Bạn đã bao giờ cảm thấy phiền vì phải nhớ quá nhiều mật khẩu chưa? Email một mật khẩu, mạng xã hội một mật khẩu, rồi đến các ứng dụng công việc lại thêm những mật khẩu khác. Chưa kể, chúng ta còn thường xuyên được nhắc nhở phải đặt mật khẩu đủ dài, đủ phức tạp và tuyệt đối không được dùng lại. Nhưng sẽ thế nào nếu một ngày chúng ta không còn cần đến mật khẩu để đăng nhập nữa?
Thật ra, ý tưởng đăng nhập không cần mật khẩu đã xuất hiện từ khá lâu. Mọi chuyện bắt đầu từ những nghiên cứu về mật mã khóa công khai vào thập niên 1970. Đến năm 2012, sự hình thành của FIDO Alliance đã thúc đẩy việc phát triển những phương thức xác thực an toàn và tiện lợi hơn. Tuy nhiên, phải đến năm 2022, khi Apple, Google và Microsoft cùng đẩy mạnh hỗ trợ Passkey, công nghệ này mới dần trở nên quen thuộc với người dùng phổ thông.
Giờ đây, thay vì phải nhớ một chuỗi ký tự phức tạp, chúng ta có thể đăng nhập chỉ bằng vân tay, khuôn mặt hoặc mã PIN quen thuộc trên thiết bị. Nghe có vẻ đơn giản, nhưng phía sau thao tác ấy là một cơ chế bảo mật khá thú vị.
Vậy Passkey thực chất là gì? Tại sao nó có thể thay thế mật khẩu, và liệu công nghệ này có thực sự đủ an toàn để sử dụng trong doanh nghiệp? Hãy cùng tìm hiểu cách Passkey hoạt động và những điều khiến nó trở thành một bước tiến đáng chú ý trong lĩnh vực bảo mật.
 |
| Passkey |
1. Passkey thực chất là gì?
Nếu đã từng sử dụng Face ID trên iPhone, cảm biến vân tay trên laptop hay mã PIN để mở khóa thiết bị, có lẽ bạn sẽ thấy cách đăng nhập bằng Passkey khá quen thuộc.
Thay vì yêu cầu nhập tên đăng nhập, mật khẩu rồi chờ mã OTP, một số website hiện nay chỉ cần bạn xác nhận bằng khuôn mặt, vân tay hoặc mã PIN là có thể đăng nhập thành công.
Nhưng có một điều khá thú vị: Passkey không đơn giản là việc thay thế mật khẩu bằng vân tay hay khuôn mặt.
Về bản chất, Passkey là một phương thức xác thực dựa trên mật mã khóa công khai (Public-key Cryptography). Thay vì yêu cầu bạn ghi nhớ và cung cấp một bí mật như mật khẩu, hệ thống sẽ sử dụng một cặp khóa mật mã để xác minh danh tính.
Cặp khóa này bao gồm:
Public Key (khóa công khai): Được đăng ký và lưu trữ tại máy chủ của website hoặc ứng dụng.
Private Key (khóa riêng tư): Được bảo vệ bởi thiết bị hoặc trình quản lý Passkey mà bạn sử dụng.
Hai khóa có mối liên hệ toán học đặc biệt. Private Key có thể tạo ra một chữ ký số và Public Key tương ứng có thể kiểm tra chữ ký đó có hợp lệ hay không.
Điểm quan trọng nhất là máy chủ không cần biết Private Key của bạn.
Hãy tưởng tượng bạn có một con dấu đặc biệt mà chỉ mình bạn có thể sử dụng. Mỗi lần cần chứng minh danh tính, bạn đóng dấu lên một tài liệu do hệ thống cung cấp. Hệ thống có thể kiểm tra con dấu có hợp lệ hay không mà không cần giữ chiếc con dấu của bạn.
Passkey hoạt động theo nguyên lý tương tự, nhưng thay con dấu bằng chữ ký số được tạo ra thông qua thuật toán mật mã.
Passkey có liên quan gì đến FIDO2 và WebAuthn?
Khi tìm hiểu Passkey, bạn sẽ thường xuyên bắt gặp hai thuật ngữ FIDO2 và WebAuthn.
Chúng có liên quan chặt chẽ, nhưng không hoàn toàn giống nhau.
