Trong nhiều năm, mật khẩu được xem là lớp bảo vệ cơ bản của hầu hết tài khoản trực tuyến. Người dùng được khuyên đặt mật khẩu dài, không lặp lại giữa các dịch vụ và bật xác thực hai bước khi có thể. Tuy nhiên, chính những yêu cầu đó cũng tạo ra không ít bất tiện. Một người có thể phải quản lý hàng chục mật khẩu, thường xuyên quên thông tin đăng nhập hoặc vô tình sử dụng lại một mật khẩu ở nhiều nơi. Khi một dịch vụ bị lộ dữ liệu, thói quen dùng chung mật khẩu có thể kéo theo rủi ro cho các tài khoản khác.
Passkey xuất hiện như một hướng tiếp cận khác. Thay vì yêu cầu người dùng nhập một chuỗi ký tự bí mật, dịch vụ xác thực thông qua một cặp khóa mật mã được tạo trên thiết bị. Người dùng thường chỉ cần mở khóa điện thoại, máy tính hoặc trình quản lý thông tin xác thực bằng mã thiết bị, dấu vân tay hay nhận diện khuôn mặt. Cách làm này có thể khiến trải nghiệm đăng nhập đơn giản hơn, đồng thời giảm sự phụ thuộc vào mật khẩu dễ bị đoán, đánh cắp hoặc tái sử dụng.
Passkey hoạt động như thế nào?
Về nguyên tắc, mỗi passkey gắn với một tài khoản và một dịch vụ cụ thể. Khi đăng ký, thiết bị tạo ra hai phần của một cặp khóa. Khóa riêng được giữ trên thiết bị hoặc trong hệ thống quản lý thông tin xác thực của người dùng, còn khóa công khai được gửi cho dịch vụ trực tuyến. Khóa công khai không phải là mật khẩu và không đủ để đăng nhập một mình.
Khi người dùng đăng nhập, dịch vụ gửi một yêu cầu xác thực mới. Thiết bị dùng khóa riêng để tạo phản hồi cho yêu cầu đó, sau khi người dùng chứng minh quyền kiểm soát thiết bị bằng phương thức mở khóa tương ứng. Dịch vụ kiểm tra phản hồi bằng khóa công khai đã lưu. Nếu kiểm tra thành công, phiên đăng nhập được chấp nhận mà không cần truyền mật khẩu qua biểu mẫu.
Điểm quan trọng nằm ở chỗ khóa riêng không được cung cấp cho website theo cách một mật khẩu thông thường được gửi đi. Ngoài ra, thông tin xác thực thường gắn với đúng tên miền hoặc ứng dụng đã đăng ký. Cơ chế này giúp giảm khả năng người dùng bị lừa nhập thông tin vào một trang giả mạo có địa chỉ gần giống trang thật. Tuy vậy, passkey không biến mọi hình thức lừa đảo thành vô hiệu, bởi kẻ xấu vẫn có thể dụ người dùng cài phần mềm độc hại, trao quyền truy cập hoặc thực hiện hành động không mong muốn sau khi đã đăng nhập.
Vì sao passkey được xem là bước tiến về trải nghiệm?
Ưu điểm dễ nhận thấy nhất là người dùng không phải ghi nhớ mật khẩu cho từng dịch vụ. Thao tác đăng nhập có thể chỉ còn là chọn tài khoản rồi xác nhận bằng phương thức mở khóa quen thuộc trên thiết bị. Với người thường xuyên chuyển đổi giữa điện thoại, máy tính bảng và máy tính, khả năng sử dụng thông tin xác thực trên nhiều thiết bị cũng có thể giúp giảm số lần phải yêu cầu đặt lại mật khẩu.
Passkey còn làm thay đổi cách xử lý những cuộc tấn công dựa trên việc thu thập mật khẩu. Một trang web giả mạo có thể sao chép giao diện đăng nhập, nhưng không dễ sử dụng passkey được tạo cho một tên miền khác. Việc không có một chuỗi mật khẩu để người dùng đọc, sao chép hoặc gửi cho người khác cũng loại bỏ một số tình huống rủi ro phổ biến, chẳng hạn chia sẻ mật khẩu qua tin nhắn hoặc lưu mật khẩu trong một tệp không được bảo vệ.
