Passkey là gì? Cơ chế hoạt động như thế nào?

[whf]

Passkey là gì?​

Passkey (kết hợp từ “pass” + “key”) được phát triển bởi FIDO Alliance, một tổ chức với sứ mệnh tạo ra các tiêu chuẩn xác thực mới nhằm giảm bớt sự phụ thuộc của nhân loại vào mật khẩu. Nếu bạn có một khóa bảo mật như YubiKey bạn đã quen thuộc với một trong những phát triển của FIDO Alliance.

Passkey là bước tiếp theo trong quá trình tiến hóa của công nghệ xác thực mới. Các phát triển trước đây của FIDO Alliance tập trung vào các yếu tố xác thực bổ sung, các tùy chọn xác thực đăng nhập bổ sung hoạt động cùng với mật khẩu, mà mọi người đều ghét. Ngược lại, passkey được thiết kế không phải để bổ sung mà là để thay thế mật khẩu.

Các công ty công nghệ lớn Apple, Google, và Microsoft đã tích hợp hỗ trợ cho công nghệ này vào cơ sở hạ tầng của họ để cho phép người dùng từ bỏ mật khẩu. Google đang lên kế hoạch khuyến khích người dùng làm điều này trong tương lai gần.

Thật không may, FIDO Alliance không cung cấp một bản dịch chuẩn cho thuật ngữ “passkey” từ tiếng Anh sang bất kỳ ngôn ngữ nào khác. Do đó trong bài này sẽ giữ nguyên thuật ngữ “passkey”.

Cơ chế hoạt động của passkey​

Passkey hoàn toàn có thể thay thế mật khẩu, loại bỏ rắc rối trong việc nhớ nhớ các chuỗi ký tự.

Đây là cách passkey hoạt động. Khi người dùng đăng ký một passkey trên một dịch vụ, một cặp khóa mã hóa liên quan được tạo ra, một khóa riêng tư và một khóa công khai. Điều này được gọi là mật mã hóa khóa công khai. Cơ bản là nếu bạn mã hóa một thứ gì đó với khóa công khai, nó chỉ có thể được giải mã bằng khóa riêng tư.

Vì vậy, khóa riêng tư ở lại trên thiết bị của người dùng, trong khi khóa công khai được gửi đến dịch vụ. Hai khóa này sau đó được sử dụng để mã hóa thông điệp khi người dùng đăng nhập vào dịch vụ:

1. Dịch vụ gửi cho người dùng một yêu cầu được mã hóa bằng khóa công khai, chứa một số ngẫu nhiên rất lớn.
2. Thiết bị của người dùng yêu cầu họ xác nhận rằng họ thực sự là người dùng đó. Thông thường, điều này được thực hiện thông qua sinh trắc học, như đặt ngón tay lên cảm biến hoặc nhìn vào camera, nhưng cũng có thể sử dụng mã PIN.
3. Khi xác nhận thành công, thiết bị của người dùng giải mã yêu cầu từ dịch vụ bằng khóa riêng tư và lấy ra số ngẫu nhiên từ nó. Không có khóa riêng tư, không ai có thể giải mã thông điệp này một cách chính xác và lấy được số bí mật.
4. Dựa vào số ngẫu nhiên này từ yêu cầu của dịch vụ, thiết bị của người dùng tạo ra một chữ ký số với một thuật toán nhất định, nó tính toán một số rất lớn mới và gửi trả lại cho dịch vụ.
5. Cuối cùng, phía dịch vụ thực hiện các phép tính chính xác tương tự và so sánh kết quả. Nếu số được tính toán khớp với số nhận được từ thiết bị của người dùng thì yêu cầu đã được giải mã chính xác. Do đó, người dùng sở hữu khóa riêng tư tương ứng, và họ phải được ủy quyền trong dịch vụ.
6. Cuối cùng, dịch vụ này thực hiện các phép tính giống hệt nhau và so sánh kết quả. Nếu số được tính toán khớp với số nhận được từ thiết bị của người dùng thì yêu cầu đã được giải mã chính xác và người dùng được đăng nhập.

Như bạn thấy, cơ chế này khá phức tạp khi nhìn vào bên trong. Tuy nhiên nếu bạn chỉ là người dùng thông thường, thì nó rất đơn giản: bạn chỉ cần nhấn nút “Đăng nhập” và đặt ngón tay lên cảm biến (hoặc nhìn vào camera). Tất cả công việc phức tạp được thực hiện ở trong điện thoại thông minh hoặc máy tính của bạn.

Tại sao lại cần đến passkey?​

Passkey là một mũi tên trúng 2 đích nhằm cùng lúc tăng cường an ninh và đơn giản hóa cuộc sống của người dùng. Mục tiêu tăng cường an ninh được đạt được bằng cách thay thế mật khẩu, không quá đáng tin cậy, bằng khóa mã hóa cực kỳ mạnh mẽ. Mục tiêu đơn giản hóa cuộc sống được thực hiện bằng cách loại bỏ nhu cầu người dùng phải nghĩ ra cái gì đó và phải nhớ nó.
Như vậy, passkeys được thiết kế để cung cấp mức độ an ninh cao mà không yêu cầu bất kỳ nỗ lực nào từ phía người dùng.