FIDO2 là tập hợp các tiêu chuẩn và giao thức được phát triển nhằm hỗ trợ xác thực an toàn, giảm sự phụ thuộc vào mật khẩu.
Trong đó:
WebAuthn: Tiêu chuẩn cho phép website tương tác với các bộ xác thực sử dụng khóa công khai.
CTAP: Giao thức giúp thiết bị giao tiếp với những bộ xác thực bên ngoài, chẳng hạn khóa bảo mật USB hoặc điện thoại.
Có thể hiểu đơn giản: WebAuthn quy định cách website yêu cầu xác thực, bộ xác thực thực hiện những thao tác mật mã cần thiết, còn Passkey là thông tin xác thực mà người dùng đăng ký và sử dụng.
2. Tại sao chúng ta cần Passkey khi đã có mật khẩu và OTP?
Mật khẩu đã được sử dụng trong nhiều thập kỷ và vẫn hoạt động khá tốt trong nhiều trường hợp. Vậy tại sao các công ty công nghệ lại muốn thay thế nó?
Vấn đề không nằm hoàn toàn ở việc mật khẩu quá yếu, mà nằm ở cách chúng ta sử dụng và bảo vệ mật khẩu.
Hãy tưởng tượng bạn nhận được một email thông báo rằng tài khoản công việc cần được xác minh ngay lập tức.
Email có logo công ty, nội dung chuyên nghiệp và một đường dẫn đăng nhập trông rất quen thuộc.
Bạn nhấp vào liên kết, nhập mật khẩu rồi điền mã OTP được gửi đến điện thoại.
Mọi thứ diễn ra bình thường, ngoại trừ việc website đó thực chất do kẻ tấn công tạo ra.
Khi bạn nhập thông tin, kẻ tấn công có thể thu thập mật khẩu và chuyển tiếp mã OTP theo thời gian thực để đăng nhập vào website thật.
Đây là một ví dụ về phishing, hình thức lừa đảo nhằm chiếm đoạt thông tin hoặc quyền truy cập của người dùng.
Nhưng chúng ta đã có xác thực hai yếu tố (2FA) rồi mà?
Đúng vậy. Các phương thức như SMS OTP hay ứng dụng tạo mã xác thực giúp tăng đáng kể mức độ bảo vệ tài khoản.
Tuy nhiên, chúng không phải lúc nào cũng chống được phishing.
Lý do khá đơn giản: Nếu người dùng có thể đọc và nhập mã OTP vào website, họ cũng có thể bị lừa nhập mã đó vào một website giả mạo.
Passkey giải quyết vấn đề theo một hướng khác.
Thay vì tạo ra thông tin xác thực để người dùng tự nhập, Passkey gắn thông tin xác thực với phạm vi website hợp lệ.
Ví dụ:
Website thật:
login.example.comWebsite giả:
login-example.com
Với mắt thường, hai địa chỉ trông khá giống nhau. Nhưng đối với trình duyệt và hệ thống xác thực, đây là hai tên miền khác nhau.
Passkey đã đăng ký cho website thật không thể được website giả sử dụng chỉ bằng cách sao chép giao diện.
Nhờ vậy, Passkey có khả năng chống lại nhiều hình thức phishing nhằm đánh cắp hoặc chuyển tiếp thông tin đăng nhập.
Điều đó không có nghĩa Passkey ngăn được mọi kiểu lừa đảo. Người dùng vẫn có thể bị dụ tải phần mềm độc hại, cung cấp dữ liệu nhạy cảm hoặc thực hiện các giao dịch nguy hiểm.
3. Passkey hoạt động như thế nào?
Đây có lẽ là phần thú vị nhất.
Nhìn từ phía người dùng, đăng nhập bằng Passkey chỉ mất vài thao tác. Nhưng phía sau là một quy trình trao đổi và kiểm tra thông tin mật mã khá chặt chẽ.
Để dễ hình dung, hãy lấy ví dụ về Lan, một nhân viên đang sử dụng hệ thống quản lý nhân sự của công ty.
3.1. Điều gì xảy ra khi Lan tạo Passkey?
Giả sử Lan đăng nhập vào hệ thống nhân sự và chọn chức năng "Tạo Passkey".
