Passkey, trong tiếng Việt thường gọi là khoá truy cập, là cách đăng nhập thay cho mật khẩu: thay vì gõ một chuỗi ký tự, bạn mở khoá bằng vân tay, khuôn mặt hoặc mã mở máy, và thiết bị của bạn chứng minh với dịch vụ rằng nó giữ đúng chiếc khoá bí mật. Không có gì để gõ, nên cũng không có gì để bị lừa gõ vào trang giả.
Passkey dựa trên các tiêu chuẩn của liên minh FIDO mà các hãng hệ điều hành và trình duyệt lớn cùng hỗ trợ. Nó đã có mặt ở nhiều dịch vụ quen thuộc, nhưng chưa phải nơi nào cũng có. Với tài khoản đã hỗ trợ, đây là lựa chọn an toàn nhất mà người dùng thường có thể bật trong vài phút.
Passkey hoạt động thế nào
Khi bạn tạo passkey cho một tài khoản, thiết bị của bạn sinh ra một cặp khoá. Khoá công khai được gửi lên dịch vụ và lưu ở đó. Khoá bí mật nằm lại trên thiết bị hoặc trong kho mật khẩu được mã hoá của bạn, không bao giờ gửi đi. Khi đăng nhập, dịch vụ gửi một câu đố ngẫu nhiên; thiết bị dùng khoá bí mật ký lên câu đố đó; dịch vụ dùng khoá công khai kiểm chữ ký. Chữ ký đúng nghĩa là bạn đang giữ khoá bí mật.
Vân tay hay khuôn mặt của bạn không được gửi đến dịch vụ. Chúng chỉ dùng để mở khoá chiếc khoá bí mật ngay trên máy, giống như cách bạn mở khoá màn hình. Điều này quan trọng với người lo ngại về dữ liệu sinh trắc: dịch vụ chỉ nhận được một chữ ký số, không nhận được hình ảnh khuôn mặt hay mẫu vân tay nào.
Hệ quả của thiết kế này là dịch vụ không còn giữ thứ gì đáng trộm. Nếu máy chủ của họ bị lộ dữ liệu, kẻ xấu có được các khoá công khai, mà khoá công khai đúng như tên gọi: ai biết cũng không sao. So với mật khẩu, nơi mỗi vụ rò rỉ lại tung ra hàng triệu bản băm có thể dò ngược, đây là khác biệt về bản chất.
Vì sao trang lừa đảo không lấy được passkey
Mỗi passkey được gắn với tên miền của dịch vụ khi tạo ra. Trình duyệt và hệ điều hành chỉ cho dùng passkey đó khi bạn đang ở đúng tên miền ấy. Một trang giả, dù sao chép giao diện từng điểm ảnh, vẫn có tên miền khác. Khi trang giả yêu cầu đăng nhập, điện thoại của bạn đơn giản là không tìm thấy passkey phù hợp. Bạn không phải tự phân biệt trang thật với trang giả; máy làm việc đó và không bị đánh lừa bởi giao diện.
Điều này đặc biệt có ý nghĩa khi tin nhắn lừa đảo do AI soạn ngày càng khó nhận ra: đúng chính tả, đúng giọng điệu, đúng tên chương trình khuyến mãi đang chạy. Với mật khẩu và mã một lần, sự an toàn phụ thuộc vào việc bạn có tỉnh táo ở đúng giây phút đó không. Với passkey, sự an toàn không phụ thuộc vào tâm trạng của bạn lúc bấm vào đường dẫn.
Passkey cũng không thể bị đọc qua điện thoại. Kịch bản "đọc giúp mã vừa gửi về máy" không có chỗ bám, vì không có mã nào để đọc. Kẻ xấu muốn dùng passkey của bạn phải cầm được thiết bị của bạn và mở được khoá màn hình của nó. Vì thế mã mở máy dài và không trùng ngày sinh trở thành lớp bảo vệ chính, và đó là việc nên làm cùng lúc với việc tạo passkey.
