Trình quản lý mật khẩu là một "két" được mã hoá, nơi lưu mọi mật khẩu của bạn và tự điền chúng khi đăng nhập; bạn chỉ phải nhớ một mật khẩu chính để mở két. Nó giải quyết vấn đề lớn nhất của mật khẩu là dùng lại: vì không phải nhớ, bạn có thể để mỗi tài khoản một chuỗi dài ngẫu nhiên khác nhau.
Câu hỏi "có an toàn không" có câu trả lời ngắn: với đa số người dùng, an toàn hơn hẳn cách đang làm (một mật khẩu cho mọi nơi, hoặc ghi chú trong điện thoại). Rủi ro có thật, nhưng nằm ở vài điểm cụ thể mà bạn kiểm soát được: mật khẩu chính, lớp xác thực thứ hai cho két, và đường lui khi quên.
Trình quản lý mật khẩu làm việc thế nào
Khi bạn lưu một mật khẩu, trình quản lý mã hoá nó ngay trên thiết bị của bạn bằng một khoá sinh ra từ mật khẩu chính. Ở các sản phẩm theo mô hình "không biết gì" (zero-knowledge), nhà cung cấp chỉ giữ bản đã mã hoá; họ không có mật khẩu chính của bạn nên không đọc được nội dung két. Nếu máy chủ của họ bị xâm nhập, kẻ tấn công lấy được một khối dữ liệu mã hoá, và sức chịu đựng của khối đó phụ thuộc gần như hoàn toàn vào độ mạnh mật khẩu chính của bạn. Mỗi sản phẩm mô tả mô hình mã hoá khác nhau; hãy đọc trang bảo mật của sản phẩm bạn chọn thay vì tin quảng cáo.
Tính năng ít được nhắc nhưng giá trị nhất là tự điền theo địa chỉ trang. Trình quản lý chỉ đề nghị điền mật khẩu Facebook khi bạn đang ở đúng tên miền của Facebook. Nếu bạn bị dụ vào một trang giả có giao diện giống hệt nhưng tên miền khác một chữ, trình quản lý sẽ im lặng. Sự im lặng đó là một tín hiệu cảnh báo mà mắt người thường bỏ qua, nhất là khi tin nhắn dẫn tới trang giả được viết khéo.
Ngoài mật khẩu, két còn chứa được mã khôi phục, ghi chú bảo mật, thông tin thẻ, mã dự phòng của xác thực hai lớp. Nhiều trình quản lý còn báo cho bạn mật khẩu nào đang bị dùng lại, mật khẩu nào yếu, mật khẩu nào xuất hiện trong danh sách rò rỉ. Đó là bảng việc cần làm mà bạn không thể tự lập bằng trí nhớ.
Ba loại trình quản lý mật khẩu phổ biến
Không cần chọn sản phẩm "tốt nhất"; cần chọn loại hợp với cách bạn dùng thiết bị. Tính năng từng sản phẩm thay đổi theo phiên bản, nên bảng dưới chỉ so sánh theo loại.
| Loại | Ưu điểm | Hạn chế | Hợp với ai |
|---|---|---|---|
| Có sẵn trong trình duyệt hoặc hệ điều hành (tài khoản Google, Apple, Microsoft) | Miễn phí, đã cài sẵn, đồng bộ theo tài khoản | Khó dùng chéo hệ (iPhone với máy tính Windows chẳng hạn); an toàn phụ thuộc vào tài khoản gốc | Người dùng một hệ sinh thái, muốn bắt đầu ngay |
| Ứng dụng độc lập có đồng bộ đám mây | Chạy trên mọi hệ, chia sẻ được trong gia đình, có báo cáo sức khoẻ mật khẩu | Có bản trả phí; thêm một nhà cung cấp phải tin | Gia đình dùng lẫn nhiều loại máy, người có nhiều tài khoản |
| Ứng dụng lưu cục bộ, không đồng bộ | Dữ liệu không rời máy của bạn | Tự lo sao lưu; mất máy mà chưa sao lưu là mất hết | Người am hiểu kỹ thuật, chấp nhận tự quản |
Với người mới, loại có sẵn là bước đầu tốt vì không phải cài gì. Điều kiện là tài khoản gốc (Google, Apple, Microsoft) phải có mật khẩu riêng và đã bật xác thực hai lớp, vì giờ đây nó giữ chìa khoá của mọi thứ. Khi bạn bắt đầu dùng điện thoại một hãng và máy tính một hãng khác, hoặc cần chia sẻ trong gia đình, lúc đó mới cân nhắc ứng dụng độc lập.
