Trình quản lý mật khẩu và passkey: tạo mật khẩu mạnh dễ dàng

Trình quản lý mật khẩu là ứng dụng tạo, lưu và tự điền một mật khẩu mạnh khác nhau cho từng tài khoản, nên bạn chỉ cần nhớ một mật khẩu duy nhất. Kết hợp với khóa truy cập (passkey), cho phép đăng nhập bằng khuôn mặt, vân tay hoặc khóa màn hình thay vì mật khẩu, nó loại bỏ rủi ro lớn nhất hằng ngày: dùng cùng một mật khẩu ở nhiều nơi.

Email, ngân hàng và mạng xã hội của bạn chủ yếu được bảo vệ bằng mật khẩu. Nếu một mật khẩu bị đánh cắp, tội phạm có thể đọc tin nhắn, đặt lại các tài khoản khác hoặc tiêu tiền của bạn. Khắc phục chuyện này mất ít thời gian hơn bạn nghĩ và không cần kỹ năng kỹ thuật.

Vì sao dùng chung mật khẩu mới là mối nguy thật sự

Đa số mọi người lo bị đoán mật khẩu. Vấn đề lớn hơn là dùng lại mật khẩu.

Khi một trang web bị tấn công, danh sách email và mật khẩu thường bị phát tán trên mạng. Kẻ tấn công dùng công cụ tự động thử chính những cặp đó trên rất nhiều trang khác, như email, ngân hàng và trang mua sắm. Kiểu tấn công này gọi là credential stuffing (nhồi thông tin đăng nhập).

Nếu mật khẩu của bạn bị lộ từ một shop online nhỏ và bạn cũng dùng nó cho email, kẻ tấn công giờ có thể vào email của bạn, rồi từ đó đặt lại gần như mọi tài khoản khác.

Vì vậy mỗi tài khoản cần một mật khẩu riêng, và vì không ai nhớ nổi hàng chục mật khẩu, trình quản lý mật khẩu sinh ra để làm việc đó.

Thế nào là mật khẩu mạnh hiện nay

Độ dài quan trọng hơn độ phức tạp. Một mật khẩu dài khó đoán hơn nhiều so với mật khẩu ngắn đầy ký tự đặc biệt.

• Dùng ít nhất 12 đến 16 ký tự, dài hơn cho các tài khoản quan trọng.
• Thử dùng cụm mật khẩu: bốn từ ngẫu nhiên trở lên, không liên quan đến nhau, như dong-song-nen-hat-tieu. Nó dài, dễ gõ và dễ nhớ.
• Tránh thông tin cá nhân như tên, ngày sinh hay số điện thoại.
• Tránh các kiểu quen thuộc như "Matkhau1!" hay thêm năm vào mật khẩu cũ.
• Không bao giờ dùng lại. Một mật khẩu mạnh dùng trên mười trang web chỉ an toàn bằng trang yếu nhất trong số đó.

Bạn chỉ cần nhớ vài mật khẩu: mã mở khóa điện thoại, mật khẩu email chính và mật khẩu chính của trình quản lý mật khẩu.

Trình quản lý mật khẩu hoạt động thế nào và bắt đầu ra sao

Trình quản lý mật khẩu giữ mật khẩu của bạn trong một kho được mã hóa. Kho được khóa bằng một mật khẩu chính, thường kèm vân tay hoặc khuôn mặt. Nó gợi ý mật khẩu ngẫu nhiên mới và tự điền mật khẩu đã lưu, nhưng chỉ trên đúng trang web thật mà nó đã lưu, nhờ vậy giúp bảo vệ bạn khỏi trang đăng nhập giả.

