Xác thực hai lớp nên bật trước hết cho email trường, vì email là chìa khoá đặt lại mọi mật khẩu khác, rồi tới ORCID và các hệ thống có dữ liệu nghiên cứu. Dùng ứng dụng xác thực hoặc khoá mật mã (passkey) thay cho tin nhắn SMS khi có thể, và cất mã dự phòng ngoài điện thoại.
Mật khẩu một mình không còn đủ: nó bị lộ qua thư lừa, qua các vụ rò rỉ dữ liệu của dịch vụ khác, hay qua mã độc ghi phím. Lớp thứ hai là thứ bạn có, như điện thoại hay khoá phần cứng, nên kẻ có mật khẩu vẫn không vào được. Phiền toái lớn nhất của xác thực hai lớp không nằm ở lúc bật mà ở lúc mất hoặc đổi điện thoại. Bài này đi qua cả hai phần.
Các phương thức lớp hai, mạnh yếu ra sao
Không phải lớp hai nào cũng như nhau. Chọn phương thức mạnh nhất mà dịch vụ hỗ trợ.
| Phương thức | Cách hoạt động | Điểm mạnh | Điểm yếu |
|---|---|---|---|
| Tin nhắn SMS | Mã gửi qua tin nhắn | Không cần cài gì | Bị lộ khi bị chiếm sim, khi ở vùng sóng yếu thì không nhận được |
| Ứng dụng xác thực | Mã sáu số đổi sau mỗi 30 giây, sinh ngay trên máy | Chạy không cần mạng, phổ biến | Vẫn nhập được mã vào trang giả nếu bị lừa |
| Nhấn xác nhận trên điện thoại | Ứng dụng hiện yêu cầu, bấm đồng ý | Tiện | Dễ bấm nhầm khi bị gửi dồn dập yêu cầu |
| Khoá mật mã (passkey) hoặc khoá phần cứng | Xác thực mật mã gắn với đúng tên miền | Chống được trang đăng nhập giả | Không phải dịch vụ nào cũng hỗ trợ |
Bật cho từng loại tài khoản
Email trường chạy Google Workspace
Vào trang quản lý Tài khoản Google, mục Bảo mật, chọn Xác minh 2 bước và làm theo hướng dẫn. Thêm ít nhất hai phương thức: ứng dụng xác thực và một khoá mật mã hoặc số điện thoại dự phòng. Tạo bộ mã dự phòng ngay trong mục này. Một số trường bắt buộc hoặc tắt tính năng ở cấp quản trị; nếu không thấy tuỳ chọn, hỏi bộ phận công nghệ thông tin.
Email trường chạy Microsoft 365
Vào trang thông tin bảo mật của tài khoản Microsoft (Security info), thêm phương thức đăng nhập, chọn ứng dụng Microsoft Authenticator và quét mã QR. Nhiều trường đã bật bắt buộc nên lần đăng nhập đầu tiên sẽ tự dẫn bạn qua bước này. Thêm phương thức thứ hai như số điện thoại để có đường lùi.
ORCID
Đăng nhập ORCID, vào phần cài đặt tài khoản, tìm mục xác thực hai yếu tố và bật. ORCID dùng ứng dụng xác thực: quét mã QR, nhập mã sáu số để xác nhận. ORCID đưa ra một bộ mã dự phòng sau khi bật; lưu ngay vì đây là đường duy nhất khi mất điện thoại. Hồ sơ ORCID gắn với các hệ thống nộp bài và hồ sơ tài trợ, nên mất quyền kiểm soát là chuyện lớn.
Hệ thống nộp bài của tạp chí
Nhiều hệ thống nộp bài chưa có xác thực hai lớp riêng. Khi đó có hai cách bù: đăng nhập bằng ORCID hoặc tài khoản trường nếu hệ thống cho phép, để hưởng lớp bảo vệ của tài khoản đó; hoặc dùng mật khẩu dài, riêng biệt, lưu trong trình quản lý mật khẩu. Không bao giờ dùng lại mật khẩu email trường cho hệ thống nộp bài.
Mã dự phòng: cất đâu cho đúng
Mã dự phòng là gì. Một bộ mã dùng một lần, thay cho lớp hai khi bạn không có điện thoại. Mỗi mã dùng xong là hết hiệu lực.
Không cất trên chính điện thoại dùng để xác thực. Mất điện thoại là mất cả hai. Cũng không chụp ảnh để trong thư viện ảnh đồng bộ lên đám mây cùng tài khoản.
Nơi cất hợp lý. In ra giấy cất cùng giấy tờ quan trọng, hoặc lưu trong trình quản lý mật khẩu mà bạn mở được từ máy tính. Ghi rõ mã của tài khoản nào.
Tạo lại khi đã dùng gần hết. Mỗi lần dùng một mã, đánh dấu lại. Còn hai ba mã thì tạo bộ mới, bộ cũ tự mất hiệu lực.
Đổi điện thoại mà không bị khoá ngoài
Làm khi điện thoại cũ còn trong tay và còn chạy. Đừng xoá máy cũ trước khi xong bước cuối.
- Lập danh sách mọi tài khoản đang dùng ứng dụng xác thực trên máy cũ.
- Với Google Authenticator, dùng chức năng chuyển tài khoản để xuất mã QR từ máy cũ và quét bằng máy mới; với Microsoft Authenticator, bật sao lưu trên máy cũ và khôi phục trên máy mới theo hướng dẫn của ứng dụng.
