Mã khóa so với mật khẩu: Sự khác biệt là gì?

Mỗi lần đăng nhập vào tài khoản hoặc mở khóa thiết bị, đều cần phải chứng minh có quyền truy cập. Trước đây, bằng chứng đó thường ở dạng mật khẩu: một chuỗi ký tự bí mật cần ghi nhớ, hoặc lưu trữ trong trình quản lý mật khẩu.

Mã khóa khác với mật khẩu ở chỗ liên kết quyền truy cập với vật sở hữu thực tế — một mã thông báo mật mã được lưu trữ trên điện thoại, máy tính xách tay hoặc khóa bảo mật — cùng với một yếu tố sinh trắc học, chẳng hạn như dấu vân tay hoặc quét khuôn mặt.

Cách phổ biến để mô tả sự khác biệt là:

• Mật khẩu = thông tin đã biết
• Mã khóa = thứ đang sở hữu  + thông tin nhân dạng

Dù cả hai phương pháp đều cấp quyền truy cập, cách thức đạt được mục tiêu đó lại khác nhau và có thể ảnh hưởng lớn đến tính bảo mật cũng như khả năng sử dụng.

Mã khóa là gì?

Một mã khóa giống như một mật khẩu nằm trên thiết bị và có thể được xác minh bởi các tài khoản đang đăng nhập bằng mật mã học. Mã khóa dựa trên tiêu chuẩn FIDO2 (được định nghĩa bởi Liên minh FIDO(cửa sổ mới)) và API WebAuthn.

Đây là cách hoạt động:

Khi một mã khóa được tạo, trình quản lý mật khẩu sẽ tạo một cặp khóa mật mã: một khóa công khai và một khóa riêng tư.

• Khóa công khai được chia sẻ với dịch vụ đang đăng ký.
• Khóa riêng tư vẫn nằm trên trình quản lý mật khẩu hoặc thiết bị và không bao giờ rời khỏi đó.

Trong quá trình đăng nhập, dịch vụ sẽ đưa ra một thử thách ngẫu nhiên. Thiết bị sử dụng khóa riêng tư trên thiết bị để ký thử thách đó, tạo ra phản hồi mà chỉ khóa riêng tư tương ứng mới có thể tạo ra. Sau đó, dịch vụ xác minh chữ ký bằng khóa công khai đã lưu trữ trước đó, xác nhận quyền sở hữu tài khoản hợp pháp.

Vì khóa riêng tư không bao giờ rời khỏi thiết bị, trang web lừa đảo không thể đánh lừa để lấy khóa, giúp mã khóa có khả năng chống lừa đảo về mặt bản chất.

Đọc thêm về mã khóa

So sánh tính bảo mật: Mã khóa so với mật khẩu

Việc sử dụng mật khẩu hay mã khóa phụ thuộc vào nhiều yếu tố. Không phải trang web nào cũng cung cấp tùy chọn mã khóa. Nhưng đối với các trang web có hỗ trợ, có một số lý do để cân nhắc chuyển sang sử dụng.

Mã khóa được coi là an toàn hơn mật khẩu vì khóa bí mật không bao giờ rời khỏi thiết bị. Ngay cả khi bị lừa bằng trang web giả mạo, bị đánh cắp lưu lượng mạng hoặc bị tấn công vét cạn, kẻ tấn công cũng không thể lấy được khóa riêng tư — khóa này được giữ bên trong điện thoại, máy tính hoặc khóa bảo mật. Chỉ cần bảo vệ thiết bị bằng mã PIN, dấu vân tay hoặc một hình thức xác thực hai yếu tố (2FA) khác và có phương thức khôi phục đáng tin cậy, mã khóa sẽ mang lại thiết lập bảo mật mạnh mẽ hơn và chống lừa đảo tốt hơn so với mật khẩu thông thường.

Khả năng sử dụng và trải nghiệm người dùng của mã khóa

Bên cạnh các lợi thế về bảo mật khi sử dụng mã khóa, còn có các lợi ích khác:

• Mã khóa giúp đăng nhập nhanh hơn vì quy trình xác thực được rút gọn thành một lần chạm hoặc nhìn lướt qua, loại bỏ sự phiền toái khi nhập mật khẩu thủ công hoặc đặt lại mật khẩu đã quên.

