Passkey (khoá đăng nhập không mật khẩu) là cách đăng nhập mà không phải gõ mật khẩu. Thiết bị của mình tạo cho mỗi trang web một cặp khoá mật mã: trang web giữ khoá công khai, còn khoá riêng được cất an toàn trên điện thoại, máy tính hoặc trình quản lý mật khẩu. Khi đăng nhập, mình mở khoá passkey bằng vân tay, khuôn mặt hay mã PIN của máy, và thiết bị chứng minh mình là ai mà không gửi đi bí mật nào có thể bị đánh cắp hay bị lừa lấy.
Passkey an toàn hơn mật khẩu chủ yếu vì không thể "gõ" nó vào một trang web giả, và nếu cơ sở dữ liệu của trang web bị lộ thì thứ bị lộ cũng vô dụng. Passkey chưa thay được mật khẩu ở mọi nơi, và mất hết thiết bị mà không có phương án khôi phục thì có thể bị khoá ngoài tài khoản, nên hãy cài passkey cùng lúc với thiết lập khôi phục tài khoản cho đàng hoàng.
Passkey hoạt động ra sao, không cần toán học
Hãy hình dung passkey là một bộ khoá và ổ khoá làm riêng cho đúng một trang web. Khi tạo passkey, thiết bị của mình làm ra hai chiếc khoá khớp nhau. Trang web nhận một chiếc, gọi là khoá công khai, chỉ dùng để kiểm chữ ký chứ không tạo được chữ ký. Thiết bị giữ chiếc còn lại, khoá riêng, không bao giờ rời khỏi vùng lưu trữ được bảo vệ của máy hay trình quản lý mật khẩu.
Khi đăng nhập, trang web gửi một "câu đố" ngẫu nhiên. Thiết bị nhờ mình mở khoá bằng vân tay, khuôn mặt hay mã PIN, rồi dùng khoá riêng ký vào câu đố. Trang web dùng khoá công khai để kiểm chữ ký. Khớp là vào. Không có mật khẩu nào chạy qua mạng, và trên trang web cũng không lưu thứ gì dùng lại được.
Vân tay hay khuôn mặt của mình cũng không gửi tới trang web. Chúng chỉ mở khoá trên chính thiết bị của mình. Trang web không bao giờ thấy dữ liệu sinh trắc học; nó chỉ biết đúng khoá riêng đã trả lời câu đố.
Passkey còn gắn chặt với địa chỉ thật của trang web nơi nó được tạo. Một trang lừa đảo giống y trang ngân hàng mà đòi đăng nhập thì thiết bị đơn giản là không đưa passkey ra, vì địa chỉ không khớp. Đây là khác biệt thực tế lớn nhất so với mật khẩu và mã OTP, những thứ người ta có thể bị dụ gõ vào bất cứ đâu.
Passkey chặn được gì, không chặn được gì
Trang đăng nhập giả. Passkey chỉ chạy trên trang web thật nên trang giả mạo không thu được nó. Con đường mất tài khoản phổ biến nhất bị cắt đứt.
Cơ sở dữ liệu mật khẩu bị lộ. Trang web chỉ giữ khoá công khai của mình. Dữ liệu có lộ thì kẻ gian cũng không có gì để đăng nhập thay mình.
Dùng lại mật khẩu. Mỗi passkey chỉ dành cho một trang, nên một dịch vụ bị lộ không mở được dịch vụ khác.
Đoán mò và dò thử. Không còn một bí mật ngắn do người tự đặt để mà đoán.
Không chặn được mã độc trên máy đang mở khoá. Điện thoại hay máy tính đã nhiễm mã độc và đang mở thì kẻ gian có thể thao tác ngay trong phiên đăng nhập của mình. Passkey không thay được việc cập nhật và giữ máy sạch.
Không chặn được khâu khôi phục tài khoản yếu. Trang web cho ai cũng đặt lại quyền truy cập qua một tin nhắn SMS dễ bị chặn hay câu hỏi bảo mật dễ đoán thì kẻ gian có thể đi vòng qua passkey.
Không chặn được người biết mã PIN máy mình. Người nhà hay kẻ trộm biết mã PIN điện thoại có thể dùng được passkey của mình. Đừng đặt PIN là ngày sinh.
Không chặn được chiêu thuyết phục mình tự làm. Nếu người gọi điện thuyết phục được mình tự chuyển tiền, không cách đăng nhập nào ngăn nổi. Chuyện đó nằm ở khâu kiểm chứng yêu cầu, không phải ở công nghệ.
Passkey đồng bộ và passkey gắn với một thiết bị
Có hai loại chính. Mình có loại nào tuỳ vào chỗ mình lưu passkey.
| Điểm so | Passkey đồng bộ | Passkey gắn một thiết bị |
|---|---|---|
| Nằm ở đâu | Trong trình quản lý mật khẩu hoặc tài khoản nền tảng, đồng bộ qua các máy của mình | Trên một thiết bị vật lý, như khoá bảo mật cắm USB |
| Nếu mất điện thoại | Khôi phục trên máy mới bằng cách đăng nhập tài khoản đồng bộ | Mất theo thiết bị, trừ khi đã đăng ký khoá dự phòng |
| Tiện lợi | Cao, dùng trên mọi máy của mình | Thấp hơn, phải có đúng thiết bị đó |
| Mức an toàn | Mạnh, phụ thuộc độ an toàn của tài khoản đồng bộ | Rất mạnh, khoá không sao chép được |
| Hợp với | Đa số người dùng và tài khoản hằng ngày | Tài khoản giá trị cao, quản trị viên, người có nguy cơ cao |
Với đa số người, passkey đồng bộ là lựa chọn thực tế. Khi đó tài khoản đồng bộ, ví dụ tài khoản chính của nền tảng điện thoại, trở nên đặc biệt quan trọng và cần phương án khôi phục chắc chắn của riêng nó.
