Rà soát và thu hồi ứng dụng bên thứ ba đã kết nối tài khoản Hitclub

Bạn còn nhớ lần nào đó bấm "Đăng nhập bằng tài khoản khác" cho nhanh, rồi tiện tay cho phép một ứng dụng nhỏ đọc thông tin hồ sơ? Có thể đó là trò chơi giải đố, công cụ chỉnh ảnh, hay một tiện ích theo dõi chi tiêu. Ứng dụng đã bị bỏ quên từ lâu, nhưng quyền bạn cấp thì vẫn còn đó, lặng lẽ nằm trong cài đặt.

Ảnh: Andrey Matveev / Unsplash

WoolMap thường dùng hình ảnh những chiếc ghim: mỗi ứng dụng bên thứ ba được kết nối là một chiếc ghim cắm xuyên qua bảng, tạo một đường vào tài khoản của bạn. Một chiếc thì không đáng ngại. Hai chục chiếc rải rác qua nhiều năm thì bảng đã thủng lỗ chỗ. Bài này hướng dẫn cách nhìn lại và nhổ bớt chúng khi bạn dùng Hitclub.

Vì sao quyền OAuth tích tụ rủi ro

OAuth là cơ chế cho phép một ứng dụng truy cập một phần dữ liệu của bạn mà không cần biết mật khẩu. Bạn bấm "Cho phép", hệ thống cấp cho ứng dụng một mã truy cập có phạm vi nhất định. Cơ chế này rất tiện và an toàn hơn việc đưa mật khẩu, nhưng nó có đặc điểm cần lưu ý:

• Quyền không tự hết hạn. Nhiều mã truy cập kéo dài cho tới khi bạn thu hồi. Bạn bỏ ứng dụng, quyền vẫn nằm đó.
• An toàn của bạn phụ thuộc vào bên thứ ba. Nếu nhà phát triển ứng dụng bị xâm nhập, kẻ tấn công có thể dùng mã truy cập đã cấp, mà không cần động tới mật khẩu của bạn. Đổi mật khẩu cũng chưa chắc vô hiệu hóa mã ấy.
• Quyền thường rộng hơn nhu cầu. Một ứng dụng chỉ cần đọc tên bạn nhưng lại xin quyền xem danh bạ, hoặc gửi thông báo.
• Ứng dụng đổi chủ. Một công cụ nhỏ có thể được bán lại, chính sách dữ liệu đổi khác mà người dùng không hay biết.

Càng nhiều chiếc ghim, bề mặt tấn công càng lớn, và bạn càng khó nhớ chiếc nào còn hoạt động.

Cách xem ứng dụng đã được cấp quyền

Vị trí cụ thể phụ thuộc vào nơi bạn dùng đăng nhập, nhưng phần lớn dịch vụ lớn đều có một mục tương tự. Hãy tìm trong phần cài đặt tài khoản các cụm như "Bảo mật", "Ứng dụng đã kết nối", "Quyền truy cập của bên thứ ba" hay "Ứng dụng và trang web".

Làm lần lượt theo các bước:

1. Mở cài đặt tài khoản trên từng nền tảng bạn từng dùng để đăng nhập nhanh, như tài khoản email, mạng xã hội, hệ sinh thái điện thoại.
2. Tìm danh sách ứng dụng đã được cấp quyền.
3. Với mỗi mục, đọc ba thông tin: tên ứng dụng, quyền được cấp, và lần sử dụng gần nhất nếu có.
4. Ghi nhanh ra một danh sách giữ lại và danh sách thu hồi.

Đối với tài khoản Hitclub, hãy vào phần bảo mật trong tài khoản của bạn, và chỉ mở bằng dấu trang đã xác minh. Nếu thấy một mục kết nối mà bạn không nhớ đã tạo, hãy coi như đáng ngờ. Nếu giao diện không có mục liệt kê ứng dụng, hãy xem phần thiết bị đăng nhập hoặc liên hệ hỗ trợ chính thức.

