Bảo mật tài khoản
Nên dùng mã SMS, ứng dụng xác thực hay passkey cho tài khoản sàn crypto?
Xác minh SMS, ứng dụng xác thực và passkey trong cài đặt bảo mật của sàn khác nhau ở đâu? Điểm mấu chốt là lớp nào chặn được khi bạn lỡ vào trang web giả. Bài viết so sánh ba cách theo hướng dẫn NIST và tài liệu của Apple, kèm thứ tự chọn và kết hợp.
Bạn mở trang cài đặt bảo mật của sàn và thấy mấy lựa chọn: "Xác minh qua SMS", "Ứng dụng xác thực", "Passkey", có khi thêm cả "Khóa bảo mật". Mục nào cũng ghi là an toàn hơn, nhưng không nói rõ khác nhau ở đâu.
Nói ngắn gọn: điểm khác biệt lớn nhất nằm ở một câu hỏi — nếu bạn bị dụ vào một trang web giả giống hệt trang thật, lớp xác minh này có chặn được không? Mã SMS và mã 6 số của ứng dụng xác thực đều không chặn được. Passkey thì chặn được. Những khác biệt còn lại (tiện hay không, đổi điện thoại có khó không, có cần sóng điện thoại không) đều đứng sau chuyện này.
Bài này chỉ bàn chuyện nên chọn cái nào và vì sao. Các bước bật, sao lưu và chuyển sang máy mới nằm trong bài cài đặt, sao lưu và đổi máy cho 2FA và Passkey trên sàn.
Mỗi cách xác minh đang bảo vệ bạn khỏi điều gì
Lớp xác minh thứ hai khi đăng nhập đều nhằm một mục đích: lỡ người khác biết mật khẩu thì họ vẫn không vào được. Khác nhau ở cách chứng minh "đúng là bạn".
| Cách xác minh | Thứ bạn đưa ra | Điểm yếu chính |
|---|---|---|
| Mã SMS | Mã dùng một lần nhà mạng gửi tới số điện thoại của bạn | Kẻ gian làm lại SIM (chiếm số) là nhận được mã; bạn cũng có thể tự tay nhập mã vào web giả |
| Ứng dụng xác thực (Google Authenticator, Microsoft Authenticator…) | Mã 6 số điện thoại tự tính theo thời gian, 30 giây đổi một lần | Không đi qua nhà mạng nên chiếm SIM không lấy được; nhưng mã vẫn có thể bị bạn nhập vào web giả và bị dùng ngay trên web thật |
| Passkey / khóa bảo mật | Thiết bị dùng khóa riêng ký xác nhận cho đúng tên miền đó, không có mã nào để chép | Phải giữ an toàn thiết bị và tài khoản đồng bộ; máy cũ hoặc một số ứng dụng có thể chưa hỗ trợ |
Hướng dẫn về định danh số của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, NIST SP 800-63B (trang này hiện chỉ có tiếng Anh), nói khá thẳng: gửi mã qua mạng điện thoại công cộng (SMS, cuộc gọi) là cách xác thực "bị hạn chế" (restricted); mật khẩu dùng một lần (OTP — mã 6 số của ứng dụng xác thực thuộc loại này) "không có khả năng chống phishing"; chỉ những bộ xác thực mật mã đáp ứng điều kiện chống phishing của NIST mới được tính là chống phishing — WebAuthn/FIDO2 là ví dụ được nêu trong tài liệu, và passkey được xây trên WebAuthn.
Vì sao mã 6 số của ứng dụng xác thực vẫn bị lừa mất
Một kịch bản lừa đảo thường gặp:
- Bạn nhận email hoặc tin nhắn "Tài khoản có dấu hiệu bất thường, hãy xác minh ngay" và bấm vào một đường link có địa chỉ na ná trang thật.
- Bạn nhập email và mật khẩu; trang giả âm thầm chuyển chúng sang trang thật.
- Trang thật đòi bước xác minh thứ hai, trang giả cũng hiện ô "Nhập mã xác thực".
- Bạn mở ứng dụng xác thực, gõ mã 6 số đang hiện — kẻ gian đem mã đó sang trang thật trong vòng 30 giây và đăng nhập thành công.
Ứng dụng xác thực không hề lỗi; nó chỉ không biết bạn đang nhập mã ở trang nào. Cách xác minh nào cần "bạn nhìn một mã rồi tự gõ vào" thì cách đó còn khe hở để mã bị chuyển tay. Vì vậy dù đã có ứng dụng xác thực, vẫn nên giữ thói quen: không bao giờ đăng nhập sàn từ link trong email hay tin nhắn, chỉ tự gõ địa chỉ hoặc mở từ dấu trang. Nếu sàn của bạn có mã chống lừa đảo trong email, xem thêm cách dùng mã chống lừa đảo để nhận ra email giả.
Vì sao passkey không bị trang web giả lấy mất
Ảnh: trang hỗ trợ của Apple "Giới thiệu về bảo mật mã khóa", bản tiếng Việt (chụp ngày 20/10/2026). Apple gọi passkey là "mã khóa".
Trang Giới thiệu về bảo mật mã khóa của Apple giải thích nguyên lý: khi đăng ký tài khoản, hệ điều hành tạo một cặp khóa riêng cho đúng ứng dụng hoặc trang web đó; khóa công khai lưu trên máy chủ, khóa riêng tư không rời thiết bị của bạn, và hệ thống không chia sẻ bất kỳ thông tin bí mật nào.