Đừng chọn theo quảng cáo trên mạng xã hội, cũng đừng tải ứng dụng trên kho ứng dụng chỉ vì tên nghe giống. Kiểm tên nhà phát triển, số năm hoạt động, và trang chính thức của họ.
Bỏ hết trứng vào một giỏ: rủi ro thật và cách cân
Rủi ro một: mật khẩu chính bị lộ. Nếu ai đó có mật khẩu chính và vượt được lớp xác thực thứ hai, họ có tất cả. Vì vậy mật khẩu chính phải là cụm mật khẩu dài, không dùng ở bất cứ đâu khác, và két phải bật xác thực hai lớp. Hai điều kiện này cùng lúc khiến kịch bản trên rất khó xảy ra.
Rủi ro hai: nhà cung cấp bị tấn công. Đã có những vụ nhà cung cấp trình quản lý mật khẩu bị xâm nhập và mất dữ liệu két đã mã hoá. Bài học từ các vụ đó là: két mã hoá với mật khẩu chính mạnh vẫn đứng vững lâu, còn két có mật khẩu chính ngắn thì gặp nguy. Một số trường thông tin như địa chỉ trang có thể không được mã hoá ở một số sản phẩm; hãy kiểm tài liệu của sản phẩm.
Rủi ro ba: điện thoại bị cài mã độc. Nếu thiết bị đã bị chiếm quyền, mã độc có thể đọc những gì bạn mở trên màn hình, dù bạn dùng trình quản lý hay không. Trình quản lý không bảo vệ được thiết bị đã nhiễm; phần đó thuộc về việc cập nhật hệ điều hành và kiểm soát quyền ứng dụng.
So với phương án thay thế. Cái giỏ duy nhất còn lại của người không dùng trình quản lý thường là trí nhớ, dẫn tới dùng lại mật khẩu. Khi một trang nhỏ bị lộ, mọi tài khoản cùng mật khẩu bị mở. Rủi ro đó xảy ra thường xuyên hơn nhiều so với việc một két mã hoá bị phá.
Bắt đầu dùng trong một buổi tối
Không cần chuyển hết mọi tài khoản trong một lần. Mục tiêu của buổi tối đầu tiên là dựng két cho chắc và đưa vào năm tài khoản quan trọng nhất.
- Chọn loại trình quản lý theo bảng phía trên. Nếu chọn ứng dụng độc lập, tải từ kho ứng dụng chính thức và kiểm tên nhà phát triển.
- Tạo mật khẩu chính là cụm năm từ chọn ngẫu nhiên. Gõ thử vài lần trước khi xác nhận.
- Bật ngay xác thực hai lớp cho két hoặc cho tài khoản gốc (nếu dùng loại có sẵn trong trình duyệt). Lưu mã khôi phục hoặc "bộ khẩn cấp" mà sản phẩm cung cấp.
- In hoặc chép tay mã khôi phục, cất cùng giấy tờ quan trọng trong nhà. Không chụp ảnh, không lưu ngay trong chính két.
- Đưa vào năm tài khoản đầu tiên: email chính, tài khoản gốc của điện thoại, mạng xã hội bạn dùng nhiều nhất, ví điện tử, tài khoản công việc. Với từng tài khoản, đăng nhập, đổi sang mật khẩu do trình quản lý tạo, lưu lại.
- Cài trình quản lý trên cả điện thoại và máy tính, thử đăng nhập một tài khoản bằng tính năng tự điền để chắc nó hoạt động.
