#passkeys

Opaque, Interoperable Passkey Records (and a Go API)

Bài viết đề xuất định dạng Passkey records (dạng interoperable cho WebAuthn credentials) tương tự như password hash strings, và giới thiệu một API Go tiềm năng dành cho crypto/passkey dựa trên định dạng này.

Lập trình viên muốn xây dựng ứng dụng an toàn với WebAuthn nên đọc bài này để hiểu cách lưu trữ và xử lý các passkey một cách hiệu quả, đồng thời khám phá cách chuyển đổi giữa định dạng Opaque và các giao diện API Go để tối ưu hóa tính tương tác và bảo mật.

Bridging the Gap Between Passwords and Passkeys with Risk-Based Authentication

Bài viết giới thiệu cách kết hợp mật khẩu (passwords) và khóa truy cập (passkeys) với xác thực dựa trên rủi ro (Risk-Based Authentication) để nâng cao bảo mật chống lừa đảo, trong loạt bài về bảo mật tài khoản tại Mercari.

Lập trình viên nên đọc bài này để hiểu cách tích hợp passkey vào hệ thống an toàn dựa trên cơ sở rủi ro, giúp nâng cao bảo mật cho người dùng mà không phụ thuộc vào mật khẩu truyền thống dễ bị phishing.

Biometric Authentication in Angular Using Auth0

Learn to build an authentication system that supports passkeys using the Auth0 SDK within an Angular application.

New Pass-ta-key attacks let malware hijack Google-synced passkeys

Các nhà nghiên cứu bảo mật phát hiện ba cuộc tấn công cho phép malware trên thiết bị Windows đã bị xâm nhập lợi dụng Google Password Manager's synced passkeys để chiếm quyền tài khoản, vượt qua xác thực người dùng và trích xuất private keys.

Lập trình viên nên đọc bài này để hiểu cách bảo mật mới của Google Password Manager bị khai thác bởi malware, giúp họ phát hiện và phòng ngừa các lỗ hổng trong hệ thống quản lý mật khẩu đồng bộ hóa, từ đó cải thiện kiến trúc bảo mật trong ứng dụng của mình.

Pass the Passkey: A Novel Attack Surface in Passwordless Authentication

Việc triển khai passkey thiếu sót khi các bên phụ thuộc không xác thực đúng cờ User Verified, khiến xác thực đa yếu tố (MFA) trở thành yếu tố đơn lẻ, làm suy giảm bảo mật.

Lập trình viên nên đọc bài này để hiểu cách các lỗ hổng trong việc triển khai passkey có thể biến chứng trình xác thực đa yếu tố (MFA) thành một yếu tố duy nhất, gây nguy cơ bị tấn công nghiêm trọng khi các hệ thống không kiểm tra chính xác flag User Verified.

Enterprise Authentication Trends 2026: What’s Actually Changing

Xu hướng xác thực doanh nghiệp 2026 tập trung vào những thay đổi thực tế như agent identity và passkey adoption, trong khi các tiêu chuẩn như OAuth 2.1 vẫn đang trong giai đoạn thử nghiệm. Bài viết cung cấp số liệu cụ thể, có nguồn gốc và ngày tháng rõ ràng.

Những thay đổi trong tương lai của hệ thống xác thực doanh nghiệp như identity agent và passkey đang trở nên thực tế, còn OAuth 2.1 vẫn còn ở giai đoạn thử nghiệm, giúp lập trình viên cập nhật kiến thức để xây dựng giải pháp an toàn và tương thích với tiêu chuẩn mới nhất.

The Future of Authentication 2026-2030: How Five Converging Technologies Are Rebuilding Identity from the Ground Up

Năm 2030, hệ thống đăng nhập sẽ tích hợp năm công nghệ mới nổi: Passkeys, post-quantum crypto, silent network authentication, AI behavioral biometrics và decentralized identity. Hai bước đột phá vào năm 2026 sẽ quyết định khả năng sẵn sàng của bạn cho xu hướng này.

Lập trình viên nên đọc bài này để hiểu cách phát triển các giải pháp bảo mật login mới dựa trên các công nghệ tiên tiến như AI và blockchain, giúp xây dựng hệ thống xác thực an toàn hơn và tương thích với tương lai kỹ thuật số.

BE and BS Flags Explained: Telling a Synced Passkey from a Device-Bound One

BE (Backup Eligible) và BS (Backup State) là hai cờ trong WebAuthn giúp phân biệt passkey đồng bộ (synced) với passkey gắn liền thiết bị (device-bound). Bài viết cung cấp bảng chi tiết các trạng thái cờ và chính sách RP (relying party) tương ứng.

Lập trình viên cần hiểu rõ các flag BE và BS trong WebAuthn để tránh lỗi bảo mật khi thiết lập hoặc kiểm soát các khóa mật khẩu đồng bộ (synced passkey) và khóa riêng máy (device-bound), đặc biệt khi phát triển ứng dụng hoặc dịch vụ dựa trên tiêu chuẩn này.

