Cách tạo mật khẩu an toàn? Những lỗi phổ biến nhất mà (có lẽ) Quý khách cũng mắc phải

“Tên vợ”, 12345, “không biết” hay thậm chí “password”. Các khảo sát cho thấy đây là những mật khẩu mà người dùng Séc từ lâu vẫn ưa chuộng nhất. Vâng, Quý khách không đọc nhầm đâu. Ngay cả năm 2018 vẫn có hàng chục nghìn người không mấy bận tâm đến an ninh internet của mình. Và hậu quả có thể rất nghiêm trọng. 

Ở nhà, và cả trên máy tính

Quý khách có thể hình dung việc đi nghỉ mà để cửa nhà mở toang không? Chắc là không. Nhưng khi nói đến an ninh internet, chúng ta lại không cẩn thận đến thế.

Và rủi ro rất lớn. Chỉ cần một mật khẩu yếu và vài cú nhấp chuột – trong trường hợp nhẹ hơn thì đồng nghiệp đọc được email của Quý khách, trong trường hợp nặng hơn thì ảnh riêng tư của Quý khách xuất hiện trên internet và tài khoản ngân hàng trống rỗng. Tin tặc và tội phạm mạng ngày càng sáng tạo hơn. Và không có gì an toàn trước chúng: email, nơi lưu trữ ảnh, mạng xã hội hay ngân hàng trực tuyến của Quý khách.
Những lỗi lớn nhất mà (có lẽ) Quý khách cũng mắc phải

Để lấy được mật khẩu của Quý khách, kẻ xấu không cần kỹ thuật cao siêu nào. Như các chuyên gia bảo mật cảnh báo, nếu ai đó có được mật khẩu của Quý khách thì trong đa số trường hợp, lỗi là ở chính Quý khách. Quý khách đang mắc một số lỗi phổ biến nhất (và lớn nhất).

1. Quý khách dùng mật khẩu dễ đoán

Ngày sinh của Quý khách hoặc của người thân, tên chú chó, hoặc có thể là “12345”. Nếu Quý khách dùng một trong những mật khẩu này thì chẳng khác nào để chìa khóa cửa nhà dưới tấm thảm chùi chân – cho bất cứ ai đi ngang qua nhặt lấy.

Và Quý khách nghĩ chỉ người thân mới biết ngày sinh của mình ư? Hãy nghĩ lại. Ai cũng có thể tìm thấy nó trên mạng xã hội của Quý khách, hoặc có thể trên trang web của Cơ quan Đăng ký Thương mại.

2. Quý khách viết mật khẩu ra giấy

Dù dán lên màn hình, giấu trong ví hay gõ vào điện thoại, thì điều này luôn đúng: đó là một ý tưởng rất tồi. 

3. Quý khách nhập mật khẩu trước mặt người khác

Nếu đăng nhập ở bất cứ nơi nào ngoài sự an toàn của chính ngôi nhà mình, hãy cẩn thận: chú ý người lạ và các camera. Quan sát bàn phím khi Quý khách gõ vẫn là một trong những cách phổ biến nhất để biết mật khẩu. Hãy cẩn thận.

4. Quý khách dùng cùng một mật khẩu ở nhiều nơi

Vâng, chúng tôi hiểu. Làm vậy đơn giản hơn. Và có hàng chục dịch vụ cần mật khẩu. Dù vậy, chúng tôi kêu gọi Quý khách tuân thủ nghiêm ngặt quy tắc “mỗi dịch vụ, một mật khẩu khác nhau”.

Lý do rất đơn giản. Nếu kẻ tấn công có được mật khẩu của Quý khách cho một dịch vụ bất kỳ, chúng có thể truy cập thêm nhiều nơi khác. Việc mất mật khẩu ban đầu có thể thậm chí không phải lỗi của Quý khách: đáng tiếc là vẫn còn tình trạng không phải nhà cung cấp dịch vụ internet nào cũng quan tâm đến an ninh của người dùng như họ phải làm. 