Bước 1: Máy chủ gửi yêu cầu đăng ký
Trước hết, hệ thống cần xác minh Lan được phép đăng ký một phương thức xác thực mới.
Sau đó, máy chủ gửi yêu cầu tạo Passkey thông qua WebAuthn. Yêu cầu bao gồm thông tin dịch vụ, cấu hình xác thực và một giá trị ngẫu nhiên gọi là challenge.
Bạn có thể hình dung challenge giống như một đề bài riêng mà hệ thống đưa ra cho lần xác thực này.
Bước 2: Thiết bị tạo cặp khóa mật mã
Trình duyệt chuyển yêu cầu đến bộ xác thực được hỗ trợ bởi thiết bị hoặc trình quản lý Passkey.
Bộ xác thực tạo ra cặp Public Key và Private Key cho dịch vụ.
Private Key được bảo vệ trong môi trường lưu trữ và quản lý khóa phù hợp. Tùy loại Passkey, khóa có thể được bảo vệ bằng phần cứng chuyên dụng hoặc cơ chế bảo mật của nhà cung cấp.
Bước 3: Lan xác nhận trên thiết bị
Thiết bị yêu cầu Lan sử dụng vân tay, khuôn mặt hoặc mã PIN.
Thao tác này được gọi là User Verification, nhằm xác minh người đang sử dụng thiết bị được phép kích hoạt bộ xác thực.
Một chi tiết quan trọng: Website không cần nhận hình ảnh khuôn mặt hay mẫu vân tay của Lan. Việc kiểm tra sinh trắc học thông thường diễn ra cục bộ trên thiết bị.
Bước 4: Máy chủ lưu thông tin xác thực
Sau khi kiểm tra phản hồi đăng ký hợp lệ, máy chủ lưu Public Key và những thông tin cần thiết để nhận diện credential của Lan.
Private Key không được gửi về máy chủ.
Vậy là Lan đã có một Passkey sẵn sàng để sử dụng.
3.2. Điều gì xảy ra khi Lan đăng nhập bằng Passkey?
Một ngày sau, Lan quay lại hệ thống nhân sự.
Thay vì nhập mật khẩu, Lan chọn đăng nhập bằng Passkey.
Bước 1: Máy chủ tạo challenge mới
Mỗi yêu cầu đăng nhập được gắn với một challenge ngẫu nhiên mới.
Điều này giúp ngăn việc kẻ tấn công ghi lại phản hồi đăng nhập cũ rồi phát lại để truy cập hệ thống, thường được gọi là Replay Attack.
Bước 2: Trình duyệt kiểm tra website
Trình duyệt và bộ xác thực xác định Passkey nào có thể sử dụng cho dịch vụ.
WebAuthn sử dụng các thông tin như Origin và Relying Party ID (RP ID) để liên kết quá trình xác thực với website hợp lệ.
Bước 3: Lan xác nhận danh tính
Thiết bị yêu cầu Lan xác nhận bằng vân tay, khuôn mặt hoặc PIN.
Sau khi xác minh thành công, bộ xác thực có thể sử dụng Private Key.
Bước 4: Private Key tạo chữ ký số
Bộ xác thực sử dụng Private Key để ký dữ liệu liên quan đến yêu cầu đăng nhập.
Chữ ký này gắn với challenge và những thông tin xác thực cụ thể, chứ không phải một mã cố định được sử dụng nhiều lần.
Bước 5: Máy chủ kiểm tra chữ ký
Máy chủ dùng Public Key đã lưu trước đó để kiểm tra chữ ký số, đồng thời xác minh challenge, Origin, RP ID và các điều kiện bảo mật khác.
Nếu mọi điều kiện đều hợp lệ, Lan được đăng nhập.
Toàn bộ quá trình này không yêu cầu Lan nhập mật khẩu hoặc gửi Private Key cho máy chủ.
3.3. Vậy vân tay thực sự đóng vai trò gì?
Một hiểu lầm khá phổ biến là Passkey sử dụng vân tay để thay thế mật khẩu.
Thực tế, vân tay hoặc khuôn mặt chủ yếu được dùng để cho phép bộ xác thực sử dụng Private Key.
Phần chứng minh danh tính với máy chủ vẫn là chữ ký số.
Điều này cũng giải thích tại sao nhiều thiết bị cho phép sử dụng mã PIN thay cho sinh trắc học.
