#passkeys

How to Build Passkey Authentication with WebAuthn, Next.js and NestJS

Việc triển khai passkey authentication bằng WebAuthn, Next.js và NestJS giúp giải quyết vấn đề mật khẩu gây đau đầu cho cả người dùng và nhà cung cấp dịch vụ. Nguyên nhân kỹ thuật là do người dùng gặp khó khăn trong việc nhớ mật khẩu và nguy cơ phishing, tái sử dụng mật khẩu cao trên nhiều website. Hệ quả là giải pháp này giúp loại bỏ hoàn toàn mật khẩu, tăng cường bảo mật bằng cách sử dụng xác thực sinh trắc học và khóa công khai/riêng tư. Điều đáng học là bài viết hướng dẫn chi tiết cách tích hợp WebAuthn API vào ứng dụng Next.js cho frontend và NestJS cho backend với các bước xác thực an toàn. Lợi ích là cải thiện trải nghiệm người dùng đồng thời giảm thiểu rủi ro bảo mật liên quan đến mật khẩu truyền thống.

Bài hướng dẫn này giúp bạn xây dựng xác thực passkey an toàn hơn mật khẩu truyền thống và ngăn chặn tấn công lừa đảo hiệu quả.

I moved every 2FA code out of Google and Microsoft Authenticator, and losing my phone isn't a disaster anymore

Xác thực hai yếu tố (2FA) hữu ích nhưng thường gây khó chịu cho người dùng. Bitwarden giải quyết vấn đề này bằng cách cho phép lưu trữ mã 2FA trên thiết bị an toàn thay vì Authenticator của Google hay Microsoft. Với giải pháp này, ngay cả khi mất điện thoại, người dùng vẫn có thể truy cập các tài khoản quan trọng. Điều đáng học hỏi là Bitwarden cung cấp cơ chế dự phòng an toàn với mã khôi phục, khác với các Authenticator truyền thống không có tính năng này.

Bài viết hướng dẫn cách chuyển mã xác thực hai yếu tố sang Bitwarden giúp bạn bảo mật tài khoản hiệu quả mà không còn lo sợ mất điện thoại.

Secure Your Digital Life in One Weekend: The 2026 Checklist, in Order

You can get through my personal security and privacy checklist in one weekend if you do it in the right order. Saturday goes to your accounts, your phone number, and your devices, because those close the routes attackers use most.…

Has Your Password Leaked? Check It, Then Replace It

The password strength and breach check answers two questions about a password: how hard it is to guess, and whether it has already leaked. It estimates entropy and crack time in your browser, then asks Have I Been Pwned whether…

Passwordless Authentication and Identity Theft: Can Passkeys Make the Web Safer?

Passkeys use public-key cryptography to stop phishing, credential stuffing, and password database leaks, the most common causes of account takeover. Each passkey is tied to one domain, so a browser won't use it on a lookalike phishing site, and stolen public keys from a breach can't sign in anywhere. But passkeys only protect the login step. Weak account recovery flows, stolen session cookies, and leaked personal data can still lead to identity theft. The piece includes WebAuthn registration and conditional UI code samples, and recommends using a library like SimpleWebAuthn instead of writing verification logic yourself, since synced passkeys often report a zero signature counter that can falsely lock out real users if checked strictly.

Passkeys Are Not a Trap

A rebuttal to a viral post claiming passkeys are a trap because of WebAuthn attestation. The author, who built an open-source passkeys library, explains that most consumer passkeys (synced via iCloud Keychain, Google Password Manager, 1Password, etc.) don't send attestation data at all, returning 'none' when requested. Attestation only identifies the authenticator's make/model via AAGUID, not OS, browser, or firmware. The viral post's recommendation to switch to YubiKeys is ironic since YubiKeys actually do support attestation. The piece also argues TOTP is more phishable than passkeys, which are domain-bound and resistant to man-in-the-middle attacks like Evilginx. Conclusion: keep using passkeys.

Passkeys are a trap. Do not use them

Passkeys được quảng cáo là tương lai của bảo mật web nhưng thực chất là một cái bẫy. Nguyên nhân kỹ thuật nằm ở việc chúng phụ thuộc vào các nhà cung cấp như Apple, Google hay Microsoft tạo ra những silo dữ liệu đóng. Hệ quả là người dùng mất kiểm soát dữ liệu đăng nhập và phải phụ thuộc vào các tập đoàn công nghệ. Đáng học ở đây là các hệ thống mở như WebAuthn với FIDO2 standards vẫn tồn tại để bảo vệ quyền tự chủ kỹ thuật số thực sự.

Bài viết này giúp bạn hiểu được những rủi ro thực sự đằng sau công nghệ Passkeys trước khi sử dụng.

