Thời đại của mật khẩu đã kết thúc

TIỂU MINH20:06 21/11/2022

Nhiều công ty hiện tại đã bắt đầu chuyển từ mật khẩu (chữ, số…) vốn không an toàn sang các phương pháp xác thực khác.

Đầu những năm 1960, giáo sư Fernando Corbató của MIT đang phát triển một loại hệ thống máy tính dùng chung và muốn có một cách để mọi người có thể bảo vệ các tệp riêng tư. Giải pháp của ông ấy là mật khẩu.

Trong những năm qua, mật khẩu đã trở thành cách tiêu chuẩn để đăng nhập vào hầu hết mọi thứ, ở mọi nơi.

Tuy nhiên, mật khẩu vốn dĩ không an toàn. Chúng có thể bị đánh cắp hoặc bị dò ra bằng phương pháp brute-forced do mọi người chủ yếu đặt mật khẩu yếu, hoặc tệ hơn nữa là sử dụng một mật khẩu cho nhiều tài khoản.

Mật khẩu đang dần bị thay thế bởi các phương pháp xác thực an toàn hơn. Ảnh: Andrea D’Aquino

Các trình quản lý mật khẩu như Dashlane, Bitwarden, 1Password có thể hỗ trợ quản lý tất cả mật khẩu của bạn, thậm chí gợi ý những mật khẩu mạnh. Nhưng quản lý mật khẩu chỉ là một phần khi nói đến vấn đề bảo mật, mấu chốt của việc này loại bỏ hoàn toàn mật khẩu và chuyển sang sử dụng các phương pháp xác thực khác an toàn hơn.

Vào tháng 3-2021, Microsoft đã thông báo rằng một số khách hàng có thể sử dụng dịch vụ mà không cần mật khẩu. Quá trình chuyển đổi từ mật khẩu sang các phương pháp xác thực khác hiện đã được các công ty lớn triển khai, đơn cử như Okta, Duo, Google, Apple…

Video đang HOT

Vừa qua, Google đã chính thức hỗ trợ Passkey, cho phép người dùng đăng nhập không cần mật khẩu trên trình duyệt Chrome và cả Android. Passkey được giới thiệu lần đầu tiên vào tháng 5-2022 bởi Liên minh FIDO, được Apple và Microsoft hậu thuẫn nhằm mục đích thay thế mật khẩu tiêu chuẩn bằng các khóa kỹ thuật số duy nhất, lưu trữ cục bộ trên thiết bị.

Theo Google, Passkey là sự thay thế an toàn cho mật khẩu và các yếu tố xác thực khác. Chúng không thể được sử dụng lại, không bị rò rỉ khi máy chủ bị tấn công và bảo vệ người dùng khỏi các cuộc tấn công lừa đảo.

Khi đăng nhập vào một trang web hoặc ứng dụng bất kỳ, thay vì nhập mật khẩu, bạn sẽ nhận được lời nhắc nhập mã gồm 6 chữ số từ ứng dụng xác thực, nhấp vào thông báo, vân tay, khuôn mặt…

Tương lai không mật khẩu

Mật khẩu vốn đóng vai trò quan trọng, nhưng hiện không còn an toàn và các công ty như Apple, Microsoft muốn loại bỏ hoàn toàn.

Mật khẩu là chuỗi ký tự được sử dụng để xác nhận danh tính của người dùng. Trong thời đại kỹ thuật số, đây là thứ không thể thiếu để đăng nhập phần mềm hoặc mạng máy tính. Gần đây, mật khẩu đã tiến hóa lên mức cao hơn, chẳng hạn xác thực bằng vân tay, mống mắt, khuôn mặt... nhưng phổ biến hơn cả là xác thực đa yếu tố.

Người dùng trong tương lai có thể không còn gặp các rào cản về mật khẩu. Ảnh: WSJ

Tuy vậy, dù bằng cách nào, mật khẩu vẫn được xem là điểm yếu lớn nhất trong một mắt xích của hệ thống bảo mật. Hàng loạt vụ hack mật khẩu diễn ra, được thực hiện với cả những hacker không cần quá am hiểu về công nghệ. Theo công ty an ninh mạng Group-IB, riêng mùa hè này đã có hơn 130 tổ chức bị hacker ghé thăm, gây thiệt hại cho hàng triệu người dùng.

