Trong nhiều năm, chúng ta đã quen với việc đăng nhập bằng mật khẩu.
Mỗi tài khoản một mật khẩu.
Mật khẩu phải đủ dài.
Phải có chữ hoa, chữ thường, số, ký tự đặc biệt.
Rồi lại phải nhớ, phải lưu, phải đổi khi bị lộ.
Nhưng có một vấn đề rất lớn: mật khẩu không còn đủ an toàn nữa.
Chúng ta có thể đặt mật khẩu mạnh, nhưng vẫn có thể bị lừa nhập vào website giả. Có thể dùng lại mật khẩu ở nhiều nơi. Có thể bị rò rỉ từ một dịch vụ nào đó mà chính ta cũng không biết.
Đó là lý do passkey ra đời.
Passkey là gì?
Passkey là một cách đăng nhập mới, cho phép bạn truy cập tài khoản mà không cần nhập mật khẩu.
Thay vì gõ mật khẩu, bạn chỉ cần xác thực bằng thiết bị của mình, ví dụ:
Hiểu đơn giản:
Mật khẩu là thứ bạn phải nhớ.
Passkey là chiếc chìa khóa số được lưu an toàn trong thiết bị của bạn.
Khi đăng nhập, bạn không cần nhớ chuỗi ký tự phức tạp nữa. Bạn chỉ cần mở khóa thiết bị. Nếu đúng là bạn, hệ thống sẽ cho phép đăng nhập.
Ví dụ dễ hiểu về passkey
Giả sử bạn đăng nhập vào Gmail, Facebook, GitHub, Microsoft hoặc một dịch vụ nào đó có hỗ trợ passkey.
Trước đây, bạn thường làm như sau:
$$
Nhập email
Nhập mật khẩu
Nhập mã OTP nếu có
Đăng nhập
$$
Với passkey, quy trình có thể đơn giản hơn:
$$
Chọn đăng nhập bằng passkey
Xác nhận Face ID, vân tay hoặc mã PIN
Đăng nhập thành công
$$
Không cần nhớ mật khẩu.
Không cần gõ mật khẩu.
Không cần lo ai đó nhìn trộm bạn đang nhập gì.
Passkey hoạt động như thế nào?
Passkey dùng một cơ chế bảo mật gọi là mã hóa khóa công khai.
Nghe hơi kỹ thuật, nhưng có thể hiểu đơn giản thế này:
Khi bạn tạo passkey cho một tài khoản, hệ thống sẽ tạo ra hai chiếc khóa:
Khi bạn đăng nhập, website sẽ kiểm tra xem thiết bị của bạn có đúng chiếc khóa riêng tương ứng hay không.
Điểm quan trọng là:
Khóa riêng không rời khỏi thiết bị của bạn.
Nó không bị gửi lên website.
Không nằm trong cơ sở dữ liệu của dịch vụ.
Không phải là thứ bạn có thể vô tình nhập vào một trang web giả.
Đây chính là lý do passkey an toàn hơn mật khẩu rất nhiều.
Passkey khác gì mật khẩu?
| Tiêu chí | Mật khẩu | Passkey |
|---|
| Cách đăng nhập | Nhập chuỗi ký tự | Xác thực bằng thiết bị |
| Có cần nhớ không? | Có | Không |
| Có thể bị lộ khi nhập vào web giả không? | Có | Rất khó |
| Có thể bị dùng lại ở nhiều nơi không? | Có | Không theo cách thông thường |
| Có cần OTP không? | Thường cần | Nhiều trường hợp không cần |
| Mức độ tiện lợi | Trung bình | Cao |
| Mức độ an toàn | Phụ thuộc người dùng | Cao hơn nhiều |
Mật khẩu giống như một câu thần chú. Ai biết câu thần chú đó cũng có thể mở cửa.
Passkey giống như một chiếc chìa khóa sinh trắc học. Muốn mở cửa, phải có đúng thiết bị và đúng người xác thực.
Vì sao passkey an toàn hơn?
1. Không có mật khẩu để đánh cắp
Với mật khẩu, hacker có thể tìm cách lấy được chuỗi ký tự bạn dùng để đăng nhập.
Với passkey, bạn không nhập mật khẩu. Vì vậy, không có mật khẩu nào để bị nhìn trộm, bị ghi lại hoặc bị lừa nhập vào website giả.
