Trong nhiều năm, mật khẩu được xem là cánh cửa căn bản của đời sống số. Người dùng tạo mật khẩu để mở email, mạng xã hội, ngân hàng trực tuyến, dịch vụ mua sắm và gần như mọi tài khoản quan trọng. Thế nhưng chính sự phổ biến đó lại biến mật khẩu thành một trong những điểm yếu dai dẳng nhất của an toàn thông tin. Mật khẩu có thể bị đoán, bị lộ trong một vụ rò rỉ dữ liệu, bị đánh cắp qua trang đăng nhập giả mạo hoặc bị tái sử dụng ở nhiều dịch vụ khác nhau.
Passkey xuất hiện như một hướng tiếp cận khác: thay vì yêu cầu người dùng ghi nhớ một chuỗi ký tự bí mật, hệ thống sử dụng một cặp khóa mật mã được tạo riêng cho từng dịch vụ. Người dùng xác nhận đăng nhập bằng vân tay, nhận diện khuôn mặt, mã mở khóa thiết bị hoặc một phương thức bảo vệ cục bộ tương tự. Trải nghiệm bên ngoài khá đơn giản, nhưng phía sau là sự thay đổi đáng kể trong cách xác thực danh tính trên Internet.
Passkey hoạt động như thế nào?
Khi người dùng đăng ký passkey cho một tài khoản, thiết bị sẽ tạo ra hai khóa có quan hệ mật mã với nhau. Khóa riêng được lưu trên thiết bị hoặc trong hệ thống quản lý khóa an toàn, còn khóa công khai được gửi cho dịch vụ trực tuyến. Khóa công khai không đủ để đăng nhập thay cho người dùng và cũng không cần được giữ bí mật như mật khẩu.
Ở lần đăng nhập sau, dịch vụ gửi một thử thách ngẫu nhiên đến thiết bị. Thiết bị chỉ tạo chữ ký hợp lệ khi người dùng mở khóa bằng sinh trắc học, mã PIN hoặc phương thức bảo vệ được hỗ trợ. Máy chủ kiểm tra chữ ký bằng khóa công khai đã lưu trước đó. Nếu hai phần khớp nhau, phiên đăng nhập được chấp nhận mà không có mật khẩu nào phải truyền qua mạng.
Điểm quan trọng nằm ở chỗ dữ liệu sinh trắc học thường không được gửi cho website để xử lý. Dấu vân tay hay khuôn mặt chủ yếu đóng vai trò xác nhận rằng đúng người đang sử dụng thiết bị. Dịch vụ trực tuyến nhận được kết quả xác thực bằng mật mã, chứ không nhận một bản sao khuôn mặt hoặc dấu vân tay của người dùng. Cách phân tách này giúp giảm lượng dữ liệu nhạy cảm phải trao đổi giữa thiết bị và máy chủ.
Vì sao passkey có thể chống lừa đảo tốt hơn?
Các cuộc tấn công lừa đảo thường dựa vào việc dụ người dùng nhập mật khẩu vào một trang web giả. Nếu kẻ tấn công có được mật khẩu, chúng có thể thử đăng nhập vào dịch vụ thật hoặc những tài khoản khác mà nạn nhân đã dùng lại cùng thông tin. Mã xác thực gửi qua tin nhắn cũng không phải giải pháp tuyệt đối, bởi mã có thể bị chuyển tiếp, bị đọc từ thiết bị bị xâm nhập hoặc bị khai thác trong những kịch bản chiếm quyền số điện thoại.
Passkey được liên kết với nguồn gốc của dịch vụ đã đăng ký. Một trang web giả mạo có địa chỉ khác sẽ không thể yêu cầu thiết bị tạo chữ ký hợp lệ cho tài khoản thật. Người dùng vì thế không phải tự phân biệt mọi trang đăng nhập bằng mắt thường, dù việc kiểm tra địa chỉ website và cảnh giác với yêu cầu bất thường vẫn cần thiết.
Điều này không có nghĩa passkey khiến mọi rủi ro biến mất. Tài khoản vẫn có thể bị chiếm nếu người dùng để lộ mã mở khóa thiết bị, trao quyền cho người khác, cài phần mềm độc hại hoặc bị lừa trong quy trình khôi phục. Passkey giải quyết tốt một nhóm vấn đề lớn của mật khẩu, nhưng không thay thế toàn bộ thói quen bảo mật.
