Hãy nhớ lại lần gần nhất bạn quên mật khẩu. Bạn nhấn “Quên mật khẩu?”, chờ email, nghĩ ra một mật khẩu mới rồi lại quên luôn mật khẩu đó. Mật khẩu là ý tưởng từ thập niên 1960, và nó làm chúng ta thất vọng theo hai cách: gây phiền cho chúng ta và có ích cho tội phạm. Passkey giải quyết cả hai.
Câu trả lời ngắn gọn: passkey cho phép bạn đăng nhập bằng chính vân tay, quét khuôn mặt hoặc mã PIN mà bạn dùng để mở khóa điện thoại. Không có gì để gõ hay ghi nhớ, và không có gì để kẻ lừa đảo dụ bạn giao nộp. Mỗi tài khoản chỉ mất khoảng một phút để thiết lập.
Vì sao mật khẩu cứ thất bại
Mật khẩu là một bí mật mà bạn chia sẻ với một trang web. Câu đó giải thích phần lớn vấn đề, bởi bất cứ thứ gì được chia sẻ đều có thể bị sao chép, đoán ra hoặc đánh cắp. Sự cố xảy ra như sau:
- Chúng ta dùng lại mật khẩu. Nhớ một mật khẩu khác nhau cho mỗi tài khoản gần như là không thể, nên ta dùng cùng một mật khẩu ở nhiều nơi. Khi một trang bị tấn công, tội phạm thử mật khẩu đó trên email và ngân hàng của bạn.
- Chúng ta đặt mật khẩu yếu. Mật khẩu ngắn, quen thuộc (một cái tên, một ngày sinh, “123456”) rất dễ bị phần mềm đoán ra.
- Trang web bị tấn công. Một công ty có thể bảo vệ mật khẩu của bạn rất cẩn thận mà vẫn để mất. Mật khẩu bị đánh cắp thường được bán và thử trên các trang khác.
- Chúng ta bị lừa. Phishing (lừa đảo giả mạo) là email, tin nhắn hoặc trang web giả trông như thật và yêu cầu bạn đăng nhập. Gõ mật khẩu vào đó, kẻ gian có ngay mật khẩu. Ngay cả người cẩn thận cũng sập bẫy, vì hàng giả có thể trông hoàn hảo.
Vấn đề cốt lõi: với mật khẩu, bí mật bị di chuyển. Bạn gõ nó, nó đi qua internet, và trang web kiểm tra nó. Mỗi bước đều là cơ hội để ai đó chộp lấy. Passkey được thiết kế để bí mật không bao giờ phải di chuyển.
Passkey là gì
Passkey là cách chứng minh bạn là ai mà không cần chia sẻ bí mật. Nó được lưu trên thiết bị của bạn (điện thoại, laptop hoặc máy tính bảng) và được mở bằng chính cách bạn vẫn dùng để mở khóa thiết bị đó.
Hãy hình dung một ổ khóa và chìa khóa của nó. Khi bạn tạo passkey, thiết bị tạo ra một cặp khớp nhau:
- Ổ khóa (khóa công khai) được gửi đến trang web. Ai cũng có thể thấy nó, nhưng nó chỉ dùng để kiểm tra bằng chứng của bạn. Nó không thể mở tài khoản của bạn.
- Chìa khóa (khóa riêng tư) nằm lại trên thiết bị của bạn và không bao giờ rời khỏi đó. Chỉ có nó mới chứng minh được đó thực sự là bạn.
Trang web không bao giờ nhìn thấy chìa khóa của bạn, nên trên trang web không có gì đáng để đánh cắp.
Đăng nhập hoạt động ra sao
Bạn chỉ thiết lập passkey một lần. Sau đó, mỗi lần đăng nhập diễn ra như sau:
- Bạn vào trang web và chọn đăng nhập. Thiết bị đề xuất passkey của bạn.
- Trang web gửi một câu đố ngẫu nhiên dùng một lần.
