Passkey (thông tin xác thực không cần mật khẩu dựa trên cặp khóa mật mã) được tạo riêng cho một tài khoản tại một dịch vụ. Máy chủ giữ khóa công khai, còn khóa riêng nằm trên thiết bị hoặc trong trình quản lý thông tin xác thực đã đồng bộ. Khi đăng nhập, thiết bị dùng khóa riêng để ký yêu cầu sau khi chủ thiết bị xác nhận bằng vân tay, khuôn mặt, mã PIN hoặc mã khóa màn hình. Mã dùng một lần qua tin nhắn (SMS OTP) đi theo luồng khác: dịch vụ gửi mã ngắn qua mạng điện thoại và nhận lại mã do người dùng nhập trên trang đăng nhập.

Điện thoại hiển thị ô nhập mã dùng một lần bên cạnh máy tính xách tay (ảnh minh họa)

SMS OTP chưa có lịch ngừng dùng chung

Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) xếp xác thực ngoài băng qua mạng điện thoại công cộng (PSTN) vào nhóm bị hạn chế. Tài liệu cũng nêu OTP và phương thức ngoài băng phải nhập mã thủ công không đáp ứng yêu cầu chống trang giả mạo. “Bị hạn chế” không đồng nghĩa với “bị cấm”. Tổ chức triển khai vẫn được dùng phương thức này sau khi chấp nhận rủi ro và phải cung cấp ít nhất một lựa chọn không bị hạn chế. NIST không đặt ngày dừng SMS OTP chung cho mọi dịch vụ trên thế giới.

SMS OTP vẫn phù hợp với hệ thống cần tiếp cận người dùng chỉ có số điện thoại hoặc chưa hỗ trợ trình xác thực mới. Mã được gửi đến điện thoại rồi chép sang trang đăng nhập, nên trang giả mạo có thể thu mã và chuyển ngay đến dịch vụ thật. NIST yêu cầu bên xác minh cân nhắc dấu hiệu đổi SIM, đổi thiết bị hoặc chuyển số trước khi gửi mã qua PSTN. Các điểm yếu trên giải thích xu hướng đưa SMS xuống vai trò dự phòng, nhưng không chứng minh phương thức này sắp biến mất tại Đài Loan hoặc Việt Nam.

Điện thoại đặt trên giá đỡ cạnh máy tính và chậu cây (ảnh minh họa)

Passkey dùng chữ ký mật mã thay cho mã nhập lại

FIDO Alliance, tổ chức xây dựng các tiêu chuẩn xác thực FIDO, cho biết Passkey dùng mật mã khóa công khai. Mỗi Passkey là duy nhất và gắn với tên miền dịch vụ. Khi đăng ký, thiết bị tạo một cặp gồm khóa công khai và khóa riêng. Dịch vụ nhận khóa công khai, còn khóa riêng được giữ trên thiết bị hoặc đồng bộ dưới dạng mã hóa qua nhà cung cấp Passkey. Lúc đăng nhập, giao thức hỏi đáp mật mã cho phép dịch vụ kiểm tra chữ ký mà không nhận khóa riêng.

Khóa gắn với tên miền tạo ra khác biệt quan trọng so với mã phải nhập lại. Trình duyệt và hệ điều hành chỉ gọi Passkey phù hợp cho dịch vụ đã đăng ký, nên trang giả mạo không lấy được mã để chuyển sang trang thật. Chuyển số điện thoại sang SIM khác cũng không sao chép khóa riêng từ thiết bị. Nếu cơ sở dữ liệu của dịch vụ bị lộ, khóa công khai không đủ để tạo chữ ký đăng nhập. Mật khẩu, SMS và kênh khôi phục còn tồn tại vẫn cần được bảo vệ riêng.

Ổ khóa kim loại đặt trên bàn phím máy tính, tượng trưng cho bảo vệ tài khoản bằng mật mã (ảnh minh họa) Sơ đồ so sánh quy trình đăng nhập bằng SMS OTP và Passkey (ảnh minh họa)

Khóa màn hình và kênh khôi phục vẫn quyết định mức an toàn

Apple cho biết Touch ID hoặc Face ID dùng để cho phép thiết bị sử dụng Passkey, trong khi khóa riêng không được tiết lộ cho máy chủ. Sinh trắc học hoặc mã PIN vì vậy không thay thế cặp khóa và không trở thành mã gửi cho dịch vụ. Chúng kiểm soát quyền dùng khóa riêng đang lưu trên thiết bị. Khóa màn hình yếu hoặc thiết bị đã mở khóa làm giảm lớp bảo vệ này.

Passkey đồng bộ và Passkey gắn với một thiết bị có đường phục hồi khác nhau. Apple đồng bộ Passkey qua iCloud Keychain và bảo vệ dữ liệu bằng mã hóa đầu cuối, nhưng quy trình khôi phục chuỗi khóa vẫn dựa vào các bước xác minh tài khoản. Tùy thiết kế, dịch vụ vẫn giữ mật khẩu, SMS, mã khôi phục hoặc bộ phận hỗ trợ làm đường dự phòng. Mức an toàn của tài khoản vì thế còn phụ thuộc vào kênh yếu nhất vẫn được phép đăng nhập.

