Thời đại của mật khẩu đã kết thúc
Nhiều công ty hiện tại đã bắt đầu chuyển từ mật khẩu (chữ, số…) vốn không an toàn sang các phương pháp xác thực khác.
Đầu những năm 1960, giáo sư Fernando Corbató của MIT đang phát triển một loại hệ thống máy tính dùng chung và muốn có một cách để mọi người có thể bảo vệ các tệp riêng tư. Giải pháp của ông ấy là mật khẩu.
Trong những năm qua, mật khẩu đã trở thành cách tiêu chuẩn để đăng nhập vào hầu hết mọi thứ, ở mọi nơi.
Tuy nhiên, mật khẩu vốn dĩ không an toàn. Chúng có thể bị đ.ánh cắp hoặc bị dò ra bằng phương pháp brute-forced do mọi người chủ yếu đặt mật khẩu yếu, hoặc tệ hơn nữa là sử dụng một mật khẩu cho nhiều tài khoản.
Mật khẩu đang dần bị thay thế bởi các phương pháp xác thực an toàn hơn. Ảnh: Andrea D’Aquino
Các trình quản lý mật khẩu như Dashlane, Bitwarden, 1Password có thể hỗ trợ quản lý tất cả mật khẩu của bạn, thậm chí gợi ý những mật khẩu mạnh. Nhưng quản lý mật khẩu chỉ là một phần khi nói đến vấn đề bảo mật, mấu chốt của việc này loại bỏ hoàn toàn mật khẩu và chuyển sang sử dụng các phương pháp xác thực khác an toàn hơn.
Vào tháng 3-2021, Microsoft đã thông báo rằng một số khách hàng có thể sử dụng dịch vụ mà không cần mật khẩu. Quá trình chuyển đổi từ mật khẩu sang các phương pháp xác thực khác hiện đã được các công ty lớn triển khai, đơn cử như Okta, Duo, Google, Apple…
Video đang HOT
Vừa qua, Google đã chính thức hỗ trợ Passkey, cho phép người dùng đăng nhập không cần mật khẩu trên trình duyệt Chrome và cả Android. Passkey được giới thiệu lần đầu tiên vào tháng 5-2022 bởi Liên minh FIDO, được Apple và Microsoft hậu thuẫn nhằm mục đích thay thế mật khẩu tiêu chuẩn bằng các khóa kỹ thuật số duy nhất, lưu trữ cục bộ trên thiết bị.
Theo Google, Passkey là sự thay thế an toàn cho mật khẩu và các yếu tố xác thực khác. Chúng không thể được sử dụng lại, không bị rò rỉ khi máy chủ bị tấn công và bảo vệ người dùng khỏi các cuộc tấn công l.ừa đ.ảo.
Khi đăng nhập vào một trang web hoặc ứng dụng bất kỳ, thay vì nhập mật khẩu, bạn sẽ nhận được lời nhắc nhập mã gồm 6 chữ số từ ứng dụng xác thực, nhấp vào thông báo, vân tay, khuôn mặt…
Tương lai không mật khẩu
Mật khẩu vốn đóng vai trò quan trọng, nhưng hiện không còn an toàn và các công ty như Apple, Microsoft muốn loại bỏ hoàn toàn.
Mật khẩu là chuỗi ký tự được sử dụng để xác nhận danh tính của người dùng. Trong thời đại kỹ thuật số, đây là thứ không thể thiếu để đăng nhập phần mềm hoặc mạng máy tính. Gần đây, mật khẩu đã tiến hóa lên mức cao hơn, chẳng hạn xác thực bằng vân tay, mống mắt, khuôn mặt... nhưng phổ biến hơn cả là xác thực đa yếu tố.
