Vì sao mật khẩu mạnh quan trọng
Mật khẩu yếu là lỗ hổng bảo mật phổ biến nhất trên internet hiện nay. Theo khảo sát năm 2023 của Bitwarden, 85% người dùng thừa nhận tái sử dụng mật khẩu trên nhiều tài khoản khác nhau, trong khi 36% sử dụng thông tin cá nhân như tên thú cưng hoặc ngày sinh — thông tin dễ tìm thấy trên mạng xã hội. Chỉ cần một tài khoản bị xâm phạm, hàng chục tài khoản khác cũng rơi vào nguy hiểm nếu dùng chung mật khẩu.
NIST Special Publication 800-63B, hướng dẫn mật khẩu mới nhất do viện tiêu chuẩn Mỹ ban hành, khẳng định yếu tố quan trọng nhất của mật khẩu mạnh là độ dài, không phải độ phức tạp. Một mật khẩu 8 ký tự dù có đầy đủ chữ hoa, chữ thường, số và ký hiệu đặc biệt vẫn chỉ cần vài phút đến vài giờ để bẻ khóa. Trong khi đó, mật khẩu 16 ký tự ngẫu nhiên mất hàng tỷ năm. Vì vậy, mục tiêu bạn cần nhớ đơn giản: mật khẩu phải dài, ngẫu nhiên và khác nhau cho từng tài khoản.
Phương pháp Diceware tạo mật khẩu dễ nhớ
Nếu bạn không muốn phó mặc hoàn toàn cho phần mềm tạo mật khẩu ngẫu nhiên, phương pháp Diceware là giải pháp tuyệt vời để tạo passphrase vừa mạnh vừa dễ nhớ. Cách thực hiện: chuẩn bị một danh sách các từ được đánh số sẵn (có thể tải từ trang Wikipedia về Diceware), sau đó tung năm viên xúc xắc và tra từ tương ứng với kết quả. Lặp lại từ bốn đến năm lần, bạn sẽ có một chuỗi passphrase gồm bốn đến năm từ ngẫu nhiên như “tornado-piano-marble-7-sunflower”.
CISA (Cơ quan An ninh mạng Hoa Kỳ) khuyến nghị passphrase bốn đến bảy từ không liên quan nhau làm mật khẩu chính — cái mật khẩu duy nhất bạn cần nhớ trong đời. Các mật khẩu còn lại do phần mềm quản lý mật khẩu tạo ngẫu nhiên và lưu trữ an toàn. Điểm mấu chốt: passphrase phải chứa các từ không có mối liên hệ ý nghĩa với nhau, tránh dùng tên con, tên pet hay câu nói quen thuộc vì attacker có thể brute-force từ điển.
Phần mềm quản lý mật khẩu hoạt động ra sao
Phần mềm quản lý mật khẩu (password manager) mã hóa toàn bộ mật khẩu của bạn vào một vault an toàn bằng thuật toán AES-256 hoặc XChaCha20. Bạn chỉ cần nhớ duy nhất một mật khẩu master để mở vault, còn lại phần mềm sẽ tự động điền mật khẩu khi đăng nhập website. Mô hình zero-knowledge đảm bảo ngay cả nhà phát triển cũng không thể đọc được dữ liệu của bạn — tất cả mã hóa và giải mã diễn ra trên thiết bị.
| Phần mềm | Miễn phí | Trả phí | Mã nguồn mở |
|---|---|---|---|
| Bitwarden | Mật khẩu không giới hạn, thiết bị không giới hạn, TOTP | 10 USD/năm | Có |
| 1Password | Không có bản miễn phí | 3 USD/tháng | Không |
| Proton Pass | Mật khẩu không giới hạn, alias email | 4 USD/tháng (Proton Unlimited) | Một phần |
| KeePass | Miễn phí hoàn toàn | Không có | Có, lưu trữ cục bộ |
Với người mới bắt đầu, Bitwarden là lựa chọn tối ưu vì hoàn toàn miễn phí ở bản cơ bản, mã nguồn mở và hoạt động trên mọi nền tảng. Nếu bạn quan tâm đến quyền riêng tư, Proton Pass tích hợp sẵn alias email ẩn danh và bảo mật end-to-end từ nhà phát triển ProtonMail. KeePass phù hợp với người dùng nâng cao muốn lưu trữ vault hoàn toàn cục bộ trên máy tính, không phụ thuộc dịch vụ đám mây.
Xác thực hai yếu tố bổ sung lớp bảo vệ
Mật khẩu mạnh mới chỉ là bước đầu. Xác thực hai yếu tố (2FA) bổ sung thêm một lớp bảo vệ: ngay cả khi mật khẩu bị rò rỉ, kẻ tấn công vẫn cần yếu tố thứ hai — thường là mã OTP 6 chữ số tạo ra bởi ứng dụng authenticator như Google Authenticator hoặc Authy. Cấp bảo mật cao hơn là hardware key như YubiKey, và mới nhất là passkey (FIDO2/WebAuthn) cho phép đăng nhập bằng sinh trắc học mà không cần nhập mật khẩu.
Mỗi password manager phổ biến hiện nay đều hỗ trợ lưu trữ mã TOTP ngay trong vault, giúp bạn không cần cài thêm ứng dụng authenticator riêng. Bitwarden và 1Password tích hợp trình tạo mã TOTP, còn Proton Pass hỗ trợ 2FA TOTP trực tiếp trong ứng dụng di động. Bật 2FA cho ít nhất các tài khoản quan trọng: email, ngân hàng, mạng xã hội và chính password manager của bạn.
Sai lầm phổ biến cần tránh
- Tái sử dụng mật khẩu: 85% người dùng tái sử dụng, chỉ cần một vụ rò rỉ là hàng chục tài khoản ảnh hưởng.
- Sử dụng thông tin cá nhân: tên, ngày sinh, số điện thoại dễ tìm qua mạng xã hội và kỹ thuật social engineering.
- Mật khẩu ngắn: 8 ký tự với độ phức tạp cao vẫn yếu hơn 16 ký tự ngẫu nhiên thông thường.
- Lưu mật khẩu trong trình duyệt: tiện nhưng không an toàn bằng password manager chuyên dụng.
- Chia sẻ mật khẩu qua tin nhắn: sử dụng tính năng chia sẻ bảo mật của password manager thay vì gửi qua chat.
- Bỏ qua kiểm tra rò rỉ: nhiều vụ rò rỉ hàng tỷ dữ liệu đã xảy ra mà người dùng không hay biết.
Kiểm tra mật khẩu đã bị rò rỉ chưa
Have I Been Pwned là dịch vụ miễn phí kiểm tra xem email hoặc mật khẩu của bạn có nằm trong các vụ rò rỉ dữ liệu lớn không. Hiện dịch vụ đã ghi nhận hơn 17,7 tỷ địa chỉ email bị ảnh hưởng từ hơn 1.026 trang web bị xâm phạm. Bạn chỉ cần nhập email vào thanh tìm kiếm trên trang chủ để xem toàn bộ vụ rò rỉ liên quan, hoặc bật tính năng “Notify Me” để nhận thông báo khi email của bạn xuất hiện trong vụ rò rỉ mới. Phần lớn password manager hiện nay đã tích hợp sẵn dịch vụ này, tự động cảnh báo mỗi khi bạn lưu mật khẩu trùng với một mật khẩu đã bị rò rỉ trong cơ sở dữ liệu của Have I Been Pwned.