Chọn trình quản lý mật khẩu

• Trình quản lý có sẵn trên điện thoại hoặc trình duyệt. iPhone, Android, Windows, macOS và các trình duyệt lớn đều có sẵn công cụ tạo, lưu và đồng bộ mật khẩu. Đây là cách dễ nhất để bắt đầu.
• Trình quản lý mật khẩu độc lập uy tín. Loại này chạy trên nhiều nền tảng và trình duyệt, tiện nếu bạn dùng lẫn nhiều thiết bị. Chỉ cài từ App Store, Google Play hoặc trang web chính thức của nhà phát triển.

Thiết lập từng bước

1. Tạo một mật khẩu chính mạnh: một cụm mật khẩu dài bạn chưa từng dùng ở đâu.
2. Bật xác thực hai yếu tố cho tài khoản chứa mật khẩu của bạn. Hướng dẫn xác thực hai yếu tố giải thích cách làm.
3. Thiết lập tùy chọn khôi phục, như khóa khôi phục hoặc người liên hệ khôi phục, và cất ở nơi an toàn.
4. Để trình quản lý lưu mật khẩu khi bạn đăng nhập trong vài ngày tới.
5. Thay mật khẩu của các tài khoản quan trọng nhất trước (email, ngân hàng, nhà mạng, mạng xã hội) bằng tùy chọn "tạo mật khẩu" của trình quản lý. Mỗi tuần vài tài khoản là được.

Passkey là gì? Giải thích đơn giản

Vậy passkey là gì? Passkey (khóa truy cập) là cách đăng nhập mới thay thế hoàn toàn mật khẩu. Bạn xác nhận chính mình theo cách mở khóa điện thoại hay máy tính: bằng khuôn mặt, vân tay hoặc mã PIN.

Phía sau, thiết bị của bạn tạo một cặp khóa số. Trang web chỉ giữ phần công khai. Phần riêng tư được bảo vệ trên thiết bị hoặc trong trình quản lý mật khẩu và không bao giờ gửi đến trang web. Điều này có nghĩa:

• Không có gì để đánh cắp từ trang web. Một vụ rò rỉ không làm lộ mật khẩu nào có thể dùng lại.
• Chống lừa đảo phishing. Passkey chỉ hoạt động trên đúng trang web thật đã tạo ra nó, nên trang đăng nhập giả không thể lừa bạn đưa nó ra.
• Đồng bộ giữa các thiết bị. Passkey lưu trong trình quản lý mật khẩu có sẵn hoặc độc lập sẽ đồng bộ sang các thiết bị khác đăng nhập cùng tài khoản.

Để đăng nhập trên máy tính không có passkey, trang web có thể hiện một mã QR. Bạn quét bằng điện thoại và xác nhận; điện thoại phải ở ngay gần máy tính.

Cách chuyển một tài khoản sang passkey

1. Đăng nhập tài khoản như bình thường và mở phần cài đặt bảo mật hoặc đăng nhập.
2. Tìm tùy chọn như "Passkey", "Khóa truy cập" hoặc "Tạo passkey".
3. Xác nhận bằng khuôn mặt, vân tay hoặc khóa màn hình, và chọn nơi lưu.
4. Thử bằng cách đăng xuất rồi đăng nhập lại bằng passkey.
5. Một số dịch vụ vẫn giữ mật khẩu làm dự phòng, nên hãy đảm bảo mật khẩu đó vẫn mạnh và riêng biệt.

Không phải trang web nào cũng hỗ trợ passkey, nên hãy dùng passkey ở nơi có và dùng trình quản lý mật khẩu cho phần còn lại.

Kiểm tra mật khẩu bị lộ

Trình quản lý mật khẩu có sẵn trên iPhone, Android, các trình duyệt lớn và hầu hết trình quản lý độc lập đều có tính năng kiểm tra mật khẩu hoặc đề xuất bảo mật. Nó cảnh báo khi một mật khẩu đã lưu:

• đã xuất hiện trong một vụ rò rỉ dữ liệu đã biết,
• đang được dùng lại cho nhiều tài khoản, hoặc
• yếu hoặc dễ đoán.

