Trình quản lý mật khẩu là cách thực tế nhất để một người bình thường hay một nhóm nhỏ dùng mật khẩu mạnh và khác nhau cho từng tài khoản. Muốn bắt đầu an toàn: chọn một trình quản lý có uy tín, bảo vệ nó bằng một cụm mật khẩu chính thật dài, chưa từng dùng ở đâu khác, bật xác thực hai lớp, thiết lập phương án khẩn cấp hoặc khôi phục, rồi chuyển các tài khoản quan trọng nhất vào trước và đổi mật khẩu của chúng dần dần.
Nỗi lo quen thuộc, "dồn hết mật khẩu vào một chỗ", là có lý, nhưng thường nhỏ hơn rủi ro của cách làm còn lại: mật khẩu yếu hoặc dùng lại, bị lộ từ trang web khác. Rủi ro thật nằm ở mật khẩu chính yếu, mất phương án khôi phục và thiết bị nhiễm mã độc, và cả ba đều kiểm soát được.
Vì sao tự nhớ mật khẩu không còn ổn nữa
Một người trưởng thành bây giờ có hàng chục, thường là hơn trăm, tài khoản trên mạng: email, ứng dụng ngân hàng, trang mua sắm, mạng xã hội, dịch vụ công, công cụ làm việc, điện nước, trường học của con. Không ai nhớ nổi một mật khẩu mạnh riêng cho từng cái. Nên người ta dùng lại vài mật khẩu "ruột" với chút biến tấu, hoặc ghi vào sổ tay, ghi chú điện thoại hay một bảng tính tên là "mật khẩu".
Dùng lại mới là chỗ nguy hiểm. Trang web bị rò rỉ dữ liệu là chuyện thường xuyên, và danh sách email kèm mật khẩu bị lộ được mua bán rồi đem thử tự động trên các dịch vụ khác. Mật khẩu tài khoản mua sắm trùng với mật khẩu email thì trang mua sắm bị lộ là email bị mở, mà email thì đặt lại được mọi thứ khác.
Trình quản lý mật khẩu giải bài này bằng cách nhớ thay mình. Nó tạo mật khẩu dài ngẫu nhiên, cất trong một "két" được mã hoá, và tự điền khi mình vào đúng trang. Mình chỉ phải nhớ một cụm mật khẩu chính thật mạnh; phần còn lại trình quản lý lo.
Có thêm một lợi ích bảo mật ngầm. Trình quản lý tốt chỉ điền mật khẩu trên đúng địa chỉ trang web đã lưu. Nếu lỡ vào một trang giả rất giống mà trình quản lý không đề nghị điền, sự im lặng đó là tín hiệu cảnh báo đáng để ý.
Chọn trình quản lý thì xem những gì
Hoạt động lâu năm, công khai thông tin bảo mật. Ưu tiên nơi giải thích rõ cách mã hoá dữ liệu, công bố các đợt đánh giá bảo mật độc lập và từng xử lý sự cố một cách minh bạch.
Mã hoá mà chính nhà cung cấp không đọc được. Trình quản lý uy tín được thiết kế để két mã hoá ngay trên máy mình bằng cụm mật khẩu chính, công ty không xem được mật khẩu của mình.
Chạy trên mọi thiết bị của mình. Điện thoại, máy tính, và đúng trình duyệt mình hay dùng. Thiếu ở một máy là mình sẽ quay lại thói quen cũ.
Có xác thực hai lớp và hỗ trợ passkey. Bảo vệ chính cái két và cho cất passkey chung chỗ với mật khẩu.
Chia sẻ được cho gia đình, cho nhóm. Thư mục hay két dùng chung giúp chia mật khẩu wifi hay tài khoản mạng xã hội của cửa hàng mà không phải gửi qua tin nhắn.
Có truy cập khẩn cấp hoặc khôi phục tài khoản. Một cách để người tin cậy vào được sau một thời gian chờ, phòng khi mình có chuyện.
Xuất được dữ liệu. Phải xuất được dữ liệu của mình ra nếu sau này đổi nhà cung cấp.
Trình quản lý có sẵn trong trình duyệt cũng là khởi đầu hợp lý. Trình quản lý mật khẩu có sẵn trong các trình duyệt lớn và nền tảng điện thoại tốt hơn rất nhiều so với dùng lại mật khẩu. Trình quản lý chuyên dụng thêm phần chia sẻ và linh hoạt giữa các nền tảng.
Thiết lập từng bước
Dành khoảng một tiếng cho lần cài đầu, rồi chuyển tài khoản vào dần trong vài tuần.
- Tạo cụm mật khẩu chính. Bốn từ trở lên không liên quan nhau, hoặc một câu dài chỉ mình nghĩ ra, chưa từng dùng ở đâu. Độ dài quan trọng hơn ký tự đặc biệt.
- Chép cụm mật khẩu ra giấy, cất chỗ an toàn trong nhà. Cho tới khi gõ quen tay, bản giấy giúp mình khỏi quên. Đừng lưu trong ghi chú điện thoại.
- Bật xác thực hai lớp cho tài khoản trình quản lý. Dùng ứng dụng xác thực hoặc passkey nếu có.
- Lưu bộ khôi phục hoặc thiết lập truy cập khẩn cấp. Đa số trình quản lý có khoá khôi phục hay tuỳ chọn người liên hệ tin cậy. In ra hoặc cất ngoại tuyến.