Passkey so với mật khẩu và mã một lần
Bảng so sánh theo những tình huống mất tài khoản thường gặp.
| Tình huống | Mật khẩu | Mật khẩu + mã một lần | Passkey |
|---|---|---|---|
| Dịch vụ bị lộ cơ sở dữ liệu | Có thể bị dò ngược, nguy hiểm nếu dùng lại | Mật khẩu có thể lộ, lớp hai còn giữ | Không có gì để dò |
| Bạn bấm nhầm vào trang giả | Mất mật khẩu | Có thể mất cả mã nếu trang giả chuyển tiếp ngay | Máy không đưa passkey cho tên miền lạ |
| Bị lừa qua điện thoại | Có thể bị dụ đọc mật khẩu | Có thể bị dụ đọc mã | Không có gì để đọc |
| Kẻ xấu chiếm SIM của bạn | Không liên quan trực tiếp | Nguy hiểm nếu mã gửi qua SMS | Không liên quan |
| Mất điện thoại đã mở khoá | Tuỳ trình duyệt có lưu không | Nguy hiểm | Nguy hiểm nếu máy không có khoá màn hình |
| Thói quen người dùng | Phải nhớ, phải gõ | Phải gõ thêm mã | Chạm vân tay hoặc nhìn vào máy |
Hàng thứ năm là chỗ dễ bị bỏ quên. Passkey chuyển trọng tâm bảo vệ từ "thứ bạn nhớ" sang "thiết bị bạn giữ". Một chiếc điện thoại không đặt khoá màn hình, hoặc khoá bằng mã sáu số là ngày sinh, làm yếu đi toàn bộ ưu điểm phía trên.
Tạo passkey cho tài khoản đầu tiên
Cách bật khác nhau tuỳ dịch vụ và phiên bản; tên mục có thể là Khoá truy cập, Passkey, hoặc nằm trong phần Cách bạn đăng nhập. Nguyên lý chung như sau.
- Kiểm điện thoại đã đặt khoá màn hình bằng mã đủ dài, và hệ điều hành đã cập nhật bản mới. Passkey cần khoá màn hình để hoạt động.
- Chọn một tài khoản lớn, quen dùng để bắt đầu, nên là tài khoản gốc của điện thoại hoặc email chính. Các hãng lớn thường hỗ trợ passkey sớm nhất.
- Đăng nhập tài khoản đó trên điện thoại, vào phần bảo mật, tìm mục tạo khoá truy cập hoặc passkey.
- Bấm tạo, xác nhận bằng vân tay, khuôn mặt hoặc mã máy. Hệ điều hành sẽ hỏi lưu passkey vào đâu: kho mật khẩu của hệ điều hành hay trình quản lý mật khẩu bạn đang dùng.
- Đăng xuất rồi đăng nhập lại để thử. Lần này dịch vụ sẽ đề nghị dùng khoá truy cập thay vì mật khẩu.
- Tạo thêm một passkey trên thiết bị thứ hai (máy tính, máy tính bảng), để mất một máy vẫn còn đường vào.
- Giữ nguyên mật khẩu và mã dự phòng của tài khoản đó trong thời gian đầu. Đừng xoá các phương thức cũ khi chưa quen.
Khi bạn dùng máy tính của người khác hoặc máy ở cơ quan, nhiều dịch vụ cho đăng nhập bằng cách quét mã QR hiện trên máy tính bằng điện thoại của bạn; điện thoại xác nhận qua kết nối gần (Bluetooth), nên người ở xa không giả được bước này. Passkey không bị lưu lại trên máy tính kia.
Passkey lưu ở đâu và đi theo bạn thế nào
Passkey đồng bộ. Phần lớn passkey người dùng thường tạo được lưu trong kho mật khẩu của hệ điều hành hoặc của trình quản lý mật khẩu, và được đồng bộ mã hoá qua các thiết bị cùng tài khoản. Bạn tạo trên điện thoại, máy tính bảng cùng tài khoản cũng dùng được. Điểm phải giữ là chính tài khoản đồng bộ đó: nó cần mật khẩu riêng và lớp xác thực mạnh.
