Passwordless authentication là gì?

Sự khác biệt giữa phương pháp xác thực mật khẩu (password authentication) và xác thực không mật khẩu (passwordless authentication) bắt nguồn từ các loại thông tin cốt lõi được sử dụng trong quá trình đăng nhập (login). Xác thực mật khẩu dựa trên kiến ​​thức, người dùng phải cung cấp thông tin mà họ biết, chẳng hạn như địa chỉ email, mật khẩu truyền thống hoặc số nhận dạng cá nhân (PIN).

Mặt khác, xác thực không mật khẩu (passwordless authentication) được lấy từ các loại thông tin khác nhau mà người dùng có. Loại đầu tiên là yếu tố vốn có (inherence factor). Với yếu tố (factor) này, danh tính (identity) của người dùng được xác minh bằng dữ liệu sinh trắc học của họ, chẳng hạn như dấu vân tay, quét võng mạc hoặc nhận dạng giọng nói. Các phương pháp xác thực này đặc biệt khó bị hack hoặc sao chép vì chúng độc nhất đối với người dùng cá nhân.

Xác thực không mật khẩu (passwordless authentication) cũng có thể được thực hiện thông qua thông tin mà người dùng sở hữu. Đây có thể là liên kết xác minh email, thẻ bảo mật (security card), ứng dụng xác thực (authentication app) hoặc mật khẩu dùng một lần (one-time password). Yếu tố sở hữu (possession factor) cũng an toàn hơn đáng kể so với mật khẩu vì chúng yêu cầu người dùng truy cập vào một thiết bị hoặc ứng dụng riêng biệt trong thời gian thực (real time).

Trong cả hai trường hợp, quy trình xác thực không mật khẩu (passwordless authentication) yêu cầu một cặp khóa mật mã (cryptographic key): một khóa riêng tư (private key) và một khóa công khai (public key). Khóa riêng tư là duy nhất đối với người dùng cá nhân và vì nó không phải là mật khẩu truyền thống nên tin tặc (hacker) sẽ khó đánh chặn (intercept) hơn nhiều. Khóa công khai được lưu trữ trên ứng dụng hoặc hệ thống mà người dùng đang cố gắng truy cập bằng khóa riêng tư. Quyền truy cập (access) chỉ được cấp nếu khóa công khai và khóa riêng trùng khớp.

Ví dụ về xác thực không mật khẩu (passwordless authentication) là xác thực sinh trắc học (biometric authentication), đăng nhập một lần (single sign-on), v.v