Để bảo vệ cá nhân, có một quy tắc cũ: một sợi dây xích chỉ mạnh bằng mắt xích yếu nhất của nó. Trong bảo mật số, một mắt xích yếu thường là mật khẩu, cụ thể là mật khẩu yêu thích mà bạn sử dụng ở năm nơi khác nhau. Hôm nay, tôi sẽ chỉ cho bạn cách giải quyết vấn đề đó một cách hợp lý và tốn ít công sức nhất.
Tại sao mật khẩu được sử dụng lại là một rủi ro thầm lặng
Khi mật khẩu bị rò rỉ từ một dịch vụ, kẻ tấn công sẽ tự động thử mật khẩu đó trên hàng trăm dịch vụ khác: email, ngân hàng, mạng xã hội. Điều này được gọi là nhồi thông tin xác thực và nó chỉ hoạt động vì một thói quen của con người: sử dụng lại mật khẩu. Khi cùng một mật khẩu được dùng ở nhiều nơi, một vụ rò rỉ tại dịch vụ ít quan trọng cũng có thể tạo cơ hội đăng nhập vào email hoặc tài khoản khác. Vì vậy, mỗi tài khoản cần một mật khẩu riêng và các tài khoản quan trọng cần thêm xác thực đa yếu tố.
Có một cách công khai và đáng tin cậy để tự kiểm tra điều này: haveibeenpwned.com. Bạn nhập địa chỉ email của mình và nó sẽ hiển thị cho bạn những vi phạm được biết đến công khai mà nó đã xuất hiện. Tôi giới thiệu nó cho mọi người đang đọc bài viết này. Không có gì lạ khi tìm thấy chính mình ở đó.
Cách một trình quản lý mật khẩu an toàn hoạt động
Nguyên tắc là dùng một mật khẩu chính mạnh để mở kho đã mã hóa, còn mỗi dịch vụ có một mật khẩu dài và riêng. Kiến trúc cụ thể khác nhau giữa các sản phẩm; trước khi chọn, hãy đọc tài liệu về mã hóa đầu cuối, nơi tạo và lưu khóa, dữ liệu nào không được mã hóa, cách khôi phục tài khoản và điều gì xảy ra nếu quên mật khẩu chính.
Nên chọn trình quản lý nào
Không có một trình quản lý mật khẩu tốt nhất cho mọi người. Bitwarden công bố tài liệu kiến trúc và mã nguồn của ứng dụng; 1Password công bố các đánh giá bảo mật độc lập; Proton Pass công bố mã nguồn và kết quả kiểm toán; KeePassXC là lựa chọn mã nguồn mở lưu trữ cục bộ. Hãy chọn theo nền tảng đang dùng, cách khôi phục, nhu cầu chia sẻ, quyền quản trị và khả năng xuất dữ liệu.
Đừng đánh giá sản phẩm chỉ qua quảng cáo. Hãy kiểm tra mô hình mã hóa, dữ liệu nào được bảo vệ, báo cáo kiểm toán gần nhất, lịch sử cập nhật, cách công bố sự cố và khả năng chuyển dữ liệu sang dịch vụ khác. Kiểm toán là ảnh chụp tại một thời điểm, không phải bảo đảm vĩnh viễn; ứng dụng và tiện ích trình duyệt vẫn phải được cập nhật.
Passkey dùng cặp khóa mật mã và được ràng buộc với đúng dịch vụ, nhờ đó có khả năng chống lừa đảo tốt hơn mật khẩu hoặc mã dùng một lần. Mức hỗ trợ và cách đồng bộ khác nhau giữa dịch vụ, thiết bị và trình quản lý; trước khi chuyển, hãy kiểm tra phương án dự phòng và khôi phục tài khoản.
Mật khẩu chính bạn sẽ không quên
Mật khẩu chính phải dài, duy nhất và khó đoán. Một cụm từ được trình tạo đáng tin cậy tạo ngẫu nhiên thường dễ ghi nhớ hơn chuỗi ký tự ngắn do người dùng tự biến đổi. Không có một số từ phù hợp cho mọi hệ thống; hãy tuân thủ yêu cầu độ dài của dịch vụ, không tự chọn câu quen thuộc và không dùng lại mật khẩu chính ở nơi khác.
Gia đình và doanh nghiệp: chia sẻ không sai sót
Nếu trình quản lý hỗ trợ chia sẻ hoặc kho dùng chung, hãy dùng chức năng đó thay vì gửi mật khẩu qua SMS, ứng dụng nhắn tin, email hoặc bảng tính. Xác minh đúng người nhận, cấp quyền tối thiểu cần thiết và thu hồi quyền khi vai trò thay đổi.
Tính năng khôi phục hoặc truy cập khẩn cấp khác nhau theo sản phẩm. Chỉ định người tin cậy sau khi đã hiểu thời gian chờ, phạm vi truy cập và cách hủy yêu cầu; sau đó kiểm tra quy trình và lưu hướng dẫn ngoài kho theo cách an toàn.
Phải làm gì khi có cảnh báo vi phạm
Một số trình quản lý có thể cảnh báo khi thông tin đăng nhập xuất hiện trong dữ liệu rò rỉ đã biết. Khi có cảnh báo, hãy đổi mật khẩu bị ảnh hưởng, đăng xuất các phiên không còn tin cậy, kiểm tra nơi đã dùng lại mật khẩu và bật phương thức xác thực chống lừa đảo nếu dịch vụ hỗ trợ.
"Mật khẩu mạnh mà bạn sử dụng ở mọi nơi giống như chìa khóa căn hộ, văn phòng và ô tô của bạn. Thật tiện lợi cho đến khi nó rơi vào tay người khác." — Robert Václavík
Nguồn chính thức
- Bitwarden: tài liệu kiến trúc và bảo mật
- 1Password: các đánh giá bảo mật độc lập
- Proton Pass: mã nguồn mở và kiểm toán bảo mật
- KeePassXC: tài liệu và câu hỏi bảo mật
- FIDO Alliance: passkey
Nguồn và nội dung đã được kiểm chứng ngày 9 tháng 8 năm 2026.
