Mật khẩu là một chuỗi ký tự bí mật chứng minh bạn chính là người mà bạn tự nhận. Đây là phương pháp xác thực lâu đời và phổ biến nhất. Nó cũng là phương pháp yếu nhất. Mọi người thường tái sử dụng mật khẩu trên nhiều trang web. Họ chọn những từ dễ nhớ và dễ đoán. Họ viết chúng lên giấy nhớ và chia sẻ với đồng nghiệp. Kẻ tấn công biết điều này. Đánh cắp thông tin đăng nhập là điểm khởi đầu của hầu hết các vụ xâm phạm an ninh mạng.

Độ mạnh của mật khẩu đến từ độ dài và tính khó đoán. Một mật khẩu gồm 12 ký tự được tạo thành từ các từ ngẫu nhiên mạnh hơn và dễ nhớ hơn một chuỗi 8 ký tự chỉ gồm các ký hiệu. Vấn đề không nằm ở bản thân mật khẩu, mà là hệ thống xung quanh nó. Lưu trữ mật khẩu dưới dạng văn bản thuần là thiếu cẩn trọng. Lưu trữ chúng với hàm băm nhanh cũng tệ không kém. Mật khẩu nên được thêm muối và băm bằng thuật toán chậm như bcrypt hoặc Argon2. Giới hạn tốc độ truy cập giúp chặn các nỗ lực tấn công vét cạn. Hệ thống phát hiện vi phạm kiểm tra mật khẩu mới so với các danh sách mật khẩu bị rò rỉ đã biết.

Các thực tiễn tốt nhất về mật khẩu

• Sử dụng trình quản lý mật khẩu — tạo và lưu trữ các mật khẩu độc đáo.
• Độ dài quan trọng hơn độ phức tạp — dài hơn thì tốt hơn là xa lạ.
• Không bao giờ tái phạm — một vụ vi phạm không nên gây ra hậu quả lan rộng.
• Hãy bật xác thực đa yếu tố (MFA) — chỉ dùng mật khẩu thôi là chưa đủ.
• Kiểm tra xem có bị xâm phạm mật khẩu không — thay đổi mật khẩu bị lộ ngay lập tức.

Mật khẩu sẽ không biến mất trong thời gian ngắn, nhưng chúng không còn đủ sức bảo vệ toàn diện nữa. Hãy coi chúng như một lớp bảo vệ, chứ không phải toàn bộ hệ thống phòng thủ.