Passkey tốt hơn mật khẩu, nhưng chưa đủ để bảo vệ danh tính

Passkey đang được xem là giải pháp thay thế mật khẩu đầy hứa hẹn, nhưng theo các chuyên gia bảo mật, nó chỉ giải quyết một phần của bài toán danh tính số — không phải toàn bộ.

Xác thực bằng passkey thay thế mật khẩu truyền thống

Trong nhiều thập kỷ, mật khẩu là một trong những điểm yếu dai dẳng nhất của an ninh mạng. Người dùng quên mật khẩu, dùng lại mật khẩu ở nhiều nơi, chia sẻ cho người khác, hoặc nhập vào các trang phishing được ngụy trang tinh vi. Kẻ tấn công đánh cắp thông tin đăng nhập, tự động hóa tấn công credential stuffing, và ngày càng tận dụng trí tuệ nhân tạo để khiến các đòn tấn công kỹ thuật xã hội trở nên hiệu quả hơn.

Passkey là gì và vì sao nó tốt hơn mật khẩu?

Passkey được xây dựng trên nền tảng mật mã khóa công khai (public-key cryptography), thay thế các bí mật dùng chung bằng thông tin xác thực dạng mật mã. Không còn mật khẩu để kẻ tấn công đánh cắp, chặn bắt qua phishing hay dùng lại cho dịch vụ khác. Khi được triển khai đúng cách, passkey còn chống phishing vì quá trình xác thực được ràng buộc với đúng dịch vụ hợp pháp.

Khác với mật khẩu kết hợp mã OTP, tin nhắn SMS hay thông báo đẩy — vốn vẫn dễ bị phishing, tấn công adversary-in-the-middle, MFA fatigue, đánh tráo SIM và kỹ thuật xã hội — passkey thay đổi hoàn toàn mô hình. Thiết bị của người dùng giữ khóa riêng tư, còn dịch vụ lưu khóa công khai tương ứng. Khóa riêng tư không bao giờ được truyền đi trong quá trình xác thực.

Điều này mang lại lớp bảo vệ đáng kể trước phishing, credential stuffing, đánh cắp cơ sở dữ liệu mật khẩu và nhiều đòn tấn công khác nhắm vào thông tin xác thực có thể tái sử dụng. Passkey cũng cải thiện trải nghiệm người dùng vì không cần ghi nhớ mật khẩu phức tạp hay liên tục lấy mã xác thực.

Xác thực không đồng nghĩa với danh tính

Sai lầm lớn nhất của các tổ chức là cho rằng xác thực mạnh hơn sẽ giải quyết được toàn bộ bài toán bảo mật danh tính.

Khi passkey xác thực thành công, hệ thống chỉ có bằng chứng mật mã mạnh mẽ rằng một thông tin xác thực gắn với tài khoản đã hoàn tất quá trình xác thực. Nhưng tài khoản đó có được tạo hợp pháp không? Danh tính nền tảng có bị xâm phạm không? Thiết bị có đáng tin cậy không?

Nếu kẻ tấn công thiết lập hoặc chiếm quyền kiểm soát tài khoản trước khi passkey được gắn vào, tổ chức có thể sau đó thực hiện xác thực cực kỳ an toàn cho... đúng người sai. Cơ chế xác thực càng mạnh thì tính toàn vẹn của bước đăng ký (enrollment) càng trở nên quan trọng.

Chuyên gia bảo mật Torsten George

Khi thiết bị thay đổi thì sao?

Người dùng hợp pháp không phải lúc nào cũng xác thực từ cùng một thiết bị. Điện thoại bị mất, bị trộm, hỏng hoặc thay mới; nhân viên nhận laptop mới; người tiêu dùng chuyển đổi hệ sinh thái công nghệ.

Đồng bộ hóa passkey giải quyết được nhiều tình huống này bằng cách đưa thông tin xác thực lên nhiều thiết bị được hỗ trợ. Nhưng tổ chức vẫn phải xử lý những người dùng hợp pháp đến mà không có passkey mong đợi. Lúc này, thách thức chuyển từ xác thực sang khôi phục và tái thiết lập niềm tin.

Nếu phương án dự phòng dựa vào mật khẩu, mã SMS, liên kết email, câu hỏi bảo mật hay quy trình hỗ trợ qua help desk, kẻ tấn công sẽ nhắm vào chính con đường yếu hơn đó.

Passkey không bị xâm phạm. Kẻ tấn công chỉ đi vòng qua nó.

Xác thực chỉ là một khoảnh khắc

Một lỗ hổng khác xuất hiện sau khi xác thực. Nhiều kiến trúc danh tính vận hành theo trình tự đơn giản: xác thực, cấp quyền truy cập, rồi tin tưởng phiên làm việc đó. Các cuộc tấn công danh tính hiện đại không dừng ở màn hình đăng nhập. Kẻ tấn công có thể chiếm đoạt phiên đã xác thực, xâm phạm thiết bị tin cậy, lạm dụng đặc quyền, thao túng thuộc tính tài khoản hoặc thực hiện giao dịch bất thường — trong khi cơ chế xác thực vẫn hoạt động đúng như thiết kế.

Kết hợp phát hiện mối đe dọa danh tính

Đây là lúc phát hiện mối đe dọa danh tính (identity threat detection) bổ trợ cho passkey. Thay vì coi xác thực thành công là lời tuyên bố tin cậy vĩnh viễn, tổ chức có thể liên tục đánh giá rủi ro dựa trên đặc điểm thiết bị, thuộc tính danh tính, hành vi bất thường, thông tin mạng, thay đổi tài khoản, ngữ cảnh giao dịch và các dấu hiệu mối đe dọa.

Mô hình dựa trên rủi ro cho phép người dùng hợp pháp hoạt động bình thường mà không bị làm phiền, đồng thời nâng mức kiểm soát khi rủi ro thay đổi. Một tài khoản quen thuộc đăng nhập từ thiết bị đã thiết lập và hành xử bình thường có thể không cần can thiệp thêm; nhưng cùng tài khoản đó cố khôi phục từ thiết bị lạ, thay đổi thuộc tính quan trọng hoặc có hoạt động bất thường thì cần xác minh bổ sung.

Mô hình chuyển từ "xác thực một lần rồi tin tưởng mãi mãi" sang "thiết lập niềm tin, đánh giá rủi ro liên tục và phản ứng khi niềm tin thay đổi".

Biểu tượng SecurityWeek

Bài toán đặt ra cho doanh nghiệp Việt Nam

Với các tổ chức tại Việt Nam đang trong quá trình chuyển đổi số, việc áp dụng passkey — đặc biệt trong các dịch vụ ngân hàng số, ví điện tử hay cổng dịch vụ công — là bước tiến quan trọng. Tuy nhiên, cần nhận thức rõ rằng passkey chỉ trả lời câu hỏi: Người dùng này có sở hữu thông tin xác thực hợp lệ để đăng nhập không?

Câu hỏi quan trọng hơn xuyên suốt vòng đời danh tính là: Chúng ta còn đủ bằng chứng để tin tưởng danh tính này không? Các tổ chức cần trả lời cả hai câu hỏi — và đó chính là hướng tiếp cận bảo mật danh tính toàn diện trong kỷ nguyên không mật khẩu.