Passkey, xác thực không mật khẩu và MFA chống phishing

1. Giới thiệu#

Đối với mọi dịch vụ số, xác thực người dùng là phần quan trọng nhất của an ninh mạng. Khi doanh nghiệp ngày càng dựa vào ứng dụng web và di động để tương tác với khách hàng, nhu cầu về giải pháp đăng nhập an toàn, dễ dùng đã tăng theo cấp số nhân. Mật khẩu truyền thống trở thành điểm yếu: dễ bị đánh cắp qua phishing, bị quên hoặc dùng lại trên nhiều dịch vụ. Hệ quả là các cuộc tấn công dựa trên thông tin xác thực và vụ rò rỉ dữ liệu gia tăng, còn lòng tin của người tiêu dùng suy giảm.

Trong những năm qua, nhiều phương thức xác thực mới hứa hẹn bảo mật cao hơn và trải nghiệm tốt hơn đã xuất hiện. Bài viết so sánh ba cách tiếp cận: passkey, xác thực không mật khẩu nói chung và xác thực đa yếu tố chống phishing (MFA). Qua đó, chúng ta làm rõ sự khác biệt, thế mạnh, tác động chiến lược và ý nghĩa thực sự của các thuật ngữ này.

Bài viết giải đáp những câu hỏi sau:

1. Passkey, xác thực không mật khẩu và MFA chống phishing khác nhau ở những điểm chính nào?
2. Passkey, xác thực không mật khẩu và MFA chống phishing cải thiện bảo mật như thế nào so với mật khẩu truyền thống?
3. Xác thực không mật khẩu, MFA chống phishing và passkey ảnh hưởng thế nào đến trải nghiệm, mức độ sử dụng và chi phí vận hành?
4. Những trường hợp sử dụng và ví dụ thực tế nào cho thấy các tổ chức triển khai thành công passkey, xác thực không mật khẩu và MFA chống phishing?

2. Giải thích các khái niệm chính#

Trước khi so sánh, chúng ta cần định nghĩa các thuật ngữ. Xác thực không mật khẩu, MFA chống phishing và passkey đều cải thiện đáng kể so với các phương thức cũ. Tuy nhiên, chúng không phải là những thuật ngữ có thể dùng thay thế cho nhau.

2.1 Xác thực không mật khẩu là gì?#

Các phương thức xác thực không mật khẩu loại bỏ hoàn toàn mật khẩu truyền thống. Thay vào đó, người dùng chứng minh danh tính bằng:

• Thứ họ sở hữu (như điện thoại hoặc khóa bảo mật)
• Đặc điểm của họ (các yếu tố sinh trắc học)
• Mã dùng một lần gửi qua email hoặc SMS (cũng có thể được coi là thứ họ sở hữu, chẳng hạn cần có điện thoại để nhận SMS)

Mục đích là giảm sự phụ thuộc vào mật khẩu tĩnh, vốn dễ bị xâm phạm và bất tiện cho người dùng.

Các phương thức không mật khẩu phổ biến gồm:

• Magic link qua email
• Mã dùng một lần theo thời gian (TOTP) qua ứng dụng xác thực (như Google Authenticator, Authy, Microsoft Authenticator)
• Thông báo đẩy (như trong ứng dụng iOS/Android)
• Sinh trắc học (như trong passkey)
• Mã dùng một lần qua SMS (OTP)
• Mã dùng một lần qua email (OTP)
• Đăng nhập qua tài khoản mạng xã hội (như “Đăng nhập bằng Google”, “Đăng nhập bằng Facebook”)

Các phương thức không mật khẩu thường cải thiện trải nghiệm và giảm nguy cơ tấn công vét cạn, nhưng không phải tất cả đều có khả năng chống phishing. Chẳng hạn, trang độc hại vẫn có thể chặn magic link hoặc OTP qua SMS nếu người dùng bị lừa nhập mã trên trang phishing. Vì vậy, các phương thức này cải thiện nhiều mặt về bảo mật và khả năng sử dụng, nhưng một số vẫn dễ bị tấn công bằng kỹ nghệ xã hội.