- Bạn xác nhận bằng vân tay, khuôn mặt hoặc mã PIN. Việc này cho phép thiết bị dùng chìa khóa.
- Thiết bị giải câu đố bằng chìa khóa và chỉ gửi lại đáp án.
- Trang web kiểm tra đáp án bằng ổ khóa. Nếu khớp, bạn đã vào được.
Câu đố mỗi lần một khác, nên bản sao của một đáp án cũ là vô dụng. Kẻ trộm đã ghi lại lần đăng nhập trước của bạn cũng không thể phát lại nó.
Dành cho người tò mò: các tiêu chuẩn mở đứng sau việc này có tên là FIDO2 và WebAuthn. Đó là lý do passkey hoạt động giống nhau trên thiết bị Apple, Google và Microsoft. Bạn không cần biết chúng để dùng passkey.
Vì sao an toàn hơn
1. Trang web giả không thể lừa bạn
Đây là lợi ích lớn nhất. Passkey gắn với đúng địa chỉ của trang web mà nó được tạo cho. Nếu bạn lạc vào một bản sao giả của ngân hàng, thiết bị đơn giản là không đề xuất passkey vì địa chỉ sai. Không có mật khẩu nào để gõ vào trang giả, nên không có gì để đánh cắp. Cách này hiệu quả cả khi bạn mệt hoặc vội, vì nó không phụ thuộc vào việc bạn có phát hiện ra trò lừa hay không.
2. Trang web bị tấn công không mang lại gì hữu ích cho kẻ trộm
Nếu một trang lưu mật khẩu bị tấn công, tội phạm lấy được các bí mật có thể thử ở nơi khác. Nếu một trang lưu passkey bị tấn công, chúng chỉ lấy được ổ khóa, và ổ khóa không thể đăng nhập giúp ai cả.
3. Không thể dùng lại hay làm yếu đi
Mỗi passkey thuộc về một trang web và do thiết bị của bạn tạo ra, nên luôn dài và ngẫu nhiên. Không có phiên bản “123456”, và rắc rối của một trang không thể lan sang trang khác.
4. Nhanh hơn
Đăng nhập chỉ mất một cái chạm hoặc một cái nhìn. Không gõ phím, không email đặt lại, không mã phải chép. Vừa an toàn hơn vừa đơn giản hơn là điều hiếm có trong lĩnh vực bảo mật.
Hãy nhớ như sau: mật khẩu nói “đây là bí mật của tôi, xin hãy kiểm tra.” Passkey nói “đây là bằng chứng tôi nắm giữ bí mật, và tôi sẽ không cho bạn xem nó.”
Hai nỗi lo lớn nhất của bạn
“Vân tay của tôi có bị tải lên không?”
Không. Vân tay hay quét khuôn mặt của bạn chỉ mở khóa chìa khóa trên chính thiết bị của bạn, giống hệt cách nó mở khóa điện thoại. Trang web không bao giờ nhận được nó. Không dùng sinh trắc học? Mã PIN hoặc hình mở khóa màn hình cũng dùng được.
“Nếu tôi mất điện thoại thì sao?”
Hầu hết passkey được sao lưu ở dạng đã mã hóa, nên chỉ bạn mới mở được. Hãy lấy một thiết bị mới, đăng nhập vào cùng tài khoản, và passkey sẽ quay lại.
| Nơi lưu passkey | Nếu bạn mất thiết bị |
|---|---|
| Apple (Chuỗi khóa iCloud) | Đăng nhập trên thiết bị Apple mới và passkey sẽ quay lại |
| Trình quản lý mật khẩu của Google | Đăng nhập tài khoản Google trên thiết bị mới |
| Trình quản lý mật khẩu (như 1Password hoặc Bitwarden) | Mở khóa kho của bạn trên thiết bị mới |
| Khóa bảo mật vật lý | Dùng chiếc dự phòng, vì vậy hãy mua hai chiếc |
Dùng laptop không lưu passkey của bạn cũng không sao. Laptop hiển thị mã QR, bạn quét bằng điện thoại, và điện thoại xác nhận. Điện thoại phải ở gần, điều này ngăn kẻ tấn công ở xa dùng được con đường này.
