Mật khẩu mạnh cho học sinh: cụm từ dễ nhớ và nơi cất mã khôi phục

Mật khẩu mạnh là mật khẩu dài, không đoán được từ thông tin về bạn và không dùng lại ở nơi khác. Cách dễ nhất cho học sinh là ghép ba, bốn từ ngẫu nhiên thành một cụm dài, rồi bật thêm lớp xác minh thứ hai và cất mã khôi phục ở chỗ an toàn ngoài đời. Bài này giải thích vì sao độ dài quan trọng hơn ký tự lạ, và mã khôi phục là cái "chìa khoá dự phòng" mà nhiều người bỏ quên.

Mật khẩu bị lộ bằng những cách nào

Muốn đặt mật khẩu tốt, trước hết cần biết người xấu đoán mật khẩu ra sao. Có bốn đường chính:

• Đoán từ thông tin về bạn: ngày sinh, tên mình kèm năm sinh, tên con mèo, tên lớp. Những thứ này thường nằm sẵn trên trang cá nhân.
• Thử hàng loạt bằng máy: máy tính có thể thử rất nhiều mật khẩu phổ biến mỗi giây, bắt đầu từ danh sách những mật khẩu người ta hay dùng nhất như dãy số liền nhau hoặc chữ "password".
• Lấy từ chỗ khác bị rò rỉ: một trang web nào đó bị lộ dữ liệu, kẻ gian lấy cặp email và mật khẩu ở đó đem thử sang các tài khoản khác của bạn. Đây là lý do không được dùng chung một mật khẩu.
• Lừa bạn tự đưa: trang đăng nhập giả, tin nhắn giả làm quản trị viên, hoặc bạn bè xin "cho mượn tài khoản chút". Mật khẩu mạnh đến đâu cũng vô dụng nếu tự tay gõ vào trang giả.

Vì sao dài quan trọng hơn ký tự lạ

Hãy hình dung mỗi vị trí trong mật khẩu là một ổ khoá số. Mật khẩu có 8 ký tự là 8 ổ. Thêm ký tự đặc biệt giúp mỗi ổ có nhiều lựa chọn hơn một chút, nhưng thêm vị trí thì số trường hợp nhân lên rất nhanh.

Một ví dụ tính tay: chỉ dùng 26 chữ cái thường, mật khẩu 8 ký tự có 26 mũ 8, khoảng 200 tỉ khả năng. Nghe nhiều, nhưng máy tính mạnh thử hết chỉ trong thời gian ngắn. Mật khẩu 20 chữ cái thường có 26 mũ 20 khả năng — một con số có 29 chữ số. Chỉ dài gấp hai lần rưỡi, nhưng số khả năng nhiều gấp khoảng 95 triệu tỉ lần.

Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ (NIST), nơi soạn hướng dẫn mà nhiều tổ chức trên thế giới tham khảo, khuyến nghị ưu tiên độ dài, cho phép mật khẩu dài và có dấu cách, kiểm tra mật khẩu mới với danh sách mật khẩu đã bị lộ, và không bắt người dùng đổi mật khẩu định kỳ khi không có lý do — vì bị ép đổi liên tục, người ta thường chỉ thêm số 1, số 2 vào cuối, chẳng an toàn hơn chút nào.

Cách đặt: ba từ ngẫu nhiên

Trung tâm An ninh Mạng Quốc gia Anh (NCSC) gợi ý một cách rất dễ nhớ: ghép ba từ ngẫu nhiên. Với tiếng Việt, bạn có thể làm như sau:

1. Chọn ba hoặc bốn từ không liên quan gì đến nhau và không liên quan đến bạn. Ví dụ tưởng tượng: "ấm trà", "cá voi", "cầu thang", "mùa thu".
2. Viết không dấu, ghép lại, có thể chen dấu gạch hoặc một con số ở chỗ bất ngờ: một chuỗi như vậy dài trên 20 ký tự.
3. Tưởng tượng một hình ảnh lạ để nhớ: con cá voi đang rót trà trên cầu thang lúc lá vàng rơi. Hình càng kỳ quặc càng dễ nhớ.
4. Không dùng câu hát, câu thơ nổi tiếng, tên thần tượng — những thứ ai cũng biết thì máy cũng có trong danh sách.

Lưu ý: ví dụ trên chỉ để minh hoạ. Đừng dùng đúng các từ trong bài, vì bài này ai cũng đọc được.

So sánh vài kiểu mật khẩu

Kiểu mật khẩu	Dễ nhớ	Khó đoán	Nhận xét
Ngày sinh, tên kèm năm sinh	Rất dễ	Rất kém	Người quen, kể cả bạn cùng lớp, đoán được trong vài lần thử
8 ký tự lộn xộn có ký hiệu	Khó	Trung bình	Hay bị viết ra giấy dán cạnh máy, hoặc quên rồi phải lấy lại liên tục
Một từ tiếng Anh thêm số cuối	Dễ	Kém	Có sẵn trong danh sách thử của máy
Ba, bốn từ ngẫu nhiên ghép lại	Dễ	Tốt	Dài, nhớ bằng hình ảnh, gõ trên điện thoại cũng nhanh
Chuỗi do trình quản lý mật khẩu tạo	Không cần nhớ	Rất tốt	Phù hợp khi bố mẹ cùng quản lý; chỉ cần nhớ một mật khẩu chính thật mạnh

Lớp xác minh thứ hai

Xác minh hai lớp nghĩa là ngoài mật khẩu, bạn phải đưa thêm một bằng chứng nữa: mã gửi về điện thoại, mã hiện trong một ứng dụng xác thực, hoặc bấm xác nhận trên thiết bị đã đăng nhập. Kể cả khi ai đó biết mật khẩu, họ vẫn kẹt ở lớp thứ hai.

