#passkeys

Microsoft reminds admins to migrate Entra ID users to passkeys

Microsoft cảnh quản trị viên di chuyển người dùng Entra ID sang phương thức xác thực chống phishing trước khi ngừng hỗ trợ SMS làm yếu tố đăng nhập đầu tiên vào tháng 2 năm 2027. Nguyên nhân kỹ thuật là SMS không còn đáp ứng được tiêu chuẩn bảo mật hiện đại, dễ bị tấn công SIM swapping và man-in-the-middle. Hệ quả nếu không chuyển đổi sẽ khiến người dùng không thể đăng nhập vào hệ thống Microsoft. Giải pháp thay thế là passkeys, công nghệ dựa trên tiêu chuẩn WebAuthn và FIDO2, cung cấp xác thực không mật khẩu an toàn hơn. Điều đáng học là các tổ chức nên bắt đầu kế hoạch chuyển đổi ngay cả khi còn thời gian, vì passkeys không chỉ tăng bảo mật mà còn cải thiện trải nghiệm người dùng.

Microsoft nhắc nhở admin di chuyển người dùng Entra ID sang phương thức xác thực passkeys để tránh gián đoạn đăng nhập sau khi ngừng hỗ trợ SMS vào năm 2027.

WebAuthn Passkey Recovery: Fallbacks and Backup Codes in Node.js

Build resilient WebAuthn passkey recovery in Node.js with cryptographic backup codes and secure fallback flows that preserve zero-trust security.

I don't like passkeys

Why passkeys are a step back for personal security: examining account lockout risks, platform lock-in, hardware key limits, and fragile recovery flows.

UK.gov begins killing off passwords for 23 million users

Chính phủ Anh đang loại bỏ mật khẩu cho 23 triệu người dùng, chuyển hướng sang Passkeys để giảm nguy cơ phishing. Việc này giúp tiết kiệm 600 bảng Anh mỗi ngày từ chi phí SMS authentication tại Whitehall. Passkeys hoạt động trên nền tảng WebAuthn, sử dụng cryptographic key pairs thay vì mật khẩu truyền thống. Hệ quả là giảm đáng kể chi phí vận hành và tăng cường bảo mật cho các dịch vụ chính phủ. Điều đáng học là giải pháp Passkeys có thể áp dụng rộng rãi cho cả tổ chức tư nhân, không chỉ chính phủ.

Bài này cho thấy xu hướng loại bỏ mật khẩu qua passkeys giúp chống lại tấn công phishing và tiết kiệm chi phí đáng kể.

Google is making it easier to switch between password managers on Android

Google's new feature will transfer your passkeys as well

Switching Password Managers in 2026

An Apple employee writing in a personal capacity explains how to switch password managers using iOS/iPadOS's system-level export mechanism, which transfers passwords, passkeys, verification codes, and notes directly between apps like 1Password, Bitwarden, Dashlane, and Apple Passwords via Face ID confirmation. This capability, enabled by the FIDO Alliance's Credential Exchange Format (first drafted May 2024) and shipped in iOS 26/macOS 26, avoids the phishing risk of manual unencrypted file exports. The post offers a step-by-step migration checklist (do the transfer before getting a new device, keep the old app as a backup, switch AutoFill carefully) and details specific to Apple Passwords (no custom fields, Windows support via iCloud for Windows, Security tab for weak/leaked passwords). It closes with commentary on 1Password's investment in the Omarchy Linux distro created by DHH and the resulting controversy as a reason for publishing updated advice.

Microsoft nudges enterprise security closer to its passwordless future. But ‘123456’ will survive.

Microsoft backing passkeys for cloud authentication will spur adoption of passwordless technology, but most enterprises will continue with a hybrid authentication approach.

