Passkey: Tiện lợi hay cạm bẫy? Cảnh báo từ giới công nghệ

Ngày càng nhiều trang web kêu gọi chúng ta từ bỏ mật khẩu truyền thống để chuyển sang passkey. Chúng được quảng cáo là an toàn hơn, tiện lợi hơn và dễ sử dụng hơn. Nhưng liệu passkey có thực sự vì lợi ích của người dùng, hay ẩn chứa những rủi ro mà chúng ta chưa nhận ra?

Passkey là gì và ai đứng sau nó?

Passkey là sản phẩm của FIDO Alliance – một liên minh bao gồm nhiều thế lực khác nhau: các ông lớn công nghệ, chính phủ các nước, cơ quan tình báo, ngân hàng và một vài tổ chức phi lợi nhuận như Mozilla. Tất cả đều đồng thuận rằng passkey là một giải pháp tốt đẹp và chính đáng.

Điều đáng chú ý là không có bất kỳ tổ chức bảo vệ quyền lợi người tiêu dùng nào tham gia FIDO Alliance.

Mỗi thành viên đều có động cơ riêng: Big Tech muốn tạo thêm tiện ích để bán quảng cáo, cơ quan tình báo muốn theo dõi mọi người, ngân hàng muốn giảm trách nhiệm bồi thường, còn các công ty nhỏ muốn giải pháp rẻ tiền để giảm rủi ro pháp lý. Không ai ở đó để đấu tranh cho quyền lợi thực sự của người dùng.

Vấn đề với mật khẩu truyền thống

Lý do được đưa ra để thuyết phục mọi người dùng passkey là mật khẩu không an toàn. Điều này đúng – công ty SolarWinds từng bị phát hiện dùng mật khẩu "solarwinds123", hay Cơ quan Quản lý Khẩn cấp Hawaii vô tình để lộ mật khẩu qua một mẩu giấy ghi chú trong ảnh chụp.

Tuy nhiên, vấn đề bảo mật này đã được giải quyết từ lâu nhờ:

• Xác thực hai yếu tố (2FA) qua tin nhắn SMS hoặc email
• TOTP (Time-Based One-Time Password) – hay còn gọi là "ứng dụng xác thực"

TOTP: Giải pháp mở và tự do

TOTP hoạt động dựa trên một tiêu chuẩn mở (RFC 6238), tạo ra mã số ngẫu nhiên mỗi 30 giây. Ưu điểm:

• Không phụ thuộc vào ứng dụng cụ thể – bạn có thể dùng bất kỳ phần mềm nào, thậm chí tự viết bằng Python
• Không cần smartphone – có thể dùng laptop, thậm chí máy Game Boy từ thập niên 90
• Bạn kiểm soát hoàn toàn – tự quyết định nơi lưu trữ, cách sử dụng, thậm chí chia sẻ với bạn bè
• Mã hết hạn nhanh – nếu vô tình lộ mã, chỉ nguy hiểm trong vài phút

Passkey: Nhiều loại, một cái tên gây nhầm lẫn

Đây là vấn đề cốt lõi. FIDO Alliance đã cố tình đặt cùng một cái tên "passkey" cho nhiều loại thông tin xác thực hoàn toàn khác nhau, khiến người dùng khó nhận biết sự thật đằng sau.

Các loại passkey bao gồm:

• Copyable vs Non-Copyable: Có thể sao chép hoặc không thể sao chép
• Transferable vs Non-Transferable: Có thể chuyển nhượng hoặc không
• Hardware-Backed vs Software-Backed: Lưu trên chip bảo mật hoặc trên phần mềm
• User-Present vs Non-User-Present: Yêu cầu người dùng xác nhận hoặc không
• User-Verified vs Non-User-Verified: Yêu cầu sinh trắc học/PIN hoặc không
• Attested vs Non-Attested: Được chứng thực từ xa hoặc không

Remote Attestation: Điểm mấu chốt đáng lo ngại

Attested passkey là loại passkey sử dụng remote attestation – cơ chế xác minh bằng mật mã rằng bạn đang dùng một trong các trình quản lý passkey được phê duyệt, chứ không phải phần mềm tự tạo có thể "nói dối".

Điều này có nghĩa là:

• Bạn không còn kiểm soát passkey của mình nữa
• Các nền tảng như Twitter (X) có thể từ chối passkey không được chứng thực
• Remote attestation yêu cầu sự hợp tác của chip bảo mật, phần mềm quản lý passkey, hệ điều hành và firmware

Nếu bạn cài hệ điều hành tùy chỉnh như LineageOS để bảo mật thiết bị cũ không còn nhận bản cập nhật, Twitter (X) sẽ phát hiện và ngăn bạn đăng nhập.

Những rủi ro tiềm ẩn

Mặc dù remote attestation có mục đích chính đáng (ngăn chặn ứng dụng giả mạo), nó cũng mở ra những lo ngại nghiêm trọng:

• Big Tech và cơ quan tình báo có thể dùng passkey để ngăn bạn chạy phần mềm không được phê duyệt
• Có thể ngăn bạn gửi tin nhắn mã hóa, dùng ứng dụng đối thủ, hoặc dùng mạng xã hội mà không xác minh danh tính
• Có thể ngăn bạn tắt các tính năng AI tích hợp bắt buộc trên điện thoại
• Có thể loại bỏ quyền kiểm soát trình duyệt – như việc Google đã loại bỏ hỗ trợ uBlock Origin trên Chrome

Lời khuyên cho người dùng Việt Nam

Nếu bạn quan tâm đến quyền riêng tư và quyền tự do lựa chọn phần mềm, hãy cân nhắc kỹ trước khi thiết lập passkey:

• Tiếp tục dùng TOTP như một giải pháp an toàn, mở và tự do
• Nếu muốn bảo mật cao cấp, cân nhắc dùng khóa bảo mật vật lý như YubiKey
• Cảnh giác với các nền tảng yêu cầu bạn tải ứng dụng riêng để dùng passkey
• Hiểu rõ loại passkey bạn đang tạo và những hạn chế đi kèm

Chờ đợi Big Tech đề xuất một giải pháp tiện lợi và an toàn tương đương nhưng được định nghĩa rõ ràng hơn, với ít ràng buộc hơn.

Passkey có nhiều đặc tính bảo mật ấn tượng và đáng để sử dụng. Nhưng việc FIDO Alliance đưa vào remote attestation mà không cho người dùng thấy rõ sự khác biệt giữa các loại passkey đã làm hỏng một ý tưởng tốt đẹp. Người dùng cần được thông tin đầy đủ để đưa ra quyết định phù hợp với lợi ích của chính mình.