Passkey và xu hướng đăng nhập không mật khẩu khi dùng Hitclub
Có một thời tôi gõ bản thảo nào cũng phải chép lại dòng mật khẩu bằng tay, rồi nơm nớp sợ tờ giấy ấy lọt vào mắt người lạ. Gần đây trên bàn máy chữ của tôi có thêm một thứ khác: một con dấu riêng, không bao giờ rời khỏi túi áo, đóng xuống là trang giấy được công nhận. Passkey chính là con dấu ấy trong thế giới tài khoản số. Với người dùng Hitclub, hiểu passkey là hiểu một cách đăng nhập mà dòng mật khẩu viết tay dần biến khỏi trang giấy.
Ảnh: Petter Lagson / Unsplash
Passkey và WebAuthn là gì, nói bằng tiếng gõ phím
WebAuthn là bộ quy tắc chung do các hãng công nghệ lớn thống nhất, cho phép trang web xác minh bạn mà không cần biết một dòng bí mật nào của bạn. Passkey là cái tên thân thiện người ta đặt cho thông tin đăng nhập làm theo quy tắc đó. Bản chất là một cặp khóa. Một nửa, khóa công khai, được gửi cho Hitclub lưu giữ, giống bản mẫu nét dấu mà thư viện giữ lại để đối chiếu. Nửa còn lại, khóa riêng, nằm im trong điện thoại hoặc máy tính của bạn và không bao giờ bị gửi đi đâu.
Khi đăng nhập, trang web đưa ra một thử thách ngẫu nhiên. Thiết bị của bạn dùng khóa riêng để ký lên thử thách đó, và trang web dùng khóa công khai để kiểm chữ ký. Bạn không gõ gì, không đọc gì cho ai nghe. Chỉ có chữ ký, mà chữ ký ấy chỉ có giá trị đúng một lần, đúng với đúng trang web đó.
Vì sao nó thay được mật khẩu
Mật khẩu có ba điểm yếu cố hữu. Một là bạn phải nhớ nên hay chọn dòng dễ nhớ, mà dễ nhớ thì dễ đoán. Hai là mật khẩu có thể bị đọc trộm, lừa lấy hoặc bị lộ khi nơi lưu giữ bị tấn công. Ba là người ta quen dùng chung một dòng cho nhiều nơi, nên một chỗ hở kéo theo nhiều chỗ đổ.
Passkey xử lý gọn cả ba. Không có gì để nhớ, vì khóa riêng nằm trong thiết bị. Không có gì để đọc trộm, vì trang web chưa từng nhận khóa riêng. Và mỗi passkey chỉ gắn với một trang, nên chuyện dùng chung một dòng cho nhiều nơi không còn đất sống. Đặc biệt, passkey có tính chống lừa đảo giả mạo: thiết bị chỉ ký khi trang đang mở thực sự khớp với trang đã đăng ký. Một trang giả dán đè mặt nạ lên cũng không nhận được chữ ký, như con dấu đóng sai chỗ thì chẳng có hiệu lực.
Thiết lập trên điện thoại, từng bước
Các bước cụ thể có thể khác đôi chút tùy hệ điều hành, nhưng mạch chung thì giống nhau.
- Chuẩn bị điện thoại: cập nhật hệ điều hành, đặt khóa màn hình bằng vân tay, khuôn mặt hoặc mã PIN. Passkey cần một cách xác nhận bạn đang cầm máy.
- Bật dịch vụ lưu mật khẩu và passkey của điện thoại, ví dụ kho khóa của hệ điều hành hoặc trình quản lý mật khẩu bạn tin dùng, kèm đồng bộ có mã hóa để khỏi mất khi đổi máy.
- Đăng nhập Hitclub như thường lệ, vào phần bảo mật của tài khoản và tìm mục tạo passkey hoặc đăng nhập không mật khẩu, nếu trang có hỗ trợ ở thời điểm bạn dùng.
- Làm theo hướng dẫn: máy sẽ hỏi bạn có muốn lưu passkey không, bạn xác nhận bằng vân tay hoặc khuôn mặt.