4. Passkey có thực sự an toàn hơn mật khẩu?
Câu trả lời là Passkey có những ưu điểm bảo mật quan trọng so với xác thực bằng mật khẩu truyền thống.
Không cần chia sẻ bí mật với máy chủ
Với mật khẩu, người dùng phải cung cấp mật khẩu để hệ thống xác minh.
Với Passkey, máy chủ chỉ cần kiểm tra chữ ký số bằng Public Key.
Điều này giúp giảm rủi ro liên quan đến việc bí mật xác thực bị đánh cắp trong quá trình đăng nhập.
Giảm nguy cơ phishing
Passkey gắn với phạm vi dịch vụ hợp lệ.
Ngay cả khi website giả mạo sao chép hoàn toàn giao diện của website thật, nó cũng không thể đơn giản yêu cầu sử dụng Passkey đã đăng ký cho tên miền khác.
Hạn chế vấn đề tái sử dụng mật khẩu
Một Passkey được tạo cho dịch vụ cụ thể.
Người dùng không phải tự nghĩ ra một mật khẩu rồi tái sử dụng nó trên hàng chục website.
Có thể đáp ứng xác thực đa yếu tố
Khi việc sử dụng Private Key được kết hợp với xác minh người dùng bằng PIN hoặc sinh trắc học, một lần đăng nhập bằng Passkey có thể đáp ứng yêu cầu xác thực đa yếu tố (MFA).
Tuy nhiên, điều này phụ thuộc vào chính sách và cách bộ xác thực được cấu hình. Không nên mặc định mọi cách sử dụng Passkey đều đáp ứng cùng một mức độ đảm bảo.
5. Có phải tất cả Passkey đều giống nhau?
Không hẳn.
Passkey có thể được lưu trữ và sử dụng theo những cách khác nhau. Trong môi trường doanh nghiệp, hai loại đáng quan tâm nhất là Synced Passkey và Device-bound Passkey.
5.1. Synced Passkey – Tiện lợi khi sử dụng nhiều thiết bị
Giả sử bạn đang sử dụng iPhone và lưu Passkey thông qua hệ sinh thái quản lý mật khẩu của Apple.
Khi chuyển sang một thiết bị Apple khác có cấu hình phù hợp, bạn có thể tiếp tục sử dụng các Passkey được đồng bộ mà không cần đăng ký lại từng dịch vụ.
Các nhà cung cấp khác cũng có những giải pháp quản lý, đồng bộ hoặc khôi phục Passkey tương ứng.
Ưu điểm lớn nhất của Synced Passkey là sự tiện lợi.
Tuy nhiên, doanh nghiệp cần quan tâm đến độ an toàn của tài khoản nhà cung cấp, khả năng quản lý thiết bị và quy trình khôi phục.
5.2. Device-bound Passkey – Kiểm soát chặt chẽ hơn
Khác với Synced Passkey, Device-bound Passkey được gắn với một bộ xác thực cụ thể và không được thiết kế để sao chép sang thiết bị khác.
Ví dụ phổ biến là khóa bảo mật vật lý FIDO2 kết nối qua USB hoặc NFC.
Khi đăng nhập, nhân viên cần sử dụng khóa bảo mật và thực hiện thao tác xác minh hoặc xác nhận theo yêu cầu.
Loại Passkey này đặc biệt đáng cân nhắc cho tài khoản quản trị viên và những vị trí có quyền truy cập nhạy cảm.
Đổi lại, doanh nghiệp cần chuẩn bị phương án dự phòng khi khóa bị mất hoặc hư hỏng.
5.3. Có thể dùng Passkey trên điện thoại để đăng nhập laptop không?
Có, trong những môi trường hỗ trợ xác thực giữa các thiết bị.
Khi chọn đăng nhập bằng Passkey từ điện thoại, laptop có thể hiển thị một mã QR.
Bạn quét mã QR bằng điện thoại, xác nhận danh tính và hoàn tất đăng nhập.
Trong quy trình này, mã QR không chứa Private Key để chuyển sang laptop. Điện thoại vẫn thực hiện thao tác ký bằng bộ xác thực của mình.
Bluetooth có thể được sử dụng để hỗ trợ xác minh hai thiết bị đang ở gần nhau, kết hợp với những cơ chế bảo mật của giao thức.