Nhân tiện, Quý khách có nhớ những vụ việc nổi tiếng khi các dịch vụ lớn như LinkedIn và Dropbox thừa nhận dữ liệu của hàng triệu người dùng đã bị rò rỉ ra công chúng không? Các mật khẩu, trong đó có thể có cả mật khẩu của Quý khách, sau đó bị rao bán trên chợ đen. Nhưng khởi nguồn là việc bảo mật yếu trên các máy chủ nơi các dịch vụ lưu mật khẩu của người dùng.

5. Quý khách đăng ký trên các máy chủ đáng ngờ

Quý khách có thực sự biết mình đang đăng nhập vào đâu không? Và ai có thể “nhìn thấy” toàn bộ dữ liệu nhạy cảm của Quý khách trên internet? Dù Quý khách tin rằng không ai thấy được, hãy cẩn thận: Quý khách có thể, dù không biết, để lộ mật khẩu và các thông tin khác cho một đơn vị vận hành không nhất thiết có thiện ý với Quý khách. 
Tin tặc lấy mật khẩu của Quý khách như thế nào

Trong thế giới bảo mật – đặc biệt là bảo mật internet – đáng tiếc là không có gì đơn giản. Bởi ngay cả khi Quý khách không mắc lỗi nào (hoặc chỉ mắc lỗi nhỏ nhất), Quý khách vẫn có thể mất mật khẩu (và quyền truy cập các ứng dụng quan trọng). Tin tặc biết rất rõ cách lấy mật khẩu. Nhất là mật khẩu của người khác.
Phishing: thả mồi… và câu được cá

MẸO: Hãy đọc bài viết Cách nhận biết phishing và cách bảo vệ bản thân.

Phishing – tức là các email lừa đảo – ngày nay là loại tấn công internet phổ biến nhất nhằm chiếm đoạt dữ liệu nhạy cảm của Quý khách. Chỉ trong hai năm qua, gần một nửa số công ty Séc báo cáo bị tấn công mạng đã gặp loại tội phạm mạng này. Các cuộc tấn công vào mạng di động cũng đang gia tăng.

Từ phishing bắt nguồn từ tiếng Anh “fishing” (câu cá), và nó mô tả rất đúng hoạt động của những kẻ lừa đảo trên internet. Chúng gửi email đến đủ loại địa chỉ, cố “câu” được càng nhiều nạn nhân càng tốt.

Một cuộc tấn công như vậy trông ra sao? Hãy hình dung Quý khách mở hộp thư và ngoài thư từ thông thường, thấy một email mới từ ngân hàng của mình. Với nội dung đáng báo động: bảo mật mật khẩu của Quý khách đã bị xâm phạm, và để không bị mất tiền, Quý khách phải đổi mật khẩu ngay lập tức. Tất nhiên, email cũng chứa một liên kết trực tiếp đến trang ngân hàng trực tuyến của Quý khách.

Nhưng có một chữ “nhưng” lớn. Dù trang mà Quý khách được dẫn đến sau khi nhấp trông gần như giống hệt trang của ngân hàng, nếu nhìn vào thanh địa chỉ, Quý khách sẽ thấy mình thực ra đang ở một trang web hoàn toàn khác – dù có thiết kế giống hệt.

Vâng, Quý khách đã hiểu đúng. Suýt nữa thì nguy – Quý khách đã sắp trao mật khẩu ngân hàng trực tuyến cho tội phạm mạng. Chỉ cần dùng lẽ thường là đủ. Hãy nghĩ xem – liệu ngân hàng có thật sự muốn Quý khách nhập thông tin nhạy cảm qua email không?

Sniffing: coi chừng ai đang theo dõi

Từ sniffing bắt nguồn từ tiếng Anh “to sniff” (đánh hơi). Nó mô tả rất rõ bản chất của sniffing. Nói đơn giản, đây là một kỹ thuật đặc biệt cho phép “nghe lén” luồng dữ liệu truyền đi – kể cả mật khẩu.

Với Quý khách, người dùng, điều này chỉ có nghĩa một điều: đừng nhập mật khẩu trên Wi-Fi công cộng không được bảo mật và, nếu có thể, đừng đăng nhập vào các dịch vụ không dùng giao thức HTTPS an toàn. Nếu không, kẻ không nên có mặt ở đó có thể “nghe” được mật khẩu của Quý khách.

