Cách tạo mật khẩu mạnh và kiểm tra xem mật khẩu có bị rò rỉ không

Điều gì làm nên một mật khẩu mạnh

Kẻ tấn công không đoán từng mật khẩu bằng tay. Họ dùng phần mềm thử hàng tỷ tổ hợp, bắt đầu từ mật khẩu bị rò rỉ, từ điển và các mẫu phổ biến như Summer2026!. Một mật khẩu mạnh là mật khẩu mà phần mềm không thể đoán trước: dài và ngẫu nhiên.

Độ dài quan trọng hơn độ phức tạp. Mỗi ký tự ngẫu nhiên thêm vào sẽ nhân số khả năng lên, trong khi thay a bằng @ là một trong những mẹo đầu tiên mà công cụ bẻ khóa thử.

Hãy tạo ngẫu nhiên, đừng tự nghĩ ra

Con người rất kém trong việc tạo sự ngẫu nhiên: chúng ta hay chọn tên, ngày tháng và các kiểu gõ phím quen thuộc. Thay vào đó, hãy dùng Trình tạo mật khẩu. Cài đặt phù hợp:

• 16 ký tự ngẫu nhiên trở lên cho mọi mật khẩu được lưu trong trình quản lý mật khẩu.
• Cụm mật khẩu gồm 4–6 từ ngẫu nhiên (ví dụ staple-orbit-canyon-velvet-mint) cho vài mật khẩu bạn bắt buộc phải gõ hoặc ghi nhớ, như mật khẩu đăng nhập máy tính hoặc mật khẩu chính của trình quản lý.

Các từ phải do công cụ chọn ngẫu nhiên. Một câu bạn tự nghĩ ra, chẳng hạn lời bài hát hay câu trích dẫn, sẽ dễ đoán hơn nhiều.

Đừng bao giờ dùng lại mật khẩu

Việc dùng lại mật khẩu là rủi ro lớn nhất trong thực tế. Khi một trang bị lộ dữ liệu, kẻ tấn công sẽ thử các cặp email và mật khẩu bị rò rỉ trên email, ngân hàng và trang mua sắm, một kỹ thuật gọi là credential stuffing (nhồi thông tin đăng nhập). Mỗi tài khoản một mật khẩu riêng nghĩa là một vụ rò rỉ chỉ dừng ở một vụ rò rỉ.

Không ai có thể nhớ 100 mật khẩu khác nhau, và đó chính là lý do có trình quản lý mật khẩu. Trình quản lý tích hợp sẵn trong trình duyệt hoặc một ứng dụng riêng đều được; điều quan trọng là bạn thực sự dùng một trong số đó.

Kiểm tra xem mật khẩu đã bị rò rỉ chưa

Kiểm tra mật khẩu bị rò rỉ cho bạn biết mật khẩu có xuất hiện trong các bộ dữ liệu rò rỉ đã biết hay không, mà không gửi mật khẩu đi đâu cả. Công cụ băm mật khẩu ngay trong trình duyệt bằng SHA-1, rồi chỉ gửi năm ký tự đầu của mã băm đến dịch vụ Have I Been Pwned. Dịch vụ này trả về mọi mã băm bị rò rỉ bắt đầu bằng các ký tự đó. Việc so khớp được thực hiện ngay trên thiết bị của bạn. (Bạn có thể xem mã băm trông như thế nào với Trình tạo hash.)

Nếu mật khẩu xuất hiện trong danh sách, hãy đổi nó ở mọi nơi bạn đã dùng, kể cả khi nó trông rất mạnh, vì giờ nó nằm trong những danh sách mà kẻ tấn công thử đầu tiên.

Khuyến nghị hiện nay nói gì

Hướng dẫn về danh tính số của Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST SP 800-63B) khuyến nghị các dịch vụ:

• Cho phép mật khẩu dài (ít nhất 64 ký tự) và mọi ký tự in được, kể cả khoảng trắng.
• Kiểm tra mật khẩu mới với danh sách mật khẩu bị rò rỉ và mật khẩu phổ biến.
• Không bắt buộc các quy tắc đặt mật khẩu tùy tiện hay đổi mật khẩu định kỳ. Chỉ đổi khi có bằng chứng mật khẩu đã bị xâm phạm.

Thêm yếu tố xác thực thứ hai

Ngay cả mật khẩu hoàn hảo cũng có thể bị lừa đảo (phishing) lấy đi. Hãy bật xác thực hai yếu tố cho email, ngân hàng và mọi tài khoản có thể đặt lại mật khẩu của tài khoản khác. Ứng dụng xác thực hoặc passkey an toàn hơn mã SMS, nhưng bất kỳ yếu tố thứ hai nào cũng tốt hơn nhiều so với không có.

Dùng Kiểm tra độ mạnh mật khẩu để xem một mật khẩu có thể chống lại việc đoán trong bao lâu và vì sao. Công cụ sẽ đánh dấu từ điển, ngày tháng và các mẫu quen thuộc.