6. Những vấn đề Passkey vẫn chưa giải quyết được
Đọc đến đây, có thể bạn sẽ nghĩ rằng Passkey gần như đã giải quyết toàn bộ vấn đề bảo mật tài khoản.
Nhưng thực tế không đơn giản như vậy.
Nếu người dùng làm mất thiết bị thì sao?
Nếu Passkey chỉ được lưu trên một thiết bị và thiết bị đó bị mất hoặc hỏng, người dùng có thể không còn phương thức để đăng nhập.
Vì vậy, doanh nghiệp cần xây dựng quy trình khôi phục tài khoản an toàn, chẳng hạn sử dụng bộ xác thực dự phòng hoặc xác minh danh tính trước khi cấp Passkey mới.
Nếu máy tính bị nhiễm malware?
Passkey giúp bảo vệ quá trình xác thực, nhưng không thể đảm bảo toàn bộ thiết bị luôn an toàn.
Nếu mã độc kiểm soát máy tính, kẻ tấn công vẫn có thể lợi dụng phiên đăng nhập, đánh cắp dữ liệu hoặc thực hiện những hành động trái phép.
Nếu hacker đánh cắp cookie đăng nhập?
Sau khi đăng nhập thành công, website thường tạo một phiên làm việc và sử dụng cookie hoặc token để duy trì trạng thái đăng nhập.
Nếu những thông tin này bị đánh cắp và có thể sử dụng lại, kẻ tấn công có thể truy cập hệ thống mà không cần thực hiện lại bước xác thực bằng Passkey. Kiểu tấn công này thường được gọi là Session Hijacking hoặc Cookie Theft.
Trong trường hợp này, Passkey không bị phá vỡ. Kẻ tấn công không cần lấy Private Key hay giả mạo chữ ký số. Họ chỉ sử dụng một phiên đăng nhập đã được xác thực trước đó.
Doanh nghiệp cần bảo vệ phiên làm việc bằng nhiều biện pháp, chẳng hạn:
Sử dụng cookie với thuộc tính
HttpOnly,SecurevàSameSitephù hợpThời gian hết hạn phiên hợp lý
Yêu cầu xác thực lại khi thực hiện thao tác nhạy cảm
Thu hồi phiên khi phát hiện thiết bị hoặc hành vi bất thường
Giám sát địa chỉ IP, vị trí, thiết bị và mẫu hành vi đăng nhập
Đặc biệt, với những thao tác như thay đổi thông tin thanh toán, cấp quyền quản trị hoặc tải xuống dữ liệu nhạy cảm, chỉ dựa vào việc người dùng đã đăng nhập trước đó là chưa đủ.
Nếu người dùng bị lừa thực hiện hành động nguy hiểm thì sao?
Passkey có thể giúp xác minh rằng đúng người đang sử dụng tài khoản, nhưng không thể đảm bảo người đó hiểu chính xác hành động mình sắp thực hiện.
Ví dụ, nhân viên có thể bị lừa đăng nhập vào một hệ thống giả, sau đó tự nguyện phê duyệt một yêu cầu chuyển tiền hoặc cấp quyền truy cập cho một ứng dụng độc hại.
Đây là sự khác biệt giữa xác thực người dùng và xác minh ý định của người dùng.
Passkey trả lời câu hỏi:
Người đang thực hiện thao tác có sở hữu phương thức xác thực hợp lệ không?
Nhưng nó không nhất thiết trả lời được:
Người đó có biết thao tác này sẽ gây ra hậu quả gì không?
Vì vậy, những quy trình quan trọng vẫn cần thêm các lớp kiểm soát như phê duyệt nhiều người, giới hạn quyền, cảnh báo rõ ràng và xác nhận giao dịch.
Nếu doanh nghiệp chưa hỗ trợ Passkey thì sao?
Passkey chỉ phát huy tác dụng khi cả hệ thống và quy trình vận hành đều hỗ trợ nó.
Trong giai đoạn chuyển đổi, doanh nghiệp có thể vẫn phải duy trì mật khẩu hoặc các phương thức xác thực cũ để phục vụ những hệ thống chưa được nâng cấp.