2.2 MFA chống phishing là gì?#

Khóa bảo mật phần cứng dựa trên FIDO2, như YubiKey, là ví dụ điển hình của MFA chống phishing. Bằng cách gắn quá trình xác thực với nguồn gốc hợp lệ (tên miền của trang web thật), các khóa này đảm bảo việc xác thực của người dùng không thể bị chuyển hướng hoặc phát lại trên trang giả mạo. Kẻ tấn công không bao giờ có được khóa riêng tư hoặc mã bí mật có thể tái sử dụng. Điều này cũng đúng với passkey.

Tuy nhiên, khóa bảo mật phần cứng chủ yếu phù hợp với nhân viên. Tổ chức có thể cung cấp lựa chọn này cho khách hàng, nhưng việc bắt buộc sử dụng thường không thực tế vì chỉ những người am hiểu công nghệ mới quen với giải pháp này. Người dùng thông thường có thể gặp khó khăn khi hiểu và sử dụng khóa phần cứng.

MFA chống phishing đảm bảo rằng ngay cả khi tương tác với trang giả mạo, người dùng cũng không thể vô tình trao thông tin xác thực hợp lệ. Thiết kế bảo mật của phương thức này khiến thông tin bị đánh cắp trở nên vô dụng với kẻ tấn công hoặc ngăn thông tin đó bị đánh cắp ngay từ đầu. Phương thức dựa vào kiểm tra mật mã để xác minh tính xác thực của trang web, không chỉ danh tính người dùng.

Các cơ quan quản lý như CISA và ACSC ngày càng công nhận và khuyến nghị MFA chống phishing để bảo vệ tài khoản nhạy cảm. Áp dụng các tiêu chuẩn này có thể giúp tổ chức tuân thủ quy định pháp luật, giảm trách nhiệm pháp lý và thể hiện sự thận trọng cần thiết trong các cuộc kiểm toán an ninh mạng.

2.3 Passkey là gì?#

Passkey là thông tin xác thực hiện đại được xây dựng trên các tiêu chuẩn mở như FIDO2 và WebAuthn. Thay vì dựa vào bí mật dùng chung như mật khẩu, passkey sử dụng mật mã bất đối xứng:

• Khóa công khai (được gửi đến máy chủ khi xác thực)
• Khóa riêng tư (không bao giờ rời khỏi thiết bị của người dùng và không cần nhập hoặc ghi nhớ)

Khi người dùng đăng ký tài khoản bằng passkey, thiết bị tạo một cặp khóa duy nhất. Khóa công khai được gửi đến máy chủ và liên kết với tài khoản, còn khóa riêng tư được giữ an toàn trên thiết bị. Để xác thực, máy chủ gửi một yêu cầu thử thách và thiết bị dùng khóa riêng tư để ký yêu cầu đó, chứng minh danh tính mà không tiết lộ bí mật có thể bị đánh cắp.

Passkey giúp người dùng không phải nhớ hay quản lý mật khẩu phức tạp. Việc xác thực thường chỉ cần xác minh sinh trắc học, như quét khuôn mặt hoặc vân tay, vốn đã quen thuộc khi mở khóa điện thoại. Vì mỗi passkey gắn với một tên miền cụ thể, các nỗ lực phishing thất bại: kẻ tấn công không thể lừa người dùng cung cấp thông tin xác thực có thể tái sử dụng. Sự kết hợp giữa bảo mật cao và ít trở ngại khiến passkey trở thành lựa chọn nổi bật của nhiều doanh nghiệp, trong đó có Google, PayPal, TikTok và KAYAK.

2.4 Tóm tắt những khác biệt chính#

• Không mật khẩu (thuật ngữ bao quát): Loại bỏ hoàn toàn mật khẩu nhưng không phải lúc nào cũng chống phishing, tùy phương thức cụ thể.
• MFA chống phishing (thuật ngữ bao quát): Thường đảm bảo liên kết nguồn gốc nhưng đôi khi vẫn dùng mật khẩu trong quy trình đa yếu tố, chẳng hạn mật khẩu kết hợp khóa bảo mật phần cứng.
• Passkey: Vừa không cần mật khẩu vừa chống phishing. Passkey dựa trên mật mã bất đối xứng gắn với nguồn gốc hợp lệ.

