Authentication được xem là một hành động quan trọng giúp chứng thực một điều gì đó là đáng tin cậy trong ứng dụng web. Bởi vậy, trong Series bài viết này ITNavi sẽ giới thiệu chi tiết nhất về định nghĩa Authentication là gì cũng như các kiến thức liên quan đến Authentication. Hãy cùng tìm hiểu nhé!
Nên định nghĩa Authentication là gì?
Authentication (được tạm dịch là xác thực) là một quá trình kiểm tra danh tính của một tài khoản đang vào trong hệ thống hiện tại thông qua một hệ thống xác thực. Đây được xem là bước ban đầu của mọi hệ thống có yếu tố người dùng. Còn theo wikipedia, thì định nghĩa Authentication là gì được hiểu:Authentication (xác thực) là hành động giúp thiết lập hoặc chứng thực một cái gì đó/điều gì đó là đáng tin cậy. Có nghĩa là, những lời khai báo do người đó đưa ra hoặc vật đó là hoàn toàn đúng sự thật.
Xác thực _ authentication là gì?
Một vài ví dụ cho bạn hiểu rõ được định nghĩa Authentication là:
- Server sẽ xác thực các yêu cầu do đúng từ client của người dùng gửi lên hay không cũng bởi Authentication.
- Server sẽ xác thực các nội dung được yêu cầu do đúng từ các người dùng A gửi lên hay không cũng là Authentication.
Bản chất của Authentication chính là bạn sẽ thực hiện xác nhận HTTP request được gửi đến từ một người nào đó.
Bạn đọc tham khảo thêm:
Tuyển dụng java web developer lương cao chế độ hấp dẫn
Việc làm python lương cao chế độ hấp dẫn
Tuyển dụng việc làm PHP lương cao chế độ hấp dẫn
Lý do nên sử dụng Authentication là gì?
Nếu như bạn không thực hiện bước xác nhận này thì hệ thống hoàn toàn không thể biết được người đang truy cập vào hệ thống là ai. Hệ thống dựa vào bước xác thực này để có các phản hồi phù hợp nhất cho người dùng. Quá trình này được xem là rất thông dụng trong hầu hết CMS có liên quan đến quản lý, các tương tác người dùng thông qua form đăng ký và nó còn được xác thực dựa trên tên của người dùng cũng như mật khẩu.
Authentication được phân loại ra sao?
Sau khi bạn đã hiểu rõ Authentication là gì thì sau đây là phân loại của nó:
HTTP Basic Authentication
HTTP Basic Authentication được xem là một kỹ thuật xác thực giúp bảo mật cho các ứng dụng web dựa trên giao thức HTTP. Từ đó, nó yêu cầu người sử dụng cung cấp tên truy cập và mật khẩu khi sử dụng hệ thống ứng dụng này. Từ đó, Web server sẽ thu thập thông tin và danh tính của người sử dụng thông qua một hộp thoại có trên Browser. Khi muốn bảo mật cho một tài nguyên, thì bạn có thể dùng rất nhiều cách, tuy nhiên sẽ có cách khác đơn giản hơn để bảo vệ nó chính là sử dụng HTTP Authentication.
Authentication có quan trọng không?
Multi – factor Authentication (MFA)
Thực hiện xác thực đa nhân tố chính là một hệ thống bảo mật giúp bạn yêu cầu mọi phương thức xác thực đến từ những danh mục đăng nhập thông tin. Từ đó, xác minh danh tính cho người sử dụng cho thông tin đăng nhập hoặc thông qua giao dịch khác. Thực hiện xác thực Multi-factor sẽ kết hợp 2 hoặc nhiều thông tin độc lập là:
- Password: Là mật khẩu
- Security token: Các mã thông báo bảo mật.
- Biometric verification: Sẽ xác minh sinh trắc học.
Từ đó, tạo ra một lớp bảo vệ cũng như tường thành vững chắc giúp gây khó khăn cho những người không được phép truy cập vào một mục tiêu cụ thể là: vị trí thực tế, các thiết bị máy tính, mạng hoặc cơ sở dữ liệu chính là mục tiêu mà MFA hướng đến.
Nếu như một yếu tố xác thực đã bị xâm phạm thì kẻ tấn công cần phải vượt qua ít nhất là 1 rào cản nữa, khi đó họ mới có thể xâm nhập trái phép thành công vào mục tiêu đó. 2 phương thức trên đây được sử dụng rất phổ biến trong xác thực.Tuy nhiên, bạn nên căn cứ vào tính chất cũng như nhu cầu sử dụng để lựa chọn phương thức phù hợp với mình nhất.
Bạn đọc tham khảo thêm:
SQL Injection là gì? Cách diệt tận gốc các lỗi SQL Injection
Dependency injection là gì? Hiểu rõ Dependency injection với 5 phút
Các nhân tố cần để xác thực Authentication là gì?
Đây là các bước vô cùng quen thuộc và thông dụng, nó biểu hiện ở hình thức đơn giản nhất chính là form đăng nhập vào hệ thống.