2. Khó bị lừa bởi phishing
Phishing là hình thức lừa người dùng truy cập vào website giả để nhập tài khoản và mật khẩu.
Ví dụ, bạn tưởng mình đang vào trang ngân hàng, nhưng thực ra đó là một trang giả có giao diện rất giống.
Nếu dùng mật khẩu, bạn có thể vô tình nhập thông tin đăng nhập vào đó.
Nhưng với passkey, việc xác thực thường gắn với đúng website hoặc ứng dụng đã đăng ký. Điều này khiến các cuộc tấn công lừa đảo kiểu cũ khó thành công hơn.
3. Không phải nhớ quá nhiều mật khẩu
Một người dùng bình thường có thể có hàng chục tài khoản: email, mạng xã hội, ngân hàng, phần mềm làm việc, ứng dụng mua sắm, nền tảng học tập…
Không ai muốn nhớ vài chục mật khẩu khác nhau.
Vì thế, nhiều người dùng lại dùng một mật khẩu cho nhiều nơi. Đây là thói quen rất nguy hiểm.
Passkey giúp giảm gánh nặng này. Bạn không cần phải ghi nhớ một mê cung mật khẩu nữa.
4. Trải nghiệm đăng nhập nhanh hơn
Không phải mở app lấy mã OTP.
Không phải copy mật khẩu từ trình quản lý mật khẩu.
Không phải gõ lại vì sai một ký tự.
Bạn chỉ cần xác nhận bằng Face ID, vân tay hoặc mã PIN.
Nhanh hơn. Gọn hơn. Ít lỗi hơn.
Passkey được lưu ở đâu?
Tùy thiết bị và hệ sinh thái bạn đang dùng, passkey có thể được lưu và đồng bộ qua:
iCloud Keychain trên iPhone, iPad, Mac
Google Password Manager trên Android và Chrome
Windows Hello trên máy Windows
Một số trình quản lý mật khẩu có hỗ trợ passkey
Điều này có nghĩa là nếu bạn dùng iPhone và Mac, passkey có thể được đồng bộ trong hệ sinh thái Apple.
Nếu bạn dùng Android và Chrome, passkey có thể được lưu trong tài khoản Google.
Nhờ vậy, khi đổi thiết bị, bạn vẫn có thể khôi phục passkey nếu còn quyền truy cập vào tài khoản chính.
Nếu mất điện thoại hoặc máy tính thì sao?
Đây là câu hỏi rất thực tế.
Nếu thiết bị chứa passkey bị mất, bạn vẫn có thể khôi phục quyền truy cập nếu đã thiết lập các phương thức dự phòng.
Ví dụ:
Tài khoản Apple ID hoặc Google vẫn còn truy cập được
Có số điện thoại khôi phục
Có email khôi phục
Có thiết bị khác đã đồng bộ passkey
Có mã dự phòng nếu dịch vụ cung cấp
Tuy nhiên, để an toàn hơn, bạn nên:
Bật khóa màn hình cho thiết bị
Không chia sẻ mã PIN với người khác
Cài đặt email và số điện thoại khôi phục
Lưu mã dự phòng của các tài khoản quan trọng
Không đăng nhập tài khoản chính trên thiết bị lạ
Passkey an toàn, nhưng không có nghĩa là bạn có thể bỏ qua các lớp bảo vệ cơ bản.
Có nên dùng passkey không?
Câu trả lời là: Có, nếu dịch vụ bạn dùng đã hỗ trợ.
Đặc biệt nên dùng passkey cho các tài khoản quan trọng như:
Email cá nhân
Tài khoản Google
Tài khoản Apple
Tài khoản Microsoft
Tài khoản ngân hàng
Tài khoản quản trị website
Tài khoản phần mềm công việc
Tài khoản mạng xã hội quan trọng
Đây là những tài khoản nếu bị mất sẽ gây ra nhiều rắc rối.
Với các tài khoản quan trọng, passkey giúp giảm rủi ro bị lộ mật khẩu và tăng tốc độ đăng nhập.
Khi nào nên dùng passkey?
Bạn nên dùng passkey khi tài khoản đó quan trọng, thường xuyên đăng nhập hoặc có nguy cơ bị tấn công cao.
