Xác thực Passkey cho tài khoản cá nhân

Consumer accounts của Microsoft đề cập đến tài khoản cá nhân để truy cập các dịch vụ và sản phẩm của Microsoft như Windows, Office, 365, Outlook, One Drive, Copilot và Xbox Live.

Microsoft đã công bố hỗ trợ mới cho Passkey nhằm tăng cường bảo mật trước các cuộc tấn công lừa đảo, nhằm mục đích loại bỏ hoàn toàn mật khẩu trong tương lai.

Hình 1. Các giai đoạn của Microsoft hướng tới xác thực không cần mật khẩu

Microsoft đã thêm hỗ trợ Passkey cho Windows để đăng nhập vào các trang web và ứng dụng, nhưng với sự hỗ trợ bổ sung cho tài khoản Microsoft, người dùng giờ đây có thể dễ dàng đăng nhập mà không cần nhập mật khẩu.

Passkey so với mật khẩu truyền thống

Passkey là một hình thức xác thực không cần mật khẩu sử dụng cặp khóa mật mã trong đó khóa công khai được lưu trữ trên máy chủ của nhà cung cấp dịch vụ và khóa bí mật được lưu trữ an toàn trên thiết bị của người dùng.

Trong quá trình xác thực, một thử thách (challenge) được tạo ra yêu cầu khóa bí mật để xác nhận danh tính của người dùng. Vì khóa này được bảo vệ bởi các cơ chế bảo mật như sinh trắc học hoặc mã PIN nên tất cả những gì người dùng phải làm là cung cấp dữ liệu đó để đăng nhập.

Vì Passkey không liên quan đến việc chia sẻ bí mật như mật khẩu truyền thống có thể bị chặn hoặc đánh cắp và thường được gắn với một thiết bị cụ thể nên chúng vốn có khả năng chống tấn công lừa đảo.

Hơn nữa, Passkey loại bỏ nhu cầu người dùng phải ghi nhớ và nhập mật khẩu, điều này thường dẫn đến các hành vi rủi ro như sử dụng lại mật khẩu hoặc sử dụng mật khẩu yếu. Cuối cùng, Passkey tương thích với các thiết bị và hệ điều hành khác nhau, giúp quá trình xác thực trở nên suôn sẻ và dễ dàng.

Một điều cần lưu ý là Microsoft đồng bộ hóa Passkey của người dùng với các thiết bị khác thay vì chỉ lưu trữ Passkey riêng biệt trên mỗi thiết bị. Đây không phải là phương pháp an toàn nhất vì nếu kẻ tấn công có được quyền truy cập vào tài khoản người dùng thì Passkey sẽ được đồng bộ hóa với thiết bị của họ.

Microsoft cho biết làm điều này vì lý do thuận tiện, cho phép mọi người duy trì quyền truy cập vào tài khoản của mình khi nâng cấp hoặc mất thiết bị.