Tìm hiểu về chứng nhận bảo mật FIDO2

FIDO2 là sự phát triển không cần mật khẩu của FIDO U2F. Mục tiêu tổng thể của FIDO2 là cung cấp một bộ chức năng mở rộng để đáp ứng các trường hợp sử dụng bổ sung, với trình điều khiển chính là các cách đăng nhập không cần mật khẩu.

FIDO2 là gì?

FIDO2 là giao thức xác thực mới nhất của FIDO được Liên minh FIDO phát triển. Theo các chuyên gia đánh giá, FIDO2 tiện lợi hơn, cung cấp tính bảo mật cao hơn so với bảo vệ bằng mật khẩu truyền thống và được World Wide Web Consortium (W3C) phê duyệt. Các thông số kỹ thuật FIDO2 được tạo thành từ giao thức Web Authentication (WebAuthn) của W3C và Client-to-Authenticator Protocol (CTAP) của liên minh FIDO.

• CTAP: Cho phép người dùng đăng nhập mà không cần mật khẩu bằng cách sử dụng khóa bảo mật hoặc điện thoại di động của họ để truyền thông tin xác thực qua USB, Bluetooth hoặc NFC tới thiết bị của một người.
• WebAuthn: Cho phép các dịch vụ trực tuyến sử dụng xác thực FIDO thông qua API web tiêu chuẩn, có thể được tích hợp vào trình duyệt và cho phép các thiết bị giao tiếp.

Khi kết hợp với nhau, WebAuthn và CTAP cho phép người dùng nhận dạng chính bằng sinh trắc học, mã PIN hoặc trình xác thực FIDO bên ngoài, tới máy chủ FIDO2 thuộc về một trang web hoặc ứng dụng web. FIDO2 tương thích ngược với phần cứng bảo mật FIDO đã được chứng nhận trước đó.

Khác nhau giữa FIDO2 và FIDO U2F

FIDO2 là một phiên bản nâng cấp của FIDO U2F. Nếu như ở U2F chỉ giúp bạn xác minh danh tính bằng cách sử dụng sản phẩm/ứng dụng thứ 3 (vẫn phải sử dụng mật khẩu để đăng nhập tài khoản), thì mục tiêu chính của FIDO2 chính là cung cấp cho người dùng nhiều cách hơn để đăng nhập mà không cần dùng đến mật khẩu, chẳng hạn như sử dụng khuôn mặt hoặc dấu vân tay,…

Bởi vì phiên bản cũ U2F vẫn là cơ sở cho FIDO2. Nên nếu bạn đã sử dụng các sản phẩm/ứng dụng hỗ trợ U2F để xác minh rồi, thì bạn vẫn có thể tiếp tục sử dụng nó trong hệ thống FIDO2 mới. Điều này giúp đảm bảo tính tương thích giữa các hệ thống đã triển khai U2F và FIDO2.

Được chứng nhận FIDO2 có nghĩa như thế nào?

Được chứng nhận FIDO2 có nghĩa là một sản phẩm hoặc dịch vụ đó đã vượt qua quá trình kiểm tra và thỏa mãn các tiêu chuẩn và yêu cầu của liên minh FIDO. Chứng nhận này xác nhận rằng sản phẩm hoặc dịch vụ đó đáp ứng được các chuẩn kỹ thuật và tiêu chí bảo mật của FIDO2, và có khả năng hoạt động tương thích với các thiết bị và ứng dụng khác cũng tuân theo tiêu chuẩn này.

Việc được chứng nhận FIDO2 đồng nghĩa với việc sản phẩm hoặc dịch vụ đó đã đạt được một mức độ bảo mật cao hơn và khả năng xác thực đáng tin cậy hơn so với các phương pháp truyền thống như mật khẩu. Điều này đem lại lợi ích cho người dùng với việc giảm thiểu rủi ro bị tấn công từ các cuộc tấn công như xâm nhập mật khẩu hoặc lừa đảo, đồng thời cũng tăng tính tiện lợi trong việc đăng nhập và xác thực trực tuyến.

Lợi ích của xác thực không mật khẩu FIDO2 là gì?

• Bảo vệ: Mỗi Website/tài khoản sẽ có mã xác thực FIDO2 riêng, không trùng lặp nên có thể giảm nguy cơ bị tấn công khi thông tin của 1 trong các website/tài khoản bị lộ.
• Sự tiện lợi: Người dùng có thể mở khóa thông tin đăng nhập bằng cách sử dụng các phương pháp như: vân tay, khuôn mặt,… hoặc sử dụng các khóa bảo mật FIDO2 để đăng nhập.
• Sự riêng tư: Mã thông tin xác thực FIDO2 được tạo ra riêng biệt nên người dùng không bị theo dõi hành vi trên các trang web khác nhau. Thông tin đăng nhập, dữ liệu sinh trắc học (vân tay, khuôn mặt, v.v.) không được lưu trữ trên máy chủ, đảm bảo tính riêng tư cao hơn, giảm rủi ro từ việc máy chủ bị tấn công và dữ liệu xác thực bị đánh cắp.
• Khả năng mở rộng: FIDO2 được hỗ trợ trên nhiều trình duyệt web và các nền tảng phổ biến trên thế giới hiện nay, giúp người dùng dễ dàng triển khai trên hàng tỷ thiết bị, ứng dụng khác nhau.