Rà soát và thu hồi ứng dụng bên thứ ba đã kết nối tài khoản Go88

Có một loại rủi ro không ồn ào: bạn không bị ai hỏi mật khẩu, không bấm vào liên kết lạ, nhưng tài khoản vẫn có những "cánh cửa phụ" mở sẵn. Đó là các ứng dụng và dịch vụ bên thứ ba mà bạn từng cho phép kết nối bằng một lần bấm "Cho phép". Trên tường của WoolMap, mỗi quyền được cấp giống một tấm ghim: lúc ghim thì rõ ràng, vài tháng sau không còn ai nhớ nó ghim để làm gì. Bài này hướng dẫn cách nhìn lại cả bức tường, đặc biệt với những liên kết có thể chạm tới tài khoản Go88 của bạn.

Ảnh: Frederik Lipfert / Unsplash

Quyền OAuth là gì và vì sao nó tích tụ rủi ro

OAuth là cơ chế cho phép một ứng dụng truy cập một phần dữ liệu hoặc chức năng trên tài khoản của bạn mà không cần biết mật khẩu. Bạn gặp nó mỗi khi bấm "Đăng nhập bằng tài khoản khác" hoặc "Cho phép ứng dụng này xem thông tin của bạn". Cơ chế này tiện và an toàn hơn việc đưa mật khẩu, nhưng nó có một đặc điểm hay bị quên: quyền cấp rồi sẽ tồn tại cho đến khi chính bạn thu hồi.

Rủi ro tích tụ theo ba hướng:

• Quyền kéo dài. Ứng dụng bạn dùng đúng một lần vẫn giữ quyền nhiều tháng, thậm chí nhiều năm.
• Quyền rộng hơn cần thiết. Nhiều ứng dụng xin nhiều quyền hơn chức năng của chúng đòi hỏi, và ta bấm đồng ý cho nhanh.
• Chuỗi tin cậy. Bạn tin ứng dụng, nhưng ứng dụng ấy có thể bị bán lại, bị xâm nhập hoặc ngừng bảo trì. Khi nó bị tấn công, kẻ xấu thừa hưởng đúng những quyền bạn đã cấp.

Điểm khó chịu nhất là các quyền này vẫn hoạt động ngay cả khi bạn đổi mật khẩu, vì chúng đi bằng mã truy cập riêng, không đi bằng mật khẩu.

Cách xem ứng dụng đã được cấp quyền

Vì Go88 là dịch vụ có tài khoản riêng, thao tác cụ thể có thể khác nhau tùy phiên bản giao diện, nên hãy làm theo hai tầng:

1. Trong chính tài khoản Go88. Vào phần cài đặt, bảo mật hoặc thiết bị và kết nối, tìm mục liệt kê ứng dụng, phiên đăng nhập hoặc liên kết đã cấp quyền. Nếu có mục như vậy, ghi lại từng dòng.
2. Ở tài khoản trung gian. Nếu bạn đăng nhập hoặc nhận thông báo qua tài khoản email, tài khoản mạng xã hội hay kho mật khẩu, hãy mở phần "ứng dụng của bên thứ ba" hoặc "quyền truy cập" của các dịch vụ đó. Rất nhiều kết nối ngầm nằm ở đây chứ không nằm ở dịch vụ chính.
3. Trên thiết bị. Mở danh sách ứng dụng đã cài, xem những ứng dụng nào có quyền truy cập thông báo, trợ năng, hoặc tệp, vì đó là những quyền đủ để nhìn thấy hoặc điều khiển nội dung nhạy cảm.

Khi đọc từng dòng, hãy tự hỏi ba điều: mình có nhận ra tên này không, mình còn dùng nó không, và nó đang được phép làm những gì. Nếu không thể trả lời được cả ba, đó là ứng viên thu hồi.

