Cách chọn trình quản lý mật khẩu và dùng cho hiệu quả

Khi một trang web bị tấn công, những cặp email và mật khẩu bị đánh cắp hiếm khi nằm yên trong tay kẻ tấn công ban đầu. Chúng được mua bán, trao đổi rồi đưa vào các công cụ tự động để thử đúng tổ hợp đó trên dịch vụ email, trang mua sắm, mạng xã hội và nền tảng game. Kỹ thuật này gọi là credential stuffing, tức nhồi thông tin đăng nhập, và nó chỉ hiệu quả khi người dùng dùng lại mật khẩu. Đây là một trong những cách phổ biến nhất khiến tài khoản của người bình thường bị chiếm.

Mật khẩu riêng biệt cắt đứt chuỗi đó. Nếu mỗi tài khoản có một mật khẩu dài, ngẫu nhiên của riêng nó, vụ rò rỉ ở một dịch vụ sẽ chỉ dừng lại ở dịch vụ đó. Vấn đề là không ai nhớ nổi hàng chục chuỗi ký tự ngẫu nhiên, và đó chính là việc mà trình quản lý mật khẩu được sinh ra để làm.

Trình quản lý mật khẩu lưu thông tin đăng nhập của bạn trong một kho được mã hóa, mở bằng một mật khẩu chính, và thường cả bằng vân tay hoặc khuôn mặt trên thiết bị tin cậy. Nó tạo mật khẩu dài, ngẫu nhiên khi bạn đăng ký hoặc đổi mật khẩu, và tự điền giúp bạn khi đăng nhập.

Tính năng tự điền còn âm thầm giúp chống lừa đảo. Trình quản lý so khớp thông tin đăng nhập đã lưu với đúng địa chỉ trang web, nên sẽ không đưa mật khẩu ngân hàng của bạn vào một tên miền nhái. Nếu trình quản lý bỗng dưng không nhận ra một trang đăng nhập bạn vẫn dùng thường xuyên, hãy dừng lại và kiểm tra địa chỉ trước khi tự gõ bất cứ thứ gì.

Phần lớn trình quản lý không chỉ lưu mật khẩu. Các tính năng đi kèm phổ biến gồm ghi chú bảo mật cho mã dự phòng và thông tin khôi phục, nơi lưu khóa truy cập (passkey), cảnh báo khi mật khẩu đã lưu xuất hiện trong một vụ rò rỉ đã biết, nhắc nhở về mật khẩu yếu hoặc bị dùng lại, và chia sẻ an toàn với người nhà hoặc đồng nghiệp.

Mã hóa là yếu tố quan trọng nhất. Hãy tìm dịch vụ mã hóa đầu cuối, đôi khi được gọi là kiến trúc zero-knowledge, nghĩa là kho của bạn được mã hóa ngay trên thiết bị và nhà cung cấp không thể đọc được. Tài liệu bảo mật công khai và các đợt kiểm toán độc lập là dấu hiệu tốt cho thấy công ty nghiêm túc với chuyện này.

Tiếp theo, hãy xem trình quản lý có dùng được ở mọi nơi bạn cần không: trên các trình duyệt bạn hay dùng, trên điện thoại lẫn máy tính, với khả năng đồng bộ ổn định giữa chúng. Bản thân kho mật khẩu cũng nên hỗ trợ xác thực hai yếu tố, tốt nhất là bằng ứng dụng xác thực hoặc khóa bảo mật, để chỉ lộ mật khẩu chính thôi thì chưa mở được kho.

Cuối cùng, hãy nghĩ đến chuyện rời đi trước khi bắt đầu. Một trình quản lý tốt cho phép xuất dữ liệu theo định dạng chuẩn để bạn không bị trói chân. Hãy đọc kỹ điều gì xảy ra nếu bạn quên mật khẩu chính: có dịch vụ cung cấp bộ khôi phục hoặc người liên hệ tin cậy, còn những thiết kế zero-knowledge nghiêm ngặt có thể hoàn toàn không có cách khôi phục, khi đó một tờ thông tin khẩn cấp được cất giữ cẩn thận là thứ bắt buộc phải có.

Trình duyệt và hệ điều hành ngày nay đều có sẵn trình quản lý mật khẩu khá tốt. Trình quản lý mật khẩu của Google được tích hợp trong Chrome và Android, thiết bị Apple có trình quản lý mật khẩu đồng bộ qua Chuỗi khóa iCloud, còn Microsoft Edge lưu mật khẩu vào tài khoản Microsoft của bạn. Chúng không tốn thêm chi phí, đã có sẵn trên máy và tự đồng bộ trong hệ sinh thái của mình.