Con người - điểm yếu lớn nhất

Mật khẩu được cho là không còn an toàn khi ngày càng dài và khó nhớ. Người dùng phải sử dụng trình quản lý riêng và các trình này cũng không bảo mật như quảng cáo.

Việc sử dụng mật khẩu cũng có liên quan đến yếu tố con người. Do đó, Google, Amazon, Nvidia và hàng trăm công ty công nghệ lớn khác xác định đây lỗ hổng bảo mật lớn nhất, từ đó áp dụng chiến thuật không tin ai cả.

"Dù bảo mật cỡ nào, hệ thống vẫn có thể bị hack nếu bị con người kiểm soát", Ofer Maor, Giám đốc công nghệ và đồng sáng lập công ty ứng phó sự cố an ninh mạng Mitiga, cho biết. "Vài tháng qua, các cuộc tấn công được ghi nhận ngày một nhiều, nhất là cách thức tấn công qua xác thực hai yếu tố. Bất kể công ty lớn hay nhỏ, tất cả đều rơi vào cùng một cuộc tấn công dồn dập và bị dồn ép".

Chẳng hạn, trong vụ tấn công Uber gần đây, một quản trị hệ thống thuộc nhà thầu được Uber thuê đã cảm thấy mệt mỏi vì bị spam tin nhắn yêu cầu ủy quyền đăng nhập vào tài khoản. Ông sau đó đã vô thức bấm chấp nhận, khiến hệ thống bị xâm nhập.

Tương lai không mật khẩu

Theo các chuyên gia, với một hệ thống không mật khẩu, mọi thứ lại khác. Trong trường hợp này, thông tin xác thực được truyền từ thiết bị số đến Internet, con người không thể đọc. Tất cả thông tin liên lạc được mã hóa, danh tính của người dùng được xác minh khi thiết bị, như smartphone, gửi mã xác thực một lần mà chỉ điện thoại đó mới có thể tạo ra. Bằng cách này, smartphone sẽ trở thành mật khẩu.

Với việc dùng thiết bị số làm phương thức xác thực, độ an toàn cũng tăng lên, bởi việc đánh cắp điện thoại và đăng nhập khó khăn hơn, nhất là khi chúng được bảo vệ bởi sinh trắc học như khuôn mặt hoặc vân tay. Đây cũng là một trong những lý do cảm biến sinh trắc học đang xuất hiện nhiều hơn trên laptop, PC và nhiều loại thiết bị khác.

"Một hệ thống như vậy sẽ không phải đối mặt với khả năng xảy ra các cuộc tấn công lừa đảo vì đã loại bỏ hoàn toàn liên kết yếu nhất là con người khỏi quá trình đăng nhập", Andrew Shikiar, đứng đầu Liên minh Xác thực trực tuyến thế giới FIDO Alliance, cho biết. Liên minh này đã hoạt động hơn 10 năm qua, có nhiều thành viên là các công ty nổi tiếng như Apple, Google và Microsoft.

Giữa tháng 5, Apple, Google và Microsoft đưa ra thông báo chung liên quan đến việc đăng nhập không cần mật khẩu. Đây là tiêu chuẩn do FIDO Alliance và World Wide Web Consortium tạo ra. Theo đó, mỗi thiết bị có một mã nhận diện riêng biệt do FIDO cấp dùng để đăng nhập vào các website, ứng dụng khác nhau mà không cần mật khẩu. Apple, Google và Microsoft đã hỗ trợ tiêu chuẩn này trên các nền tảng của mình bằng cách cho phép người dùng vào tài khoản bằng các phương pháp xác thực sinh trắc học.

Xác thực dựa trên thiết bị để thay mật khẩu không mới. Trong hơn một thập kỷ, một số công ty có hệ thống đặc biệt an toàn thường yêu cầu người quản trị cắm USB chuyên dụng chứa mã mở khóa. Hệ thống sẽ không kết nối với mạng công ty hoặc chính phủ nếu không có chúng. Tuy nhiên, theo báo cáo từ Hypr tính đến giữa 2022, chỉ có 16% cung cấp cho nhân viên tùy chọn đăng nhập không mật khẩu.