3. So sánh xác thực không mật khẩu, MFA chống phishing và passkey#

Sau khi định nghĩa các khái niệm cốt lõi, chúng ta sẽ so sánh chi tiết hơn giữa passkey, xác thực không mật khẩu và MFA chống phishing. Góc nhìn này giúp xác định phương thức phù hợp nhất với yêu cầu bảo mật, kỳ vọng của người dùng và mục tiêu dài hạn của tổ chức. Chúng ta tập trung vào ba yếu tố chính:

• Bảo mật
• Trải nghiệm và mức độ sử dụng
• Triển khai và chi phí
• Quy định và tuân thủ

3.1 Bảo mật: đánh cắp thông tin xác thực và liên kết nguồn gốc#

Bảo mật là một trong những lý do chính để từ bỏ mật khẩu truyền thống. Tuy nhiên, ba khái niệm khác nhau về cách bảo vệ trước các cuộc tấn công dựa trên thông tin xác thực, như phishing hoặc tấn công vét cạn.

3.1.1 Ngăn đánh cắp thông tin xác thực#

• Không mật khẩu: Loại bỏ mật khẩu giúp giảm đáng kể nguy cơ tấn công vét cạn hoặc dùng lại mật khẩu. Tuy nhiên, tùy phương thức, chẳng hạn OTP qua SMS hay magic link, vẫn có nguy cơ nếu kẻ tấn công lừa người dùng nhập hoặc chuyển tiếp OTP trên trang phishing.
• MFA chống phishing: Sử dụng các phương thức như khóa bảo mật FIDO2 để đảm bảo không chia sẻ bí mật có thể tái sử dụng. Ngay cả khi kẻ tấn công lấy được một phần thông tin, như khóa công khai, thông tin đó cũng vô dụng về mặt mật mã nếu không có khóa riêng tư tương ứng.
• Passkey: Nhờ sử dụng mật mã bất đối xứng, passkey không để bí mật dùng chung rời khỏi thiết bị người dùng. Kẻ tấn công đánh cắp dữ liệu từ máy chủ chỉ lấy được khóa công khai, vốn vô dụng nếu không có khóa riêng tư được bảo vệ cục bộ.

3.1.2 Ngăn chặn phishing#

• Không mật khẩu: Đây là thuật ngữ bao quát nên khả năng ngăn phishing không phải lúc nào cũng được đảm bảo. Magic link hoặc OTP qua SMS vẫn có thể bị chặn nếu người dùng nhập nhầm vào trang giả mạo. Điều này khiến một số phương thức không mật khẩu kém tin cậy hơn trước các cuộc phishing tinh vi.
• MFA chống phishing: Một chức năng cốt lõi là xác nhận tên miền hợp lệ trước khi xác thực người dùng. Khóa bảo mật phần cứng hoặc passkey xác minh tính xác thực của trang web, vì chúng gắn với nguồn gốc ban đầu, qua đó ngăn kẻ tấn công thu thập bí mật hợp lệ.
• Passkey: Được xây dựng trên FIDO2 / WebAuthn, passkey mặc nhiên gắn với nguồn gốc. Nếu người dùng cố xác thực trên tên miền giả mạo, passkey sẽ không hoàn tất kiểm tra mật mã. Điều này ngăn chặn hiệu quả các cuộc tấn công phishing.

3.1.3 Kết luận về bảo mật#

Passkey và MFA chống phishing bảo vệ tốt hơn trước việc đánh cắp thông tin xác thực và phishing nhờ liên kết nguồn gốc bằng mật mã mạnh và không tiết lộ bí mật.

Các phương thức không mật khẩu vẫn tiến bộ hơn nhiều so với mật khẩu thông thường, nhưng khả năng chống phishing có thể khác nhau nếu chúng dựa vào (T)OTP hoặc bí mật có thể bị chặn, chẳng hạn trong magic link.

