Trong nhiều năm, mật khẩu là lớp bảo vệ quen thuộc nhất của các tài khoản trực tuyến. Người dùng tạo một chuỗi ký tự, ghi nhớ hoặc lưu lại chuỗi đó, rồi nhập vào mỗi khi đăng nhập. Cách làm này đơn giản nhưng ngày càng bộc lộ nhiều điểm yếu: mật khẩu có thể bị đoán, bị lộ trong một vụ rò rỉ dữ liệu, bị đánh cắp qua trang web giả mạo hoặc bị dùng lại ở nhiều dịch vụ khác nhau. Khi số lượng tài khoản tăng lên, việc duy trì những mật khẩu vừa dài, vừa riêng biệt, vừa dễ quản lý cũng trở thành một gánh nặng.
Passkey xuất hiện như một hướng tiếp cận khác. Thay vì yêu cầu người dùng nhớ một bí mật để gửi cho máy chủ, passkey dựa trên cặp khóa mật mã được tạo và sử dụng giữa thiết bị của người dùng với dịch vụ trực tuyến. Quá trình đăng nhập thường được xác nhận bằng vân tay, khuôn mặt, mã mở khóa thiết bị hoặc một phương thức bảo vệ cục bộ tương tự. Người dùng không còn phải gõ mật khẩu, nhưng điều đó không có nghĩa là lớp bảo mật bị loại bỏ. Trái lại, bí mật quan trọng được giữ trong thiết bị và được dùng theo cách hạn chế hơn.
Passkey hoạt động như thế nào?
Khi tạo passkey cho một tài khoản, thiết bị thường sinh ra một cặp khóa gồm khóa riêng và khóa công khai. Khóa riêng được lưu ở thiết bị hoặc trong hệ thống quản lý thông tin xác thực mà người dùng tin cậy. Khóa công khai được gửi cho dịch vụ trực tuyến để đăng ký tài khoản. Hai khóa liên quan về mặt toán học nhưng không thể được dùng thay thế cho nhau theo cách đơn giản.
Ở lần đăng nhập sau, dịch vụ gửi một thử thách ngẫu nhiên đến thiết bị. Thiết bị dùng khóa riêng để tạo chữ ký cho thử thách đó, sau khi người dùng xác nhận bằng phương thức bảo vệ cục bộ. Dịch vụ sử dụng khóa công khai đã lưu để kiểm tra chữ ký. Nếu chữ ký hợp lệ và thử thách đúng với phiên đăng nhập hiện tại, hệ thống có thể xác nhận rằng thiết bị đang sở hữu khóa riêng tương ứng.
Điểm quan trọng nằm ở chỗ khóa riêng không cần được gửi lên máy chủ trong quá trình đăng nhập. Một trang web giả mạo có thể bắt chước giao diện đăng nhập, nhưng không dễ sử dụng khóa riêng đã gắn với đúng tên miền của dịch vụ thật. Đây là nền tảng giúp passkey chống lại nhiều hình thức lừa đảo dựa trên việc dụ người dùng nhập mật khẩu vào một địa chỉ giả.
Vì sao passkey khác với việc lưu mật khẩu?
Nhiều trình duyệt và ứng dụng quản lý mật khẩu đã có khả năng lưu, tự điền hoặc tạo mật khẩu. Những công cụ này giúp người dùng tránh việc đặt cùng một mật khẩu cho nhiều tài khoản, nhưng bản chất đăng nhập vẫn dựa trên mật khẩu. Khi tự điền, hệ thống vẫn đưa chuỗi bí mật vào biểu mẫu của dịch vụ. Nếu người dùng bị dẫn tới một trang giả mạo hoặc tài khoản quản lý mật khẩu bị xâm phạm, rủi ro vẫn tồn tại theo cách riêng.
Passkey thay đổi cơ chế ở tầng xác thực. Thay vì lưu một chuỗi có thể đọc và nhập lại, hệ thống sử dụng khóa mật mã để chứng minh quyền sở hữu. Dịch vụ không cần biết và cũng không cần lưu bản sao khóa riêng. Điều này giúp giảm giá trị của dữ liệu xác thực nếu cơ sở dữ liệu máy chủ bị truy cập trái phép. Tuy nhiên, passkey không phải một chiếc khiên tuyệt đối. An toàn của nó còn phụ thuộc vào khả năng bảo vệ thiết bị, tài khoản đồng bộ, quy trình khôi phục và cách người dùng xử lý các yêu cầu đăng nhập bất thường.