Theo Todd McKinnon, CEO của Okta, mật khẩu vẫn được sử dụng là nhờ tính tiện dụng và công nghệ về bảo mật ở mức độ an toàn cao chưa được chú trọng đúng mức. Tuy nhiên, sự phổ biến của cảm biến sinh trắc học trong các thiết bị số hiện nay giúp cho việc triển khai bảo mật không mật khẩu trở nên khả thi.

"Mười năm trước, bạn không có Touch ID, Face ID hay Windows Hello. Nhưng giờ chúng có thể hỗ trợ đăng nhập vào hệ thống một cách dễ dàng", McKinnon cho biết.

Còn theo Shikiar, xác thực dựa trên thiết bị đang có bước tiến nhảy vọt và an toàn hơn các hệ thống dựa trên mật khẩu ngày nay. Tuy nhiên, tùy thuộc vào mức độ an toàn mà một tổ chức muốn tạo ra hệ thống của mình, quá trình này chỉ nên là bước khởi đầu để vô hiệu hóa các nguy cơ tấn công, các bước sau vẫn phải cần đến mật khẩu để xác thực.

Bên cạnh các ưu điểm, hệ thống không có mật khẩu có thể gây ra nhiều bất tiện. Chẳng hạn, làm cách nào để lấy lại mật khẩu đã mất nếu người quản trị chỉ được giao thiết bị mở khóa mà không biết cách khôi phục. Nếu quá trình khôi phục quá khó khăn, nhân viên có thể bị khóa tài khoản và không thể thực hiện công việc của mình.

Mặt khác, nếu quá trình khôi phục tài khoản quá dễ dàng, hệ thống có nguy cơ bị xâm nhập. "Đối với nhiều công ty, bạn phải gọi đến bộ phận trợ giúp và tự nhận mình là người đó", Weinert nói. "Điều này mở ra cơ hội cho những kẻ tấn công có thể lách qua bằng cách thuyết phục người ở cấp cao hơn đăng ký thiết bị khách vào hệ thống công ty mà không cần đánh cắp thông tin đăng nhập".

Maor tin rằng các hệ thống đăng nhập không cần mật khẩu sẽ là xu hướng bảo mật tiếp theo. Tuy nhiên, ông đánh giá nó cần phải được tuân thủ nghiêm ngặt các yêu cầu khi vận hành. "Tôi đã làm việc trong lĩnh vực bảo mật 30 năm. Thực tế là với hầu hết mọi giải pháp, sự cân bằng giữa an toàn và sự thuận tiện sẽ để lại lỗ hổng, từ đó hacker vẫn có thể xâm nhập", Maor nói thêm.

Mỗi giây có gần 1.000 cuộc tấn công đánh cắp mật khẩu trên thế giới Mật khẩu là mục tiêu phổ biến của tin tặc nhưng nhiều người hiện nay không có thói quen bảo vệ mật khẩu để tránh các nguy cơ bị đánh cắp tài khoản. Thậm chí theo một thống kê mới nhất, mỗi giây trôi qua có tới 1000 cuộc tấn công đánh cắp mật khẩu tài khoản. Số liệu thống kê mới nhất...

Bạn thấy bài viết này có hữu ích không?

Có;

Không

Tin liên quan

Xem thêm Share

Xem nhiều

Lễ đưa tang Kim Sae Ron: Mẹ ruột đi không vững trong giờ phút cuối cùng, dàn sao nghẹn ngào tiễn biệt01:06

Nam Thư bị chỉ trích vì mặc trang phục phản cảm, hớ hênh ngay trên thảm đỏ00:21

Lý Nhã Kỳ sau khi lộ bức ảnh xồ xề gây sốc: "Có thế lực nào đứng sau những trò ác ý này không?"00:33

Pha sang đường vỏn vẹn 16 giây của chiếc xe máy khiến hàng loạt phương tiện chao đảo00:16

Thảm đỏ hot nhất hôm nay: Lý Nhã Kỳ xuất hiện với visual lạ hoắc, một sao nữ Gen Z khoe vòng 1 đẹp ná thở01:49

Khả Như vào vai quỷ dữ, ăn thịt sống trong phim kinh dị02:29

Cindy Lư đáp trả khi bị nói ngoại tình, là nguyên nhân khiến Hoài Lâm tụt dốc không phanh00:18

