Cách sử dụng Mật khẩu trên iPhone, iPad và Mac của bạn

“Mật mã” là tên gọi của một quy trình đăng nhập đơn giản hóa vào các trang web đã xuất hiện đầy đủ vào cuối năm nay với macOS 13 Ventura, iOS 16 và iPadOS 16. Mã khóa dựa trên các tiêu chuẩn ngành được hỗ trợ rộng rãi để cho phép bạn thực hiện đăng nhập được mã hóa hầu như không cần nỗ lực từ phía bạn sau khi thiết lập ban đầu.

Bạn có thể thử mã khóa mà không cần cài đặt bản beta công khai của các hệ điều hành sắp ra mắt này, vì Apple đã tích hợp tính năng hỗ trợ mã khóa ở dạng xem trước vào Safari trên tất cả các hệ điều hành của hãng trong iOS 15, iPadOS 15 và Safari 15 với macOS 12 Monterey. Với việc phát hành đầy đủ mã khóa trong vài tuần hoặc vài tháng, đồng thời Google và Microsoft đã công bố hỗ trợ cho công nghệ tương thích, bạn có thể thấy các tùy chọn để thêm thông tin đăng nhập bằng mã khóa tại nhiều trang web vào mùa thu này.

Đây là cách quá trình hoạt động.

ID Apple

Bắt đầu với Sonoma iOS 17 và macOS 14, ID Apple của bạn sẽ hỗ trợ xác thực bằng mật khẩu. Bất cứ nơi nào bạn cần đăng nhập bằng ID Apple của mình, bao gồm các trang web và icloud.com, bạn sẽ có hai tùy chọn để đăng nhập: bằng mật khẩu tiêu chuẩn hoặc bằng cách nhấn nút “Tiếp tục với Apple” sẽ hiển thị mã QR có thể được quét bằng máy ảnh của iPhone để tạo mã duy nhất.

Đăng ký tại một trang web

Mật khẩu bao gồm một bộ khóa mã hóa được ghép nối, thường được gọi là mật mã khóa công khai. Khi bạn truy cập máy chủ hỗ trợ WebAuthn (công nghệ cần thiết để chấp nhận, lưu trữ và tương tác với mã xác nhận), trình duyệt của bạn sẽ hiển thị khóa chung của cặp mã hóa. Không thể sử dụng khóa công khai để đăng nhập mà dùng để chứng minh danh tính của bạn: bạn sở hữu khóa riêng tư, được tạo trên thiết bị của bạn và không bao giờ sử dụng nó để đăng nhập.

Để đăng ký, bạn truy cập trang web cung cấp hỗ trợ mã khóa. Một trang web có thể tuyên bố rằng nó hỗ trợ mã xác nhận một cách chung chung, nói rằng nó có hỗ trợ WebAuthn hoặc tuyên bố rằng nó tương thích với FIDO2, CTAP hoặc “thông tin xác thực FIDO đa thiết bị”. Tất cả các điều khoản đó có nghĩa là bạn có thể sử dụng mật khẩu Apple (hoặc Google hoặc Microsoft) làm thông tin xác thực đăng nhập của mình. (FIDO2 là tên được đặt bởi nhóm thương mại Liên minh FIDO, một phần quan trọng trong việc tạo mật mã và WebAuthn, đồng thời là thành viên của Apple, Microsoft và Google.)

Quá trình này sẽ hoạt động rất giống với khi bạn đăng ký tại một trang web để xác thực hai yếu tố (2FA) hoặc nếu trước đó bạn đã sử dụng khóa phần cứng cho WebAuthn, chẳng hạn như khóa do Yubico tạo:

