Bài 2: Mật khẩu mạnh & trình quản lý mật khẩu

Ở Bài 1 ta thấy dùng lại mật khẩu là rủi ro số một. Bài học 30 phút này giải quyết tận gốc — và quan trọng hơn cả lý thuyết: bạn sẽ tự tay tạo một mật khẩu mạnh và dựng trình quản lý mật khẩu ngay trong lúc học.

⏱️ Cách học bài này (~30 phút): đọc phần cơ chế (8’), làm theo phần thực hành trên chính tài khoản của bạn (12’), xem tình huống + sai lầm (5’), tự kiểm tra (5’).

Mục tiêu bài học

Sau bài này bạn sẽ:

• Giải thích được vì sao độ dài quan trọng hơn ký tự đặc biệt.
• Tự tạo một passphrase mạnh và đổi cho email chính ngay.
• Cài và dùng một trình quản lý mật khẩu cơ bản.
• Biết xử lý khi một mật khẩu bị rò rỉ.

🎯 Đóng góp vào đích series: bài này hoàn tất 3 mục trong Checklist An toàn số (đích cuối series ~24 mục) — xem phần Mang về bên dưới.

1. Vì sao “độ dài” thắng “ký tự đặc biệt”

Quy tắc cũ “phải có hoa, thường, số, ký tự đặc biệt” đã lỗi thời. Lý do nằm ở toán học: mỗi ký tự thêm vào làm số tổ hợp cần dò tăng theo cấp số nhân. Máy dò mật khẩu thử hàng tỷ tổ hợp mỗi giây, nên một mật khẩu ngắn dù rắc rối vẫn đổ nhanh; còn một cụm dài thì số khả năng lớn đến mức dò cạn là bất khả thi.

So sánh:

• P@ss1! — ngắn, rắc rối, khó nhớ với người nhưng dễ dò với máy.
• ngua-pin-bien-mua-tao — cụm 5 từ ngẫu nhiên: dễ nhớ, gần như không thể dò.

Khái niệm đứng sau là entropy (độ ngẫu nhiên/khó đoán): càng nhiều khả năng càng khó dò, và độ dài làm entropy tăng nhanh nhất.

2. Thực hành theo bước

Bước 1 — Tạo passphrase cho email chính

1. Nghĩ ra 4–5 từ ngẫu nhiên, không liên quan nhau và không liên quan tới bạn (đừng dùng tên, ngày sinh, “matkhau123”).
2. Nối lại, ví dụ: ca-phe-sang-mua-dong.
3. Vào Cài đặt tài khoản email → Đổi mật khẩu, đặt passphrase vừa tạo. Đây là tài khoản quan trọng nhất vì nó khôi phục mọi tài khoản khác.

Bước 2 — Cài trình quản lý mật khẩu

1. Chọn một password manager (có nhiều lựa chọn miễn phí đủ dùng cho cá nhân).
2. Cài app trên điện thoại + tiện ích trên trình duyệt máy tính.
3. Đặt mật khẩu chủ (master password) là một passphrase dài — đây là chìa khoá duy nhất bạn cần nhớ; đừng quên nó.

Bước 3 — Để nó sinh mật khẩu cho bạn

1. Lần tới khi đăng nhập một trang, để trình quản lý tự sinh mật khẩu ngẫu nhiên và lưu lại.
2. Cứ mỗi nơi đăng nhập, thay dần mật khẩu cũ (đang dùng lại) bằng mật khẩu mới ngẫu nhiên — dần xoá sạch thói quen dùng lại.

✅ Kết quả mong đợi: email chính của bạn giờ dùng một passphrase dài; password manager đã cài và tự điền/sinh được ít nhất 1 mật khẩu mới. Nếu đăng nhập lại email mà trình quản lý tự điền đúng — bạn đã làm đúng.

📋 Mang về — thêm vào Checklist An toàn số

Tích vào Checklist An toàn số của bạn:

• [ ] Email chính dùng passphrase dài.
• [ ] Đã cài password manager và đặt mật khẩu chủ mạnh.
• [ ] Không còn mật khẩu dùng lại ở các tài khoản quan trọng.

