Trong thế giới di động ngày nay, bảo mật không chỉ là một tính năng phụ, mà là yếu tố sống còn của bất kỳ ứng dụng nào. Người dùng đặt niềm tin vào ứng dụng để bảo vệ dữ liệu cá nhân, tài khoản và thậm chí cả tài chính của họ. Và cánh cửa đầu tiên bảo vệ sự an toàn đó chính là cơ chế xác thực.

Trong bài viết này, chúng ta sẽ cùng khám phá toàn cảnh các phương pháp xác thực thường được áp dụng trong ứng dụng Mobile, từ truyền thống đến hiện đại, kèm theo ưu – nhược điểm và khi nào nên dùng.

1. Username / Password truyền thống

Đây là phương pháp cơ bản nhất, khi người dùng đăng nhập bằng tên tài khoản và mật khẩu.

  • Ưu điểm: Phổ biến, dễ triển khai, người dùng quen thuộc.

  • Nhược điểm: Nếu mật khẩu yếu hoặc bị rò rỉ → tài khoản dễ bị chiếm đoạt.

  • Lưu ý:

    • Hash mật khẩu ở phía server (bcrypt, Argon2).

    • Giao tiếp chỉ qua HTTPS.

    • Khuyến khích tạo mật khẩu mạnh và giới hạn số lần đăng nhập sai.

2. App-specific Passcode (mã PIN riêng cho ứng dụng)

Nhiều ứng dụng ngân hàng, ví điện tử hay mạng xã hội cung cấp cơ chế đặt mã PIN 4–6 số để mở khóa ứng dụng.

  • Ưu điểm: Dễ dùng, mở app nhanh.

  • Nhược điểm: Không an toàn bằng biometrics nếu chỉ lưu trữ đơn giản.

  • Lưu ý:

    • Hash + lưu trong Secure Storage (Keychain/Keystore).

    • Khóa app sau một số lần nhập sai liên tiếp.

3. Biometric Authentication (FaceID, TouchID, vân tay)

Xác thực bằng đặc điểm sinh trắc học của người dùng.

  • Ưu điểm: Trải nghiệm nhanh, an toàn (khi dùng hardware-backed).

  • Nhược điểm: Không phải thiết bị nào cũng hỗ trợ.

  • Lưu ý:

    • Sử dụng API chính thức: LocalAuthentication (iOS), BiometricPrompt (Android).

    • Không lưu dữ liệu sinh trắc trong app – chỉ hệ điều hành quản lý.

4. System Passcode Prompt

Ứng dụng có thể gọi màn hình nhập mã khóa màn hình của hệ điều hành (passcode iOS hoặc PIN Android).

  • Ưu điểm: Bảo mật cao, OS kiểm soát UI.

  • Nhược điểm: Không hoạt động nếu thiết bị không đặt passcode.

  • Khi dùng: Bổ sung lớp xác thực khi mở ứng dụng hoặc thực hiện giao dịch quan trọng.

5. OTP – One Time Password

Có nhiều dạng OTP:

  • SMS OTP: gửi mã qua tin nhắn.

  • Email OTP: gửi qua email.

  • TOTP: mã sinh theo thời gian (Google Authenticator).

  • Ưu điểm: Bổ sung lớp bảo mật 2FA.

  • Nhược điểm:

    • SMS dễ bị tấn công (SIM swap).

    • Email OTP phụ thuộc hòm thư.

    • TOTP yêu cầu app ngoài.

  • Khi dùng: Xác thực 2 lớp, đăng ký, reset mật khẩu.

6. Push Notification Approval

Người dùng nhận thông báo đẩy và chọn Approve/Deny.

  • Ưu điểm: Trải nghiệm mượt, có thể hiển thị ngữ cảnh (vị trí, thiết bị).

  • Nhược điểm: Người dùng có thể approve nhầm; cần hệ thống push ổn định.

  • Khi dùng: Banking app, login từ thiết bị mới.

7. Magic Link / Passwordless

Người dùng đăng nhập bằng cách bấm vào liên kết được gửi qua email.

  • Ưu điểm: Không cần nhớ mật khẩu.

  • Nhược điểm: Nếu email bị hack → tài khoản mất.

  • Khi dùng: App social, ứng dụng cần giảm friction login.

8. OAuth 2.0 / OpenID Connect (Google, Facebook, Apple)

Xác thực bằng tài khoản bên thứ ba.

  • Ưu điểm: Người dùng không phải nhớ mật khẩu mới.

  • Nhược điểm: Phụ thuộc dịch vụ khác, vấn đề quyền riêng tư.

  • Lưu ý cho mobile:

    • Luôn dùng PKCE cho flow OAuth.

    • Dùng system browser (Custom Tabs, ASWebAuthenticationSession).

9. Token-based Authentication (JWT)

Dùng access token ngắn hạn và refresh token dài hạn.

  • Ưu điểm: API stateless, dễ mở rộng.

  • Nhược điểm: Quản lý refresh token phức tạp.

  • Lưu ý:

    • Lưu token trong Keychain/Keystore.

    • Thực hiện refresh token rotation.

    • Token ngắn hạn, có cơ chế revoke.

10. FIDO2 / Passkeys (WebAuthn)

Cơ chế hiện đại, passwordless, dựa trên khóa công khai.

  • Ưu điểm: Chống phishing, an toàn cao.

  • Nhược điểm: Triển khai phức tạp, chưa phổ biến trên mọi thiết bị.

  • Khi dùng: Banking, tài khoản doanh nghiệp, ứng dụng nhạy cảm.

11. Các cơ chế nâng cao khác

  • Client Certificates / mTLS: mạnh mẽ nhưng phức tạp, thường cho hệ thống doanh nghiệp.

  • Device Attestation (SafetyNet, Play Integrity, App Attest): kiểm tra tính toàn vẹn thiết bị.

  • Behavioral Biometrics: phân tích cách gõ, thao tác để phát hiện gian lận.

Kết hợp nhiều lớp bảo mật

Trong thực tế, hiếm có app nào chỉ dùng một phương pháp. Một số ví dụ:

  • Ứng dụng ngân hàng: username/password + OTP/biometrics + device attestation.

  • Ứng dụng thương mại điện tử: social login + biometrics để xác nhận thanh toán.

  • Ứng dụng ghi chú cá nhân: passcode riêng trong app + system biometrics.

Kết luận

Xác thực trên mobile không có một công thức chung cho tất cả. Lựa chọn phương pháp phụ thuộc vào:

  • Mức độ nhạy cảm của dữ liệu.

  • Đối tượng người dùng.

  • Yêu cầu UX/UI.

Tốt nhất, hãy kết hợp nhiều lớp bảo mật để cân bằng giữa an toàn và trải nghiệm. Và quan trọng nhất, đừng bao giờ tự triển khai mật mã học hay xác thực từ đầu – hãy tận dụng các API chính thức và thư viện uy tín.