Passkey và xu hướng đăng nhập không mật khẩu khi dùng B52club
Thời máy đánh chữ, một bức thư quan trọng thường được đóng thêm con dấu khô lên giấy. Chữ ký thì ai nhìn lâu cũng tập bắt chước được, nhưng con dấu nằm trong ngăn kéo của chủ nhân, không thể chép bằng mắt. Mật khẩu giống chữ ký: một chuỗi ký tự ta gõ ra, và bất kỳ ai nhìn thấy, đoán được hay đánh cắp được chuỗi ấy đều có thể ký thay ta. Passkey thì giống con dấu. Khi dùng B52club, hiểu passkey là gì sẽ giúp bạn nhìn ra hướng đi an toàn hơn cho cách đăng nhập của mình.
Ảnh: Feliphe Schiarolli / Unsplash
Passkey thực chất là gì
Passkey là một cách đăng nhập dựa trên chuẩn gọi là WebAuthn, do các tổ chức công nghệ lớn cùng xây dựng. Thay vì bạn nhớ một mật khẩu và gõ nó vào ô trống, thiết bị của bạn tạo ra một cặp khóa. Một khóa công khai được gửi cho dịch vụ lưu giữ, còn khóa riêng nằm yên trong thiết bị, thường được khóa thêm bằng vân tay, khuôn mặt hoặc mã mở máy.
Khi đăng nhập, dịch vụ gửi một thách thức ngẫu nhiên, thiết bị dùng khóa riêng "ký" vào thách thức đó sau khi bạn xác nhận bằng sinh trắc học, rồi trả kết quả về. Khóa riêng không bao giờ rời khỏi thiết bị và không bao giờ được gửi đi. Đó chính là điểm khác biệt lớn: không có thứ gì đáng giá để kẻ xấu chặn lấy giữa đường.
Vì sao nó có thể thay thế mật khẩu
Mật khẩu có ba điểm yếu cố hữu. Thứ nhất, con người đặt mật khẩu dễ đoán hoặc dùng lại ở nhiều nơi. Thứ hai, mật khẩu có thể bị lừa lấy đi qua trang giả mạo. Thứ ba, khi một nơi nào đó bị lộ dữ liệu, mật khẩu của hàng triệu người rơi theo.
Passkey xử lý cả ba. Không có gì để đặt yếu hay dùng lại, vì mỗi dịch vụ có một cặp khóa riêng. Passkey còn gắn với đúng tên miền của dịch vụ thật, nên nếu bạn lỡ vào một trang giả, thiết bị đơn giản sẽ không đưa ra chữ ký, thay vì để bạn tự tay gõ lộ mọi thứ. Và máy chủ chỉ giữ khóa công khai, vốn vô dụng với kẻ trộm nếu thiếu khóa riêng. Đây là lý do passkey được xem là hình thức chống lừa đảo giả mạo tốt hơn hẳn mật khẩu kèm mã gửi qua tin nhắn.
Thiết lập trên điện thoại, từng bước
Quy trình cụ thể phụ thuộc vào việc dịch vụ có hỗ trợ passkey hay chưa, nên bạn hãy tự xem trong phần bảo mật của tài khoản, đừng tin lời mời gọi từ tin nhắn lạ. Nếu tính năng có sẵn, các bước thường như sau.
- Chuẩn bị điện thoại: cập nhật hệ điều hành, bật khóa màn hình bằng vân tay, khuôn mặt hoặc mã số đủ mạnh. Passkey chỉ an toàn bằng lớp khóa máy của bạn.
- Mở phần cài đặt bảo mật trong tài khoản và chọn tạo passkey. Tự gõ địa chỉ hoặc mở từ dấu trang chính tay bạn lưu, không bấm vào liên kết nhận được qua tin nhắn.
- Xác nhận bằng sinh trắc học khi điện thoại hỏi. Hệ thống sẽ lưu khóa riêng vào kho khóa của máy, như chiếc két nhỏ nằm sẵn trong thiết bị.
