Passkey là gì: chuyển từ mật khẩu sang khóa truy cập an toàn hơn

Passkey, tiếng Việt thường gọi là khóa truy cập, là cách đăng nhập không cần mật khẩu: thiết bị của bạn giữ một khóa bí mật, còn dịch vụ chỉ giữ khóa công khai tương ứng. Khi đăng nhập, bạn mở khóa điện thoại hoặc máy tính bằng vân tay, khuôn mặt hay mã PIN, thiết bị dùng khóa bí mật ký một thử thách do máy chủ gửi tới. Không có chuỗi ký tự nào để gõ, nên cũng không có gì để kẻ lừa đảo dụ bạn nhập vào trang giả.

Vì sao mật khẩu và OTP không còn đủ

Mật khẩu có một điểm yếu cố hữu: nó là bí mật dùng chung. Bạn biết, máy chủ cũng phải kiểm tra được, và bất kỳ ai lừa được bạn gõ nó ra cũng có nó. Mã OTP gửi qua tin nhắn được thêm vào như lớp thứ hai, nhưng cũng là một chuỗi số có thể bị dụ đọc ra qua điện thoại hoặc nhập vào trang giả.

Trong bài viết trên Việt Nam News ngày 28/8/2026, ông Edwardcher Monreal, kiến trúc sư giải pháp chính về quản lý danh tính và truy cập của HID, nhận định vấn đề then chốt của mật khẩu là chúng có thể bị đánh cắp qua lừa đảo, và OTP cũng vậy. Cũng theo bài viết, Liên minh FIDO ghi nhận năm 2026 có khoảng 5 tỷ passkey đang được sử dụng trên toàn cầu, 75% người tiêu dùng được khảo sát đã bật ít nhất một passkey và 49% dùng thường xuyên khi có lựa chọn.

Cơ chế mật mã phía sau

Passkey dựa trên mật mã khóa công khai, cùng họ với chữ ký số và chứng chỉ của các trang web dùng HTTPS. Khi tạo passkey cho một dịch vụ, thiết bị sinh ra một cặp khóa riêng cho đúng dịch vụ đó:

• Khóa bí mật nằm trên thiết bị, trong vùng bảo mật phần cứng hoặc trình quản lý mật khẩu được mã hóa. Nó không bao giờ được gửi lên máy chủ.
• Khóa công khai được gửi cho dịch vụ lưu lại. Lộ khóa công khai không giúp kẻ tấn công đăng nhập.

Mỗi lần đăng nhập, máy chủ gửi một chuỗi ngẫu nhiên. Thiết bị ký chuỗi đó bằng khóa bí mật, máy chủ kiểm tra chữ ký bằng khóa công khai. Chuỗi thay đổi mỗi lần, nên chữ ký cũ không dùng lại được.

Điểm làm passkey chống lừa đảo nằm ở chỗ cặp khóa gắn với tên miền của dịch vụ. Trình duyệt chỉ cho dùng passkey của một trang trên đúng tên miền đó. Một trang nhái có giao diện giống hệt nhưng khác tên miền sẽ không thể yêu cầu thiết bị ký, dù người dùng không nhận ra sự khác biệt. Đây là bảo vệ mà mắt người không cần tham gia.

Nếu muốn hiểu sâu hơn về việc máy chủ lưu mật khẩu dưới dạng băm và vì sao điều đó vẫn có rủi ro, bài hàm băm mật mã trong xác thực dữ liệu là phần đọc bổ sung tốt. Với passkey, máy chủ không còn kho mật khẩu băm nào để bị đánh cắp.

Vân tay có bị gửi lên mạng không

Đây là câu hỏi nhiều người Việt đặt ra, nhất là sau khi đã quen xác thực khuôn mặt với ứng dụng ngân hàng. Với passkey, vân tay hoặc khuôn mặt chỉ dùng để mở khóa thiết bị tại chỗ; dịch vụ không nhận được dữ liệu sinh trắc học nào, chỉ nhận chữ ký mật mã. Bài viết trên Việt Nam News cũng nhấn mạnh nguyên tắc xác minh người dùng ngay trên thiết bị, bảo vệ thông tin xác thực trên thiết bị và chỉ chia sẻ thông tin dịch vụ thực sự cần, như một cách giảm rủi ro về quyền riêng tư sinh trắc học.

