Reading Time: 5 minutes

Secure Remote Password là giao thức trao đổi khóa xác thực bằng mật khẩu đang được thử nghiệm và triển khai rộng rãi. Với Secure Remote Password, người dùng và máy chủ có thể xác thực lẫn nhau mà không cần phải gửi mật khẩu qua mạng. Từ đó, ngăn chặn nguy cơ mật khẩu bị đánh cắp trong quá trình được chuyển đi và các nỗ lực truy cập trái phép từ bên thứ ba.

Secure Remote Password là gì?

Secure Remote Password (SRP) là một giao thức bảo mật xác thực hai bước (two-factor authentication) được sử dụng trong các hệ thống đăng nhập từ xa (remote login).

Đây là một giao thức xác thực không cần kiến thức (Zero-knowledge), nghĩa là cả máy chủ và máy khách không cần truyền hoặc lưu trữ thông tin liên quan đến mật khẩu mà vẫn có thể xác thực một cách an toàn. Vì vậy kẻ gian không thể đánh cắp được bất kỳ thông tin quan trọng nào để thực hiện các cuộc tấn công.

Qua đó, Secure Remote Password đã giảm bớt sự phức tạp của xác thực truyền thống vì người dùng không còn phải lo lắng về việc bảo mật liên quan đến mật khẩu trong máy chủ hoặc giao tiếp giữa máy chủ và máy khách.

Secure Remote Password hoạt động như thế nào?

Để đạt được mục tiêu xác thực không cần mật khẩu, Secure Remote Password hoạt động như sau:

• Bước 1: Người dùng đăng nhập vào hệ thống bằng cách cung cấp tên đăng nhập của mình.
• Bước 2: Hệ thống gửi cho người dùng một giá trị công khai (public value) được tính toán trước đó.
• Bước 3: Người dùng tính toán một giá trị bí mật (secret value) từ mật khẩu của mình và giá trị công khai được cung cấp bởi hệ thống.
• Bước 4: Người dùng tính toán một giá trị xác thực (authentication value) bằng cách sử dụng giá trị bí mật của mình và giá trị công khai của hệ thống.
• Bước 5: Người dùng gửi giá trị xác thực của mình cho hệ thống.
• Bước 6: Hệ thống tính toán một giá trị xác thực của chính nó bằng cách sử dụng giá trị bí mật chia sẻ được tính toán từ mật khẩu và giá trị công khai của hệ thống.
• Bước 7: Hệ thống so sánh giá trị xác thực của người dùng với giá trị xác thực của chính nó. Nếu hai giá trị này giống nhau, hệ thống cho phép người dùng đăng nhập vào hệ thống.

Secure Remote Password đã sử dụng các giá trị bí mật và công khai được tính toán từ mật khẩu để đảm bảo rằng chỉ có người dùng đúng mới có thể tính toán được giá trị xác thực duy nhất, giảm thiểu nguy cơ bị đánh cắp mật khẩu.

Secure Remote Password cũng cho phép người dùng đăng nhập vào hệ thống mà không cần phải gửi mật khẩu của mình qua mạng, từ đó giảm thiểu nguy cơ bị tấn công giả mạo định danh (spoofing attacks) và tấn công từ điển (dictionary attacks).

Lợi ích của việc sử dụng Secure Remote Password

Đối với hệ thống bảo mật

Là một giải pháp lý tưởng cho nhiều ứng dụng yêu cầu xác thực an toàn, Secure Remote Password đem đến nhiều lợi ích về bảo mật cho hệ thống máy chủ như:

• Chứng minh danh tính của máy chủ và máy khách với nhau và đảm bảo không có bên mạo danh nào tham gia.
• Một số hệ thống lưu trữ mật khẩu của người dùng dưới dạng bản rõ, điều này tạo ra rủi ro an ninh. Nhưng với Secure Remote Password, máy chủ chỉ cần giữ giá trị bí mật được tính toán từ mật khẩu của người dùng và không cần lưu trữ mật khẩu nguyên gốc. Điều này giảm thiểu rủi ro liên quan đến việc lưu trữ mật khẩu dưới dạng bản rõ.
• Ngoài ra, Secure Remote Password còn cung cấp khoá mã hoá phiên an toàn để máy khách và máy chủ có thể truyền dữ liệu được mã hoá mang lại khả năng bảo mật cao hơn trên Transport Layer Security (TLS).
• SRP có thể được sử dụng trong nhiều hệ thống khác nhau và với các thuật toán mã hóa khác nhau. Do đó, nó là một phương pháp đa nền tảng và có thể được tích hợp dễ dàng vào các hệ thống bảo mật hiện có.

Đối với người dùng

Cách Secure Remote Password hoạt động và giải quyết các thách thức bảo mật liên quan đến mật khẩu đã mang đến nhiều lợi ích tuyệt vời cho người dùng như:

• Phòng tránh được cả các cuộc Tấn công chủ động và Tấn công thụ động, chẳng hạn như Man-in-the-middle hoặc các cuộc Tấn công Brute Force,…
• Với Secure Remote Password, mật khẩu của người dùng không bao giờ được gửi trực tiếp qua internet. Thay vào đó, giá trị bí mật được tính toán từ mật khẩu của người dùng và giá trị công khai được tạo bởi máy chủ sẽ được sử dụng để thực hiện quá trình đăng nhập. Từ đó giúp ngăn chặn các kẻ tấn công giả mạo.
• Secure Remote Password sử dụng mã hóa đường truyền để bảo vệ thông tin đăng nhập của người dùng khi gửi qua mạng. Vì vậy, người dùng không cần phải lo lắng về việc mật khẩu của mình bị đánh cắp trong quá trình truyền tải.
• Trong hầu hết các phương pháp xác thực đăng nhập, người dùng phải sử dụng bên thứ ba để xác thực danh tính của mình. Với SRP, quá trình xác thực được thực hiện giữa người dùng và máy chủ, không cần đến bên thứ ba nào.

Như vậy chúng ta đã cùng tìm hiểu Secure Remote Password là gì và những lợi ích mà phương thức này mang lại. Đây là một giao thức xác thực mã hoá mạnh mẽ giúp người dùng nhanh chóng xác minh danh tính của mình một cách an toàn ngay cả khi kết nối mạng không an toàn. Đừng quên tiếp tục theo dõi Locker để cập nhật những kiến thức mới về bảo mật.