Lời khuyên “đặt mật khẩu mạnh, mỗi nơi một mật khẩu khác nhau” đúng nhưng bất khả thi nếu làm bằng trí nhớ. Một người bình thường có hàng chục tài khoản. Không ai nhớ nổi từng ấy chuỗi ngẫu nhiên. Kết quả là hầu hết mọi người dùng lại một vài mật khẩu quen thuộc — và đó chính xác là điều kẻ tấn công trông đợi.
Vì sao dùng lại mật khẩu nguy hiểm đến vậy
Các vụ rò rỉ dữ liệu xảy ra liên tục. Khi một dịch vụ bị lộ cơ sở dữ liệu, danh sách email kèm mật khẩu được rao bán và lưu hành.
Kẻ tấn công không ngồi đoán mật khẩu của bạn. Họ lấy nguyên danh sách đó rồi thử tự động lên hàng loạt dịch vụ khác — ngân hàng, email, mạng xã hội. Kỹ thuật này gọi là credential stuffing, và nó hiệu quả đúng vì thói quen dùng lại mật khẩu.
Nghĩa là mật khẩu của bạn ở một diễn đàn vớ vẩn nào đó, nếu trùng với mật khẩu email, sẽ kéo sập cả hộp thư.
Trình quản lý mật khẩu giải quyết ra sao
Nó lưu toàn bộ mật khẩu trong một kho mã hoá, mở bằng đúng một mật khẩu chính. Bạn chỉ cần nhớ một chuỗi duy nhất; phần còn lại để máy sinh ngẫu nhiên và tự điền.
Lợi ích thường bị đánh giá thấp: vì không phải gõ tay, mật khẩu dài 30 ký tự cũng chẳng phiền hơn mật khẩu 8 ký tự. Bạn được an toàn cao hơn mà không mất công gì thêm.
Một lợi ích khác ít người để ý: tính năng tự điền cũng chống lừa đảo. Trình quản lý chỉ điền khi tên miền khớp với bản ghi đã lưu. Vào trang giả, nó im lặng — và sự im lặng ấy là một tín hiệu cảnh báo đáng giá.
Mã hoá không cần tin nhà cung cấp
Câu hỏi tự nhiên: gom hết trứng vào một giỏ có nguy hiểm không? Nếu nhà cung cấp bị hack thì sao?
Các sản phẩm nghiêm túc dùng mô hình zero-knowledge. Việc mã hoá và giải mã diễn ra trên thiết bị của bạn, bằng khoá suy ra từ mật khẩu chính. Mật khẩu chính không bao giờ được gửi lên máy chủ. Cái nhà cung cấp lưu chỉ là khối dữ liệu đã mã hoá mà chính họ cũng không đọc được.
Hệ quả hai chiều: máy chủ bị xâm nhập thì kho của bạn vẫn an toàn — nhưng quên mật khẩu chính là mất hết, không ai khôi phục hộ được. Đây là đánh đổi có chủ ý, không phải thiếu sót.
Đặt mật khẩu chính thế nào
Đây là chuỗi duy nhất bạn phải nhớ, nên nó cần dài và không được dùng ở bất kỳ đâu khác.
Cách tốt là ghép nhiều từ ngẫu nhiên không liên quan thành một cụm dài. Cụm bốn năm từ ngẫu nhiên vừa dễ nhớ hơn hẳn một chuỗi ký tự lộn xộn, vừa khó dò hơn — vì độ mạnh đến từ chiều dài nhiều hơn là từ việc có ký tự đặc biệt.
Điều quan trọng là các từ phải thật sự ngẫu nhiên, không phải một câu có nghĩa hay câu hát quen thuộc.
Vài nguyên tắc khi dùng
- Bật xác thực hai lớp cho chính trình quản lý. Đây là kho chứa mọi thứ, xứng đáng được bảo vệ mạnh nhất.
- In mã khôi phục ra giấy và cất nơi an toàn. Kho mã hoá không có nút “quên mật khẩu”.
- Xuất bản sao định kỳ nếu công cụ cho phép, cất ở nơi riêng biệt và được mã hoá.
- Dùng tính năng kiểm tra sức khoẻ kho — hầu hết công cụ đều liệt kê được mật khẩu trùng lặp, quá yếu, hoặc đã xuất hiện trong các vụ rò rỉ đã biết.
Trình duyệt có sẵn thì sao
Trình quản lý tích hợp trong trình duyệt tiện và miễn phí, tốt hơn nhiều so với không dùng gì. Hạn chế là khó dùng chung giữa nhiều trình duyệt khác nhau, ít tính năng chia sẻ an toàn cho gia đình hay nhóm làm việc, và thường gắn chặt vào tài khoản hệ điều hành.
Nếu bạn chỉ dùng một hệ sinh thái duy nhất, nó đủ. Nếu bạn nhảy qua lại giữa nhiều nền tảng, hoặc cần chia sẻ thông tin đăng nhập với người khác, một công cụ chuyên dụng đáng giá hơn.
Dù chọn gì, việc quan trọng nhất vẫn là bắt đầu: chuyển mật khẩu của email chính và ngân hàng sang mật khẩu ngẫu nhiên duy nhất trước, phần còn lại làm dần.