1. Đăng nhập bằng tên người dùng và mật khẩu hiện tại của bạn.
2. Trang web có thể nhắc bạn xác minh bổ sung. Đây có thể là một liên kết được gửi qua email, mã được nhắn tin hoặc lời nhắc xác nhận 2FA bằng mã hoặc qua ứng dụng bạn đã cài đặt trên iPhone hoặc iPad.
3. Phần bảo mật của trang web cho phép bạn chọn sử dụng mã xác nhận hoặc một trong các tên thay thế ở trên.
4. Máy chủ web gửi yêu cầu tới trình duyệt của bạn để cung cấp thông tin mã hóa.
5. Bạn được nhắc phê duyệt yêu cầu này bằng Touch ID, Face ID hoặc mật khẩu thiết bị của bạn, tùy thuộc vào những gì có sẵn và được bật.
6. Nếu bạn xác thực thành công danh tính của mình, thiết bị của bạn sẽ tạo cặp khóa công khai/riêng tư. Khóa riêng tư được lưu trữ trên thiết bị của bạn và không bao giờ được gửi đến trang web từ xa.
7. Trình duyệt của bạn gửi khóa chung cùng với thông báo được ký bằng mật mã mà máy chủ có thể xác thực bằng cách sử dụng khóa chung được cung cấp: chỉ người có thiết bị giữ khóa riêng tư mới có thể tạo thông báo có thể xác minh.
8. Máy chủ web lưu khóa công khai của bạn để bạn đăng nhập trong tương lai.

Việc thiết lập thông tin đăng nhập bằng mật khẩu có thể vô hiệu hóa 2FA trên tài khoản của bạn hoặc cho phép bạn chọn đăng nhập bằng mật khẩu thay vì đường dẫn 2FA. Mật khẩu cung cấp bằng chứng về việc sở hữu cả bí mật và thiết bị lưu trữ bí mật đó, thực sự là hai yếu tố. (Một số trang web và dịch vụ có độ bảo mật cao hơn vẫn có thể yêu cầu 2FA thay vì hoặc ngoài mật khẩu.)

Bạn có thể thấy quy trình mã khóa đang hoạt động với một số phần kỹ thuật cơ bản được hiển thị tại Webauthn.me, một trang web do Auth0, một nhà cung cấp dịch vụ xác thực, tạo ra. Một số trang web sản xuất hiện cung cấp thông tin đăng nhập tương thích với mật khẩu, nhưng hiện tại chúng khá ít. Bạn có thể đặt tài khoản Google hoặc Dropbox để sử dụng “khóa bảo mật” và thay vào đó sử dụng mã xác nhận. Xem bên dưới để biết kinh nghiệm của tôi với điều đó.

Đăng nhập bằng mật khẩu

Tại một trang web đã đăng ký, bạn có thể sử dụng mật khẩu được lưu trữ vào lần tiếp theo khi bạn cần đăng nhập. Bạn có thể nhận thấy rằng nhiều trang web đã bắt đầu tách tên người dùng hoặc email tài khoản gửi khỏi một lần gửi mật khẩu–có vẻ như là chuẩn bị cho mật khẩu .

Với một trang web hoàn toàn sẵn sàng cho mật khẩu, bạn sẽ nhấn hoặc nhấp vào trường tên người dùng hoặc email tài khoản và được Safari nhắc xác thực thông tin đăng nhập bằng mật khẩu. Trong một số trường hợp, trước tiên, Safari có thể hỏi bạn xem bạn có muốn cho phép đăng nhập bằng Touch ID hoặc “khóa bảo mật” trên trang web hay không; nhấp chuột Cho phép để tiếp tục. Sau đó, bạn có thể xác thực qua Touch ID, Face ID hoặc mật khẩu thiết bị của mình giống như trong quá trình đăng ký. Đó là nó! Sử dụng trang web Webauthn.me đã lưu ý ở trên, bạn có thể kiểm tra điều này trong Bước 4 của quy trình.

Với một số trang web có hỗ trợ WebAuthn nhưng chưa hoàn toàn phù hợp với quy trình mã xác nhận được đơn giản hóa, bạn có thể được nhắc thực hiện đăng nhập bằng tên người dùng và mật khẩu thông thường trước trang web bắt đầu trình tự yêu cầu trình duyệt của bạn cung cấp mã xác nhận.

Tôi đã có thể đăng ký bằng mã xác nhận tại Dropbox bằng cách chọn tùy chọn Khóa bảo mật và làm theo lời nhắc trong Safari dành cho macOS. (Khi đăng nhập vào Dropbox qua Safari, hãy nhấp vào hình đại diện của bạn ở góc trên bên phải, nhấp vào biểu tượng Bảo vệ liên kết và nhấp vào Thêm vào bên cạnh “Khóa bảo mật”. Khi nó hỏi bạn đã cắm khóa chưa, hãy xác nhận rằng bạn đã cắm.)

