Hệ thống bảo mật hai lớp của iCloud không tối ưu như bạn tưởng

Bảo mật hai lớp của Apple biến thành… một lớp khi bạn sử dụng nền tảng web.

Về mặt lý thuyết, bảo mật hai lớp trên iPhone hay Mac sẽ được đưa vào bên trong các thiết bị mà bạn sở hữu nhằm thiết lập một hệ thống như một khóa bảo mật. Cụ thể, khi bạn lần đầu đăng nhập vào một tài khoản iCloud hoặc Apple Music trên iPhone, bạn sẽ phải nhập mật khẩu. Sau đó, bạn phải nhập đoạn mã gửi đến một trong các thiết bị tin cậy của bạn trước đó, một chiếc iPad chẳng hạn. Trên chiếc iPad của bạn sẽ hiện một thông báo rằng một ai đó đang cố đăng nhập vào tài khoản của bạn và đưa ra tùy chọn cho bạn có cho phép hay không. Sau đó, bạn sẽ nhận được một mã 6 số và nhập nó vào chiếc iPhone của mình.

Khi đăng nhập iCloud trên trình duyệt, mã xác thực lại được hiện trên cùng thiết bị

Nếu bạn không nhận được mã này (điều thỉnh thoảng vẫn xảy ra), bạn có thể yêu cầu một mã SMS thông thường hay sử dụng trình tạo mã ngẫu nhiên trong ứng dụng Settings có trên iPhone hay System Preferences đối với macOS. Điều bạn cần làm là nhấp vào phần tên iCloud của bạn trên iPhone hoặc Account Details trên Mac, sau đó, truy cập vào phần Password & Security và chọn Get a Verification Code. Một mã 6 số sẽ hiện ra để bạn có thể đăng nhập vào các thiết bị khác của mình.

Dù nghe có vẻ như cách xác thực hai lớp này của Apple hoàn toàn bảo mật, thế nhưng, không có nghĩa là hệ thống các thiết bị tin cậy đóng kín này không có bất cập. Đối với những ai đang sử dụng nhiều hơn một thiết bị iOS thì nó hoạt động rất hoàn hảo. Nó là một hệ thống bảo mật hai lớp đúng nghĩa khi “đồng bộ” mật khẩu với thiết bị và bổ sung thêm một lớp bảo mật bằng các thiết bị thứ hai.

Lỗ hổng trong hệ thống bảo mật này

Thế nhưng, rắc rối sẽ xảy ra nếu bạn chỉ có duy nhất một thiết bị Apple. Ví dụ như, nếu chiếc iPhone của bạn là thiết bị Apple duy nhất mà bạn sở hữu, bạn sẽ phải sử dụng hệ thống SMS thông thường. Rõ ràng là bạn không có tùy chọn để nhận mã trên một thiết bị Apple khác, khi Apple giới hạn danh sách các thiết bị tin cậy, bao gồm iPhone, iPad hay iPod touch chạy iOS 9 trở lên hay macOS OS X El Caption hoặc mới hơn. Điều này cũng đồng nghĩa rằng, bạn không thể sử dụng những chiếc PC Windows, Chromebook hay điện thoại Android để xác thực và đây là một giới hạn cực kì lớn. Và vì thiết bị sẽ đăng nhập vào iCloud nằm trong ứng dụng Settings, thế nên, bạn không thể nhận được mã xác thực thông qua trình xác thực tích hợp.

Dù về mặt kỹ thuật, tài khoản và dịch vụ của bạn đang được bảo vệ bằng phương pháp xác thực hai lớp, nhưng đó lại là cách ít an toàn nhất. Thực tế, các mã được gửi qua tin nhắn rất dễ bị đánh cắp. Dù hầu hết những người dùng Android đều sử dụng 1 trong 2 cách này trên chiếc điện thoại của họ, nhưng ít nhất, họ vẫn có tùy chọn tải về trình xác thực có hỗ trợ sinh trắc học. Do Apple chưa hỗ trợ các khóa bảo mật phần cứng cho iCloud, bạn không có tùy chọn nào khác ngoài cách sử dụng thiết bị Apple thứ hai.

Tuy nhiên, việc thêm xác thực hai lớp cho iCloud với chỉ một thiết bị Apple duy nhất khá tồi tệ khi mà bạn phải quản lý tài khoản của mình trên trang web. Khi bạn nhập mật khẩu để đăng nhập vào trang tài khoản Apple ID, Apple sẽ tự động yêu cầu bạn nhập mã xác thực hai lớp.

Thế nhưng, những mã xác thực này lại được đưa đến các thiết bị tin cậy, kể cả thiết bị bạn đang sử dụng. Nếu bạn đang sử dụng Safari trên Mac, mã xác thực hai lớp này sẽ hiển thị trên cùng một màn hình. Chính điều này lại khiến các dữ liệu nhạy cảm của bạn dễ dàng bị truy cập nếu chiếc máy Mac bị mất. Nó cũng đồng nghĩa nếu họ biết mật khẩu chiếc máy Mac của bạn, họ sẽ có quyền truy cập vào toàn bộ tài khoản của bạn, trong giả định bạn bật iCloud Keychain.

Không rõ đây có phải là lỗi hay không, nhưng rõ ràng, nó lại làm mất đi bản chất của hệ thống xác thực hai lớp.

Theo VN Review