Người dùng trong tương lai có thể không còn gặp các rào cản về mật khẩu. Ảnh: WSJ
Tuy vậy, dù bằng cách nào, mật khẩu vẫn được xem là điểm yếu lớn nhất trong một mắt xích của hệ thống bảo mật. Hàng loạt vụ hack mật khẩu diễn ra, được thực hiện với cả những hacker không cần quá am hiểu về công nghệ. Theo công ty an ninh mạng Group-IB, riêng mùa hè này đã có hơn 130 tổ chức bị hacker ghé thăm, gây thiệt hại cho hàng triệu người dùng.
Con người - điểm yếu lớn nhất
Mật khẩu được cho là không còn an toàn khi ngày càng dài và khó nhớ. Người dùng phải sử dụng trình quản lý riêng và các trình này cũng không bảo mật như quảng cáo.
Việc sử dụng mật khẩu cũng có liên quan đến yếu tố con người. Do đó, Google, Amazon, Nvidia và hàng trăm công ty công nghệ lớn khác xác định đây lỗ hổng bảo mật lớn nhất, từ đó áp dụng chiến thuật không tin ai cả.
"Dù bảo mật cỡ nào, hệ thống vẫn có thể bị hack nếu bị con người kiểm soát", Ofer Maor, Giám đốc công nghệ và đồng sáng lập công ty ứng phó sự cố an ninh mạng Mitiga, cho biết. "Vài tháng qua, các cuộc tấn công được ghi nhận ngày một nhiều, nhất là cách thức tấn công qua xác thực hai yếu tố. Bất kể công ty lớn hay nhỏ, tất cả đều rơi vào cùng một cuộc tấn công dồn dập và bị dồn ép".
Chẳng hạn, trong vụ tấn công Uber gần đây, một quản trị hệ thống thuộc nhà thầu được Uber thuê đã cảm thấy mệt mỏi vì bị spam tin nhắn yêu cầu ủy quyền đăng nhập vào tài khoản. Ông sau đó đã vô thức bấm chấp nhận, khiến hệ thống bị xâm nhập.
Tương lai không mật khẩu
Theo các chuyên gia, với một hệ thống không mật khẩu, mọi thứ lại khác. Trong trường hợp này, thông tin xác thực được truyền từ thiết bị số đến Internet, con người không thể đọc. Tất cả thông tin liên lạc được mã hóa, danh tính của người dùng được xác minh khi thiết bị, như smartphone, gửi mã xác thực một lần mà chỉ điện thoại đó mới có thể tạo ra. Bằng cách này, smartphone sẽ trở thành mật khẩu.
Với việc dùng thiết bị số làm phương thức xác thực, độ an toàn cũng tăng lên, bởi việc đ.ánh cắp điện thoại và đăng nhập khó khăn hơn, nhất là khi chúng được bảo vệ bởi sinh trắc học như khuôn mặt hoặc vân tay. Đây cũng là một trong những lý do cảm biến sinh trắc học đang xuất hiện nhiều hơn trên laptop, PC và nhiều loại thiết bị khác.
"Một hệ thống như vậy sẽ không phải đối mặt với khả năng xảy ra các cuộc tấn công l.ừa đ.ảo vì đã loại bỏ hoàn toàn liên kết yếu nhất là con người khỏi quá trình đăng nhập", Andrew Shikiar, đứng đầu Liên minh Xác thực trực tuyến thế giới FIDO Alliance, cho biết. Liên minh này đã hoạt động hơn 10 năm qua, có nhiều thành viên là các công ty nổi tiếng như Apple, Google và Microsoft.
Giữa tháng 5, Apple, Google và Microsoft đưa ra thông báo chung liên quan đến việc đăng nhập không cần mật khẩu. Đây là tiêu chuẩn do FIDO Alliance và World Wide Web Consortium tạo ra. Theo đó, mỗi thiết bị có một mã nhận diện riêng biệt do FIDO cấp dùng để đăng nhập vào các website, ứng dụng khác nhau mà không cần mật khẩu. Apple, Google và Microsoft đã hỗ trợ tiêu chuẩn này trên các nền tảng của mình bằng cách cho phép người dùng vào tài khoản bằng các phương pháp xác thực sinh trắc học.