• Nhiều trình quản lý mật khẩu có thể đồng bộ hóa mã khóa một cách an toàn trên các thiết bị. Nhờ đó, mã khóa được tạo trên điện thoại thông minh có thể được sử dụng trên máy tính xách tay, máy tính bảng hoặc điện thoại khác mà không cần đăng ký lại từ đầu. Proton Pass hoạt động trên mọi nền tảng hoặc thiết bị, do đó có thể sử dụng mã khóa trên bất kỳ trang web nào có hỗ trợ.

Nhược điểm và các trường hợp ngoại lệ của mã khóa

Mặc dù mã khóa mang lại tính bảo mật mạnh mẽ và trải nghiệm đăng nhập mượt mà, nhưng đây không phải là giải pháp vạn năng. Vẫn có một số tình huống mà việc sử dụng mã khóa có thể gặp khó khăn.

Mất thiết bị và khôi phục

Nếu thiết bị lưu trữ mã khóa bị mất, bị đánh cắp hoặc bị hỏng, người dùng sẽ phải phụ thuộc vào các cơ chế sao lưu để lấy lại quyền truy cập. Việc khôi phục mã khóa thường yêu cầu thiết bị phụ hoặc cụm từ khôi phục, vì vậy nếu không có quy trình khôi phục được thiết lập tốt, sẽ có nguy cơ mất quyền truy cập vào tài khoản.

Khoảng cách trong việc áp dụng

Một số trang web và ứng dụng chưa triển khai các tiêu chuẩn WebAuthn/FIDO2 hỗ trợ mã khóa. Ngay cả đối với những trang web đã triển khai, khả năng hỗ trợ mã khóa có thể bị giới hạn ở một số hệ sinh thái hoặc hệ điều hành nhất định.

Hạn chế của phần cứng cũ

Các thiết bị cũ, chẳng hạn như điện thoại thông minh đời cũ, máy tính xách tay không có cảm biến sinh trắc học hoặc trình duyệt thiếu hỗ trợ WebAuthn, không thể tạo hoặc lưu trữ mã khóa.

Khi nào vẫn cần sử dụng mật khẩu?

Ngoài việc thiết lập mật khẩu làm phương án dự phòng, có một số tình huống bắt buộc phải sử dụng mật khẩu truyền thống làm phương thức truy cập chính.

1. Các trang web không hỗ trợ mã khóa

Cho đến khi mã khóa được áp dụng rộng rãi, có thể vẫn cần sử dụng mật khẩu cho một số trang web. Trong trường hợp này, có thể thiết lập các phương thức 2FA như OTP để tăng cường bảo mật.

2. Tình huống sử dụng máy tính công cộng hoặc máy tính dùng chung

Nếu không sử dụng thiết bị cá nhân, việc nhập mật khẩu (lý tưởng nhất là kết hợp với 2FA) cho phép truy cập tạm thời mà không để lại thông tin đăng nhập vĩnh viễn.

3. Chính sách tổ chức và yêu cầu tuân thủ

Các quy định của công ty, bao gồm các tiêu chuẩn của chính phủ hoặc tài chính, có thể yêu cầu thiết lập nhiều yếu tố vẫn bao gồm thành phần mật khẩu, hoặc bắt buộc phải thay đổi mật khẩu định kỳ cho mục đích kiểm toán. Ngoài ra, các giải pháp đăng nhập một lần (SSO) của doanh nghiệp đôi khi chỉ tích hợp mã khóa như một yếu tố tùy chọn, trong khi mật khẩu vẫn là thông tin đăng nhập chính.

Cách bắt đầu sử dụng mã khóa

Chuyển sang sử dụng mã khóa tương đối đơn giản.