Passkey Recovery and Lockout: The Complete Guide for Relying Parties

Passkey không thể reset như mật khẩu truyền thống, buộc các bên phụ thuộc (relying parties) phải cung cấp phương pháp khôi phục (recovery) và thiết kế biện pháp an toàn kép (two-credential safety net) để tránh tình trạng khóa vĩnh viễn.

Lập trình viên nên đọc bài này để hiểu cách thiết kế hệ thống bảo mật an toàn hơn bằng cách áp dụng các phương pháp khóa và phục hồi passkey phù hợp, tránh rủi ro từ các lỗ hổng bảo mật trong quản lý xác thực.

OpenAI mandates hardware-backed passkeys for Trusted Access Cyber members to log into ChatGPT accounts

OpenAI yêu cầu thành viên Trusted Access Cyber (TAC) sử dụng passkeys dựa trên phần cứng để đăng nhập vào tài khoản ChatGPT nhằm tăng cường bảo mật.

Lập trình viên nên đọc bài này để hiểu cách bảo mật tương lai của các API và ứng dụng lớn như ChatGPT, giúp họ phát triển các giải pháp bảo mật phù hợp với xu hướng sử dụng passkey và hardware-backed authentication trong tương lai.

Microsoft Entra ID gets passkeys default authentication starting September

Microsoft sẽ chuyển xác thực bằng passkeys thành phương thức mặc định cho dịch vụ định danh doanh nghiệp Entra ID từ tháng 9 năm 2026.

Lập trình viên nên đọc bài này để hiểu cách tích hợp và triển khai passkeys vào ứng dụng của mình, giúp nâng cao an toàn và tương thích với tương lai của các giải pháp xác thực sinh học và khóa mật khẩu không cần nhớ.

Sign in to Pulumi Cloud with Passkeys

Pulumi Cloud has added passkey support for users who sign in with email and password. Passkeys are phishing-resistant public-key credentials stored on your device (phone, laptop, hardware key, or password manager) built on the WebAuthn standard. The private key never leaves your device. Users can register passkeys via Account Settings, support autofill in major browsers, and can have multiple passkeys registered simultaneously. Existing passwords and MFA configurations remain unchanged — passkeys are an additional sign-in option, not a replacement.

MFA-optional banks leave safe doors (and accounts) wide open for thieves to pillage

Banks like Bank of America, Chase, Capital One, and Citibank treat MFA as optional, leaving customers vulnerable to account takeover. A personal account of an 84-year-old losing $30,000 to thieves who exploited password reuse and lack of MFA illustrates the real-world cost. SMS-based OTPs are highlighted as weak due to SIM-swapping and phishing risks, while passkeys (phishing-resistant cryptographic key pairs) are presented as the correct solution. Banks are slow to mandate stronger authentication due to friction concerns and fear of losing customers, but this convenience-over-security tradeoff ultimately costs both customers and banks money.

Weekly Update 510: Live From Mallorca with Scott Helme

Troy Hunt and Scott Helme have launched 'Why no Passkeys?', a site inspired by their 8-year-old 'Why no HTTPS?' project that publicly tracked websites failing to implement HTTPS. The new site aims to similarly shame companies that haven't adopted passkeys, encouraging community pressure by country. Scott built the project largely solo using Claude Code, following Troy's original intent after a phishing incident prompted him to register the domain.

Soatok’s Informal Guide to Threat Models

A practical, opinionated guide to threat modeling aimed at developers who want to build security intuition without formal methodology overhead. Covers the essential questions a threat model must answer, the importance of stating assumptions explicitly, and how to spot incomplete threat models — using Matrix's sparse threat model as a negative example. Also explores how threat modeling applies to real-world scenarios: passkey adoption to defeat credential stuffing, E2EE design challenges in decentralized systems like ATProto vs ActivityPub, and the ongoing IETF debate over pure vs hybrid post-quantum KEMs (ML-KEM). Argues that threat modeling skills help developers cut through technical FUD and make better architectural decisions early.

New website names and shames companies that still don’t offer passkeys to users

A new website called whynopasskeys.com publicly lists major apps and services that still don't support passkeys. Created by security researcher Scott Helme, the site reveals that 24% of the world's most popular websites — including Instagram, Netflix, and Spotify — lack passkey support. Passkeys are considered the gold standard for account security, being phishing-resistant, device-bound, and requiring no memorization. Apple, Google, and Microsoft are among those already offering passkeys. The site aims to pressure companies into adopting the standard by making non-compliance publicly visible.

Embedded Login advancements: Put your apps in control of identity

Auth0 announces advancements to its Embedded Login offering, enabling developers to integrate authentication flows directly within native, web, and agentic applications. Key additions include Generally Available Passkey APIs for in-app passwordless authentication, a new My Account API for self-service management of MFA, passkeys, and passwords, DPoP token binding support, configurable Level of Assurance policies, Application Access Permissions, expanded MFA grant support, and Multi-Resource Refresh Token (MRRT) support. These features aim to reduce custom identity code, lower security implementation overhead, and improve user conversion by eliminating redirect-based authentication friction at critical moments like checkout or AI agent interactions.