1. 14:05 12/08/2026
CẢNH BÁO THỰC TẾ
Nhiều hệ thống đã dùng password hash nhưng vẫn có rủi ro nghiêm trọng vì cấu hình hash quá yếu, reset password dễ bị chiếm, thông báo đăng nhập làm lộ tài khoản tồn tại hoặc cơ chế giới hạn thử sai khóa nhầm hàng loạt người dùng. Bảo vệ mật khẩu phải là một vòng đời hoàn chỉnh, không chỉ là một hàm hash.
Thực hành thiết yếu:
1. Dùng password hashing hiện đại do framework/platform hỗ trợ, với salt riêng và cost được kiểm thử trên hạ tầng thực tế. Không tự thiết kế thuật toán mã hóa hoặc dùng hash nhanh như SHA-256 cho password.
2. Chỉ lưu password hash; password gốc, OTP, reset token và câu trả lời recovery không được xuất hiện trong log, analytics hay support ticket.
3. Reset token phải ngẫu nhiên, một lần dùng, hết hạn ngắn, được lưu/kiểm tra an toàn và vô hiệu hóa sau khi đổi mật khẩu. Thao tác reset cần alert cho chủ tài khoản.
4. Phản hồi đăng nhập và reset phải chung chung, không cho phép kẻ xấu liệt kê email hoặc username hợp lệ.
5. Rate limit kết hợp theo account, IP và tín hiệu rủi ro; tránh chỉ khóa theo IP hoặc khóa dài hạn ngay lần đầu vì NAT và mobile network có thể ảnh hưởng người dùng khác.
Hãy yêu cầu MFA cho tài khoản quan trọng, thu hồi session và refresh token sau đổi mật khẩu, đồng thời có audit log cho login, reset, đổi recovery method và thay đổi MFA. Chính sách mật khẩu nên ưu tiên password dài, độc nhất và password manager hơn là ép thay đổi định kỳ vô lý.
Tham khảo: NIST SP 800-63B về authentication và lifecycle management.