Ở bài viết trước, chúng ta đã cùng nhau tìm hiểu về 2FA (Bảo mật 2 lớp) – lá chắn thép giúp bảo vệ tài khoản khỏi những tay hacker tò mò. Nhưng nếu bạn để ý, khi làm việc ở các công ty lớn hoặc sử dụng các dịch vụ ngân hàng cao cấp, bạn sẽ thấy họ ít dùng từ “2FA” mà hay dùng một thuật ngữ nghe “ngầu” hơn: MFA.
Vậy MFA là gì? Nó có phải là “phiên bản nâng cấp” của 2FA không? Hay nó là một thứ hoàn toàn khác?
Thực ra, ranh giới giữa chúng rất mong manh nhưng lại cực kỳ thú vị. Hôm nay, hãy cùng Quang “mổ xẻ” khái niệm này để xem thế giới bảo mật thực sự hoạt động như thế nào nhé!
1. MFA là gì? Định nghĩa siêu đơn giản
MFA là viết tắt của Multi-Factor Authentication (Xác thực đa yếu tố).
Nếu 2FA yêu cầu bạn đưa ra chính xác 2 bằng chứng để đăng nhập, thì MFA yêu cầu bạn đưa ra từ 2 bằng chứng trở lên.
Công thức dễ nhớ:
- 2FA = 2 yếu tố (Cố định là 2).
- MFA = 2 hoặc 3 hoặc 4… yếu tố (Nhiều hơn hoặc bằng 2).
Nói cách khác, mọi 2FA đều là MFA, nhưng không phải MFA nào cũng chỉ là 2FA. Nó giống như việc: “Mọi chiếc iPhone đều là điện thoại thông minh, nhưng không phải điện thoại thông minh nào cũng là iPhone”.
2. Ba trụ cột tạo nên MFA (The 3 Factors)
Để được gọi là MFA, hệ thống phải yêu cầu bạn cung cấp các bằng chứng thuộc ít nhất 2 trong 3 nhóm (Factor) sau đây. Đây là kiến thức cốt lõi mà Quang muốn các bạn nắm vững:
Yếu tố 1: Thứ bạn biết (Knowledge)
Đây là cái cơ bản nhất mà chúng ta dùng hàng chục năm nay.
- Ví dụ: Mật khẩu (Password), Mã PIN, Câu hỏi bảo mật (“Tên con cún đầu tiên của bạn là gì?”).
- Điểm yếu: Dễ bị quên, dễ bị đoán mò, dễ bị nhìn trộm.
Yếu tố 2: Thứ bạn có (Possession)
Đây là vật bất ly thân mà chỉ bạn mới sở hữu.
- Ví dụ: Điện thoại (nhận SMS OTP), Thẻ ngân hàng (ATM), USB bảo mật (YubiKey), Ứng dụng tạo mã (Google Authenticator).
- Điểm yếu: Có thể bị mất, bị hỏng hoặc bị đánh cắp.
Yếu tố 3: Chính con người bạn (Inherence)
Đây là cái độc nhất vô nhị, không thể tách rời khỏi cơ thể bạn.
- Ví dụ: Vân tay, Khuôn mặt (FaceID), Mống mắt, Giọng nói.
- Điểm yếu: Đôi khi chập chờn (ngón tay ướt, đeo khẩu trang) hoặc lo ngại về quyền riêng tư dữ liệu sinh trắc học.
3. Ví dụ thực tế về MFA “hạng nặng”
Để bạn dễ hình dung sự khác biệt giữa bảo mật thường và MFA xịn, hãy xem kịch bản sau:
Kịch bản 1: Đăng nhập Facebook (Thường dùng 2FA)
- Nhập Mật khẩu (Thứ bạn biết).
- Nhập mã OTP từ Google Authenticator (Thứ bạn có). -> Xong.
Kịch bản 2: Vào phòng Server chứa dữ liệu mật của công ty (MFA thực thụ)
- Quẹt thẻ từ nhân viên để mở cửa ngoài (Thứ bạn có).
