Trong nhiều năm, mật khẩu được xem là lớp bảo vệ cơ bản của hầu hết tài khoản trực tuyến. Người dùng được khuyên tạo mật khẩu dài, không lặp lại giữa các dịch vụ và thay đổi khi có dấu hiệu bất thường. Tuy nhiên, những yêu cầu đó cũng tạo ra một nghịch lý: mật khẩu càng an toàn thì càng khó ghi nhớ, còn mật khẩu dễ dùng lại thường bị lặp lại hoặc bảo vệ không đủ tốt. Passkey xuất hiện như một hướng tiếp cận khác, trong đó người dùng không cần nhớ một chuỗi ký tự để chứng minh danh tính mỗi lần đăng nhập.
Thay vì dựa vào một bí mật mà người dùng phải nhập, passkey kết hợp thiết bị, cơ chế mật mã khóa công khai và phương thức mở khóa quen thuộc như vân tay, nhận diện khuôn mặt hoặc mã khóa của thiết bị. Trải nghiệm này có thể khiến việc đăng nhập trở nên ngắn gọn hơn, nhưng giá trị chính của passkey không nằm ở sự tiện lợi đơn thuần. Điểm quan trọng hơn là thông tin xác thực được thiết kế để khó bị lừa lấy qua các trang web giả mạo.
Passkey hoạt động như thế nào?
Khi người dùng tạo passkey cho một dịch vụ, hệ thống sẽ tạo ra một cặp khóa gồm khóa riêng và khóa công khai. Khóa riêng được lưu ở thiết bị hoặc trong cơ chế đồng bộ được nền tảng hỗ trợ, còn khóa công khai được dịch vụ trực tuyến lưu để kiểm tra những lần đăng nhập sau đó. Hai phần này có vai trò khác nhau và không phải là hai bản sao của cùng một mật khẩu.
Trong quá trình đăng nhập, dịch vụ gửi một thử thách riêng cho phiên làm việc. Thiết bị dùng khóa riêng để tạo phản hồi cho thử thách này, sau khi người dùng xác nhận bằng phương thức mở khóa trên thiết bị. Dịch vụ dùng khóa công khai để kiểm tra phản hồi. Nếu việc kiểm tra thành công, tài khoản được truy cập mà khóa riêng không cần rời khỏi nơi lưu trữ của nó.
Cách vận hành này khác với mô hình mật khẩu truyền thống. Với mật khẩu, người dùng cung cấp một bí mật có thể bị nhập vào trang giả mạo, bị lộ từ thiết bị hoặc bị dùng lại ở nhiều nơi. Với passkey, quá trình xác thực dựa trên sự phối hợp giữa thiết bị, dịch vụ và thử thách của đúng phiên đăng nhập. Người dùng vẫn phải bảo vệ thiết bị, nhưng không còn phải ghi nhớ và nhập một chuỗi bí mật cho từng tài khoản.
Vì sao passkey được xem là một lớp bảo vệ đáng chú ý?
Lợi ích nổi bật của passkey là khả năng giảm nguy cơ bị đánh cắp thông tin đăng nhập thông qua lừa đảo. Một trang web giả mạo có thể thiết kế giao diện giống trang thật và yêu cầu người dùng nhập mật khẩu, nhưng passkey không hoạt động theo cách đơn giản như vậy. Việc xác thực gắn với thông tin nhận diện của dịch vụ và thử thách do phiên đăng nhập tạo ra. Vì thế, việc người dùng vô tình mở một trang có giao diện tương tự không đồng nghĩa với việc họ có thể cung cấp khóa riêng cho trang đó.
Passkey cũng hạn chế gánh nặng quản lý mật khẩu. Người dùng không cần tạo một chuỗi khác nhau rồi tìm cách ghi nhớ hàng chục chuỗi đó. Khi đăng nhập trên thiết bị quen thuộc, họ có thể xác nhận bằng phương thức vốn đã dùng để mở khóa thiết bị. Điều này giúp rút ngắn thao tác và giảm xu hướng chọn mật khẩu quá đơn giản hoặc tái sử dụng cùng một mật khẩu ở nhiều dịch vụ.