Nói đơn giản: tài khoản nào nếu mất đi sẽ gây rắc rối, tài khoản đó nên bật passkey càng sớm càng tốt.
1. Khi tài khoản chứa dữ liệu quan trọng
Hãy ưu tiên bật passkey cho các tài khoản có nhiều thông tin cá nhân, dữ liệu công việc hoặc dữ liệu tài chính.
Ví dụ:
Email cá nhân
Email công ty
Tài khoản Google
Tài khoản Apple
Tài khoản Microsoft
Tài khoản ngân hàng
Tài khoản ví điện tử
Tài khoản quản trị website
Tài khoản phần mềm CRM, kế toán, quản lý công việc
Email là tài khoản nên được ưu tiên hàng đầu. Vì nếu mất email, kẻ xấu có thể dùng nó để đặt lại mật khẩu của rất nhiều tài khoản khác.
2. Khi bạn hay quên mật khẩu hoặc dùng lại một mật khẩu nhiều nơi
Nhiều người có thói quen dùng chung một mật khẩu cho nhiều tài khoản.
Ví dụ:
$$
Một mật khẩu dùng cho email
Một mật khẩu dùng cho Facebook
Một mật khẩu dùng cho phần mềm công việc
Một mật khẩu dùng cho tài khoản mua sắm
$$
Thói quen này rất nguy hiểm.
Chỉ cần một dịch vụ bị rò rỉ dữ liệu, các tài khoản khác cũng có thể bị dò ra theo.
Nếu bạn thấy mình đang phải nhớ quá nhiều mật khẩu, hoặc thường xuyên dùng lại mật khẩu cũ, đó là lúc nên chuyển dần sang passkey.
3. Khi bạn thường xuyên đăng nhập trên thiết bị cá nhân
Passkey phù hợp nhất khi bạn đăng nhập trên thiết bị riêng như:
Vì passkey gắn với thiết bị và phương thức mở khóa thiết bị, nên nó đặc biệt tiện khi bạn dùng máy quen thuộc hằng ngày.
Chỉ cần Face ID, vân tay hoặc mã PIN là có thể đăng nhập nhanh.
4. Khi bạn muốn giảm phụ thuộc vào OTP
OTP vẫn hữu ích, nhưng không phải lúc nào cũng thuận tiện.
Có lúc điện thoại mất sóng.
Có lúc tin nhắn OTP đến chậm.
Có lúc app xác thực không mở được.
Có lúc đang vội mà phải chuyển qua nhiều màn hình chỉ để lấy mã.
Passkey giúp quá trình đăng nhập gọn hơn. Trong nhiều trường hợp, bạn có thể đăng nhập an toàn mà không cần nhập mật khẩu rồi chờ OTP.
Tất nhiên, với các tài khoản cực kỳ quan trọng, bạn vẫn nên giữ thêm phương thức khôi phục dự phòng.
5. Khi bạn làm việc trong môi trường dễ bị lừa đảo
Nếu bạn thường xuyên nhận email, tin nhắn, link đăng nhập hoặc file từ nhiều nguồn khác nhau, nguy cơ gặp trang giả mạo sẽ cao hơn.
Các nhóm nên cân nhắc dùng passkey sớm gồm:
Với những nhóm này, chỉ một lần nhập nhầm mật khẩu vào trang giả cũng có thể gây hậu quả lớn.
Passkey giúp giảm đáng kể rủi ro này, vì bạn không còn phải gõ mật khẩu vào các trang đăng nhập nữa.
6. Khi dịch vụ đã hỗ trợ passkey ổn định
Không phải nền tảng nào cũng hỗ trợ passkey tốt như nhau.
Bạn nên bật passkey trước với các dịch vụ lớn, có hệ thống bảo mật tốt, ví dụ:
Với các dịch vụ nhỏ hoặc ít dùng, bạn có thể cân nhắc sau. Không nhất thiết phải bật passkey ở mọi nơi ngay lập tức.
7. Khi bạn đã thiết lập phương án khôi phục tài khoản
Trước khi dùng passkey cho tài khoản quan trọng, hãy đảm bảo bạn đã có phương án khôi phục nếu mất thiết bị.