Áp vào kịch bản lừa đảo ở trên: trang giả có tên miền khác trang thật, nên thiết bị của bạn không tìm thấy passkey nào ứng với tên miền giả đó và không thể ký. Bạn không có mã nào để "nhập nhầm chỗ". Đây là khác biệt về bản chất, chứ không chỉ là passkey tiện hơn.
Nên chọn thế nào theo hoàn cảnh của bạn
Không cần đổi hết một lần, hãy xét theo thứ tự sau:
- Sàn có hỗ trợ passkey và điện thoại hoặc máy tính của bạn cũng hỗ trợ → tạo passkey trước, dùng làm cách đăng nhập chính.
- Giữ ứng dụng xác thực làm đường dự phòng → khi mất thiết bị chứa passkey hoặc dùng trình duyệt chưa hỗ trợ, bạn vẫn vào được tài khoản. Nhiều sàn còn yêu cầu mã ứng dụng xác thực khi rút tiền hoặc đổi cài đặt bảo mật.
- Tắt xác minh SMS nếu sàn cho phép; không tắt được thì để nó làm lớp dự phòng cuối cùng → nếu sàn bắt buộc gắn số điện thoại hoặc email, cứ giữ nhưng đừng để SMS là lớp xác minh thứ hai duy nhất.
- Số tiền lớn, hoặc hay đăng nhập trên nhiều máy tính → cân nhắc khóa bảo mật vật lý (khóa USB/NFC hỗ trợ FIDO2) và chuẩn bị hai chiếc: một chiếc mang theo, một chiếc cất ở nhà.
Chọn cách nào thì hộp thư email cũng phải bật xác minh hai bước — quy trình đặt lại tài khoản ở hầu hết các sàn đều gửi thư về hộp thư này; hộp thư bị chiếm thì các lớp bảo vệ phía trước dễ bị vượt qua.
Passkey được lưu ở đâu, đổi điện thoại có bị mất không
Tùy vào trình quản lý mật khẩu bạn dùng để lưu passkey:
- Lưu trong Chuỗi khóa iCloud: theo trang của Apple ở trên, mã khóa được đồng bộ giữa các thiết bị của người dùng bằng Chuỗi khóa iCloud và được mã hóa đầu cuối; thiết bị mới muốn tham gia phải ghép với một thiết bị đang có trong Chuỗi khóa iCloud hoặc dùng tính năng khôi phục Chuỗi khóa iCloud. Đổi iPhone mới, đăng nhập cùng tài khoản Apple và hoàn tất bước này là passkey đi theo.
- Lưu trong Trình quản lý mật khẩu của Google hoặc trình quản lý của bên thứ ba: cũng đồng bộ giữa các thiết bị đăng nhập cùng tài khoản; quy tắc cụ thể xem hướng dẫn của từng bên.
- Lưu trên khóa bảo mật vật lý: không đồng bộ, mất khóa là mất passkey đó, vì vậy mới cần khóa dự phòng.
Nói cách khác, độ an toàn của passkey đồng bộ cuối cùng phụ thuộc vào tài khoản Apple hoặc Google của bạn. Tài khoản đó cần mật khẩu mạnh, bật xác thực hai yếu tố và thiết lập liên hệ khôi phục tài khoản.
Hai điều cần lưu ý nếu chỉ dùng ứng dụng xác thực
Nếu tạm thời bạn chỉ dùng được ứng dụng xác thực:
- Kiểm tra xem ứng dụng có sao lưu hay không. Có ứng dụng đồng bộ lên đám mây, có ứng dụng chỉ lưu trong chiếc điện thoại này. Đổi máy hay hỏng máy mà chưa chuyển trước thì phải đi quy trình đặt lại 2FA của sàn, thường phải chờ duyệt.
- Mã QR hoặc khóa thiết lập lúc liên kết có giá trị như chính ứng dụng xác thực. Ai có nó là tạo ra được đúng những mã 6 số giống bạn. Đừng chụp màn hình lưu trong thư viện ảnh hay đám mây; xử lý giống như cách cất giữ cụm từ khôi phục và khóa riêng: chép tay ngoại tuyến, cất ở nơi riêng.
Câu hỏi thường gặp
Đã có passkey thì còn cần ứng dụng xác thực không?
Nên giữ. Passkey chặn phishing, còn ứng dụng xác thực là đường dự phòng khi thiết bị chứa passkey không ở bên bạn; thêm nữa, không ít sàn vẫn đòi mã ứng dụng xác thực riêng khi rút tiền hoặc thêm địa chỉ rút. Yêu cầu cụ thể hãy xem trang cài đặt bảo mật trong tài khoản của bạn tại thời điểm đó.
Tạo passkey bằng Face ID thì dữ liệu khuôn mặt có bị gửi cho sàn không?
Không. Theo trang của Apple, Touch ID hoặc Face ID chỉ dùng để cho phép sử dụng mã khóa ngay trên thiết bị của bạn; trang web nhận được kết quả xác thực, không nhận dữ liệu sinh trắc học.
Mã SMS hoàn toàn không nên dùng à?
Không phải là không dùng được, mà là không nên để nó làm lớp xác minh thứ hai duy nhất. Có SMS vẫn hơn chỉ có mật khẩu, nhưng chiếm SIM và phishing đều vượt qua được nó.
Không nhận được mã xác minh thì có nên đổi sang cách khác?
Hãy tìm nguyên nhân trước rồi mới quyết định đổi hay không. Tham khảo các bước xử lý khi không nhận được mã Email, SMS hoặc 2FA.