Một mật khẩu mạnh có ba đặc điểm: đủ dài (từ 15 ký tự trở lên là mức nên nhắm cho tài khoản quan trọng), được chọn ngẫu nhiên chứ không suy ra từ thông tin của bạn, và chỉ dùng cho đúng một tài khoản. Cách dễ nhớ nhất để đạt cả ba là cụm mật khẩu: bốn đến sáu từ chọn ngẫu nhiên ghép lại, ví dụ giả định "mangcau-xeom-bientan-lauca". Thêm chữ hoa hay ký tự đặc biệt giúp ít hơn nhiều so với thêm độ dài.
Lý do nằm ở cách mật khẩu bị dò. Kẻ xấu hiếm khi thử từng tổ hợp một cách mù quáng; họ bắt đầu từ hàng trăm triệu mật khẩu đã lộ trong các vụ rò rỉ, rồi biến tấu theo thói quen của con người. Công cụ có học máy làm việc này nhanh hơn vì nó học được chính những thói quen đó. Mật khẩu nào trông "phức tạp" nhưng đi theo khuôn quen thuộc thì đổ sớm; mật khẩu dài và ngẫu nhiên thì không có khuôn nào để bám.
Vì sao mật khẩu kiểu tên cộng năm sinh đổ nhanh
Hãy nhìn một mật khẩu rất phổ biến ở Việt Nam, ví dụ giả định "Thuy1990@". Nó có chữ hoa, chữ thường, số và ký tự đặc biệt, nên hầu hết ô đăng ký đều báo "mạnh". Nhưng cấu trúc của nó là thứ ai dò mật khẩu cũng thử đầu tiên: một cái tên, một năm sinh, một dấu chấm than hoặc a còng ở cuối. Danh sách tên người Việt thông dụng chỉ vài nghìn mục, năm sinh hợp lý chỉ vài chục, ký tự cuối chỉ vài lựa chọn. Nhân lên vẫn là một con số nhỏ đối với máy tính.
Có hai kiểu dò. Kiểu thứ nhất là thử trực tiếp trên trang đăng nhập; các dịch vụ lớn chặn kiểu này bằng giới hạn số lần, nên kẻ xấu chỉ thử vài mật khẩu phổ biến nhất. Kiểu thứ hai nguy hiểm hơn: khi một trang web bị lộ cơ sở dữ liệu, kẻ xấu có trong tay bản băm của mật khẩu và dò trên máy của họ, không giới hạn số lần; với những kiểu băm cũ, yếu, phần cứng đồ hoạ thử được hàng tỉ mật khẩu mỗi giây. Ở kiểu này, chỉ độ dài và tính ngẫu nhiên mới giữ được bạn.
Phần "AI" ở đây không phải phép màu. Các nhóm nghiên cứu đã cho mô hình học máy đọc hàng triệu mật khẩu lộ để nó tự sinh ra các mật khẩu "giống người đặt". Kết quả là thứ tự thử thông minh hơn: những biến thể mà con người hay dùng được thử sớm. Hệ quả cho bạn rất đơn giản: mọi mẹo mà con người nghĩ ra để biến một từ quen thành mật khẩu, như thay chữ o bằng số 0 hay thêm năm sinh, đều đã nằm trong dữ liệu học của các công cụ đó.
Độ dài và ngẫu nhiên quan trọng hơn ký tự đặc biệt
Bảng dưới so sánh bốn kiểu mật khẩu theo hai tiêu chí người dùng quan tâm nhất: có nhớ được không và chịu được dò đoán đến đâu. Các ví dụ đều là ví dụ giả định, đừng dùng lại.
| Kiểu mật khẩu | Ví dụ giả định | Dễ nhớ | Chịu dò đoán |
|---|---|---|---|
| Tên, ngày sinh, ký tự cuối | Thuy1990@ | Rất dễ | Yếu: nằm đúng khuôn mà công cụ thử đầu tiên |
| Chuỗi ngắn ngẫu nhiên 8 ký tự | k7#Qe2!m | Khó | Khá với dò trực tuyến, yếu dần khi bị dò ngoại tuyến |
| Cụm 4–6 từ chọn ngẫu nhiên | mangcau-xeom-bientan-lauca | Dễ sau vài lần gõ | Mạnh nếu từ thật sự ngẫu nhiên |
| Chuỗi dài 20 ký tự do trình quản lý tạo | không cần nhớ | Không cần nhớ | Rất mạnh, chỉ dùng được khi có trình quản lý |
Điểm đáng chú ý là hàng thứ ba. Một cụm bốn từ không có ký tự đặc biệt nào vẫn mạnh hơn chuỗi tám ký tự rối mắt, vì mỗi từ được chọn từ một kho vài nghìn từ, còn mỗi ký tự chỉ chọn từ chưa tới một trăm khả năng. Hướng dẫn về xác thực số của Viện Tiêu chuẩn và Công nghệ Hoa Kỳ (NIST) cũng đã chuyển trọng tâm sang độ dài và việc chặn mật khẩu đã lộ, thay vì bắt buộc trộn đủ loại ký tự.