Tấn công từ điển: thử mọi khả năng

Quý khách dùng một từ cụ thể làm mật khẩu? Vậy thì Quý khách gặp vấn đề rồi. Độ dài của mật khẩu không quan trọng lắm. Bằng cách gọi là tấn công từ điển, tin tặc duyệt lần lượt tất cả các từ (từ những từ dùng nhiều nhất đến những từ ít gặp hơn), và sớm muộn gì cũng đến lượt từ của Quý khách. (Để Quý khách hình dung: máy tính ngày nay có thể tìm ra một mật khẩu đơn giản gồm một từ cụ thể bằng tấn công từ điển chỉ trong vài mili giây!)

Nhân tiện, Quý khách có nhớ năm 2013, khi các tệp văn bản khổng lồ chứa 152 triệu tên người dùng và mật khẩu, mà tin tặc đã lấy từ các máy chủ Adobe được bảo mật kém, bắt đầu lan truyền trên internet không? Tin tặc cũng dùng những mật khẩu có được theo cách này làm từ điển mới. Và 150 triệu mật khẩu – đó là một mẫu khá lớn.

Brute force: đòi hỏi nhiều sức mạnh tính toán

Nguyên lý của phương pháp được gọi đơn giản là “brute force” (dùng sức mạnh thô) rất dễ hiểu. Dùng một máy tính mạnh, tin tặc cố “giải” mật khẩu của Quý khách như một bài toán tổ hợp cấp trung học. Nói theo cách dễ hiểu: chúng đơn giản là thử lần lượt tất cả các khả năng.

Về vấn đề này, chúng tôi có một tin tốt và một tin xấu. Tin xấu trước: nhờ phương pháp này, tin tặc có thể đoán ra bất kỳ mật khẩu nào trên thế giới. Còn tin tốt? Nếu Quý khách đã bỏ công sức cho mật khẩu của mình, chúng có thể phải mất hàng trăm năm. Quy tắc luôn đúng: mật khẩu càng phức tạp thì tội phạm mạng càng cần nhiều thời gian để bẻ khóa. (Nhân tiện, đây cũng là lý do ngày nay hầu hết các dịch vụ yêu cầu độ dài tối thiểu và việc dùng ký tự đặc biệt khi Quý khách nhập mật khẩu.) 

Đây là thông điệp rõ ràng dành cho Quý khách: Quý khách dùng càng nhiều ký tự đặc biệt, chữ số và chữ thường lẫn chữ hoa trong mật khẩu thì càng gây khó khăn cho tin tặc và tội phạm mạng. Và Quý khách càng có thể yên tâm rằng mật khẩu (và quyền riêng tư) của mình được an toàn.

An toàn trên internet. Dưới đây là một vài lời khuyên

Sau khi đọc các đoạn trên, Quý khách có cảm thấy cuộc chiến bảo vệ quyền riêng tư trên internet đã thua ngay từ đầu không? May mắn là mọi thứ không quá ảm đạm như vậy. Dù ngày nay tin tặc có nhiều công cụ để phá mật khẩu, chỉ cần tuân theo vài nguyên tắc là Quý khách sẽ được an toàn.

1. Tạo một mật khẩu an toàn

Một mật khẩu an toàn nên có ít nhất tám ký tự, gồm cả chữ thường và chữ hoa, cùng một hoặc nhiều ký tự đặc biệt (ví dụ ký hiệu a còng, dấu thăng, v.v.). Từ Quý khách dùng làm mật khẩu không nên xuất hiện trong bất kỳ từ điển nào. Tránh để mật khẩu chứa tên người dùng hoặc tên dịch vụ mà Quý khách đang đăng nhập. Và luôn tuân thủ quy tắc “mỗi dịch vụ, một mật khẩu khác nhau”.

2. Kích hoạt bảo mật hai yếu tố

Khi dịch vụ Quý khách đăng nhập cho phép, hãy kích hoạt cả cái gọi là xác thực hai bước cho việc đăng nhập.

