MFA và Passwordless (xu hướng hiện nay)

Ngoài mật khẩu, các lớp xác thực bổ sung ngày càng phổ biến:

• MFA (Multi-Factor Authentication) — TOTP: sau khi nhập đúng mật khẩu, hệ thống yêu cầu thêm một mã số đổi theo thời gian (Time-based One-Time Password), thường sinh ra từ ứng dụng như Google Authenticator. Đây là lớp bảo vệ thứ hai, hạn chế thiệt hại nếu mật khẩu bị lộ.
• Passwordless / WebAuthn / Passkey: hướng đi mới nhất — loại bỏ hoàn toàn mật khẩu, xác thực bằng khoá mật mã lưu trong thiết bị (vân tay, Face ID, security key vật lý). Vì không có "bí mật dùng chung" nào được gửi qua mạng, cơ chế này chống được phishing hoàn toàn (kẻ tấn công dựng trang giả cũng không lấy được gì để tái sử dụng) — khác biệt căn bản so với mật khẩu hay cả TOTP (vẫn có thể bị lừa nhập vào trang giả).

Đây chính là hướng tiếp theo trong chuỗi tiến hoá: nếu coi "mật khẩu" là nút thắt cuối cùng chưa được giải quyết, WebAuthn/Passkey là bước đang giải quyết nó.