3.2 Trải nghiệm và mức độ sử dụng#

Một phương thức bảo mật sẽ không có ý nghĩa nếu quá bất tiện với người dùng cuối. Quy trình đăng nhập mượt mà, trực quan có thể giảm sự khó chịu, giảm chi phí hỗ trợ và tăng mức độ sử dụng. Người dùng cũng không cần tìm cách vòng tránh để sử dụng phương thức đăng nhập.

3.2.1 Đăng ký và thiết lập ban đầu#

• Không mật khẩu: Đăng ký không mật khẩu thường dễ hơn tạo và ghi nhớ mật khẩu mới. Ví dụ, nhận magic link qua email hoặc xác minh bằng OTP qua SMS có thể quen thuộc, dù gây thêm một chút chậm trễ.
• MFA chống phishing: Nếu dùng khóa bảo mật phần cứng, quá trình đăng ký có thể cần phân phối khóa vật lý hoặc cài phần mềm chuyên dụng. Tuy nhiên, sau khi thiết lập, đăng nhập hằng ngày có thể đơn giản như chạm vào khóa được cắm vào hoặc đặt gần thiết bị.
• Passkey: Việc thiết lập thường đơn giản; người dùng chủ yếu đăng ký passkey bằng thao tác xác minh sinh trắc học nhanh trên thiết bị, như quét vân tay hoặc khuôn mặt.

3.2.2 Trở ngại khi đăng nhập hằng ngày#

• Không mật khẩu: Loại bỏ mật khẩu đã cải thiện đáng kể khả năng sử dụng vì người dùng không cần ghi nhớ, tìm trong trình quản lý mật khẩu hay viết lên giấy nhớ. Tuy nhiên, OTP hoặc magic link có thể gây bất tiện nếu người dùng phải chuyển ứng dụng để lấy mã hoặc liên kết.
• MFA chống phishing: Khi khóa bảo mật phần cứng được cắm vào hoặc đặt gần thiết bị, việc đăng nhập khá đơn giản. Dù vậy, người dùng thường phải nhấn nút và/hoặc nhớ và nhập mã PIN. Nếu MFA chống phishing dùng passkey, trải nghiệm sẽ liền mạch hơn.
• Passkey: Thường có rất ít trở ngại: người dùng mở khóa thiết bị bằng sinh trắc học, như Face ID, Touch ID hoặc Windows Hello, rồi passkey xử lý phần còn lại. Đây là trải nghiệm đăng nhập gần như không cần nỗ lực.

3.2.3 Mức độ phức tạp và tin cậy theo cảm nhận#

• Không mật khẩu: Cách đăng nhập không cần mật khẩu phù hợp với những người đã chán việc đặt lại mật khẩu.
• MFA chống phishing: Rất an toàn nhưng có thể trông phức tạp với người dùng mới nếu cần khóa bảo mật phần cứng.
• Passkey: Người dùng đã quen mở khóa điện thoại bằng sinh trắc học thường thấy passkey là công nghệ quen thuộc. Niềm tin vào hệ sinh thái Apple / Google / Microsoft cũng thúc đẩy việc sử dụng.

3.2.4 Kết luận về trải nghiệm và mức độ sử dụng#

Các phương thức không mật khẩu, đặc biệt là sinh trắc học, dễ sử dụng. MFA chống phishing có thể thân thiện sau khi triển khai, nhưng yêu cầu về phần cứng có thể gây phiền trong một số trường hợp. Passkey thường mang lại sự tiện lợi tốt nhất.

3.3 Triển khai và chi phí#

Ngoài bảo mật và trải nghiệm, các yếu tố thực tế như độ phức tạp khi tích hợp, công sức hỗ trợ và chi phí trực tiếp ảnh hưởng đến khả năng triển khai giải pháp trên quy mô lớn.

3.3.1 Tích hợp với hệ thống hiện có#

• Không mật khẩu: OTP qua SMS hoặc magic link tương đối dễ triển khai, nhưng mỗi cách đều cần xử lý riêng, chẳng hạn tạo và xác minh token, gửi email hoặc SMS.
• MFA chống phishing: Triển khai khóa bảo mật phần cứng như YubiKey có thể phức tạp hơn: tổ chức phải lên kế hoạch phân phối khóa, xây dựng quy trình khôi phục và đào tạo người dùng. Tuy nhiên, nền tảng công nghệ dựa trên FIDO đã được thiết lập vững chắc.
• Passkey: Việc triển khai có thể khó khăn do cần hỗ trợ rộng trong toàn bộ hệ sinh thái, bao gồm khả năng tương thích thiết bị, tích hợp trình duyệt và hướng dẫn người dùng.