Điều kiện bắt buộc là "ngẫu nhiên". Một câu thơ, câu hát hay khẩu hiệu nổi tiếng không phải cụm ngẫu nhiên: nó nằm sẵn trong kho văn bản mà công cụ dò có thể dùng. Bốn từ bạn tự nghĩ ra "cho ngẫu nhiên" thường cũng không ngẫu nhiên lắm, vì não người có xu hướng chọn từ liên quan nhau.
Tạo một cụm mật khẩu từng bước
Quy trình dưới mất khoảng mười phút và chỉ cần làm cho vài tài khoản bạn phải gõ bằng tay: mật khẩu mở máy tính, mật khẩu email chính, mật khẩu chính của trình quản lý mật khẩu. Các tài khoản còn lại nên để trình quản lý tạo chuỗi ngẫu nhiên.
- Lấy một cuốn sách hoặc từ điển bất kỳ trong nhà. Mở ngẫu nhiên một trang, nhắm mắt chỉ tay, lấy danh từ gần nhất. Lặp lại để có năm từ. Cách khác là gieo xúc xắc để chọn số trang và số dòng. Mục đích là để việc chọn từ không đi qua sở thích của bạn.
- Loại từ nào quá ngắn (một âm tiết đơn lẻ dễ đoán) hoặc liên quan trực tiếp đến bạn: tên người nhà, quê quán, tên thú cưng, biệt danh.
- Viết các từ tiếng Việt không dấu và nối bằng một ký tự phân cách bạn chọn, như gạch nối hoặc dấu chấm. Có thể viết hoa chữ đầu một từ nếu dịch vụ bắt buộc có chữ hoa.
- Nếu dịch vụ đòi có số, thêm một con số vào giữa cụm thay vì ở cuối. Cuối mật khẩu là vị trí công cụ dò thử số đầu tiên.
- Tự tưởng tượng một hình ảnh nối năm từ lại (ví dụ giả định: chiếc xe ôm chở trái mãng cầu qua trạm biến tần đến quán lẩu cá). Hình ảnh càng lạ càng dễ nhớ.
- Gõ lại cụm mật khẩu năm lần trong ngày đầu và vài lần trong tuần đầu. Sau đó tay sẽ nhớ thay bạn.
- Không lưu cụm này trong ghi chú điện thoại, tin nhắn tự gửi cho mình hay ảnh chụp màn hình. Nếu sợ quên, viết ra giấy và cất cùng chỗ bạn cất giấy tờ quan trọng ở nhà.
Đừng nhờ chatbot tạo cụm mật khẩu thật cho bạn. Không phải vì chatbot "đánh cắp" mật khẩu, mà vì đoạn hội thoại có thể được lưu trong lịch sử tài khoản, và các mô hình ngôn ngữ chọn từ theo xác suất chứ không thật sự ngẫu nhiên. Chatbot hữu ích ở chỗ khác: giải thích vì sao một kiểu mật khẩu yếu, hoặc giúp bạn lập danh sách tài khoản cần rà soát (chỉ ghi tên dịch vụ, không ghi mật khẩu).
Mỗi tài khoản một mật khẩu: lỗi dùng lại nguy hiểm hơn mật khẩu yếu
Nhiều người có một mật khẩu "xịn" và dùng nó cho mọi nơi: email, Facebook, ứng dụng giao đồ ăn, trang mua vé, diễn đàn đăng ký từ nhiều năm trước. Đây là thói quen gây mất tài khoản nhiều nhất, nhiều hơn cả mật khẩu yếu. Lý do là kẻ xấu không cần tấn công email của bạn; họ chỉ cần một trang nhỏ, bảo mật kém, nơi bạn từng đăng ký bằng cùng địa chỉ email và cùng mật khẩu. Khi trang đó bị lộ dữ liệu, cặp email và mật khẩu của bạn được đem đi thử tự động trên hàng loạt dịch vụ lớn. Kỹ thuật này gọi là nhồi thông tin đăng nhập.