Nên kiểm tra các mục sau:
Email khôi phục còn dùng được
Số điện thoại khôi phục còn hoạt động
Có ít nhất một thiết bị tin cậy khác
Có lưu mã dự phòng nếu dịch vụ cung cấp
Tài khoản Apple ID hoặc Google được bảo vệ tốt
Passkey rất tiện, nhưng bạn vẫn cần chuẩn bị “lối vào dự phòng”. Đừng để chiếc chìa khóa thông minh biến thành chiếc chìa khóa duy nhất.
Khi nào chưa nên dùng passkey?
Passkey rất tốt, nhưng không phải lúc nào cũng nên bật vội.
Bạn nên cân nhắc kỹ nếu:
Bạn thường xuyên dùng máy công cộng
Bạn hay mượn máy người khác để đăng nhập
Thiết bị cá nhân chưa có khóa màn hình
Bạn chưa thiết lập email hoặc số điện thoại khôi phục
Bạn không chắc passkey đang được lưu ở đâu
Bạn dùng tài khoản chung cho nhiều người trong team
Đặc biệt, với tài khoản dùng chung trong công ty, cần cẩn thận. Nếu passkey được tạo trên thiết bị của một cá nhân, sau này khi người đó nghỉ việc hoặc đổi máy, việc truy cập có thể gặp rắc rối.
Trong trường hợp tài khoản dùng chung, nên ưu tiên:
Tạo tài khoản riêng cho từng người
Phân quyền rõ ràng
Dùng trình quản lý mật khẩu cho team
Có tài khoản quản trị dự phòng
Ghi rõ quy trình bàn giao khi nhân sự thay đổi
Gợi ý thứ tự bật passkey
Nếu chưa biết bắt đầu từ đâu, bạn có thể bật passkey theo thứ tự này:
| Thứ tự | Loại tài khoản | Mức ưu tiên |
|---|
| 1 | Email chính | Rất cao |
| 2 | Apple ID / Google Account / Microsoft Account | Rất cao |
| 3 | Tài khoản ngân hàng, ví điện tử | Rất cao |
| 4 | Tài khoản quản trị website, hosting, tên miền | Cao |
| 5 | Tài khoản mạng xã hội quan trọng | Cao |
| 6 | Tài khoản phần mềm công việc | Cao |
| 7 | Tài khoản mua sắm, diễn đàn, dịch vụ phụ | Trung bình |
Cách làm khôn ngoan là không cần bật tất cả trong một ngày. Hãy bắt đầu từ những tài khoản quan trọng nhất, sau đó mở rộng dần.
Bảo mật không cần ồn ào. Nó giống như khóa cửa trước khi ra khỏi nhà: làm đúng lúc, đều đặn, và không đợi mất đồ mới nghĩ đến.
Passkey có thay thế hoàn toàn mật khẩu không?
Trong tương lai, rất có thể passkey sẽ dần thay thế mật khẩu.
Tuy nhiên, ở thời điểm hiện tại, không phải dịch vụ nào cũng hỗ trợ passkey. Nhiều nơi vẫn dùng mật khẩu, OTP hoặc các hình thức xác thực cũ.
Vì vậy, cách tốt nhất là:
Dịch vụ nào hỗ trợ passkey thì bật passkey.
Dịch vụ nào chưa hỗ trợ thì dùng mật khẩu mạnh.
Không dùng một mật khẩu cho nhiều tài khoản.
Bật xác thực hai lớp cho tài khoản quan trọng.
Đừng đợi đến khi mật khẩu bị lộ mới nâng cấp bảo mật. Bảo mật tốt nhất là bảo mật trước khi có chuyện xảy ra.
Tóm lại
Passkey là phương thức đăng nhập không cần mật khẩu, sử dụng thiết bị của bạn để xác thực bằng Face ID, vân tay, mã PIN hoặc khóa màn hình.
So với mật khẩu truyền thống, passkey có nhiều lợi thế:
Có thể hiểu ngắn gọn:
Passkey là chiếc chìa khóa số thay cho mật khẩu.
Bạn không cần nhớ mật khẩu nữa. Bạn chỉ cần chứng minh đúng là mình.
Trong một thế giới mà tài khoản số ngày càng quan trọng, passkey là một bước tiến lớn: bớt phụ thuộc vào trí nhớ con người, bớt sơ hở cho hacker, và bớt những lần đau đầu vì quên mật khẩu.
Mật khẩu từng là cánh cửa.
Passkey là ổ khóa thông minh hơn cho thời đại mới.