Bắt đầu dùng passkey cho an toàn
Làm dần dần, bắt đầu từ những tài khoản quan trọng nhất.
- Bảo vệ tài khoản sẽ lưu passkey. Tài khoản nền tảng điện thoại hay trình quản lý mật khẩu cần mật khẩu mạnh, riêng biệt, bật xác thực hai lớp và thông tin khôi phục cập nhật.
- Đặt khoá màn hình tử tế cho mọi thiết bị. Mã PIN từ sáu số trở lên hoặc mật khẩu, không dùng hình vẽ đơn giản hay ngày sinh. Khoá màn hình giờ đang bảo vệ passkey của mình.
- Thêm passkey cho các tài khoản quan trọng nhất. Email trước, vì email đặt lại được mọi thứ khác, sau đó tới các tài khoản mua sắm, mạng xã hội, công việc có hỗ trợ passkey.
- Giữ ít nhất hai đường quay lại. Một thiết bị thứ hai, một khoá bảo mật dự phòng hay mã khôi phục cất ngoại tuyến. Kiểm lại xem mình có nhớ chúng nằm đâu không.
- Tạm thời giữ mật khẩu, nhưng phải mạnh. Nhiều dịch vụ vẫn cho dùng mật khẩu làm đường dự phòng. Mật khẩu dự phòng yếu sẽ xoá mất phần lớn cái lợi.
- Gỡ passkey khỏi máy đem bán hay cho người khác. Khôi phục cài đặt gốc cho đúng cách và gỡ máy đó khỏi danh sách thiết bị trong tài khoản.
Ứng dụng ngân hàng ở Việt Nam thường có cách đăng nhập và xác nhận giao dịch riêng ngay trong ứng dụng, như sinh trắc học và mã xác thực trong app. Với những thứ đó hãy làm theo hướng dẫn của chính ngân hàng; passkey chủ yếu có ý nghĩa với email, mạng xã hội, mua sắm và tài khoản công việc.
Giới hạn thật ở thời điểm này
Passkey vẫn đang được áp dụng dần. Nhiều trang chưa hỗ trợ, có trang chỉ hỗ trợ trên một số trình duyệt hay ứng dụng, và chuyển passkey giữa các hệ sinh thái khác nhau đang tốt lên nhưng chưa phải lúc nào cũng trơn tru. Cứ chuẩn bị tinh thần sống chung với tình trạng nửa nọ nửa kia một thời gian.
Tài khoản dùng chung thì hơi kẹt. Tài khoản xem phim của cả nhà hay tài khoản mạng xã hội chung của cửa hàng không khớp lắm với mô hình xoay quanh thiết bị của một người. Vài trình quản lý mật khẩu cho chia sẻ passkey trong nhóm; còn không thì các tài khoản đó cứ dùng mật khẩu mạnh cộng trình quản lý mật khẩu.
Ông bà, cha mẹ lớn tuổi lúc đầu có thể bối rối với các thông báo, nhất là khi trang web hỏi "tạo passkey" mà chẳng giải thích gì. Ngồi hướng dẫn một lượt ngay trên điện thoại của họ thường là xong, và kết quả, đăng nhập bằng vân tay, nhiều khi còn dễ với họ hơn nhớ mật khẩu.
Không giới hạn nào ở trên là lý do để chờ. Mỗi tài khoản chuyển sang passkey là bớt một tài khoản có thể bị lừa lấy. Bắt đầu từ email rồi lan dần ra.
Câu hỏi thường gặp
Passkey có giống dùng vân tay không?
Không hẳn. Vân tay chỉ mở khoá passkey cất trên máy; việc đăng nhập thật sự dùng khoá mật mã. Vân tay của mình không bao giờ được gửi tới trang web.
Bị mất trộm điện thoại thì sao?
Kẻ trộm vẫn cần khoá màn hình mới dùng được passkey. Hãy đăng nhập tài khoản đồng bộ từ máy khác, gỡ chiếc điện thoại bị mất và đổi mật khẩu tài khoản đó; passkey đồng bộ sẽ có lại trên máy mới.
Dùng passkey trên máy tính của người khác được không?
Thường là được, bằng cách dùng điện thoại quét mã QR, và điện thoại phải ở gần máy đó. Passkey vẫn nằm trên điện thoại của mình; nhớ đăng xuất khỏi máy mượn khi xong.
Tạo passkey rồi có nên xoá mật khẩu không?
Chỉ khi dịch vụ cho gỡ hẳn mật khẩu và mình có phương án khôi phục đáng tin. Còn không thì giữ một mật khẩu mạnh, riêng biệt, cất trong trình quản lý mật khẩu làm đường dự phòng.
Passkey có an toàn cho cha mẹ lớn tuổi không?
An toàn, và thường còn dễ hơn mật khẩu vì chỉ cần vân tay hay khuôn mặt. Đặt cho họ mã PIN điện thoại không dễ đoán, và bảo đảm có một người thân tin cậy biết cách giúp khôi phục khi cần.
