Passkey, công nghệ đăng nhập được kỳ vọng thay thế mật khẩu, đang làm dấy lên tranh luận mới về quyền lựa chọn của người dùng. Một số chuyên gia cảnh báo các cơ chế tăng cường bảo mật trong Passkey có thể bị doanh nghiệp tận dụng để giới hạn thiết bị, hệ điều hành hoặc phần mềm được phép truy cập dịch vụ.

Theo Gigazine ngày 13/10/2026, The Hack - tác giả blog công nghệ Non-Functional - cho rằng Passkey rõ ràng an toàn và tiện lợi hơn mật khẩu truyền thống, nhưng cũng tiềm ẩn nguy cơ “khóa” người dùng vào một hệ sinh thái nhất định.

Passkey cho phép người dùng đăng nhập bằng vân tay, nhận diện khuôn mặt hoặc mã PIN thay cho mật khẩu. Trong mô hình này, dịch vụ chỉ lưu khóa công khai, còn khóa bí mật được giữ trên thiết bị của người dùng. Khi đăng nhập, khóa bí mật không rời khỏi thiết bị, qua đó giảm nguy cơ rò rỉ thông tin đăng nhập và các cuộc tấn công phishing.

Tâm điểm tranh luận nằm ở cơ chế Attestation. Tính năng này cho phép xác minh nhà sản xuất cũng như loại thiết bị xác thực dùng để tạo Passkey. Nhờ đó, một dịch vụ web có thể thiết lập chính sách chỉ chấp nhận Passkey được tạo từ một số hãng hoặc một số thiết bị xác thực nhất định.

Theo The Hack, nếu cách làm này trở nên phổ biến, người dùng sử dụng hệ điều hành hoặc phần mềm không nằm trong danh sách được doanh nghiệp chấp nhận có thể bị loại khỏi dịch vụ.

Tuy vậy, với Passkey dành cho người dùng phổ thông hiện nay, các giới hạn như vậy vẫn chưa phổ biến. Các Passkey đồng bộ của Apple và Google hiện không hỗ trợ Attestation để chứng minh nguồn gốc thiết bị xác thực.

Ở chiều ngược lại, Entra ID - dịch vụ dành cho doanh nghiệp của Microsoft - lại cung cấp tính năng cho phép quản trị viên giới hạn loại thiết bị xác thực được chấp nhận.

Một số ý kiến cũng bác bỏ lo ngại nói trên. Trên cộng đồng công nghệ Hacker News, nhiều thành viên cho rằng Attestation về bản chất là thông tin được yêu cầu tại thời điểm đăng ký Passkey, chứ không thể được áp lại theo cùng cách đối với những Passkey đã đăng ký trước đó.

Một lập luận khác cho rằng ngay cả khi không sử dụng Passkey, doanh nghiệp vẫn có thể áp dụng các chính sách xác thực riêng để giới hạn môi trường truy cập.

Vì vậy, trọng tâm của cuộc tranh luận lần này không nằm ở lỗ hổng bảo mật nội tại của Passkey, mà ở khả năng quyền kiểm soát công nghệ xác thực bị tập trung vào doanh nghiệp, từ đó ảnh hưởng đến quyền lựa chọn của người dùng.