Chuyên gia HID: Passkey sẽ sớm thay thế mật khẩu; OTP không được xem là xác thực không mật khẩu

Mật khẩu luôn là “mắt xích yếu” trong hệ thống bảo mật số khi nguy cơ lừa đảo và đánh cắp thông tin xác thực ngày càng gia tăng. Thay thế mật khẩu bằng passkey, sinh trắc học và các phương thức xác thực dựa trên mật mã đang trở thành hướng đi được nhiều tổ chức trên thế giới theo đuổi.

Tại Việt Nam, xu hướng này đang có thêm động lực khi người dùng ngày càng quen với sinh trắc học, định danh số và các phương thức xác thực điện tử. Tuy nhiên, theo các chuyên gia, chuyển sang “không mật khẩu” không đơn giản là bỏ mật khẩu hay sử dụng OTP, mà đòi hỏi một hệ thống xác thực có khả năng chống lừa đảo và bảo vệ khóa mật mã trên thiết bị.

Trong cuộc trao đổi với chúng tôi, ông Edwardcher Monreal - Principal Solutions Architect (Kiến trúc sư Giải pháp chính), phụ trách mảng Identity and Access Management (Quản lý danh tính và truy cập), Consumer Authentication Solutions (Giải pháp xác thực người dùng) tại HID, chia sẻ về những thay đổi đang diễn ra trong lĩnh vực xác thực số.

PV: Theo ông, đâu là những điểm dễ bị tấn công nhất trong hành trình số của khách hàng, ngoài bước đăng nhập?

Ông Edwardcher Monreal - Principal Solutions Architect: Tôi cho rằng quá trình đăng ký ban đầu là một trong những điểm tiếp xúc dễ bị tổn thương nhất, nếu không muốn nói là dễ bị tổn thương nhất trong toàn bộ hành trình.

Đăng ký ở đây bao gồm việc mở tài khoản hoặc đăng ký một dịch vụ. Đây là giai đoạn đặc biệt quan trọng vì doanh nghiệp phải xác định chính xác người đang yêu cầu mở tài khoản là ai.

Do đó, quy trình đăng ký cần được thiết kế chặt chẽ và an toàn, đặc biệt trong bối cảnh đăng ký từ xa thông qua thiết bị di động hoặc tại nhà.

Điều này khác đáng kể so với mô hình mở tài khoản truyền thống tại chi nhánh ngân hàng, nơi khách hàng trực tiếp gặp nhân viên và danh tính có thể được xác minh trực tiếp. Trong môi trường số, doanh nghiệp phải tái tạo mức độ tin cậy đó thông qua công nghệ.

Trong lĩnh vực ngân hàng, có thể xem thiết bị di động như một chi nhánh ngân hàng của khách hàng, bởi đây là điểm tiếp xúc chính giữa khách hàng và ngân hàng.

Tuy nhiên, khác với chi nhánh vật lý, thiết bị mà ngân hàng đang kết nối với khách hàng không mặc nhiên được tin cậy. Ngân hàng cần xác định thiết bị đó thực sự thuộc về khách hàng trước khi có thể thiết lập mức độ tin cậy.

Vì vậy, một bước quan trọng trong quá trình đăng ký là liên kết và xác minh thiết bị (device binding) để thiết lập thiết bị đáng tin cậy.

Từ thiết bị đã được xác minh, doanh nghiệp tiếp tục xác thực người dùng, chẳng hạn thông qua nhận diện khuôn mặt hoặc các thông tin xác thực khác, nhằm chứng minh người đang thực hiện đăng ký chính là người có quyền mở tài khoản.

Sau đó là bước tạo thông tin xác thực (credentials). Theo cách truyền thống, đây có thể là bước tạo mật khẩu. Tuy nhiên, với phương thức xác thực không mật khẩu, nhà cung cấp dịch vụ có thể sử dụng passkey để thay thế mật khẩu.