Why Seed Phrases Are Disappearing From Modern Crypto Wallet App Development

Trong bối cảnh phát triển ví crypto hiện đại, seed phrases đang dần bị loại bỏ do các lựa chọn bảo mật thay thế như social recovery và multi-party computation (MPC) wallets. Nguyên nhân kỹ thuật là các ví MPC sử dụng thuật toán threshold signature để chia sẻ private key thành nhiều phần, loại nhu cầu cần mnemonic phrase duy nhất. Hệ quả là người dùng không còn cần ghi nhớ hay sao chép cụm từ khôi phục dài 12-24 từ, giảm thiểu rủi ro bị tấn công từ keylogger hay physical theft. Điều đáng học là các ví như Phantom và Trust Wallet đang áp dụng MPC, minh chứng xu hướng này sẽ tiếp tục phát triển trong hệ sinh thái blockchain.

Bài viết giải thích tại cụm từ hạt giống đang trở nên lỗi thời trong ví tiền điện tử hiện đại, giúp lập trình viên nắm bắt xu hướng mới trong phát triển ứng dụng crypto.

Using ASP.NET Core Passkeys for Second Factor Authentication

Trong ASP.NET Core Identity trên .NET 10, passkeys có thể được sử dụng làm yếu tố xác thực thứ hai sau khi đăng nhập bằng mật khẩu. Để triển khai, bạn cần đăng ký một token provider hai yếu tố cho người dùng có passkey, sau đó thêm hai endpoint: một để tạo tùy chọn yêu cầu passkey cho người dùng đã qua kiểm tra mật khẩu, và endpoint kia để xác minh passkey trước khi hoàn tất đăng nhập. Giải pháp này lưu user ID từ bước mật khẩu vào cookie có thời gian tồn tại ngắn và so sánh với user ID của passkey trước khi cho đăng nhập hoàn tất. Điều đáng học hỏi là cách kết hợp cơ chế xác thực truyền thống (password) với công nghệ Passkeys hiện đại để tăng cường bảo mật mà vẫn giữ trải nghiệm người dùng liền mạch.

Bài viết hướng dẫn cách tích hợp passkeys làm yếu tố xác thực thứ hai trong ASP.NET Core Identity nâng cao bảo mật cho ứng dụng.

The MFA you have isn’t the MFA you think you have

What if 'MFA enabled' tells security leaders far less than they think about how well their accounts are actually protected?

Microsoft reminds admins to migrate Entra ID users to passkeys

Microsoft cảnh quản trị viên di chuyển người dùng Entra ID sang phương thức xác thực chống phishing trước khi ngừng hỗ trợ SMS làm yếu tố đăng nhập đầu tiên vào tháng 2 năm 2027. Nguyên nhân kỹ thuật là SMS không còn đáp ứng được tiêu chuẩn bảo mật hiện đại, dễ bị tấn công SIM swapping và man-in-the-middle. Hệ quả nếu không chuyển đổi sẽ khiến người dùng không thể đăng nhập vào hệ thống Microsoft. Giải pháp thay thế là passkeys, công nghệ dựa trên tiêu chuẩn WebAuthn và FIDO2, cung cấp xác thực không mật khẩu an toàn hơn. Điều đáng học là các tổ chức nên bắt đầu kế hoạch chuyển đổi ngay cả khi còn thời gian, vì passkeys không chỉ tăng bảo mật mà còn cải thiện trải nghiệm người dùng.

Microsoft nhắc nhở admin di chuyển người dùng Entra ID sang phương thức xác thực passkeys để tránh gián đoạn đăng nhập sau khi ngừng hỗ trợ SMS vào năm 2027.

WebAuthn Passkey Recovery: Fallbacks and Backup Codes in Node.js

Bối cảnh WebAuthn passkey recovery cần xây dựng hệ thống sao lưu an toàn trong Node.js. Nguyên nhân kỹ thuật do passkey không thể sao lưu trực tiếp như password truyền thống, đòi hỏi giải pháp mã hóa với backup codes. Hệ quả là hệ thống cần fallback flows giữ nguyên zero-trust security nhưng vẫn cho phép khôi passkey khi thiết bị bị mất. Điều đáng học là sử dụng cryptographic backup codes và thiết kế flow xóa bỏ dependency vào thiết bị cũ. Bài gốc cung cấp implementation chi tiết với WebAuthn API và mã nguồn Node.js cụ thể.

Bài viết này giúp bạn xây dựng cơ chế khôi phục Passkey an toàn bằng mã dự phòng và luồng dự phòng bảo mật trong môi trường Node.js.

I don't like passkeys

Passkeys vẫn tồn tại nhiều rủi ro bảo mật đáng kể khi so sánh với mật khẩu truyền thống. Thiết kế passkeys hiện tại vẫn cho phép kẻ tấn công gây ra tình trạng khóa tài khoản (account lockout) bằng cách thử nghiệm liên tục trên thiết bị người dùng. Việc phụ thuộc vào thiết bị phần cứng cụ thể như YubiKey cũng tạo ra giới hạn khi người dùng không thể tạo quá 25 passkeys trên một thiết bị duy nhất. Quy trình phục hồi passkeys cũng còn yếu kém và tiềm ẩn nguy cơ bị lợi dụng nếu kẻ tấn công chiếm được quyền truy cập vào thiết bị bị khóa.

Bài phân tích này giúp lập trình viên hiểu rõ những rủi ro bảo mật thực sự của công nghệ passkeys trước khi áp dụng.