Cách Tạo Mật Khẩu Vừa Mạnh Vừa Dễ Nhớ
Mật khẩu bạn nhớ được và mật khẩu thực sự an toàn không nhất thiết phải là hai thứ khác nhau.
Phần lớn lời khuyên về mật khẩu đang tối ưu sai vấn đề. Người ta bảo bạn thêm một chữ hoa, một con số, một ký hiệu đặc biệt rồi gọi đó là "an toàn" — và đó là lý do vì sao hàng triệu tài khoản trên thế giới được bảo vệ bởi những mật khẩu kiểu "Hè2024!". Nhưng mạnh và dễ nhớ không phải hai thái cực đối lập. Bạn chỉ cần một phương pháp coi cả hai là cùng một bài toán.
Vì sao mật khẩu "phức tạp" vẫn cứ thất bại
Một mật khẩu như Tr0ub4dor&3 trông có vẻ hầm hố, nhưng nó thất bại theo cách rất quen thuộc: chẳng ai nhớ nổi trong đầu. Thế là nó được ghi ra giấy nhớ dán lên màn hình, lưu trong trình duyệt của một chiếc máy tính dùng chung mà bạn quên mất là mình vẫn đang đăng nhập, hoặc dùng lại cho cả chục tài khoản khác vì mỗi lần phải nghĩ ra một mật khẩu "phức tạp" mới là một cực hình. Bản thân mật khẩu có thể chống được kiểu dò ngẫu nhiên, nhưng thói quen mà nó ép bạn phải có thì không.
Còn có một vấn đề kỹ thuật nữa. Đổi chữ cái thành ký hiệu — a thành @, o thành 0 — nghe có vẻ tinh vi, nhưng đó chỉ là một khuôn mẫu, và các công cụ dò mật khẩu của kẻ tấn công đã "thuộc lòng" khuôn mẫu này từ lâu. Một mật khẩu ngắn được "trang điểm" bằng vài ký hiệu thay thế thường chỉ mạnh hơn không đáng kể so với chính nó viết bằng chữ thường. Quy tắc phức tạp hóa vốn được đặt ra để mật khẩu khó đoán hơn; trên thực tế nó chủ yếu khiến mật khẩu khó gõ đúng hơn và dễ quên hơn.
Phương pháp cụm từ mật khẩu (và khi nào nên dùng chuỗi ký tự ngẫu nhiên)
Cách khắc phục đã được kiểm chứng lại đơn giản đến bất ngờ: ghép vài từ ngẫu nhiên, không liên quan đến nhau, thành một chuỗi. Một cụm như thuyền-chanh-vali-núi dài hơn hầu hết mật khẩu bạn từng tự gõ tay, dễ đọc thành tiếng, dễ nhớ lại sau một tuần, và — vì các từ không liên quan và được chọn ngẫu nhiên thay vì lấy từ một câu quen thuộc — thực sự khó đoán. Bốn hoặc năm từ là con số hợp lý cho bất cứ thứ gì bạn sẽ gõ bằng trí nhớ thường xuyên, như mã khóa thiết bị hay mật khẩu chính của trình quản lý mật khẩu.
Nhưng cụm từ mật khẩu không phải công cụ phù hợp cho mọi trường hợp. Rất nhiều tài khoản không cần phải nhớ mật khẩu chút nào — chúng chỉ cần mạnh và duy nhất, rồi được lưu ở đâu đó bạn có thể lấy lại khi cần, ví dụ như một trình quản lý mật khẩu. Với những tài khoản đó, một chuỗi ký tự hoàn toàn ngẫu nhiên gồm chữ hoa, chữ thường, số và ký hiệu là lựa chọn tốt hơn, vì bạn đang tối ưu thuần túy cho tính khó đoán mà không phải trả "thuế" cho việc ghi nhớ. Gõ tay mật khẩu đó không phải là mục tiêu; tạo ra nó một lần rồi không bao giờ phải nhìn lại mới là mục tiêu. Đó chính xác là trường hợp công cụ Tạo Mật Khẩu của chúng tôi được sinh ra để giải quyết — chọn độ dài, chọn loại ký tự muốn dùng, và nhận về một kết quả không mang bất kỳ khuôn mẫu nào mà con người thường vô tình lặp lại khi được yêu cầu "cứ nghĩ đại ra một cái gì đó".
"Entropy" thực ra nghĩa là gì, nói theo cách dễ hiểu
Entropy chỉ đơn giản là cách đo xem cần bao nhiêu lần đoán để tình cờ trúng mật khẩu của bạn. Mỗi ký tự thêm vào sẽ nhân lên số lượng tổ hợp có thể, đó là lý do độ dài quan trọng hơn nhiều so với hầu hết mọi người nghĩ. Một cụm bốn từ được chọn từ một bộ từ vựng đủ lớn có số tổ hợp gần tương đương một chuỗi ngẫu nhiên dài hơn chục ký tự — vì bạn không chọn trong 26 chữ cái ở mỗi vị trí, mà chọn trong hàng nghìn từ, rồi chồng nhiều lựa chọn đó lên nhau.
Đây cũng là lý do vì sao các quy tắc bắt buộc phải "phức tạp" có thể gây hiểu lầm. Thêm một ký hiệu bắt buộc vào một mật khẩu ngắn hầu như không thay đổi được gì nhiều, vì bạn chỉ mở rộng tập ký tự tại đúng một vị trí. Thêm bốn ký tự ngẫu nhiên nữa — hay một từ ngẫu nhiên nữa — thường hiệu quả hơn rất nhiều, vì nó mở rộng không gian khả năng ở mọi vị trí phía sau. Nếu chỉ nhớ một điều từ bài này, hãy nhớ: khi phân vân, hãy làm nó dài hơn, đừng làm nó rắc rối hơn.