Với học sinh, nên bật cho các tài khoản quan trọng nhất: email (vì mọi tài khoản khác lấy lại qua email), tài khoản học tập và tài khoản mạng xã hội nếu có. Nhờ bố mẹ cùng bật, và có thể đặt số điện thoại của bố mẹ làm số dự phòng.

Luật vàng: mã xác minh gửi về máy bạn là để bạn gõ vào, không phải để đọc cho ai nghe. Không nhân viên hỗ trợ thật nào hỏi mã này. Ai xin mã, dù là bạn thân, đều là dấu hiệu lừa.

Mã khôi phục: chìa khoá dự phòng

Khi bật xác minh hai lớp, nhiều dịch vụ đưa cho bạn một danh sách mã khôi phục (còn gọi là mã dự phòng) — thường là vài dãy chữ số, mỗi dãy dùng được một lần. Chúng giúp bạn vào lại tài khoản khi mất điện thoại hay đổi số.

Nhiều người bỏ qua bước này rồi đến lúc làm rơi điện thoại mới biết mình tự khoá mình ở ngoài. Cách cất hợp lý:

• In ra hoặc chép tay lên giấy, cất trong phong bì cùng chỗ để giấy tờ quan trọng của gia đình.
• Không chụp ảnh để trong thư viện ảnh điện thoại — mất máy là mất cả mã.
• Không gửi qua tin nhắn cho bạn bè "giữ hộ".
• Dùng hết một mã thì gạch đi; gần hết thì tạo bộ mới.

Thử làm: đo độ dài mật khẩu bằng hạt đậu

Hoạt động này giúp cả nhà "nhìn thấy" vì sao mật khẩu dài lại khó đoán, không cần máy tính.

1. Chuẩn bị một nắm hạt đậu, vài tờ giấy nhỏ.
2. Viết bốn chữ cái A, B, C, D lên bốn tờ giấy. Một mật khẩu 1 ký tự có 4 khả năng. Đặt 4 hạt đậu.
3. Mật khẩu 2 ký tự: mỗi vị trí có 4 lựa chọn, tổng 4 × 4 = 16 khả năng. Đặt 16 hạt.
4. Mật khẩu 3 ký tự: 64 hạt. Đến 4 ký tự là 256 hạt — bắt đầu thấy nản phải không?
5. Giờ thử cách khác: giữ 2 ký tự nhưng có 8 chữ cái để chọn: 8 × 8 = 64 hạt. So với 4 ký tự từ 4 chữ cái (256 hạt), thêm độ dài hiệu quả hơn thêm loại ký tự.

Kết luận rút ra bằng tay: mỗi ký tự thêm vào nhân số trường hợp lên, nên cụm từ dài thắng chuỗi ngắn đầy ký hiệu.

Không cho mượn, không giữ hộ

Ở tuổi học sinh, chuyện bạn bè xin mật khẩu "để vào giúp" hay "chứng tỏ là bạn thân" khá thường gặp. Có những chuyện giận nhau xong, người kia vào tài khoản đăng bậy hoặc đọc tin nhắn riêng. Mật khẩu giống bàn chải đánh răng: dùng riêng, không cho mượn. Người được biết mật khẩu của bạn chỉ nên là bố mẹ hoặc người giám hộ.

Nếu đã lỡ cho ai biết, chỉ cần đổi mật khẩu mới là xong, không cần làm to chuyện.

Câu hỏi thường gặp

Mật khẩu mạnh cần bao nhiêu ký tự?

Không có con số thần kỳ, nhưng càng dài càng tốt. Một cụm ba, bốn từ ngẫu nhiên thường dài trên 15 ký tự, vừa đủ mạnh vừa dễ nhớ hơn chuỗi 8 ký tự lộn xộn.

Mã khôi phục là gì?

Là các dãy mã dùng một lần để vào lại tài khoản khi mất điện thoại hoặc không nhận được mã xác minh. Nên in hoặc chép ra giấy, cất cùng giấy tờ quan trọng của gia đình.

Có nên đổi mật khẩu mỗi tháng không?

Không cần, nếu mật khẩu đủ mạnh và không bị lộ. Hướng dẫn của NIST khuyên chỉ đổi khi có dấu hiệu lộ, vì đổi liên tục khiến người ta đặt mật khẩu yếu hơn.

Bạn thân xin mật khẩu thì có nên cho không?

Không nên. Mật khẩu dùng riêng như bàn chải đánh răng. Nếu lỡ cho rồi, hãy đổi mật khẩu mới.

Dùng một mật khẩu cho nhiều tài khoản có sao không?

Có. Một trang bị lộ dữ liệu là kẻ gian đem cặp email và mật khẩu đó thử sang mọi tài khoản khác. Mỗi tài khoản nên có mật khẩu riêng.