Trải nghiệm người dùng thay đổi ra sao?
Với người dùng, khác biệt dễ nhận thấy nhất là không còn phải nhớ thêm một chuỗi ký tự cho từng dịch vụ. Trên điện thoại, thao tác đăng nhập có thể chỉ là chạm vào cảm biến vân tay hoặc nhìn vào màn hình. Trên máy tính, người dùng có thể xác nhận bằng phương thức bảo vệ tích hợp hoặc dùng điện thoại làm thiết bị trung gian trong một số tình huống.
Passkey cũng có thể được đồng bộ giữa các thiết bị thông qua hệ thống quản lý thông tin xác thực của nền tảng. Đây là yếu tố quan trọng vì một người thường sử dụng nhiều điện thoại, máy tính bảng và máy tính. Nếu việc chuyển sang thiết bị mới quá khó, người dùng sẽ có xu hướng quay lại mật khẩu hoặc tìm những cách đăng nhập kém an toàn hơn.
Tuy nhiên, trải nghiệm không phải lúc nào cũng liền mạch. Khả năng hỗ trợ khác nhau giữa hệ điều hành, trình duyệt và từng dịch vụ. Người dùng có thể gặp câu hỏi về nơi lưu passkey, cách đăng nhập trên thiết bị lạ hoặc phương án xử lý khi điện thoại bị mất. Những tình huống này cho thấy một công nghệ bảo mật chỉ thực sự hữu ích khi quy trình sử dụng của nó dễ hiểu như chính lời hứa ban đầu.
Bài toán khó nhất là khôi phục tài khoản
Đăng nhập hằng ngày chỉ là phần nổi của hệ thống. Phần khó hơn là xử lý trường hợp người dùng mất thiết bị, đổi số điện thoại, quên mã mở khóa hoặc không còn truy cập vào hệ sinh thái đã lưu passkey. Nếu dịch vụ thiết kế quy trình khôi phục quá lỏng lẻo, kẻ tấn công có thể đi vòng qua lớp bảo vệ mạnh nhất bằng cách khai thác bộ phận hỗ trợ khách hàng hoặc thông tin cá nhân bị lộ.
Ngược lại, quy trình quá nghiêm ngặt có thể khiến người dùng hợp pháp mất tài khoản vĩnh viễn. Vì vậy, doanh nghiệp cần kết hợp nhiều lớp kiểm tra thay vì chỉ dựa vào một câu hỏi bảo mật cũ. Những yếu tố có thể được xem xét gồm thiết bị đã từng sử dụng, lịch sử đăng nhập, phương thức liên hệ đã xác minh, khóa khôi phục được bảo quản an toàn và thời gian chờ trước khi thay đổi thông tin quan trọng.
Người dùng cũng cần hiểu rằng khôi phục tài khoản không phải một thao tác phụ. Nếu dịch vụ cho phép tạo lại quyền truy cập bằng một email dự phòng đã bị chiếm, toàn bộ lợi ích của passkey có thể bị suy giảm. Khi kích hoạt công nghệ này, người dùng nên kiểm tra trước thông tin liên hệ khôi phục, lưu phương án dự phòng ở nơi an toàn và tránh cung cấp mã xác nhận cho bất kỳ ai.
Doanh nghiệp phải thay đổi nhiều hơn người dùng
Đối với doanh nghiệp, triển khai passkey không đơn giản là thêm một nút đăng nhập. Hệ thống cần lưu khóa công khai, xử lý các luồng đăng ký và xóa thiết bị, hỗ trợ đăng nhập trên nhiều nền tảng, ghi nhận sự kiện bảo mật và xây dựng quy trình trợ giúp khi người dùng gặp sự cố. Cách tổ chức dữ liệu tài khoản cũng cần được rà soát để tránh việc một người vô tình tạo nhiều danh tính không thể liên kết.
Doanh nghiệp còn phải quyết định cách chuyển đổi người dùng đang sử dụng mật khẩu. Việc bắt buộc thay đổi ngay có thể gây khó chịu và tạo áp lực cho bộ phận hỗ trợ. Một cách tiếp cận thực tế hơn là cho phép người dùng đăng ký passkey sau khi đăng nhập bằng phương thức hiện tại, sau đó khuyến khích sử dụng passkey trong những lần truy cập tiếp theo. Các tài khoản có rủi ro cao có thể được yêu cầu nâng cấp theo lộ trình chặt chẽ hơn.