- Thử ngay: đăng xuất rồi đăng nhập lại bằng passkey để chắc mọi thứ chạy tốt, nhưng chưa vội xóa mật khẩu cũ.
Tôi nhấn mạnh bước cuối, bởi người gõ máy lâu năm không bao giờ xé bản gốc trước khi chắc bản in đã sạch.
Ưu điểm và nhược điểm, đọc lại cho công bằng
Ưu điểm rõ nhất là nhanh và an toàn hơn. Một cái chạm vân tay thay cho cả dòng ký tự dài, và kẻ gian không còn gì để lừa bạn đọc ra. Passkey cũng loại bỏ gần như hoàn toàn nguy cơ lộ mật khẩu hàng loạt, vì phía máy chủ chỉ giữ khóa công khai, thứ có đánh cắp cũng vô dụng.
Nhưng tôi không muốn viết như quảng cáo. Nhược điểm có thật. Thứ nhất, mọi thứ dồn vào thiết bị của bạn: mất máy mà không có đồng bộ hay cách khôi phục thì khá rắc rối. Thứ hai, không phải dịch vụ nào cũng đã hỗ trợ passkey, nên bạn sẽ sống chung với mật khẩu một thời gian dài. Thứ ba, ai mượn được điện thoại đã mở khóa của bạn có thể dùng passkey, nên khóa màn hình vẫn phải đủ chắc. Thứ tư, quy trình khi chuyển giữa các hệ sinh thái, như từ máy này sang máy kia khác hãng, đôi khi còn lằng nhằng.
Lộ trình chuyển đổi an toàn
Đừng đổi hết trong một buổi. Tôi khuyên đi theo ba chặng.
Chặng một, củng cố nền móng: mật khẩu hiện tại phải mạnh, duy nhất, và xác thực hai lớp phải đang bật. Chặng này không bỏ đi dù sau đó bạn dùng passkey.
Chặng hai, chạy song song: tạo passkey trên điện thoại chính, giữ nguyên mật khẩu như phương án dự phòng. Dùng passkey vài tuần để làm quen và phát hiện trục trặc.
Chặng ba, tinh gọn: khi đã thật yên tâm, bổ sung passkey trên một thiết bị thứ hai hoặc đảm bảo cách khôi phục rõ ràng, rồi mới cân nhắc rút bớt phương thức đăng nhập cũ nếu trang cho phép. Luôn giữ kênh khôi phục tài khoản, như email hoặc số điện thoại, ở trạng thái an toàn và còn dùng được.
Sai lầm thường gặp
- Tạo passkey nhưng không bật đồng bộ hay sao lưu, đổi máy là mất hết.
- Đặt khóa màn hình quá yếu, ví dụ dãy số dễ đoán, làm hỏng toàn bộ lớp bảo vệ.
- Cho người khác mượn máy đã mở khóa để vào tài khoản.
- Xóa mật khẩu cũ khi chưa thử passkey trên ít nhất hai lần đăng nhập.
- Tin vào tin nhắn lạ bảo "kích hoạt passkey giúp bạn" rồi bấm đường dẫn. Hãy tự mở ứng dụng hoặc trang chính thức, thao tác từ bên trong.
Lưu ý 18+ và chơi có trách nhiệm
Hitclub là hình thức giải trí trực tuyến chỉ dành cho người đủ 18 tuổi trở lên. Bạn cần tuân thủ pháp luật tại nơi mình cư trú và chỉ tham gia khi việc đó hợp pháp ở đó. Hãy xem đây là thú vui giải trí, tự đặt giới hạn về thời gian và ngân sách, không dùng khoản tiền thiết yếu, và tự chịu trách nhiệm với lựa chọn của mình. Bảo mật tốt giúp tài khoản an toàn, nhưng chỉ sự tỉnh táo của chính bạn mới giữ cho việc giải trí luôn lành mạnh.
Khi con dấu đã nằm yên trong túi áo, bản thảo của bạn không còn cần dòng viết tay dễ phai nữa. Gõ nốt dấu chấm, rút trang ra, và nhớ rằng người cầm con dấu cuối cùng luôn là bạn.
Tham khảo thông tin tại nhà cái Hit Club.