Sussie✔
Intern Writer
Khóa bảo mật FIDO2 từ lâu được xem là một trong những phương thức đăng nhập an toàn nhất hiện nay, thậm chí Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) từng gọi đây là "tiêu chuẩn vàng" cho đăng nhập chống lừa đảo. Tuy nhiên, thực tế sử dụng lại có một điểm mà nhiều người dùng không biết: phần lớn khóa bảo mật được bán ra không có mã PIN mặc định, và nhiều dịch vụ cũng không yêu cầu người dùng nhập PIN hoặc xác minh bằng vân tay khi đăng nhập.
Điều đó đồng nghĩa với việc, trong nhiều trường hợp, chỉ cần cắm khóa vào máy tính và chạm nhẹ là có thể hoàn tất xác thực. Thiết bị chỉ xác nhận rằng "có người đang sử dụng khóa", chứ không xác minh người đó có phải chủ sở hữu hay không.
Theo tài liệu kỹ thuật của nhiều nhà sản xuất như Yubico hay Nitrokey, khóa bảo mật thường được xuất xưởng mà không cài sẵn mã PIN. Một số mẫu thậm chí tự động chấp nhận thao tác xác thực đầu tiên chỉ vài giây sau khi được kết nối.
Nguyên nhân nằm ở cách hoạt động của tiêu chuẩn FIDO2. Tiêu chuẩn này hỗ trợ hai mức xác thực. Mức thứ nhất là User Presence, chỉ yêu cầu xác nhận có người đang sử dụng thiết bị, thường bằng một lần chạm. Mức thứ hai là User Verification, buộc người dùng phải chứng minh danh tính bằng mã PIN hoặc sinh trắc học trước khi khóa thực hiện xác thực.
Tuy nhiên, việc sử dụng cấp độ nào lại không do khóa bảo mật quyết định mà phụ thuộc vào chính website hoặc dịch vụ đang đăng nhập. Khi yêu cầu xác thực, dịch vụ có thể không yêu cầu PIN, chỉ ưu tiên PIN nếu đã được thiết lập, hoặc bắt buộc phải xác minh người dùng. Vì vậy, ngay cả khi người dùng đã đặt mã PIN, vẫn có những trường hợp hệ thống không yêu cầu nhập mã nếu website chỉ sử dụng chế độ xác nhận sự hiện diện.
Một số dòng sản phẩm mới của Yubico và Token2 đã được thiết kế để yêu cầu mã PIN ngay từ đầu, nhưng phần lớn khóa bảo mật trên thị trường vẫn không kích hoạt tính năng này khi xuất xưởng.
Ngoài việc có hay không có mã PIN, mức độ bảo vệ của khóa bảo mật còn phụ thuộc vào chứng nhận bảo mật của FIDO Alliance. Tiêu chuẩn này gồm nhiều cấp độ từ L1 đến L3+. Trong đó, L1 chủ yếu bảo vệ trước các cuộc tấn công lừa đảo và đánh cắp thông tin trực tuyến, còn từ L2 trở lên yêu cầu thiết bị có phần cứng bảo vệ riêng và được kiểm thử bởi phòng thí nghiệm độc lập. Theo bài viết, L2 được xem là mức phù hợp đối với phần lớn người dùng.
Một giải pháp giúp tăng cường bảo mật là tính năng alwaysUV. Khi được kích hoạt, khóa sẽ luôn yêu cầu xác minh người dùng bằng mã PIN hoặc vân tay trước khi thực hiện xác thực, bất kể website có yêu cầu hay không. Một số nhà sản xuất đã hỗ trợ tính năng này trên các phiên bản firmware mới, trong khi ở nhiều thiết bị khác người dùng phải tự kích hoạt hoặc tính năng vẫn chưa được cung cấp.
Bài viết cũng lưu ý rằng việc sử dụng mã PIN không hoàn toàn miễn phí về mặt trải nghiệm. Theo tiêu chuẩn FIDO CTAP, người dùng chỉ có tối đa 8 lần nhập sai liên tiếp. Sau khi vượt quá giới hạn này, khóa phải được khôi phục cài đặt gốc và toàn bộ thông tin đăng nhập FIDO2, U2F đã lưu sẽ bị xóa. Điều đó đồng nghĩa người dùng phải đăng ký lại khóa với tất cả các dịch vụ đang sử dụng.
Đối với các mẫu tích hợp cảm biến vân tay, quy định giữa các nhà sản xuất cũng không giống nhau. Một số thiết bị sẽ chuyển sang yêu cầu mã PIN sau vài lần quét thất bại, trong khi một số khác có thể khóa hoàn toàn chức năng sinh trắc học và chỉ có thể khôi phục bằng cách xóa toàn bộ dữ liệu trên thiết bị.
Từ những phân tích trên, tác giả khuyến nghị người dùng nên thực hiện ba bước cơ bản để nâng cao mức độ bảo vệ. Thứ nhất, đặt mã PIN cho khóa bảo mật ngay sau khi mua để chuyển từ xác thực một yếu tố sang xác thực có kiểm tra danh tính người dùng. Thứ hai, nếu thiết bị hỗ trợ, hãy kích hoạt tính năng alwaysUV để luôn yêu cầu mã PIN hoặc sinh trắc học khi đăng nhập. Cuối cùng, nên đăng ký thêm một khóa bảo mật dự phòng nhằm tránh mất quyền truy cập tài khoản nếu khóa chính bị khóa hoặc phải khôi phục cài đặt.
