Rà soát và thu hồi ứng dụng bên thứ ba đã kết nối tài khoản Sunwin

Hãy hình dung một chuyến đi dài, mỗi trạm bạn cho ai đó đi nhờ một đoạn. Có người xuống ngay trạm kế tiếp, có người quên xuống và ở lại suốt nhiều tháng. Kết nối ứng dụng bên thứ ba vào tài khoản hoạt động y như vậy. Bạn bấm "Cho phép" một lần, vì một tiện ích nào đó, rồi quên. Bài này đi qua cách rà soát và thu hồi những quyền ấy để tài khoản Sunwin cùng các tài khoản liên quan của bạn không mang theo những hành khách không còn cần thiết.

Ảnh: Sahej Brar / Unsplash

Vì sao quyền OAuth tích tụ rủi ro

OAuth là cơ chế cho phép một ứng dụng truy cập một phần dữ liệu hoặc chức năng trong tài khoản của bạn mà không cần biết mật khẩu. Bạn gặp nó mỗi khi bấm "Đăng nhập bằng tài khoản email" hay "Cho phép ứng dụng này đọc danh bạ". Cơ chế này an toàn hơn việc đưa mật khẩu, nhưng nó có một đặc điểm quan trọng: quyền đã cấp thường tồn tại cho tới khi bạn tự thu hồi.

Rủi ro tích tụ theo ba hướng.

Thứ nhất, theo thời gian. Ứng dụng bạn thử từ hai năm trước, nay có thể đã đổi chủ, đổi chính sách, hoặc bị khai thác. Quyền vẫn nguyên đó.

Thứ hai, theo phạm vi. Nhiều ứng dụng xin nhiều quyền hơn mức cần. Một công cụ chỉ để đổi giao diện không nên có quyền đọc thư. Khi bạn bấm đồng ý vội, bạn trao quyền rộng cho thứ chỉ cần quyền hẹp.

Thứ ba, theo số lượng. Mỗi ứng dụng là một điểm yếu độc lập. Tài khoản của bạn an toàn đến đâu cũng chỉ tương đương mắt xích yếu nhất trong số ứng dụng đang giữ quyền. Nếu một nhà cung cấp bị lộ dữ liệu, kẻ xấu có thể dùng mã truy cập đã cấp để vào tài khoản của bạn mà không cần mật khẩu hay mã xác thực.

Đây là lý do rà soát quyền ứng dụng được xem như một phần nền tảng của bảo mật tài khoản, ngang với việc đặt mật khẩu mạnh.

Tìm đâu để thấy các ứng dụng đã cấp quyền

Quyền không nằm một chỗ. Hãy kiểm tra từng nơi bạn dùng để đăng nhập hoặc liên kết.

Tài khoản email chính. Hầu hết nhà cung cấp email có mục như "Bảo mật", "Ứng dụng của bên thứ ba", hay "Truy cập tài khoản". Tại đó liệt kê ứng dụng đang có quyền, kèm loại quyền.

Tài khoản mạng xã hội. Mục "Ứng dụng và trang web" hoặc "Ứng dụng đã kết nối" trong phần cài đặt bảo mật.

Tài khoản của hệ điều hành và kho ứng dụng. Mục đăng nhập bằng tài khoản nền tảng thường có danh sách ứng dụng đã dùng đăng nhập.

Trình duyệt và tiện ích mở rộng. Tiện ích có thể có quyền đọc mọi trang bạn mở. Kiểm tra danh sách tiện ích và quyền của từng cái.

Chính Sunwin. Trong phần cài đặt tài khoản hay bảo mật của nền tảng, nếu có mục liên kết hoặc phiên đăng nhập, hãy xem kỹ các liên kết đang hoạt động và những thiết bị đã đăng nhập.

Vì giao diện mỗi nơi thay đổi theo thời gian, hãy dùng từ khóa như "quyền truy cập", "ứng dụng đã kết nối", "phiên đăng nhập" khi tìm trong phần cài đặt của chính nơi đó, thay vì dựa vào đường dẫn ghi nhớ từ lâu.

Thu hồi như thế nào: quy trình năm câu hỏi

Với mỗi ứng dụng trong danh sách, trả lời lần lượt năm câu.