Điều này tạo ra một thách thức: nếu tài khoản vẫn còn phương thức đăng nhập yếu hơn, kẻ tấn công có thể tìm cách sử dụng chính phương thức đó để bỏ qua Passkey.
Doanh nghiệp cần lập kế hoạch chuyển đổi rõ ràng, bao gồm:
Xác định những hệ thống đã hỗ trợ WebAuthn hoặc FIDO2
Ưu tiên triển khai cho tài khoản quản trị và dữ liệu nhạy cảm
Giảm dần các phương thức xác thực dễ bị phishing
Thiết lập chính sách đăng ký, thu hồi và khôi phục Passkey
Đào tạo nhân viên về cách sử dụng và bảo vệ thiết bị
Passkey không thay thế toàn bộ chiến lược bảo mật
Passkey là một bước tiến quan trọng trong việc giảm phụ thuộc vào mật khẩu, đặc biệt đối với các cuộc tấn công phishing và đánh cắp thông tin đăng nhập.
Tuy nhiên, nó chỉ bảo vệ một phần trong chuỗi bảo mật.
Doanh nghiệp vẫn cần bảo vệ thiết bị, phiên đăng nhập, dữ liệu, quyền truy cập và quy trình vận hành. Đồng thời, cần chuẩn bị phương án xử lý khi thiết bị bị mất, tài khoản có dấu hiệu bất thường hoặc người dùng bị lừa thực hiện hành động nguy hiểm.
Có thể hình dung Passkey giống như một chiếc khóa cửa rất chắc chắn. Nó giúp ngăn người lạ mở cửa bằng cách đoán hoặc đánh cắp chìa khóa. Nhưng nếu kẻ tấn công đã vào được bên trong bằng một cách khác, doanh nghiệp vẫn cần hệ thống camera, phân quyền, cảnh báo và quy trình ứng phó để bảo vệ toàn bộ ngôi nhà.
Vì vậy, câu hỏi không nên là:
Passkey có thay thế hoàn toàn mọi biện pháp bảo mật hay không?
Mà nên là:
Passkey có thể giúp doanh nghiệp loại bỏ những rủi ro nào, và cần kết hợp với những lớp bảo vệ nào để xây dựng một hệ thống an toàn hơn?
Đó cũng là cách nhìn thực tế nhất về Passkey: không phải một giải pháp thần kỳ, mà là một thành phần quan trọng trong chiến lược xác thực hiện đại.
7. Doanh nghiệp nên bắt đầu triển khai Passkey như thế nào?
Sau khi tìm hiểu cách Passkey hoạt động, những lợi ích và cả các giới hạn của nó, có lẽ câu hỏi tiếp theo sẽ là: Nếu muốn áp dụng Passkey trong doanh nghiệp, chúng ta nên bắt đầu từ đâu?
Tin tốt là doanh nghiệp không nhất thiết phải tự xây dựng một hệ thống xác thực hoàn toàn mới.
Nếu công ty đang sử dụng Microsoft 365, Google Workspace hoặc những nền tảng quản lý danh tính hiện đại, rất có thể bạn đã có sẵn một phần hạ tầng cần thiết để triển khai Passkey.
Tuy nhiên, việc áp dụng Passkey không đơn giản chỉ là bật một tính năng và yêu cầu toàn bộ nhân viên sử dụng ngay lập tức.
7.1. Bắt đầu từ hệ thống quản lý danh tính tập trung
Hãy tưởng tượng một công ty có 200 nhân viên, sử dụng email, phần mềm nhân sự, hệ thống kế toán, CRM và nhiều ứng dụng nội bộ khác.
Nếu mỗi ứng dụng đều yêu cầu nhân viên đăng ký và quản lý Passkey riêng, mọi thứ có thể nhanh chóng trở nên phức tạp. Khi một nhân viên nghỉ việc hoặc làm mất thiết bị, bộ phận IT sẽ phải xử lý quyền truy cập ở nhiều hệ thống.
Đó là lý do doanh nghiệp nên cân nhắc sử dụng Identity Provider (IdP) kết hợp với Single Sign-On (SSO).
Có thể hiểu đơn giản:
IdP: Hệ thống chịu trách nhiệm xác minh danh tính người dùng.
SSO: Cho phép người dùng đăng nhập một lần thông qua hệ thống danh tính tập trung để truy cập nhiều ứng dụng được tích hợp.
