9 quy tắc giúp mật khẩu của bạn an toàn

Liệu bạn có thể nhớ được bao nhiêu mật khẩu? Với sự phát triển của hàng loạt dịch vụ hiện nay, chúng ta có thể có tới hàng chục tài khoản tương ứng với rất nhiều mật khẩu, từ ngân hàng trực tuyến cho đến mạng xã hội hay tài khoản Gmail của bạn. Thách thức lớn nhất là phải tạo ra những mật khẩu đủ mạnh - vốn rất khó nhớ - nhưng lại không phạm phải các lỗi cơ bản như sử dụng chung cho nhiều tài khoản.

Mật khẩu yếu hoặc dùng chung một mật khẩu cho nhiều tài khoản có thể gây ra những hậu quả nghiêm trọng nếu thông tin của bạn bị lộ, ngay cả khi đó là mật khẩu mạnh. Ví dụ, các công ty đã báo cáo có tới 5.183 vụ vi phạm dữ liệu trong năm 2019 đã tiết lộ các chi tiết thông tin đăng nhập và địa chỉ nhà mà bất cứ ai sở hữu chúng cũng có thể sử dụng để lừa đảo hoặc đánh cắp danh tính, thông tin đăng nhập của bạn. Tệ hơn, kể từ năm 2017 tới nay, các tin tặc đã công bố 555 triệu mật khẩu bị đánh cắp trên các trang web đen mà bọn tội phạm mạng có thể sử dụng để truy cập trái phép tài khoản của bạn.

Bảo mật mật khẩu có thể không hoàn toàn ngăn chặn nguy cơ lộ dữ liệu của bạn, nhưng chúng có thể làm giảm các rủi ro nếu có. Dưới đây là 9 cách tạo và quản lý mật khẩu tốt nhất cũng như tìm hiểu xem thông tin của bạn đã bị đánh cắp hay chưa cùng một vài mẹo để tăng cường bảo mật cho tài khoản của bạn theo gợi ý của Cnet:

Mật khẩu mạnh cần có độ dài hơn 8 ký tự, khó đoán và chứa nhiều loại ký tự gồm cả chữ in hoa, số và ký hiệu đặc biệt. Nhưng chúng thường khó nhớ, đặc biệt là khi bạn sử dụng từng mật khẩu riêng cho từng tài khoản (vốn được khuyến cáo). Đây là lúc mà bạn cần sử dụng một ứng dụng quản lý mật khẩu chuyên nghiệp.

Hiện có nhiều ứng dụng quản lý mật khẩu đáng tin cậy như 1Password hoặc LastPass có thể tạo và lưu trữ các mật khẩu mạnh, dài và bảo mật cao cho bạn. Chúng hỗ trợ cả nền tảng máy tính và điện thoại. Các ứng dụng quản lý mật khẩu vẫn cần bạn nhớ mật khẩu của chính nó để bạn có thể truy cập và quản lý các mật khẩu khác mà nó lưu trữ. Do vậy, bạn cần sử dụng và ghi nhớ một mật khẩu đủ mạnh cho ứng dụng quản lý mật khẩu.

Hiện nay các trình duyệt phổ biến như Chrome, Firefox hay Edge đều tích hợp sẵn trình quản lý mật khẩu riêng, nhưng nhiều chuyên gia tỏ ra lo ngại về khả năng bảo mật của các trình quản lý mật khẩu tích hợp này và khuyên bạn nên sử dụng một ứng dụng quản lý mật khẩu chuyên nghiệp.

Tất nhiên, các trình quản lý mật khẩu (cùng mật khẩu chính của nó) cũng là một đích ngắm béo bở với giới tin tặc. Vào tháng 9 năm ngoái, LastPass đã phải sửa một lỗ hổng bảo mật có thể giúp tin tặc khai thác hàng triệu thông tin đăng nhập của khách hàng. May mắn thay công ty đã phát hiện sớm và công khai xử lý vấn đề cũng như nêu ra các bước thực hiện trong trường hợp bị hack.

Chúng tôi biết, khuyến nghị này đi ngược lại nhiều khuyến cáo về bảo vệ thông tin trực tuyến. Nhưng các ứng dụng quản lý mật khẩu không phải hữu hiệu mọi nơi mọi lúc và cũng không phù hợp với tất cả mọi người lẫn một số chuyên gia bảo mật hàng đầu. Chẳng hạn như Electronic Frontier Foundation, tổ chức này đã đề nghị bạn nên giữ thông tin đăng nhập của mình trên một cuốn sổ ghi chép hoặc một tờ giấy thay vì chỉ lưu trữ trên các ứng dụng kỹ thuật số.

