Giải thích về passkey: cách thay thế mật khẩu và chống lại phishing

Mật khẩu phải được cả bạn và trang web biết, và chính điều đó khiến mật khẩu có thể bị đánh cắp. Passkey được thiết kế để tránh vấn đề này: bạn không cần nhập hay ghi nhớ gì, và trang web giả mạo cũng không thể thu thập rồi sử dụng lại thông tin đó.

Sau đây là giải thích passkey là gì, cách đăng nhập bằng passkey, lý do passkey chống lại phishing và những điểm mà passkey vẫn phụ thuộc vào bạn.

Passkey là gì

Theo FIDO Alliance, tổ chức trong ngành đứng sau tiêu chuẩn này, passkey là thông tin xác thực cho phép bạn đăng nhập vào ứng dụng hoặc trang web bằng quy trình tương tự như khi mở khóa thiết bị, chẳng hạn như dùng vân tay, quét khuôn mặt, mã PIN hoặc hình mở khóa. Passkey gắn với tài khoản của bạn trên một trang web cụ thể, thay thế cả mật khẩu và trong hầu hết trường hợp là cả mã bổ sung.

Về mặt kỹ thuật, passkey là một cặp khóa mật mã. Trang web lưu khóa công khai, vốn vô dụng nếu đứng riêng lẻ, còn khóa riêng tư được giữ trên thiết bị của bạn. Một cặp khóa mới được tạo cho mỗi trang web, vì vậy passkey không thể được dùng lại trên nhiều dịch vụ như mật khẩu.

Cách đăng nhập bằng passkey

Khi bạn đăng nhập, trang web gửi một thử thách dùng một lần đến thiết bị. Thiết bị yêu cầu bạn mở khóa bằng dữ liệu sinh trắc học hoặc mã PIN, sau đó dùng khóa riêng tư để ký thử thách và gửi lại phản hồi đã ký. Trang web kiểm tra chữ ký bằng khóa công khai đã lưu rồi cho phép bạn đăng nhập. NCSC, Cơ quan An ninh mạng Quốc gia của Vương quốc Anh, mô tả quy trình tương tự, trong đó khóa riêng tư không bao giờ được chia sẻ với trang web hoặc trình duyệt.

FIDO cho biết không có dữ liệu cá nhân hay dữ liệu sinh trắc học nào được truyền đi trong quá trình đăng nhập. Vân tay hoặc khuôn mặt chỉ được dùng tại chỗ để mở khóa trên thiết bị của bạn.

Lý do passkey chống lại phishing

Điểm khác biệt chính là passkey được liên kết với tên miền của trang web thật. NCSC giải thích rằng bộ xác thực FIDO chỉ cung cấp thông tin xác thực khớp với trang web bạn thực sự đang truy cập, và việc kiểm tra được thực hiện bởi trình duyệt hoặc ứng dụng đáng tin cậy của bạn, nên trang giả mạo không thể tác động đến quá trình này. Trang web giả mạo không có mật khẩu hay mã nào để thu thập.

NCSC so sánh phương thức này với các yếu tố xác thực thứ hai truyền thống và nhận thấy tất cả các phương thức đó, bao gồm mã từ ứng dụng xác thực, đều có thể bị kẻ tấn công khai thác bằng cách chuyển tiếp quá trình đăng nhập qua trang giả mạo theo thời gian thực, trong khi thông tin xác thực FIDO2 thì không. NCSC cũng cho biết tại thời điểm bài viết được thực hiện, chưa ghi nhận cuộc tấn công nào nhằm vào chính phương thức xác thực FIDO2 ngoài thực tế, dù kẻ tấn công vẫn cố chuyển tài khoản sang các phương thức dự phòng yếu hơn. Vì vậy, tùy chọn đăng nhập yếu nhất vẫn được bật trên tài khoản cũng rất quan trọng.

Passkey được đồng bộ và passkey gắn với thiết bị

Passkey có hai dạng. Passkey được đồng bộ sẽ được sao lưu thông qua dịch vụ đồng bộ và xuất hiện trên các thiết bị khác của bạn, vì vậy việc mất một thiết bị không khiến bạn mất quyền truy cập. Passkey gắn với thiết bị, chẳng hạn như passkey được lưu trên khóa bảo mật vật lý, chỉ nằm trên thiết bị đó và không thể sao chép.

