Rà soát và thu hồi ứng dụng bên thứ ba đã kết nối tài khoản Sunwin

Nhìn vào một bảng ghim lâu ngày không dọn, bạn sẽ thấy những mẩu giấy đã ố vàng, ghi chú của một dự án đã xong từ lâu, nhưng chiếc ghim vẫn cắm đó. Quyền truy cập của ứng dụng bên thứ ba cũng giống vậy. Bạn từng bấm "Cho phép" để dùng thử một tiện ích, rồi quên bẵng, trong khi quyền ấy vẫn còn nguyên và vẫn có thể dùng. Bài này hướng dẫn cách rà soát và thu hồi các quyền như vậy quanh tài khoản Sunwin và các tài khoản liên quan, như email hoặc mạng xã hội dùng để đăng nhập.

Ảnh: abillion / Unsplash

Vì sao quyền OAuth tích tụ rủi ro

OAuth là cơ chế cho phép một ứng dụng hành động thay bạn mà không cần biết mật khẩu. Ứng dụng nhận một "mã truy cập" có phạm vi giới hạn. Cơ chế này an toàn hơn việc đưa mật khẩu, nhưng nó có ba đặc điểm khiến rủi ro cộng dồn theo thời gian.

• Quyền tồn tại độc lập với mật khẩu: nhiều trường hợp, đổi mật khẩu không tự động thu hồi các quyền đã cấp.
• Phạm vi thường rộng hơn nhu cầu: ta hay bấm cho phép đọc danh bạ, email hoặc thông tin hồ sơ trong khi ứng dụng chỉ cần một phần rất nhỏ.
• Bên nhận quyền có thể thay đổi: một ứng dụng nhỏ bị bán lại, hoặc nhà phát triển bị xâm nhập, thì quyền của bạn nằm trong tay người khác.

Càng nhiều ứng dụng, bề mặt tấn công càng rộng. Một ứng dụng bạn đã quên thì cũng là ứng dụng bạn không còn theo dõi, và nếu nó bị lợi dụng, bạn khó nhận ra.

Chuẩn bị trước khi rà soát

Trước khi bắt tay, hãy ghim ba tấm thẻ trống lên bảng: "giữ", "hỏi lại", "thu hồi". Bạn sẽ phân loại từng ứng dụng vào một trong ba thẻ này, thay vì quyết định ngẫu hứng.

Hãy mở rà soát từ thiết bị tin cậy, ở mạng riêng chứ không phải Wi-Fi công cộng, và đăng nhập bằng dấu trang đã lưu hoặc gõ tay địa chỉ. Đừng bấm vào đường dẫn "kiểm tra quyền" từ một email hay tin nhắn, vì đó là kiểu chiêu lừa quen thuộc.

Cách xem ứng dụng đã được cấp quyền

Mỗi nền tảng đặt mục này ở một nơi khác nhau, nhưng thường nằm trong phần bảo mật hoặc quyền riêng tư của cài đặt tài khoản, với tên gọi kiểu "ứng dụng đã kết nối", "ứng dụng và trang web", hoặc "truy cập của bên thứ ba". Hãy rà ở ba chỗ.

1. Tài khoản email dùng để đăng ký Sunwin: đây là chìa khóa khôi phục, nên mọi quyền ở đây đều nhạy cảm.
2. Tài khoản mạng xã hội hoặc tài khoản đăng nhập nhanh nếu bạn từng dùng: xem danh sách ứng dụng và lần sử dụng cuối.
3. Cài đặt trong chính tài khoản Sunwin: xem thiết bị, phiên đăng nhập và bất kỳ liên kết nào đang hiển thị.

Với mỗi ứng dụng, ghi lại tên, quyền được cấp, ngày cấp và lần dùng gần nhất. Bốn dữ kiện này đủ để quyết định.

Nên thu hồi cái gì

Dựa vào bốn dữ kiện, phân loại như sau.

• Thu hồi ngay: ứng dụng bạn không nhận ra, ứng dụng không dùng quá ba tháng, ứng dụng yêu cầu quyền đọc thư hay danh bạ mà không có lý do rõ, và mọi ứng dụng bạn cấp quyền do một lời mời lạ.
• Hỏi lại: ứng dụng bạn nhận ra tên nhưng không nhớ vì sao cấp. Tìm hiểu mục đích rồi quyết định trong vòng một tuần, đừng để thẻ này nằm mãi.
• Giữ: ứng dụng đang dùng hằng tuần, quyền khớp với chức năng, và nhà cung cấp rõ ràng.

Khi thu hồi, hãy chọn nút gỡ quyền hoặc xóa kết nối trong chính trang quản lý của nền tảng cấp. Việc gỡ ứng dụng khỏi điện thoại không đồng nghĩa với thu hồi quyền ở phía máy chủ. Sau khi thu hồi, tải lại danh sách để chắc chắn mục đó đã biến mất.

Với một ứng dụng bạn không thể nhận ra, sau khi thu hồi, hãy đổi mật khẩu từ thiết bị tin cậy, đăng xuất tất cả phiên, và xem lại lịch sử đăng nhập cùng email liên kết. Nếu thấy hoạt động bạn không thực hiện, ghi lại thời điểm và liên hệ kênh hỗ trợ công bố của Sunwin.

Lịch rà soát định kỳ

Quyền tích tụ chậm nên lịch rà soát cũng cần đều đặn chứ không cần dày.

• Hằng quý: mười lăm phút xem lại ba danh sách nói trên.
• Sau mỗi lần thử một tiện ích mới: nếu ứng dụng chỉ để dùng thử, đặt nhắc gỡ quyền sau một tuần.
• Sau sự cố: mất thiết bị, nhận cảnh báo đăng nhập lạ, hoặc nghi ngờ bị lộ thông tin thì rà soát ngay.
• Khi đổi điện thoại hoặc email: coi đó là dịp dọn lại cả bảng.

Hãy ghi ngày rà soát tiếp theo lên một tấm thẻ ngay trên bảng, cùng số ứng dụng đã thu hồi lần này. Con số giảm dần theo thời gian là dấu hiệu thói quen đang hiệu quả.

Sai lầm thường gặp

• Chỉ đổi mật khẩu mà không xem các quyền đã cấp.
• Cấp quyền "toàn bộ" cho tiện, vì nút đó nằm sẵn và nổi bật.
• Tin rằng ứng dụng quen tên thì luôn an toàn, trong khi tên có thể bị mạo danh.
• Bấm vào liên kết "thu hồi quyền khẩn cấp" từ tin nhắn.
• Giữ lại ứng dụng "để lỡ cần", thứ mà thực tế gần như không bao giờ cần.

Nội dung chỉ mang tính hướng dẫn an toàn cho người đủ 18 tuổi. Hãy tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng, và tự chịu trách nhiệm với các quyền bạn cấp cho bất kỳ ứng dụng nào. Khi không thể xác minh một ứng dụng hay trạng thái tài khoản, hãy thu hồi trước và hỏi sau.

Tham khảo thông tin tại customplays.in.net.