàn toàn miễn nhiễm với các cuộc tấn công SIM-swapping tinh vi.
Một chiếc điện thoại iPhone đang được tháo SIM, minh họa nguy cơ tấn công SIM-swapping
SMS Có Thể Bị Chặn Và Đọc Lén
Điểm yếu từ giao thức SS7
Mặc dù SIM-swapping là điểm yếu rõ ràng nhất của bất kỳ hình thức MFA nào liên quan đến SMS, nhưng tin nhắn văn bản cũng có thể bị chặn do những lỗ hổng trong cách thức hoạt động của chúng. SMS hoạt động bằng cách sử dụng giao thức truyền thông SS7 (Signaling System 7), một giao thức đã cũ và không hề được thiết kế để bảo mật. Các tin nhắn chứa mã xác minh có thể bị (và đã từng bị) chặn hoặc nghe lén. Điều này có thể xảy ra với hầu hết mọi loại thông tin không được mã hóa khi truyền tải, điều này càng làm tăng ưu thế của các ứng dụng MFA chuyên dụng.
Khi mã xác thực được tạo trực tiếp trên thiết bị của bạn, không có quá trình truyền tải nào để kẻ xấu có thể chặn. Điều này giúp lớp bảo mật MFA của bạn trở nên vững chắc, thay vì trở thành một điểm yếu tiềm tàng.
Hai chiếc điện thoại thông minh iPhone và Pixel, đại diện cho thiết bị di động sử dụng ứng dụng xác thực đa yếu tố
Mã Xác Thực Tức Thì, Không Độ Trễ
Tiện lợi và đáng tin cậy hơn
Nhận mã xác thực qua SMS không chỉ không an toàn mà còn không đáng tin cậy. Chắc hẳn ai trong chúng ta cũng từng trải qua cảm giác chờ đợi mã SMS đến rất lâu, hoặc tệ hơn là mã không bao giờ đến. Điều này gây ra sự khó chịu và gián đoạn trải nghiệm người dùng, đặc biệt khi bạn cần truy cập tài khoản gấp.
Với một ứng dụng MFA chuyên dụng, mã của bạn luôn sẵn sàng, chờ bạn sao chép và dán. Một số ứng dụng thậm chí còn hiển thị mã tiếp theo sắp được tạo, giúp bạn không cảm thấy mình đang chạy đua với thời gian để nhập mã trước khi nó hết hạn. Sự tiện lợi và độ tin cậy tức thì này là một ưu điểm vượt trội so với sự phụ thuộc vào mạng di động và giao thức SMS lỗi thời.
Tùy chọn sao chép mã xác thực hiển thị trên cài đặt iOS, minh họa sự tiện lợi của ứng dụng 2FA
Sử Dụng Linh Hoạt Trên Nhiều Thiết Bị
Đa nền tảng và bảo mật sinh trắc học
Trong khi xác thực dựa trên SMS bị ràng buộc chặt chẽ với số điện thoại của bạn, các ứng dụng MFA có thể liên kết với nhiều thiết bị khác nhau, bao gồm cả các thiết bị đeo tay thông minh. Điều này không chỉ giúp bạn dễ dàng truy cập mã xác thực hơn nếu chẳng may làm mất điện thoại, mà còn mang lại lợi ích bảo mật từ chính thiết bị bạn đang sử dụng, miễn là ứng dụng hỗ trợ.
Các ứng dụng xác thực hiện đại thường tích hợp với các tính năng bảo mật sinh trắc học của thiết bị, chẳng hạn như Face ID trên iPhone hoặc Windows Hello trên máy tính. Điều này đảm bảo rằng ngay cả khi kẻ tấn công có được quyền truy cập vào thiết bị của bạn, chúng vẫn sẽ bị khóa ngoài ứng dụng MFA chuyên dụng, nhờ vào lớp bảo mật sinh trắc học bổ sung. Khả năng đồng bộ hóa và sử dụng trên nhiều nền tảng mang lại sự linh hoạt và an toàn cao hơn hẳn.
Điện thoại Galaxy Z Fold và đồng hồ Galaxy Watch Ultra, minh họa khả năng sử dụng ứng dụng xác thực đa yếu tố trên nhiều thiết bị
Đừng Bận Tâm Với SMS 2FA Nữa
Thực tế, không có lý do gì để tiếp tục sử dụng xác thực 2FA dựa trên SMS trong bối cảnh an ninh mạng hiện nay. Nó kém an toàn một cách đáng báo động so với các lựa chọn thay thế miễn phí và dễ dàng chuyển đổi. Nhược điểm duy nhất (do chính ưu điểm của nó) là việc mã được tạo bởi thiết bị vật lý của bạn có nghĩa là bạn phải lưu trữ các mã dự phòng (backup codes) phòng trường hợp bạn đổi thiết bị hoặc làm mất điện thoại. Tuy nhiên, miễn là bạn nhớ lưu chúng và cất giữ ở một nơi an toàn, bạn sẽ không gặp vấn đề gì khi sử dụng ứng dụng xác thực đa yếu tố chuyên dụng. Hãy chuyển đổi ngay hôm nay để nâng cao bảo mật tài khoản của mình.
