Khi biểu mẫu đăng ký yêu cầu tạo mật khẩu, điều đầu tiên xuất hiện trong tâm trí nhiều người là: "Tôi cần một mật khẩu dễ nhớ, gắn liền với mình để không bao giờ quên." Với tư duy đó, mật khẩu tạo ra thường như "YeuSally143". Kẻ xâm nhập sẽ mất chưa đến một phút để bẻ khóa mật khẩu kiểu này và chiếm đoạt tài khoản.
Gần đây các công ty và trang web nỗ lực giáo dục người dùng dùng mật khẩu mạnh, và dùng các quy tắc buộc tạo mật khẩu mạnh hơn. May mắn thay, với tin tức về tài khoản bị hack và nhấn mạnh mật khẩu mạnh, hầu như ai cũng biết nên dùng mật khẩu mạnh. Tuy nhiên câu hỏi vẫn là: mật khẩu "Mạnh" là gì? Bài viết này sẽ giải đáp.
Mật Khẩu Bị Bẻ Khóa Như Thế Nào
Trước khi nói cách tạo mật khẩu mạnh, quan trọng là hiểu cách bẻ khóa mật khẩu. Có nhiều cách, hai phổ biến nhất là Tấn công Brute-Force (thử vét cạn) và Tấn công Từ điển (Dictionary Attack).
Tấn Công Brute-Force
Trong Brute-Force, phần mềm hacker dùng mọi loại chữ, số, ký tự kết hợp để thử bẻ khóa. Quá trình bắt đầu từ 4-5 ký tự, khi đã thử hết tổ hợp thì thêm ký tự và tiếp tục. Về lý thuyết Brute-Force có thể bẻ khóa hầu như mọi mật khẩu (kể cả mã hóa). Tuy nhiên, do phải kiểm tra từng tổ hợp, nó tốn rất nhiều thời gian, và thêm một ký tự sẽ làm tăng thời gian bẻ khóa theo cấp số nhân.
Theo ước tính từ Kaspersky Password Checker, mật khẩu "pzQm45" mất 3 giờ để bẻ khóa, nhưng "pzQm45@" mất 2 ngày. Thêm một ký tự như "pzQm45@!" sẽ mất 12 ngày. Điều này có nghĩa là rất khó bẻ khóa mật khẩu dài bằng Brute-Force, và không đáng thời gian của hacker.
Tấn Công Từ Điển
Brute-Force khó bẻ khóa mật khẩu dài; đây là lúc Dictionary Attack phát huy tác dụng. Trong Dictionary Attack, phần mềm dùng danh sách dài (hàng triệu) tổ hợp từ từ điển cùng các ký tự phổ biến, cụm từ, chuỗi và bất cứ thứ gì "phổ biến". Nếu mật khẩu có ý nghĩa, Dictionary Attack có thể bẻ khóa. Thêm dấu câu hoặc số vào từ phổ biến không giúp ích. Ví dụ, Dictionary Attack dễ dàng bẻ khóa "I$3haTe5%MaTh" vì nó vẫn có ý nghĩa. Vì dùng tổ hợp từ phổ biến, phương pháp này mất ít thời gian hơn Brute-Force đáng kể, kể cả khi mật khẩu dài.
Giải pháp: Câu trả lời cho cả hai tấn công trên đơn giản: tạo mật khẩu dài, không có ý nghĩa. Mật khẩu 16 ký tự trở lên với ký tự hoàn toàn ngẫu nhiên sẽ hoạt động tốt. Nhưng tạo và quản lý mật khẩu kiểu này khó khăn, chúng ta sẽ giải thích dưới.
Lưu ý: Hacker cũng dùng Tấn công Lừa đảo (Phishing) để đánh cắp mật khẩu. Mật khẩu mạnh không giúp chống lại phishing vì hacker sẽ đánh cắp mật khẩu thực tế qua trang web giả mạo.
Tự Tạo Mật Khẩu Mạnh Dễ Nhớ
Dành cho người không muốn cung cấp thông tin đăng nhập cho ứng dụng thứ ba, đây là cách thủ công tạo và ghi nhớ mật khẩu mạnh. Bạn có thể tạo mật khẩu từ một cụm từ dài gắn liền với bạn nhưng người khác không biết. Ví dụ từ cụm: "Tôi ăn kem vanilla lúc 3 giờ sáng, nhưng sau đó không ngủ được!" Dưới đây là ví dụ:
- TaKvL3s,mKkNgN!
- TaKvAnI3aM,KoNgUnG!
- tAkEm3Am,kHnGuDuOc!
Sẽ rất dễ nhớ cụm từ vì nó liên quan đến thói quen của bạn; bạn chỉ cần nhớ cách bạn tạo mật khẩu từ cụm từ đó.
Sử Dụng Trình Tạo Mật Khẩu Và Trình Quản Lý
Nếu không muốn làm thủ công và không ngại phụ thuộc dịch vụ thứ ba để tạo và lưu mật khẩu, mọi thứ sẽ dễ dàng (và hiệu quả) hơn nhiều. Có nhiều công cụ tạo mật khẩu mạnh, và bạn có thể dùng trình quản lý mật khẩu để lưu chúng. Dưới đây là một số lựa chọn:
Trình Tạo Mật Khẩu
Secure Password Generator: Trình tạo mật khẩu trực tuyến đơn giản, cho phép chỉ định độ dài và loại ký tự để dễ dàng tạo mật khẩu mạnh. Cũng cung cấp gợi ý giúp nhớ mật khẩu.
LastPass Password Generator: Trình quản lý mật khẩu nổi tiếng LastPass cũng có trình tạo trực tuyến đơn giản, cung cấp công cụ tiện lợi tạo mật khẩu mạnh.
Trình Quản Lý Mật Khẩu
LastPass: Khuyên dùng LastPass cho giao diện đơn giản và tùy chọn bảo mật. Nó lưu trữ an toàn mọi mật khẩu và đồng bộ trên mọi thiết bị.
Dashlane: Lựa chọn tốt khác, dễ dùng, bảo mật tuyệt vời như xác thực hai yếu tố (2FA). Cũng có ví số để lưu hóa đơn và thông tin thẻ tín dụng.
Quan trọng: Không bao giờ dùng cùng một mật khẩu cho nhiều tài khoản; dù chỉ một tài khoản bị hack cũng có thể dẫn đến mất tất cả tài khoản.
Kết Luận
Không nên thỏa hiệp về độ mạnh mật khẩu vì hàng chục nghìn hacker đang nhắm vào thông tin của bạn. Bạn có thể nói mình chỉ là người bình thường, hacker không tốn công hack tài khoản mình, nhưng hacker không quan tâm bạn là ai. Họ chỉ thử hack bất cứ thứ gì có thể. Mất cắp danh tính và sử dụng sai tài khoản/thông tin là điều người dùng bình thường nên lo ngại. Cũng khuyên bạn bật xác thực hai yếu tố (2FA) nếu trang web hỗ trợ, vì đó là bảo vệ tốt nhất chống hacker.
Bạn tạo và quản lý mật khẩu mạnh như thế nào? Chia sẻ trong bình luận nhé.