Sứ mệnh của các startup 'nóng' nhất mảng an ninh số: Xoá sổ mật khẩu

Startup này thu hút được khoản đầu tư lớn nhất trong lịch sử ngành an ninh số với một "sứ mệnh" rất đơn giản: nó muốn "giết chết" mật khẩu.

Với việc một người trung bình đang phải ghi nhớ từ 70 đến 80 mật khẩu, Transmit Security tin rằng có cách tốt hơn để đăng nhập vào các website và ứng dụng trong bối cảnh ngày càng có nhiều máy tính và smartphone được trang bị các công nghệ như nhận diện khuôn mặt hay đọc dấu vân tay.

"Đây là điều đã thay đổi trên thị trường và hoàn toàn không có thật 1, 2 năm trước", ông Rakesh Loonkar, chủ tịch và người đồng sáng lập của Transmit, chia sẻ. Startup này kêu gọi thành công số tiền đầu tư lên tới 543 triệu USD.

Nhu cầu tìm kiếm những phương án thay thế cho các dãy ký tự gồm số và chữ dễ quên và dễ bị tấn công mà nhiều người vẫn dùng hàng ngày càng trở nên cấp thiết hơn trong bối cảnh nhiều người làm việc từ xa và số lượng các vụ hack liên quan đến mật khẩu tăng mạnh.

Năm ngoái, Diễn đàn Kinh tế Thế giới, nhân sự kiện COVID-19 bùng nổ, kêu gọi một "tương lai không mật khẩu" với lý do là điều này "cải thiện đáng kể khả năng bảo mật của một công ty bằng cách giảm số lượng các vụ tấn công và rủi ro xâm phạm thông tin xác thực".

Kết quả là cuộc đua thay thế mật khẩu đã bắt đầu và bảo mật dựa trên sinh trắc học là một trong những phương án được theo đuổi nhiều nhất.

"Tôi cho rằng phần lớn các dịch vụ người dùng đại trà sẽ cho phép đăng nhập không dùng mật khẩu trong vòng vài năm tới", ông Andrew Shikiar, một chuyên gia của Fast Identity Online, chia sẻ. Fast Identity Online là một liên minh có sự tham gia của hơn 250 công ty, gồm cả Google và Microsoft, với mong muốn thúc đẩy một chuẩn xác thực không dùng mật khẩu chung.

"Nếu được thực hiện chính xác, an toàn và tuân thủ, sinh trắc học thực sự sẽ giúp chúng ta tiến đến tương lai không mật khẩu nhanh chóng. Có nhiều sự sáng tạo và đầu tư ở lĩnh vực này", ông Andrew nói thêm.

"12345"

Mặc dù hiện tại đã có rất nhiều phần mềm quản lý mật khẩu với khả năng tạo và ghi nhớ các mật khẩu phức tạp và an toàn, "12345", "password" hay "iloveyou" vẫn là những mật khẩu phổ biến nhất thế giới.

Theo Diễn đàn Kinh tế Thế giới, hơn 80% các vụ hack vẫn liên quan đến chiếm dụng mật khẩu và mật khẩu vẫn là dữ liệu được các hacker săn đón nhất, hơn cả các thông tin cá nhân và nhạy cảm khác.

Trong không ít trường hợp, các hacker đã tìm cách "lẻn" vào các ứng dụng lấy đi toàn bộ kho dữ liệu mật khẩu. Trong quá khứ, nhiều công ty lớn như Yahoo hay LinkedIn cũng đã gặp phải vấn đề này.

Trên dark web (một phần của Internet không thể truy cập được bằng các trình duyệt thông thường), chợ trao đổi mật khẩu diễn ra vô cùng sôi động. Theo Digital Shadows, hơn 15 tỷ mật khẩu đang được trao đổi trên các diễn đàn hacker, chúng đến từ hơn 100.000 vụ tấn công khác nhau. Mật khẩu cũng bị tấn công từ những công nghệ mới, ví dụ như bot tự động có khả năng tự đoán mật khẩu.