Ví dụ giả định: chị Lan đăng ký một trang bán mỹ phẩm từ năm năm trước bằng email cá nhân và mật khẩu quen dùng. Trang đó bị lộ dữ liệu, chị không hề biết. Một năm sau, có người đăng nhập được vào email của chị từ nước ngoài, vì mật khẩu email trùng với mật khẩu cũ ở trang kia. Từ email, họ bấm "quên mật khẩu" ở các tài khoản khác. Không có kỹ thuật cao siêu nào ở đây, chỉ có một mật khẩu dùng lại.
Bạn không thể nhớ năm mươi mật khẩu khác nhau, và cũng không cần. Hướng giải là chia hai: vài cụm mật khẩu tự nhớ cho các tài khoản gốc (email chính, máy tính, trình quản lý mật khẩu), còn mọi thứ khác để trình quản lý mật khẩu tạo và nhớ. Nếu chưa sẵn sàng dùng trình quản lý, ít nhất hãy tách riêng mật khẩu của email chính và tài khoản ngân hàng khỏi mọi thứ khác ngay hôm nay. Email chính là chìa khoá mở lại gần như mọi tài khoản còn lại, nên nó phải có mật khẩu không xuất hiện ở bất cứ đâu.
Những thói quen cũ nên bỏ
Đổi mật khẩu định kỳ ba tháng một lần. Lời khuyên này từng phổ biến nhưng nay nhiều hướng dẫn bảo mật không còn khuyến nghị đổi bắt buộc khi không có dấu hiệu lộ. Người bị ép đổi thường chỉ tăng con số ở cuối, từ "Thuy1990@1" sang "Thuy1990@2", và kẻ dò biết rõ khuôn đó. Hãy đổi khi có lý do, đổi sang mật khẩu mới hẳn.
Thay chữ bằng số và ký hiệu cho "khó". Đổi a thành @, o thành 0, e thành 3 là những phép thay thế đầu tiên mà mọi công cụ dò đều áp dụng tự động. Chúng làm mật khẩu khó gõ hơn cho bạn nhưng gần như không làm khó máy.
Gửi mật khẩu qua tin nhắn cho người nhà hoặc đồng nghiệp. Tin nhắn nằm lại trên nhiều thiết bị, được sao lưu, và có thể bị đọc khi một trong hai điện thoại bị mượn hay bị chiếm tài khoản. Nếu buộc phải chia sẻ, dùng tính năng chia sẻ của trình quản lý mật khẩu, hoặc đọc trực tiếp rồi đổi lại sau.
Để trình duyệt lưu mật khẩu trên máy tính dùng chung. Máy ở quầy thu ngân, máy phòng họp hay máy của tiệm in là nơi nhiều người ngồi. Ở đó, không bấm lưu mật khẩu, và đăng xuất hẳn khi rời đi.
Câu hỏi bảo mật trả lời thật. Tên trường tiểu học hay tên mẹ là thông tin có thể tìm được trên mạng xã hội. Nếu dịch vụ bắt đặt câu hỏi bảo mật, hãy coi câu trả lời như một mật khẩu thứ hai: trả lời bằng một cụm vô nghĩa và lưu nó lại.
Khi nào cần đổi mật khẩu ngay
Đổi mật khẩu không cần định kỳ, nhưng cần làm ngay trong các tình huống sau. Khi đổi, đổi cả ở những nơi bạn từng dùng chung mật khẩu đó.
- Bạn nhận được thông báo đăng nhập từ thiết bị hoặc nơi chốn lạ mà không phải mình.
- Một dịch vụ bạn dùng thông báo bị lộ dữ liệu, hoặc trình duyệt và trình quản lý mật khẩu cảnh báo mật khẩu xuất hiện trong danh sách rò rỉ. Nhiều trình duyệt và trình quản lý có tính năng kiểm tra này; hãy kiểm phiên bản bạn đang dùng.
- Bạn lỡ gõ mật khẩu vào một trang mà sau đó nghi là trang giả.
- Bạn đã đăng nhập trên máy tính lạ, máy ở tiệm dịch vụ, hoặc nhờ người khác đăng nhập hộ.
- Điện thoại hoặc máy tính vừa sửa ở tiệm, vừa bị mất rồi tìm lại được, hoặc từng cài ứng dụng lạ.
- Người từng biết mật khẩu không còn nên biết nữa: nhân viên nghỉ việc, người yêu cũ, người giúp việc từng giữ máy.
- Mật khẩu hiện tại thuộc kiểu ở dòng đầu của bảng phía trên, tức có tên và năm sinh.