Khả năng hỗ trợ khách hàng cũng cần được đào tạo lại. Nhân viên không nên hướng dẫn người dùng gửi ảnh giấy tờ hoặc cung cấp mã bí mật qua các kênh không an toàn chỉ để giải quyết nhanh một trường hợp mất thiết bị. Một quy trình tốt phải cân bằng giữa xác minh danh tính, bảo vệ dữ liệu cá nhân và khả năng xử lý trong thực tế.
Passkey có thay thế hoàn toàn mật khẩu không?
Trong ngắn hạn, câu trả lời có lẽ là chưa. Mật khẩu vẫn tồn tại vì chúng dễ triển khai, quen thuộc với người dùng và hoạt động trên hầu hết hệ thống cũ. Nhiều dịch vụ cũng cần một phương án dự phòng cho những thiết bị không hỗ trợ passkey hoặc những người không thể sử dụng sinh trắc học.
Dù vậy, vai trò của mật khẩu có thể dần thu hẹp. Thay vì là phương thức mặc định, mật khẩu có thể được giữ như lựa chọn dự phòng trong những hoàn cảnh đặc biệt. Những tài khoản nhạy cảm sẽ có xu hướng kết hợp passkey với thiết bị bảo mật vật lý, phê duyệt từ một thiết bị tin cậy hoặc cơ chế xác minh bổ sung khi phát hiện hành vi bất thường.
Điều đáng chú ý là quá trình chuyển đổi này không chỉ là cuộc cạnh tranh giữa các công nghệ đăng nhập. Nó phản ánh một thay đổi trong tư duy thiết kế: hệ thống nên đặt phần việc phức tạp vào lớp mật mã và thiết bị, thay vì yêu cầu con người tự ghi nhớ, thay đổi và bảo vệ quá nhiều bí mật. Khi người dùng ít phải xử lý thông tin nhạy cảm bằng tay, cơ hội mắc lỗi cũng giảm xuống.
Cách tiếp cận an toàn khi bắt đầu sử dụng
Người dùng có thể bắt đầu bằng những tài khoản quan trọng nhưng có quy trình hỗ trợ rõ ràng. Sau khi đăng ký, hãy kiểm tra danh sách thiết bị đang có quyền truy cập và xóa những thiết bị không còn sử dụng. Mã mở khóa điện thoại cần đủ khó đoán, bởi nó có thể trở thành lớp bảo vệ trực tiếp cho nhiều passkey khác nhau.
Nếu sử dụng nhiều thiết bị, nên tìm hiểu cách hệ thống đồng bộ thông tin xác thực và cách đăng nhập khi không có thiết bị quen thuộc bên cạnh. Không nên lưu mã khôi phục trong một tệp không được bảo vệ hoặc gửi cho người khác qua tin nhắn. Với tài khoản có giá trị cao, một phương án dự phòng được cất giữ ngoại tuyến có thể hữu ích hơn việc tạo thêm nhiều kênh khôi phục thiếu kiểm soát.
Cuối cùng, passkey không phải lý do để bỏ qua các nguyên tắc cơ bản như cập nhật phần mềm, kiểm tra địa chỉ website, khóa thiết bị khi không sử dụng và thận trọng với yêu cầu bất ngờ. Công nghệ này làm cho một kiểu tấn công khó hơn, nhưng an toàn số vẫn phụ thuộc vào cả thiết bị, dịch vụ và hành vi của con người.
Passkey có tiềm năng đưa đăng nhập không mật khẩu từ một khẩu hiệu công nghệ thành thói quen hằng ngày. Thành công của nó sẽ không chỉ được đo bằng số lượng dịch vụ hỗ trợ, mà còn bằng việc người dùng có thể chuyển đổi thiết bị, khôi phục tài khoản và hiểu rõ quyền kiểm soát của mình hay không. Khi những vấn đề đó được giải quyết minh bạch, passkey sẽ trở thành một lớp hạ tầng âm thầm nhưng quan trọng trong đời sống số.