Ví dụ, thay vì tích hợp Passkey riêng vào từng ứng dụng, doanh nghiệp có thể triển khai Passkey tại Microsoft Entra ID rồi cho các ứng dụng hỗ trợ SSO sử dụng kết quả xác thực từ nền tảng này.
Cách tiếp cận này giúp đơn giản hóa việc quản lý phương thức đăng nhập, áp dụng chính sách bảo mật và thu hồi quyền truy cập khi cần thiết.
7.2. Không phải nhân viên nào cũng cần cùng một loại Passkey
Một nhân viên marketing thường xuyên làm việc trên nhiều thiết bị sẽ có nhu cầu khác với quản trị viên hệ thống đang nắm quyền truy cập vào cơ sở dữ liệu quan trọng.
Vì vậy, doanh nghiệp không nhất thiết phải áp dụng một chính sách Passkey giống nhau cho tất cả mọi người.
Với nhân viên thông thường, Synced Passkey có thể là lựa chọn thuận tiện nhờ khả năng sử dụng trên nhiều thiết bị được hỗ trợ.
Trong khi đó, với tài khoản quản trị viên hoặc những vị trí có quyền truy cập nhạy cảm, doanh nghiệp có thể cân nhắc Device-bound Passkey thông qua khóa bảo mật vật lý, kết hợp những chính sách kiểm soát nghiêm ngặt hơn.
Điều quan trọng không phải lựa chọn loại Passkey đắt tiền hay phức tạp nhất, mà là lựa chọn phương thức phù hợp với mức độ rủi ro của từng nhóm người dùng.
7.3. Triển khai thử trước khi áp dụng toàn công ty
Thay vì yêu cầu tất cả nhân viên chuyển sang Passkey cùng lúc, doanh nghiệp nên bắt đầu với một nhóm nhỏ.
Nhóm thử nghiệm có thể bao gồm nhân viên văn phòng, nhân viên làm việc từ xa, quản trị viên IT và cả những người không quá quen thuộc với công nghệ.
Trong quá trình thử nghiệm, hãy quan sát những tình huống thực tế:
Nhân viên có dễ dàng tạo và sử dụng Passkey không?
Điều gì xảy ra khi họ đổi điện thoại hoặc laptop?
Nếu thiết bị bị mất hoặc hư hỏng, họ có thể khôi phục quyền truy cập như thế nào?
Các trình duyệt và hệ điều hành đang sử dụng có tương thích không?
Có ứng dụng nào vẫn bắt buộc sử dụng mật khẩu hay không?
Đặc biệt, quy trình khôi phục tài khoản cần được kiểm thử kỹ trước khi triển khai rộng rãi. Một hệ thống xác thực dù an toàn đến đâu cũng khó được chấp nhận nếu nhân viên thường xuyên bị khóa tài khoản mà không có cách xử lý phù hợp.
7.4. Đừng quên những phương thức đăng nhập cũ
Có một vấn đề khá dễ bị bỏ qua khi triển khai Passkey.
Giả sử doanh nghiệp đã yêu cầu nhân viên sử dụng Passkey để đăng nhập. Nhưng ngay bên dưới nút đăng nhập vẫn có lựa chọn "Sử dụng mật khẩu" và hệ thống tiếp tục cho phép xác thực bằng SMS OTP như trước.
Trong trường hợp này, kẻ tấn công có thể bỏ qua Passkey và tìm cách khai thác chính phương thức đăng nhập yếu hơn.
Vì vậy, mục tiêu dài hạn không nên chỉ là tăng số lượng nhân viên đăng ký Passkey, mà còn phải giảm dần sự phụ thuộc vào những phương thức xác thực dễ bị phishing.
Quá trình này cần thực hiện từng bước, bảo đảm các ứng dụng tương thích và nhân viên có phương án khôi phục an toàn trước khi hạn chế hoặc loại bỏ phương thức đăng nhập cũ.
7.5. Làm sao biết triển khai Passkey có hiệu quả?
Sau khi triển khai, số lượng Passkey được đăng ký chưa phải là chỉ số quan trọng nhất.
Một nhân viên có thể đã tạo Passkey nhưng vẫn tiếp tục đăng nhập bằng mật khẩu mỗi ngày. Khi đó, doanh nghiệp chưa thực sự đạt được mục tiêu chuyển đổi.