3. Tình huống thực tế

Tình huống: một trang bạn từng đăng ký thông báo bị rò rỉ dữ liệu (data breach).

Xử lý theo thứ tự: (1) đổi ngay mật khẩu trang đó; (2) đổi ở mọi nơi từng dùng lại mật khẩu giống vậy; (3) bật xác thực 2 lớp (Bài 3); (4) từ nay để password manager đảm bảo mỗi nơi một mật khẩu khác nhau. Bạn cũng có thể dùng dịch vụ tra cứu email đã lộ hay chưa để rà các tài khoản cũ.

4. Sai lầm thường gặp

• Đổi Hoa2024 thành Hoa2025 mỗi năm — kẻ tấn công đoán được kiểu này.
• Thêm “!” vào cuối một mật khẩu ngắn rồi tưởng đã an toàn — độ dài mới quyết định.
• Lưu mật khẩu trong file Excel/Note không mã hoá — mất máy là lộ hết.
• Dùng chung một mật khẩu “mạnh” cho mọi nơi — vẫn sai, vì một nơi lộ là mất tất cả.

Thuật ngữ chốt

Thuật ngữ	Giải thích ngắn
Passphrase	Mật khẩu dạng cụm nhiều từ (4–5 từ), dài, dễ nhớ mà khó dò.
Entropy	Độ ngẫu nhiên/khó đoán; càng cao càng khó bị dò.
Brute-force	Tấn công thử lần lượt mọi tổ hợp đến khi đúng.
Password manager	Phần mềm lưu & sinh mật khẩu, mã hoá toàn bộ, mở bằng một mật khẩu chủ.
Master password	Mật khẩu chủ duy nhất để mở kho password manager.
Data breach	Vụ rò rỉ dữ liệu khiến mật khẩu/email bị lộ.

Tự kiểm tra

1. Sắp 3 mật khẩu từ yếu đến mạnh: (a) Hoa2024! (b) 123456 © meo-den-an-com-trua.
2. Đúng/Sai: thêm “!” vào cuối mật khẩu ngắn là đủ an toàn.
3. Đúng/Sai: password manager nguy hiểm hơn vì để hết mật khẩu một chỗ.
4. Một trang bạn từng dùng vừa báo rò rỉ dữ liệu — bạn làm gì, theo thứ tự?
5. Kể 3 tài khoản nên đổi mật khẩu đầu tiên và vì sao.
6. (Mini-task thực hành) Tạo 1 passphrase 5 từ ngẫu nhiên và đổi mật khẩu cho một tài khoản phụ ngay bây giờ; xác nhận đăng nhập lại được.

Gợi ý đáp án

• 1: (b) 123456 < (a) Hoa2024! < © passphrase 5 từ.
• 2: Sai — độ dài mới quyết định.
• 3: Sai — an toàn hơn vì mã hoá + giúp không dùng lại mật khẩu.
• 4: đổi mật khẩu trang đó → đổi ở mọi nơi từng dùng lại → bật 2FA → dùng password manager để không lặp lại.
• 5: email chính (khôi phục mọi tài khoản), ngân hàng/ví, tài khoản công việc — hậu quả khi lộ lớn nhất.
• 6: (tự làm) — đạt khi đăng nhập lại thành công bằng passphrase mới.

Ghi nhớ nhanh

• Độ dài > ký tự đặc biệt; dùng passphrase 4–5 từ ngẫu nhiên.
• Không dùng lại mật khẩu — giao việc nhớ cho password manager.
• Mật khẩu chủ là passphrase dài và đừng quên.

Việc làm ngay hôm nay: hoàn tất Bước 1 (đổi mật khẩu email chính sang passphrase) — chỉ mất 2 phút mà chặn được rủi ro lớn nhất.

Muốn đào sâu hơn (entropy, tra cứu rò rỉ, sao lưu mã), xem cách tạo & quản lý mật khẩu an toàn. Ôn lại Bài 1: Bức tranh rủi ro. Bài 3: bật xác thực 2 lớp — tấm khiên cuối cùng kể cả khi mật khẩu lộ.