Giới hạn của chúng cũng chính là hệ sinh thái đó. Nếu bạn dùng iPhone cùng máy tính Windows, hoặc hay chuyển qua lại giữa nhiều trình duyệt, trình quản lý tích hợp sẵn có thể không theo bạn đến mọi nơi một cách thuận tiện. Các trình quản lý độc lập, kể cả những sản phẩm của nhà cung cấp chú trọng quyền riêng tư như Proton, chạy được trên nhiều nền tảng và trình duyệt, thường có thêm tính năng chia sẻ, ghi chú bảo mật và cách sắp xếp linh hoạt hơn.

Chọn loại nào cũng tốt hơn rất nhiều so với dùng lại mật khẩu. Hãy chọn thứ bạn thật sự sẽ dùng hằng ngày, và tránh chia thông tin đăng nhập ra nhiều trình quản lý, vì như vậy rất dễ quên bản nào mới là bản mới nhất.

Mật khẩu chính là mật khẩu duy nhất bạn phải nhớ, nên hãy làm cho nó dài và dễ nhớ thay vì ngắn và rắc rối. Một cụm mật khẩu gồm vài từ không liên quan đến nhau dễ gõ hơn và khó đoán hơn nhiều so với một chuỗi ký hiệu ngắn. Tuyệt đối không dùng nó ở bất kỳ đâu khác.

Hãy bật xác thực hai yếu tố cho trình quản lý ngay từ đầu và cất mã dự phòng hoặc bộ khẩn cấp của nó ở dạng ngoại tuyến, chẳng hạn ghi ra giấy và cất ở chỗ an toàn trong nhà. Nếu trình quản lý có phương thức khôi phục, hãy thiết lập ngay bây giờ chứ đừng đợi đến lúc bị khóa ngoài.

Sau đó chỉnh vài thiết lập: tự khóa kho sau một khoảng thời gian ngắn không hoạt động, yêu cầu mật khẩu chính hoặc sinh trắc học sau khi khởi động lại, và luôn cập nhật ứng dụng cùng tiện ích trình duyệt để nhận các bản vá bảo mật.

Hầu hết trình quản lý có thể nhập mật khẩu đã lưu trong trình duyệt hoặc xuất ra từ một trình quản lý khác, thường dưới dạng tệp CSV. Tệp này là văn bản thô, không mã hóa, nên hãy xuất ra, nhập vào ngay rồi xóa đi, kể cả bản trong thư mục tải xuống và trong thùng rác.

Sau khi nhập, nếu bạn đã chuyển sang trình quản lý độc lập, hãy tắt tính năng lưu mật khẩu của trình duyệt để thông tin đăng nhập mới không nằm ở hai nơi. Tiếp đó mở báo cáo bảo mật của trình quản lý và bắt đầu sửa những mật khẩu yếu hoặc bị dùng lại. Hãy bắt đầu từ tài khoản email, vì chúng có thể đặt lại mọi thứ khác, rồi đến tài khoản tài chính, công việc và mạng xã hội.

Bạn không cần đổi hết mọi thứ trong một buổi tối. Hãy cập nhật từng mật khẩu còn lại vào lần tới đăng nhập trang đó, và chỉ sau vài tuần, phần lớn kho của bạn sẽ là những mật khẩu riêng biệt do máy tạo.

Thông tin đăng nhập đến với bạn qua email, tài liệu chia sẻ hay trang đơn hàng nên được đưa vào trình quản lý, chứ không nằm trong ảnh chụp màn hình hay ghi chú thường. Hãy tạo một mục mới với địa chỉ trang web, tên người dùng và mật khẩu, rồi thêm email khôi phục, mã dự phòng và các thông tin thiết lập khác vào phần ghi chú của mục đó.

Nếu bạn mua một tài khoản trên rStock, nội dung được giao sẽ hiển thị trên trang đơn hàng dưới dạng bản ghi giao hàng gắn với đơn. Hãy sao chép nó vào trình quản lý, rồi đổi sang một mật khẩu mới do máy tạo, thiết lập các tùy chọn khôi phục của riêng bạn và bật xác thực hai yếu tố. Làm việc này sớm cũng giúp bạn xác nhận mọi thứ hoạt động trong lúc vẫn còn có thể mở khiếu nại trong khoảng thời gian giới hạn sau khi giao hàng. Luôn sử dụng những tài khoản như vậy đúng theo điều khoản sử dụng của thương hiệu.

Khi tài khoản đã được bảo mật, hãy xóa mọi bản sao thừa bạn từng dán vào ghi chú, cuộc trò chuyện hay tệp văn bản. Trình quản lý nên là nơi duy nhất chứa mật khẩu hiện hành, vừa dễ cập nhật vừa khó để người khác tìm thấy.