Thay vào đó, hãy quan tâm đến những câu hỏi như:
Có bao nhiêu lượt đăng nhập thực sự sử dụng Passkey?
Tỷ lệ đăng nhập thành công có được cải thiện không?
Số lượng yêu cầu đặt lại mật khẩu có giảm không?
Nhân viên có thường xuyên gặp khó khăn khi đổi thiết bị hay khôi phục tài khoản không?
Doanh nghiệp đã giảm được bao nhiêu phương thức đăng nhập dễ bị phishing?
Những số liệu này sẽ giúp doanh nghiệp đánh giá Passkey có thực sự cải thiện cả trải nghiệm người dùng lẫn mức độ bảo mật hay không.
Chuyển sang Passkey là một quá trình, không phải một lần nâng cấp
Điều đáng chú ý là việc triển khai Passkey không chỉ liên quan đến công nghệ. Nó còn thay đổi thói quen đăng nhập của nhân viên và cách doanh nghiệp quản lý danh tính.
Doanh nghiệp cần hướng dẫn người dùng hiểu Passkey được lưu ở đâu, sử dụng như thế nào và phải làm gì khi không còn truy cập được thiết bị.
Không nhất thiết phải chuyển đổi toàn bộ hệ thống ngay từ đầu. Một cách tiếp cận hợp lý hơn là bắt đầu với những ứng dụng và nhóm tài khoản phù hợp, kiểm chứng hiệu quả rồi từng bước mở rộng.
Bởi suy cho cùng, một phương thức xác thực tốt không chỉ cần an toàn trên lý thuyết, mà còn phải đủ đơn giản để mọi người có thể sử dụng đúng cách trong công việc hằng ngày.
8. Kết luận: Passkey có phải là tương lai của xác thực?
Có lẽ trong tương lai không xa, việc phải ghi nhớ hàng chục mật khẩu khác nhau sẽ dần trở thành chuyện của quá khứ. Thay vào đó, chúng ta có thể đăng nhập vào các dịch vụ quen thuộc chỉ bằng một thao tác xác nhận trên thiết bị của mình.
Và đó cũng chính là điều khiến Passkey trở thành một bước tiến đáng chú ý trong lĩnh vực bảo mật.
Điểm đặc biệt của Passkey không chỉ nằm ở sự tiện lợi, mà còn ở cách công nghệ này thay đổi nguyên tắc xác thực danh tính. Thay vì yêu cầu người dùng liên tục cung cấp một thông tin bí mật, hệ thống có thể xác minh danh tính thông qua chữ ký số mà không cần biết Private Key. Nhờ vậy, nhiều rủi ro quen thuộc như đánh cắp mật khẩu, tái sử dụng mật khẩu hay phishing nhằm chiếm đoạt thông tin đăng nhập có thể được giảm thiểu đáng kể.
Tuy nhiên, như chúng ta đã tìm hiểu, Passkey không phải là lời giải cho mọi vấn đề bảo mật. Một thiết bị bị nhiễm malware, một phiên đăng nhập bị đánh cắp hay một quy trình khôi phục tài khoản thiếu an toàn vẫn có thể tạo cơ hội cho kẻ tấn công. Đặc biệt trong môi trường doanh nghiệp, việc triển khai Passkey cần đi cùng với quản lý thiết bị, kiểm soát quyền truy cập và những chính sách bảo mật phù hợp.
Vì vậy, thay vì xem Passkey là công nghệ có thể thay thế toàn bộ hệ thống bảo mật hiện tại, chúng ta nên nhìn nhận nó như một bước tiến quan trọng trong quá trình xây dựng những hệ thống xác thực an toàn và thân thiện hơn với người dùng.
Suy cho cùng, mục tiêu của bảo mật không phải là khiến người dùng phải ghi nhớ những mật khẩu ngày càng phức tạp, mà là tạo ra những hệ thống đủ thông minh để bảo vệ danh tính mà không đặt quá nhiều gánh nặng lên con người.
Và biết đâu, một ngày nào đó, khi đăng nhập vào một website và được yêu cầu nhập mật khẩu, chúng ta sẽ lại tự hỏi: "Tại sao mình vẫn phải dùng mật khẩu nhỉ?"