- Với tài khoản không chuyển được, đăng nhập từng dịch vụ, vào phần bảo mật, gỡ thiết bị cũ và thêm ứng dụng trên máy mới bằng mã QR mới.
- Thử đăng nhập từng tài khoản bằng máy mới, kể cả ORCID và email trường.
- Chỉ khi mọi tài khoản đã thử thành công mới xoá dữ liệu máy cũ.
- Nếu đổi số điện thoại, cập nhật số mới ở mọi tài khoản dùng SMS làm phương thức dự phòng.
Đã lỡ mất điện thoại: dùng mã dự phòng để đăng nhập rồi gỡ thiết bị cũ. Không có mã dự phòng thì với email trường, liên hệ bộ phận công nghệ thông tin để đặt lại; với dịch vụ khác, đi theo quy trình khôi phục tài khoản của họ, thường mất vài ngày và cần chứng minh danh tính.
Một tình huống hay gặp: nghiên cứu sinh đi hội thảo, điện thoại hỏng màn hình giữa chuyến, cần đăng nhập email trường để nhận thư của ban tổ chức. Người có bộ mã dự phòng trong ví hoặc trong trình quản lý mật khẩu trên máy xách tay chỉ mất một phút. Người không có phải chờ bộ phận công nghệ thông tin của trường mở lại tài khoản khi về nước. Chuẩn bị đường lùi lúc bình thường rẻ hơn nhiều so với lúc có sự cố.
Trình quản lý mật khẩu: lớp còn lại của bức tường
Xác thực hai lớp không thay được mật khẩu tốt. Một người làm nghiên cứu có thể có vài chục tài khoản: email, thư viện, cơ sở dữ liệu, hệ thống nộp bài của từng nhà xuất bản, nền tảng khảo sát, kho dữ liệu. Nhớ mật khẩu riêng cho từng cái là không thể, nên người ta dùng lại, và một vụ lộ ở dịch vụ nhỏ kéo theo tất cả.
Trình quản lý mật khẩu giải quyết việc này: bạn nhớ một mật khẩu chính dài, mọi mật khẩu còn lại do công cụ sinh ngẫu nhiên và tự điền. Có lựa chọn mã nguồn mở như Bitwarden, KeePassXC, cùng trình quản lý tích hợp sẵn trong trình duyệt và hệ điều hành. Bật xác thực hai lớp cho chính trình quản lý mật khẩu, và cất mật khẩu chính cùng mã khôi phục ở nơi an toàn ngoài máy.
Passkey, khoá mật mã gắn với thiết bị hoặc với trình quản lý mật khẩu, đang được Google, Microsoft và nhiều dịch vụ hỗ trợ. Passkey không thể bị nhập vào trang giả vì nó gắn với đúng tên miền; dùng được ở đâu thì nên bật ở đó.
Lỗi hay gặp khi bật xác thực hai lớp
Những tình huống làm người ta muốn tắt xác thực hai lớp, và cách tránh:
- Chỉ đăng ký một phương thức duy nhất, rồi mất điện thoại. Luôn có ít nhất hai phương thức hoặc một bộ mã dự phòng.
- Đi công tác nước ngoài không nhận được SMS. Chuyển sang ứng dụng xác thực trước chuyến đi.
- Bấm đồng ý một yêu cầu xác nhận không phải do mình gửi. Khi thấy yêu cầu lạ, từ chối và đổi mật khẩu ngay, vì người khác đang có mật khẩu của bạn.
- Dùng chung một tài khoản cho cả nhóm với điện thoại của một người. Mỗi người một tài khoản; nếu phần mềm bắt buộc dùng chung, cất mã xác thực trong trình quản lý mật khẩu dùng chung của nhóm.
- Đồng hồ điện thoại lệch làm mã sáu số bị từ chối. Bật chế độ đặt giờ tự động.
Câu hỏi thường gặp
Nên dùng SMS hay ứng dụng xác thực?
Ứng dụng xác thực an toàn hơn SMS vì không phụ thuộc mạng di động và không bị chiếm khi kẻ gian làm lại sim. SMS vẫn tốt hơn không có gì và hợp làm phương thức dự phòng.
ORCID có hỗ trợ xác thực hai lớp không?
Có. ORCID cho bật xác thực hai yếu tố trong phần cài đặt tài khoản, dùng ứng dụng xác thực và cấp bộ mã dự phòng. Nên bật vì hồ sơ ORCID gắn với nhiều hệ thống nộp bài và tài trợ.
Mất điện thoại và không còn mã dự phòng thì sao?
Với email trường, liên hệ bộ phận công nghệ thông tin để xác minh và đặt lại. Với dịch vụ khác, làm theo quy trình khôi phục tài khoản của họ, thường cần thời gian chờ và giấy tờ chứng minh.
Passkey có thay được mật khẩu không?
Với dịch vụ hỗ trợ, passkey thay được mật khẩu và chống được trang đăng nhập giả. Nhưng không phải hệ thống học thuật nào cũng hỗ trợ, nên vẫn cần trình quản lý mật khẩu cho phần còn lại.
Trình quản lý mật khẩu bị tấn công thì có mất hết không?
Các trình quản lý uy tín mã hoá kho bằng mật khẩu chính trước khi lưu. Rủi ro lớn nhất là mật khẩu chính yếu, nên đặt mật khẩu chính dài và bật xác thực hai lớp cho nó.
