Một người chỉ đăng nhập vào LMS của bạn mỗi năm một lần để ôn lại đào tạo tuân thủ thì sẽ không bao giờ nhớ nổi mật khẩu. Vì vậy họ bấm “quên mật khẩu”, chờ email, nghĩ ra một mật khẩu mới mà rồi lại quên, hoặc bỏ cuộc và gửi phiếu hỗ trợ. Đăng nhập không mật khẩu loại bỏ hoàn toàn mật khẩu. Hướng dẫn này giải thích cách nó hoạt động, những đánh đổi về bảo mật thực sự nằm ở đâu, và khi nào đáng để bổ sung đăng nhập một lần SAML lên trên.
Vì sao mật khẩu thất bại với học viên thỉnh thoảng mới đăng nhập
Mật khẩu hiệu quả nhất với những hệ thống mà mọi người dùng hằng ngày. Một nền tảng đào tạo thường ngược lại: mọi người đăng nhập khi được ghi danh, khi nhận được lời nhắc, hoặc khi chứng chỉ sắp hết hạn.
Điều đó tạo ra một loạt vấn đề có thể đoán trước:
- Mật khẩu bị quên. Với hàng tháng giữa các lần đăng nhập, nhiều học viên bắt đầu bằng việc đặt lại mật khẩu, thường vào đúng ngày đến hạn đào tạo.
- Dùng lại mật khẩu. Người không nhớ nổi thêm một mật khẩu nữa sẽ dùng lại mật khẩu từ nơi khác. Nếu trang kia bị xâm nhập, cùng email và mật khẩu đó có thể bị đem thử trên LMS của bạn.
- Cách lách quy tắc. Quy tắc mật khẩu nghiêm ngặt dẫn đến mật khẩu dán trên giấy nhớ, hoặc những biến thể dễ đoán như thêm một con số mỗi lần.
- Gánh nặng hỗ trợ. Mỗi lần bị khóa và đặt lại là một phiếu hỗ trợ cho bộ phận hỗ trợ CNTT hoặc đội L&D của bạn.
Còn một điểm ít được nhắc đến hơn. Hầu hết hệ thống mật khẩu cho phép mọi người đặt lại mật khẩu qua email, nghĩa là hộp thư vốn đã kiểm soát tài khoản. Mật khẩu là phần người ta hay quên, không phải phần bảo vệ họ. Đăng nhập không mật khẩu chỉ đơn giản làm cho điều đó trở nên rõ ràng.
Đăng nhập không mật khẩu hoạt động như thế nào
Mã dùng một lần qua email
- Học viên nhập địa chỉ email của mình.
- LMS tạo một mã ngẫu nhiên ngắn và gửi qua email cho họ.
- Học viên nhập mã vào, và LMS kiểm tra mã đó.
Một mã được thiết kế tốt chỉ dùng được một lần, hết hạn trong vài phút và ngừng hoạt động sau vài lần nhập sai. Không có gì để nhớ, không có gì dùng lại từ trang khác, và không có mật khẩu nào để bị lộ.
Một số hệ thống gửi liên kết đăng nhập qua email thay vì mã. Mã rất tiện khi ai đó đọc email trên điện thoại nhưng đang đăng nhập trên máy tính công việc, vì họ chỉ cần gõ mã sang.
Tài khoản Google, Microsoft hoặc LinkedIn
Với các nút “đăng nhập bằng”, LMS giao việc đăng nhập cho nhà cung cấp bằng các giao thức chuẩn như OAuth 2.0 và OpenID Connect. Nhà cung cấp xác minh người đó là ai, kể cả xác minh hai bước trên tài khoản của họ, rồi cho LMS biết họ là ai và địa chỉ email đã xác minh của họ. LMS không bao giờ thấy mật khẩu của họ.
Cách này phù hợp với nhân viên vốn đã đăng nhập vào Microsoft 365 hoặc Google Workspace mỗi ngày: một cú nhấp là vào được.