3.3.2 Chi phí và tỷ suất hoàn vốn (ROI)#

• Không mật khẩu: Loại bỏ mật khẩu có thể tiết kiệm chi phí hỗ trợ, nhưng một số phương thức, đặc biệt là SMS, có thể phát sinh phí theo giao dịch. Quy trình dùng magic link cần hạ tầng email vững chắc. Ứng dụng xác thực TOTP và thông báo đẩy cần cài đặt và phát triển ứng dụng chuyên dụng.
• MFA chống phishing: Thường có chi phí ban đầu cao nhất nếu cần phần cứng, nhưng bảo vệ mạnh trước phishing. Với tài khoản có giá trị cao, chi phí của một vụ rò rỉ dữ liệu có thể vượt xa chi phí mua khóa bảo mật phần cứng.
• Passkey: Sau giai đoạn phát triển ban đầu, passkey có thể giảm yêu cầu đặt lại mật khẩu, một trong những chi phí ẩn lớn nhất của bộ phận hỗ trợ IT. Passkey cũng giảm thiểu các vụ chiếm đoạt tài khoản, trực tiếp cải thiện kết quả tài chính. Ngoài ra, passkey có thể thay thế phần lớn OTP qua SMS tốn kém.

3.3.3 Kết luận về triển khai và chi phí#

Các phương thức không mật khẩu thường đơn giản hơn mật khẩu nhưng chi phí vận hành rất khác nhau. MFA chống phishing có thể tốn kém và phức tạp hơn khi triển khai quy mô lớn, đặc biệt nếu cần mua và phân phối khóa bảo mật phần cứng chuyên dụng. Triển khai passkey gặp khó khăn do yêu cầu kỹ thuật phức tạp và nhu cầu tương thích đa nền tảng.

3.4 Quy định và tuân thủ#

Nhiều quy định, như PSD2 trong lĩnh vực tài chính châu Âu và HIPAA trong chăm sóc sức khỏe, hiện khuyến nghị rõ ràng hoặc yêu cầu xác thực mạnh, chống phishing.

• Không mật khẩu: Có thể đáp ứng một số yêu cầu tuân thủ, chẳng hạn “bắt buộc 2FA hoặc MFA”, nhưng tùy phương thức mà có thể không chống phishing.
• MFA chống phishing: Thường mang lại mức đảm bảo cao nhất cho kiểm toán viên và cơ quan quản lý, đáp ứng các yêu cầu nghiêm ngặt về đăng nhập an toàn.
• Passkey: Đã phù hợp với tiêu chuẩn FIDO2, đáp ứng hoặc vượt yêu cầu bảo mật trong phần lớn ngành có quy định.

3.5 Bảng so sánh#

4. Ví dụ thực tế và trường hợp sử dụng#

4.1 Mercari tăng tỷ lệ đăng nhập thành công bằng passkey so với OTP qua SMS#

Trước đây, nền tảng thương mại điện tử Mercari dựa vào mã dùng một lần qua SMS để bảo vệ đăng nhập và xác minh giao dịch. Cách này phát sinh phí đáng kể cho việc gửi tin nhắn trên toàn thế giới và đôi khi khiến người dùng phàn nàn vì mã đến chậm hoặc không đến.

Kết quả:

• Giảm mạnh chi phí: Nhờ loại bỏ phần lớn lưu lượng SMS, Mercari giảm đáng kể chi phí tin nhắn OTP.
• Tăng bảo mật: Passkey chống được tấn công hoán đổi SIM và phishing vì sử dụng mật mã bất đối xứng gắn với tên miền hợp lệ của hãng hàng không.
• Đăng nhập thành công nhiều hơn: Việc sử dụng passkey đạt tỷ lệ đăng nhập thành công 82,5%, so với 67,7% của OTP qua SMS.