- Những ngày sau, mỗi khi đăng nhập một dịch vụ nào đó, đổi mật khẩu và lưu vào két. Sau vài tuần, phần lớn tài khoản đã được chuyển mà không tốn một buổi riêng.
Nếu trình duyệt đang lưu sẵn nhiều mật khẩu cũ, đa số trình quản lý có tính năng nhập từ trình duyệt. Sau khi nhập và kiểm tra đủ, xoá bản lưu trong trình duyệt để không còn hai nơi giữ cùng một thứ. Các mật khẩu cũ này nhiều khả năng đang dùng lại; nhập vào xong, hãy dùng báo cáo sức khoẻ mật khẩu để đổi dần.
Mật khẩu chính và đường lui khi quên
Quên mật khẩu chính là nỗi lo thật. Với các sản phẩm không biết gì về mật khẩu của bạn, nhà cung cấp thường không thể lấy lại két giúp bạn. Đây là cái giá của việc họ không đọc được dữ liệu. Vì vậy trước khi đưa tài khoản quan trọng vào, hãy chắc chắn bạn đã có đường lui: mã khôi phục, bộ khẩn cấp, hoặc phương thức khôi phục mà sản phẩm cho phép (một số sản phẩm cho đặt người liên hệ khẩn cấp). Mỗi sản phẩm có cách khác nhau, hãy đọc kỹ phần khôi phục của sản phẩm bạn chọn.
Một cách làm đơn giản cho gia đình: chép mật khẩu chính và mã khôi phục lên một tờ giấy, cho vào phong bì dán kín, cất trong tủ cùng sổ đỏ hoặc giấy tờ quan trọng. Người thân tin cậy biết phong bì ở đâu, nhưng không mở trừ khi cần. Cách này cũng giải quyết một vấn đề ít ai nghĩ tới: khi bạn ốm nặng hoặc gặp chuyện, gia đình vẫn vào được những tài khoản cần thiết.
Còn một điều nữa: đừng đổi mật khẩu chính quá thường xuyên. Mỗi lần đổi là một lần có nguy cơ quên. Chỉ đổi khi có lý do, như nghi bị lộ hoặc từng gõ nó trước mặt người khác.
Chia sẻ mật khẩu trong gia đình đúng cách
Gia đình nào cũng có tài khoản dùng chung: Wi-Fi nhà, tài khoản xem phim, ứng dụng điện nước, cổng thông tin trường của con. Thay vì nhắn mật khẩu qua nhóm chat, có thể làm như sau.
- Dùng tính năng thư mục chia sẻ hoặc gói gia đình của trình quản lý, nếu có. Mỗi người có két riêng, chỉ những mục được chọn mới dùng chung.
- Tách rõ phần riêng và phần chung. Email cá nhân, ngân hàng, mạng xã hội của từng người không nằm trong thư mục chung.
- Với cha mẹ lớn tuổi không quen dùng ứng dụng, có thể giữ giúp mật khẩu của các tài khoản ít dùng, nhưng tài khoản ngân hàng và ví điện tử của cha mẹ nên để cha mẹ tự nắm, kèm hướng dẫn cụ thể.
- Khi một người không còn nên có quyền vào tài khoản chung (con đi du học muốn tách, người giúp việc nghỉ), gỡ khỏi thư mục chia sẻ và đổi mật khẩu các mục đó.
- Không chia sẻ mã xác thực hai lớp qua tin nhắn, kể cả trong gia đình. Ai cần đăng nhập thì nhờ chủ tài khoản đọc mã trực tiếp.
Với cửa hàng hoặc văn phòng nhỏ, việc dùng chung tài khoản còn kéo theo chuyện phân quyền và nhân viên nghỉ việc. Phần đó phức tạp hơn và được bàn riêng trong mục Bảo mật cho doanh nghiệp nhỏ.
Dấu hiệu đang dùng sai công cụ
Vì trình quản lý mật khẩu giữ thứ quý nhất của bạn, nó cũng là thứ kẻ xấu muốn giả mạo. Cẩn thận khi gặp các dấu hiệu sau.
