Chuyển sang passkey nên đi theo thứ tự: tài khoản email chính trước, rồi tài khoản quản lý mật khẩu hoặc tài khoản đám mây, sau đó mới tới mạng xã hội và mua sắm, và chỉ xoá đường đăng nhập cũ khi đã thử khôi phục thành công. Phần khó của passkey không nằm ở lúc tạo, vốn chỉ mất vài lần chạm, mà ở chuyện bạn có nhiều thiết bị, có lúc dùng máy người khác, và có ngày đánh rơi điện thoại.
Nếu bạn chưa biết passkey là gì và vì sao nó chống được trang lừa đảo, trang AI Bảo Mật đã có bài giải thích nền tảng. Bài này dành cho người đã hiểu khái niệm và muốn chuyển thật: chọn loại passkey, sắp xếp thiết bị, chuẩn bị đường lui. Góc nhìn ở đây là định danh: passkey là cách dịch vụ nhận ra đúng bạn, nên phải tính tới mọi lúc bạn cần chứng minh mình là mình.
Passkey thay đổi câu hỏi “bạn là ai” như thế nào
Với mật khẩu, dịch vụ hỏi bạn một bí mật mà cả hai bên cùng biết. Bí mật đó có thể bị đoán, bị lộ ở nơi khác, hoặc bị bạn tự gõ nhầm vào trang giả. Với passkey, dịch vụ chỉ giữ khoá công khai; khoá bí mật nằm trên thiết bị hoặc trong kho đồng bộ của bạn. Khi đăng nhập, thiết bị ký vào một thử thách do dịch vụ gửi, và chỉ ký cho đúng tên miền đã tạo passkey. Trang giả mang tên miền khác thì thiết bị không ký.
Hệ quả về định danh là dịch vụ không còn nhận ra bạn qua thứ bạn nhớ, mà qua thứ bạn có, cộng với thứ bạn là hoặc thứ bạn biết để mở khoá thiết bị. Mở khoá bằng vân tay hay khuôn mặt chỉ diễn ra cục bộ trên máy; dữ liệu sinh trắc không gửi lên dịch vụ. Điều này khác hẳn việc dịch vụ thu ảnh khuôn mặt của bạn để so, vốn thuộc chuyện eKYC và sinh trắc học có danh mục riêng trên trang.
Vì định danh dựa vào thứ bạn có, câu hỏi then chốt trở thành: thứ đó nằm ở đâu, có mấy bản, và mất thì làm sao chứng minh lại bạn là bạn. Toàn bộ phần còn lại của bài xoay quanh ba câu này.
Passkey đồng bộ hay passkey gắn chặt một thiết bị
Có hai kiểu passkey chính. Kiểu đồng bộ được lưu trong kho mật khẩu của hệ điều hành hoặc của trình quản lý mật khẩu, tự xuất hiện trên các máy cùng tài khoản. Kiểu gắn thiết bị nằm cố định trong một khoá bảo mật cắm cổng hoặc chạm, không sao ra được.
| Tiêu chí | Passkey đồng bộ | Passkey gắn thiết bị |
|---|---|---|
| Tiện dụng | Đổi điện thoại vẫn còn, dùng được trên máy tính cùng tài khoản | Phải có khoá trong tay mỗi lần đăng nhập |
| Khi mất một máy | Còn trên máy khác hoặc khôi phục từ kho | Mất khoá là mất passkey đó, cần khoá dự phòng |
| Điểm yếu | An toàn phụ thuộc tài khoản kho đồng bộ | Dễ quên mang, dễ thất lạc vì nhỏ |
| Hợp với ai | Đa số người dùng cá nhân | Người quản trị hệ thống, kế toán giữ quyền chi, tài khoản giữ quyền rất lớn |
| Việc phải làm thêm | Bảo vệ thật chặt tài khoản kho đồng bộ | Đăng ký ít nhất hai khoá, cất một khoá ở chỗ khác |
Với người dùng cá nhân, passkey đồng bộ là lựa chọn hợp lý vì nó giải quyết chuyện mất máy tốt hơn. Nhưng nó dời toàn bộ trọng lượng sang một tài khoản: tài khoản của kho đồng bộ. Ai vào được tài khoản đó là có trong tay mọi passkey. Vì vậy bước đầu tiên của lộ trình luôn là gia cố chính tài khoản này.
Lộ trình chuyển đổi theo thứ tự ưu tiên
Đừng chuyển cùng lúc hai mươi tài khoản trong một buổi tối. Làm theo thứ tự dưới đây, mỗi bước xong mới qua bước sau, và ghi chép lại những gì đã làm.
- Tài khoản kho đồng bộ: tài khoản hệ điều hành hoặc trình quản lý mật khẩu nơi passkey sẽ nằm. Bật xác thực mạnh nhất có thể, tạo mã khôi phục, cất mã trên giấy ở nơi an toàn.
- Email chính: hầu hết tài khoản khác khôi phục qua email, nên email là chìa khoá chủ. Tạo passkey, giữ thêm một phương thức dự phòng.