Trải nghiệm người dùng được thay đổi ra sao?
Với tài khoản đã đăng ký passkey, người dùng thường chọn tùy chọn đăng nhập tương ứng rồi xác nhận bằng phương thức quen thuộc trên thiết bị. Trong nhiều tình huống, thao tác này nhanh hơn việc mở trình quản lý mật khẩu, tìm đúng tài khoản, sao chép thông tin và xử lý thêm một bước xác minh. Đặc biệt, người dùng không phải ghi nhớ một mật khẩu dài hoặc liên tục đặt lại mật khẩu vì quên.
Passkey cũng có thể phù hợp với những người thường chuyển đổi giữa điện thoại, máy tính và máy tính bảng. Tùy vào nền tảng, thông tin xác thực có thể được đồng bộ qua hệ sinh thái tài khoản hoặc được dùng thông qua một thiết bị khác. Một số quy trình còn cho phép thiết bị này hỗ trợ xác nhận cho thiết bị kia bằng phương thức kết nối an toàn. Dù vậy, cách đồng bộ và khả năng tương thích không hoàn toàn giống nhau giữa các nền tảng, trình duyệt và dịch vụ. Người dùng không nên mặc định rằng mọi passkey đều xuất hiện trên mọi thiết bị ngay lập tức.
Trong môi trường dùng chung, việc phân biệt hồ sơ cá nhân cũng rất quan trọng. Passkey gắn với tài khoản và phương thức bảo vệ trên thiết bị, vì vậy người dùng cần kiểm tra mình đang đăng nhập đúng tài khoản trước khi xác nhận. Nếu cho người khác mượn thiết bị đã mở khóa, nguy cơ không nằm ở việc họ biết passkey, mà ở khả năng họ có thể sử dụng phiên đăng nhập hoặc quyền truy cập đang tồn tại trên thiết bị.
Những rủi ro cần nhìn nhận thực tế
Rủi ro đầu tiên là mất quyền truy cập thiết bị. Nếu điện thoại hoặc máy tính bị mất, người dùng cần có phương án khóa thiết bị từ xa, thay đổi thông tin khôi phục và kiểm tra các phiên đăng nhập đang hoạt động. Việc chỉ dựa vào một thiết bị duy nhất có thể khiến quá trình lấy lại tài khoản trở nên khó khăn hơn. Vì vậy, khi dịch vụ cho phép, nên thiết lập phương thức dự phòng hợp lý và cập nhật thông tin khôi phục trước khi có sự cố.
Rủi ro thứ hai liên quan đến tài khoản dùng để đồng bộ passkey. Nếu passkey được quản lý trong một hệ thống đám mây, tài khoản đó trở thành một phần quan trọng của chuỗi bảo vệ. Người dùng cần bảo vệ tài khoản đồng bộ bằng mật khẩu riêng, xác thực bổ sung và thiết bị đáng tin cậy. Passkey giúp giảm rủi ro từ việc lộ mật khẩu ở từng dịch vụ, nhưng không loại bỏ nhu cầu bảo vệ tài khoản gốc.
Rủi ro thứ ba đến từ quy trình khôi phục. Một dịch vụ có thể cung cấp nhiều cách lấy lại tài khoản, chẳng hạn mã dự phòng, email, số điện thoại hoặc hỗ trợ thủ công. Nếu kẻ xấu chiếm được một trong những kênh này, chúng có thể tìm cách vượt qua lớp xác thực chính. Do đó, người dùng nên xem xét toàn bộ quy trình, không chỉ nhìn vào nút đăng nhập bằng passkey. Một cơ chế xác thực mạnh nhưng quy trình khôi phục quá lỏng lẻo vẫn tạo ra điểm yếu.
Ngoài ra, các chiêu lừa đảo vẫn có thể nhắm vào tâm lý con người. Kẻ xấu có thể giả danh nhân viên hỗ trợ, yêu cầu người dùng xác nhận một thông báo hoặc cung cấp mã khôi phục. Passkey làm giảm khả năng đánh cắp thông tin đăng nhập qua biểu mẫu giả, nhưng không thể ngăn người dùng tự trao quyền truy cập, cài phần mềm độc hại hoặc phê duyệt một yêu cầu mà họ không hiểu rõ.
