Passkey: Giải pháp bảo mật hoàn hảo hay cơn ác mộng tiềm ẩn cho người dùng cá nhân?

Trong vài năm trở lại đây, ngành công nghệ không ngừng quảng bá passkey như giải pháp tối thượng cho việc đăng nhập. Các ông lớn như Google và Microsoft liên tục nhắc nhở người dùng về sự tiện lợi của passkey mỗi khi đăng nhập. Google thậm chí đặt tên cho tùy chọn này là "Bỏ qua mật khẩu khi có thể", còn Microsoft khuyến khích người dùng chuyển sang tài khoản không mật khẩu. Tuy nhiên, đằng sau vẻ ngoài hào nhoáng đó, passkey vẫn tồn tại những hạn chế nghiêm trọng mà người dùng cá nhân cần cân nhắc.

Minh họa về việc Google khuyến khích bỏ qua mật khẩu

Passkey là gì và tại sao nó lại được ưa chuộng?

Về mặt kỹ thuật, passkey là một bước tiến vượt bậc. Vì được gắn chặt với tên miền mà nó được tạo ra, passkey không thể bị đánh cắp qua các trang đăng nhập giả mạo. Nếu một trang web bị rò rỉ dữ liệu, passkey sử dụng mã hóa bất đối xứng nên không thể bị khôi phục từ phía máy chủ.

Passkey là công nghệ tuyệt vời. Do được gắn với trang web cụ thể, chúng không thể bị lừa đảo qua màn hình đăng nhập giả mạo.

Điều này khiến passkey trở thành lựa chọn lý tưởng cho môi trường doanh nghiệp, nơi bảo mật tập trung được đặt lên hàng đầu. Nhưng với người dùng cá nhân, bức tranh lại hoàn toàn khác.

Rủi ro khóa tài khoản vĩnh viễn – Mối đe dọa thực sự

Đối với một cá nhân, rủi ro lớn nhất không phải là bị tấn công man-in-the-middle mà là mất quyền truy cập vĩnh viễn vào tài khoản. Passkey loại bỏ nguy cơ lừa đảo qua luồng đăng nhập tiêu chuẩn, nhưng lại tạo ra cảm giác an toàn giả tạo.

Bảo mật của một tài khoản vẫn bị chi phối bởi phương thức khôi phục yếu nhất: SMS, liên kết email, câu hỏi bảo mật... Nếu các phương thức này không được thiết lập đúng cách, nguy cơ khóa tài khoản vĩnh viễn vẫn hiện hữu. Thậm chí, việc các hệ thống tự động của Apple hay Google quyết định khóa tài khoản của bạn sẽ đồng nghĩa với việc bạn mất quyền truy cập vào tất cả các passkey đã lưu trên nền tảng đó.

Vấn đề với khóa bảo mật phần cứng

Theo thiết kế, bạn không thể sao lưu passkey trên khóa bảo mật phần cứng. Passkey chỉ có thể được thêm hoặc xóa chứ không thể di chuyển. Điều này đồng nghĩa với việc bạn cần mua 2-3 khóa phần cứng và đăng ký từng khóa cho mọi trang web. Chi phí sẽ tăng nhanh chóng khi số lượng tài khoản tăng lên.

Hơn nữa, khóa phần cứng hỗ trợ thông tin xác thực có thể phát hiện, cho phép trang web truy vấn tên người dùng thay vì bạn phải nhập. Tuy nhiên, chúng có giới hạn từ 25-100 tài khoản mỗi khóa, và các loại cao cấp nhất cũng chỉ đạt 300. Khi vượt quá giới hạn, bạn buộc phải xóa bớt tài khoản hoặc mua thêm khóa mới.

Sự phụ thuộc vào hệ sinh thái Apple và Google

Cả Apple và Google đều muốn định danh của bạn gắn chặt với hệ điều hành của họ. Con đường thuận tiện nhất trên thiết bị của họ là sử dụng passkey đồng bộ gắn với tài khoản Apple hoặc Google. Nhưng nếu hệ thống tự động của họ quyết định khóa tài khoản của bạn, bạn sẽ mất quyền truy cập vào tất cả passkey dùng cho các tài khoản bên thứ ba.

Liên minh FIDO đang nỗ lực cải thiện khả năng tương tác và xuất passkey, nhưng trải nghiệm vẫn còn phân mảnh và thiếu nhất quán giữa các nhà cung cấp. So sánh với mật khẩu – chỉ là một chuỗi ký tự bạn có thể dễ dàng xuất thủ công nếu cần – passkey vẫn chưa đủ trưởng thành để thay thế hoàn toàn.

Trải nghiệm thực tế còn nhiều trở ngại

Khi lưu passkey trong trình quản lý mật khẩu như Bitwarden hay KeePassXC, bạn sẽ phải đấu tranh với nền tảng. Mặc dù các hệ điều hành gần đây đã giới thiệu API cho công cụ bên thứ ba, trải nghiệm vẫn phân mảnh và thiếu sự trau chuốt về UX so với tự động điền mật khẩu truyền thống.

Đăng nhập trên thiết bị của người khác cũng là một thách thức. Bạn có thể cắm khóa phần cứng, nhưng không phải lúc nào cũng có cổng kết nối. Bạn có thể dùng passkey đồng bộ, nhưng điều đó đồng nghĩa với việc tin tưởng máy tính đó không làm rò rỉ các passkey khác. Giải pháp cuối cùng là "Hybrid Transport" – quét mã QR và kết nối qua Bluetooth – nhưng thực tế đầy rẫy các trường hợp lỗi kết nối hoặc Bluetooth không được hỗ trợ.

Passkey chưa sẵn sàng cho người dùng cá nhân

Người dùng doanh nghiệp có lý do chính đáng để sử dụng passkey, nhưng hệ sinh thái hiện tại chưa đủ trưởng thành cho cá nhân. Mặc dù mã TOTP có lỗ hổng lừa đảo đã biết, rủi ro khôi phục và khóa tài khoản của passkey lại là mối đe dọa hàng ngày lớn hơn đối với hầu hết mọi người.

Sự kết hợp giữa mật khẩu ngẫu nhiên được lưu trong trình quản lý mật khẩu bên thứ ba, cùng với ứng dụng TOTP độc lập, mang lại quyền kiểm soát cho người dùng mà không từ bỏ tính linh hoạt.

Đối với những người trước đây dùng lại mật khẩu trên mọi trang web, passkey là bước tiến lớn. Nhưng với tất cả những người khác, hiện tại nó lại là một bước lùi. Passkey vẫn cần thời gian để hoàn thiện trước khi có thể thực sự thay thế mật khẩu truyền thống một cách an toàn và tiện lợi cho tất cả mọi người.