API Security Best Practices - Authentication

Mục lục

Tránh sử dụng Basic Authentication

Bạn nên tránh sử dụng Basic Authentication và thay vào đó, sử dụng các phương pháp xác thực tiêu chuẩn như OAuth, JWT, v.v.

Basic Authentication là phương thức xác thực đơn giản, truyền thông tin đăng nhập của người dùng (username và password) dưới dạng văn bản thuần túy qua mạng. Phương pháp này vốn không an toàn và nên tránh sử dụng bất cứ khi nào có thể.

Những lý do cần tránh sử dụng Basic Authentication

• Thiếu tính bảo mật: Basic Authentication truyền thông tin đăng nhập của người dùng dưới dạng văn bản thuần túy, nghĩa là bất kỳ ai chặn được luồng dữ liệu cũng có thể đọc được thông tin đăng nhập và truy cập tài khoản người dùng.
• Thiếu tính toàn vẹn: Phương pháp này không có cơ chế đảm bảo dữ liệu được truyền đi không bị thay đổi. Điều này cho phép kẻ tấn công can thiệp vào dữ liệu để truy cập trái phép hoặc thực hiện các hoạt động độc hại.
• Không đủ mạnh: Basic Authentication chỉ dựa vào thông tin đăng nhập của người dùng. Nếu kẻ tấn công lấy được thông tin này (qua phishing hoặc social engineering), chúng dễ dàng truy cập tài khoản.
• Không hỗ trợ xác thực đa yếu tố (MFA): Basic Authentication không tích hợp MFA, một biện pháp bảo mật quan trọng để tăng cường bảo vệ chống lại truy cập trái phép.

Ngược lại, các phương thức như OAuth, OpenID Connect và SAML cung cấp các cơ chế xác thực an toàn hơn, thường sử dụng giao thức mã hóa để bảo vệ thông tin đăng nhập, đảm bảo tính toàn vẹn dữ liệu, và hỗ trợ MFA. Vì vậy, chúng là lựa chọn tối ưu và nên được áp dụng thay vì Basic Authentication.

Cơ chế xác thực tiêu chuẩn

Sử dụng các cơ chế xác thực tiêu chuẩn để tạo token, lưu trữ thông tin đăng nhập và xác thực người dùng.

Một số cơ chế phổ biến:

• OAuth: Chuẩn mở rộng cho phép người dùng cấp quyền truy cập tài nguyên cho ứng dụng bên thứ ba mà không cần chia sẻ thông tin đăng nhập.

  • Ví dụ: Đăng nhập bằng tài khoản mạng xã hội như Google hoặc Facebook.

• OpenID Connect: Giao thức xác thực xây dựng trên OAuth 2.0, cho phép người dùng đăng nhập nhiều trang web hoặc ứng dụng bằng một tài khoản duy nhất.

  • Ví dụ: Single Sign-On (SSO) trên nhiều nền tảng.

• SAML: Chuẩn XML cho phép trao đổi dữ liệu xác thực và ủy quyền giữa các bên, thường dùng trong SSO cho nhiều tổ chức hoặc miền.

• Mã hóa mật khẩu: Sử dụng thuật toán như bcrypt hoặc scrypt để lưu trữ mật khẩu an toàn, đảm bảo ngay cả khi bị lộ, mật khẩu vẫn khó bị khôi phục.

• Xác thực hai yếu tố (2FA): Yêu cầu người dùng cung cấp hai hình thức xác minh, chẳng hạn như mật khẩu và mã OTP từ thiết bị di động.

Giới hạn số lần thử đăng nhập (Max Retry) và cơ chế khóa (Jail)

Các tính năng “Max retry” và “Jail” thường được sử dụng trong cơ chế đăng nhập để tăng cường bảo mật và ngăn chặn các cuộc tấn công bằng cách dùng vũ lực.

• Max Retry: Hạn chế số lần nhập sai mật khẩu trong một khoảng thời gian nhất định. Sau khi vượt quá giới hạn, tài khoản bị khóa tạm thời (vài phút hoặc vài giờ).

  • Ví dụ: Người dùng nhập sai mật khẩu 5 lần sẽ bị khóa tài khoản trong 10 phút.

• Jail: Chặn địa chỉ IP hoặc tài khoản đã vượt quá số lần đăng nhập sai. Địa chỉ hoặc tài khoản bị khóa trong một khoảng thời gian xác định, giảm nguy cơ tấn công brute-force.

  • Ví dụ: Một hacker cố đoán mật khẩu bị chặn IP sau 3 lần thử thất bại.

Mã hóa dữ liệu nhạy cảm

Mã hóa dữ liệu là yếu tố quan trọng để bảo vệ dữ liệu nhạy cảm khỏi truy cập trái phép, trộm cắp, hoặc khai thác.

• Quy trình mã hóa: Dữ liệu dạng văn bản thuần được chuyển thành văn bản mã hóa chỉ có thể giải mã bằng khóa thích hợp.

• Công cụ mã hóa phổ biến:

  • AES (Advanced Encryption Standard): Thường dùng để mã hóa dữ liệu nhạy cảm.
  • RSA (Rivest–Shamir–Adleman): Phổ biến trong mã hóa khóa công khai.

• Quản lý khóa: Sử dụng hệ thống quản lý khóa mạnh mẽ để lưu trữ và bảo vệ khóa mã hóa.

• Bảo mật bổ sung:

  • Áp dụng kiểm soát truy cập, tường lửa, và hệ thống phát hiện xâm nhập (IDS) để bảo vệ dữ liệu toàn diện hơn.

Go to Link