Vài tháng một lần hãy mở mục này và xử lý các cảnh báo, bắt đầu từ những tài khoản quan trọng nhất.

Cần làm gì sau khi bị rò rỉ dữ liệu

Nếu một dịch vụ thông báo bị rò rỉ dữ liệu hoặc công cụ kiểm tra mật khẩu cảnh báo bạn, hãy làm theo thứ tự sau:

1. Đổi mật khẩu của tài khoản đó bằng một mật khẩu mới do trình quản lý tạo.
2. Đổi ở mọi nơi khác bạn đã dùng lại mật khẩu đó. Đây chính là chỗ việc dùng lại gây thiệt hại thật sự.
3. Bật xác thực hai yếu tố hoặc passkey cho tài khoản đó nếu chưa bật.
4. Kiểm tra tài khoản xem có thiết bị lạ, quy tắc chuyển tiếp email hoặc thông tin khôi phục bị thay đổi không.
5. Theo dõi sao kê ngân hàng nếu thông tin thanh toán có thể bị lộ, và liên hệ ngân hàng nếu thấy điều gì bất thường.
6. Đặc biệt cẩn thận với tin nhắn. Sau một vụ rò rỉ, tội phạm thường gửi email, SMS hoặc mã QR "cảnh báo bảo mật" giả. Hãy mở ứng dụng chính thức hoặc tự gõ địa chỉ thay vì bấm link, và xem bài viết về email lừa đảo chứa mã QR.

Danh sách kiểm tra nhanh

1. Mỗi tài khoản quan trọng có mật khẩu riêng.
2. Các mật khẩu chính là cụm mật khẩu dài, không phải từ ngắn phức tạp.
3. Bạn dùng trình quản lý mật khẩu có sẵn hoặc một trình quản lý độc lập uy tín.
4. Mật khẩu chính đủ mạnh và không dùng ở đâu khác.
5. Tùy chọn khôi phục của trình quản lý mật khẩu được cất ở nơi an toàn.
6. Xác thực hai yếu tố bảo vệ email và trình quản lý mật khẩu.
7. Passkey đã được bật cho các tài khoản hỗ trợ.
8. Vài tháng một lần bạn chạy kiểm tra mật khẩu.

FAQ

Lưu tất cả mật khẩu trong một trình quản lý mật khẩu có an toàn không?

Có, với hầu hết mọi người, cách này an toàn hơn nhiều so với dùng lại mật khẩu. Kho được mã hóa và khóa bằng mật khẩu chính, nên hãy bảo vệ mật khẩu chính thật kỹ và bật xác thực hai yếu tố.

Quên mật khẩu chính thì sao?

Tùy từng trình quản lý. Nhiều trình quản lý có khóa khôi phục hoặc người liên hệ khôi phục, vì thế bạn nên thiết lập chúng ngay từ ngày đầu.

Passkey có thay thế xác thực hai yếu tố không?

Bản thân passkey đã kết hợp hai yếu tố: thứ bạn có (thiết bị) và thứ thuộc về bạn hoặc bạn biết (vân tay, khuôn mặt hoặc mã PIN). Vì vậy nhiều dịch vụ coi đăng nhập bằng passkey là đủ mạnh.

Mất điện thoại chứa passkey thì sao?

Nếu passkey được đồng bộ qua trình quản lý mật khẩu, chúng sẽ quay lại khi bạn đăng nhập trên thiết bị mới. Bài viết mẹo bảo mật điện thoại giải thích những việc cần làm khác khi mất điện thoại.

Mật khẩu riêng biệt và passkey chặn được phần lớn các vụ chiếm tài khoản, vì vậy hãy thiết lập trình quản lý mật khẩu ngay tuần này, bắt đầu từ email. Và khi nhận được "cảnh báo bảo mật" kèm mã QR, hãy kiểm tra nó thực sự dẫn đến đâu bằng công cụ quét mã QR trực tuyến miễn phí của QR-TH trước khi mở.