Chuẩn mực hiện đại, ít tốn công sức
Các khuyến nghị về bảo mật đã thay đổi đáng kể trong vài năm qua, và thay đổi theo hướng bớt việc vặt đi, chứ không phải thêm việc. Việc bắt buộc đổi mật khẩu mỗi 90 ngày đang dần biến mất, vì nó chủ yếu khiến người dùng chỉnh sửa nhỏ, dễ đoán trên mật khẩu cũ thay vì thực sự đổi sang một mật khẩu mới. Quy tắc bắt buộc có ký hiệu và số cũng đang được nới lỏng vì lý do tương tự — nó đẩy người dùng về phía những khuôn mẫu quen thuộc thay vì sự ngẫu nhiên thật sự. Thay vào đó là một chuẩn mực đơn giản hơn nhiều: làm cho nó dài, làm cho nó chỉ dùng riêng cho tài khoản đó, và chỉ đổi khi có lý do thực sự để nghi ngờ nó đã bị lộ. (Chúng tôi phân tích sâu hơn nên bỏ quy tắc cũ nào trong bài Quy Tắc Mật Khẩu Thực Sự Quan Trọng, nếu bạn muốn đọc đầy đủ.)
Trên thực tế, điều đó có nghĩa là dùng cụm từ mật khẩu cho vài mật khẩu bạn cần gõ bằng trí nhớ, dùng chuỗi ngẫu nhiên được tạo sẵn cho mọi thứ còn lại, và dùng một trình quản lý mật khẩu để lưu những mật khẩu bạn không cần nhớ. Sự kết hợp đó bao phủ gần như mọi tài khoản bạn có mà không bắt bạn phải nhớ quá bốn, năm thứ.
Khi mật khẩu đã thực sự an toàn
Một mật khẩu đăng nhập mạnh chỉ là một mảnh ghép trong việc giữ tài khoản và thông tin của bạn nằm trong tầm kiểm soát. Nếu bạn từng đưa cho khách một mẩu giấy ghi nguệch ngoạc mật khẩu WiFi, công cụ Tạo Mã QR WiFi thay thế điều đó bằng một mã để khách quét và kết nối ngay lập tức, không cần gõ chữ và không còn tờ giấy ghi mật khẩu bị bỏ quên đâu đó. Nếu bạn hay phải đọc số điện thoại và email của mình cho từng người ở mỗi sự kiện, công cụ Tạo Mã QR vCard chia sẻ thông tin liên hệ của bạn gọn gàng, không có rủi ro gõ nhầm một chữ số khiến ai đó lưu nhầm số điện thoại. Và với bất cứ thứ gì bạn muốn mọi người luôn tìm được về lâu dài — hướng dẫn khôi phục tài khoản, thông tin liên hệ hỗ trợ, một liên kết tham khảo có thể sẽ đổi chỗ trong tương lai — công cụ Tạo Mã QR Vĩnh Viễn vẫn hoạt động ngay cả khi điểm đến thay đổi, nên bản thân mã sẽ không bao giờ "hết hạn sử dụng".
Tất cả điều này không đòi hỏi thói quen hoàn toàn mới, chỉ là những thói quen tốt hơn một chút. Chọn một cụm từ mật khẩu cho thứ bạn cần nhớ, để công cụ tạo phần còn lại, và đừng dùng lại mãi một mật khẩu cũ mòn chỉ vì lười.
Câu hỏi thường gặp
- Cụm từ mật khẩu có thực sự an toàn hơn một chuỗi ký tự ngẫu nhiên không?
- Với đa số mọi người thì có — vì bạn sẽ thực sự dùng nó. Một cụm bốn, năm từ có thể có độ khó đoán còn cao hơn một chuỗi ngắn bị "biến dạng" như Tr0ub4dor!, và bạn sẽ gõ đúng ngay từ lần đầu thay vì cố nhớ xem sáu tháng trước mình đã đổi chữ nào thành ký hiệu nào.
- Mật khẩu của tôi nên dài bao nhiêu?
- Độ dài là yếu tố quan trọng nhất quyết định độ mạnh của mật khẩu. Hãy nhắm tới ít nhất 12-16 ký tự cho các tài khoản thông thường, và 20 ký tự trở lên cho những thứ nhạy cảm, như email hay mật khẩu chính của trình quản lý mật khẩu. Một mật khẩu dài hơn gần như luôn thắng một mật khẩu ngắn "phức tạp".
- Tôi có cần đổi mật khẩu mỗi 90 ngày không?
- Không — khuyến nghị hiện tại từ giới bảo mật đã không còn ủng hộ việc bắt buộc đổi mật khẩu định kỳ, vì nó chủ yếu khiến người dùng chọn những biến thể nhỏ, dễ đoán (MatKhau1, MatKhau2). Một mật khẩu dài và duy nhất chỉ cần đổi khi nó thực sự đã bị lộ trong một vụ rò rỉ dữ liệu.
- Cách dễ nhất để có một mật khẩu thực sự ngẫu nhiên khi cụm từ mật khẩu không phù hợp là gì?
- Hãy dùng một công cụ được thiết kế riêng cho việc đó thay vì tự gõ ra — công cụ Tạo Mật Khẩu của chúng tôi dùng bộ tạo số ngẫu nhiên bảo mật của trình duyệt, nên kết quả khó đoán theo cách mà một chuỗi do con người tự nghĩ ra không bao giờ đạt được.