Khi khách hàng quay lại đăng nhập, phương thức này giúp quá trình xác thực nhanh hơn, an toàn hơn và chống giả mạo (phishing-resistant).

Một kịch bản khác là khi khách hàng mất thiết bị đáng tin cậy. Đây là tình huống có thể xảy ra và tạo ra một điểm rủi ro mới.

Vì vậy, quy trình đăng ký không chỉ xuất hiện khi khách hàng mở tài khoản lần đầu mà còn trong quá trình đăng ký hoặc liên kết thiết bị mới. Đây vẫn là một trong những điểm dễ phát sinh rủi ro và cần được bảo vệ chặt chẽ.

Một số ngân hàng hiện kết hợp định danh công dân để xác minh khách hàng hoặc triển khai quy trình xác minh tài khoản riêng, chẳng hạn eKYC (Electronic Know Your Customer - định danh, xác minh khách hàng điện tử). Những bước này giúp xác nhận người đang đăng ký hoặc đăng ký lại tài khoản vẫn chính là chủ thể hợp pháp.

Nếu thiếu các bước kiểm tra đủ chặt chẽ trong quá trình đăng ký hoặc đăng ký lại tài khoản, dịch vụ sẽ đối mặt với rủi ro đáng kể từ kẻ mạo danh và các hành vi lừa đảo.

Mật khẩu và OTP từ lâu là tuyến phòng thủ quen thuộc trong an ninh mạng, nhưng ngày càng bộc lộ hạn chế. Theo ông, phương thức xác thực nào đang dần thay thế cách làm truyền thống để tăng cường bảo mật?

- Nếu nhìn từ góc độ FIDO Alliance, tôi muốn nhấn mạnh rằng chúng ta đang ở thời điểm cần xem xét một tiêu chuẩn xác thực khác, đáng tin cậy và an toàn hơn mật khẩu và OTP.

Một nghiên cứu gần đây của HID cho thấy 70% tổ chức gặp ít nhất một sự cố bảo mật liên quan đến danh tính trong hai năm qua. Ngay cả những quy trình phổ biến như thu hồi quyền truy cập cũng vẫn có những điểm yếu đáng kể. Theo nghiên cứu, 35% tổ chức cho rằng sự chậm trễ trong xử lý là một trong những nguyên nhân dẫn đến các sự cố này.

Điều đó cho thấy mối quan hệ giữa doanh nghiệp với mật khẩu và OTP cần được nhìn nhận lại. Chúng ta cần một phương thức xác thực an toàn và đáng tin cậy hơn, đồng thời không làm phức tạp trải nghiệm người dùng.

Theo tôi, câu trả lời là xác thực không mật khẩu (passwordless) dựa trên passkey là hướng đi phù hợp để thay thế phương thức xác thực truyền thống bằng mật khẩu và OTP, mang lại mức độ bảo mật cao hơn mà không nhất thiết tạo thêm phiền hà cho người dùng.

Khi sử dụng dịch vụ web, passkey có thể được triển khai trên trình duyệt và thiết bị tương thích. Trên điện thoại, người dùng cũng có thể xác minh bằng PIN hoặc sinh trắc học để sử dụng passkey.

Điểm quan trọng vẫn là phải xác định quá trình xác thực diễn ra ở đâu, bởi điều đó quyết định cách dữ liệu được bảo vệ và mức độ an toàn, quyền riêng tư của toàn bộ hệ thống.

Làm thế nào để doanh nghiệp vừa nâng cao bảo mật, vừa giữ được trải nghiệm thuận tiện và quyền riêng tư cho người dùng?

Điều quan trọng đầu tiên là các tổ chức phải nhìn nhận toàn bộ hành trình khách hàng, thay vì chỉ tập trung vào bước đăng nhập hoặc thời điểm mở tài khoản.

Ví dụ, khi sử dụng sinh trắc học để xác minh một người trong quá trình đăng ký, đây là một phương thức hiệu quả để xác thực thông tin và xác định người đang thực hiện đăng ký.