Những đánh đổi về bảo mật, nói thẳng
Không mật khẩu không phải phép màu. Nó chuyển niềm tin sang một nơi khác, và bạn nên biết đó là nơi nào.
| Phương thức | Điều bảo vệ tài khoản | Điều cần lưu ý |
|---|---|---|
| Mật khẩu | Thứ học viên tự nhớ | Dùng lại, chọn yếu, và dù sao cũng đặt lại qua email |
| Mã email | Quyền truy cập vào hộp thư của học viên | Hộp thư bị xâm nhập đồng nghĩa với tài khoản LMS bị xâm nhập |
| Google, Microsoft hoặc LinkedIn | Tài khoản của nhà cung cấp và xác minh hai bước của nó | Tài khoản cá nhân nằm ngoài tầm kiểm soát của bạn |
| Đăng nhập một lần SAML | Nhà cung cấp danh tính của bạn và các chính sách của nó | Công sức thiết lập, và việc phụ thuộc vào sự sẵn sàng của nhà cung cấp |
Một vài điểm cụ thể đáng hiểu:
- Tài khoản email quan trọng nhất. Bất kỳ ai đọc được email của học viên đều có thể đăng nhập với tư cách học viên đó. Xác thực đa yếu tố trên hộp thư công việc đóng góp cho bảo mật LMS nhiều hơn bất kỳ quy tắc mật khẩu nào.
- Hết hạn và giới hạn số lần thử ngăn việc đoán mã. Một mã sáu chữ số có khoảng một triệu giá trị khả dĩ, nên ba lần thử chỉ cho người đoán cơ hội vài phần triệu, và mỗi mã chỉ tồn tại vài phút. Giới hạn tần suất yêu cầu mã càng làm chậm thêm.
- Mã vẫn có thể bị lừa đảo (phishing). Một trang đăng nhập giả có thể yêu cầu mã và dùng ngay lập tức. Hãy dạy mọi người chỉ nhập mã trên địa chỉ thật của LMS, và rằng không ai, kể cả bộ phận hỗ trợ, sẽ hỏi họ mã.
- Hộp thư dùng chung làm suy yếu hồ sơ của bạn. Nếu nhiều người đọc được cùng một hộp thư, bất kỳ ai trong số họ cũng có thể đăng nhập với tư cách chủ hộp thư. Mỗi học viên cần địa chỉ riêng thì hồ sơ đào tạo mới có ý nghĩa.
- Nhân sự nghỉ việc cần được gỡ ở mọi nơi. Tài khoản Google hoặc LinkedIn cá nhân không biến mất khi ai đó nghỉ việc. Hãy tạm ngưng hoặc lưu trữ họ trong LMS như một phần của quy trình nghỉ việc, không chỉ trong danh bạ của bạn.
- Việc gửi email là một phần của hệ thống. Mã rơi vào thư rác hoặc đến chậm sẽ gây đăng nhập thất bại. Hãy nhờ bộ phận CNTT cho phép email của LMS đi qua các bộ lọc thư của bạn.
Lên kế hoạch khôi phục trước khi bạn cần đến
Với đăng nhập không mật khẩu, các phiếu hỗ trợ “quên mật khẩu” gần như biến mất. Câu hỏi hỗ trợ thường gặp trở thành “tôi không nhận được mã”, và câu trả lời hầu như luôn là kiểm tra thư mục thư rác, xác nhận địa chỉ, và yêu cầu mã mới.
Quản trị viên cần được cân nhắc kỹ hơn. Nếu bạn dựa vào đăng nhập một lần và nhà cung cấp danh tính gặp sự cố, hoặc một thiết lập bị thay đổi nhầm, bạn cần một lối vào không phụ thuộc vào thứ đã hỏng. Thông lệ tốt:
- Giữ ít nhất hai quản trị viên, để việc một người mất quyền truy cập không khóa cả tổ chức.
- Bảo đảm quản trị viên có một phương thức khôi phục không phụ thuộc vào nhà cung cấp danh tính của bạn.
- Thử phương thức khôi phục đó một lần, bình tĩnh, trước khi bạn cần đến nó vào một ngày tồi tệ.
- Nếu bạn giới hạn quản trị viên trong các dải IP văn phòng, hãy kiểm tra xem quản trị viên làm việc từ xa sẽ vào bằng cách nào.
Khi nào nên thêm đăng nhập một lần SAML
Mã email và đăng nhập qua tài khoản mạng xã hội phù hợp với hầu hết học viên. Đăng nhập một lần SAML đáng để bổ sung khi:
- Nhân sự của bạn đã được quản lý trong Microsoft Entra ID, Okta hoặc Google Workspace.
- Bạn muốn các chính sách đa yếu tố và truy cập của nhà cung cấp danh tính áp dụng cho cả đào tạo.
- Bạn muốn mọi người mất quyền truy cập ngay khi bị vô hiệu hóa trong danh bạ của bạn.
