Apple Passkeys hoạt động như thế nào? Làm thế nào để họ giữ cho bạn an toàn?

Hiện tại, có một cách chính để chúng tôi bảo mật truy cập trực tuyến: tên người dùng và mật khẩu. Tuy nhiên, ngay cả khi chúng ta tạo một mật khẩu dài, phức tạp và phức tạp, vẫn còn một điểm yếu chính trong thiết lập bảo mật này – đó là người dùng.

Hàng triệu người đã là nạn nhân của các trang web lừa đảo, kỹ thuật xã hội và các hình thức tấn công khác xâm phạm mật khẩu. Đó là lý do tại sao Apple muốn xóa mật khẩu và thay thế nó bằng các khóa mật khẩu.

Vì vậy, làm thế nào để khóa mật khẩu của Apple giải quyết vấn đề mật khẩu?

Tiêu chuẩn Xác thực Web (WebAuthn) là gì?

Tiêu chuẩn này được xuất bản bởi World Wide Web Consortium (W3C), một tổ chức chuyên xây dựng các giao thức và hướng dẫn để phát triển web dài hạn. Bằng cách phát triển công nghệ xác thực mới này, nhóm hy vọng sẽ giảm sự phụ thuộc của chúng ta vào mật khẩu như là cách chính hoặc duy nhất để bảo vệ dữ liệu của chúng ta.

Apple cũng là một thành viên của W3C và họ đang kết hợp tiêu chuẩn WebAuthn trong các khóa mật khẩu của Apple. Tính năng này cũng hoạt động với iCloud Keychain, vì vậy những người đã sử dụng dịch vụ này không cần phải di chuyển hệ thống của họ.

Bằng cách triển khai API WebAuthn, các nhà phát triển web và nhà sản xuất thiết bị đảm bảo xác thực sẽ hoạt động trên các hệ thống khác nhau. Vì vậy, cho dù bạn đang sử dụng Android, iOS, Mac hay Windows, hệ thống không cần mật khẩu này sẽ hoạt động.

Làm thế nào để Apple Passkeys giữ cho bạn an toàn?

Hầu hết chúng ta đã dựa vào tên người dùng và mật khẩu tại một số điểm. Bạn có thể vẫn làm ngay bây giờ. Nhưng mật khẩu có thể dễ dàng bị tấn công, đặc biệt nếu người dùng không có mật khẩu an toàn hoặc nếu họ là nạn nhân của kỹ thuật xã hội.

Sự kết hợp tên người dùng và mật khẩu truyền thống cũng có nghĩa là thông tin này được lưu trữ trực tuyến. Vì vậy, nếu dịch vụ bạn đang sử dụng, chẳng hạn như Twitch, bị tấn công, cuộc tấn công sẽ xâm phạm dữ liệu và hơn thế nữa. Nếu bạn sử dụng lại tên người dùng và mật khẩu của mình, mà nhiều người làm nhưng chúng tôi khuyên bạn không nên sử dụng, các tài khoản khác của bạn cũng có nguy cơ.

Xác thực hai yếu tố (2FA) được phát triển để giải quyết vấn đề này. Bằng cách thêm một lớp bảo mật khác, người dùng sẽ giúp ngăn chặn truy cập trái phép vào tài khoản của họ.

Mặc dù công nghệ này đã tăng cường bảo mật đáng kể, đặc biệt là chống lại các cuộc tấn công vũ phu, nhưng nhiều người dùng vẫn là nạn nhân của các cuộc tấn công kỹ thuật xã hội. Và trong khi người dùng hiểu biết về công nghệ có thể dễ dàng phát hiện ra các cuộc tấn công, những người không quen thuộc có thể không phát hiện ra các dấu hiệu của các cuộc tấn công như lừa đảo trực tuyến.

Các khóa mật khẩu của Apple nhằm giải quyết vấn đề này bằng cách xóa hoàn toàn mật khẩu. Khi đăng nhập vào một dịch vụ trực tuyến, bạn không còn phải nhập tên người dùng và mật khẩu của mình nữa. Thay vào đó, bạn chỉ cần sử dụng các tính năng bảo mật sinh trắc học của thiết bị, như FaceID hoặc TouchID.

Dịch vụ này cũng không chỉ giới hạn trong thiết bị Apple của bạn. Bạn có thể sử dụng mã khóa trên PC chạy Windows hoặc máy tính bảng Android của mình. Miễn là bạn đang truy cập trang web triển khai API WebAuthn, bạn có thể sử dụng các tính năng sinh trắc học của thiết bị Apple để đăng nhập vào tài khoản của mình, ngay cả khi bạn đang truy cập nó trong một thiết bị không phải của Apple. Nó giống như việc sử dụng thiết bị Apple của bạn như một chiếc chìa khóa vạn năng có thể mở bất kỳ cánh cửa kỹ thuật số nào.

Apple Passkeys hoạt động như thế nào?