Cách thức hoạt động ra sao? Đơn giản: mỗi lần Quý khách cố đăng nhập vào dịch vụ, ngoài mật khẩu, Quý khách sẽ được yêu cầu nhập một mã bảo mật (thường gửi đến điện thoại di động của Quý khách). Lợi ích rất rõ ràng: ngay cả khi kẻ tấn công có được mật khẩu của Quý khách, rất khó có chuyện chúng đồng thời truy cập được cả điện thoại của Quý khách.

3. Hãy quên câu hỏi bảo mật đi

Họ trước khi kết hôn của mẹ, bộ phim yêu thích hay tên thú cưng của Quý khách. Nếu Quý khách đã kích hoạt cái gọi là câu hỏi bảo mật cho bất kỳ dịch vụ nào đang dùng, hãy dừng đọc ngay và đi tắt chúng. Đó là một trong những sai lầm lớn nhất trong lịch sử bảo mật internet, và cũng là một trong những lỗ hổng bảo mật lớn nhất.

Thắc mắc vì sao? Hãy hình dung Quý khách quên mật khẩu email. Không sao – chỉ cần nhập họ trước khi kết hôn của mẹ. Vài giây sau, Quý khách lại nhìn thấy hộp thư đến và gửi email cho bạn bè.

Chỉ có điều đó không phải Quý khách – mà là một tin tặc (hoặc “chỉ là” ai đó không mấy ưa Quý khách) đã vào được hộp thư của Quý khách theo cách đơn giản này. Và chúng gần như không cần gì: chỉ nhờ kỹ thuật tấn công phi kỹ thuật, chúng đã biết họ trước khi kết hôn của mẹ Quý khách là gì. Và trong thời đại internet, đó không phải việc đặc biệt khó, đúng không?

4. Cẩn thận về nơi đăng nhập

An ninh internet là một chủ đề lớn của thời đại chúng ta. Đáng tiếc là không phải đơn vị vận hành trang web và dịch vụ nào cũng nhận ra điều đó. Và họ không chăm chút cho mật khẩu của Quý khách (hay của những người dùng khác) như mức nó xứng đáng được hưởng.

Để đảm bảo an toàn cho người dùng, ngày nay hầu hết các đơn vị vận hành internet dùng cơ sở dữ liệu “băm” (hashed) để lưu mật khẩu. Nói đơn giản: ngay cả họ cũng không thể “nhìn thấy” mật khẩu của Quý khách, vì nó được lưu trong cơ sở dữ liệu ở dạng đã mã hóa (băm). (Đây cũng là lý do khi Quý khách cố lấy lại mật khẩu đã quên, email gửi đến không chứa chính mật khẩu mà là một mã để Quý khách tạo mật khẩu mới. Đơn vị vận hành không biết mật khẩu của Quý khách.)

Những đơn vị khác, đáng tiếc, lại không có trách nhiệm như vậy. Làm sao phân biệt loại thứ nhất với loại thứ hai? Đơn giản: khi Quý khách nhấp “Quên mật khẩu”, một email gửi đến ghi đúng nguyên văn mật khẩu của Quý khách. Với Quý khách, đây là thông điệp rõ ràng – dịch vụ đó không quan tâm đến bảo mật mật khẩu và lưu mật khẩu trong cơ sở dữ liệu không được bảo vệ. Hãy rời xa dịch vụ như vậy nhanh nhất có thể!

5. Đừng lưu mật khẩu trong trình duyệt

Vâng, nó rất tiện. Và từng trình duyệt gần như mời gọi Quý khách làm vậy. Một cú nhấp và Quý khách không phải nhập mật khẩu nữa, vì trình duyệt nhớ giúp và tự động đăng nhập mỗi lần Quý khách truy cập.

Tuy nhiên, lưu mật khẩu trực tiếp trong trình duyệt là một ý tưởng rất tồi, vì hai lý do. Một số cuộc tấn công không nhắm vào mật khẩu của Quý khách mà nhắm vào quyền truy cập máy tính của Quý khách. Khi tin tặc thành công, cùng với quyền truy cập máy tính, chúng còn có toàn quyền truy cập tất cả các dịch vụ mà Quý khách đã lưu thông tin đăng nhập trong trình duyệt.

