Passkey là gì? Passkey là thông tin xác thực thay thế mật khẩu, cho phép bạn đăng nhập bằng Face ID, vân tay, mã PIN, hình mở khóa hoặc khóa bảo mật phần cứng. Thay vì ghi nhớ và nhập mật khẩu, thiết bị sẽ dùng một cặp khóa mật mã để chứng minh bạn là chủ tài khoản.
Passkey thường an toàn hơn mật khẩu vì khóa riêng không được gửi lên website, không dùng chung giữa nhiều dịch vụ và được liên kết với đúng tên miền hoặc ứng dụng đã đăng ký. Nhờ đó, passkey hỗ trợ đăng nhập không mật khẩu và có khả năng chống lừa đảo giả mạo tốt hơn các phương thức dựa trên mật khẩu hoặc mã OTP (theo FIDO Alliance).
Nói ngắn gọn: bạn vẫn cần một cách mở khóa thiết bị, nhưng không cần tạo, ghi nhớ hoặc nhập mật khẩu cho từng tài khoản.
Passkey hoạt động như thế nào?
Khi bạn tạo passkey, thiết bị sẽ sinh ra một cặp khóa gồm khóa riêng và khóa công khai. Khóa riêng được lưu trong trình quản lý thông tin xác thực trên thiết bị hoặc trong hệ sinh thái đồng bộ như iCloud Keychain hay Google Password Manager. Dịch vụ trực tuyến chỉ lưu khóa công khai.
Khi đăng nhập, website gửi một thử thách mật mã đến thiết bị. Bạn xác nhận bằng sinh trắc học hoặc mã mở khóa. Thiết bị dùng khóa riêng để tạo chữ ký phản hồi, còn máy chủ dùng khóa công khai để kiểm tra. Khóa riêng không cần rời khỏi thiết bị trong quá trình này.
Về tiêu chuẩn, passkey dựa trên hệ sinh thái FIDO. Trong đó, FIDO2 là cách gọi phổ biến cho sự kết hợp giữa WebAuthn của W3C và giao thức CTAP của FIDO Alliance. WebAuthn xử lý việc website yêu cầu xác thực trong trình duyệt, còn CTAP giúp thiết bị, trình duyệt và bộ xác thực giao tiếp với nhau (theo FIDO Alliance).
Vì sao passkey chống lừa đảo tốt hơn?
- Không có mật khẩu để đánh cắp: máy chủ không cần lưu mật khẩu dạng có thể bị người dùng nhập lại trên website giả.
- Gắn với website cụ thể: passkey được liên kết với nguồn xác thực hợp lệ, nên khó bị sử dụng trên tên miền giả mạo.
- Không bị tái sử dụng: mỗi tài khoản có thông tin xác thực riêng, giảm rủi ro dây chuyền khi một dịch vụ bị rò rỉ dữ liệu.
- Khóa riêng được bảo vệ cục bộ: website chỉ nhận kết quả xác thực thành công, không nhận dữ liệu sinh trắc học của bạn.
Điều này không có nghĩa passkey loại bỏ mọi rủi ro. Nếu kẻ xấu chiếm được tài khoản quản lý passkey, lấy quyền truy cập thiết bị hoặc bạn bị lừa cài phần mềm độc hại, tài khoản vẫn có thể bị đe dọa. Vì vậy, bảo vệ tài khoản Apple, Google hoặc trình quản lý mật khẩu vẫn rất quan trọng.
Sinh trắc học có bị gửi lên máy chủ không?
Thông thường, không. Vân tay hoặc dữ liệu khuôn mặt được xử lý trên thiết bị. Website chỉ nhận được tín hiệu cho biết bước xác minh người dùng đã thành công; dữ liệu sinh trắc học không được truyền đến dịch vụ đăng nhập (theo FIDO Alliance).
Passkey cũng không đồng nghĩa với việc website “biết” bạn dùng Face ID hay vân tay. Sinh trắc học chỉ là cách mở khóa bộ xác thực trên thiết bị. Trên một số thiết bị, bạn có thể dùng mã PIN hoặc mật mã thay thế.
Cách tạo passkey và đăng nhập không mật khẩu
Trước khi thực hiện, bạn cần có tài khoản trên website hoặc ứng dụng hỗ trợ passkey, thiết bị có khóa màn hình, trình duyệt hoặc hệ điều hành tương thích và phương thức khôi phục tài khoản. Không phải dịch vụ nào cũng hỗ trợ passkey; nếu không thấy tùy chọn này, bạn vẫn phải dùng mật khẩu hoặc phương thức xác thực khác.
Các bước tạo passkey
- Đăng nhập vào tài khoản: mở website hoặc ứng dụng bằng mật khẩu hiện tại.
- Mở phần cài đặt bảo mật: tìm các mục như “Passkeys”, “Khóa truy cập”, “Đăng nhập”, “Bảo mật” hoặc “Phương thức xác thực”.
- Chọn tạo passkey: nhấn “Create a passkey”, “Thêm passkey” hoặc nút có tên tương đương.
- Chọn nơi lưu: dùng trình quản lý thông tin xác thực mặc định của thiết bị hoặc trình quản lý mật khẩu bên thứ ba đáng tin cậy.
- Xác nhận bằng thiết bị: dùng Face ID, vân tay, mã PIN hoặc phương thức mở khóa màn hình.
- Kiểm tra lại: quay về danh sách phương thức đăng nhập và xác nhận passkey đã xuất hiện cùng tên tài khoản hoặc thiết bị.