Tương lai không mật khẩu

Một số startup đang thuyết phục các công ty chuyển từ mật khẩu truyền thống sang các phương thức xác thực khác để tăng cường bảo mật, cắt giảm chi phí và tăng cao độ tiện dụng.

Theo Financial Times, với nhiều công ty, chi phí đặt lại mật khẩu của các nhân viên thường dao động trong khoảng từ 25 USD đến 75 USD mỗi lần, liên quan đến các công tác như duy trì trung tâm hỗ trợ và phục hồi tài khoản.

Một báo cáo vào năm 2018 của Forrester cho thấy một số công ty lớn ở Mỹ đã chi 1 triệu USD mỗi năm liên quan đến mật khẩu, bao gồm cả công nghệ chống lại bot dò tìm mật khẩu.

"Nó liên quan đến trải nghiệm người dùng, tuân thủ và cả tiết kiệm chi phí nữa", ông Ismet Deri, CEO công ty định danh không mật khẩu Veridium, chia sẻ. Ông nói thêm rằng doanh thu công ty ông tăng 250% so với cùng kỳ năm trước vào năm 2020 vì nhu cầu tăng mạnh.

Veridium, Transmit và một số startup khác đang nhắm đến mảng tài chính trực tuyến, thanh toán và bán lẻ khi nhiều công ty chuyển đổi sang phương thức xác thực mới: sinh trắc học. Microsoft, Google và Apple cũng đang tăng cường xác thực bằng sinh trắc học trên các thiết bị hay dịch vụ của mình.

Thế nhưng, cũng có những rủi ro nhất định liên quan đến công nghệ này. Khác mật khẩu, sinh trắc học không thể thay đổi. Điều này có nghĩa là những dữ liệu sinh trắc học cần phải được bảo vệ cẩn trọng vì cả lý do riêng tư và lý do lừa đảo, khi các hacker cố gắng dùng camera và các cảm biến với hình ảnh, khẩu trang hay khuôn mẫu khuôn mặt.

"Xác thực sinh trắc học và xác thực không cần mật khẩu có những kiểu tấn công riêng", ông Lavi Lazarovitz, giám đốc nghiên cứu bảo mật tại CyberArk, nói. Tháng trước, đội ngũ của ông tìm ra một lỗ hổng thiết kế cho phép kẻ tấn công vượt qua tính năng đăng nhập bằng nhận diện khuôn mặt Windows Hello của Microsoft bằng cách sử dụng hình ảnh của nạn nhân.

Những kiểu tấn công như vậy thường yêu cầu kỹ thuật cao và thậm chí cần có tiếp cận vật lý với thiết bị của đối tượng. Dù vậy, ông Lazarovitz cho rằng các thị trường chợ đen đối với dữ liệu sinh trắc học có thể sẽ phổ biến hơn trong tương lai.

Tính bảo mật của đăng nhập sinh trắc học

Dù vậy, tính bảo mật của đăng nhập sinh trắc học đang ngày càng cải thiện, theo ông Loonkar của Transmit. Trong quá khứ, thông tin sinh trắc học thường được lưu ở những máy chủ tập trung. Tuy nhiên, hiện tại, nó có thể được lưu trữ ngay trên thiết bị của người dùng.

Trong khi đó, các startup nhưu BioCatch và BehavioSec lại tìm cách đánh bại kẻ xấu bằng cách đưa ra giải pháp liên tục xác nhận người dùng theo thời gian thực, sử dụng sinh trắc học "hành vi".

Hệ thống này sẽ học cách một người dùng sử dụng thiết bị hoặc các hành vi của họ khi dùng máy tính. Bằng cách này, hệ thống sẽ thông báo khi phát hiện những thay đổi bất thường.

Trên hành trình "giết chết" mật khẩu, một vật cản ngáng đường lớn nhất cho các startup chính là việc thay đổi thói quen người dùng.