Mật khẩu và passkey
| Câu hỏi | Mật khẩu | Passkey |
|---|---|---|
| Tôi có phải nhớ không? | Có | Không |
| Có bí mật nào được gửi đến trang web không? | Có | Không, chỉ gửi đáp án |
| Trang giả có đánh cắp được không? | Có, nếu bạn bị lừa | Không, chỉ hoạt động trên trang thật |
| Trang bị tấn công làm lộ gì? | Mật khẩu để thử ở nơi khác | Ổ khóa không mở được gì |
| Dùng được ở mọi nơi? | Có | Chưa, nhưng đang tăng nhanh |
Thiết lập trong năm phút
Tên các mục menu thỉnh thoảng thay đổi, vì vậy hãy tìm “passkey” hoặc “tùy chọn đăng nhập” trong phần cài đặt bảo mật của tài khoản.
- Bắt đầu với tài khoản email chính của bạn. Đó là chìa khóa để đặt lại mọi thứ khác, nên hãy bảo vệ nó trước.
- Tìm “Tạo passkey” trong cài đặt bảo mật của Google, Apple, Microsoft hoặc bất kỳ trang nào khác có hỗ trợ.
- Xác nhận bằng vân tay, khuôn mặt hoặc mã PIN khi thiết bị yêu cầu.
- Kiểm tra nơi nó được lưu. Bạn nên chọn nơi có đồng bộ, như Chuỗi khóa iCloud, Trình quản lý mật khẩu của Google hoặc trình quản lý mật khẩu của bạn, để có bản sao lưu.
- Thử nghiệm. Đăng xuất, rồi đăng nhập lại bằng passkey.
Hiện tại hãy giữ mật khẩu cũ, và đảm bảo email cùng số điện thoại khôi phục của bạn được cập nhật. Sau đó thêm dần các tài khoản khác theo thời gian: ngân hàng, trang mua sắm và mạng xã hội là những bước tiếp theo tốt.
Những gì passkey không giải quyết
Passkey là một cải tiến lớn, không phải phép màu.
- Chưa phải trang nào cũng hỗ trợ. Hãy giữ trình quản lý mật khẩu và mật khẩu riêng biệt cho các trang còn lại.
- Khôi phục tài khoản là điểm yếu. Nếu một trang cho phép ai cũng đặt lại tài khoản chỉ bằng email hoặc tin nhắn, tội phạm có thể bỏ qua passkey. Hãy giữ an toàn cho email và số điện thoại khôi phục.
- Khóa điện thoại rất quan trọng. Passkey chỉ an toàn bằng cách bạn mở khóa thiết bị. Hãy dùng mã PIN mạnh và đừng bao giờ chia sẻ.
- Phần mềm độc hại trên thiết bị vẫn là rủi ro. Hãy cập nhật điện thoại và máy tính.
- Máy tính công cộng hoặc dùng chung. Đừng bao giờ lưu passkey trên máy tính có người khác dùng.
Tóm tắt
- Mật khẩu thất bại vì là bí mật chia sẻ, bị dùng lại, bị rò rỉ và bị lừa đảo giả mạo.
- Passkey là ổ khóa cho trang web và chìa khóa nằm lại trên thiết bị của bạn.
- Vân tay hay khuôn mặt của bạn không bao giờ rời thiết bị.
- Passkey đồng bộ vẫn an toàn khi bạn mất điện thoại.
- Bắt đầu với email, rồi thêm từng tài khoản một.
Passkey không đòi hỏi bạn phải cẩn thận hơn, nhớ nhiều hơn hay nhận ra mọi trò lừa. Nó lặng lẽ loại bỏ mắt xích yếu nhất của bảo mật trực tuyến: một người gõ bí mật vào một ô nhập liệu. Hãy bắt đầu hôm nay với tài khoản mà bạn ghét phải mất nhất.