Trên Android, quy trình phổ biến là đăng nhập vào ứng dụng hoặc website, mở phần cài đặt tài khoản, chọn tạo passkey rồi xác nhận bằng phương thức mở khóa màn hình. Google cho biết passkey có thể được lưu và đồng bộ qua Google Password Manager hoặc một trình quản lý mật khẩu tương thích (theo Google Support).
Trên iPhone, passkey thường được lưu trong ứng dụng Mật khẩu và iCloud Keychain. Apple yêu cầu iCloud Keychain và xác thực hai yếu tố cho Tài khoản Apple được bật để sử dụng đầy đủ tính năng đồng bộ (theo Apple Support). Nếu bạn đang sử dụng hệ sinh thái Apple, hãy xem thêm các hướng dẫn về Apple và cách quản lý cập nhật iPhone, iPad để duy trì thiết bị ở trạng thái an toàn.
Bạn cũng có thể dùng điện thoại để đăng nhập trên máy tính khác. Khi website hiển thị mã QR hoặc tùy chọn “Passkey từ thiết bị lân cận”, hãy quét mã bằng điện thoại và xác nhận trên điện thoại. Cách này hữu ích khi passkey không được lưu trực tiếp trên máy tính.
Cách kiểm tra passkey đã hoạt động
- Đăng xuất khỏi website hoặc mở cửa sổ trình duyệt riêng tư.
- Nhập tên tài khoản hoặc email, nhưng chưa nhập mật khẩu.
- Chọn biểu tượng passkey hoặc tùy chọn đăng nhập không mật khẩu.
- Xác nhận bằng Face ID, vân tay, mã PIN hoặc khóa màn hình.
- Kiểm tra bạn đã được đưa đúng vào tài khoản.
Sau khi kiểm tra thành công, không nên xóa ngay mật khẩu dự phòng nếu dịch vụ chưa cung cấp phương thức khôi phục khác. Một số tài khoản có thể cần mật khẩu để xử lý các tình huống mất thiết bị, đổi hệ sinh thái hoặc khôi phục quyền truy cập.
Passkey có nhược điểm gì và cần lưu ý gì?
Passkey có mô hình bảo mật tốt, nhưng trải nghiệm phụ thuộc vào thiết bị, hệ điều hành, trình duyệt và cách mỗi dịch vụ triển khai. Trước khi chuyển hoàn toàn sang passkey, bạn nên hiểu các giới hạn dưới đây.
| Tình huống | Rủi ro hoặc bất tiện | Cách xử lý |
|---|---|---|
| Mất điện thoại | Khó đăng nhập nếu passkey chỉ lưu trên thiết bị đó. | Dùng passkey đã đồng bộ, thiết bị khác, khóa bảo mật hoặc quy trình khôi phục của dịch vụ. |
| Đổi hệ sinh thái | Việc chuyển giữa các trình quản lý có thể không giống nhau. | Kiểm tra khả năng đồng bộ trước khi đổi thiết bị và giữ phương thức dự phòng. |
| Tài khoản quản lý bị chiếm quyền | Kẻ xấu có thể tiếp cận các passkey đã đồng bộ. | Bật xác thực mạnh, dùng mật khẩu riêng và kiểm tra thiết bị đang đăng nhập. |
| Website chưa hỗ trợ | Chưa thể đăng nhập hoàn toàn không mật khẩu. | Tiếp tục dùng trình quản lý mật khẩu và bật xác thực đa yếu tố nếu có. |
| Thiết bị dùng chung | Người khác có thể mở khóa và dùng passkey trên thiết bị. | Không lưu passkey trên máy công cộng; ưu tiên điện thoại cá nhân hoặc khóa bảo mật. |
Với thiết bị cá nhân, passkey đồng bộ thường thuận tiện hơn vì có thể khôi phục khi đổi điện thoại. Với tài khoản quản trị, tài khoản doanh nghiệp hoặc tài khoản có giá trị cao, bạn nên cân nhắc passkey gắn với thiết bị hoặc khóa bảo mật phần cứng, đồng thời duy trì kênh khôi phục được kiểm soát.
Một lỗi thường gặp là tạo passkey nhưng không biết nó được lưu ở đâu. Hãy mở trình quản lý mật khẩu của hệ điều hành để xem danh sách passkey, tên dịch vụ và tài khoản tương ứng. Nếu không đăng nhập được, kiểm tra ba điểm: thiết bị đã bật khóa màn hình chưa, trình quản lý passkey có được phép hoạt động không và website có đang mở đúng tên miền không.
Để bắt đầu, tôi khuyên bạn chọn một tài khoản quan trọng nhưng có phương thức khôi phục rõ ràng, chẳng hạn tài khoản email cá nhân. Tạo passkey, đăng xuất, kiểm tra đăng nhập lại rồi mới áp dụng cho các tài khoản khác. Bạn có thể xem thêm các bài viết công nghệ để tìm hướng dẫn liên quan đến bảo mật và thiết bị.
Kết luận: passkey là bước tiến thực tế từ mật khẩu sang xác thực bằng khóa mật mã, được mở khóa qua sinh trắc học hoặc mã thiết bị. Passkey đặc biệt phù hợp với người thường quên mật khẩu, dùng nhiều thiết bị hoặc muốn giảm nguy cơ bị lừa nhập thông tin trên website giả. Tuy nhiên, bạn vẫn cần bảo vệ thiết bị, tài khoản đồng bộ và phương thức khôi phục để hệ thống an toàn toàn diện.
Nguồn tham khảo