Passkey gắn với một thiết bị. Passkey lưu trong khoá bảo mật vật lý thì không ra khỏi thiết bị đó. An toàn hơn trước kịch bản tài khoản đồng bộ bị chiếm, nhưng mất khoá là mất passkey. Loại này hợp với người cần mức bảo vệ cao, và luôn cần một khoá thứ hai dự phòng.
Dùng chéo giữa các hệ. Nếu bạn dùng iPhone với máy tính Windows, hoặc Android với máy Mac, khả năng chuyển passkey giữa các hệ đang được các hãng mở dần. Cách chắc chắn hiện nay là dùng một trình quản lý mật khẩu chạy được trên cả hai hệ, hoặc dùng cách quét QR khi cần. Hãy kiểm tính năng ở phiên bản bạn đang dùng.
Ai mở được passkey của bạn. Bất kỳ ai mở được khoá màn hình máy bạn. Nếu bạn từng thêm vân tay của người nhà vào điện thoại cho tiện, người đó cũng dùng được passkey. Rà lại danh sách vân tay và khuôn mặt đã đăng ký trên máy, giữ lại chỉ của bạn.
Hiểu lầm thường gặp về passkey
"Passkey là mật khẩu được lưu sẵn trong máy." Không đúng. Mật khẩu lưu sẵn vẫn là một chuỗi ký tự được gửi đi khi đăng nhập, và vẫn có thể bị điền vào trang giả nếu bạn chép tay nó ra. Passkey không bao giờ rời thiết bị dưới dạng có thể đem đi dùng; thứ gửi đi chỉ là chữ ký cho một câu đố dùng một lần.
"Có passkey thì không cần khoá màn hình chắc." Ngược lại, khoá màn hình trở thành cánh cửa chính. Mã mở máy nên dài hơn sáu số nếu máy cho phép, và không dùng ngày sinh, biển số xe hay số nhà.
"Passkey chỉ dành cho người rành công nghệ." Với người dùng, passkey còn đơn giản hơn mật khẩu: chạm vân tay là xong. Phần khó nằm ở lần tạo đầu tiên và lúc đổi máy, hai việc có thể nhờ người thân ngồi cùng.
"Một lời mời tạo passkey có thể là lừa đảo." Lời mời tạo passkey thật xuất hiện bên trong ứng dụng hoặc trang chính thức sau khi bạn đã đăng nhập, và hộp thoại xác nhận là của hệ điều hành. Nếu một tin nhắn hay cuộc gọi bảo bạn bấm đường dẫn để "kích hoạt khoá truy cập", hãy bỏ qua và tự mở ứng dụng chính thức để kiểm.
Những điều passkey chưa giải quyết
Passkey là bước tiến thật, nhưng không phải lời giải cho mọi chuyện. Biết giới hạn để không chủ quan.
- Mật khẩu cũ vẫn còn. Ở nhiều dịch vụ, tạo passkey không tự xoá mật khẩu; kẻ xấu vẫn có thể thử đường mật khẩu. Hãy giữ mật khẩu đó dài và riêng, cho tới khi dịch vụ cho phép bỏ hẳn.
- Đường khôi phục là điểm yếu. Nếu tài khoản cho khôi phục qua SMS hoặc câu hỏi bảo mật, kẻ xấu sẽ nhắm vào đó thay vì passkey. Kiểm phần khôi phục của từng tài khoản.
- Không phải dịch vụ nào cũng hỗ trợ, đặc biệt là trang nhỏ, ứng dụng trong nước và hệ thống cũ. Với những nơi này, mật khẩu riêng cộng xác thực hai lớp vẫn là cách tốt nhất.