Doanh nghiệp cần chuẩn bị gì?
Đối với doanh nghiệp, chuyển sang passkey không chỉ là thay đổi nút đăng nhập. Đơn vị cần lập danh sách các hệ thống đang sử dụng, phân loại tài khoản có mức độ nhạy cảm khác nhau và xác định những dịch vụ đã hỗ trợ chuẩn xác thực phù hợp. Các tài khoản quản trị, tài khoản truy cập dữ liệu quan trọng và tài khoản có quyền thay đổi cấu hình nên được ưu tiên bảo vệ bằng phương thức mạnh hơn.
Chính sách nội bộ cũng cần giải thích rõ cách đăng ký, thay thế và thu hồi passkey. Khi nhân viên nghỉ việc, mất thiết bị hoặc chuyển bộ phận, tổ chức phải có quy trình thu hồi quyền truy cập tương ứng. Việc đào tạo người dùng vẫn cần thiết, bởi nhân viên phải biết cách nhận diện yêu cầu bất thường, bảo vệ thiết bị cá nhân và báo cáo sự cố.
Doanh nghiệp cũng nên duy trì phương án chuyển tiếp. Không phải mọi nhân viên, khách hàng hay đối tác đều có thiết bị tương thích hoặc sẵn sàng bỏ mật khẩu ngay lập tức. Một mô hình thực tế có thể cho phép sử dụng song song trong thời gian đầu, đồng thời khuyến khích passkey cho các nhóm phù hợp. Tuy nhiên, các phương thức cũ cần được theo dõi để tránh trở thành đường vòng yếu hơn so với cơ chế mới.
Người dùng nên bắt đầu từ đâu?
Bước đầu tiên là kiểm tra những dịch vụ quan trọng có hỗ trợ passkey hay không. Có thể ưu tiên email chính, tài khoản lưu trữ dữ liệu, tài khoản tài chính, nền tảng làm việc và các dịch vụ chứa thông tin cá nhân. Khi đăng ký, người dùng nên thực hiện trên thiết bị của mình, kiểm tra đúng tên dịch vụ và đọc kỹ thông báo trước khi xác nhận.
Sau đó, hãy rà soát các thiết bị đang đăng nhập tài khoản. Xóa thiết bị cũ không còn sử dụng, cập nhật hệ điều hành và trình duyệt, bật khóa màn hình, đồng thời bảo đảm phương thức sinh trắc học hoặc mã mở khóa không dễ bị người khác đoán. Nếu thiết bị hỗ trợ nhiều hồ sơ người dùng, cần tách biệt hồ sơ cá nhân và công việc khi có thể.
Cuối cùng, người dùng nên thử quy trình khôi phục trong điều kiện an toàn để biết cần làm gì nếu mất thiết bị. Không nên chờ tới lúc bị khóa tài khoản mới tìm hiểu thông tin này. Mã dự phòng, thiết bị tin cậy và thông tin liên hệ khôi phục cần được bảo quản cẩn thận, không lưu công khai trong ảnh chụp màn hình hoặc cuộc trò chuyện dễ bị truy cập.
Một bước tiến, không phải lời hứa tuyệt đối
Passkey cho thấy xác thực trực tuyến đang chuyển từ việc “biết một bí mật” sang việc “sở hữu một khóa và xác nhận trên thiết bị”. Cách tiếp cận này có thể giảm sự phụ thuộc vào mật khẩu, hạn chế nhiều cuộc tấn công lừa đảo và làm cho trải nghiệm đăng nhập đơn giản hơn. Dù vậy, công nghệ chỉ phát huy hiệu quả khi được triển khai cùng thiết bị an toàn, quy trình khôi phục chặt chẽ và thói quen sử dụng tỉnh táo.
Trong giai đoạn chuyển tiếp, người dùng không cần vội xóa mọi mật khẩu hoặc đăng ký passkey cho tất cả tài khoản cùng lúc. Cách hợp lý hơn là bắt đầu với những dịch vụ quan trọng, ghi nhận phương án dự phòng và hiểu rõ cách quản lý trên từng nền tảng. Khi tiêu chuẩn hỗ trợ trở nên phổ biến hơn, passkey có thể giúp việc bảo vệ tài khoản bớt phụ thuộc vào trí nhớ của con người, nhưng trách nhiệm kiểm soát thiết bị và quyền truy cập vẫn thuộc về người sử dụng.
