Passkey là gì, có nên bật thay mật khẩu và mã OTP không

Passkey (khóa truy cập) là cách đăng nhập thay mật khẩu: thay vì gõ một chuỗi ký tự, bạn mở khóa bằng vân tay, khuôn mặt hoặc mã PIN của chính thiết bị, và thiết bị dùng một khóa mật mã riêng để chứng minh với trang web rằng đó là bạn. Vì mỗi passkey chỉ gắn với đúng một trang web và không có gì để gõ hay đọc cho người khác, trang giả mạo không thể lấy được nó như lấy mật khẩu hay mã OTP. Nếu dịch vụ bạn dùng đã hỗ trợ, bật passkey là một nâng cấp bảo mật đáng làm, miễn là bạn chuẩn bị sẵn đường khôi phục khi mất máy.

Passkey hoạt động thế nào

Theo trang giới thiệu của Liên minh FIDO, tổ chức xây dựng chuẩn này, mỗi passkey là một cặp khóa mật mã:

• Khóa riêng nằm trên thiết bị của bạn và không rời khỏi đó.
• Khóa công khai được lưu ở máy chủ của trang web.
• Khi bạn đăng nhập, trang web gửi một "thử thách"; thiết bị ký vào thử thách đó sau khi bạn mở khóa máy.
• Dữ liệu sinh trắc học như vân tay, khuôn mặt không bao giờ rời thiết bị. Trang web chỉ nhận xác nhận rằng bước kiểm tra đã thành công.

Nói nôm na, bạn không còn "bí mật dùng chung" nào với trang web. Máy chủ chỉ giữ nửa công khai, nên kể cả khi máy chủ bị tấn công, kẻ gian cũng không lấy được thứ gì dùng để đăng nhập thay bạn.

Vì sao passkey chặn được lừa đảo giả mạo

Phần lớn các vụ chiếm tài khoản ở Việt Nam bắt đầu bằng một trang web giả: người dùng gõ mật khẩu, rồi đọc mã OTP theo yêu cầu. Passkey phá vỡ kịch bản này theo ba cách mà FIDO nêu:

1. Passkey gắn với tên miền cụ thể, nên trang nhái có địa chỉ gần giống cũng không nhận được thông tin đăng nhập dùng được.
2. Không có mật khẩu để gõ, không có mã để đọc qua điện thoại.
3. Rò rỉ dữ liệu từ máy chủ không làm lộ mật khẩu, vì máy chủ không lưu mật khẩu.

Một chuyên gia của HID được Việt Nam News dẫn lời ngày 28/08/2026 nhận xét vấn đề cốt lõi của mật khẩu là chúng có thể bị lừa lấy, trong khi mật khẩu và OTP vẫn có thể bị chặn bắt hoặc thao túng qua các trang giả mạo. Nếu bạn muốn hiểu rõ hơn kiểu tấn công này, bài nhận diện email giả mạo phishing lừa đảo mật khẩu mô tả cách chúng vận hành.

Passkey đang phổ biến đến đâu

Cũng theo bài viết trên, Liên minh FIDO cho biết năm 2026 có khoảng năm tỷ passkey đang được sử dụng trên toàn cầu; 75% người tiêu dùng được khảo sát đã bật ít nhất một passkey và 49% dùng thường xuyên khi có lựa chọn này. Tại Việt Nam, bài báo đánh giá công nghệ này còn khá mới với nhiều người dùng, nhưng việc mở rộng định danh số, xác thực sinh trắc và phát triển VNeID thành nền tảng cho dịch vụ công, giao dịch điện tử tạo điều kiện để áp dụng xác thực không mật khẩu nhanh hơn. Chuyên gia khuyến nghị đi theo các chuẩn được chấp nhận rộng rãi như FIDO và điều chỉnh cho phù hợp yêu cầu trong nước.

So sánh nhanh ba cách đăng nhập

Bảng dựa trên mô tả cơ chế của Liên minh FIDO; mức độ cụ thể còn phụ thuộc cách từng dịch vụ triển khai.

Mất điện thoại thì sao

Đây là câu hỏi lớn nhất của người mới. FIDO phân biệt hai loại:

• Passkey đồng bộ: được lưu bởi một nhà cung cấp passkey như trình quản lý thông tin đăng nhập của hệ điều hành hoặc trình quản lý mật khẩu, mã hóa đầu cuối và có mặt trên mọi thiết bị đăng nhập cùng tài khoản. Mất máy, bạn thiết lập máy mới với nhà cung cấp đó là có lại passkey.
• Passkey gắn thiết bị: chỉ nằm trên một thiết bị, ví dụ khóa bảo mật phần cứng. Độ bảo đảm cao hơn nhưng không được sao chép đi đâu; một khóa phần cứng dự phòng có thể làm phương án khôi phục.

Nếu mất hết thiết bị, trang web sẽ coi việc đăng nhập là khôi phục tài khoản và dùng các bước xác minh khác. Chuyên gia trong bài của Việt Nam News cũng lưu ý thiết bị bị mất, bị thay và quy trình khôi phục tài khoản chính là những điểm rủi ro mới cần được thiết kế cẩn thận.

Máy tính dùng chung và thiết bị của người khác

Passkey phát huy tốt nhất trên thiết bị cá nhân. Ở máy tính dùng chung trong văn phòng hay quán net, đừng lưu passkey vào trình duyệt của máy đó. Nhiều dịch vụ cho phép đăng nhập trên máy lạ bằng cách dùng điện thoại của bạn để xác nhận ở gần, nhờ vậy passkey vẫn nằm trên điện thoại chứ không ở lại máy tính. Sau khi dùng xong, đăng xuất như thường lệ.

Với gia đình có nhiều người dùng chung một máy tính bảng, mỗi người nên có tài khoản thiết bị riêng, vì ai mở khóa được máy cũng có thể dùng passkey đã lưu trên đó.

Bắt đầu dùng passkey an toàn

1. Bắt đầu với tài khoản quan trọng nhất như email chính, vì email thường là chìa khóa khôi phục cho mọi tài khoản khác.
2. Đặt khóa màn hình mạnh cho điện thoại: ai mở được máy là người dùng được passkey.
3. Giữ ít nhất một phương án khôi phục: thiết bị thứ hai, mã dự phòng hoặc khóa phần cứng.
4. Đừng xóa vội mật khẩu cũ ở dịch vụ chưa hỗ trợ passkey; vẫn dùng mật khẩu riêng cho từng nơi theo bài cách thiết lập và quản lý mật khẩu mạnh.
5. Chỉ tạo passkey từ trang hoặc ứng dụng chính thức, trong phần cài đặt bảo mật tài khoản, không qua link nhận được trong tin nhắn.

Passkey không biến tài khoản thành bất khả xâm phạm, nhưng loại bỏ được kiểu tấn công phổ biến nhất hiện nay: lừa người dùng tự tay trao mật khẩu và mã xác thực.