# Mật khẩu đã lưu của bạn nằm ở đâu, và ai khác có thể mở chúng

> Nếu bạn từng bấm «Lưu mật khẩu», bạn đã dùng một trình quản lý mật khẩu rồi. Câu hỏi thú vị không phải mật khẩu của bạn nằm ở đâu, mà cần gì để mở chúng: và ở điểm đó Chrome, Safari và Firefox chẳng giống nhau chút nào.

2026-08-30 · David Carrero · password.es
Original: https://password.es/vi/blog/mat-khau-da-luu-cua-ban-o-dau/

---

Nếu bạn từng bấm «Lưu mật khẩu» ở cái cửa sổ nhỏ hiện ra phía dưới màn hình, thì
bạn đã dùng một trình quản lý mật khẩu rồi. **Không ai nói cho bạn biết, bạn chưa
chọn cái nào, vậy mà bạn vẫn có một cái.** Có lẽ với cả trăm mục bên trong.

Điều đó giải thích vì sao câu hỏi được lặp lại nhiều nhất về mật khẩu không phải
«làm sao tạo một cái tốt», mà là «mật khẩu của tôi ở đâu». Người ta không tìm một
cuốn cẩm nang an ninh: họ tìm một danh sách mà họ biết là có tồn tại nhưng không
tìm ra.

Danh sách đó có tồn tại. Nhưng nơi nó được lưu ít quan trọng hơn nhiều so với câu
trả lời cho câu hỏi tiếp theo, câu mà gần như không ai đặt ra: **cần gì để mở
nó?**

## Chúng ở đâu, tùy theo thứ bạn dùng

Trong **Chrome**, chúng nằm trong trình quản lý mật khẩu của Google. Chúng sống ở
hai nơi cùng lúc: một bản sao trên máy tính và một bản trong tài khoản Google của
bạn, được đồng bộ. Xem được tại `passwords.google.com` hoặc trong phần cài đặt của
chính trình duyệt.

Trên **Safari, iPhone và Mac**, chúng nằm trong Chuỗi khóa iCloud, thứ gần đây đã
có ứng dụng riêng: Mật khẩu. Cùng một ý tưởng: trên thiết bị và trong tài khoản
Apple của bạn.

Trong **Firefox**, chúng nằm trong hai tập tin bên trong hồ sơ của bạn, và tên của
chúng đáng để biết: `logins.json`, nơi chứa tên người dùng và mật khẩu đã mã hóa,
và `key4.db`, nơi chứa khóa giải mã chúng. Mozilla ghi lại đúng như vậy, với đúng
những cái tên đó.

Trong **Edge**, chúng nằm trong tài khoản Microsoft của bạn, theo cùng sơ đồ với
Chrome. Còn trên **Android**, đó vẫn là trình quản lý Google mà Chrome dùng, dù
bạn mở nó từ phần cài đặt của điện thoại.

Đến đây là câu trả lời bạn tìm. Bây giờ đến phần thay đổi được điều gì đó.

## Ba mô hình, và vì sao chúng không tương đương

Cả ba đều nói «mật khẩu của bạn đã được mã hóa». Điều đó đúng trong cả ba trường
hợp và không mang cùng một nghĩa trong bất kỳ trường hợp nào, bởi thứ thay đổi là
**ai giữ chìa khóa**.

**Chuỗi khóa của Apple được mã hóa đầu cuối.** Những khóa mở nó thì Apple không
biết; chúng chỉ tồn tại trên các thiết bị tin cậy của bạn. Apple công bố điều này
trong tài liệu bảo mật của mình, và thêm một chi tiết đáng quý: hệ thống giới hạn
số lần thử, chính là để ngay cả từ bên trong hạ tầng của họ cũng không ai có thể
dò bừa. Không có gì phải bật. Nó đã như vậy rồi.

**Ở Google, chế độ đó có tồn tại nhưng là tùy chọn.** Mặc định, mật khẩu của bạn
đi trên đường đã mã hóa và được lưu đã mã hóa, nhưng bằng những khóa do Google
quản lý. Bạn có thể đổi: một *cụm mật khẩu đồng bộ* —hoặc mã hóa trên thiết bị,
tùy bạn vào từ đâu— khiến các khóa chỉ còn nằm trong tay bạn. Khác biệt trong thực
tế là rất lớn, vậy mà phần lớn mọi người chưa từng bật nó, vì chẳng ai giải thích
rằng nó tồn tại. Nó có cái giá, và cái giá đó phải nói cho trọn: **nếu bạn quên
cụm từ ấy, không ai lấy lại được mật khẩu đã lưu của bạn.** Đó chính xác là ý
nghĩa của chữ «chỉ mình bạn».

**Trong Firefox, không có mật khẩu chính thì mã hóa không bảo vệ bạn trước người
đang giữ tập tin của bạn.** Đây là phần khó chịu nhất của bài viết này, và người
nói ra là Mozilla chứ không phải chúng tôi: nếu chưa đặt mật khẩu chính, bất kỳ ai
sao chép `logins.json` và `key4.db` từ hồ sơ của bạn đều có thể đọc được thông tin
đăng nhập. Hai tập tin đi cùng nhau: một cái mang ổ khóa, cái kia mang chìa. Đặt
một mật khẩu chính chính là việc mã hóa cái chìa đó và bẻ gãy cặp đôi.