Thu hồi cái không dùng

Nguyên tắc dọn dẹp rất đơn giản: không dùng thì thu hồi, không nhận ra thì thu hồi, xin quá nhiều quyền thì thu hồi. Thao tác thực tế:

• Chọn ứng dụng trong danh sách và bấm thu hồi, gỡ quyền hoặc hủy liên kết.
• Nếu ứng dụng hiển thị cả ngày cấp quyền, ưu tiên xử lý những cái cũ nhất và những cái không rõ nguồn gốc.
• Với ứng dụng cài trên máy, gỡ cài đặt rồi mới thu hồi quyền ở phía tài khoản, để tránh nó tự xin lại.
• Sau khi thu hồi, đăng xuất khỏi mọi phiên rồi đăng nhập lại bằng thiết bị tin cậy, để phiên cũ không còn hiệu lực.
• Nếu nghi ngờ ứng dụng đã hành xử bất thường, đổi mật khẩu từ thiết bị sạch, bật xác thực hai lớp và kiểm tra lịch sử đăng nhập.

Nếu chưa chắc ứng dụng có cần thiết hay không, cứ thu hồi trước. Khi cần dùng lại, bạn chỉ phải cấp quyền thêm một lần, còn giữ nhầm một quyền độc hại thì cái giá cao hơn nhiều.

Cách phân loại nhanh trước khi cấp quyền mới

Để bức tường không lại chật cứng, hãy áp dụng một bộ lọc trước mỗi lần bấm "Cho phép":

• Ứng dụng này có phải của một đơn vị bạn đã biết và kiểm chứng được không?
• Nó xin quyền gì? Quyền đọc khác với quyền ghi, quyền xem thông tin cơ bản khác với quyền truy cập toàn bộ.
• Chức năng bạn cần có thật sự đòi hỏi những quyền ấy không?
• Có cách khác ít quyền hơn để đạt cùng mục đích không, chẳng hạn dùng trực tiếp trang chính thức thay vì ứng dụng trung gian?
• Bạn có định dùng nó thường xuyên không, hay chỉ dùng một lần?

Với bất kỳ công cụ nào hứa "tự động hóa", "theo dõi hộ" hoặc "phân tích kết quả giúp bạn" và đòi truy cập tài khoản, hãy đặc biệt thận trọng. Đây là kiểu mồi phổ biến của các dịch vụ không đáng tin.

Lịch rà soát định kỳ

Thu hồi một lần là chưa đủ. Hãy biến nó thành nhịp:

1. Mỗi tháng: xem nhanh danh sách thiết bị và phiên đăng nhập, chỉ mất khoảng năm phút.
2. Mỗi quý: rà soát đầy đủ danh sách ứng dụng bên thứ ba ở cả tài khoản chính và tài khoản trung gian, thu hồi cái không dùng.
3. Sau mỗi sự kiện: đổi điện thoại, đổi số điện thoại, nghi bị lộ thông tin, hay sau khi thử một công cụ mới, hãy rà lại ngay.

Đặt nhắc nhở vào lịch và ghi một dòng ngắn sau mỗi lần rà soát: ngày, số quyền đã thu hồi, ghi chú. Sau vài vòng bạn sẽ thấy danh sách ngày càng gọn.

Sai lầm thường gặp

• Nghĩ rằng đổi mật khẩu là đủ để cắt mọi quyền.
• Bấm "Cho phép" ở màn hình xin quyền mà không đọc.
• Giữ lại ứng dụng "để dành, biết đâu dùng".
• Chỉ kiểm tra tài khoản chính, quên tài khoản email hay mạng xã hội dùng để đăng nhập.
• Cấp quyền cho ứng dụng nhận về qua liên kết lạ hoặc tin nhắn từ người không quen.

Một bức tường ghim gọn, mỗi tấm đều có tên, có lý do và có hạn xem lại, là một bức tường khó bị lợi dụng.

Nội dung chỉ mang tính hướng dẫn an toàn dành cho người đủ 18 tuổi trở lên. Hãy tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng về thời gian và ngân sách, và tự chịu trách nhiệm về lựa chọn của mình. Nếu cảm thấy việc sử dụng ảnh hưởng đến cuộc sống, hãy tạm dừng và tìm sự hỗ trợ phù hợp.