Mỗi dạng đều có sự đánh đổi. NCSC khuyến nghị bảo vệ tài khoản đứng sau dịch vụ đồng bộ khỏi phishing và duy trì phương thức khôi phục an toàn; cơ quan này cũng lưu ý rằng trong đánh giá năm 2025 về các dịch vụ đồng bộ của chính những nền tảng lớn, các dịch vụ này yêu cầu xác thực hai yếu tố để lưu passkey, còn các dịch vụ bên thứ ba thì khác nhau. Với passkey gắn với thiết bị, NCSC cho biết người dùng nên đăng ký một khóa dự phòng vì không thể khôi phục khóa đã mất.

Những điều passkey không làm được

Passkey bảo vệ bước đăng nhập chứ không bảo vệ mọi thứ liên quan. Passkey không thể giúp ích nếu ai đó có thiết bị của bạn và biết mã PIN yếu; NCSC cũng lưu ý rằng quy trình khôi phục tài khoản thường kém an toàn hơn chính bước đăng nhập và là mục tiêu mà kẻ tấn công nhắm đến. Passkey cũng không phải là khóa ví tiền mã hóa. Passkey cho phép bạn đăng nhập vào tài khoản, trong khi cụm từ hạt giống hoặc khóa riêng tư của ví kiểm soát số tiền trong ví tự lưu ký; passkey không thể bảo vệ hay thay thế cả hai.

Lưu ý từ WEEX: passkey không phải cụm từ hạt giống

WEEX nhắc người dùng rằng passkey cho phép bạn đăng nhập vào tài khoản, trong khi cụm từ hạt giống hoặc khóa riêng tư kiểm soát ví tự lưu ký. Tuyệt đối không nhập cụm từ hạt giống vào bất kỳ trang nào yêu cầu bạn cung cấp cụm từ đó để “xác minh” hoặc “khôi phục” passkey, và không chia sẻ cụm từ này với bất kỳ ai, kể cả những người tự nhận là nhân viên hỗ trợ. Hãy dùng mã PIN mạnh trên thiết bị, cập nhật các tùy chọn khôi phục tài khoản và kiểm tra địa chỉ trang web trước khi đăng nhập. Nội dung này không phải lời khuyên tài chính.

Kết luận

Passkey thay thế bí mật dùng chung bằng một cặp khóa, vì vậy trang web không bao giờ lưu giữ thông tin nào có thể bị đánh cắp và sử dụng lại, còn trang giả mạo thì không có gì để thu thập. Điều đó khiến passkey trở thành một trong những phương thức đăng nhập mạnh nhất hiện có cho tài khoản cá nhân. Tuy nhiên, phương thức này vẫn phụ thuộc vào thiết bị an toàn, tài khoản đồng bộ được bảo vệ và quy trình khôi phục tốt; đồng thời, passkey không bảo vệ cụm từ hạt giống của ví.

Câu hỏi thường gặp

1. Passkey là gì?
Passkey là thông tin xác thực FIDO cho phép bạn đăng nhập vào ứng dụng hoặc trang web bằng dữ liệu sinh trắc học, mã PIN hoặc hình mở khóa mà bạn dùng để mở khóa thiết bị, thay vì dùng mật khẩu.

2. Passkey khác mật khẩu như thế nào?
Mật khẩu là bí mật dùng chung mà bạn nhập và trang web lưu trữ. Passkey là một cặp khóa, trong đó chỉ có khóa công khai được lưu trên trang web; cặp khóa được tạo riêng cho từng tài khoản và mở khóa trên thiết bị của bạn.

3. Passkey có phải là xác thực hai yếu tố không?
Khi đăng nhập yêu cầu dữ liệu sinh trắc học hoặc mã PIN, phương thức này kết hợp thứ bạn có — khóa trên thiết bị — với thứ bạn là hoặc biết. FIDO cho biết passkey có thể thay thế một mã riêng, còn NCSC đánh giá phương thức này tương đương với xác thực hai yếu tố.

4. Passkey có thể bị phishing không?
Passkey được thiết kế để chống phishing vì nó gắn với tên miền của trang web thật. Kẻ tấn công vẫn có thể cố chuyển tài khoản sang một phương thức dự phòng yếu hơn, vì vậy các tùy chọn đăng nhập khác trên tài khoản cũng rất quan trọng.

5. Điều gì xảy ra nếu tôi mất thiết bị có passkey?
Passkey được đồng bộ sẽ có trên các thiết bị khác trong cùng tài khoản đồng bộ, hoặc có thể được khôi phục bằng cách khôi phục tài khoản đó trên thiết bị mới. Passkey gắn với thiết bị không thể sao chép, vì vậy bạn cần khóa dự phòng hoặc một phương thức khôi phục khác.