## Kịch bản thật không phải phim ảnh

Khi hình dung mình bị lấy mất mật khẩu, người ta hình dung ai đó tấn công máy chủ.
Trên thực tế, hai trường hợp thật sự xảy ra thì gần gũi hơn nhiều.

Thứ nhất: **ai đó có quyền chạm vào chiếc máy tính đang mở khóa của bạn.** Không
cần biết gì cả. Danh sách chỉ cách hai cú nhấp trong phần cài đặt trình duyệt, và
dù nó có hỏi mật khẩu hệ thống để hiện ra dạng rõ, mật khẩu ấy thì người sống cùng
bạn hoặc người từng thấy bạn gõ đều biết.

Thứ hai: **một chương trình sao chép hồ sơ trình duyệt của bạn.** Nó chẳng phá gì
cả. Nó lấy các tập tin đi và mở ở nơi khác một cách thong thả. Loại phần mềm này
phổ biến đến mức có tên riêng trong ngành, *infostealer*, và đó chính xác là lý do
câu «nhưng chúng được mã hóa mà» luôn cần câu hỏi tiếp theo: mã hóa, được thôi —
thế còn chìa khóa ở đâu?

Trước kịch bản thứ hai đó, mô hình của Apple trụ được, của Google trụ được nếu bạn
đã bật cụm mật khẩu, còn Firefox không có mật khẩu chính thì chẳng trụ được gì.

## Nên làm gì, theo thứ tự thay đổi nhiều nhất

**Một.** Nếu bạn dùng Firefox, hãy đặt một mật khẩu chính. Đó là một ô đánh dấu
trong phần cài đặt quyền riêng tư và là thay đổi bảo vệ nhiều nhất với ít công sức
nhất trong cả danh sách này.

**Hai.** Nếu bạn dùng Chrome hoặc Android, vào trình quản lý của Google và bật mã
hóa trên thiết bị hoặc cụm mật khẩu đồng bộ. Hãy ghi nó ra một chỗ vật lý trước
khi bật, và hiểu rõ bạn đang ký vào điều gì: từ lúc đó, cụm từ ấy là cánh cửa duy
nhất.

**Ba.** Nhìn lại mật khẩu của tài khoản đang giữ tất cả những cái còn lại. Tài
khoản Google, Apple ID hay tài khoản Microsoft của bạn đã thôi là «một tài khoản
nữa» kể từ khoảnh khắc bạn bắt đầu lưu mật khẩu vào trong: giờ chúng là chìa khóa
của phần còn lại. Nếu mật khẩu đó do chính bạn nghĩ ra tám năm trước, hãy đưa nó
qua [trình kiểm tra](/vi/kiem-tra/) và xem nó nói gì. Và nếu thấy nên, hãy thay
bằng một cái từ [trình tạo](/vi/).

**Bốn.** Bật yếu tố thứ hai cho tài khoản đó. Đó là bước biến «họ biết mật khẩu
của bạn» thành «họ vẫn không vào được».

## Vậy là đủ, hay tôi cần một trình quản lý thật sự?

Còn tùy để làm gì, và ở đây câu trả lời trung thực không phải câu trả lời bán được
hàng.

Với phần lớn mọi người, trình quản lý của trình duyệt với mã hóa được cấu hình
đúng là **đủ**, và tốt hơn vô cùng so với lựa chọn thay thế có thật, thứ không phải
là một trình quản lý tốt hơn: đó là cùng một mật khẩu lặp lại ở bốn mươi trang.

Một trình quản lý riêng thắng khi xuất hiện những việc mà cái của trình duyệt làm
dở hoặc không làm: dùng hai trình duyệt khác nhau mà không phát điên, chia sẻ một
mật khẩu với bạn đời mà không gửi qua WhatsApp, lưu những thứ không phải mật khẩu,
rời khỏi một hệ sinh thái mà không mất hết, hoặc có thể kiểm tra mã nguồn của bên
đang giữ bí mật của bạn. Chúng tôi nói về điều đó trong một bài khác, và tóm lại
là: bước nhảy lớn không nằm giữa trình quản lý này với trình quản lý kia, mà nằm
giữa không có gì và có một cái nào đó.

## Thứ bạn thật sự đang tìm

Bạn đang tìm một danh sách. Nó nằm ở `passwords.google.com`, trong ứng dụng Mật
khẩu trên iPhone của bạn, hoặc trong phần cài đặt trình duyệt, tùy theo thứ bạn
dùng.

Nhưng đã vào đến đó rồi, hãy xem thêm một điều: **cùng một mật khẩu lặp lại bao
nhiêu lần trong danh sách ấy.** Cả ba trình quản lý đều nói cho bạn biết nếu bạn
hỏi. Con số đó giải thích tình cảnh thật của bạn rõ hơn bất cứ thứ gì bạn có thể
đọc về mã hóa, kể cả bài này.

---

*Nguồn: tài liệu bảo mật của Apple về Chuỗi khóa iCloud —mã hóa đầu cuối bằng
những khóa Apple không biết, và có giới hạn số lần thử— · trợ giúp của Google
Chrome về đồng bộ, cụm mật khẩu đồng bộ và mã hóa trên thiết bị · tài liệu của
Mozilla về cách Firefox lưu mật khẩu (`logins.json` và `key4.db`) và về mật khẩu
chính.*