Passkey chống phishing thế nào, mất thiết bị thì sao?

Passkey chống lừa đảo đăng nhập bằng cách gắn thông tin xác thực với đúng dịch vụ, thay vì yêu cầu người dùng nhập một bí mật có thể bị chuyển tiếp sang trang thật. Tuy nhiên, mất điện thoại, thất lạc khóa bảo mật hoặc quy trình khôi phục yếu vẫn có thể khiến tài khoản gặp rủi ro. Muốn dùng passkey đúng cách, cần hiểu cả cơ chế đăng nhập lẫn đường quay lại tài khoản.

Đây là bài giải thích công nghệ, không phải thông báo về một tính năng vừa ra mắt. Cơ sở kỹ thuật được đối chiếu từ đặc tả WebAuthn của W3C, tài liệu FIDO Alliance và hướng dẫn triển khai của MDN.

Passkey thay mật khẩu bằng điều gì?

Với mật khẩu, người dùng và hệ thống cùng dựa vào một bí mật. Passkey sử dụng cặp khóa mật mã: phía dịch vụ giữ khóa công khai để kiểm tra, còn bộ xác thực quản lý khóa riêng. Khi đăng nhập, hệ thống gửi một thử thách; bộ xác thực tạo chữ ký để chứng minh quyền sử dụng khóa mà không gửi khóa riêng cho website.

Thử thách phải đủ ngẫu nhiên và được kiểm tra ở phía máy chủ để ngăn việc phát lại một phản hồi cũ. W3C yêu cầu dịch vụ đối chiếu thử thách nhận về với giá trị đã phát hành. Việc có nút đăng nhập passkey trên giao diện chưa đủ: cách máy chủ xác minh phản hồi cũng là phần thiết yếu của giao thức.

Người dùng thường xác nhận bằng vân tay, khuôn mặt hoặc mã PIN của thiết bị. Theo FIDO Alliance, xử lý sinh trắc học diễn ra tại thiết bị; website không nhận bản sao vân tay hay khuôn mặt để đối chiếu. Thao tác mở khóa cho phép sử dụng thông tin xác thực, chứ không biến vân tay thành một mật khẩu được gửi qua mạng.

Vì sao trang giả khó chuyển tiếp passkey?

Mã dùng một lần có thể bị nạn nhân nhập vào trang giả rồi được kẻ gian chuyển ngay tới dịch vụ thật. Passkey giải quyết một phần khác của vấn đề: thông tin xác thực có phạm vi dịch vụ, và việc xác minh còn kiểm tra nguồn gốc yêu cầu.

MDN minh họa rằng trang trên miền examp1e.com không thể sử dụng passkey đã tạo cho example.com. Hai địa chỉ có thể trông gần giống nhau với mắt người, nhưng không trở thành cùng một phạm vi xác thực. Nhờ đó, hệ thống bớt phụ thuộc vào khả năng người dùng phát hiện từng ký tự giả mạo.

Điều này không có nghĩa mọi tài khoản dùng passkey đều miễn nhiễm với tấn công. Nếu kẻ gian kiểm soát thiết bị, xâm nhập hệ thống phía máy chủ hoặc lấy được phiên đăng nhập đang hoạt động, bài toán đã vượt ra ngoài một trang giả xin mật khẩu. Passkey tăng độ an toàn của bước xác thực; các lớp bảo vệ thiết bị và phiên vẫn cần hoạt động.

Khóa đồng bộ và khóa gắn thiết bị khác nhau ra sao?

FIDO phân biệt passkey được đồng bộ giữa các thiết bị và passkey chỉ gắn với một thiết bị. Loại đồng bộ giúp người dùng có thông tin xác thực trên thiết bị mới thông qua nhà cung cấp quản lý passkey. Loại gắn thiết bị giữ khóa trong một bộ xác thực cụ thể, chẳng hạn khóa bảo mật phần cứng.

Sự khác biệt này ảnh hưởng trực tiếp đến vận hành. Với khóa gắn thiết bị, mất bộ xác thực có thể làm mất đường đăng nhập qua khóa đó. Với đồng bộ, người dùng cần hiểu tài khoản quản lý passkey được bảo vệ và khôi phục như thế nào. Không nên chọn một loại chỉ vì tên gọi nghe an toàn hơn mà bỏ qua hoàn cảnh sử dụng.

Một người dùng cá nhân cần thuận tiện khi đổi máy có nhu cầu khác đội ngũ quản trị hệ thống nhạy cảm. Đây là lựa chọn giữa những yêu cầu cụ thể về khả năng truy cập và kiểm soát khóa, không phải một cuộc so sánh chỉ bằng số lượng bước đăng nhập.

Chuẩn bị khôi phục trước khi bỏ mật khẩu

MDN khuyến khích hỗ trợ nhiều passkey cho cùng tài khoản. Một cách tổ chức là sử dụng bộ xác thực hằng ngày và đăng ký thêm một khóa độc lập để dự phòng, cất ở nơi an toàn. Việc có hai passkey trong cùng thiết bị không mang lại cùng khả năng dự phòng như hai bộ xác thực riêng.

Người dùng nên kiểm tra danh sách thiết bị, phương thức đăng nhập và lựa chọn khôi phục mà dịch vụ thực sự hỗ trợ. Khi đổi điện thoại, cần xác nhận có thể đăng nhập từ thiết bị mới trước khi xóa thiết bị cũ. Không nên tự thử bằng cách khóa hết mọi đường truy cập trên tài khoản đang phục vụ công việc.

Với đội phát triển, quy trình hỗ trợ không nên cho phép bỏ qua passkey chỉ sau một cuộc gọi hoặc một yêu cầu thiếu xác minh. Nếu đường khôi phục dễ bị giả danh, lợi ích của cơ chế đăng nhập mạnh có thể bị suy giảm. Đây là lý do việc triển khai cần bao gồm quản lý thông tin xác thực, thu hồi thiết bị thất lạc và bảo vệ phiên, thay vì dừng ở nút đăng nhập mới.

Nguồn và ảnh

Nguồn kỹ thuật: W3C WebAuthn Level 2; FIDO Alliance: Passkeys; MDN: Passkeys và xử lý mất bộ xác thực. Đây là tổng hợp kiến thức, không phải báo cáo thử nghiệm sản phẩm.

Ảnh minh họa khóa FIDO2 YubiKey 5 NFC: Yubinerd123; bản cắt của Wdwd, qua Wikimedia Commons, giấy phép CC BY-SA 4.0. phu.lt sử dụng bản ảnh được cung cấp, không chỉnh sửa thêm. Ảnh minh họa một loại bộ xác thực, không hàm ý mọi passkey đều cần khóa USB.