1. Mình có nhận ra ứng dụng này không? Nếu không, thu hồi ngay.
2. Lần gần nhất mình dùng nó là khi nào? Nếu hơn ba tháng và không có kế hoạch dùng lại, thu hồi.
3. Nó đang giữ những quyền gì? Nếu quyền vượt xa mục đích, như đọc toàn bộ thư, quản lý danh bạ hay thay đổi cài đặt tài khoản, thu hồi hoặc xin cấp lại ở mức hẹp hơn.
4. Nhà phát triển có đáng tin không? Có trang chính thức, chính sách rõ ràng, được nhiều người dùng và cập nhật gần đây là các dấu hiệu tốt.
5. Nếu thu hồi thì mình mất gì? Thường là không đáng kể, và bạn luôn có thể cấp lại sau.

Khi bấm thu hồi, hãy nhớ hai việc kèm theo. Một là sau khi thu hồi, nên đổi mật khẩu của tài khoản nếu ứng dụng thuộc loại bạn nghi ngờ, vì thu hồi quyền không xóa dữ liệu mà ứng dụng đã lấy trước đó. Hai là kiểm tra lịch sử hoạt động gần đây của tài khoản để chắc không có thao tác lạ.

Cũng cần lưu ý rằng ứng dụng đã bị gỡ khỏi điện thoại vẫn có thể còn giữ quyền ở phía tài khoản. Gỡ ứng dụng và thu hồi quyền là hai việc khác nhau, và nên làm cả hai.

Lịch rà soát định kỳ

Rà soát một lần rồi thôi sẽ nhanh chóng lỗi thời. Hãy đặt nhịp.

Mỗi tháng, một lần, dành năm phút xem có ứng dụng nào mới xuất hiện trong danh sách mà bạn không nhớ đã cấp quyền.

Mỗi quý, một lần, rà soát toàn bộ: email, mạng xã hội, hệ điều hành, trình duyệt, nền tảng giải trí. Ghi vào lịch một ngày cố định, ví dụ ngày đầu quý, để nó thành thói quen.

Ngay sau khi thử một công cụ mới, nếu chỉ dùng một lần, hãy thu hồi luôn trong ngày. Đây là cách ngăn danh sách phình ra từ đầu.

Sau mỗi sự cố, như điện thoại thất lạc, tài khoản bị cảnh báo đăng nhập lạ, hay thông báo rò rỉ dữ liệu từ một dịch vụ bạn dùng, thực hiện rà soát khẩn cấp ngoài lịch.

Mẹo nhỏ: giữ một ghi chú ngắn liệt kê ứng dụng bạn chủ động muốn giữ, kèm lý do. Lần sau, bất kỳ thứ gì không có trong ghi chú đều là ứng viên bị thu hồi.

Sai lầm thường gặp

Nghĩ rằng ứng dụng nổi tiếng thì không cần kiểm tra. Danh tiếng không thay thế nguyên tắc quyền tối thiểu.

Chỉ kiểm tra tài khoản giải trí mà bỏ qua email. Email thường là cánh cửa quan trọng nhất, vì nó dùng để khôi phục mọi tài khoản khác.

Bấm "Cho phép" khi một trang hay tin nhắn thúc giục. Sự thúc giục là dấu hiệu cần dừng lại, và quyền chỉ nên cấp khi bạn tự khởi đầu việc kết nối.

Quên các liên kết trên thiết bị cũ. Điện thoại hoặc máy tính đã bán, đã tặng, đã hỏng vẫn có thể còn phiên và quyền ở phía tài khoản.

Một hành trình an toàn không cần ai đó đi cùng mãi mãi. Sau mỗi quãng, hãy cho người đi nhờ xuống xe, giữ lại những người bạn thật sự cần.

Nội dung này chỉ mang tính hướng dẫn an toàn dành cho người từ đủ 18 tuổi khi dùng Sunwin. Hãy tuân thủ pháp luật nơi bạn cư trú, đặt giới hạn thời gian và chi tiêu cho phần giải trí, chơi có trách nhiệm, dừng lại khi thấy áp lực, và tự chịu trách nhiệm với quyết định của mình.

Tham khảo thông tin tại customplays.in.net.