Xác thực không cần mật khẩu: Nó là gì? Nó hoạt động như thế nào?

Bạn cần đăng nhập vào một trong các tài khoản trực tuyến của mình – đã đến lúc chứng minh rằng bạn chính là người mà bạn tự xưng. Thông thường, bạn sẽ gặp một trong hai tùy chọn sau đây:

1. Xác thực dựa trên kiến thức. Điều này thường có nghĩa là sử dụng mật khẩu. Đây là một phương thức quen thuộc, nhưng thường gây ra nhiều vấn đề cho cả người dùng lẫn các tổ chức. Cuộc khảo sát của chúng tôi cho thấy 32% người dùng đã phải yêu cầu nhắc lại mật khẩuchỉ trong vòng 24 giờ qua. Việc quên mật khẩu là một vấn đề nghiêm trọng, gây ra chi phí quản lý đáng kể và tỷ lệ bỏ cuộc cao cho các doanh nghiệp.
2. Xác thực không cần mật khẩu. Đây có thể là Mật mã một lần SMS (OTP), Xác thực vân tay hoặc bất kỳ phương thức Xác thực nào khác không yêu cầu mật khẩu. Ví dụ, với sinh trắc học khuôn mặt iProov, người dùng có thể Xác thực đơn giản bằng cách nhìn vào thiết bị của họ để có quyền truy cập vào tài khoản của họ.

Trong những năm gần đây, các tổ chức đã dần từ bỏ việc sử dụng mật khẩu và chuyển sang các phương án không cần mật khẩu, bởi vì xác thực dựa trên mật khẩu thường rườm rà, tốn kém và không an toàn.

Có rất nhiều phương án đăng nhập không cần mật khẩu khác nhau, nhưng không phải phương án nào cũng như nhau – một số phương án mang lại trải nghiệm người dùng, tính bảo mật và tính bao trùm tốt hơn so với những phương án khác. Hãy cùng tìm hiểu.

Xác thực không cần mật khẩu là gì?

Xác thực không cần mật khẩu là quá trình xác thực quyền truy cập của người dùng vào tài khoản, phần mềm hoặc dịch vụ trực tuyến mà không yêu cầu sử dụng mật khẩu dựa trên thông tin cá nhân.

Có một số công nghệ có thể được sử dụng để cho phép người dùng truy cập an toàn mà không cần mật khẩu, chẳng hạn như:

• Xác thực sinh trắc học (ví dụ: khuôn mặt, giọng nói hoặc vân tay)
• Xác thực SMS OTP
• Email Xác thực liên kết một lần
• Ứng dụng Xác thực
• Xác thực dựa trên phần cứng (tức là Yubikey)
• Xác minh cuộc gọi video

Tại sao các tổ chức chọn Xác thực không cần mật khẩu?

Ở cấp độ cơ bản nhất, xác thực không cần mật khẩu mang lại lợi ích vì nó thường giúp tăng cường bảo mật. Các lỗ hổng liên quan đến mật khẩu đã được biết đến rộng rãi và có thể bị khai thác theo nhiều cách khác nhau – hơn nữa, các phương pháp quản lý mật khẩu thường tiềm ẩn rủi ro.

Do đó, các phương án không cần mật khẩu được thiết kế nhằm tăng cường bảo mật và hạn chế diện tích tấn công – tức là giảm số lượng cách thức mà hệ thống có thể bị tấn công. Một giải pháp không cần mật khẩu hiệu quả cũng có thể giúp quá trình xác thực trở nên thuận tiện hơn cho người dùng so với việc sử dụng mật khẩu, bởi vì mật khẩu rất dễ bị mất, quên hoặc bị xâm phạm, dẫn đến các quy trình khôi phục kéo dài.

Ngày nay, các tổ chức thường lựa chọn triển khai xác thực hai yếu tố hoặc đa yếu tố để tăng cường độ tin cậy trực tuyến trong môi trường đầy rủi ro và hạn chế gian lận thông qua cơ chế xác thực mạnh mẽ hơn. Điều này có nghĩa là các tổ chức không cần phải loại bỏ hoàn toàn mật khẩu nếu họ không muốn – thay vào đó, họ có thể kết hợp mật khẩu với một yếu tố khác, chẳng hạn như xác thực khuôn mặt sinh trắc học.