Khi đó, các nhân tố mà bạn cần phải xác thực đó là:
Password và Pin (Mật Khẩu)
Mật khẩu là một phương pháp xác thực vô cùng đơn giản, dễ triển khai nên đang được sử dụng rất rộng rãi và phổ biến. Mỗi khi người dùng thực hiện truy cập vào thì mỗi hệ thống đều sẽ lưu lại mật khẩu dưới dạng mã hóa một chiều (các loại mã hóa có thể là md5, sha1, hoặc tự chế,…).
Đây là tính năng sẽ đảm bảo cho mật khẩu dù bị hack nhưng cũng không thể khôi phục được thành chuỗi gốc. Đây là phương pháp có nhiều biến thể khác nhau như: thiết kế dưới dạng biến thể Swipe Pattern PIN hoặc mật khẩu chỉ bằng cách dùng trong một lần (nó chuyên sử dụng cho những chức năng quan trọng).
Quá trình authentication
Biometrics (Sinh học)
Sử dụng tròng mắt, dấu vân tay hoặc khuôn mặt là một trong những phương pháp xác thực dựa trên các yếu tố đặc trưng của một người. Phương pháp này mang lại ưu điểm là “ID” và “mật khẩu” sẽ luôn được đi cùng nhau nên bạn hoàn toàn không cần phải lo lắng bị quên hay lạc mất nó.
Mỗi khi bạn muốn đăng nhập lại thì chỉ cần chủ động sử dụng các yếu tố xác thực này một cách dễ dàng, mà không gặp bất kỳ khó khăn nào. Mặc dù có nhiều phương pháp để có thể xác thực cho một tài khoản, tuy nhiên thì bạn sẽ không thể tránh khỏi những rủi ro như: mất đi mật khẩu, vân tay bị đánh cắp, mất mã khóa cá nhân,…
Nếu như áp dụng xác thực trên website thì phương pháp sử dụng mật khẩu dễ triển khai hơn và mang lại nhiều lợi thế hơn so với các thao tác trên màn hình. Bạn hoàn toàn có thể cải tiến cho chính hệ thống bảo mật của mình bằng: thói quen đăng nhập, địa điểm, trình duyệt, mật khẩu một lần,…
Sử dụng khóa (Public-key cryptography)
Đây là phương pháp dựa vào thuật toán mã hóa khóa công cộng và khóa cá nhân để xác thực. Muốn đăng nhập vào hệ thống, thì bạn chỉ cần có khóa cá nhân ở trên máy rồi thực hiện đăng nhập vào hệ thống mà không cần phải nhớ đến những thông tin đăng nhập như việc sử dụng mật khẩu. Thường thì các hệ thống quản trị server sẽ thường xuyên áp dụng biện pháp này.
Authentication sẽ được thực hiện ra sao?
Sau khi đã hiểu rõ định nghĩa Authentication là gì cũng như bản chất của nó rồi, vậy thì Authentication sẽ thực hiện như thế nào?Bản chất của HTTP request được xem như một bản tin biểu diễn bằng text. Nó cần một dấu hiệu nào đó đã được thống nhất để cho ứng dụng của chúng ta có thể nhận ra được nó xuất phát bởi người dùng nào.
- Các dấu hiệu nhận biết của người sử dụng chính là bất kỳ thứ gì mang tính đặc trưng như: tên người đăng nhập, mật khẩu, chuỗi chứa thông tin đã được mã hóa, chuỗi ký tự random.
- Dấu hiệu giúp nhận biết người dùng sẽ là bất kỳ vị trí nào có thể ở trong bản tin HTTP như: URL, Header (là cookie header, Authorization header, custom header), body (là Form field),…
3 cách xác thực phổ biến nhất hiện nay
Một quá trình Authentication là gì?
Để có được các dấu hiệu nhận dàng mà chúng tôi nêu ra ở phần trên, thì buộc phải có sự thống nhất giữa người dùng và ứng dụng để có thể thực hiện được quá trình nhận dạng. Mỗi một quá trình Authentication sẽ bao gồm 3 phần là:
- Phát sinh ra các dấu hiệu: Đây là lúc bạn quyết định xem nên lựa chọn và sử dụng dấu hiệu gì và dùng cách nào để tạo ra dấu hiệu đó. Mỗi một quá trình Authentication sẽ có sự xuất hiện của nhiều dấu hiệu như: password/username, user token, api key,.. Mỗi một dấu hiệu này đều sẽ có cách sinh ra khác nhau bởi quy ước sử dụng khác biệt.
- Lưu trữ cho các dấu hiệu: Đây là một trong những bước quyết định xem bạn nên lưu trữ dấu hiệu này ở đâu. Bạn nên lưu ở cả client và server hay thông qua vị trí nào của bản tin HTTP.
- Kiểm tra các dấu hiệu: Đây là điều mà ứng dụng của chúng ta để kiểm tra lại các tích hợp lệ của dấu hiệu, từ đó đối chiếu xem lại các dấu hiệu này của của người dùng nào,…
Tổng kết
Trên đây là những khái niệm cũng như kiến thức cơ bản nhất về Authentication mà ITNavi đã tổng hợp được. Hy vọng, với những kiến thức trên không những bạn biết được được Authentication là gì mà còn nắm rõ được quy trình của các bước xác thực cơ bản nhất.