- Nhập mã PIN trên bàn phím số (Thứ bạn biết).
- Đặt ngón tay lên máy quét vân tay để mở cửa trong (Chính bạn). -> Đây là MFA 3 lớp (3-Factor Authentication).
Thậm chí, các hệ thống hiện đại còn có thêm yếu tố thứ 4 và 5:
- Vị trí (Location): Bạn có đang đăng nhập từ Việt Nam không? Nếu IP từ Mỹ -> Chặn ngay.
- Thời gian (Time): Bạn đăng nhập lúc 3 giờ sáng? Hệ thống thấy nghi ngờ và yêu cầu xác minh thêm.
4. Tại sao các doanh nghiệp lại “cuồng” MFA?
Đối với người dùng phổ thông như chúng ta, 2FA là quá đủ. Nhưng với các doanh nghiệp, MFA là sự sống còn.
- Chống lại các cuộc tấn công tinh vi: Hacker có thể lừa lấy mật khẩu, thậm chí làm giả sim để lấy OTP (vượt qua 2 yếu tố đầu), nhưng hắn không thể làm giả vân tay hay mống mắt của bạn (yếu tố thứ 3) một cách dễ dàng.
- Tuân thủ luật pháp: Nhiều quy định quốc tế bắt buộc các ngân hàng và tổ chức tài chính phải áp dụng MFA để bảo vệ tiền của khách hàng.
- Trải nghiệm linh hoạt: MFA thông minh (Adaptive MFA) có thể tự quyết định: Nếu bạn ngồi ở văn phòng công ty, nó chỉ hỏi mật khẩu. Nhưng nếu bạn ra quán cà phê, nó sẽ hỏi thêm vân tay và OTP. Rất tiện lợi đúng không?
5. Khi nào bạn nên dùng MFA “nhiều lớp”?
Thực tế, việc bật quá nhiều lớp bảo mật sẽ làm bạn… mệt. Hãy áp dụng quy tắc “Tùy cơ ứng biến” của Quang:
- Tài khoản mạng xã hội, giải trí: Dùng 2FA (Mật khẩu + App Authenticator) là đủ chuẩn “xịn” rồi.
- Tài khoản ngân hàng (App Mobile Banking): Thường đã được tích hợp sẵn MFA (Mật khẩu đăng nhập + Vân tay/FaceID + Smart OTP khi chuyển tiền). Hãy kích hoạt tất cả tính năng này lên.
- Ví lạnh chứa Crypto (Tiền ảo): Đây là nơi nên dùng tối đa các lớp. Mật khẩu + Ví cứng (Hardware Wallet) + Mã 12/24 ký tự (Seed Phrase) cất trong két sắt.
6. Lời kết: Bảo mật là một hành trình, không phải đích đến
Hy vọng qua bài viết này, các bạn đã hiểu rõ hơn về thuật ngữ MFA. Đừng để những cái tên kỹ thuật làm bạn rối trí. Hãy nhớ đơn giản: Càng nhiều lớp khóa, kẻ trộm càng nản lòng.
Tuy nhiên, dù bạn có dùng MFA 10 lớp đi chăng nữa, thì “yếu tố con người” vẫn quan trọng nhất. Đừng bao giờ chia sẻ mã OTP cho người lạ, đừng click vào link lạ, và hãy luôn giữ cái đầu lạnh khi online nhé.
Ở bài viết tiếp theo, Quang sẽ quay lại với một chủ đề cực kỳ thiết thực mà mình đã hứa: “Review các trình quản lý mật khẩu (Password Manager) tốt nhất”. Làm sao để nhớ cả trăm cái mật khẩu mà không cần dùng não? Đón đọc nhé!
Nếu thấy bài viết hay, hãy like và share để ủng hộ Quang VN tiếp tục ra thêm nhiều nội dung chất lượng nha!
Có thể bạn sẽ thích: