Cách tạo mật khẩu mạnh mà vẫn dễ nhớ, khó bị đoán

Muốn tạo mật khẩu mạnh, bạn không cần những chuỗi rối mắt như "Tr@ng#99!" mà cần ba điều: đủ dài, thật sự ngẫu nhiên và mỗi tài khoản một mật khẩu riêng. Cái khó là nhớ được. Bài này hướng dẫn cách chia mật khẩu thành hai loại: vài mật khẩu bạn phải nhớ thì dùng cụm từ ngẫu nhiên, phần còn lại để trình quản lý mật khẩu nhớ giúp, dựa trên khuyến nghị của NIST (Mỹ), CISA và Google.

Mật khẩu mạnh là mật khẩu như thế nào?

Kẻ tấn công hiếm khi đoán từng ký tự một. Họ thử trước danh sách mật khẩu phổ biến, mật khẩu đã lộ từ các vụ rò rỉ, tên người, ngày tháng và các biến thể quen thuộc như thay "a" bằng "@", "o" bằng "0". Vì vậy mật khẩu mạnh phải có ba đặc điểm:

• Dài: mỗi ký tự thêm vào làm số khả năng phải thử tăng lên nhiều lần.
• Ngẫu nhiên: do máy chọn, không theo quy luật nào của người đặt.
• Duy nhất: chỉ dùng cho một tài khoản, để một website bị lộ dữ liệu không kéo theo các tài khoản khác.

Ví dụ dễ thấy: "P@ssw0rd!" có đủ chữ hoa, chữ thường, số và ký hiệu nhưng là biến thể của mật khẩu phổ biến bậc nhất, nên bị thử rất sớm. Ngược lại, 20 ký tự chọn ngẫu nhiên từ bảng khoảng 89 ký tự cho khoảng 129 bit, tức số khả năng lớn đến mức không thể thử hết bằng cách đoán.

Những kiểu mật khẩu tưởng mạnh nhưng dễ đoán

Thêm dấu tiếng Việt như "Mậtkhẩu123" cũng không làm mật khẩu mạnh lên đáng kể, mà còn dễ gõ sai khi máy chưa bật bộ gõ hoặc hệ thống không nhận ký tự có dấu.

Cách tạo mật khẩu mạnh mà vẫn dễ nhớ: cụm từ ngẫu nhiên

Với vài mật khẩu bạn phải gõ thường xuyên (đăng nhập máy tính, mật khẩu chính của trình quản lý mật khẩu, email chính), hãy dùng cụm mật khẩu: 5–7 từ không liên quan, được chọn ngẫu nhiên. CISA khuyến nghị đúng cách này như một lựa chọn thay cho chuỗi ký tự hỗn hợp.

1. Để máy chọn từ. Con người thường chọn từ có nghĩa nối với nhau ("anh yêu em mãi"), dễ đoán hơn nhiều. Công cụ chọn từ ngẫu nhiên từ một danh sách cố định.
2. Đủ số từ. Với danh sách 1.481 từ, mỗi từ thêm khoảng 10,5 bit. 5 từ cho khoảng 53 bit, 6 từ khoảng 63 bit, 7 từ khoảng 74 bit. Danh sách càng nhỏ, càng cần nhiều từ.
3. Tạo câu chuyện để nhớ. Với cụm ví dụ "river-candle-orbit-mango-ticket-violet" (đừng dùng lại cụm đã in trong bài), hãy hình dung một con sông có ngọn nến trôi theo quỹ đạo quả xoài… Hình ảnh càng kỳ quặc càng dễ nhớ.
4. Gõ thử vài lần trong ngày đầu, sau đó lưu vào trình quản lý mật khẩu để dự phòng.

Mật khẩu không cần nhớ: để trình quản lý mật khẩu lo

Một người dùng văn phòng có thể có hàng chục tài khoản. Nhớ hết các mật khẩu dài và khác nhau là không thực tế, nên hãy giao việc đó cho trình quản lý mật khẩu: trình quản lý tích hợp trong trình duyệt, điện thoại, hoặc ứng dụng riêng. NIST yêu cầu hệ thống cho phép dùng trình quản lý mật khẩu và tự điền; CISA cũng khuyên doanh nghiệp dùng trình quản lý mật khẩu cho cả công ty.

Với Wi-Fi, khách không cần gõ mật khẩu dài: tạo mã QR loại Wi-Fi bằng công cụ tạo mã QR để khách quét là kết nối.

Hướng dẫn tạo mật khẩu mạnh bằng công cụ Softonline

Công cụ dùng nguồn ngẫu nhiên mật mã của trình duyệt (crypto.getRandomValues), không gửi mật khẩu lên máy chủ, không lưu lịch sử và kết quả mất khi bạn đóng trang.

1. Ở tab Mật khẩu, chọn Độ dài từ 8 đến 128 (mặc định 20) bằng thanh trượt hoặc ô số.
2. Giữ đủ bốn Nhóm ký tự. Nếu mật khẩu cần đọc cho người khác gõ, bật Loại ký tự dễ nhầm: 0 O o 1 l I; nếu hệ thống không nhận một số ký hiệu, nhập chúng vào ô Loại thêm các ký tự.
3. Bấm Tạo mật khẩu, rồi Hiện mật khẩu để xem và sao chép vào trình quản lý.
4. Cần mật khẩu dễ nhớ, chuyển sang tab Cụm mật khẩu, chọn Số từ (4–10, nên từ 6), Dấu phân cách, có thể bật viết hoa một từ hoặc thêm một chữ số, ký hiệu, rồi bấm Tạo cụm mật khẩu.
5. Muốn đánh giá mật khẩu đang dùng, mở tab Kiểm tra độ mạnh, gõ mật khẩu và điền tên, năm sinh cần tránh vào ô Thông tin cá nhân cần tránh.
6. Lưu xong thì bấm Xóa kết quả.

Lưu ý cụm mật khẩu của công cụ dùng từ tiếng Anh. Công cụ ước lượng độ mạnh theo mẫu dễ đoán và từ điển nhỏ tích hợp, không kiểm tra mật khẩu đã bị lộ trong các vụ rò rỉ.

Khuyến nghị mới của NIST thay đổi gì?

NIST SP 800-63B bản sửa đổi 4 (công bố 26/8/2025) là hướng dẫn dành cho các hệ thống xác thực, nhưng cũng giúp người dùng hiểu đâu là thói quen đúng:

• Mật khẩu dùng làm yếu tố duy nhất phải dài tối thiểu 15 ký tự; nếu đi kèm xác thực đa yếu tố thì tối thiểu 8 ký tự. Hệ thống nên cho phép dài ít nhất 64 ký tự.
• Hệ thống không được ép trộn loại ký tự (bắt buộc có chữ hoa, số, ký hiệu) và không được bắt đổi mật khẩu định kỳ; chỉ buộc đổi khi có dấu hiệu bị lộ.
• Hệ thống phải so mật khẩu mới với danh sách mật khẩu phổ biến, đã lộ, từ điển và từ theo ngữ cảnh như tên dịch vụ, tên đăng nhập.
• Không dùng gợi ý mật khẩu hay câu hỏi bảo mật kiểu "tên thú cưng đầu tiên".

Với chủ doanh nghiệp tự quản website, đây cũng là căn cứ để cấu hình chính sách mật khẩu: ưu tiên độ dài và danh sách chặn thay vì bắt nhân viên đổi mật khẩu mỗi 90 ngày.

Giữ mật khẩu an toàn sau khi tạo

• Bật xác thực hai lớp cho email, ngân hàng, mạng xã hội và tài khoản quản trị. CISA nhấn mạnh lớp bảo vệ này vẫn có tác dụng ngay cả khi mật khẩu bị đánh cắp.
• Không gửi mật khẩu qua tin nhắn, email cùng với tên đăng nhập. Nếu bắt buộc chia sẻ, gửi qua hai kênh khác nhau và đổi ngay sau đó.
• Cảnh giác trang đăng nhập giả: kiểm tra tên miền trước khi gõ mật khẩu, nhất là khi bấm từ liên kết trong tin nhắn.
• Đổi ngay khi nghi bị lộ, và đổi ở mọi nơi bạn từng dùng lại mật khẩu đó.

Câu hỏi thường gặp

Mật khẩu bao nhiêu ký tự là đủ mạnh?

Google khuyên tối thiểu 12 ký tự, CISA khuyên từ 16 ký tự, NIST yêu cầu hệ thống đòi tối thiểu 15 ký tự khi mật khẩu là yếu tố xác thực duy nhất. Dùng 16–20 ký tự ngẫu nhiên là mức an toàn cho đa số tài khoản.

Có nên đổi mật khẩu định kỳ 3 tháng một lần?

NIST không khuyến nghị bắt đổi định kỳ, vì người dùng thường chỉ đổi số cuối và mật khẩu yếu đi. Hãy đổi khi có dấu hiệu bị lộ, khi nhân viên giữ mật khẩu nghỉ việc hoặc khi phát hiện dùng trùng.

Ghi mật khẩu ra giấy có được không?

Một bản giấy cất kỹ ở nhà cho mật khẩu chính tốt hơn việc đặt mật khẩu ngắn để dễ nhớ. Điều cần tránh là dán giấy lên màn hình hoặc chụp ảnh lưu trong điện thoại.

Công cụ tạo mật khẩu online có an toàn không?

Chỉ nên dùng công cụ tạo mật khẩu ngay trên trình duyệt, dùng nguồn ngẫu nhiên mật mã và không gửi kết quả đi. Dù vậy, máy tính nhiễm mã độc vẫn có thể đọc được mật khẩu, nên hãy giữ thiết bị sạch và cập nhật.

Nguồn tham khảo

• NIST SP 800-63B Revision 4: Authentication and Authenticator Management (8/2025)
• CISA: Use strong passwords
• Google: Tạo mật khẩu mạnh và tài khoản an toàn hơn