Hướng dẫn công nghệ cơ bản cách đặt mật khẩu mạnh mà vẫn dễ nhớ cho người mới là chủ đề chúng tôi gặp gần như mỗi tuần. Mỗi lần ngồi hướng dẫn người mới, chúng tôi nhận ra điều khó nhất không nằm ở kỹ thuật mà nằm ở thói quen. Ai cũng biết mình cần một mật khẩu an toàn. Nhưng khi phải nghĩ ra một chuỗi mới, phần lớn người dùng rơi vào một trong hai thái cực: quá đơn giản đến mức ai cũng đoán được, hoặc quá phức tạp đến mức chính mình cũng quên. Bài viết này chia sẻ cách chúng tôi thường hướng dẫn để tìm điểm cân bằng giữa hai thái cực đó.
Vì sao người mới hay loay hoay mỗi lần đặt mật khẩu
Có lần chúng tôi ngồi cạnh một bạn vừa bắt đầu làm việc với máy tính. Bạn ấy loay hoay khá lâu trước màn hình đặt mật khẩu rồi cuối cùng gõ “123456” cho xong. Chưa được bao lâu, bạn lại sợ tài khoản bị xâm nhập nên đổi sang một chuỗi dài đủ chữ hoa, chữ thường, số và ký tự đặc biệt. Hai hôm sau, bạn quên sạch và phải bấm “quên mật khẩu” thêm lần nữa.
Chuyện này khá phổ biến. Nhiều người dùng điện thoại hay máy tính văn phòng đều đi qua đúng vòng lặp đó. Một người trong đội ngũ chúng tôi từng phải đặt lại mật khẩu Gmail ba lần trong một tháng, mỗi lần chọn một kiểu khác nhau chỉ vì nghĩ “kiểu này dễ nhớ hơn”.
Mật khẩu quá đơn giản là cách nhanh nhất để tài khoản gặp rủi ro. Kẻ xấu hiện nay thường dùng phần mềm dò tự động, thử hàng nghìn tổ hợp phổ biến chỉ trong vài giây. Những chuỗi như “123456”, “password” hay ngày sinh của bạn đều nằm ở đầu danh sách thử. Chỉ vài giây là đủ để chiếm một tài khoản email, mạng xã hội hay ví điện tử.
Đi quá xa theo hướng ngược lại cũng không ổn. Nhiều người nghe câu “càng dài, càng phức tạp thì càng an toàn” rồi tạo ra một chuỗi ngẫu nhiên không ai đọc nổi, kể cả chính họ. Kết quả là bấm “quên mật khẩu” liên tục. Với người quản lý cả chục tài khoản công việc, điều này ngốn thời gian mỗi tuần. Việc cần làm là tìm điểm cân bằng giữa hai thái cực.
Vì sao một tài khoản cần mật khẩu đủ chắc chắn
Trước khi đi vào cách làm, chúng tôi muốn nói rõ vì sao chuyện này đáng để bạn dành thời gian. Một tài khoản bị chiếm không chỉ mất dữ liệu. Nó còn có thể kéo theo rủi ro cho các tài khoản khác dùng chung địa chỉ email hoặc cùng một mật khẩu.
Kẻ xấu thường không tấn công trực diện. Chúng khai thác thói quen dùng chung một mật khẩu ở nhiều nơi. Chỉ cần mật khẩu lộ ở một trang kém bảo mật, chúng sẽ thử đúng mật khẩu đó ở Gmail, Facebook, thậm chí tài khoản ngân hàng. Giới bảo mật gọi kiểu này là “credential stuffing”, tức là dùng lại dữ liệu đăng nhập đã từng bị rò rỉ để thử hàng loạt nơi khác.
Quên mật khẩu cũng gây phiền không kém. Mỗi lần quên, bạn phải xác minh danh tính qua email hoặc số điện thoại rồi chờ mã OTP. Với tài khoản công việc, quy trình này đôi khi mất cả buổi vì phải nhờ bộ phận kỹ thuật can thiệp. Chúng tôi từng thấy một bạn kế toán mất nguyên buổi sáng chỉ để lấy lại quyền truy cập phần mềm hóa đơn điện tử. Một mật khẩu vừa đủ chắc chắn, vừa dễ nhớ sẽ giúp bạn tránh cả hai rắc rối này.
Cách đặt mật khẩu mạnh mà vẫn dễ nhớ
Đây là phần chúng tôi được hỏi nhiều nhất. Cách làm không hề phức tạp. Bạn chỉ cần nắm đúng nguyên tắc và kiên nhẫn một chút trong vài lần đầu.
