Cách bật xác thực hai lớp cho email công ty an toàn

Một nhân viên bật xong xác thực hai lớp cho email công ty, mở Outlook trên máy làm việc thì bị báo sai mật khẩu liên tục dù gõ đúng. Không phải tài khoản lỗi, mà Outlook kết nối bằng giao thức IMAP không hỏi được mã lớp hai. Bài này đi thẳng vào thao tác: ba dạng lớp thứ hai phổ biến, thứ tự việc phải chuẩn bị trước khi bật, cách xử lý khi phần mềm mail báo sai mật khẩu, và cách triển khai cho cả phòng ban mà không làm gián đoạn công việc.

Xác thực hai lớp cho email có mấy dạng và dạng nào đáng tin nhất

Có ba dạng phổ biến đang dùng cho hộp thư công ty: mã gửi qua tin nhắn SMS, mã sinh trong ứng dụng xác thực theo chuẩn TOTP, và khoá bảo mật vật lý cắm USB hoặc chạm NFC. Ba dạng cùng yêu cầu thêm một bằng chứng ngoài mật khẩu, nhưng độ tin cậy khác nhau khá xa.

Mã qua tin nhắn SMS đi qua mạng viễn thông nên có thể bị chặn nếu kẻ tấn công làm giả SIM hoặc đánh cắp mã lúc chuyển mạng. Mã sinh trong ứng dụng xác thực không đi qua mạng, tự tính trên máy dựa theo giờ hệ thống. Theo tài liệu 2-Step Verification của Google, mã trong ứng dụng xác thực đổi mới sau mỗi 30 giây, nên bị lộ cũng gần như hết hạn trước khi dùng được. Khoá bảo mật vật lý đứng cao nhất vì nó xác minh luôn địa chỉ trang đăng nhập, chống được cả trang giả mạo giống hệt bản thật.

Trước khi bật xác thực hai lớp cho một tài khoản email cần kiểm gì

Ba việc cần làm trước khi bật xác thực hai lớp cho email công ty, đúng thứ tự: kiểm phần mềm mail đang dùng, gồm Outlook, ứng dụng mail điện thoại hay webmail, có hỗ trợ xác thực hiện đại hay không. Tạo và cất mã khôi phục ở nơi an toàn ngoài chính hộp thư đó. Chỉ bật sau khi hai việc trên xong, không làm ngược.

Phần mềm mail cũ dùng xác thực cơ bản (basic authentication) sẽ không hỏi được mã lớp hai, nên phải kiểm trước thay vì phát hiện sau khi nhân viên bị khoá ngoài. Theo thông báo ngừng Basic Authentication trên Exchange Online của Microsoft, giao thức xác thực cũ cho IMAP, POP và SMTP ngừng hoạt động từ ngày 1 tháng 10 năm 2022, buộc mọi ứng dụng mail chuyển sang xác thực hiện đại hoặc dùng mật khẩu ứng dụng. Công ty đang dùng email doanh nghiệp theo tên miền riêng nên hỏi trước bộ phận kỹ thuật xem webmail và ứng dụng di động đi kèm có hỗ trợ sẵn hay không.

Mã khôi phục nên in ra giấy hoặc lưu trong trình quản lý mật khẩu, không chụp màn hình rồi lưu ngay trong hộp thư sắp được bảo vệ. Mất điện thoại mà không có mã khôi phục thì chỉ còn cách nhờ quản trị hệ thống can thiệp, mất thời gian hơn nhiều so với vài phút chuẩn bị trước.

Mật khẩu ứng dụng là gì và vì sao Outlook báo sai mật khẩu sau khi bật hai lớp

Mật khẩu ứng dụng là một chuỗi ký tự riêng, hệ thống sinh ra để thay cho mật khẩu chính khi đăng nhập bằng phần mềm không hỏi được mã lớp hai. Outlook, ứng dụng mail trên điện thoại hay phần mềm gửi thư số lượng lớn kết nối bằng giao thức IMAP hoặc SMTP không có khung nhập mã, nên bật xong thì mật khẩu cũ lập tức bị từ chối.