Nhưng hãy nhớ rằng: những lợi ích cụ thể của việc không cần mật khẩu sẽ phụ thuộc vào Giải pháp bạn áp dụng. Điều quan trọng là phải đạt được sự cân bằng giữa bảo mật và trải nghiệm người dùng.

Quá khứ và tương lai của Xác thực không cần mật khẩu

Trong những ngày đầu của internet, các tổ chức thường chỉ dựa vào ID người dùng và mật khẩu để xác minh khách hàng. Khi nhiều tiền bắt đầu đổi chủ trực tuyến, những kẻ lừa đảo bắt đầu lợi dụng.

Những kẻ lừa đảo đã thành công: thật đáng kinh ngạc, 80% các vi phạm liên quan đến hack liên quan đến thông tin đăng nhập mật khẩu bị xâm phạm và yếu. Mật khẩu Giới thiệu bản chất làm suy yếu tính toàn vẹn của quy trình bảo mật và khiến cá nhân hoặc dịch vụ gặp rủi ro. Điều này gây ra rủi ro bảo mật trên toàn xã hội cho người dùng và tổ chức.

Trên đường đi, các cuộc tấn công mà các tác nhân xấu sử dụng để phá hoại mật khẩu trở nên tinh vi và có khả năng mở rộng hơn. Chúng bao gồm, nhưng không giới hạn ở:

• Lừa đảo
• Keylogging
• Tấn công vũ phu
• Man-in-the-middle tấn công.

Vì vậy, các phương pháp xác thực khách hàng mới đã ra đời nhằm khắc phục những nhược điểm của mật khẩu. Một số phương pháp vẫn tồn tại, trong khi một số khác dần bị loại bỏ. Một trong những phương pháp vẫn được sử dụng là xác thực sinh trắc học – không chỉ bởi vì nó có thể cung cấp quyền truy cập an toàn chỉ trong vài giây mà người dùng không cần phải ghi nhớ bất cứ điều gì.

iProov dự đoán rằng phương thức xác thực sinh trắc học kết hợp với thiết bị sẽ thay thế phương thức xác thực bằng mật khẩu kết hợp với thiết bị để trở thành giải pháp xác thực hai yếu tố – điều này có nghĩa là chúng ta cuối cùng cũng có thể chứng kiến sự kết thúc của mật khẩu, ngay cả khi chúng vẫn được sử dụng trong các giải pháp xác thực hai yếu tố và đa yếu tố.

Xác thực không cần mật khẩu hoạt động như thế nào?

Xác thực không cần mật khẩu thường được chia thành hai loại:

1. Dựa trên sở hữu

Các yếu tố dựa trên sở hữu, chẳng hạn như OTP, đôi khi được gọi là "thứ bạn sở hữu". Họ cố gắng Xác thực người dùng thông qua quyền sở hữu thiết bị. Ví dụ: nếu bạn có thể tìm nạp và dán OTP, thì điều này sẽ chứng minh rằng bạn là người sở hữu thiết bị được liên kết với số điện thoại đó và bạn có quyền truy cập độc quyền - do đó chứng minh danh tính của bạn.

Một vấn đề với Xác thực dựa trên sở hữu là nó tin tưởng các thiết bị hơn con người. Mã có thể chia sẻ và lừa đảo, có nghĩa là chúng không phải là đại diện rõ ràng Giới thiệu danh tính của ai đó.

2. Căn cứ vào vốn có:

Các yếu tố dựa trên đặc điểm bẩm sinh – tức là sinh trắc học – đôi khi được gọi là “điều mà bạn vốn có”. Chúng xác thực người dùng bằng cách xác nhận một đặc điểm sinh học/vật lý. Ví dụ, quét khuôn mặt bằng cảm biến của thiết bị hoặc đặt ngón tay lên đầu đọc vân tay của thiết bị.