- Tài khoản tiền: ví điện tử, ngân hàng trực tuyến, sàn bán hàng, nếu dịch vụ có hỗ trợ passkey. Với ngân hàng, làm theo đúng hướng dẫn trong ứng dụng chính thức.
- Mạng xã hội và nhắn tin: nơi bị chiếm sẽ gây hại cho người thân vì kẻ gian mượn danh bạn.
- Các tài khoản còn lại: mua sắm, giải trí, diễn đàn. Tài khoản nào không còn dùng thì xoá luôn thay vì chuyển.
- Thử khôi phục: chọn một tài khoản không quan trọng, đăng xuất khỏi mọi máy, thử vào lại bằng thiết bị dự phòng. Thử được mới yên tâm.
Câu lệnh mẫu để chatbot giúp lên danh sách: “Hãy giúp lập bảng theo dõi việc chuyển tài khoản sang passkey với các cột: nhóm tài khoản, đã tạo passkey chưa, phương thức dự phòng, ngày thử khôi phục. Gợi ý thứ tự ưu tiên cho một người dùng cá nhân có email, ví điện tử, mạng xã hội và vài tài khoản mua sắm.” Chỉ đưa tên nhóm tài khoản, không đưa địa chỉ email, số điện thoại hay mật khẩu thật vào chatbot.
Máy dùng chung, máy công ty và máy của người khác
Không tạo passkey cá nhân trên máy dùng chung. Máy tính ở quầy lễ tân, máy tính bảng của cửa hàng hay máy của người thân không phải nơi để lưu khoá của bạn. Nếu cần đăng nhập ở đó, nhiều dịch vụ cho phép quét mã bằng điện thoại của bạn, để khoá ở lại điện thoại.
Máy công ty nên dùng tài khoản công ty. Passkey của tài khoản cá nhân lưu vào máy công ty sẽ ở lại khi bạn nghỉ việc và trả máy. Ngược lại, passkey của tài khoản công ty nên do bộ phận quản trị cấp và thu hồi được.
Cẩn thận với lời mời “lưu passkey” trên máy lạ. Trình duyệt có thể hỏi lưu passkey ngay sau khi đăng nhập. Ở máy không phải của bạn, chọn không lưu, rồi đăng xuất hẳn khi xong việc.
Chia sẻ passkey trong gia đình. Một số trình quản lý mật khẩu cho phép chia sẻ passkey với người khác. Chỉ làm với tài khoản thật sự dùng chung như tài khoản điện nước của nhà, không chia sẻ tài khoản email hay ngân hàng cá nhân.
Mất điện thoại khi đã dùng passkey: những gì còn và những gì phải làm
Nếu bạn dùng passkey đồng bộ và còn máy khác cùng tài khoản, việc đầu tiên là dùng máy đó vào tài khoản kho đồng bộ, xoá thiết bị bị mất khỏi danh sách tin cậy và đổi phương thức xác thực của kho nếu cần. Passkey vẫn còn nguyên trên các máy khác. Kẻ nhặt được điện thoại muốn dùng passkey vẫn phải mở khoá máy, nên mã khoá máy đủ dài là hàng rào đầu tiên; đừng dùng mã quá đơn giản như ngày sinh.
Nếu điện thoại là thiết bị duy nhất, bạn sẽ cần đường khôi phục của tài khoản kho đồng bộ: mã khôi phục đã in ra, khoá bảo mật dự phòng, hoặc quy trình khôi phục của nhà cung cấp, thường có thời gian chờ để chống kẻ gian. Đây là lúc tờ giấy ghi mã khôi phục cất trong tủ phát huy tác dụng. Người không chuẩn bị gì thường mất nhiều ngày để lấy lại quyền vào.
Song song, xử lý phần ngoài passkey: báo nhà mạng khoá SIM để kẻ gian không nhận được tin nhắn mã, khoá ứng dụng ngân hàng qua kênh chính thức. Trình tự chi tiết cho việc mất điện thoại có ứng dụng ngân hàng đã có bài ở trang AI Bảo Mật. Sau khi có máy mới, đăng nhập kho đồng bộ, passkey sẽ trở lại; với tài khoản dùng passkey gắn thiết bị trên chính chiếc máy cũ, bạn phải khôi phục từng tài khoản bằng phương thức dự phòng rồi tạo passkey mới.
Những dịch vụ chưa hỗ trợ hoặc hỗ trợ nửa vời
Passkey đang mở rộng nhưng chưa đồng đều. Khi chuyển, bạn sẽ gặp vài tình huống dưới đây; biết trước để không hoang mang.
- Dịch vụ cho tạo passkey nhưng vẫn giữ mật khẩu cũ làm đường đăng nhập song song. Khi đó mật khẩu cũ vẫn là điểm yếu; nếu dịch vụ cho phép, hãy đặt mật khẩu dài ngẫu nhiên và cất vào trình quản lý.