Từ góc độ doanh nghiệp, việc giảm số yêu cầu đặt lại mật khẩu có thể giúp bộ phận hỗ trợ tập trung vào những vấn đề khác. Tuy nhiên, đây không phải là lợi ích tự động có được ngay sau khi bật passkey. Doanh nghiệp vẫn phải thiết kế quy trình đăng ký, khôi phục và thu hồi quyền truy cập phù hợp. Một hệ thống đăng nhập mới nếu có giao diện khó hiểu hoặc hướng dẫn thiếu rõ ràng vẫn có thể khiến người dùng nhầm lẫn.
Những giới hạn cần hiểu rõ
Passkey không xóa bỏ nhu cầu bảo vệ thiết bị. Nếu điện thoại hoặc máy tính đã được mở khóa rơi vào tay người khác, mức độ an toàn của tài khoản phụ thuộc nhiều vào khả năng bảo vệ thiết bị, thời gian tự khóa và phương thức xác minh bổ sung. Mã mở khóa quá đơn giản, thiết bị không được cập nhật hoặc người dùng cho người khác mượn thiết bị sau khi đã mở khóa đều có thể tạo ra rủi ro.
Khả năng đồng bộ cũng cần được xem xét cẩn thận. Một số hệ sinh thái cho phép thông tin xác thực được đồng bộ giữa các thiết bị thông qua tài khoản quản lý của người dùng. Điều này thuận tiện khi đổi máy, nhưng đồng thời khiến tài khoản đồng bộ trở thành một thành phần rất quan trọng. Người dùng cần bảo vệ tài khoản đó bằng phương thức xác thực mạnh, lưu thông tin khôi phục ở nơi an toàn và kiểm tra thiết bị nào đang được phép truy cập.
Trong những môi trường khác nhau, việc chuyển passkey từ thiết bị này sang thiết bị khác có thể không diễn ra giống nhau. Có trường hợp người dùng xác nhận đăng nhập trên máy tính bằng điện thoại thông qua kết nối giữa hai thiết bị. Có trường hợp passkey nằm trong bộ phận bảo mật của thiết bị hoặc một khóa bảo mật vật lý. Vì thế, trước khi xóa dữ liệu, bán hoặc thay điện thoại, người dùng không nên chỉ kiểm tra ảnh và danh bạ. Cần xác định tài khoản nào đang dùng passkey trên thiết bị đó và thiết lập phương án đăng nhập thay thế nếu cần.
Một giới hạn khác là không phải mọi dịch vụ đều hỗ trợ passkey theo cùng một cách. Tên gọi, vị trí cài đặt, tùy chọn khôi phục và khả năng tương thích có thể khác nhau. Một số tài khoản vẫn duy trì mật khẩu như phương án dự phòng. Nếu mật khẩu đó quá yếu, việc sử dụng passkey sẽ không thể bù đắp hoàn toàn cho điểm yếu trong kênh đăng nhập còn lại.
Sử dụng passkey an toàn hơn
Trước hết, người dùng nên bật passkey trực tiếp trong ứng dụng hoặc website chính thức thay vì làm theo đường dẫn không rõ nguồn gốc. Sau khi tạo, hãy kiểm tra danh sách thiết bị và phương thức đăng nhập đang được tài khoản lưu trữ. Nếu phát hiện một thiết bị không còn sử dụng, việc thu hồi quyền truy cập nên được thực hiện sớm, đặc biệt khi thiết bị đã bị mất hoặc chuyển cho người khác.