- Các đợt rà soát bảo mật hoặc bảng câu hỏi của khách hàng yêu cầu đăng nhập một lần.
Đó không phải là câu trả lời trọn vẹn nếu nhiều học viên nằm ngoài danh bạ của bạn, chẳng hạn nhà thầu, tình nguyện viên, khách hàng hoặc nhân viên của các tổ chức khác. Trong trường hợp đó, hãy dùng SSO cho nhân sự của chính bạn và giữ mã email cho những người còn lại. Chúng tôi trình bày việc thiết lập chi tiết hơn trong đăng nhập một lần cho LMS của bạn.
Acadenix làm việc này như thế nào
Acadenix hoàn toàn không có mật khẩu. Mọi người đăng nhập bằng một trong các cách sau:
- Mã email. Mọi người nhập email và nhận một mã sáu chữ số. Mã dùng được một lần, trong năm phút, và ngừng hoạt động sau ba lần nhập sai. Nếu yêu cầu mã quá thường xuyên, bạn sẽ được yêu cầu chờ.
- Google, Microsoft và LinkedIn. Mỗi phương thức được bật hoặc tắt trong Settings → Authentication (Cài đặt → Xác thực), và có thể giới hạn trong một số tên miền email đã xác minh. Trước khi một thay đổi được lưu, bạn thấy nó ảnh hưởng đến bao nhiêu người và phiên đăng nhập.
- Ứng dụng đăng nhập của riêng bạn. Các tổ chức có thể dùng ứng dụng Google, Microsoft hoặc LinkedIn của riêng mình. Với ứng dụng Microsoft của riêng bạn, chỉ các tài khoản trong tenant của bạn mới dùng được.
- Đăng nhập một lần SAML trên gói Gold. Kết nối Microsoft Entra ID, Okta hoặc Google Workspace. Tài khoản học viên có thể được tạo ở lần đăng nhập đầu tiên, nhưng chỉ cho các địa chỉ thuộc tên miền email của tổ chức bạn. Lần đầu tiên ai đó đăng nhập qua SAML, một mã được gửi qua email để xác nhận liên kết, mỗi người một lần. Các phương thức khác mà bạn đã bật vẫn là phương án dự phòng. Xem các gói và bảng giá.
Với quản trị viên có thêm các biện pháp bảo vệ. Quản trị viên có thể bị giới hạn trong các dải IP của bạn mà không ảnh hưởng đến học viên, và các phiên không hoạt động sẽ tự đăng xuất. Nếu cách đăng nhập thông thường của bạn ngừng hoạt động, quản trị viên vẫn có thể vào bằng mã khôi phục gửi qua email, và phương thức này không thể bị tắt. Việc tạm ngưng tài khoản của ai đó khiến họ không đăng nhập được ngay lập tức, và Email History (lịch sử email) cho biết những email nào đã được gửi hoặc bị lỗi trong 30 ngày qua, mà không lưu nội dung thư hay mã. Có thêm chi tiết trên trang bảo mật của chúng tôi.
Những điểm chính cần nhớ
- Với học viên thỉnh thoảng mới đăng nhập, mật khẩu tạo ra việc đặt lại, dùng lại và phiếu hỗ trợ mà không bổ sung được bao nhiêu sự bảo vệ.
- Mã email và đăng nhập bằng tài khoản công việc loại bỏ mật khẩu; hộp thư hoặc tài khoản của nhà cung cấp trở thành chìa khóa, vì vậy hãy bảo vệ nó bằng xác thực đa yếu tố.
- Mã dùng một lần, hết hạn nhanh và chỉ cho phép thử vài lần khiến việc đoán mã trở nên bất khả thi, nhưng mọi người vẫn cần biết không bao giờ chia sẻ mã.
- Hãy lên kế hoạch khôi phục cho quản trị viên và quy trình nghỉ việc trước khi bật các phương thức.
- Bổ sung đăng nhập một lần SAML khi nhân sự của bạn nằm trong một nhà cung cấp danh tính tập trung, và giữ mã email cho những người còn lại.
Nếu mật khẩu là nguồn phiếu hỗ trợ đào tạo lớn nhất của bạn, hãy xem đăng nhập không mật khẩu hoạt động thế nào với chính nhân sự của bạn. Đăng ký dùng thử và thiết lập các phương thức đăng nhập phù hợp với tổ chức của bạn.
