Cách thiết lập và quản lý mật khẩu mạnh an toàn

Mật khẩu mạnh là mật khẩu dài, ngẫu nhiên và chỉ dùng cho một tài khoản duy nhất. Cách thực tế nhất để có mật khẩu mạnh cho hàng chục tài khoản là dùng trình quản lý mật khẩu để tạo và lưu chuỗi ngẫu nhiên, còn bạn chỉ cần nhớ một cụm mật khẩu chính đủ dài, kết hợp xác thực hai yếu tố cho các tài khoản quan trọng. Độ dài và tính duy nhất quan trọng hơn nhiều so với việc nhồi ký tự đặc biệt.

Kẻ xấu đoán mật khẩu bằng cách nào

Hiểu cách tấn công giúp bạn hiểu vì sao các quy tắc tồn tại:

• Dùng lại mật khẩu bị lộ (credential stuffing): lấy danh sách email và mật khẩu từ các vụ rò rỉ dữ liệu, tự động thử trên ngân hàng, mạng xã hội, email. Đây là cách phổ biến nhất.
• Thử từ điển: dùng danh sách mật khẩu phổ biến như 123456, matkhau, iloveyou, tên kèm năm sinh.
• Đoán theo thông tin cá nhân: tên con, ngày cưới, biển số xe lấy từ mạng xã hội.
• Dò toàn bộ (brute force): thử mọi tổ hợp; hiệu quả với mật khẩu ngắn.
• Lừa đảo: không cần đoán, chỉ cần lừa bạn nhập vào trang giả.

Mật khẩu "P@ssw0rd2024!" trông phức tạp nhưng lại nằm trong mọi danh sách từ điển vì thói quen thay chữ bằng ký hiệu đã quá quen thuộc với công cụ dò.

Thế nào là mật khẩu mạnh

Cách tạo cụm mật khẩu dễ nhớ

Với những mật khẩu bạn bắt buộc phải nhớ (mật khẩu chính của trình quản lý, mật khẩu đăng nhập máy tính), cụm mật khẩu (passphrase) là lựa chọn tốt: ghép bốn đến sáu từ ngẫu nhiên không liên quan đến nhau.

• Chọn từ thật ngẫu nhiên, ví dụ bằng cách tung xúc xắc theo phương pháp Diceware hoặc dùng tính năng tạo cụm mật khẩu của trình quản lý.
• Không dùng câu nổi tiếng, lời bài hát, câu thơ, vì chúng có trong từ điển tấn công.
• Có thể thêm dấu gạch hoặc số giữa các từ nếu dịch vụ yêu cầu.
• Tiếng Việt không dấu ghép ngẫu nhiên cũng dùng được, miễn các từ không tạo thành câu có nghĩa quen thuộc.

Trình quản lý mật khẩu: giải pháp cho người có nhiều tài khoản

Không ai nhớ được năm mươi mật khẩu ngẫu nhiên khác nhau. Trình quản lý mật khẩu giải quyết điều này:

• Tạo mật khẩu ngẫu nhiên dài cho từng trang.
• Lưu mã hóa, đồng bộ giữa các thiết bị.
• Tự điền đúng trang, giúp phát hiện trang giả mạo vì nó không tự điền trên tên miền lạ.
• Cảnh báo mật khẩu yếu, trùng lặp hoặc đã bị lộ.

Bạn có thể dùng trình quản lý tích hợp trong hệ điều hành và trình duyệt, hoặc ứng dụng chuyên dụng có uy tín. Quan trọng là bảo vệ mật khẩu chính bằng cụm mật khẩu mạnh và bật xác thực hai yếu tố cho chính trình quản lý.

Ưu tiên tài khoản quan trọng trước

Nếu chưa thể đổi mọi mật khẩu cùng lúc, hãy bắt đầu theo thứ tự:

1. Email chính, vì nó kiểm soát việc đặt lại mật khẩu các tài khoản khác; xem bài bảo mật tài khoản email.
2. Ngân hàng, ví điện tử.
3. Tài khoản Apple ID hoặc Google gắn với điện thoại.
4. Mạng xã hội, ứng dụng nhắn tin.
5. Tài khoản mua sắm có lưu thẻ.

Kết hợp với xác thực hai yếu tố và passkey

Mật khẩu mạnh vẫn có thể bị lừa lấy mất. Xác thực hai yếu tố bổ sung lớp bảo vệ thứ hai, xem bài xác thực hai yếu tố 2FA. Passkey là bước tiến xa hơn: đăng nhập bằng vân tay, khuôn mặt hoặc mã PIN thiết bị, dựa trên cặp khóa mật mã gắn với đúng tên miền, nên không thể bị lừa nhập vào trang giả. Nếu dịch vụ hỗ trợ passkey, hãy cân nhắc dùng.

Chuyển sang trình quản lý mật khẩu từng bước

Nhiều người ngại bắt đầu vì nghĩ phải đổi mọi mật khẩu trong một buổi. Thực tế, bạn có thể chuyển dần. Tuần đầu, cài trình quản lý trên điện thoại và máy tính, đặt cụm mật khẩu chính, bật xác thực hai yếu tố cho nó. Sau đó, mỗi khi đăng nhập một trang nào đó, hãy dùng tính năng tạo mật khẩu mới và lưu lại. Sau vài tuần, phần lớn tài khoản thường dùng đã có mật khẩu riêng. Cuối cùng, dùng tính năng kiểm tra sức khỏe mật khẩu của trình quản lý để tìm những tài khoản ít dùng còn mật khẩu cũ, trùng lặp và xử lý nốt.

Đừng quên lập kế hoạch dự phòng: ghi mật khẩu chính và mã khôi phục ra giấy, cất ở nơi an toàn trong nhà. Nếu quên mật khẩu chính, nhiều trình quản lý không thể khôi phục dữ liệu vì chính nhà cung cấp cũng không biết mật khẩu đó.

Những quan niệm sai về mật khẩu

• "Đổi mật khẩu 3 tháng một lần là an toàn": ép đổi định kỳ khiến người dùng tạo mật khẩu theo mẫu dễ đoán. Chỉ cần đổi khi có dấu hiệu lộ.
• "Ghi mật khẩu ra giấy là nguy hiểm": với người lớn tuổi khó dùng công nghệ, sổ ghi cất kỹ ở nhà vẫn an toàn hơn dùng một mật khẩu cho mọi nơi.
• "Tài khoản của tôi chẳng có gì đáng lấy": tài khoản bị chiếm có thể bị dùng để lừa bạn bè, người thân của bạn.

Khi mật khẩu bị lộ

1. Đổi ngay mật khẩu ở tài khoản bị lộ, và ở mọi nơi bạn từng dùng lại mật khẩu đó.
2. Đăng xuất mọi phiên đăng nhập.
3. Bật 2FA nếu chưa có.
4. Kiểm tra hoạt động gần đây của tài khoản để phát hiện thay đổi lạ.

Mật khẩu cũng có thể bị lộ qua phần mềm độc hại ẩn trong tệp bẻ khóa; xem bài mã độc đánh cắp thông tin trong tệp bẻ khóa.