Sau khi chuyển sang bước đăng nhập, việc sử dụng passkey sẽ hiệu quả và tiết kiệm hơn, đồng thời mang lại tốc độ và mức độ bảo mật cao hơn.

Tuy nhiên, hành trình khách hàng không kết thúc ở bước đăng nhập. Khi khách hàng mua một thiết bị điện thoại mới, thay đổi người thụ hưởng hoặc thêm người thụ hưởng trong tài khoản ngân hàng, đó đều là những điểm tiếp xúc bổ sung cần được bảo vệ.

Vì vậy, mọi điểm trong hành trình thực hiện giao dịch đều cần được đánh giá và bảo mật. Doanh nghiệp cần bảo vệ toàn bộ hành trình khách hàng, thay vì chỉ tập trung vào một điểm xác thực duy nhất.

Đồng thời, cần cân bằng giữa bảo mật và trải nghiệm người dùng. Một cách tiếp cận hiệu quả là xem xét bối cảnh của từng giao dịch. Việc đánh giá bối cảnh giúp doanh nghiệp tăng cường bảo mật khi cần thiết mà không tạo thêm những bước xác thực không cần thiết cho người dùng.

Xác thực rất quan trọng, nhưng chỉ là một giai đoạn trong hành trình khách hàng. Mục tiêu không phải liên tục bổ sung các thử thách bảo mật hoặc tạo thêm rào cản cho người dùng.

Thay vào đó, doanh nghiệp cần có một cơ chế đánh giá rủi ro liên tục và theo thời gian thực ở phía sau, dựa trên hành vi, bối cảnh và đặc điểm của giao dịch. Chỉ khi hệ thống nhận diện mức độ rủi ro cần thiết, doanh nghiệp mới nên yêu cầu thêm các yếu tố xác thực để xác minh mức độ tin cậy của người dùng.

Cách tiếp cận này giúp chuyển từ mô hình bảo mật dựa chủ yếu vào các điểm kiểm tra xác thực cố định sang mô hình đánh giá rủi ro liên tục, vừa tăng cường bảo mật vừa hạn chế tác động đến trải nghiệm khách hàng.

Tôi muốn bổ sung thêm rằng: công nghệ xác thực không mật khẩu rất quan trọng, nhưng xác thực ban đầu chỉ là một mắt xích trong toàn bộ hành trình.

Chúng ta không muốn gây thêm lo lắng hoặc sự phức tạp cho người dùng bằng cách liên tục yêu cầu xác thực hay chứng minh danh tính. Tuy nhiên, cần có cơ chế đánh giá rủi ro liên tục ở phía sau mỗi giao dịch hoặc hành động, qua đó xác định người dùng thực sự đang thực hiện giao dịch và giao dịch đó nằm trong phạm vi phù hợp với hành vi thông thường của họ.

Từ góc nhìn của HID, đâu là những yếu tố đang thúc đẩy Việt Nam chuyển nhanh hơn sang xác thực không mật khẩu và các phương thức xác thực mạnh hơn?

Các yếu tố thúc đẩy đã có sẵn, đặc biệt từ các sáng kiến của cơ quan quản lý. Ví dụ, trong lĩnh vực ngân hàng, việc chuyển sang sử dụng sinh trắc học để xác thực đang được thúc đẩy.

Về trải nghiệm, người dùng, khách hàng và công dân đã bắt đầu quen thuộc với phương thức này. Một trong những rào cản đối với việc áp dụng công nghệ mới là sự thiếu quen thuộc: người dùng không biết phải thực hiện thao tác gì hoặc bước tiếp theo là gì.

Tại Việt Nam, người dùng đã được hướng dẫn và làm quen với các phương thức xác thực mới. Việc triển khai VNeID cũng tạo một nền tảng tốt để hướng tới các phương thức xác thực an toàn hơn.