Yếu tố xác thực thứ ba là yếu tố dựa trên kiến thức. Xác thực dựa trên kiến thức thường đề cập đến mật khẩu, nhưng cũng có thể là các câu trả lời bí mật, chẳng hạn như tên con vật cưng đầu tiên của bạn hoặc họ trước khi kết hôn của mẹ bạn (mặc dù hiện nay các câu trả lời bí mật ít được sử dụng hơn).

Nói một cách đơn giản, xác thực không cần mật khẩu hoạt động bằng cách người dùng xác thực thông qua một yếu tố dựa trên vật sở hữu hoặc đặc điểm sinh trắc học – chẳng hạn như mã OTP hoặc quét sinh trắc học khuôn mặt – thay vì mật khẩu.

Tính năng tự động điền mật khẩu không phải là xác thực không cần mật khẩu. Việc sử dụng mã mở khóa điện thoại di động để điền vào ô mật khẩu cũng không phải là xác thực không cần mật khẩu. Cả hai phương án này đều dựa trên một mật khẩu cơ bản. Xác thực không cần mật khẩu hoạt động bằng cách loại bỏ sự cần thiết phải có mật khẩu thông qua việc sử dụng một công nghệ hoàn toàn khác.

Nhấp vào đây để hiểu sâu hơn Giới thiệu các phương pháp Xác thực khác nhau có sẵn.

Tại sao nên chọn sinh trắc học khuôn mặt để Xác thực không cần mật khẩu?

Sự đơn giản của công nghệ nhận dạng khuôn mặt là một trong những ưu điểm lớn của nó. Công nghệ này có tính phổ biến cao, người dùng không cần phải ghi nhớ mật khẩu và cũng không cần mang theo thiết bị hay mã truy cập nào. Điều này khiến cho việc xác thực bằng nhận dạng khuôn mặt trở thành một trong những phương pháp bảo mật mang tính bao trùm và dễ tiếp cận nhất hiện nay — nếu được triển khai đúng cách.

Mặc dù các phương pháp khác có thể mang lại lợi ích so với mật khẩu truyền thống, nhưng bảo mật vẫn thường thiếu một Giải pháp sinh trắc học tinh vi. Ví dụ, OTP thường dễ lừa đảo một cách đáng báo động. Đọc thêm Giới thiệu rủi ro của OTP tại đây.

Vậy, hãy cùng xem xét một số lĩnh vực mà phương thức xác thực sinh trắc học không cần mật khẩu có thể mang lại sự khác biệt thực sự:

• Bảo mật: Nói chung , xác thực không cần mật khẩu dựa trên sinh trắc học nên an toàn hơn so với việc đăng nhập bằng mật khẩu. Mật khẩu rất khó nhớ, nên mọi người thường có xu hướng sử dụng cùng một mật khẩu trên nhiều trang web. Điều này có nghĩa là nếu mật khẩu bị đoán trúng hoặc bị rò rỉ, tin tặc có thể xâm nhập vào hàng loạt tài khoản người dùng bằng cách sử dụng các cuộc tấn công “credential stuffing”. Ngoài ra, người dùng thường chọn những mật khẩu đơn giản, dễ bị bẻ khóa. Đó là lý do tại sao phần lớn các vụ vi phạm bảo mật đều liên quan đến mật khẩu. 63% người tiêu dùng đã phải thay đổi mật khẩu do các vụ vi phạm bảo mật. Tuy nhiên, bạn không thể mất khuôn mặt của mình hay bị đánh cắp khuôn mặt – đó không phải là sự hiện diện thực sự của bạn.
• Nâng cao trải nghiệm và sự tiện lợi cho người dùng: Với phương thức xác thực không cần mật khẩu, người dùng thường không cần phải ghi nhớ bất cứ điều gì. Với iProov, họ thậm chí không cần phải làm gì cả : chỉ cần nhìn thẳng vào camera hướng về người dùng trên thiết bị của mình. Quy trình xác thực thụ động này cực kỳ đơn giản đối với người dùng cuối và đáp ứng các tiêu chuẩn về khả năng tiếp cận hàng đầu như WCAG 2.2 AA.
• Giảm chi phí: Sinh trắc học có nghĩa là giảm chi phí đặt lại mật khẩu và ít thời gian hơn để nhắc nhở nhân viên đặt lại mật khẩu hoặc sử dụng mật khẩu an toàn. Vé trợ giúp mật khẩu là một vấn đề lớn trong các ngành công nghiệp - một số tổ chức lớn có trụ sở tại Hoa Kỳ trong các ngành dọc khác nhau phân bổ hơn 1 triệu đô la hàng năm cho chi phí hỗ trợ liên quan đến mật khẩu. Họ yêu cầu bảo trì liên tục từ CNTT. Xóa mật khẩu giúp loại bỏ các chi phí này bằng cách dựa vào các phương pháp Xác thực hiệu quả và an toàn hơn.