Hơn nữa, tin tặc phá bảo mật của mật khẩu lưu trong trình duyệt dễ hơn nhiều so với mật khẩu thường được lưu trong các dịch vụ đám mây. Gần đây các chuyên gia bảo mật đã chỉ ra những đoạn mã có thể lén lút trích xuất dữ liệu đã lưu từ trình duyệt.

6. Dùng trình quản lý mật khẩu

Trước hết, xin tóm tắt ngắn gọn. Để mật khẩu thực sự an toàn, nó phải đủ dài, gồm nhiều loại ký tự khác nhau và hơn nữa phải là duy nhất cho mỗi dịch vụ. Nói thì dễ hơn làm? Quý khách nói đúng. Con người không thể nhớ nổi số lượng lớn các tổ hợp khác nhau như vậy – vì thế hầu hết người dùng không bận tâm đến bảo mật và lưu mật khẩu trong điện thoại, thậm chí viết ra giấy dán lên màn hình.

May mắn là một số nhà phát triển cũng đã nhận ra điều này và nghĩ ra cái gọi là “trình quản lý mật khẩu”. Đây là những ứng dụng nhớ giúp Quý khách tất cả mật khẩu và, để mọi việc dễ dàng hơn nữa, còn có thể giúp Quý khách nghĩ ra một mật khẩu thực sự an toàn. Việc còn lại của Quý khách chỉ là nhớ mật khẩu chính dùng để đăng nhập vào trình quản lý mật khẩu.

Trong số các trình quản lý mật khẩu phổ biến nhất có LastPass, ngoài việc lưu trữ mật khẩu an toàn còn cung cấp đồng bộ giữa các thiết bị, kể cả điện thoại di động. Một trình quản lý mật khẩu phổ biến khác, 1Password, hoạt động tương tự và còn cho phép Quý khách tải tài liệu lên dịch vụ (có sẵn 1 GB). Tuy nhiên, khác với LastPass, Quý khách không thể dùng nó hoàn toàn miễn phí.

MẸO: Chúng tôi khuyên Quý khách đọc một trong những bài viết thành công nhất của chúng tôi, Mười quy tắc để an toàn trên mạng

Một tương lai không mật khẩu?

Các chuyên gia từ lâu đã đồng ý rằng an ninh internet sẽ là một trong những chủ đề lớn của những năm tới. Và điều đó không có gì lạ: công việc và cuộc sống của chúng ta đang chuyển lên internet, và vấn đề bảo mật cùng quyền riêng tư sẽ đóng vai trò ngày càng lớn.

Chính các chuyên gia ấy cũng đưa ra một quan điểm mang tính đột phá: tương lai của chúng ta có thể là một thế giới nơi mọi mật khẩu biến mất hoàn toàn. Vì một lý do: người ta nói đó là một công nghệ đã vượt xa thế giới hiện nay – một thế giới mà sinh trắc học ngày càng chiếm ưu thế. Theo họ, tương lai nằm ở dữ liệu sinh trắc học của chúng ta.

Và thành thật mà nói, điều đó có lý. Liệu có thông tin xác thực truy cập nào an toàn hơn giọng nói, dấu vân tay hay quét mống mắt của Quý khách không? Ngày nay các chuyên gia, và đặc biệt là đại diện của các công ty công nghệ lớn, đang thảo luận sôi nổi về vấn đề này. Và họ đang dần đưa kết quả suy nghĩ của mình vào thực tế. 

Chỉ vài năm nữa, có thể sẽ thấy Touch ID hay Face ID, những thứ chúng ta quen dùng ngày nay để mở khóa điện thoại, thực ra chỉ là khởi đầu của một điều lớn hơn nhiều. 

Ngoài các mật khẩu được chọn cẩn thận, an ninh internet còn được đảm bảo bởi một kết nối đáng tin cậy và được bảo vệ. Hãy kết nối internet cùng chúng tôi tại UVT, hoặc Quý khách cũng có thể đọc bài viết Chiêu thức kinh doanh dọa dẫm rồi xuất hóa đơn của một số hãng phần mềm diệt virus đang làm chậm internet của Quý khách.

Cập nhật ngày 5 tháng 3 năm 2024