Mỗi thiết bị nên cấp một mật khẩu ứng dụng riêng, không dùng chung một chuỗi cho cả máy tính và điện thoại. Cấp riêng từng thiết bị giúp thu hồi đúng một chỗ khi máy bị mất hoặc đổi máy, các thiết bị còn lại vẫn chạy bình thường. Khai chuỗi này một lần vào ô mật khẩu của Outlook hoặc ứng dụng mail, sau đó không cần nhập lại cho tới khi bị thu hồi hoặc đổi mật khẩu chính.

Triển khai xác thực hai lớp cho cả công ty nên làm theo đợt hay đồng loạt

Nên triển khai theo đợt, không bật đồng loạt trong một buổi. Chọn một nhóm nhỏ dùng thử trước, thường là bộ phận IT hoặc vài người quen thao tác công nghệ, xử lý hết vướng mắc rồi mới mở rộng sang các phòng ban còn lại theo từng đợt cách nhau vài ngày.

Bật đồng loạt cho toàn công ty trong một buổi dồn hết câu hỏi hỗ trợ vào cùng một lúc, trong khi mỗi người dùng một loại phần mềm mail, một đời máy khác nhau. Chia đợt theo phòng ban giúp đội kỹ thuật xử lý từng ca lỗi rồi rút kinh nghiệm cho đợt sau, thay vì chữa cháy cùng lúc cho hàng trăm tài khoản. Doanh nghiệp dùng dịch vụ email server riêng mailUltra tự quản trị máy chủ có thể bật bắt buộc xác thực hai lớp ở cấp quản trị cho từng nhóm người dùng, không cần chờ từng người tự bật.

Nhân viên mất điện thoại chứa ứng dụng xác thực thì xử lý sao

Còn giữ mã khôi phục đã lưu trước thì nhập ngay mã đó để đăng nhập lại, không cần chờ ai hỗ trợ. Mất luôn cả mã khôi phục thì báo quản trị hệ thống xác minh danh tính rồi tắt tạm thời xác thực hai lớp cho đúng tài khoản đó, cấp lại sau khi cài ứng dụng xác thực trên máy mới.

Xác minh danh tính trước khi tắt xác thực hai lớp không phải thủ tục thừa. Đây chính là bước dễ bị kẻ giả danh nhân viên khai thác để chiếm quyền hộp thư, nên quản trị nên gọi lại số điện thoại nội bộ đã biết trước thay vì chỉ tin vào yêu cầu qua chat. Người thường xuyên quản lý email trên điện thoại nên xem thêm cách phòng tình huống này lặp lại.

Quản trị viên cần làm gì khi một nhân viên nghỉ việc

Việc đầu tiên là thu hồi toàn bộ mật khẩu ứng dụng đã cấp cho người đó, không chỉ đổi mật khẩu chính. Mật khẩu ứng dụng cũ vẫn đăng nhập được vào máy tính hoặc điện thoại cá nhân của nhân viên đã nghỉ dù mật khẩu chính đã đổi, vì hai thứ này tách biệt nhau.

Sau khi thu hồi mật khẩu ứng dụng, quản trị nên tắt luôn thiết bị xác thực cũ gắn với tài khoản đó và bàn giao hộp thư theo đúng quy trình nội bộ, tránh khoảng trống giữa ngày nghỉ việc và ngày khoá tài khoản. Quy trình chi tiết hơn có thể xem tại bài xử lý tài khoản email nghỉ việc. Nếu một tài khoản báo đăng nhập từ vị trí lạ ngay sau khi tắt xác thực hai lớp, đó thường là dấu hiệu email bị chiếm quyền, cần khoá tài khoản ngay và đổi mật khẩu chính trước khi tìm nguyên nhân.

Câu hỏi thường gặp về bảo mật hai lớp cho hộp thư email công ty

Nhớ gì từ bài này

Bật xác thực hai lớp cho email không khó, cái khó nằm ở đúng thứ tự: kiểm phần mềm mail đang dùng, cất mã khôi phục nơi an toàn, rồi mới bật. Mật khẩu ứng dụng là chỗ hay bị bỏ sót nhất, cấp riêng từng thiết bị để thu hồi gọn khi có người nghỉ việc hoặc mất máy. Triển khai theo đợt cho cả công ty đỡ dồn việc hỗ trợ vào một buổi, còn quản trị chỉ cần nhớ một việc: thu hồi mật khẩu ứng dụng ngay khi một người rời đi.