How we rolled out security keys at Twitter

Twitter · 2021 · 3. Quy mô lớn · Độ khó: Dễ — bài gốc

Đối chiếu với Dropbox 2022: Dropbox chuyển sang WebAuthn sau khi OTP bị phishing; Twitter làm trước, sau sự cố tài khoản năm 2020.

Bối cảnh

• Sau sự cố bảo mật năm 2020 (bài nhắc tới, không kể chi tiết), Twitter đẩy nhanh dùng security key (FIDO/WebAuthn) cho nhân viên. Khác SMS hay OTP, security key phân biệt được trang thật và trang giả nên chặn được phishing.
• Hệ nội bộ đang dùng nhiều kiểu 2FA có thể bị phishing; mục tiêu là security key thành kiểu 2FA duy nhất trên hệ nội bộ.

Thay đổi chính

• Chọn khoá: YubiKey 5 NFC và 5C NFC (USB cho laptop, NFC cho điện thoại).
• Mua và gửi cho hơn 5.500 người trên thế giới, giữa COVID không có văn phòng làm điểm phát: dùng API của Yubico tự động hoá từ thu địa chỉ tới gửi hàng ở Mỹ, Canada, phần lớn châu Âu; nơi khác gửi sỉ qua đối tác phân phối khu vực. Mất hàng thì cho tự mua ở nhà cung cấp địa phương; hướng dẫn kiểm khoá thật bằng công cụ của Yubico.
• Hỗ trợ ở hệ nội bộ: phần lớn hệ nằm sau SSO, nhà cung cấp SSO đã hỗ trợ WebAuthn; bật cả khoá rời lẫn platform authenticator (TouchID, Windows Hello). Giai đoạn đầu cho phép nhưng không bắt buộc, nên ai nhận khoá thì đăng ký ngay mà không mất quyền truy cập.
• Theo dõi đăng ký: dashboard nội bộ cho mỗi người xem trạng thái đăng ký trên từng hệ xác thực, manager xem cả team; dùng nó để dự đoán tác động khi cắt.
• Cắt: báo trước một tháng ngày tắt các kiểu 2FA cũ; tới hạn đạt khoảng 90%, đạt 100% trong vòng một tháng sau đó (người đi nghỉ về). Toàn bộ dưới ba tháng.
• Mỗi người hai khoá (chính, dự phòng); nhân viên được giữ khoá khi nghỉ việc và được khuyến khích dùng cho tài khoản cá nhân, vì tài khoản cá nhân bị chiếm cũng là đường tấn công vào công ty.

Vì sao

• Theo Twitter, chỉ xác thực gắn với tên miền mới chống được phishing; OTP và SMS thì không.

Bài học cho SWE

• Rollout bắt buộc theo mẫu: bật song song (cho phép) → đo tỉ lệ đăng ký theo người và theo team → hạn chót báo trước → tắt cách cũ. Giống cách đổi mặc định ở hạ tầng.
• Điểm nghẽn còn lại nằm ở hệ sinh thái: ứng dụng desktop dùng trình duyệt nhúng không hỗ trợ WebAuthn; thay khoá phải đi từng dịch vụ; gom về SSO để giảm số nơi phải đăng ký.

Liên quan

• Dropbox 2022 · Slack 2023 (cùng mẫu cho phép → đo → bắt buộc) · Netflix 2021
• Xác thực và phân quyền (authn/authz) · Bảo mật hạ tầng và quản lý secret