- Thiết bị đã nhiễm mã độc vẫn nguy hiểm. Passkey bảo vệ bước đăng nhập, không bảo vệ phiên đã đăng nhập khỏi phần mềm độc hại đang chạy trên máy.
- Người lớn tuổi có thể bối rối khi màn hình hỏi "lưu khoá truy cập vào đâu". Người thân nên ngồi cùng làm lần đầu và giải thích ngắn gọn rằng từ nay chỉ cần chạm vân tay.
- Thiết bị dùng chung trong gia đình làm mờ ranh giới "ai đang đăng nhập". Mỗi người nên có hồ sơ người dùng riêng trên máy tính chung.
Cách nhìn thực tế: passkey là lớp tốt nhất cho tài khoản quan trọng nhất của bạn, ở những dịch vụ đã hỗ trợ. Với phần còn lại, tiếp tục dùng trình quản lý mật khẩu và xác thực hai lớp. Sau vài năm, tỉ lệ đó sẽ tự nghiêng dần về phía passkey mà bạn không phải làm gì thêm ngoài việc bấm "tạo khoá truy cập" khi dịch vụ đề nghị.
Câu hỏi thường gặp
Passkey có phải chỉ là đăng nhập bằng vân tay không?
Không hẳn. Vân tay hay khuôn mặt chỉ là cách mở khoá chiếc khoá bí mật trên máy. Phần làm nên sự an toàn là cặp khoá mật mã gắn với tên miền của dịch vụ. Một số ứng dụng có tính năng đăng nhập bằng vân tay nhưng thực chất chỉ lưu mật khẩu trong máy, đó không phải passkey.
Mất điện thoại thì passkey có bị người khác dùng không?
Người nhặt được phải mở được khoá màn hình mới dùng được passkey. Nếu máy có mã mở khoá đủ dài và bạn nhanh chóng khoá máy từ xa qua tài khoản gốc, rủi ro thấp. Passkey đồng bộ vẫn còn trên các thiết bị khác của bạn, nên bạn không mất quyền vào tài khoản.
Có thể vừa dùng passkey vừa giữ mật khẩu không?
Có, và đa số dịch vụ hiện đang để như vậy. Passkey thành cách đăng nhập chính, mật khẩu và xác thực hai lớp là đường dự phòng. Điều cần nhớ là đường dự phòng phải mạnh tương xứng, không thì kẻ xấu chỉ việc đi đường đó.
Passkey có dùng được cho ứng dụng ngân hàng ở Việt Nam không?
Ngân hàng và ví điện tử ở Việt Nam đang dùng hệ thống xác thực riêng theo quy định của Ngân hàng Nhà nước, gồm Smart OTP và xác thực sinh trắc học đối chiếu với dữ liệu căn cước. Chúng không phải passkey theo chuẩn FIDO dù cũng dùng vân tay hay khuôn mặt. Hãy theo hướng dẫn trong ứng dụng chính thức của ngân hàng bạn.
Tạo passkey trên điện thoại Android rồi dùng trên iPhone được không?
Tuỳ nơi bạn lưu passkey. Nếu lưu trong kho của hệ điều hành, việc chuyển chéo giữa hai hệ còn hạn chế và đang được các hãng cải thiện. Nếu lưu trong một trình quản lý mật khẩu chạy trên cả hai hệ, bạn dùng được ở cả hai. Hoặc tạo riêng một passkey trên mỗi máy, dịch vụ cho phép nhiều passkey cho một tài khoản.
Passkey có làm lộ dữ liệu khuôn mặt cho công ty công nghệ không?
Theo thiết kế của chuẩn FIDO, dữ liệu sinh trắc không rời thiết bị và không gửi cho dịch vụ đăng nhập. Dịch vụ chỉ nhận chữ ký số. Dữ liệu sinh trắc được hệ điều hành giữ trong vùng bảo mật của máy, giống như khi bạn dùng nó để mở khoá màn hình.