Ở phía tổ chức, mô hình này có thể làm thay đổi cách xây dựng quy trình xác thực. Thay vì chỉ tập trung vào yêu cầu độ dài, độ phức tạp và chu kỳ thay đổi mật khẩu, đội ngũ quản trị cần quan tâm đến việc đăng ký thiết bị, thu hồi quyền truy cập, hỗ trợ người dùng mất thiết bị và kiểm soát các phương thức dự phòng. Nói cách khác, passkey không xóa bỏ bài toán bảo mật mà chuyển trọng tâm của bài toán sang quản lý danh tính và thiết bị.
Trải nghiệm sử dụng không phải lúc nào cũng giống nhau
Passkey thường được tạo và sử dụng thông qua các hệ điều hành, trình duyệt, trình quản lý mật khẩu hoặc thiết bị bảo mật tương thích. Tùy dịch vụ, người dùng có thể đăng nhập trên chính thiết bị đã đăng ký, dùng một thiết bị khác thông qua quy trình ghép nối an toàn, hoặc sử dụng passkey được đồng bộ trong hệ sinh thái mà họ lựa chọn. Vì có nhiều cách triển khai, màn hình hướng dẫn và tên gọi cụ thể có thể khác nhau giữa các dịch vụ.
Điều này cũng dẫn đến một điểm cần lưu ý: passkey không phải là một vật thể duy nhất có hình dạng giống nhau trong mọi trường hợp. Một passkey có thể nằm trong thiết bị cá nhân, trong phần mềm quản lý thông tin xác thực hoặc trên một thiết bị phần cứng chuyên dụng. Cách lưu trữ ảnh hưởng đến khả năng sử dụng trên nhiều thiết bị, quy trình khôi phục và mức độ phụ thuộc vào một nền tảng nhất định.
Người dùng nên đọc kỹ màn hình xác nhận khi tạo passkey, biết passkey đang được lưu ở đâu và tài khoản có những phương thức dự phòng nào. Nếu một dịch vụ cho phép tạo nhiều passkey, việc đăng ký thêm một thiết bị đáng tin cậy có thể hữu ích trong trường hợp thiết bị chính gặp sự cố. Tuy nhiên, không nên đăng ký các thiết bị công cộng hoặc thiết bị mà nhiều người có thể mở khóa.
Bài toán khôi phục tài khoản vẫn còn nguyên
Việc không dùng mật khẩu không có nghĩa là tài khoản tự động an toàn trong mọi tình huống. Nếu người dùng mất điện thoại, quên mã khóa thiết bị, đổi nền tảng hoặc không còn quyền truy cập vào phương thức đồng bộ, họ vẫn cần một con đường để trở lại tài khoản. Đây là phần thường bị xem nhẹ khi công nghệ đăng nhập mới được giới thiệu.
Một quy trình khôi phục tốt cần cân bằng giữa hai rủi ro. Nếu khôi phục quá dễ, kẻ xấu có thể lợi dụng thông tin cá nhân, địa chỉ thư điện tử hoặc một mã xác nhận bị chiếm quyền để vượt qua lớp bảo vệ chính. Nếu khôi phục quá khó, người dùng hợp lệ có thể bị khóa khỏi tài khoản trong thời gian dài. Do đó, dịch vụ cần giải thích rõ cách thêm thiết bị mới, cách xóa thiết bị cũ và cách liên hệ hỗ trợ khi không còn phương thức xác thực.
Người dùng cũng nên chủ động kiểm tra danh sách thiết bị hoặc phương thức đăng nhập đang liên kết với tài khoản. Khi bán, cho, làm mất hoặc ngừng sử dụng một thiết bị, cần thu hồi quyền truy cập nếu dịch vụ cung cấp tùy chọn này. Mã khóa thiết bị, bản cập nhật hệ điều hành và bảo vệ tài khoản nền tảng đồng bộ đều có vai trò quan trọng, bởi passkey chỉ là một phần trong toàn bộ chuỗi bảo mật.
