Danh tính, xác thực và phiên

Xác thực đưa ra loại bằng chứng nào?

Bạn khai một tên tài khoản; hệ thống yêu cầu bằng chứng theo cơ chế đã chọn. Authentication kiểm tra bằng chứng ấy để gắn yêu cầu với danh tính số. Điều này khác với việc kiểm chứng tuyệt đối người đang ngồi trước màn hình.

Ví dụ: tài khoản Bình đăng nhập thành công. Ta có thể mô tả kết quả mà hệ thống ghi nhận; chưa được tự kết luận Bình thật sự cầm máy hoặc mọi hành động của tài khoản đều có ý định tốt. Khi phân tích, phải nêu cơ chế và giả định.

Nhiều yếu tố không chỉ là nhiều ô nhập

Xác thực nhiều yếu tố (multi-factor authentication, MFA) dùng các yếu tố xác thực khác loại, chẳng hạn điều biết và điều sở hữu. Hai bí mật cùng loại như mật khẩu và PIN không tự thành hai yếu tố độc lập chỉ vì có hai ô nhập. Chi tiết triển khai còn phụ thuộc bộ xác thực (authenticator) và mô hình đe dọa.

MFA có thể tăng độ chắc của bước xác thực, nhưng không thay thế quy tắc cho từng tài nguyên. Bình xác thực mạnh hơn vẫn không được tự đọc ghi chú của Lan. Đây là ví dụ về việc một biện pháp có phạm vi tác dụng, thay vì là nút “bật bảo mật” cho toàn hệ thống.

Ví dụ đã giải: một form hỏi mật khẩu rồi hỏi PIN mà cả hai đều là bí mật người dùng nhớ. Chỉ đếm hai màn hình chưa cho biết có hai loại yếu tố. Ngược lại, việc đánh giá một authenticator cụ thể cần hiểu nó chứng minh điều gì; không suy từ nhãn “MFA” rằng mọi nguy cơ đã biến mất.

Vì sao có phiên sau đăng nhập?

Một ứng dụng thường cần liên hệ các yêu cầu tiếp theo với lần xác thực. Session là cách tổ chức trạng thái liên quan tới tương tác ấy. Một session identifier hoặc token có thể là phần của cơ chế này; thiết kế cụ thể khác nhau giữa hệ thống.

Trong mô hình nơi ai giữ một bearer token hợp lệ có thể dùng phiên tương ứng, token cần được bảo vệ như bí mật. Việc đóng một tab chỉ là thao tác ở trình duyệt, không tự chứng minh mọi thông tin phiên ở phía dịch vụ đã hết hiệu lực. Logout, timeout và thu hồi là các cơ chế phải được thiết kế và kiểm tra.

Giới hạn bài học: ta chưa triển khai giao thức, cookie flags hay mật mã. Mục tiêu là nhận ra các khâu khác nhau để không dùng một khẳng định “đăng nhập an toàn” thay cho phân tích toàn luồng. Bài quyền truy cập tiếp theo sẽ trả lời tài khoản đó được làm gì.

Liên hệ với sản phẩm đang học

V1 của nền tảng học này không có account backend. Các phiên/tài khoản trong bài là mô hình giáo dục, không phải mô tả một chức năng đăng nhập đã được nền tảng cung cấp.

Tài liệu gốc để đối chiếu khái niệm: OWASP — Authentication Cheat Sheet. Các nguồn còn lại được nêu trong metadata để reader hiển thị cùng phạm vi kiểm chứng.