Security vets rally around $4 paper password books for sale in Australia

Các chuyên gia bảo mật từng coi sách mật khẩu giấy là phương pháp lạc hậu và bị loại trừ khỏi các giải pháp quản lý mật khẩu số. Nguyên nhân kỹ thuật là sự gia tăng các cuộc tấn công hướng vào các trình quản lý mật khẩu dựa trên đám mây và các lỗ hổng trong phần mềm mã hóa, khiến nhiều người tìm cách giảm sự phụ thuộc vào các hệ thống điện tử. Trong năm 2026, sách mật khẩu giấy bán với giá chỉ 4 USD đã trở thành sản phẩm hot tại Úc, thu hút cả nhà phát triển phần mềm và người dùng thường ngày. Hệ quả là sự tăng sử dụng phương pháp lưu trữ vật lý giúp giảm nguy cơ lộ mật khẩu qua các kênh mạng mà không cần đầu tư vào cơ sở hạ tầng bảo mật phức tạp. Điều đáng học cho lập trình viên là việc không bỏ qua các giải pháp đơn giản, vì việc kết hợp phương pháp lưu trữ vật lý với các biện pháp bảo mật số có thể nâng cao khả năng chống lại mối đe dọa mà vẫn giữ trải nghiệm người dùng tốt.

Lập trình viên nên đọc bài này vì các chuyên bảo mật hàng đầu đang ủng hộ phương pháp lưu mật khẩu trên giấy như một giải pháp an toàn đáng tin cậy.

Roadmap decisions rather than dates.

Imprint ban đầu thiếu hỗ trợ passkey, dù đây là tính năng quan trọng giúp tăng khả năng chống lừa đảo (phishing) và giảm ma sát khi đăng nhập. Việc bổ sung passkey gặp khó khăn khi phải cạnh tranh với nhiều ưu tiên khác trên roadmap.

Lập trình viên nên đọc bài này để hiểu cách phân tích ưu tiên công nghệ không dựa trên thời gian mà dựa trên giá trị thực tế cho người dùng và hệ sinh thái, giúp họ tránh bỏ lỡ những tính năng quan trọng nhưng khó triển khai ngay lập tức.

Android Account Security with Auth0 Universal Native Components

Tìm hiểu cách triển khai bảo mật tài khoản Android bằng Auth0 Universal Native Components và Jetpack Compose authentication mà không cần chuyển hướng web.

Lập trình viên cần đọc bài này để khám phá cách triển khai bảo mật tài khoản Android hiệu quả với các thành phần tự nhiên của Auth0 và Jetpack Compose, giúp xây dựng ứng dụng an toàn mà không cần phụ thuộc vào các liên kết web phức tạp.

Bridging the Gap Between Passwords and Passkeys with Risk-Based Authentication

Bài viết giới thiệu cách kết hợp mật khẩu (passwords) và khóa truy cập (passkeys) với xác thực dựa trên rủi ro (Risk-Based Authentication) để nâng cao bảo mật chống lừa đảo, trong loạt bài về bảo mật tài khoản tại Mercari.

Lập trình viên nên đọc bài này để hiểu cách tích hợp passkey vào hệ thống an toàn dựa trên cơ sở rủi ro, giúp nâng cao bảo mật cho người dùng mà không phụ thuộc vào mật khẩu truyền thống dễ bị phishing.

Biometric Authentication in Angular Using Auth0

Learn to build an authentication system that supports passkeys using the Auth0 SDK within an Angular application.

New Pass-ta-key attacks let malware hijack Google-synced passkeys

Các nhà nghiên cứu bảo mật phát hiện ba cuộc tấn công cho phép malware trên thiết bị Windows đã bị xâm nhập lợi dụng Google Password Manager's synced passkeys để chiếm quyền tài khoản, vượt qua xác thực người dùng và trích xuất private keys.

Lập trình viên nên đọc bài này để hiểu cách bảo mật mới của Google Password Manager bị khai thác bởi malware, giúp họ phát hiện và phòng ngừa các lỗ hổng trong hệ thống quản lý mật khẩu đồng bộ hóa, từ đó cải thiện kiến trúc bảo mật trong ứng dụng của mình.