Biến một câu quen thuộc thành mật khẩu khó đoán
Thay vì cố nhớ một chuỗi ký tự vô nghĩa, hãy chọn một câu bạn không bao giờ quên. Ví dụ, câu “Tôi thích ăn phở bò mỗi sáng” rất đời thường và gắn với thói quen thật của bạn. Sau đó, thay vài chữ cái bằng số hoặc ký tự đặc biệt trông giống chữ đó: “o” thành “0”, “a” thành “@”, “i” thành “1”.
Câu trên có thể thành “T0i_thich4nPhoBo!”. Chuỗi này vẫn gợi lại đúng câu quen thuộc trong đầu bạn, nhưng không nằm trong các danh sách mật khẩu phổ biến, nên máy dò sẽ mất rất nhiều thời gian. Đây được gọi là mật khẩu dạng cụm từ. Nhiều chuyên gia bảo mật khuyên dùng cách này vì nó vừa dài, vừa dễ nhớ hơn chuỗi ngẫu nhiên.
Một đồng nghiệp của chúng tôi chọn câu “Sáng nào cũng uống cà phê đen” và biến nó thành “S@ngNaoCungUong_CaPheDen2”. Mật khẩu dài hơn mười ký tự, nhưng bạn ấy gõ rất trôi chảy mà không cần học thuộc lòng.
Nếu bạn quản lý nhiều tài khoản cùng lúc, hãy cân nhắc dùng ứng dụng quản lý mật khẩu để lưu trữ an toàn. Đừng ghi mật khẩu ra giấy hay lưu trong ghi chú điện thoại, vì thiết bị thất lạc là lộ hết. Khi chọn công cụ như vậy, hãy tìm hiểu kỹ trước khi gắn bó lâu dài, giống như khi bạn đánh giá bất kỳ dịch vụ công nghệ nào khác.
Những thông tin cá nhân không nên đưa vào mật khẩu
Ngày sinh, tên con, số điện thoại, biển số xe là những thứ nhiều người hay dùng vì dễ nhớ. Vấn đề là chúng cũng rất dễ tìm trên mạng xã hội cá nhân của bạn.
Kẻ xấu chỉ cần lướt qua một trang Facebook công khai là đã có đủ dữ kiện để đoán. Chúng tôi từng gặp một khách hàng đặt mật khẩu trùng ngày sinh con, trong khi chính chị lại đăng đúng ngày đó lên mạng để chúc mừng. Vài tuần sau, tài khoản email của chị bị đăng nhập từ một thiết bị lạ. Bài học này đơn giản nhưng nhiều người vẫn bỏ qua.
Nếu nhận ra mình đang dùng kiểu mật khẩu này, đừng đợi có chuyện mới đổi. Hãy đổi ngay. Mẹo chúng tôi thường gợi ý là ghép một chi tiết chỉ mình biết với một kỷ niệm ít ai đoán ra, thay vì dùng tên và năm sinh con. Cách này giữ được phần dễ nhớ nhưng bỏ hẳn phần dễ đoán.
Một vài lưu ý nhanh để tránh lặp lại sai lầm này:
- Không dùng ngày sinh hay số điện thoại của bản thân và người thân.
- Không dùng tên thú cưng nếu bạn hay nhắc đến nó công khai trên mạng.
- Không dùng lại mật khẩu cũ đã từng bị lộ ở nơi khác.
Một mật khẩu tốt là mật khẩu bạn nhớ được nhưng người khác không đoán ra
Mục tiêu không phải là tạo ra thứ khó nhớ nhất có thể. Mục tiêu là tạo ra thứ chỉ riêng bạn hiểu. Người ngoài nhìn vào không đoán được gì. Một câu quen thuộc, vài ký tự biến tấu và tránh xa thông tin cá nhân công khai là đủ cho phần lớn tài khoản dùng hằng ngày.
Nếu bạn mới bắt đầu tìm hiểu công nghệ và muốn áp dụng dần vào công việc, đừng dừng lại ở mật khẩu. Có nhiều mảng đáng khám phá, từ cách ứng dụng công nghệ để tối ưu công việc hằng ngày đến việc làm chủ các công cụ số. Bạn có thể bắt đầu bằng việc nhỏ hôm nay là đổi một mật khẩu yếu, rồi dần xây dựng thói quen an toàn hơn. Nếu muốn tìm hiểu thêm về công cụ hỗ trợ công việc, bạn có thể tham khảo tiêu chí chọn công cụ hỗ trợ viết nội dung cho blog và website, và cách doanh nghiệp tự động hóa quy trình bằng công nghệ nếu bạn quan tâm đến chuyện vận hành.
Nếu bạn muốn đối chiếu thêm các nguyên tắc bảo mật do cơ quan chuyên trách khuyến nghị, hãy tham khảo khung an ninh mạng của NIST để hiểu rõ hơn về tiêu chuẩn quản lý tài khoản.