Quyết định giữ hay thu hồi

Đừng thu hồi bừa bãi, nhưng cũng đừng chần chừ. Một bộ lọc đơn giản gồm bốn câu hỏi:

• Mình có còn dùng ứng dụng này trong ba tháng qua không?
• Mình có nhận ra nhà phát triển không?
• Quyền được cấp có tương xứng với chức năng không?
• Nếu mai ứng dụng bị xâm nhập, mình có sẵn sàng chấp nhận hậu quả không?

Chỉ cần một câu trả lời "không" ở câu một hoặc hai, hoặc "không" ở câu ba hay bốn, hãy thu hồi. Nếu sau này cần lại, bạn có thể cấp quyền một lần nữa trong vài giây. Chi phí của việc thu hồi nhầm rất nhỏ; chi phí của việc để quyền thừa rất khó đoán.

Sau khi thu hồi, hãy kiểm tra lại danh sách để chắc chắn mục đã biến mất. Với những ứng dụng bạn nghi ngờ đã bị lạm dụng, đổi mật khẩu từ thiết bị đáng tin, bật xác thực hai lớp và đăng xuất toàn bộ phiên.

Dọn dẹp những lối vào khác

Ứng dụng bên thứ ba không chỉ là các nút "đăng nhập bằng". Hãy rà thêm:

• Tiện ích trình duyệt. Một số tiện ích có quyền đọc mọi trang bạn mở. Gỡ những tiện ích không dùng và chỉ giữ những cái từ nguồn đáng tin.
• Ứng dụng trên điện thoại có quyền đặc biệt, như trợ năng, đọc thông báo, hiển thị chồng lên ứng dụng khác. Đây là nhóm quyền mà phần mềm độc hại hay lợi dụng.
• Khóa API hoặc mã truy cập cá nhân nếu bạn từng tạo cho công cụ nào đó. Thu hồi những mã không còn dùng.
• Bàn phím và công cụ nhập liệu bên ngoài, vì chúng có thể thấy mọi thứ bạn gõ.

Lịch rà soát định kỳ

Việc dọn dẹp chỉ hiệu quả khi lặp lại. Hãy ghim lên lịch một nhắc nhở:

1. Mỗi tháng (3 phút): nhìn nhanh danh sách thiết bị và ứng dụng mới xuất hiện kể từ lần trước.
2. Mỗi quý (15 phút): rà đầy đủ danh sách ứng dụng đã cấp quyền trên các tài khoản chính, thu hồi mục không dùng.
3. Mỗi khi đổi điện thoại hoặc nhận cảnh báo bảo mật: rà soát ngay, không chờ lịch.
4. Trước khi cài ứng dụng mới: tự hỏi cần quyền gì, và tự hứa ngày sẽ gỡ nếu không dùng.

Một thói quen tốt khác: ngay khi thử xong một ứng dụng tạm thời, thu hồi quyền ngay trong ngày thay vì để "lát nữa làm".

Những sai lầm thường gặp

• Cho rằng đổi mật khẩu là đủ để cắt quyền của ứng dụng đã kết nối.
• Bấm "Cho phép tất cả" để nhanh mà không đọc phạm vi quyền.
• Nghĩ rằng ứng dụng nổi tiếng thì luôn an toàn. Nổi tiếng chưa đảm bảo cẩn trọng.
• Chỉ rà soát một tài khoản, bỏ quên các tài khoản phụ như email cũ.
• Nhận lời mời "kết nối công cụ hỗ trợ" từ người lạ và tin rằng nó chính thức.

Nội dung này chỉ mang tính hướng dẫn an toàn và dành cho người đủ 18 tuổi. Hãy tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng về tiền và thời gian, tự chịu trách nhiệm với lựa chọn của mình và dừng lại ngay khi thấy việc sử dụng bắt đầu ảnh hưởng tới cuộc sống hay gia đình.

Tham khảo thông tin tại Hit Club.