Điện thoại thông minh và máy tính xách tay đặt cạnh nhau trên bàn trắng (ảnh minh họa)

Thiết lập từ một tài khoản đang sử dụng

Một lần thiết lập nên bắt đầu với tài khoản thường dùng đã hỗ trợ Passkey. Tên mục thay đổi theo dịch vụ, nhưng thường nằm trong phần bảo mật, đăng nhập hoặc phương thức xác minh. Mục tiêu của lần đầu là biết Passkey được lưu ở đâu và xác nhận vẫn còn đường vào tài khoản khi thiết bị không sẵn sàng.

  1. Khóa màn hình bằng mã PIN, mật khẩu, vân tay hoặc khuôn mặt cần được bật trước khi tạo Passkey.
  2. Trong phần bảo mật của tài khoản, tùy chọn tạo Passkey chỉ xuất hiện khi dịch vụ, hệ điều hành và trình duyệt đều hỗ trợ.
  3. Nơi lưu cần được ghi nhận rõ: trình quản lý thông tin xác thực đồng bộ, bộ nhớ cục bộ của thiết bị hay khóa bảo mật vật lý.
  4. Một lần đăng xuất và đăng nhập thử giúp xác nhận Passkey hoạt động trước khi thay đổi mật khẩu, SMS hoặc phương thức dự phòng cũ.

Microsoft liệt kê các nơi lưu gồm trình quản lý thông tin xác thực, điện thoại hoặc máy tính bảng, khóa bảo mật và thiết bị Windows dùng Windows Hello. Passkey trong trình quản lý đồng bộ thường xuất hiện trên các thiết bị đăng nhập cùng hệ sinh thái. Passkey lưu cục bộ trên Windows hoặc khóa bảo mật vật lý không tự chuyển sang điện thoại mới. Tài khoản cơ quan hoặc trường học còn chịu giới hạn do quản trị viên đặt ra.

Những lá cờ treo trên một tuyến phố tại Đài Loan (ảnh minh họa)

Đổi máy cần kiểm tra nơi lưu trước khi xóa thiết bị cũ

Apple hướng dẫn dùng Passkey trên iPhone để đăng nhập thiết bị khác bằng cách hiển thị rồi quét mã QR. Hướng dẫn cụ thể thay đổi theo ứng dụng, trang web và trình duyệt. Một số luồng còn kiểm tra thiết bị ở gần qua Bluetooth trước khi cho ký yêu cầu. Quét mã QR trong một lần đăng nhập không đồng nghĩa mọi Passkey đã được sao lưu sang máy mới.

Bảng kiểm trước khi đổi máy gồm nơi lưu của từng Passkey, trạng thái đồng bộ và phương thức đăng nhập thứ hai. Với Passkey gắn vào thiết bị, một Passkey thứ hai trên thiết bị khác hoặc khóa bảo mật giúp tránh phụ thuộc vào máy duy nhất. Lần đăng nhập thử trên máy mới cần hoàn tất khi máy cũ vẫn còn truy cập được. Sau khi xác nhận đường vào tài khoản, Passkey trên thiết bị không còn thuộc quyền kiểm soát cần được xóa khỏi dịch vụ.

Một người đưa điện thoại đến gần thiết bị thanh toán trên bàn (ảnh minh họa)

Xử lý khi mất thiết bị hoặc nghi ngờ có người mở khóa

Google cảnh báo người mở khóa được thiết bị đã đăng ký Passkey có thể vào tài khoản. Hãng hướng dẫn đăng nhập từ thiết bị còn dùng được để xóa Passkey của thiết bị bị mất. Xóa Passkey trong cài đặt tài khoản và xóa bản lưu tại trình quản lý thông tin xác thực đôi khi là hai thao tác riêng. Các phiên đăng nhập mang tên thiết bị bị mất cũng cần được đăng xuất. Nếu không còn phương thức nào khác, quyền truy cập phụ thuộc vào quy trình khôi phục do dịch vụ cung cấp.

Mất điện thoại không tự động chứng minh khóa riêng đã bị lộ. Rủi ro tăng nếu người khác biết mã mở khóa, có quyền truy cập tài khoản đồng bộ hoặc cầm một thiết bị đang mở. Xóa Passkey ngăn dịch vụ chấp nhận thông tin xác thực đó, nhưng không xử lý mật khẩu hay kênh khôi phục đã bị chiếm. Với tài khoản do cơ quan hoặc trường học quản lý, bộ phận công nghệ thông tin quyết định phương thức thay thế và quyền thu hồi.

Câu hỏi thường gặp

SMS OTP có bị ngừng hoàn toàn không?
Chưa có ngày ngừng dùng chung trên toàn cầu. NIST xếp PSTN vào nhóm bị hạn chế nhưng vẫn cho phép tổ chức chấp nhận rủi ro và duy trì phương thức thay thế. Thời điểm hỗ trợ hoặc ngừng SMS, nếu có, phụ thuộc vào quyết định của từng dịch vụ tại Đài Loan hoặc Việt Nam.

Passkey có bắt buộc quét khuôn mặt không?
Không. Thiết bị có thể cho phép dùng vân tay, khuôn mặt, mã PIN hoặc mã khóa màn hình để mở quyền sử dụng Passkey. Lựa chọn thực tế phụ thuộc phần cứng, hệ điều hành, trình duyệt và dịch vụ.

Passkey có bảo vệ tài khoản khi điện thoại bị mất không?
Không hoàn toàn. Người mở khóa được thiết bị có thể dùng Passkey đã lưu, còn người không mở khóa được vẫn có thể nhắm vào kênh khôi phục khác. Passkey trên thiết bị bị mất cần được thu hồi bằng thiết bị còn truy cập được hoặc qua quy trình hỗ trợ của dịch vụ.