Thoạt nghe có vẻ hơi lỗi thời khi bạn thay các tệp tin hoặc ứng dụng trên máy tính hay điện thoại bằng một tờ giấy thật, nhưng hãy tin rằng nó là một gợi ý đáng để tham khảo và thực hiện, bởi nếu ai đó có quyền truy cập vào máy tính hay các tài khoản trực tuyến của bạn, họ cũng có thể truy cập vào tệp tin chứa các thông tin nhạy cảm đó, nhất là các hacker chuyên nghiệp.

Tất nhiên, ai đó cũng có thể đột nhập vào nhà bạn và lấy đi những mẩu giấy chứa các thông tin nhạy cảm mà bạn ghi ra, nhưng thực tế dường như ít xảy ra hơn so với các tội phạm mạng. Tại nhà hoặc tại nơi làm việc, chúng tôi khuyên bạn nên giữ các tài liệu lưu trữ mật khẩu bằng giấy này tại những nơi an toàn và khó đoán, tối thiểu là ngăn bàn hoặc tủ có khóa và tránh xa những chỗ dễ nhìn thấy ngay trước mắt.

Nếu bạn đi du lịch thường xuyên, việc mang theo mật khẩu lưu trữ bằng giấy sẽ chứa nhiều rủi ro hơn so với bản sao trên máy tính hay điện thoại của chúng.

Các trình quản lý mật khẩu chuyên nghiệp như LastPass có thể giúp bạnghi nhớ thông tin của nhiều tài khoản Ảnh: CNET

Bạn không thể ngăn chặn hoàn toàn các rò rỉ thông tin nhạy cảm của mình, nhất là trong bối cảnh có rất nhiều vụ vi phạm và rò rỉ dữ liệu ở quy mô rộng, kết hợp với hàng loạt mã độc mọc lên như nấm hiện nay. May mắn thay, bạn có thể kiểm tra bất cứ lúc nào để tham khảo rằng liệu tài khoản của bạn có thể đã bị xâm phạm hay chưa.

Các trình giám sát Firefox Monitor của Mozilla hay Password Checkup của Google có thể giúp bạn biết địa chỉ email và mật khẩu của bạn đã bị xâm phạm do vi phạm dữ liệu ở diện rộng hay chưa để bạn có thể ứng phó, chúng cũng gợi ý cho bạn các mật khẩu nên hoặc cần phải thay đổi để giảm thiểu nguy cơ bị lộ. Ngoài ra, bạn có thể kiểm tra qua trang Have I Been Pwned tại địa chỉ haveibeenpwned.com để xem liệu email và mật khẩu của bạn có bị lộ trong các vụ rò rỉ dữ liệu quy mô lớn hay không. Nếu phát hiện tài khoản đã bị lộ, hãy thay đổi mật khẩu ngay lập tức.

Mục tiêu chính là tạo ra một mật khẩu mà người khác sẽ không biết hoặc khó có thể dễ dàng đoán ra. Nên bạn cần tránh xa các từ phổ biến như "mật khẩu", “password”, hoặc các chuỗi ký tự dễ đoán như "qwerty" hay "mothaiba". Cũng đừng dại dột sử dụng các mật khẩu với các dãy số rất dễ “ăn may” như 1111, 12345...

Ngoài ra, không nên dùng các biệt danh, tên gọi thân mật của bạn, hoặc ngày sinh, ngày kỷ niệm, địa chỉ nhà hay bất cứ thông tin công khai nào liên quan đến bạn để làm mật khẩu, bởi chúng dễ bị lộ trên mạng xã hội hoặc từ sổ danh bạ của công ty hay đơn giản là qua các cuộc tán gẫu mà bạn vô thức chia sẻ với người khác.

Về lý thuyết, 8 ký tự là khởi điểm tốt cho mật khẩu của bạn, nhưng nếu có thể sử dụng mật khẩu nhiều ký tự hơn thì sẽ tốt hơn. Electronic Frontier Foundation và chuyên gia bảo mật Brian Kerbs đều khuyên sử dụng một mật khẩu tạo ra bởi ít nhất ba cụm từ không liên kết với nhau và khó nhớ, đó là lý do tại sao bạn có thể sẽ phải cân nhắc sử dụng một ứng dụng quản lý mật khẩu.