Nếu đã có dấu hiệu bị chiếm tài khoản thật sự, như mất quyền đăng nhập, có giao dịch lạ hay bạn bè nhận tin nhắn vay tiền từ tài khoản của bạn, thì việc cần làm không chỉ là đổi mật khẩu. Đó là phần xử lý sự cố, có thứ tự ưu tiên riêng, được trình bày trong mục Khi bị lừa, bị hack, lộ dữ liệu của AI Bảo Mật.
Mật khẩu chỉ là lớp đầu tiên
Ngay cả mật khẩu tốt nhất cũng có thể bị lấy mất theo cách không liên quan đến độ mạnh: bạn gõ nó vào một trang giả trông y hệt trang thật, hoặc một ứng dụng độc hại trên máy ghi lại thao tác gõ phím. Tin nhắn lừa đảo do AI viết ngày nay trơn tru, đúng chính tả, đúng giọng ngân hàng, nên khả năng bạn bị dụ vào trang giả không còn thấp như trước. Vì thế mật khẩu mạnh cần đi kèm lớp xác thực thứ hai, và ở những dịch vụ có hỗ trợ, nên chuyển dần sang khoá truy cập (passkey), thứ không thể gõ nhầm vào trang giả.
Thứ tự ưu tiên hợp lý cho một người bận rộn là: tách riêng mật khẩu của email chính trong hôm nay; bật xác thực hai lớp cho email chính, tài khoản mạng xã hội và ví điện tử trong tuần này; rồi dần dần đưa các tài khoản khác vào trình quản lý mật khẩu. Không cần làm mọi thứ một lúc. Mỗi bước làm xong đều đóng bớt một cánh cửa, và cánh cửa quan trọng nhất là email, vì đó là nơi mọi lệnh "quên mật khẩu" quay về.
Câu hỏi thường gặp
Mật khẩu dài bao nhiêu ký tự là đủ an toàn?
Không có con số tuyệt đối, nhưng với tài khoản quan trọng nên nhắm từ 15 ký tự trở lên, hoặc cụm bốn đến sáu từ chọn ngẫu nhiên. Với mật khẩu do trình quản lý tạo, để 20 ký tự trở lên vì bạn không phải gõ. Độ dài chỉ có ý nghĩa khi đi kèm tính ngẫu nhiên và không dùng lại ở nơi khác.
Có nên dùng mật khẩu tiếng Việt có dấu không?
Không nên. Một số dịch vụ không nhận ký tự có dấu, hoặc xử lý chúng khác nhau giữa điện thoại và máy tính, dẫn tới việc bạn gõ đúng mà vẫn bị báo sai. Viết tiếng Việt không dấu vẫn giữ được ưu điểm dễ nhớ của cụm mật khẩu mà không gặp rắc rối bộ gõ.
Ghi mật khẩu ra sổ tay có nguy hiểm không?
Một cuốn sổ cất kỹ trong nhà ít rủi ro hơn nhiều so với việc dùng lại một mật khẩu cho mọi nơi, vì kẻ tấn công qua mạng không chạm tới được sổ giấy. Rủi ro là người trong nhà, kẻ trộm hoặc thất lạc. Không ghi sổ ở bàn làm việc, không ghi kèm tên tài khoản quá rõ, và không chụp ảnh trang sổ.
Làm sao biết mật khẩu của mình đã bị lộ?
Cách thực tế nhất là dùng tính năng kiểm tra mật khẩu bị lộ có sẵn trong trình duyệt hoặc trình quản lý mật khẩu bạn đang dùng, và để ý thư thông báo rò rỉ từ các dịch vụ. Cũng có những dịch vụ tra cứu công khai cho phép kiểm theo địa chỉ email; khi dùng, chỉ nhập email, không bao giờ nhập mật khẩu vào một trang lạ.
Mật khẩu bằng vân tay hay khuôn mặt có thay được mật khẩu chữ không?
Vân tay và khuôn mặt trên điện thoại chủ yếu là cách mở khoá nhanh cho thiết bị, và phía sau vẫn có một mã PIN hoặc mật khẩu dự phòng. Nếu mã dự phòng đó là sáu số dễ đoán thì lớp sinh trắc học không bù được. Hãy đặt mã mở máy đủ dài và không trùng ngày sinh.
Có nên để AI kiểm tra mật khẩu của mình mạnh hay yếu không?
Không nên dán mật khẩu thật vào bất kỳ chatbot hay trang kiểm tra nào. Nếu muốn hiểu, hãy đưa một mật khẩu giả có cùng cấu trúc (ví dụ giả định: tên khác, năm khác) và hỏi vì sao kiểu đó yếu. Bạn học được nguyên lý mà không để lộ thứ gì có giá trị.