Điểm rút ra:
Chuyển sang passkey có thể tạo ra thay đổi lớn cho các tổ chức có lượng đăng nhập cao. Ngoài việc cải thiện bảo mật, khoản tiết kiệm từ OTP qua SMS có thể tác động đáng kể đến kết quả tài chính.

4.2 Startup SaaS dùng magic link để đăng ký không mật khẩu thuận tiện#

Các startup SaaS thường dùng magic link vì phương thức xác thực này giúp người dùng đăng ký nhanh và giảm mạnh các yêu cầu hỗ trợ do quên mật khẩu.

Kết quả:

• Giảm trở ngại khi đăng ký: Tỷ lệ người dùng bỏ dở trong quá trình đăng ký giảm hơn 30%, giúp tăng chuyển đổi.
• Ít yêu cầu hỗ trợ hơn: Các yêu cầu đặt lại mật khẩu giảm mạnh, giúp đội hỗ trợ nhỏ của startup tập trung vào câu hỏi về sản phẩm.
• Điều chỉnh linh hoạt: Vì magic link tương đối dễ triển khai và cải tiến, quy trình có thể dễ dàng điều chỉnh, giúp cải thiện mức độ hài lòng chung với quá trình tiếp nhận người dùng.

Điểm rút ra:
Với startup SaaS, các giải pháp không mật khẩu như magic link không chỉ đơn giản hóa việc tiếp nhận người dùng mà còn giảm gánh nặng vận hành trong quản lý mật khẩu, một lợi thế quan trọng ở giai đoạn đầu tăng trưởng.

4.3 MyGov tăng bảo mật và ngăn phishing cho tài khoản công dân#

MyGov, cổng trực tuyến của chính phủ Úc, cung cấp quyền truy cập nhiều dịch vụ công, như Medicare, Centrelink và Cơ quan Thuế Úc. Việc xử lý dữ liệu cá nhân nhạy cảm khiến MyGov phải tuân thủ quy định nghiêm ngặt và chịu sự giám sát chặt chẽ hơn của công chúng.

Kết quả:

• Mức độ sử dụng tăng: Triển khai passkey cho 200.000 người dùng trong 3 tháng.
• Đáp ứng tốt yêu cầu tuân thủ: Bằng liên kết nguồn gốc bằng mật mã qua token phần cứng và giải pháp ứng dụng an toàn, MyGov đáp ứng ASD Essential Eight và các chỉ thị an ninh mạng quốc gia khác.
• Giảm sự cố phishing: Thông tin xác thực bị đánh cắp khó tái sử dụng hơn nhiều nếu không có token phần cứng hợp lệ hoặc khóa gắn với thiết bị.
• Tăng lòng tin của công chúng: Việc nhấn mạnh các giải pháp MFA vững chắc giúp củng cố niềm tin của người dùng trong bối cảnh ngày càng lo ngại về rò rỉ dữ liệu.

Điểm rút ra:
Với các cơ quan chính phủ và doanh nghiệp khu vực công, hoặc tổ chức trong các ngành được quản lý chặt chẽ, triển khai MFA chống phishing không chỉ quan trọng về bảo mật mà còn để tiếp tục tuân thủ các tiêu chuẩn đang thay đổi.

5. Corbado có thể hỗ trợ như thế nào#

Bảng ở mục 3.5 chấm điểm ba lựa chọn một cách khái quát. Bảng thực sự phục vụ quyết định cần dựa trên hệ thống đăng nhập của chính tổ chức, với các hàng là phương thức người dùng thực sự sử dụng và điểm số là tỷ lệ hoàn tất thay vì thang năm điểm. Corbado Observe, lớp quan sát hoạt động xác thực, tạo ra bảng đó.