Tất nhiên, VNeID không hoàn toàn đồng nghĩa với xác thực không mật khẩu. Có sự khác biệt giữa VNeID, xác thực sinh trắc học đang được triển khai tại Việt Nam và mô hình xác thực không mật khẩu dựa trên mật mã.

Từ góc độ thị trường, chúng tôi nhận thấy Việt Nam đã sẵn sàng cho xu hướng này, thậm chí người dùng đã phần nào áp dụng các phương thức xác thực mạnh hơn. Vấn đề còn lại là tinh chỉnh cách triển khai và tăng mức độ tuân thủ các tiêu chuẩn, chẳng hạn FIDO.

Tôi cho rằng sự kết hợp giữa nền tảng hiện có tại Việt Nam và các tiêu chuẩn quốc tế sẽ tạo ra cách tiếp cận hiệu quả.

Cuối cùng, cần định nghĩa rõ thế nào là “không cần mật khẩu” (passwordless). Theo cách tiếp cận trong các tiêu chuẩn kỹ thuật, passwordless thực chất có thể dựa trên khóa mật mã (cryptographic key) để xác thực người dùng, thay vì sử dụng mật khẩu truyền thống.

Một khái niệm rất quan trọng là khả năng chống đánh cắp thông tin xác thực (phishing-resistant). Khả năng này gắn với thiết bị, nghĩa là khóa riêng tư (private key) dùng để ký và xác thực được lưu trữ trên thiết bị hoặc trong một môi trường lưu trữ an toàn.

Đây là điểm cốt lõi để phân biệt xác thực không mật khẩu với các phương thức xác thực khác. Ví dụ, OTP không phải là mật khẩu và không nên được xem là hình thức xác thực không cần mật khẩu. OTP có thể là một chuỗi số ngẫu nhiên, nhưng vẫn có nguy cơ bị đánh cắp. Nếu người dùng bị lừa cung cấp OTP khi đăng nhập ngân hàng hoặc thực hiện giao dịch, thông tin xác thực có thể bị kẻ gian chiếm đoạt, bởi OTP không được liên kết với thiết bị của người dùng.

Vì vậy, cần một định nghĩa chính xác hơn về xác thực không mật khẩu. Các tiêu chuẩn như FIDO giúp xác định rõ một phương thức xác thực không mật khẩu cần có những đặc tính nào.

Một yếu tố quan trọng là khóa mật mã. Khi đăng nhập không mật khẩu, khóa này được bảo vệ bằng các thuộc tính của mật mã học và phải có khả năng chống giả mạo.

Cơ chế hoạt động có thể hiểu đơn giản là một quy trình challenge-response (thách thức – phản hồi) giữa máy khách và máy chủ hoặc dịch vụ. Máy chủ gửi một yêu cầu xác thực, thiết bị sử dụng khóa riêng tư để ký phản hồi và gửi lại cho máy chủ. Khóa riêng tư không được truyền trực tiếp qua mạng mà được lưu trữ trên thiết bị hoặc trong một môi trường an toàn.

Tóm lại, xác thực không mật khẩu dựa trên ba yếu tố cốt lõi: khóa mật mã, khả năng chống giả mạo và việc lưu trữ khóa riêng tư trên thiết bị hoặc môi trường an toàn.

Với sự phát triển của AI, sinh trắc học và passkey, ông dự đoán cách chúng ta xác thực danh tính số sẽ thay đổi như thế nào trong 3–5 năm tới?

Trong 3-5 năm tới, tôi tin rằng passkey sẽ trở thành phương thức xác thực mặc định, đặc biệt là tại Việt Nam. Đây là hướng đi mà thị trường đang chuyển dịch rõ rệt.

Để chuẩn bị cho xu hướng này, các tổ chức cần có một nền tảng xác thực thống nhất, có khả năng hỗ trợ nhiều phương thức xác thực và các giao thức bảo mật khác nhau. Ví dụ, HID Authentication Platform được thiết kế theo hướng này, giúp các tổ chức có hạ tầng sẵn sàng cho quá trình chuyển đổi trong tương lai.