- Kiểm tra bằng cách đăng xuất rồi đăng nhập lại bằng passkey ngay lúc đó, khi bạn còn đang tỉnh táo và còn phương án dự phòng trong tay.
- Bật đồng bộ kho khóa của hệ điều hành nếu bạn muốn passkey có mặt trên nhiều thiết bị. Việc này tiện, nhưng đồng nghĩa tài khoản đám mây của bạn trở thành cửa vào, nên hãy bảo vệ nó thật kỹ.
Ưu điểm và nhược điểm cần nhìn thẳng
Ưu điểm rõ nhất là chống giả mạo, không phải nhớ gì, đăng nhập nhanh chỉ bằng một lần chạm. Bạn cũng không còn phải lo chuyện đặt mật khẩu có đủ dài hay chưa.
Nhược điểm thì bạn nên biết trước khi đặt cược toàn bộ vào nó. Passkey phụ thuộc vào thiết bị: mất điện thoại mà chưa đồng bộ hay chưa có cách khôi phục thì việc quay lại tài khoản sẽ vất vả. Không phải dịch vụ nào cũng hỗ trợ, và việc chuyển passkey giữa các hệ sinh thái khác nhau đôi khi còn chưa mượt. Ngoài ra, ai cầm được điện thoại đã mở khóa của bạn cũng có thể hưởng lợi, nên mã mở máy yếu hay để lộ cho người quen là lỗ hổng thật. Cuối cùng, nếu quy trình khôi phục tài khoản quá lỏng, kẻ xấu sẽ đi vòng qua passkey bằng đường khôi phục, giống như cửa chính khóa kín nhưng cửa sổ để ngỏ.
Lộ trình chuyển đổi an toàn
Đừng xóa mật khẩu cũ ngay trong ngày đầu. Hãy đi từng bước, như người thợ in kiểm bản thử trước khi chạy cả loạt.
- Trước hết củng cố cái đang có: mật khẩu dài, duy nhất, và bật xác thực hai lớp nếu chưa có.
- Thêm passkey như một cách đăng nhập bổ sung, chạy song song vài tuần để chắc nó hoạt động ổn trên các thiết bị bạn dùng.
- Cất mã khôi phục hoặc phương án dự phòng ở nơi an toàn và tách biệt, chẳng hạn một cuốn sổ giấy trong ngăn khóa, đừng chụp ảnh để trong thư viện ảnh.
- Khi đã tin, hạn chế dần việc đăng nhập bằng mật khẩu nếu dịch vụ cho phép, và rà lại danh sách thiết bị đang được đăng nhập.
- Định kỳ kiểm tra: thiết bị nào còn giữ passkey, thiết bị nào đã bán hoặc đổi thì gỡ khỏi tài khoản.
Những sai lầm thường gặp
Sai lầm đầu tiên là tin rằng có passkey rồi thì khỏi cần cẩn trọng với liên kết lạ. Passkey chặn được nhiều kiểu giả mạo, nhưng người ta vẫn có thể lừa bạn bằng lời nói để bạn tự tay đổi cài đặt hoặc đọc mã. Sai lầm thứ hai là đặt mã mở máy quá dễ đoán, kiểu ngày sinh hay dãy số liền nhau. Thứ ba là không chuẩn bị đường lui, để đến khi mất máy mới hoảng. Thứ tư là chia sẻ điện thoại đã mở khóa cho người khác "đăng nhập giùm". Một chiếc con dấu cũng chỉ có giá trị khi chủ nhân không cho ai mượn.
Cuối cùng, hãy giữ đúng nguyên tắc cũ nhưng quan trọng: không đọc mã OTP hay mã khôi phục cho bất kỳ ai tự xưng là hỗ trợ, và chỉ thao tác trong phần cài đặt của chính tài khoản mà bạn tự mở.
Passkey chưa phải đích đến của mọi thứ, nhưng nó là bước tiến thực chất so với chữ ký ai cũng bắt chước được. Với B52club, cách làm khôn ngoan là chuyển dần, có dự phòng, và luôn giữ thói quen tự gõ địa chỉ, tự kiểm tra phần bảo mật.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.
Tham khảo thông tin tại B52 club.