Passkey là gì? Lộ trình bỏ mật khẩu cho doanh nghiệp

Passkey là gì và hoạt động thế nào?

Passkey là thông tin đăng nhập dựa trên chuẩn FIDO, thường được triển khai qua WebAuthn. Khi đăng ký, thiết bị tạo một cặp khóa: khóa công khai gửi cho dịch vụ, còn khóa riêng được giữ trong thiết bị hoặc trình quản lý credential. Khi đăng nhập, dịch vụ gửi thử thách và thiết bị ký bằng khóa riêng sau khi người dùng xác nhận bằng PIN, vân tay hoặc khuôn mặt.

Dịch vụ không nhận khóa riêng và không có mật khẩu dùng lại để kẻ tấn công đánh cắp. Credential gắn với relying party, thường là domain thật, nên trang phishing không thể yêu cầu trình duyệt ký cho domain khác. Đây là lý do CISA khuyến nghị hướng đến MFA chống phishing dựa trên FIDO/WebAuthn.

• ✓Public key được lưu ở dịch vụ.
• ✓Private key ở thiết bị hoặc credential provider.
• ✓Xác nhận cục bộ bằng PIN hoặc sinh trắc học; dữ liệu sinh trắc không gửi cho website.

Bỏ mật khẩu không chỉ là thay màn hình đăng nhập. Đó là thiết kế lại enrollment, recovery và vòng đời danh tính để yếu tố mạnh không bị vô hiệu bởi đường khôi phục yếu.

Passkey khác password, OTP và security key ra sao?

Password là bí mật người dùng biết và thường có thể nhập vào bất kỳ form nào, nên dễ bị phishing hoặc dùng lại. OTP tăng thêm một yếu tố nhưng mã vẫn có thể bị lừa nhập vào trang giả hoặc bị chặn trong một số tình huống. Passkey dùng challenge-response gắn với domain và không gửi bí mật qua mạng.

Passkey có thể synced giữa thiết bị qua một credential provider hoặc device-bound trên một thiết bị cụ thể, bao gồm hardware security key. Synced passkey thuận tiện và giảm rủi ro mất thiết bị; device-bound phù hợp khi cần assurance cao và kiểm soát vật lý. Doanh nghiệp có thể dùng cả hai theo nhóm người dùng thay vì chọn một loại cho mọi trường hợp.

• ✓Synced passkey: thuận tiện trên nhiều thiết bị.
• ✓Device-bound passkey: kiểm soát và assurance cao hơn.
• ✓Security key: thiết bị FIDO vật lý, phù hợp admin và tài khoản đặc quyền.

Use case ưu tiên trong doanh nghiệp

Bắt đầu với tài khoản có giá trị cao: quản trị email, domain, cloud, source control, tài chính và truy cập từ xa. Đây là nơi một lần chiếm tài khoản có thể mở đường đến nhiều hệ thống khác. Đồng thời, chọn một ứng dụng có hỗ trợ passkey trưởng thành và nhóm người dùng đủ nhỏ để đội IT hỗ trợ kỹ.

Với ứng dụng khách hàng, passkey có thể giảm quên mật khẩu và ma sát đăng nhập, nhưng cần xem thiết bị dùng chung, người dùng đổi nền tảng và quy trình support. Không ép mọi người bỏ phương thức cũ ngay ngày đầu. Chạy song song, đo enrollment, login success, thời gian support và số lần recovery trước khi tăng phạm vi.

• ✓Admin và privileged users trước.
• ✓Ứng dụng có hỗ trợ chuẩn và telemetry tốt.
• ✓Nhóm pilot có thiết bị, support và owner rõ ràng.

Enrollment và recovery là phần khó nhất

Enrollment cần xác minh người dùng đủ mạnh trước khi đăng ký passkey mới. Nếu kẻ tấn công đã có session hoặc chiếm email, họ không được phép âm thầm thêm credential. Thông báo khi có passkey mới, hiển thị danh sách thiết bị, cho phép thu hồi và yêu cầu step-up authentication với thay đổi nhạy cảm.

Recovery yếu sẽ phá toàn bộ lợi ích. Thiết kế quy trình cho thiết bị mất, nhân viên nghỉ việc, người dùng không còn credential provider hoặc khóa vật lý hỏng. Tránh quay lại câu hỏi bảo mật hay email đơn lẻ cho tài khoản đặc quyền. Chuẩn bị break-glass account được bảo vệ, giám sát và chỉ dùng trong tình huống khẩn cấp.

• ✓Xác minh mạnh khi thêm hoặc xóa passkey.
• ✓Nhiều credential cho người dùng rủi ro cao.
• ✓Recovery, offboarding và break-glass được diễn tập.

Lộ trình triển khai trong 90 ngày

Tháng đầu kiểm kê ứng dụng, phương thức xác thực, nhóm người dùng và yêu cầu assurance. Chọn pilot, viết chính sách synced/device-bound và chuẩn bị helpdesk. Tháng hai triển khai enrollment, chạy mô phỏng mất thiết bị, theo dõi login success và xử lý lỗi. Tháng ba mở rộng nhóm, tắt SMS/OTP yếu ở nơi an toàn và đánh giá lại phương thức cũ còn tồn tại.

Đo tỷ lệ đăng ký, tỷ lệ đăng nhập thành công, thời gian đăng nhập, ticket support, số recovery và số lần fallback. Mục tiêu không chỉ là adoption; cần giảm thực tế bề mặt phishing. Nếu password vẫn là fallback mặc định cho mọi người, passkey mới chỉ thêm một nút tiện lợi chứ chưa thay đổi mức bảo vệ.

• ✓0–30 ngày: inventory, policy, pilot và support plan.
• ✓31–60 ngày: enrollment, recovery drill và telemetry.
• ✓61–90 ngày: mở rộng, giảm fallback yếu và review rủi ro.