Lợi ích của việc triển khai xác thực không cần mật khẩu bằng công nghệ nhận dạng khuôn mặt

Tương tự như một số phương pháp không cần mật khẩu tốt hơn những phương pháp khác, một số Giải pháp sinh trắc học cũng tốt hơn những phương pháp khác.

Một số yếu tố độc đáo giúp công nghệ iProov vượt trội so với các giải pháp khác trong lĩnh vực xác thực không cần mật khẩu:

• Tỷ lệ hoàn tất giao dịch dẫn đầu ngành: Tỷ lệ hoàn tất giao dịch của iProov thường vượt quá 98%. So sánh con số này với thực tế là hơn 50% người dùng đã từ bỏ việc mua hàng trực tuyến vì quên mật khẩu và quá trình khôi phục mật khẩu mất quá nhiều thời gian, thì sẽ dễ dàng hiểu được lý do tại sao các tổ chức đang dần từ bỏ việc sử dụng mật khẩu.
• Bảo mật dựa trên đám mây. Bảo mật dựa trên đám mây của iProov có nghĩa là quá trình xác thực của chúng tôi không bị ảnh hưởng bởi bất kỳ lỗ hổng bảo mật nào trên thiết bị được sử dụng. Điều này cũng có nghĩa là hệ thống bảo mật của chúng tôi là “không thể nhìn thấu” đối với kẻ tấn công và khó bị phân tích ngược hơn rất nhiều. Cuối cùng, điều này cho phép iProov cung cấp dịch vụ xác thực ngoài băng tần. Một số tùy chọn xác thực không cần mật khẩu bị ràng buộc với thiết bị – do đó, nếu thiết bị đó bị xâm nhập, mã OTP hoặc ứng dụng xác thực sẽ trở nên vô dụng vì kẻ tấn công có quyền truy cập vào các mã trên thiết bị. Đây là lý do tại sao Tổng thống Biden đã nhấn mạnh tầm quan trọng của kiến trúc dựa trên đám mây.
• Trải nghiệm thực sự thụ động: Trải nghiệm người dùng iProov rất dễ dàng, nhanh chóng và thụ động - tất cả những gì người dùng cần làm là nhìn vào camera hướng tới người dùng của thiết bị.
• Khả năng mở rộng và thành công đã được chứng minh: iProov đã chứng minh khả năng mở rộng quy mô trong môi trường thế giới thực với các triển khai lớn trên toàn thế giới - với hơn 1 triệu xác minh mỗi ngày trong thời gian cao điểm. iProov là một nhà cung cấp đã được chứng minh, đã được sử dụng tích cực và dựa vào bởi các tổ chức hàng đầu như Bộ An ninh Nội địa Hoa Kỳ và UBS.
• iSOC: Trung tâm điều hành bảo mật iProov giám sát các hoạt động hàng ngày và xác định các cuộc tấn công mới và đang phát triển. Hệ thống phòng thủ và thuật toán của chúng tôi được cập nhật liên tục để đối phó với các mối đe dọa mới, điều này khiến cuộc sống của những kẻ tấn công trở nên khó khăn hơn nhiều. Điều này cuối cùng có nghĩa là chúng ta tìm hiểu Thêm Giới thiệu những kẻ tấn công hơn là chúng tìm hiểu Giới thiệu chúng ta.

