Password manager mới lưu mật khẩu, mã 2FA và ghi chú trong một ảnh PNG được mã hóa, đồng thời buộc vault với phần cứng của thiết bị thay vì tập trung dữ liệu người dùng trên máy chủ nhà cung cấp.
Một password manager mới mang tên BlindLock đang thử cách tiếp cận khác với những dịch vụ quản lý mật khẩu dựa trên cloud: toàn bộ vault được mã hóa rồi giấu bên trong một tệp PNG bình thường trên thiết bị của người dùng. Phần mềm hiện có trên Windows, macOS và Linux, với giá giấy phép trọn đời khởi điểm 49 USD.
Người dùng có thể chọn một ảnh PNG bất kỳ làm carrier. Mật khẩu, secure note, mã TOTP dùng cho xác thực hai bước và các địa chỉ nhận tiền mã hóa được lưu bên trong phần dữ liệu đã mã hóa của ảnh.
BlindLock không vận hành cơ sở dữ liệu tập trung chứa vault khách hàng. Điều này loại bỏ kịch bản kẻ tấn công xâm nhập máy chủ của nhà cung cấp rồi lấy hàng loạt vault đã mã hóa để đem về dò mật khẩu ngoại tuyến.
Tuy nhiên, phần mềm không hoàn toàn hoạt động offline. BlindLock vẫn kết nối tới máy chủ khi kích hoạt và mỗi lần mở khóa mới để kiểm tra tình trạng licence cùng phiên bản phần mềm, dù nhà phát triển nói nội dung vault, mật khẩu và file cá nhân không được truyền trong quá trình này.
Việc nhúng dữ liệu vào PNG sử dụng steganography. Mục tiêu là khiến vault không xuất hiện trên ổ đĩa dưới dạng một file có tên hoặc định dạng dễ nhận biết.
Lớp này không thay thế encryption. Theo tài liệu kỹ thuật, dữ liệu trong PNG được bảo vệ bằng AES-256-GCM kết hợp XChaCha20-Poly1305 với hai khóa độc lập. Mật khẩu chính được xử lý bằng Argon2id với mức sử dụng bộ nhớ thay đổi theo phần cứng để tăng chi phí của quá trình dò mật khẩu.
BlindLock còn buộc vault với thiết bị. Trên Windows và Linux, phần mềm sử dụng TPM 2.0; macOS dựa vào Secure Enclave hoặc phần cứng T2 phù hợp. Điều đó có nghĩa sao chép ảnh PNG và biết đúng master password vẫn chưa đủ để mở vault trên một máy khác.
Người dùng có thể bổ sung khóa bảo mật FIDO2 hỗ trợ hmac-secret, chẳng hạn một số mẫu YubiKey 5, Google Titan hoặc SoloKey. Khi được kích hoạt, khóa vật lý trở thành một điều kiện bổ sung để giải mã dữ liệu, bên cạnh phương án phục hồi bằng recovery phrase.
Cách gắn vault với phần cứng đồng thời tạo ra một vấn đề khác: mất thiết bị có thể đồng nghĩa mất quyền truy cập. BlindLock yêu cầu người dùng chủ động tạo backup được mã hóa và lưu recovery phrase riêng nếu muốn chuyển sang máy mới hoặc phục hồi sau sự cố.
File lớn không được nhét trực tiếp vào ảnh PNG để tránh carrier phình quá mức. Chúng được lưu trong những container mã hóa riêng, có thể mang phần mở rộng trông giống các file thông thường nhưng không được quảng bá là hoàn toàn không thể phát hiện.
Ngoài password manager, BlindLock tích hợp trình tạo mã TOTP, secure notes hỗ trợ Markdown và file vault. Phần wallet hiện chủ yếu đóng vai trò sổ địa chỉ nhận tiền; phần mềm không lưu private key, không giữ tài sản và không tự ký giao dịch tiền mã hóa.
BlindLock cũng đưa ML-KEM-1024 và ML-DSA-87, hai chuẩn hậu lượng tử của NIST, vào một số thành phần của hệ thống. Tuy nhiên, chính nhà phát triển lưu ý file vault nằm trên thiết bị vẫn sử dụng mã hóa đối xứng 256-bit, không phải một “post-quantum vault” theo nghĩa toàn bộ dữ liệu được bao bọc bằng thuật toán hậu lượng tử.
Các primitive mật mã dựa trên libcrux và một số thành phần lõi được kiểm tra bằng formal methods. Phần code riêng của BlindLock gồm vault, steganography và licensing không thuộc phạm vi xác minh này và vẫn là phần mềm proprietary.
Mô hình này cũng không bảo vệ được người dùng nếu chính hệ điều hành đã bị kiểm soát. Keylogger, chụp màn hình hoặc đọc bộ nhớ trong một phiên đăng nhập đang hoạt động vẫn nằm ngoài threat model mà nhà phát triển tuyên bố có thể ngăn chặn.
Ý tưởng của BlindLock xuất phát một phần từ vụ LastPass năm 2022, khi kẻ tấn công đánh cắp các bản backup chứa vault khách hàng. Thay vì cố bảo vệ một kho vault tập trung tốt hơn, BlindLock chọn loại bỏ kho dữ liệu tập trung ngay từ kiến trúc.
Sản phẩm đang bán 1.000 giấy phép trọn đời theo ba đợt: 100 licence đầu ở mức 49 USD, 350 licence tiếp theo giá 89 USD và 550 licence cuối giá 109 USD. Sau đó nhà phát triển dự định chuyển hoàn toàn sang thuê bao. Mỗi licence desktop chỉ kích hoạt một thiết bị tại một thời điểm, còn các phiên bản iOS, iPadOS và Android hiện vẫn đang phát triển.
Với BlindLock, điểm khác biệt đáng chú ý không phải việc một bức ảnh PNG tự nhiên trở thành “bất khả xâm phạm”, mà là cách nhiều lớp được ghép lại gồm mã hóa, steganography và khóa gắn với phần cứng trong một kiến trúc không tập trung vault lên cloud. Mức độ an toàn thực tế của cách triển khai này vẫn cần thêm thời gian, người dùng và đánh giá độc lập trước khi có thể đặt ngang với những password manager đã trải qua nhiều năm kiểm toán bảo mật.