Các lần đăng nhập tiếp theo hoạt động trong Safari dành cho macOS nhưng không hoạt động trong Safari dành cho iOS, có thể là do thiếu hỗ trợ đồng bộ Chuỗi khóa iCloud trước khi phát hành hệ điều hành mới. Trong iOS 16, iPadOS 15 và Ventura, khi đã bật Chuỗi khóa iCloud, mật mã sẽ đồng bộ hóa và được liệt kê trong Cài đặt > mật khẩu trong iOS/iPadOS và Cài đặt hệ thống > mật khẩu ở Ventura.

Apple sẽ cho phép bạn chia sẻ mật khẩu với những người dùng Apple khác bằng cách gửi chúng một cách an toàn qua AirDrop. Điều này sẽ chia sẻ cả khóa chung và khóa riêng, đồng thời cung cấp cho mọi người mức độ truy cập tài khoản giống như thể bạn đã cấp cho họ tên người dùng, mật khẩu và mã thông báo hai yếu tố cho tài khoản của mình.

Đăng nhập từ các thiết bị khác

Một số trang web sẽ cho phép bạn chỉ định thông tin đăng nhập bằng mật khẩu làm phương pháp duy nhất để có quyền truy cập. Vì vậy, điều gì sẽ xảy ra nếu bạn đang cố đăng nhập từ một thiết bị không lưu trữ mật khẩu của bạn, chẳng hạn như máy tính dùng chung hoặc máy tính gia đình, thiết bị tại nơi làm việc hoặc thiết bị bạn có quyền truy cập khi đi du lịch? Hoặc bạn cần sử dụng hệ thống Windows hoặc điện thoại Android để truy cập một trang web do các tính năng dành riêng cho các nền tảng đó? Apple đã thể hiện một cách tiếp cận thông minh khi giới thiệu mật khẩu tại Hội nghị các nhà phát triển toàn cầu năm 2022 yêu cầu mã QR và Bluetooth.

Quá trình hoạt động như thế này:

1. Trên thiết bị có hệ điều hành hoặc trình duyệt đủ mới để hỗ trợ đăng nhập WebAuthn, khi bạn nhập tên tài khoản của mình tại một trang web mà bạn sử dụng mã xác nhận.
2. Trang web sẽ truy vấn trình duyệt để tìm mã xác nhận và trình duyệt sẽ phát hiện ra rằng nó không có. Sau đó, bạn có thể nhấp để cung cấp mã xác nhận qua proxy, chẳng hạn như bằng cách nhấp vào “Thêm điện thoại mới”.
3. Trang web gửi truy vấn khiến trình duyệt hiển thị Mã QR.
4. Trên iPhone hoặc iPad, bạn quét Mã QR và nhấn vào lời nhắc “Đăng nhập bằng mã xác nhận”.
5. Trên thiết bị của bạn, nhấp vào Tiếp tục và sau đó phê duyệt đăng nhập bằng Touch ID, Face ID hoặc mật khẩu thiết bị của bạn.
6. Trình duyệt hiển thị bạn đã đăng nhập.

Quả táo

Trong quá trình này, thiết bị hiển thị Mã QR và iPhone hoặc iPad của bạn lặng lẽ thiết lập kết nối qua Bluetooth và trao đổi thông tin chính. Điều này cho phép thiết bị của bạn đảm bảo rằng quá trình đăng nhập đang diễn ra bằng cách sử dụng một phần thiết bị ở gần để ngăn chặn các cuộc tấn công từ xa và chuyển kênh sau Bluetooth thành một kênh được mã hóa tách biệt với kết nối trình duyệt, tránh các cuộc tấn công lừa đảo có thông tin đăng nhập giả mạo.

Sau khi bạn đã xác thực thông tin đăng nhập của mình trên thiết bị khác đó, phiên của bạn sẽ diễn ra như bình thường. Đảm bảo và đăng xuất khi bạn hoàn tất việc xóa trạng thái.

Tương lai là mật khẩu

Sự đơn giản của mật khẩu che giấu sự tinh vi. Lần đầu tiên, chúng tôi có được cả sự dễ dàng, không tốn chi phí quản lý quy trình và mức độ bảo mật cao nhất có thể. Mỗi thông tin đăng nhập là duy nhất, được lưu trữ cho bạn và được xác minh theo cả hai hướng—bởi thiết bị của bạn và bởi trang web—để đảm bảo chỉ người có quyền truy cập vào thiết bị của bạn mới có thể đăng nhập vào trang web.