1. Kích hoạt hỗ trợ mã khóa trong hệ điều hành
2. Tải xuống trình quản lý mật khẩu
   • Chọn trình quản lý mật khẩu hỗ trợ lưu trữ mã khóa, chẳng hạn như Proton Pass.
3. Thêm mã khóa vào trình quản lý mật khẩu
   • Nhập các mã khóa hiện có hoặc tạo mã khóa mới trực tiếp từ ứng dụng.
4. Đăng ký mã khóa trên các dịch vụ hỗ trợ
   • Khi đăng ký hoặc đăng nhập vào trang web cung cấp tùy chọn “Đăng nhập bằng Mã khóa”, hãy chọn tùy chọn đó.
5. Thiết lập phương thức khôi phục
   • Kích hoạt thiết bị phụ để lưu trữ bản sao của mã khóa, và lưu ý lại bất kỳ cụm từ khôi phục nào mà dịch vụ cung cấp.

Câu hỏi thường gặp

Có thể sử dụng mã khóa nếu không có trình quản lý mật khẩu không?

Hoàn toàn có thể. Hầu hết các hệ điều hành hiện đại đều lưu trữ mã khóa cục bộ (iCloud Keychain trên các thiết bị Apple, Google Password Manager trên Android, Windows Hello trên Windows). Trình quản lý mật khẩu chuyên dụng có thể đơn giản hóa việc đồng bộ hóa giữa các thiết bị và cung cấp thêm một lớp sao lưu, nhưng không bắt buộc phải có để sử dụng mã khóa.

Có thể sử dụng mã khóa trên các thiết bị cũ không?

Mã khóa yêu cầu hệ điều hành và trình duyệt hỗ trợ các tiêu chuẩn WebAuthn/FIDO2. Các nền tảng hiện đại (iOS 15+, Android 14+, macOS gần đây, Windows 10 1903+ và trình duyệt Chrome/Edge/Firefox/Safari được cập nhật) hoạt động ngay. Điện thoại cũ, trình duyệt cũ hoặc thiết bị pre‑iOS 15/Android 13 thiếu sự hỗ trợ đó, nên không thể sử dụng mã khóa trên các thiết bị này.

Sự khác biệt giữa mã khóa và mã thông báo vật lý là gì?

Mã khóa là thông tin đăng nhập được lưu trữ trên thiết bị hoặc trong trình quản lý mật khẩu và được đồng bộ hóa an toàn giữa các thiết bị. Mã thông báo vật lý (ví dụ: YubiKey) là khóa phần cứng độc lập cần cắm vào thiết bị. Mã thông báo vật lý không lưu trữ khóa riêng tư trên thiết bị lưu trữ, giúp mang lại sự tách biệt, nhưng yêu cầu phải mang theo mã thông báo và quản lý các bản sao lưu. Cả hai tùy chọn đều cung cấp tính năng xác thực không cần mật khẩu, chống lừa đảo, nhưng mã khóa ưu tiên tính tiện lợi và đồng bộ hóa, trong khi mã thông báo vật lý ưu tiên tính tách biệt phần cứng.

Có thể sử dụng mã khóa trên máy tính chạy Windows không?

Có, các bản dựng Windows 10/11 hiện đại hỗ trợ mã khóa qua Windows Hello. Sau khi kích hoạt “Đăng nhập không cần mật khẩu” trong Cài đặt, có thể đăng ký và xác thực bằng dấu vân tay, nhận dạng khuôn mặt hoặc mã PIN để mở khóa khóa riêng tư được lưu trữ trong mô-đun nền tảng đáng tin cậy (TPM). TPM là một chip nhỏ, chống can thiệp được tích hợp trong hầu hết các máy tính cá nhân, máy tính xách tay và một số máy tính bảng hiện đại. Mục đích của chip này là cung cấp gốc tin cậy phần cứng cho các hoạt động bảo mật quan trọng.

Điều gì xảy ra nếu bị mất điện thoại?

Nếu điện thoại giữ bản sao duy nhất của mã khóa, người dùng sẽ cần phương thức sao lưu được cấu hình trước để khôi phục quyền truy cập. Phương thức này thường là một thiết bị khác, trình quản lý mật khẩu hoặc cụm từ khôi phục do dịch vụ cung cấp. Nếu không có bản sao lưu, sẽ phải thực hiện theo quy trình khôi phục tài khoản của dịch vụ.