- Dịch vụ chỉ cho passkey làm lớp xác thực thứ hai chứ không thay mật khẩu. Vẫn nên dùng, vì nó mạnh hơn mã tin nhắn.
- Ứng dụng trên điện thoại hỗ trợ nhưng trang web thì chưa, hoặc ngược lại. Ghi chú lại để biết dùng đường nào.
- Dịch vụ chưa hỗ trợ passkey. Dùng mật khẩu dài, khác nhau cho từng nơi, cùng xác thực hai lớp.
- Dịch vụ của tổ chức quy định cách đăng nhập riêng, ví dụ ứng dụng định danh của nhà nước hay ngân hàng có sinh trắc khi giao dịch. Làm theo quy định của họ, không tự tìm cách thay thế.
Tính năng của từng dịch vụ thay đổi theo phiên bản. Trước khi chuyển một tài khoản quan trọng, đọc trang trợ giúp chính thức của dịch vụ đó và kiểm phiên bản ứng dụng hiện hành, thay vì dựa vào ảnh chụp hướng dẫn cũ trên mạng.
Passkey trong bức tranh định danh dài hạn
Passkey giải quyết bài toán đăng nhập, tức là chứng minh bạn là người đã tạo tài khoản. Nó không giải quyết bài toán xác minh danh tính thật, tức là chứng minh người tạo tài khoản đó đúng là công dân có tên và ngày sinh như khai báo. Hai bài toán này thường bị trộn vào nhau. Ngân hàng vẫn cần eKYC khi mở tài khoản, rồi mới cho bạn đăng nhập bằng cách gì đó, có thể là passkey.
Trong vài năm tới, nhiều khả năng bạn sẽ thấy hai thứ này gặp nhau: xác minh danh tính một lần bằng giấy tờ điện tử, sau đó đăng nhập hằng ngày bằng passkey, và khi khôi phục tài khoản thì xác minh lại bằng giấy tờ thay vì câu hỏi bảo mật. Đó là hướng đi hợp lý về nguyên lý, nhưng mỗi dịch vụ sẽ làm theo cách và tốc độ riêng; đừng coi đó là điều đã xảy ra ở mọi nơi.
Điều bạn làm được ngay hôm nay là giảm số chỗ mà danh tính số của mình phụ thuộc vào một bí mật dễ lộ. Mỗi tài khoản chuyển sang passkey là một tài khoản bớt nguy cơ bị lừa nhập mật khẩu vào trang giả. Làm từ từ, có ghi chép, có thử khôi phục, thì lợi nhiều hơn hại.
Câu hỏi thường gặp
Có nên xoá mật khẩu cũ ngay sau khi tạo passkey không?
Chưa nên. Hãy dùng passkey vài tuần trên các thiết bị thường dùng và thử khôi phục một lần. Khi chắc chắn mọi đường vào đều ổn, nếu dịch vụ cho phép bỏ mật khẩu thì mới bỏ, còn không thì đổi sang mật khẩu dài ngẫu nhiên cất trong trình quản lý.
Passkey có gửi vân tay hay khuôn mặt của bạn lên dịch vụ không?
Không. Vân tay hay khuôn mặt chỉ dùng để mở khoá thiết bị, việc so khớp diễn ra trên máy. Dịch vụ chỉ nhận chữ ký do thiết bị tạo ra. Đây là điểm khác cơ bản với eKYC, nơi ảnh khuôn mặt được gửi đi để so với giấy tờ.
Một tài khoản có thể có nhiều passkey không?
Thường là có. Nhiều dịch vụ cho tạo nhiều passkey cho cùng tài khoản, ví dụ một passkey đồng bộ trên điện thoại và một passkey trên khoá bảo mật cất dự phòng. Kiểm phần cài đặt bảo mật của từng dịch vụ để biết giới hạn.
Đổi từ điện thoại hệ điều hành này sang hệ điều hành khác thì passkey có theo không?
Tuỳ nơi lưu. Passkey trong kho của hệ điều hành có thể không tự sang hệ điều hành khác; passkey trong trình quản lý mật khẩu chạy được trên nhiều nền tảng thì dễ chuyển hơn. Trước khi đổi máy, kiểm hướng dẫn chuyển dữ liệu chính thức và giữ máy cũ tới khi đăng nhập được hết.
Người lớn tuổi có nên dùng passkey không?
Có thể rất hợp, vì không phải nhớ mật khẩu và khó bị lừa nhập vào trang giả. Điều kiện là điện thoại có khoá màn hình, người thân giúp cài đặt ban đầu và lưu mã khôi phục ở nơi an toàn. Không nên để người khác giữ hộ quyền mở máy.
Mất cả điện thoại lẫn tờ mã khôi phục thì làm sao?
Phải đi theo quy trình khôi phục của nhà cung cấp tài khoản, thường đòi chứng minh quyền sở hữu qua email dự phòng, số điện thoại hoặc giấy tờ, và có thời gian chờ. Quá trình có thể kéo dài nhiều ngày. Vì vậy hãy chuẩn bị ít nhất hai đường khôi phục ngay từ đầu.