- Cài trình quản lý trên điện thoại và máy tính. Bật tự điền trong cài đặt điện thoại và tiện ích mở rộng trên trình duyệt máy tính.
- Đưa các tài khoản quan trọng nhất vào trước. Email, tài khoản nền tảng điện thoại, email gắn với ngân hàng, mạng xã hội, công việc. Vừa đưa vào vừa đổi sang mật khẩu mới do máy tạo.
- Xoá các danh sách mật khẩu cũ. Khi trình quản lý đã giữ đủ, bỏ các trang sổ, ghi chú điện thoại, bảng tính, hoặc cất bản giấy vào chỗ có khoá.
Đừng cố đổi hết mật khẩu trong một buổi tối. Tài khoản nào còn lại thì lần tới đăng nhập hẵng thêm vào; vài tháng là gần như xong.
Chia sẻ an toàn trong gia đình hay nhóm nhỏ
Chia qua trình quản lý, đừng chia qua chat. Mật khẩu gửi trong tin nhắn nằm lại trong lịch sử chat trên nhiều điện thoại suốt nhiều năm.
Tạo thư mục chung theo mục đích. Ví dụ "Nhà" cho wifi, điện nước, xem phim; "Cửa hàng" cho tài khoản mạng xã hội, sàn thương mại điện tử của tiệm.
Mỗi người một tài khoản trình quản lý riêng. Dùng chung tài khoản vào chính trình quản lý là mất hết ý nghĩa, lại không lần ra được ai làm gì.
Két của công việc thì dùng tài khoản công ty. Khi nhân viên nghỉ thì thu hồi được quyền, và doanh nghiệp vẫn giữ thông tin đăng nhập của mình.
Đổi mật khẩu dùng chung khi có người rời nhóm. Gỡ quyền vào két không xoá được những gì người đó còn nhớ hay đã chép ra.
Thiết lập truy cập khẩn cấp giữa vợ chồng. Nếu một người ốm nặng hay có chuyện, người kia vào được các tài khoản thiết yếu mà không phải đoán.
Giúp ông bà, cha mẹ cài kiểu đơn giản. Ít tài khoản, tên đặt rõ ràng, và một người thân tin cậy làm liên hệ khẩn cấp, hợp hơn một cấu trúc rắc rối.
Rủi ro thật và cách xử lý
Nếu ai đó biết cụm mật khẩu chính và vượt được lớp xác thực thứ hai, họ có tất cả. Vì thế cụm mật khẩu phải riêng biệt và dài, và tài khoản trình quản lý xứng đáng được bảo vệ mạnh nhất. Tuyệt đối không gõ mật khẩu chính vào trang nào mở ra từ đường link trong email hay tin nhắn.
Nếu quên mật khẩu chính mà không có cách khôi phục, nhiều trình quản lý không giúp được, vì chính họ cũng không đọc được két của mình. Bản giấy và bộ khôi phục tồn tại là vì vậy. Mỗi năm kiểm một lần xem mình còn tìm thấy chúng không.
Thiết bị nhiễm mã độc có thể ghi lại những gì mình gõ và thấy những gì mình mở. Trình quản lý mật khẩu không chữa được máy đã nhiễm. Hãy cập nhật hệ điều hành, chỉ cài ứng dụng từ kho chính thức và dè chừng các tiện ích trình duyệt.
Cuối cùng, chính nhà cung cấp cũng có thể bị tấn công. Thứ bảo vệ mình khi đó là lớp mã hoá bằng cụm mật khẩu của mình, và mọi chuyện lại quay về đúng một điểm: cụm mật khẩu chính dài và không dùng ở đâu khác.
Câu hỏi thường gặp
Lưu mật khẩu trong trình duyệt có an toàn không?
Với đa số người, an toàn hơn nhiều so với dùng lại mật khẩu, nhất là khi tài khoản trình duyệt có xác thực hai lớp và máy có khoá màn hình. Trình quản lý chuyên dụng chia sẻ tốt hơn và dùng được qua nhiều trình duyệt.
Cụm mật khẩu chính thế nào là tốt?
Dài, riêng biệt và nhớ được: vài từ không liên quan nhau hoặc một câu riêng của mình mà không ai đoán ra. Tránh lời bài hát, câu nói nổi tiếng, tên và ngày tháng liên quan tới mình.
Công ty quản lý mật khẩu bị tấn công thì sao?
Với trình quản lý thiết kế tốt, kẻ tấn công chỉ lấy được các két đã mã hoá, rất khó mở nếu cụm mật khẩu của mình dài và riêng biệt. Đổi mật khẩu chính và các mật khẩu quan trọng nhất nếu nhà cung cấp khuyến nghị.
Có nên lưu mã PIN ngân hàng trong trình quản lý mật khẩu?
Mã PIN thẻ nên nhớ trong đầu và không bao giờ ghi cạnh thẻ. Mật khẩu ngân hàng điện tử thì lưu được như các mật khẩu khác, nhờ lớp bảo vệ mạnh của trình quản lý.
Chia tài khoản của cửa hàng cho nhân viên thế nào cho an toàn?
Dùng két doanh nghiệp do cửa hàng sở hữu, mỗi nhân viên một tài khoản riêng, chỉ chia những thư mục họ cần, và đổi mật khẩu dùng chung khi có người nghỉ.