Thách thức nhà vô địch thế giới, võ sĩ Trung Quốc bị đánh sưng mặt02:18

Nhan sắc con gái Lee Dong Gun (Chuyện Tình Paris) gây sốc00:40

Video từ camera an ninh ghi lại khoảnh khắc tuổi thơ của một đứa trẻ sụp đổ00:17

B Ray muốn tìm "ghệ mới" nhưng không quên "bóc phốt" người yêu cũ: Nói nhiều, ghen tuông, bào tiền?03:46

Tin đang nóng

Tin mới nhất

Nâng cao và biến đổi hình ảnh của bạn bằng trình chỉnh sửa video trực tuyến CapCut

15:45:56 16/01/2024

Đã đến lúc bỏ lại các công cụ chỉnh sửa cũ và chấp nhận giải pháp thay đổi cuộc chơi. Gặp gỡ Trình chỉnh sửa video trực tuyến CapCut - giải pháp sẽ nâng cao, nâng cao và cách mạng hóa thế giới sáng tạo nội dung trực quan của bạn

Cách đăng Facebook để có nhiều lượt thích và chia sẻ

22:01:27 21/12/2022

Chắc hẳn là ai trong chúng ta cũng luôn muốn các bài đăng trên Facebook có được nhiều lượt thích và chia sẻ. Tuy nhiên, làm thế nào để tối ưu bài đăng thì không phải ai cũng biết

Thêm nhiều bang của Mỹ cấm TikTok

21:03:46 21/12/2022

Louisiana và Tây Virginia là hai bang mới nhất cấm công chức sử dụng TikTok trên thiết bị công do lo ngại Trung Quốc có thể theo dõi người Mỹ và kiểm duyệt nội dung

Microsoft cấm khai thác tiền điện tử trên các dịch vụ đám mây để bảo vệ khách hàng

20:03:41 21/12/2022

Microsoft đã cập nhật thỏa thuận cấm khai thác tiền điện tử trên các dịch vụ trực tuyến của mình. Việc khai thác tiền điện tử trên dịch vụ của Microsoft cần có sự cho phép bằng văn bản của công ty, nhưng cũng chỉ nhằm mục đích thử nghiệ...

Facebook trấn áp hàng loạt công ty phần mềm gián điệp

20:01:24 21/12/2022

Meta (công ty mẹ của Facebook) cho biết họ đã ngăn chặn không dưới 200 hoạt động bí mật, trấn áp hàng loạt công ty phần mềm gián điệp kể từ năm 2017 tại khoảng 70 quốc gia

Meta đối mặt cáo buộc vi phạm các quy tắc chống độc quyền với mức phạt 11,8 tỷ đô

19:01:39 21/12/2022

Ủy ban Châu Âu - cơ quan điều hành của EU cho biết, đã phát hiện Meta vi phạm các quy tắc chống độc quyền của EU bằng cách bóp méo sự cạnh tranh trên thị trường quảng cáo trực tuyến. Meta có thể phải đối mặt với khoản tiền phạt lên tới ...

Không cần thăm dò, Musk nên sớm từ chức CEO Twitter

15:01:33 21/12/2022

Người dùng Twitter, các nhà đầu tư Tesla và chuyên gia phân tích trong ngành đều cho rằng Elon Musk nên sớm từ chức CEO Twitter

Đại lý Việt nhập iPhone 14 kiểu 'bia kèm lạc'

14:01:42 21/12/2022

Muốn nhập được các mẫu bán chạy như iPhone 14 Pro/Pro Max, các chuỗi đại lý bán lẻ ủy quyền của Apple bắt buộc phải nhập thêm hàng loạt phụ kiện đi kèm

Khai trương hệ thống vé điện tử và dịch vụ trải nghiệm thực tế ảo XR tại Quần thể Di tích Cố đô Huế

09:38:18 21/12/2022

Sáng 20/12, tại Ngọ Môn, Đại Nội Huế, Trung tâm Bảo tồn Di tích Cố đô Huế đã tổ chức Lễ Khai trương Hệ thống vé điện tử và dịch vụ trải nghiệm thực tế ảo XR

'Dở khóc dở cười' với tính năng trợ giúp người bị tai nạn ôtô của Apple

09:37:54 21/12/2022

Tính năng phát hiện tai nạn ôtô mới ra mắt trên Apple iPhone và Apple Watch sẽ tự động tìm kiếm sự trợ giúp từ bộ phận cấp cứu khi có nguy cơ xảy ra tai nạn