Xác thực dựa trên thiết bị để thay mật khẩu không mới. Trong hơn một thập kỷ, một số công ty có hệ thống đặc biệt an toàn thường yêu cầu người quản trị cắm USB chuyên dụng chứa mã mở khóa. Hệ thống sẽ không kết nối với mạng công ty hoặc chính phủ nếu không có chúng. Tuy nhiên, theo báo cáo từ Hypr tính đến giữa 2022, chỉ có 16% cung cấp cho nhân viên tùy chọn đăng nhập không mật khẩu.
Theo Todd McKinnon, CEO của Okta, mật khẩu vẫn được sử dụng là nhờ tính tiện dụng và công nghệ về bảo mật ở mức độ an toàn cao chưa được chú trọng đúng mức. Tuy nhiên, sự phổ biến của cảm biến sinh trắc học trong các thiết bị số hiện nay giúp cho việc triển khai bảo mật không mật khẩu trở nên khả thi.
"Mười năm trước, bạn không có Touch ID, Face ID hay Windows Hello. Nhưng giờ chúng có thể hỗ trợ đăng nhập vào hệ thống một cách dễ dàng", McKinnon cho biết.
Còn theo Shikiar, xác thực dựa trên thiết bị đang có bước tiến nhảy vọt và an toàn hơn các hệ thống dựa trên mật khẩu ngày nay. Tuy nhiên, tùy thuộc vào mức độ an toàn mà một tổ chức muốn tạo ra hệ thống của mình, quá trình này chỉ nên là bước khởi đầu để vô hiệu hóa các nguy cơ tấn công, các bước sau vẫn phải cần đến mật khẩu để xác thực.
Bên cạnh các ưu điểm, hệ thống không có mật khẩu có thể gây ra nhiều bất tiện. Chẳng hạn, làm cách nào để lấy lại mật khẩu đã mất nếu người quản trị chỉ được giao thiết bị mở khóa mà không biết cách khôi phục. Nếu quá trình khôi phục quá khó khăn, nhân viên có thể bị khóa tài khoản và không thể thực hiện công việc của mình.
Mặt khác, nếu quá trình khôi phục tài khoản quá dễ dàng, hệ thống có nguy cơ bị xâm nhập. "Đối với nhiều công ty, bạn phải gọi đến bộ phận trợ giúp và tự nhận mình là người đó", Weinert nói. "Điều này mở ra cơ hội cho những kẻ tấn công có thể lách qua bằng cách thuyết phục người ở cấp cao hơn đăng ký thiết bị khách vào hệ thống công ty mà không cần đ.ánh cắp thông tin đăng nhập".
Maor tin rằng các hệ thống đăng nhập không cần mật khẩu sẽ là xu hướng bảo mật tiếp theo. Tuy nhiên, ông đ.ánh giá nó cần phải được tuân thủ nghiêm ngặt các yêu cầu khi vận hành. "Tôi đã làm việc trong lĩnh vực bảo mật 30 năm. Thực tế là với hầu hết mọi giải pháp, sự cân bằng giữa an toàn và sự thuận tiện sẽ để lại lỗ hổng, từ đó hacker vẫn có thể xâm nhập", Maor nói thêm.
Mỗi giây có gần 1.000 cuộc tấn công đ.ánh cắp mật khẩu trên thế giới Mật khẩu là mục tiêu phổ biến của tin tặc nhưng nhiều người hiện nay không có thói quen bảo vệ mật khẩu để tránh các nguy cơ bị đ.ánh cắp tài khoản. Thậm chí theo một thống kê mới nhất, mỗi giây trôi qua có tới 1000 cuộc tấn công đ.ánh cắp mật khẩu tài khoản. Số liệu thống kê mới nhất...