Việt Nam hiện cũng có một số nền tảng và hạ tầng thuận lợi để các doanh nghiệp chuẩn bị cho giai đoạn PKI và xác thực dựa trên mật mã được sử dụng phổ biến hơn.

Một xu hướng khác chúng tôi dự báo là xác thực theo ngữ cảnh (context-aware authentication) sẽ ngày càng phổ biến. Thay vì yêu cầu người dùng thực hiện thêm bước xác thực một cách cố định, hệ thống sẽ đánh giá bối cảnh của giao dịch trước khi quyết định có cần xác thực bổ sung hay không.

Cách tiếp cận này giúp doanh nghiệp vừa áp dụng biện pháp bảo mật phù hợp với mức độ rủi ro, vừa hạn chế những bước không cần thiết đối với người dùng. Qua đó, bảo mật và trải nghiệm người dùng có thể được cải thiện đồng thời.

Về định hướng dài hạn, FIDO Alliance đang đóng vai trò quan trọng trong việc định hình thế hệ xác thực tiếp theo. Việt Nam có thể theo dõi các tiêu chuẩn, nghiên cứu và định hướng của FIDO Alliance để tham khảo khi xây dựng các giải pháp xác thực trong nước.

Bên cạnh passkey, có một công nghệ khác đáng chú ý là Verifiable Digital Credentials (VDC - thông tin xác thực kỹ thuật số có thể kiểm chứng). Đây là một hướng phát triển mà FIDO Alliance đang thúc đẩy và có những điểm tương đồng với các sáng kiến định danh số như VNeID hay Singpass.

Có thể hình dung VDC như một ví số chứa các thông tin đã được xác minh về người dùng. Passkey được sử dụng để xác thực người dùng, trong khi VDC cho phép người dùng cung cấp những thông tin đã được kiểm chứng khi cần thiết.

Điểm quan trọng là người dùng không nhất thiết phải chia sẻ toàn bộ thông tin cá nhân. Họ có thể chỉ cung cấp những thuộc tính hoặc thông tin cần thiết đã được xác thực và chứng minh bằng kỹ thuật số. Đây là cách tiếp cận hướng tới bảo vệ quyền riêng tư trong quá trình chia sẻ dữ liệu.

VDC hiện vẫn đang ở giai đoạn đầu và cần thêm thời gian để hoàn thiện tiêu chuẩn, hệ sinh thái và đưa vào triển khai rộng rãi. Tuy nhiên, đây có thể là một trong những hướng phát triển quan trọng của định danh kỹ thuật số trong vài năm tới.

Tóm lại, passkey đang là xu hướng thay thế mật khẩu trong hiện tại, trong khi VDC có thể trở thành một lớp quan trọng tiếp theo của hệ sinh thái định danh số. Với Việt Nam, việc bám sát các tiêu chuẩn quốc tế như FIDO, đồng thời tận dụng hạ tầng định danh số sẵn có, sẽ giúp các tổ chức chủ động hơn trong quá trình chuyển đổi này.

 Tuy nhiên, tại châu Âu, các sáng kiến tương tự cũng đang được nghiên cứu và triển khai bước đầu. Đây vẫn là một giai đoạn chuyển tiếp.

Xin cảm ơn ông!

HID là doanh nghiệp toàn cầu hoạt động trong lĩnh vực quản lý danh tính và truy cập (Identity and Access Management), cung cấp các giải pháp phát hành, xác thực và quản lý danh tính số ở quy mô lớn. Theo giới thiệu của HID, công ty được khoảng 90% doanh nghiệp thuộc Fortune 500 tin dùng và là thành viên tích cực của FIDO Alliance, tổ chức thúc đẩy các tiêu chuẩn xác thực mạnh hơn và giảm sự phụ thuộc vào mật khẩu.