Tiếp theo, cần duy trì ít nhất một phương án khôi phục đáng tin cậy. Phương án này có thể là một thiết bị khác đã đăng nhập, khóa bảo mật vật lý hoặc quy trình khôi phục chính thức của dịch vụ. Không nên lưu mã khôi phục trong ảnh chụp màn hình, ghi chú không khóa hoặc hộp thư dễ bị truy cập. Những thông tin có thể mở đường vào tài khoản nên được xem như dữ liệu nhạy cảm.
Người dùng cũng nên cập nhật hệ điều hành, trình duyệt và ứng dụng quản lý thông tin xác thực. Các bản cập nhật không chỉ bổ sung tính năng mà còn sửa lỗi bảo mật. Bên cạnh đó, hãy đặt mã khóa thiết bị đủ khó đoán, bật khóa tự động và tránh xác nhận đăng nhập khi chưa hiểu yêu cầu xuất hiện trên màn hình. Nếu một thông báo yêu cầu đăng nhập đến bất ngờ, việc dừng lại kiểm tra dịch vụ và thiết bị liên quan thường an toàn hơn là bấm chấp nhận theo thói quen.
Doanh nghiệp cần chuẩn bị gì?
Đối với doanh nghiệp, triển khai passkey không chỉ là thêm một nút đăng nhập. Đơn vị vận hành cần xác định nhóm tài khoản nào nên được ưu tiên, cách cấp quyền cho nhân viên mới, quy trình xử lý khi nhân viên mất thiết bị và cách thu hồi quyền khi thay đổi vị trí hoặc nghỉ việc. Những quy trình này cần được thử nghiệm với các tình huống thực tế, bởi một cơ chế bảo mật chỉ hữu ích khi người dùng có thể sử dụng đúng và bộ phận hỗ trợ có thể xử lý sự cố.
Giao diện cũng đóng vai trò quan trọng. Người dùng cần biết mình đang tạo passkey cho tài khoản nào, passkey được lưu ở đâu và phải làm gì khi không còn thiết bị cũ. Hướng dẫn nên dùng ngôn ngữ dễ hiểu, tránh khiến người dùng tưởng rằng dấu vân tay hoặc khuôn mặt được gửi cho website. Trên thực tế, các yếu tố sinh trắc học thường được dùng tại thiết bị để xác nhận người đang thao tác, còn dịch vụ nhận được kết quả xác thực theo cơ chế mật mã.
Trong môi trường có yêu cầu quản trị cao, doanh nghiệp có thể cần kết hợp passkey với chính sách phân quyền, nhật ký truy cập và cơ chế phát hiện hoạt động bất thường. Đăng nhập an toàn không đồng nghĩa với việc mọi hành động sau đăng nhập đều an toàn. Tài khoản vẫn cần được cấp quyền tối thiểu cần thiết, và những thao tác nhạy cảm có thể cần thêm bước xác nhận.
Một bước tiến, không phải lời giải duy nhất
Passkey giải quyết một vấn đề đã tồn tại lâu trong bảo mật số: con người phải quản lý quá nhiều bí mật trong khi các phương thức tấn công ngày càng tận dụng thói quen và sự vội vàng của người dùng. Bằng cách dựa vào cặp khóa mật mã và việc xác nhận ngay trên thiết bị, công nghệ này có thể tạo ra trải nghiệm đăng nhập thuận tiện hơn và giảm một số rủi ro gắn với mật khẩu.
Dù vậy, hiệu quả của passkey phụ thuộc vào toàn bộ hệ thống xung quanh nó. Thiết bị phải được bảo vệ, tài khoản đồng bộ cần được kiểm soát, quy trình khôi phục phải rõ ràng và người dùng vẫn cần cảnh giác với các yêu cầu bất thường. Cách tiếp cận phù hợp không phải là xem passkey như một giải pháp thần kỳ, mà là coi nó như một lớp nền hiện đại trong chiến lược bảo mật nhiều lớp. Khi được triển khai với hướng dẫn minh bạch và kế hoạch dự phòng hợp lý, passkey có thể giúp việc đăng nhập bớt phụ thuộc vào trí nhớ mà vẫn giữ trọng tâm ở quyền kiểm soát tài khoản.