Thay vì giữ tên người dùng và mật khẩu cùng nhau trực tuyến, các khóa mật khẩu của Apple sử dụng mã hóa không đối xứng. Theo trang hỗ trợ bảo mật passkeys của Apple:

Trong quá trình đăng ký tài khoản, hệ điều hành tạo một cặp khóa mật mã duy nhất để liên kết với tài khoản cho ứng dụng hoặc trang web. Các khóa này được thiết bị tạo ra một cách an toàn và duy nhất cho mọi tài khoản.

Một trong những khóa này là công khai và được lưu trữ trên máy chủ. Khóa công khai này không phải là bí mật. Khóa còn lại là khóa riêng tư và là khóa cần thiết để thực sự đăng nhập. Máy chủ không bao giờ biết khóa riêng là gì. Trên các thiết bị Apple có sẵn Touch ID hoặc Face ID, chúng có thể được sử dụng để cho phép sử dụng mã khóa, sau đó xác thực người dùng vào ứng dụng hoặc trang web. Không có bí mật được chia sẻ nào được truyền đi và máy chủ không cần bảo vệ khóa công khai.

Khi bạn sử dụng tên người dùng và mật khẩu, máy chủ sẽ giữ khóa (tên người dùng của bạn) và khóa (mật khẩu của bạn). Để mở khóa, bạn cho máy chủ biết rằng bạn có một chìa khóa tương tự và nó sẽ mở cửa cho bạn.

Nhưng với các khóa mật khẩu của Apple, máy chủ sẽ không bao giờ giữ khóa. Thay vào đó, nó giao cho bạn khóa và bạn tự mở khóa. Và vì máy chủ sẽ chỉ giao cho bạn khóa nếu nó có nó về mặt vật lý (tức là dữ liệu của bạn thực sự được lưu trữ trong máy chủ của nó), các cuộc tấn công lừa đảo sẽ trở nên vô hiệu vì chúng không có khóa (tức là chúng không thể yêu cầu chìa khóa. , bởi vì các khóa mật khẩu của Apple sẽ chỉ phát hành nó nếu họ cung cấp một khóa hợp lệ).

Với hệ thống này, chỉ thực thể hợp lệ mới có thể yêu cầu mã xác nhận, đảm bảo rằng người dùng ít có khả năng trở thành nạn nhân của các trò gian lận lừa đảo và các cuộc tấn công kỹ thuật xã hội khác. Nó cũng thuận tiện hơn rất nhiều vì người dùng không còn phải nhớ vô số thông tin đăng nhập. Tất cả những gì họ cần là đăng nhập vào Apple ID được bảo vệ bằng 2FA của họ.

Một ví dụ khác về hệ thống không mật khẩu

Mặc dù Apple có thể là công ty đầu tiên đưa vào hệ điều hành điện thoại thông minh một cách hiệu quả, nhưng đây không phải là công ty đầu tiên triển khai hệ thống không mật khẩu. Nếu bạn có tài khoản Microsoft, có thể bạn đã gặp phải công nghệ này.

Nếu bạn đã thiết lập thông tin đăng nhập không cần mật khẩu bằng tài khoản Microsoft của mình, bạn có thể đăng nhập vào tài khoản đó bằng ứng dụng Microsoft Authenticator — không cần tên người dùng và mật khẩu. Mặc dù nó chủ yếu khả dụng trong trình duyệt Microsoft Edge, bạn cũng có thể sử dụng Windows Hello hoặc khóa bảo mật để sử dụng ứng dụng Microsoft Authenticator để đăng nhập vào tài khoản Microsoft của bạn trên các trình duyệt khác như Google Chrome.

Nói lời tạm biệt với mật khẩu?

Mặc dù tên người dùng và mật khẩu đã bảo vệ người dùng tốt hơn trong suốt 60 năm, nhưng họ có thể sắp hết đời nhờ các hệ thống bảo mật tốt hơn ở những nơi khác, cũng dễ sử dụng hơn. Khi chúng ta đăng ký ngày càng nhiều dịch vụ, ý tưởng ghi nhớ hàng chục, nếu không phải hàng trăm, tổ hợp tên người dùng-mật khẩu có thể khiến bạn nản lòng.

Tin tặc cũng ngày càng tinh vi hơn, cho phép chúng xâm phạm dữ liệu ngay cả khi đã được tăng cường bảo mật. Và mặc dù xác thực đa yếu tố đã phần nào tăng cường bảo mật cho thông tin đăng nhập truyền thống, nhưng nó vẫn để lại cho người dùng một lỗ hổng nghiêm trọng.

Với khóa mật khẩu, chúng tôi có thể chuyển tiếp từ tên người dùng và mật khẩu sang một tương lai an toàn hơn. Và khi các công nghệ mới như điện toán lượng tử được phát triển và tung ra thị trường, sự kết hợp tên người dùng và mật khẩu truyền thống có nguy cơ trở nên lỗi thời chỉ sau một đêm.