# Xác thực đa yếu tố (2FA) | password.es

> Tìm hiểu cách xác thực đa yếu tố (2FA) hoạt động, ưu nhược điểm của SMS, ứng dụng xác thực và khóa phần cứng như YubiKey, và cách chọn phương án an toàn nhất.

password.es · Original: https://password.es/vi/2fa/

---

# Xác thực đa yếu tố: hàng rào thứ hai mà kẻ tấn công không thể vượt qua

2FA bổ sung thêm một yếu tố bạn sở hữu hoặc thuộc về bạn vào mật khẩu bạn đã biết. Ngay cả khi mật khẩu bị lộ, kẻ tấn công vẫn bị chặn nếu không có yếu tố thứ hai. Hãy cùng xem xét các lựa chọn và quyết định phương án phù hợp nhất.

## 1 Tại sao MFA quan trọng

Việc tái sử dụng mật khẩu và rò rỉ thông tin đăng nhập là điều không thể tránh khỏi. Thêm một lớp xác minh thời gian thực (mã dùng một lần, thông báo đẩy, khóa phần cứng hoặc sinh trắc học) giúp giảm đáng kể rủi ro; đặc biệt quan trọng đối với tài khoản quản trị, tài chính và email.

## 2 Các phương pháp 2FA phổ biến

### SMS (kém an toàn nhất)

Được hỗ trợ rộng rãi nhưng dễ bị tấn công đổi SIM, nghe lén SS7 và lừa đảo. Chỉ sử dụng SMS khi không có lựa chọn mạnh hơn.

### Ứng dụng nhắn tin (WhatsApp, Telegram, v.v.)

Cải thiện nhẹ so với SMS vì tin nhắn được mã hóa, nhưng vẫn phụ thuộc vào số điện thoại và có thể bị chiếm đoạt nếu tài khoản nhắn tin bị xâm phạm.

### Ứng dụng xác thực (TOTP)

Tạo mã ngoại tuyến mỗi 30 giây từ một khóa bí mật được chia sẻ. Được khuyến nghị mạnh mẽ cho hầu hết các dịch vụ. Các lựa chọn phổ biến:

- Google Authenticator
- Microsoft Authenticator
- Authy
- [1Password](https://www.kqzyfj.com/click-8979828-17036393)/[Bitwarden](https://github.com/bitwarden) TOTP tích hợp
- Duo Mobile, Aegis, 2FAS

### Xác thực dựa trên thông báo đẩy

Một số dịch vụ (Okta, Duo, Microsoft, Google) gửi thông báo đẩy để xác nhận đăng nhập. Rất tiện lợi, nhưng hãy cẩn trọng với tấn công mệt mỏi: luôn từ chối các yêu cầu không mong đợi.

### Khóa bảo mật phần cứng

Các thiết bị FIDO2/WebAuthn như **YubiKey**, **Feitian** hoặc **SoloKeys** cung cấp 2FA chống lừa đảo. Chúng xác minh tên miền trước khi xác nhận đăng nhập và cũng có thể hỗ trợ passkey và PGP.

### Trình xác thực nền tảng và passkey

Được tích hợp sẵn trong thiết bị (Windows Hello, Touch ID, Face ID, passkey Android). Dựa trên WebAuthn và vẫn chống lừa đảo trong khi cực kỳ tiện lợi.

## 3 So sánh bảo mật và tính tiện dụng

- Phương pháp
- Bảo mật
- Tính tiện dụng
- Rủi ro chính
- SMS
- Thấp
- Rất cao
- Đổi SIM, nghe lén, email đặt lại giả mạo
- Ứng dụng xác thực
- Cao
- Trung bình
- Mất thiết bị, thiếu bản sao lưu
- Thông báo đẩy
- Cao
- Cao
- Tấn công bom thông báo/mệt mỏi
- Khóa phần cứng
- Rất cao
- Trung bình
- Mất vật lý, chi phí, giới hạn cổng kết nối
- Passkey/sinh trắc học
- Rất cao
- Rất cao
- Tương thích dịch vụ vẫn đang mở rộng

## 4 Các phương pháp tốt nhất

- Ưu tiên ứng dụng xác thực hoặc khóa phần cứng thay vì SMS.
- Đăng ký ít nhất hai yếu tố (thiết bị dự phòng hoặc khóa + mã khôi phục).
- Lưu trữ mã khôi phục an toàn ngoại tuyến.
- Bắt buộc sử dụng khóa phần cứng cho tài khoản chia sẻ hoặc quản trị khi có thể.
- Kích hoạt passkey khi được hỗ trợ; chúng giúp đăng nhập an toàn dễ dàng hơn.

## Câu hỏi thường gặp

### Nếu tôi mất khóa phần cứng thì sao?

Sử dụng khóa dự phòng hoặc mã khôi phục. Luôn đăng ký nhiều khóa khi thiết lập để không bị khóa ngoài tài khoản.

### Làm cách nào để chuyển mã xác thực sang điện thoại mới?

Authy đồng bộ qua đám mây; các ứng dụng khác cho phép xuất hoặc quét lại mã QR. Giữ thiết bị cũ cho đến khi xác nhận thiết bị mới hoạt động.

### Kẻ tấn công có thể lừa đảo mã dựa trên ứng dụng của tôi không?

Có, thông qua các cuộc tấn công chuyển tiếp thời gian thực. Khóa phần cứng và passkey cung cấp khả năng chống lừa đảo vì chúng xác minh nguồn gốc trước khi đăng nhập.

## Danh sách kiểm tra đa yếu tố

- Kích hoạt 2FA ở mọi nơi, bắt đầu từ email, ngân hàng và bảng điều khiển quản trị đám mây.
- Sử dụng mật khẩu mạnh, duy nhất được lưu trong trình quản lý không lưu trữ thông tin (zero-knowledge).
- Bắt buộc yếu tố chống lừa đảo (khóa FIDO2) cho các vai trò quan trọng.
- Đào tạo nhóm của bạn từ chối các yêu cầu MFA hoặc yêu cầu mã không mong đợi.
- Xem xét và làm mới mã dự phòng sau mỗi sự cố bảo mật.

## Miễn trừ trách nhiệm

password.es được cung cấp "nguyên trạng". Chúng tôi không đảm bảo tính khả dụng của dịch vụ, độ chính xác của thông tin hoặc tính bảo mật của mật khẩu được tạo ra. Người dùng có trách nhiệm kết hợp 2FA với việc quản lý mật khẩu tốt và bảo mật thiết bị.