- Ứng dụng hoặc tiện ích trình duyệt có tên gần giống sản phẩm quen thuộc nhưng nhà phát triển khác, ít lượt tải, nhiều đánh giá giống nhau.
- Ứng dụng đòi quyền không liên quan: đọc tin nhắn SMS, quyền trợ năng (accessibility) trên Android, quyền hiển thị đè lên ứng dụng khác.
- Được quảng cáo qua tin nhắn, cuộc gọi hoặc nhóm chat, kèm lời mời "dùng thử miễn phí, chỉ cần nhập mật khẩu ngân hàng để đồng bộ".
- Sản phẩm không công bố cách mã hoá, không có trang bảo mật, không có lịch sử cập nhật.
- Một "trình quản lý" yêu cầu bạn gửi mật khẩu chính qua email hoặc nhập vào trang web bên ngoài để "kích hoạt".
Nguyên tắc: không có dịch vụ đàng hoàng nào cần bạn gửi mật khẩu chính cho họ. Mật khẩu chính chỉ được gõ vào chính ứng dụng hoặc tiện ích bạn tự cài từ kho chính thức, và chỉ trên thiết bị của bạn.
Câu hỏi thường gặp
Để trình duyệt nhớ mật khẩu có an toàn bằng ứng dụng riêng không?
Với người dùng phổ thông, trình quản lý tích hợp trong trình duyệt hoặc hệ điều hành đã đủ an toàn nếu tài khoản gốc có mật khẩu mạnh và xác thực hai lớp. Ứng dụng riêng có lợi thế khi dùng nhiều hệ khác nhau hoặc cần chia sẻ trong gia đình. Điều không an toàn là để trình duyệt nhớ mật khẩu trên máy tính dùng chung.
Trình quản lý mật khẩu bị tấn công thì mình có mất hết không?
Nếu sản phẩm mã hoá két trên thiết bị và bạn dùng mật khẩu chính mạnh, kẻ tấn công lấy được dữ liệu từ máy chủ vẫn rất khó giải mã. Tuy vậy khi có thông báo sự cố từ nhà cung cấp, nên đổi mật khẩu chính và đổi dần mật khẩu của các tài khoản quan trọng nhất trong két để chắc chắn.
Mất điện thoại thì có mở được két mật khẩu không?
Với loại có đồng bộ, bạn đăng nhập lại trên thiết bị mới bằng mật khẩu chính và lớp xác thực thứ hai. Vì vậy lớp xác thực thứ hai không nên chỉ nằm trên chính chiếc điện thoại đó; hãy giữ mã khôi phục dạng giấy, hoặc có thêm một thiết bị đã đăng nhập sẵn như máy tính ở nhà.
Có nên lưu mã xác thực hai lớp trong cùng trình quản lý mật khẩu không?
Một số trình quản lý tạo được mã xác thực hai lớp. Tiện, nhưng gom cả hai lớp vào một chỗ làm giảm ý nghĩa của "hai lớp". Với email chính và tài khoản tài chính, nên để mã xác thực ở một ứng dụng riêng hoặc khoá bảo mật. Với tài khoản ít quan trọng, gom chung để đổi lấy sự tiện là lựa chọn chấp nhận được.
Người lớn tuổi có dùng được trình quản lý mật khẩu không?
Được, nếu chọn loại có sẵn trên điện thoại và để tính năng tự điền làm việc. Người lớn tuổi thường chỉ cần nhớ một mật khẩu mở máy và dùng sinh trắc học để xác nhận. Người thân nên ngồi cùng cài đặt lần đầu, lưu mã khôi phục giấy, và tránh dạy cha mẹ quá nhiều tính năng một lúc.
Chuyển từ trình quản lý này sang trình quản lý khác thế nào?
Phần lớn sản phẩm cho xuất dữ liệu ra tệp và nhập từ tệp của sản phẩm khác. Tệp xuất ra thường là văn bản chưa mã hoá, nên làm việc này trên máy của bạn, nhập xong thì xoá hẳn tệp, kể cả trong thùng rác, và không gửi tệp qua email hay ứng dụng nhắn tin.