Apple Chính Thức Loại Bỏ Mật Khẩu—Lần Này Là Thực Sự

Mật khẩu của bạn quá tệ. Năm sau năm, những mật khẩu phổ biến nhất rò rỉ trong các vụ vi phạm dữ liệu là 123456, 123456789 và 12345—‘qwerty’ và ‘password’ đến gần sau—và việc sử dụng những mật khẩu yếu này khiến bạn dễ bị tấn công mọi loại. Mật khẩu yếu và lặp lại là một trong những rủi ro lớn nhất đối với cuộc sống trực tuyến của bạn.

Trong nhiều năm, chúng ta đã được hứa một tương lai an toàn hơn, không cần mật khẩu, nhưng có vẻ như năm 2022 sẽ thực sự là năm mà hàng triệu người bắt đầu từ bỏ mật khẩu. Tại Hội nghị phát triển toàn cầu của Apple hôm qua, công ty công bố sẽ triển khai đăng nhập không cần mật khẩu trên Mac, iPhone, iPad và Apple TV vào khoảng tháng 9 năm nay. Thay vì sử dụng mật khẩu, bạn sẽ có thể đăng nhập vào trang web và ứng dụng bằng cách sử dụng “Passkeys” với iOS 16 và macOS Ventura. Điều này là bước di chuyển thực tế lớn đầu tiên để loại bỏ mật khẩu.

Vậy làm thế nào nó hoạt động? Passkeys thay thế mật khẩu cũ mệt mỏi của bạn bằng cách tạo ra các khóa số mới sử dụng Touch ID hoặc Face ID, như Darin Adler, phó chủ tịch công nghệ internet của Apple, giải thích tại WWDC. Khi bạn tạo một tài khoản trực tuyến với một trang web, bạn có thể sử dụng Passkey thay vì mật khẩu. “Để tạo Passkey, chỉ cần sử dụng Touch ID hoặc Face ID để xác minh, và bạn xong,” Adler nói.

Khi bạn muốn đăng nhập lại trang web đó, Passkeys cho phép bạn chứng minh danh tính bằng cách sử dụng đặc điểm sinh học của bạn thay vì nhập một cụm từ mật khẩu (hoặc để trình quản lý mật khẩu thực hiện điều này cho bạn). Khi đăng nhập vào một trang web trên Mac, một cửa sổ thông báo sẽ xuất hiện trên iPhone hoặc iPad của bạn để xác minh danh tính. Apple cho biết Passkeys của họ sẽ đồng bộ qua các thiết bị của bạn bằng cách sử dụng Keychain của iCloud, và Passkeys được lưu trữ trên thiết bị của bạn thay vì trên máy chủ. (Việc sử dụng iCloud Keychain cũng sẽ giải quyết vấn đề mất mát hoặc hỏng hóc các thiết bị liên kết của bạn.) Dưới nắp, Passkeys của Apple dựa trên Web Authentication API (WebAuthn) và được mã hóa end-to-end để không ai có thể đọc chúng, kể cả Apple. Hệ thống tạo Passkeys sử dụng xác minh khóa công cộng-tư nhân để chứng minh bạn là ai bạn nói bạn là.

Hệ thống không cần mật khẩu sẽ là một bước tiến quan trọng cho an ninh trực tuyến của hầu hết mọi người. Ngoài việc loại bỏ mật khẩu dễ đoán, việc loại bỏ mật khẩu giảm khả năng bị tấn công lừa đảo thành công. Và mật khẩu không thể bị đánh cắp trong các vụ vi phạm dữ liệu nếu chúng không tồn tại từ đầu. (Một số ứng dụng và trang web đã cho phép người dùng đăng nhập bằng dấu vân tay hoặc nhận dạng khuôn mặt, nhưng thường yêu cầu bạn tạo tài khoản với mật khẩu trước.)

Passkeys của Apple không hoàn toàn mới—công ty đã chi tiết chúng lần đầu tại WWDC năm 2021 và bắt đầu thử nghiệm chúng ngay sau đó—và Apple không phải là người duy nhất muốn loại bỏ mật khẩu. Liên minh FIDO, một nhóm ngành công nghiệp công nghệ, đã làm việc về các tiêu chuẩn cơ bản cần thiết để loại bỏ mật khẩu gần một thập kỷ, và Passkeys của Apple là triển khai của công ty về những tiêu chuẩn này.