Passkey có thay thế hoàn toàn mọi phương thức đăng nhập?
Trong thực tế, quá trình chuyển đổi sẽ diễn ra từng bước. Không phải dịch vụ nào cũng hỗ trợ passkey, và không phải mọi thiết bị cũ đều cung cấp trải nghiệm giống nhau. Một số tài khoản vẫn cần thư điện tử, mã xác nhận, ứng dụng xác thực hoặc khóa bảo mật vật lý cho các tình huống đặc biệt. Các phương thức này không nên bị xem là vô dụng chỉ vì passkey đang phát triển.
Điều quan trọng là phân biệt giữa phương thức chính và phương thức dự phòng. Nếu một dịch vụ cho phép dùng passkey, người dùng có thể ưu tiên phương thức này để giảm việc nhập mật khẩu, đồng thời giữ một lựa chọn khôi phục đáng tin cậy. Với tài khoản quan trọng, chẳng hạn tài khoản quản lý dữ liệu cá nhân hoặc dịch vụ liên quan đến công việc, việc kiểm tra thiết bị được phép truy cập và bật cảnh báo đăng nhập vẫn cần được duy trì.
Các tổ chức triển khai passkey cho nhân viên cũng nên tính đến sự đa dạng của môi trường làm việc. Nhân viên có thể dùng nhiều hệ điều hành, thay đổi thiết bị, làm việc từ xa hoặc cần truy cập vào hệ thống trong điều kiện mất kết nối với một thiết bị cụ thể. Hướng dẫn nội bộ nên giải thích bằng ngôn ngữ dễ hiểu, mô tả các bước đăng ký và khôi phục, đồng thời quy định rõ cách xử lý khi thiết bị bị mất hoặc tài khoản có dấu hiệu bất thường.
Đăng nhập không cần mật khẩu vẫn cần thói quen an toàn
Passkey giúp giảm một nhóm rủi ro, nhưng không thể thay thế mọi thói quen bảo mật. Người dùng vẫn cần khóa màn hình thiết bị, cập nhật phần mềm, cẩn thận khi cài ứng dụng và kiểm tra thông báo đăng nhập. Nếu kẻ xấu chiếm quyền điều khiển thiết bị hoặc lừa người dùng phê duyệt một thao tác không mong muốn, sự tiện lợi của phương thức xác thực có thể trở thành điểm yếu.
Cũng cần thận trọng với những lời mời tạo hoặc chuyển passkey đến thiết bị không rõ nguồn gốc. Không nên xác nhận một yêu cầu đăng nhập khi chưa biết yêu cầu đó bắt đầu từ đâu. Khi sử dụng máy tính lạ, người dùng nên cân nhắc việc đăng nhập bằng thiết bị cá nhân hoặc phương thức tạm thời được dịch vụ cung cấp, thay vì lưu lại thông tin xác thực trên máy không thuộc quyền kiểm soát của mình.
Về lâu dài, passkey có thể làm cho trải nghiệm đăng nhập bớt phụ thuộc vào khả năng ghi nhớ mật khẩu. Tuy nhiên, công nghệ chỉ phát huy tác dụng khi được triển khai cùng thiết kế rõ ràng, hỗ trợ khôi phục hợp lý và nhận thức đúng từ người dùng. Câu hỏi quan trọng không chỉ là dịch vụ có hỗ trợ passkey hay chưa, mà còn là passkey được lưu ở đâu, có thể sử dụng trong những tình huống nào và quyền truy cập sẽ được thu hồi ra sao.
Chuyển từ mật khẩu sang passkey vì thế không phải một thao tác thay thế đơn lẻ. Đó là sự thay đổi trong cách xác lập niềm tin giữa người dùng, thiết bị và dịch vụ trực tuyến. Khi hiểu được cơ chế này, người dùng có thể lựa chọn phương thức phù hợp hơn, giảm những rủi ro đến từ việc dùng lại mật khẩu và chuẩn bị tốt hơn cho các tình huống mất thiết bị hoặc cần khôi phục tài khoản.
