Rà soát và thu hồi ứng dụng bên thứ ba đã kết nối tài khoản Hitclub

Qua mỗi chặng đường, người đi thường để lại một thứ mà họ ít khi nhớ: những chiếc chìa khóa phụ. Khách sạn này giữ một chiếc, nhà bạn ở trạm kia giữ một chiếc, và đâu đó trong ngăn kéo vẫn còn chìa của một chỗ ở đã trả từ lâu. Tài khoản số cũng vậy. Mỗi lần bấm "cho phép" để một ứng dụng kết nối với tài khoản, ta đã trao ra một chiếc chìa khóa. Với tài khoản gắn với Hitclub, việc kiểm kê những chiếc chìa này là một chặng bảo mật nhiều người bỏ qua.

Ảnh: Vitaly Gariev / Unsplash

Quyền ứng dụng bên thứ ba hoạt động thế nào

Khi bạn dùng chức năng "đăng nhập bằng tài khoản khác" hoặc cấp quyền cho một ứng dụng truy cập dữ liệu, thường có một chuẩn kỹ thuật phía sau gọi là OAuth. Điểm hay của OAuth là ứng dụng không cần biết mật khẩu của bạn. Thay vào đó, nó nhận một mã truy cập (token) có phạm vi giới hạn: chỉ đọc danh bạ, chỉ xem địa chỉ email, hoặc được phép thay mặt bạn thực hiện một số thao tác.

Cơ chế này an toàn hơn việc đưa mật khẩu. Nhưng nó có một đặc điểm mà người dùng hay quên: quyền cấp xong không tự hết hạn khi bạn ngừng dùng ứng dụng. Bạn có thể đã xóa ứng dụng khỏi điện thoại từ nhiều tháng trước, trong khi mã truy cập vẫn còn hiệu lực ở phía dịch vụ cung cấp tài khoản.

Vì sao quyền tích tụ lại thành rủi ro

Có ba lý do khiến những quyền cũ trở thành điểm yếu:

Mở rộng bề mặt tấn công. Mỗi ứng dụng được cấp quyền là thêm một nơi lưu trữ dữ liệu và mã truy cập của bạn. An ninh của chuỗi này chỉ mạnh bằng mắt xích yếu nhất. Nếu một ứng dụng nhỏ, ít được bảo trì bị xâm nhập, kẻ xấu có thể dùng mã truy cập bị lộ để đi vào tài khoản của bạn mà không cần biết mật khẩu hay vượt qua xác thực hai lớp.

Quyền rộng hơn nhu cầu. Nhiều ứng dụng xin nhiều quyền hơn mức chúng thực sự cần, và người dùng thường bấm đồng ý cho nhanh. Một công cụ chỉnh ảnh không có lý do gì đọc được toàn bộ thư của bạn.

Chủ sở hữu thay đổi. Ứng dụng nhỏ có thể được bán lại, đổi chính sách hoặc ngừng hoạt động. Chiếc chìa khóa bạn trao cho người này có thể rơi vào tay người khác.

Đặt cạnh nhau, ba yếu tố ấy giải thích vì sao những kết nối bị bỏ quên là nguồn rủi ro âm thầm: không gây phiền toái nào cho đến ngày có sự cố.

Cách xem ứng dụng đã được cấp quyền

Nơi xem danh sách này nằm ở trang quản lý của chính nhà cung cấp tài khoản mà bạn đã dùng để đăng nhập hoặc liên kết, thường là mục có tên như "bảo mật", "ứng dụng đã kết nối", "ứng dụng và dịch vụ của bên thứ ba" hoặc "quyền truy cập". Các bước chung:

1. Đăng nhập vào trang quản lý tài khoản bằng cách tự mở địa chỉ đã lưu, không bấm vào liên kết nhận được qua tin nhắn.
2. Tìm mục bảo mật và mở danh sách ứng dụng hoặc dịch vụ đã kết nối.
3. Với từng mục, đọc tên ứng dụng, ngày cấp quyền, lần sử dụng gần nhất và phạm vi quyền.
4. Ghi lại những mục bạn không nhận ra, không dùng nữa hoặc có phạm vi quá rộng.

Nếu tài khoản Hitclub của bạn có phần cài đặt bảo mật hoặc liên kết, hãy xem thêm ở đó xem có kết nối nào bạn không chủ động tạo. Giao diện từng nơi khác nhau, nên đừng ngại mất vài phút tìm đúng mục.

Thu hồi những gì không còn dùng

Quy tắc đơn giản: không dùng thì thu hồi. Với mỗi mục trong danh sách, hỏi ba câu:

• Mình có nhận ra ứng dụng này không?
• Mình có còn dùng nó trong vài tháng gần đây không?
• Quyền nó nắm giữ có tương xứng với việc nó làm không?

Chỉ cần một câu trả lời là "không", hãy chọn thu hồi (revoke) hoặc xóa quyền truy cập. Thu hồi không làm mất tài khoản của bạn. Nếu sau này cần lại, bạn chỉ việc cấp quyền lần nữa, và thường với phạm vi hẹp hơn.

Sau khi thu hồi, nên làm thêm:

• Đổi mật khẩu của tài khoản vừa rà soát nếu thấy có kết nối đáng ngờ.
• Kiểm tra lại cài đặt xác thực hai lớp và danh sách thiết bị đang đăng nhập.
• Xem lịch sử hoạt động gần đây để chắc không có thao tác lạ.

Với kết nối bạn không nhận ra, đừng chỉ thu hồi rồi bỏ qua. Coi đó là một dấu hiệu cần điều tra nhẹ: có thể bạn đã cấp quyền lúc vội, nhưng cũng có thể có ai đó đã dụ bạn.

Lịch rà soát định kỳ

Rà soát một lần chỉ có tác dụng một lần. Để tránh để các quyền tích tụ lại, hãy biến việc này thành thói quen có lịch:

• Mỗi quý: mở danh sách ứng dụng đã kết nối, thu hồi mục không dùng.
• Sau mỗi lần thử một dịch vụ mới: nếu chỉ dùng thử, thu hồi ngay sau đó.
• Khi đổi điện thoại hoặc nghi ngờ lộ thông tin: rà soát toàn bộ, ngoài lịch.
• Trước khi cấp quyền mới: đọc kỹ phạm vi, chọn mức quyền thấp nhất đủ dùng.

Đặt một lời nhắc lặp lại trong lịch điện thoại là cách đơn giản nhất để không quên. Mười phút mỗi quý là cái giá rất nhỏ so với hậu quả của một mã truy cập bị lộ.

Sai lầm thường gặp

Nhiều người cho rằng đã bật xác thực hai lớp là đủ. Thực tế, mã truy cập OAuth đã cấp không cần qua lớp xác thực đó mỗi lần dùng, nên nó vẫn là một cánh cửa riêng. Một sai lầm khác là xóa ứng dụng khỏi điện thoại mà tưởng thế là xong: quyền ở phía tài khoản vẫn còn nguyên cho đến khi bạn thu hồi. Và sai lầm phổ biến nhất là bấm "cho phép tất cả" mà không đọc.

Kết chặng

FullySky thích nhìn việc này như một lần kiểm kê hành lý giữa đường: cái gì còn cần thì giữ, cái gì thừa thì bỏ lại. Một tài khoản gắn với Hitclub được kiểm soát tốt là tài khoản mà bạn biết rõ ai đang giữ chìa khóa của nó.

Bài viết chỉ mang tính hướng dẫn an toàn cho người từ đủ 18 tuổi. Mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định cũng như việc bảo mật tài khoản của mình.