Mật khẩu truyền thống đã phục vụ chúng ta trong nhiều thập kỷ, nhưng chúng cũng là mắt xích yếu nhất trong chuỗi bảo mật số. Với sự bùng nổ của các cuộc tấn công phishing và công cụ bẻ khóa dựa trên AI, việc thay thế mật khẩu bằng một giải pháp mạnh mẽ hơn đã trở thành nhu cầu cấp thiết. Passkeys chính là câu trả lời đó.
Trong bài viết này, chúng ta sẽ cùng tìm hiểu Passkeys là gì, cơ chế vận hành của chúng và tại sao đây được coi là tương lai của an ninh mạng.
Passkeys là gì?
Passkeys là một tiêu chuẩn xác thực kỹ thuật số mới, cho phép người dùng đăng nhập vào các tài khoản trực tuyến mà không cần nhập mật khẩu. Thay vì dựa trên một chuỗi ký tự dễ bị đánh cắp hoặc quên, Passkeys sử dụng các cặp khóa mật mã (cryptographic key pairs) và các phương thức xác thực sinh trắc học hiện có trên thiết bị như vân tay, khuôn mặt (FaceID) hoặc mã PIN của thiết bị.
Được phát triển dựa trên tiêu chuẩn của liên minh FIDO (Fast Identity Online) và World Wide Web Consortium (W3C), Passkeys nhận được sự ủng hộ mạnh mẽ từ các tập đoàn công nghệ lớn như Apple, Google và Microsoft.
Cơ chế hoạt động của Passkeys
Khác với mật khẩu (vốn là một bí mật được chia sẻ giữa bạn và website), Passkeys dựa trên kỹ thuật mật mã khóa công khai (Public Key Cryptography):
- Khóa riêng tư (Private Key): Được lưu trữ an toàn ngay trên thiết bị của bạn (điện thoại, máy tính). Khóa này không bao giờ rời khỏi thiết bị và không bao giờ được chia sẻ với bất kỳ ai, kể cả website bạn đăng nhập.
- Khóa công khai (Public Key): Được gửi tới và lưu trữ trên máy chủ của dịch vụ. Khóa này chỉ có tác dụng xác minh, không thể dùng để giả mạo danh tính nếu bị lộ.
Khi bạn thực hiện đăng nhập, website sẽ gửi một “thử thách” (challenge) tới thiết bị của bạn. Thiết bị sử dụng Khóa riêng tư để ký xác nhận thử thách đó sau khi bạn đã xác thực bằng vân tay hoặc khuôn mặt. Nếu chữ ký hợp lệ, bạn sẽ được đăng nhập thành công.
Tại sao Passkeys an toàn hơn mật khẩu?
1. Chống lại tấn công Phishing tuyệt đối: Vì Passkeys được liên kết chặt chẽ với tên miền của website hoặc ứng dụng, thiết bị của bạn sẽ không bao giờ ký xác thực cho một trang web giả mạo. Kẻ tấn công không thể lừa bạn nhập Passkeys như cách họ lừa bạn nhập mật khẩu.
2. Không sợ lộ dữ liệu (Data Breach): Ngay cả khi máy chủ của website bị hack, kẻ tấn công chỉ lấy được các Khóa công khai. Chúng hoàn toàn vô dụng nếu không có Khóa riêng tư nằm trên thiết bị vật lý của bạn.
3. Loại bỏ rủi ro từ yếu tố con người: Không còn tình trạng đặt mật khẩu yếu (123456), dùng chung mật khẩu cho nhiều trang web hoặc quên mật khẩu. Quá trình đăng nhập trở nên nhanh chóng và mượt mờ như việc mở khóa điện thoại.
Passkeys trong kỷ nguyên Deepfake và AI
Trong năm 2025 và 2026, chúng ta chứng kiến sự trỗi dậy của các cuộc tấn công lừa đảo sử dụng Deepfake để vượt qua xác thực qua cuộc gọi hoặc video. Tuy nhiên, Passkeys cung cấp một lớp bảo vệ vật lý mà AI không thể mô phỏng. Việc xác thực sinh trắc học diễn ra cục bộ (local) trên thiết bị của bạn để giải phóng Khóa riêng tư, điều này có nghĩa là dữ liệu sinh trắc học của bạn không bao giờ được gửi qua mạng, loại bỏ nguy cơ bị AI đánh chặn hoặc tái tạo chữ ký số.
Cách bắt đầu sử dụng Passkeys
Hiện nay, hầu hết các dịch vụ phổ biến như Google, Apple ID, Microsoft, Facebook, Amazon và PayPal đã hỗ trợ Passkeys. Để kích hoạt, bạn chỉ cần vào mục cài đặt bảo mật trong tài khoản của mình và chọn “Tạo Passkey”.
Lời kết: Việc chuyển dịch sang Passkeys không chỉ là một xu hướng công nghệ, mà là một bước tiến quan trọng để bảo vệ bản thân trong môi trường số đầy rẫy rủi ro. Hãy bắt đầu loại bỏ mật khẩu và trải nghiệm sự an toàn, tiện lợi mà Passkeys mang lại ngay hôm nay.
Tiếng Việt
English