Bài viết cũng lưu ý người dùng không nên chỉ dựa vào thông số quảng cáo của nhà sản xuất mà cần kiểm tra kỹ firmware, chứng nhận bảo mật và các tính năng thực tế mà thiết bị đang hỗ trợ. Với nhiều khóa bảo mật, firmware không thể cập nhật sau khi xuất xưởng, đồng nghĩa các tính năng bảo mật có trên thiết bị tại thời điểm mua sẽ được giữ nguyên trong suốt vòng đời sản phẩm.
Điều đó đồng nghĩa với việc, trong nhiều trường hợp, chỉ cần cắm khóa vào máy tính và chạm nhẹ là có thể hoàn tất xác thực. Thiết bị chỉ xác nhận rằng "có người đang sử dụng khóa", chứ không xác minh người đó có phải chủ sở hữu hay không.
Theo tài liệu kỹ thuật của nhiều nhà sản xuất như Yubico hay Nitrokey, khóa bảo mật thường được xuất xưởng mà không cài sẵn mã PIN. Một số mẫu thậm chí tự động chấp nhận thao tác xác thực đầu tiên chỉ vài giây sau khi được kết nối.
Nguyên nhân nằm ở cách hoạt động của tiêu chuẩn FIDO2. Tiêu chuẩn này hỗ trợ hai mức xác thực. Mức thứ nhất là User Presence, chỉ yêu cầu xác nhận có người đang sử dụng thiết bị, thường bằng một lần chạm. Mức thứ hai là User Verification, buộc người dùng phải chứng minh danh tính bằng mã PIN hoặc sinh trắc học trước khi khóa thực hiện xác thực.
Tuy nhiên, việc sử dụng cấp độ nào lại không do khóa bảo mật quyết định mà phụ thuộc vào chính website hoặc dịch vụ đang đăng nhập. Khi yêu cầu xác thực, dịch vụ có thể không yêu cầu PIN, chỉ ưu tiên PIN nếu đã được thiết lập, hoặc bắt buộc phải xác minh người dùng. Vì vậy, ngay cả khi người dùng đã đặt mã PIN, vẫn có những trường hợp hệ thống không yêu cầu nhập mã nếu website chỉ sử dụng chế độ xác nhận sự hiện diện.
Một số dòng sản phẩm mới của Yubico và Token2 đã được thiết kế để yêu cầu mã PIN ngay từ đầu, nhưng phần lớn khóa bảo mật trên thị trường vẫn không kích hoạt tính năng này khi xuất xưởng.
Ngoài việc có hay không có mã PIN, mức độ bảo vệ của khóa bảo mật còn phụ thuộc vào chứng nhận bảo mật của FIDO Alliance. Tiêu chuẩn này gồm nhiều cấp độ từ L1 đến L3+. Trong đó, L1 chủ yếu bảo vệ trước các cuộc tấn công lừa đảo và đánh cắp thông tin trực tuyến, còn từ L2 trở lên yêu cầu thiết bị có phần cứng bảo vệ riêng và được kiểm thử bởi phòng thí nghiệm độc lập. Theo bài viết, L2 được xem là mức phù hợp đối với phần lớn người dùng.
Một giải pháp giúp tăng cường bảo mật là tính năng alwaysUV. Khi được kích hoạt, khóa sẽ luôn yêu cầu xác minh người dùng bằng mã PIN hoặc vân tay trước khi thực hiện xác thực, bất kể website có yêu cầu hay không. Một số nhà sản xuất đã hỗ trợ tính năng này trên các phiên bản firmware mới, trong khi ở nhiều thiết bị khác người dùng phải tự kích hoạt hoặc tính năng vẫn chưa được cung cấp.
Bài viết cũng lưu ý rằng việc sử dụng mã PIN không hoàn toàn miễn phí về mặt trải nghiệm. Theo tiêu chuẩn FIDO CTAP, người dùng chỉ có tối đa 8 lần nhập sai liên tiếp. Sau khi vượt quá giới hạn này, khóa phải được khôi phục cài đặt gốc và toàn bộ thông tin đăng nhập FIDO2, U2F đã lưu sẽ bị xóa. Điều đó đồng nghĩa người dùng phải đăng ký lại khóa với tất cả các dịch vụ đang sử dụng.
Đối với các mẫu tích hợp cảm biến vân tay, quy định giữa các nhà sản xuất cũng không giống nhau. Một số thiết bị sẽ chuyển sang yêu cầu mã PIN sau vài lần quét thất bại, trong khi một số khác có thể khóa hoàn toàn chức năng sinh trắc học và chỉ có thể khôi phục bằng cách xóa toàn bộ dữ liệu trên thiết bị.
Từ những phân tích trên, tác giả khuyến nghị người dùng nên thực hiện ba bước cơ bản để nâng cao mức độ bảo vệ. Thứ nhất, đặt mã PIN cho khóa bảo mật ngay sau khi mua để chuyển từ xác thực một yếu tố sang xác thực có kiểm tra danh tính người dùng. Thứ hai, nếu thiết bị hỗ trợ, hãy kích hoạt tính năng alwaysUV để luôn yêu cầu mã PIN hoặc sinh trắc học khi đăng nhập. Cuối cùng, nên đăng ký thêm một khóa bảo mật dự phòng nhằm tránh mất quyền truy cập tài khoản nếu khóa chính bị khóa hoặc phải khôi phục cài đặt.
Bài viết cũng lưu ý người dùng không nên chỉ dựa vào thông số quảng cáo của nhà sản xuất mà cần kiểm tra kỹ firmware, chứng nhận bảo mật và các tính năng thực tế mà thiết bị đang hỗ trợ. Với nhiều khóa bảo mật, firmware không thể cập nhật sau khi xuất xưởng, đồng nghĩa các tính năng bảo mật có trên thiết bị tại thời điểm mua sẽ được giữ nguyên trong suốt vòng đời sản phẩm.
