ITFS Handbook

Appearance

Thuật ngữ & Tham khảo ​

Thuật ngữ ​

  • Authentication (AuthN): xác thực — xác minh một người dùng là ai.
  • Authorization (AuthZ): phân quyền — xác định người dùng đó được phép làm gì.
  • PKCE (Proof Key for Code Exchange): cơ chế chống đánh cắp authorization code, dùng cặp code_verifier/code_challenge.
  • IdP (Identity Provider): hệ thống cấp danh tính, ví dụ Google, Okta, Auth0.
  • BOLA (Broken Object Level Authorization): lỗi không kiểm tra quyền trên từng đối tượng dữ liệu cụ thể.
  • Reuse detection: cơ chế phát hiện một refresh token đã bị xoay vòng nhưng vẫn bị sử dụng lại — dấu hiệu bị đánh cắp.
  • HMAC: thuật toán tạo mã xác thực bằng một khoá bí mật dùng chung (nền tảng của HS256).
  • RSA: thuật toán mật mã bất đối xứng, dùng cặp khoá riêng/công khai (nền tảng của RS256).
  • Nonce: chuỗi ngẫu nhiên dùng một lần, gắn với một phiên cụ thể để chống tấn công phát lại (replay attack).
  • Replay attack: tấn công bằng cách sử dụng lại một token/request hợp lệ đã bị chặn trước đó.
  • RBAC (Role-Based Access Control): mô hình phân quyền dựa trên vai trò (Users → Roles → Permissions).
  • ABAC (Attribute-Based Access Control): mô hình phân quyền dựa trên thuộc tính của người dùng/tài nguyên/ngữ cảnh, chi tiết hơn RBAC.
  • Argon2id: thuật toán hash mật khẩu khuyến nghị hiện nay, chống được tấn công brute-force bằng phần cứng chuyên dụng.
  • Session fixation: tấn công gài trước một session ID cho nạn nhân rồi chiếm session đó sau khi nạn nhân đăng nhập.
  • Brute-force / Credential stuffing: dò mật khẩu bằng cách thử hàng loạt, hoặc thử lại các cặp tài khoản/mật khẩu bị rò rỉ từ nơi khác.
  • WebAuthn / Passkey: chuẩn xác thực không mật khẩu, dùng cặp khoá mật mã lưu trên thiết bị, chống phishing.

Tham khảo ​

© rintc