Sẽ không thừa khi nhắc nhở bạn một lần nữa rằng đừng sử dụng lại mật khẩu cho các tài khoản khác nhau và đó là một ý tưởng tệ hại. Bởi nếu ai đó biết được mật khẩu đó, họ gần như có chìa khóa vạn năng cho những tài khoản khác dùng chung mật khẩu đó của bạn.

Điều tương tự cũng xảy ra đối với việc sửa đổi mật khẩu gốc thay đổi khi thêm tiền tố hoặc hậu tố. Ví dụ: PasswordOne, PasswordTwo, chúng dễ đoán và khi bị lộ một mật khẩu thì các mật khẩu còn lại không còn an toàn.

Bằng cách dùng một mật khẩu riêng biệt cho từng tài khoản, bạn sẽ không phải quá lo lắng khi tin tặc xâm nhập vào một tài khoản nào đó vì chúng vẫn chưa có được các thông tin tài khoản khác, trừ khi đó là tài khoản chính của ứng dụng quản lý mật khẩu.

Tin tặc có thể dễ dàng sử dụng các mật khẩu bị lộ trước đó để dùng làm thông tin xác thực nhằm chiếm quyền truy cập tài khoản của bạn. Do vậy, bạn cần kiểm tra tài khoản đã bị xâm nhập chưa như đã đề cập ở bước 3.

Trong nhiều năm, thay đổi mật khẩu của bạn cứ sau 60 hoặc 90 ngày là một cách làm được chấp nhận và khuyến cáo, bởi người ta tin rằng đó là khoảng thời gian mà tin tặc có thể bẻ khóa mật khẩu của bạn.

Nhưng hiện Microsoft khuyên rằng trừ khi bạn nghi ngờ mật khẩu của mình đã bị lộ, còn không thì bạn không cần thay đổi chúng theo định kỳ. Nguyên nhân là nhiều người trong số chúng ta do bị buộc phải thay đổi mật khẩu vài tháng một lần, nên sẽ rơi vào thói quen xấu là tạo các mật khẩu dễ nhớ hoặc ghi chúng ra giấy rồi... dán lên màn hình.

Nên sử dụng các phương thức xác thực hai bước qua ứng dụng như Google Authenticator Ảnh: CNET

Nếu kẻ trộm đánh cắp mật khẩu của bạn, bạn vẫn có thể ngăn chúng truy cập vào tài khoản của bạn bằng phương thức xác thực hai yếu tố (còn gọi là xác minh hai bước hoặc 2FA), một biện pháp bảo vệ an toàn yêu cầu bạn nhập một thông tin thứ hai mà chỉ bạn có (thường là mã một lần) trước khi ứng dụng hoặc dịch vụ cho phép đăng nhập tài khoản của bạn.

Bằng cách này, ngay cả khi tin tặc phát hiện ra mật khẩu của bạn, nếu chúng không có thiết bị đáng tin cậy của bạn (như điện thoại của bạn) và mã xác minh 2FA, chúng sẽ không thể truy cập vào tài khoản của bạn.

Dù việc nhận mã xác thực hai bước qua tin nhắn SMS hoặc cuộc gọi tự động trên điện thoại là phổ biến và tiện dụng, nhưng cách thức này dễ dàng bị tin tặc qua mặt bằng cách đánh cắp định danh số điện thoại của bạn thông qua các thủ thuật hoán đổi SIM trái phép (SIM swap fraud), sau đó chặn mã xác minh của bạn và đánh cắp chúng.

Có một cách an toàn hơn nhiều để nhận mã xác minh là bạn tự tạo chúng bằng một ứng dụng xác thực tự động như Authy, Google Authenticator hoặc Microsoft Authenticator. Về cơ bản, các ứng dụng này sẽ tạo ra các mã xác thực duy nhất tương ứng với tài khoản của bạn và thay đổi chúng dựa theo thời gian. Khi thiết lập xong, bạn có thể đăng ký thiết bị hoặc trình duyệt với tài khoản để không cần phải xác minh lại mỗi khi đăng nhập.

Khi nói đến bảo mật mật khẩu, chủ động là sự bảo vệ tốt nhất của bạn. Sự chủ động này bao gồm việc tìm hiểu xem liệu email và mật khẩu của bạn có bị lộ trên các trang web đen hay không? Nếu phát hiện dữ liệu nhạy cảm của mình bị lộ, hãy thay đổi chúng ngay lập tức.