Trong những tháng gần đây, FIDO đã thực hiện một loạt bước quan trọng để đưa cái chết của mật khẩu gần hơn với hiện thực. Vào tháng 3, FIDO công bố đã tìm ra cách để lưu trữ các khóa mật mã đồng bộ giữa các thiết bị của mọi người, gọi chúng là “chứng chỉ FIDO đa thiết bị” hoặc “passkeys.”

Tháng 5 vừa qua, Apple, Microsoft và Google đã tuyên bố hỗ trợ cho các tiêu chuẩn FIDO. Jen Easterly, giám đốc Cơ quan An ninh và Hạ tầng Mạng của Hoa Kỳ, cho biết việc áp dụng các tiêu chuẩn sẽ giúp nhiều người an toàn hơn trực tuyến. Lúc đó, ba ông lớn công nghệ nói trên cho biết họ sẽ bắt đầu triển khai công nghệ này trong “suốt năm tới.” Chủ sở hữu tài khoản Microsoft đã có thể bỏ mật khẩu từ tháng 9 năm ngoái, và Google đã làm việc trên công nghệ không mật khẩu của mình từ năm 2008.

Khi tất cả các công ty công nghệ triển khai phiên bản của họ về passkeys, nó sẽ có khả năng hoạt động trên các thiết bị khác nhau—lý thuyết là, bạn có thể sử dụng iPhone để đăng nhập vào máy tính xách tay Windows, hoặc máy tính bảng Android để đăng nhập vào trang web trong Trình duyệt Edge của Microsoft. “Tất cả các thông số kỹ thuật của FIDO đều được phát triển một cách hợp tác, với đầu vào từ hàng trăm công ty,” nói Andrew Shikiar, giám đốc điều hành của Liên minh FIDO. Shikiar xác nhận rằng Apple là công ty đầu tiên bắt đầu triển khai công nghệ kiểu passkey và nói rằng điều này cho thấy “cách mà hướng tiếp cận này sẽ sớm trở nên rõ ràng đối với người tiêu dùng trên toàn thế giới.”

Bất kỳ thành công nào cho tương lai không cần mật khẩu đều phụ thuộc vào cách nó hoạt động trong thực tế. Hiện tại, vẫn còn những câu hỏi chưa có câu trả lời về việc bạn sẽ làm gì với Passkeys nếu bạn muốn rời khỏi hệ sinh thái của Apple để chuyển sang Android hoặc nền tảng khác. (Apple vẫn chưa trả lời yêu cầu của chúng tôi.) Và những nhà phát triển vẫn cần thực hiện các thay đổi để ứng dụng và trang web của họ có thể làm việc với Passkey. Ngoài ra, để có niềm tin vào bất kỳ hệ thống nào, người ta cần được giáo dục về cách nó hoạt động. “Bất kỳ giải pháp khả thi nào cũng phải an toàn, dễ sử dụng và nhanh hơn so với mật khẩu và các phương pháp xác minh đa yếu tố cổ điển được sử dụng ngày nay,” Alex Simons, trưởng bộ phận quản lý danh tính của Microsoft, nói vào tháng 5. Nói một cách đơn giản: Nếu hệ thống chuyển đối thiết bị làm phiền hoặc khó sử dụng, người ta có thể tránh chúng để chọn mật khẩu yếu nhưng thuận tiện.

Trong khi Passkey của Apple và các phiên bản tương đương của Google và Microsoft vẫn còn vài tháng nữa mới xuất hiện (ít nhất là vậy), điều đó không có nghĩa là bạn nên tiếp tục sử dụng mật khẩu yếu hoặc lặp lại của mình mà không làm gì cả. Mọi mật khẩu bạn sử dụng—cho dù đó là cho một tài khoản sử dụng một lần để mua vật liệu DIY hay tài khoản Facebook của bạn—đều nên mạnh mẽ và duy nhất. Đừng sử dụng các cụm từ thông thường, tên của bạn bè hoặc thú cưng, hoặc thông tin cá nhân liên quan đến bạn trong mật khẩu của mình.

Thay vào đó, mật khẩu của bạn nên dài và mạnh mẽ. Cách tốt nhất để đạt được điều này là sử dụng một quản lý mật khẩu, giúp bạn tạo ra và lưu trữ mật khẩu tốt hơn. Bạn có thể tìm thấy sự chọn lựa của chúng tôi về những quản lý mật khẩu tốt nhất tại đây. Và trong khi bạn đang nghĩ về an ninh của mình, hãy kích hoạt xác minh đa yếu tố cho nhiều tài khoản càng nhiều càng tốt.