Tìm hiểu chi tiết về tất cả các ưu điểm của công nghệ xác thực sinh trắc học khuôn mặt iProovvà nắm rõ tầm quan trọng của việc kiểm tra sự tuân thủ các tiêu chuẩn sinh trắc học.

Danh sách đầy đủ các chứng nhận của chúng tôi được liệt kê tại đây. Đừng bao giờ chỉ dựa vào những tuyên bố của nhà cung cấp.

Tại sao Liveness lại quan trọng đối với Xác thực không cần mật khẩu?

Công nghệ xác thực sự sống là một thành phần của công nghệ sinh trắc học, có chức năng phân biệt giữa các vật vô tri vô giác và con người.

Công nghệ Liveness là một cân nhắc quan trọng để lựa chọn Giải pháp Xác thực không mật khẩu sinh trắc học. Khi bạn đang xem xét loại công nghệ sống động nào để sử dụng, bạn phải suy nghĩ Giới thiệu hồ sơ mối đe dọa của bạn trông như thế nào. Kẻ tấn công sẽ cố gắng như thế nào để đột nhập vào hệ thống của bạn? Làm thế nào quan trọng đối với bạn để thiết lập rằng một người dùng trực tuyến là một người thực sự và không phải là một giả mạo? Và thông tin họ đang truy cập có giá trị như thế nào? Các trường hợp sử dụng khác nhau yêu cầu mức độ đảm bảo khác nhau – đó là lý do tại sao một số tổ chức chọn Xác thực từng bước.

Cuối cùng, không phải tất cả sự sống đều được tạo ra như nhau. Có một loạt các công nghệ sống. Một số trong số chúng rất rẻ và nhanh chóng. Một số trong số chúng đáng kể và linh hoạt hơn nhiều đối với các phương pháp của kẻ tấn công có thể phát hiện ngay cả những kẻ tấn công quyết tâm nhất. Loại thứ hai có thể cung cấp sự yên tâm đáng kể cho các tổ chức và người dùng của họ.

iProov cung cấp các giải pháp đáp ứng các tình huống sử dụng từ mức rủi ro thấp đến cao. Tuy nhiên, khi một giao dịch mang tính chất then chốt, chỉ có công nghệ iProov Dynamic Liveness mới có thể đảm bảo rằng người dùng chính là người đúng, là một người thật và đang thực hiện xác thực theo thời gian thực. Điều này có vai trò thiết yếu trong việc bảo vệ chống lại các cuộc tấn công kỹ thuật số có khả năng mở rộng quy mô cao. Bằng cách sử dụng công nghệ Flashmark™ đã được cấp bằng sáng chế, một mã sinh trắc học dùng một lần được tạo ra và không thể sao chép.

Sinh trắc học để Xác thực không cần mật khẩu: Tóm tắt

• Các phương pháp Xác thực không cần mật khẩu được phát triển để chống lại sự thiếu hiệu quả, không an toàn và bất tiện liên quan đến mật khẩu.
• Xác thực không cần mật khẩu thường được chia thành hai loại: dựa trên sở hữu (chẳng hạn như OTP) và dựa trên vốn có (chẳng hạn như sinh trắc học).
• Các phương thức Xác thực không cần mật khẩu nói chung sẽ an toàn và thuận tiện hơn các tùy chọn dựa trên mật khẩu. Nhưng có một hệ thống phân cấp cho các tùy chọn có sẵn: các nhà vô địch iProov phải đối mặt với sinh trắc học như một phương pháp tối đa hóa sự tiện lợi, toàn diện và bảo mật.
• Xác thực Sinh trắc học khuôn mặt của iProov đang được sử dụng trên quy mô lớn bởi các tổ chức có ý thức bảo mật nhất thế giới để cung cấp Giải pháp không cần mật khẩu giúp cải thiện bảo mật và trải nghiệm người dùng đồng thời.

Nếu bạn muốn biết thêm Giới thiệu việc triển khai công nghệ của iProov để cung cấp Xác thực không cần mật khẩu liền mạch và an toàn, vui lòng yêu cầu bản demo tại đây.