← Danh mục 100 · Kỹ Thuật Phần Mềm, Cloud & An Ninh Mạng · Hình tương tác #020

Xác Thực Không Mật Khẩu Passkeys (WebAuthn) & Ký Số Khóa Bất Đối Xứng Chống Giả Mạo

Thay thế hoàn toàn mật khẩu và mã SMS OTP dễ bị lừa đảo bằng cặp khóa mật mã neo cứng vào tên miền gốc trong chip phần cứng.

Hình 20 · sơ đồ 6 trạm & 8 điểm chọn Buồng Cơ Khí & Quang Học Cắt Lớp

Chọn kịch bản · kéo thanh · chạy mô phỏng · tháo rời

Số nhỏ trên trạm = thứ tự vận hành. Màu xám = tạm bỏ qua. Xem hình lớn ↗

Chọn kịch bản4 chế độ đối chứng

Đường đi đang kích hoạt · theo số trạm

Độ ngẫu nhiên thử thách một lần (Challenge Entropy)256 bit

Khoảng tối ưu: 128 đến 256 bit. Kéo ra ngoài ngưỡng để quan sát biến đổi.

Thời hạn hiệu lực phiên ký thử thách60 giây

Khoảng tối ưu: 45 đến 120 giây. Kéo ra ngoài ngưỡng để quan sát biến đổi.

Mức yêu cầu xác minh chủ thể (User Verification)90 %

Khoảng tối ưu: 80 đến 100 %. Kéo ra ngoài ngưỡng để quan sát biến đổi.

Khả năng miễn nhiễm Phishing

100,0%

Thời gian đăng nhập thành công

1,8giây

Tỷ lệ đăng nhập hoàn tất lần đầu

97,6%

Bấm vào trạm trên hình hoặc nút số bên dưới để đọc vai trò từng bộ phận.

Đọc hình như một mô hình giải thích

Hình tương tác này cô đọng cơ chế vận hành cốt lõi của chủ thể thành 6 trạm trực quan kèm đồng hồ đo và đầu ra đối chứng. Bấm vào từng hàng trong bảng tham chiếu bên dưới để nạp nhanh bộ thông số vào mô hình.

Bảng đối chiếu 4 kịch bản tham khảo (bấm vào dòng bất kỳ để áp dụng)
Kịch bản	Đường đi	Độ ngẫu nhiên thử thách một lần (Challenge Entropy) (bit)	Thời hạn hiệu lực phiên ký thử thách (giây)	Mức yêu cầu xác minh chủ thể (User Verification) (%)	Hệ quả quan sát
Chuẩn FIDO2 / WebAuthn Đa Thiết Bị Tối Ưu (Tối ưu)	1 → 2 → 3 → 4 → 5 → 6	256 bit	60 giây	90 %	Đăng nhập chạm vân tay 1.8 giây, miễn nhiễm 100% website giả mạo Phishing và lộ DB
Thử Thách Yếu Dùng Lại & Bỏ Qua Sinh Trắc (Thiếu tải)	1 → 2 → 4 → 6	32 bit	580 giây	10 %	Dính lỗ hổng phát lại gói tin (Replay Attack), nhặt được điện thoại mở khóa sẵn là vào thẳng
Hết Hạn Cực Đoan Cắt Ngang Thao Tác Quét QR (Quá ngưỡng)	1 → 2 → 3 → 4 → 5 → 6	512 bit	5 giây	100 %	Chỉ cho 5 giây khiến người dùng đưa điện thoại quét mã đăng nhập chéo sang PC thất bại liên tục
Cổng Giao Dịch Chứng Khoán & Ngân Hàng Số (Thực tế)	1 → 3 → 4 → 5 → 6	256 bit	90 giây	100 %	Bắt buộc xác thực sinh trắc học cục bộ mỗi lần ký lệnh đặt mua và đăng nhập chéo thiết bị

Mật Khẩu + SMS/App OTP
Con người trực tiếp gõ bí mật lên màn hình; nếu bị dụ vào trang giả mạo giao diện giống hệt kèm proxy trung gian (AiTM Phishing), kẻ tấn công thu được cả mật khẩu lẫn mã 6 số ngay tức khắc.

Passkeys / FIDO2 WebAuthn
Con người không thể tự đọc hay gõ hộ Private Key cho trang giả mạo vì trình duyệt kiểm tra tên miền gốc ở tầng giao thức; hơn nữa máy chủ không lưu bí mật chung nên lộ DB vẫn an toàn.

Quan hệ định lượng minh họa: Chữ_ký = Sign(Private_Key_TPM, Origin_Thật || Challenge_Ngẫu_nhiên) → Verify(Public_Key_Server)