• Các phương thức thực tế đang sử dụng. Mỗi lượt đăng nhập được phân loại thành các luồng con: mật khẩu, passkey, đăng nhập mạng xã hội, mã dùng một lần qua SMS, mã dùng một lần qua email, TOTP và xác nhận qua ứng dụng. Tỷ lệ đăng nhập theo từng phương thức và tỷ lệ thành công của mỗi phương thức là điểm xuất phát thực tế để lựa chọn giữa ba nhóm trong bài viết.
• Điểm mỗi phương thức khiến người dùng bỏ dở. Login Friction phân loại mỗi lượt đăng nhập đã bắt đầu thành các nhóm: khôi phục, chuyển sang phương thức khác, hủy, lỗi, đặt lại và hoàn tất không gặp trở ngại; sau đó phân tách theo phương thức. Nhờ vậy, nhận định “không mật khẩu giảm trở ngại” trở thành số liệu cụ thể trên lưu lượng thực tế.
• Giá trị của phương án chống phishing so với các phương án khác. Method Uplift phân loại luồng đăng nhập theo những phương thức có thể sử dụng trong từng luồng: chỉ mật khẩu, mật khẩu cùng passkey, mật khẩu cùng đăng nhập mạng xã hội hoặc cả ba. Công cụ đánh giá từng nhóm so với mức cơ sở chỉ dùng mật khẩu. Tất cả các nhóm được xem xét trong cùng một khoảng thời gian, giúp đánh giá mức độ sử dụng cho sản phẩm theo mục 3.2 mà không phải chờ ngày chuyển đổi để so sánh.
• Không cần chương trình passkey. Observe hoạt động trên hệ thống đăng nhập hiện tại. Nếu hệ thống dùng mật khẩu và mã SMS, công cụ đo cả hai, chính là điểm khởi đầu của phần lớn quyết định trong bài viết.

See Login Methods in Corbado Observe →

Khi quyết định chọn passkey, Corbado Connect đảm nhiệm việc triển khai. Các lời nhắc có điều kiện và Passkey Intelligence biến lợi thế trải nghiệm ở mục 3.2 thành mức sử dụng passkey cao hơn tới 10 lần, bằng cách kiểm soát người dùng nào nhìn thấy lời đề nghị và thời điểm hiển thị.

6. Kết luận#

Sau khi tìm hiểu mật khẩu truyền thống, passkey, các lựa chọn không mật khẩu và MFA chống phishing, chúng ta có thể tổng kết những điểm chính.

Mỗi phương thức đều có lợi ích riêng:

• Không mật khẩu: Cải thiện đáng kể so với mật khẩu, giảm trở ngại cho người dùng và chi phí hỗ trợ, nhưng không phải lúc nào cũng chống phishing.
• MFA chống phishing: Mang lại bảo mật cao cho môi trường rủi ro cao, đảm bảo kẻ tấn công không thể khai thác sai sót của con người.
• Passkey: Cân bằng hiệu quả giữa các yếu tố: không cần mật khẩu, là MFA chống phishing theo thiết kế và được các doanh nghiệp tiên phong trong ngành hậu thuẫn. Passkey mang lại bảo mật hàng đầu mà không đánh đổi trải nghiệm người dùng.

Nâng cấp xác thực ngay hôm nay không chỉ cải thiện bảo mật mà còn giúp doanh nghiệp trở thành tổ chức có tư duy tiên tiến, lấy người dùng làm trung tâm và sẵn sàng phát triển trong nền kinh tế số.

Về Corbado

Corbado là Passkey Intelligence Platform dành cho các đội CIAM vận hành xác thực consumer ở quy mô lớn. Chúng tôi giúp bạn nhìn thấy điều mà log IDP và các công cụ analytics thông thường không thấy: những thiết bị, phiên bản OS, trình duyệt và trình quản lý credential nào hỗ trợ passkey, tại sao quá trình đăng ký không chuyển thành đăng nhập, luồng WebAuthn fail ở đâu, và khi nào một bản cập nhật OS hay trình duyệt làm hỏng đăng nhập một cách âm thầm, tất cả mà không cần thay thế Okta, Auth0, Ping, Cognito hay IDP nội bộ của bạn. Hai sản phẩm: Corbado Observe bổ sung observability cho passkey và mọi phương thức đăng nhập khác. Corbado Connect mang đến managed passkey với analytics tích hợp (song hành cùng IDP của bạn). VicRoads vận hành passkey cho hơn 5M người dùng với Corbado (kích hoạt passkey 80%+). Trao đổi với chuyên gia Passkey →