Thiết bị nào dùng được passkey

Theo trang trợ giúp Tài khoản Google về khóa truy cập, yêu cầu tối thiểu như sau:

Trước khi tạo, thiết bị cần bật khóa màn hình. Nếu dùng điện thoại để đăng nhập trên một máy tính khác, cần bật Bluetooth. Trên thiết bị Apple, cần bật Chuỗi khóa iCloud để passkey được đồng bộ.

Tạo passkey cho tài khoản Google

1. Truy cập trang quản lý khóa truy cập trong phần Bảo mật của Tài khoản Google.
2. Chọn Tạo khóa truy cập, rồi mở khóa thiết bị bằng vân tay, khuôn mặt hoặc mã PIN.
3. Nếu dùng khóa bảo mật vật lý, chọn Sử dụng thiết bị khác và làm theo hướng dẫn.
4. Lặp lại trên các thiết bị khác bạn thường dùng.

Google lưu ý có thể phải chờ 7 ngày trước khi passkey mới được dùng để đăng nhập. Nên tạo sớm, đừng đợi tới lúc cần gấp.

Những tình huống cần tính trước

Mất hoặc bị trộm điện thoại

Đăng nhập Tài khoản Google trên một thiết bị khác, vào mục khóa truy cập và xóa khóa thuộc thiết bị bị mất. Bạn cũng có thể đăng xuất mọi phiên lạ trong trang quản lý thiết bị. Kẻ lấy được điện thoại vẫn cần mở khóa màn hình mới dùng được passkey, nên khóa màn hình mạnh là điều kiện bắt buộc.

Máy tính dùng chung

Không tạo passkey trên thiết bị nhiều người dùng chung. Google cảnh báo rằng kể cả khi đã đăng xuất, bất kỳ ai mở khóa được thiết bị đều có thể vào tài khoản nếu passkey còn trên máy. Nếu lỡ tạo, hãy xóa ngay.

Khôi phục tài khoản

Chuyên gia của HID chỉ ra rằng các khâu khôi phục tài khoản, đổi thiết bị và đăng ký thiết bị mới cần được bảo vệ chặt như lần đăng nhập đầu tiên. Nói cách khác, passkey mạnh đến đâu cũng vô ích nếu kẻ gian có thể gọi tổng đài “quên mật khẩu” để chiếm tài khoản. Hãy kiểm tra số điện thoại và email khôi phục của mình vẫn đúng và chỉ mình bạn kiểm soát.

Việt Nam đang ở đâu trên lộ trình này

Theo bài viết trên Việt Nam News, passkey còn khá mới với nhiều người dùng Việt Nam, và bài không đưa ra số liệu chấp nhận trong nước. Tuy nhiên, chuyên gia của HID cho rằng Việt Nam có lợi thế vì người dùng đã quen với định danh số và xác thực sinh trắc học qua VNeID, đồng thời dự báo tốc độ sẽ khác nhau giữa ngân hàng, cơ quan nhà nước và doanh nghiệp tư nhân. Chiến lược chuyển đổi số quốc gia giai đoạn 2026–2030 cũng xác định định danh và xác thực số là nền tảng dùng chung quan trọng.

Trong khi chờ các ngân hàng và dịch vụ nội địa hỗ trợ rộng hơn, bạn có thể bắt đầu với những tài khoản quan trọng nhất đã hỗ trợ passkey: tài khoản email chính, tài khoản lưu trữ đám mây, tài khoản mạng xã hội. Đây thường là đầu mối để kẻ gian khôi phục mọi tài khoản khác. Ở mức khái niệm, passkey có điểm gần với ý tưởng chứng minh không tiết lộ tri thức: bạn chứng minh mình giữ bí mật mà không phải đưa bí mật đó cho bên kiểm tra.