Vì sao không bao giờ dùng lại mật khẩu: bài học từ rò rỉ dữ liệu với B52club
Trong văn phòng xưa, nếu một chiếc chìa khóa mở được tất cả các tủ hồ sơ, thì việc nó bị đánh cắp sẽ là thảm họa. Không ai thiết kế như vậy; mỗi tủ có một chìa riêng, để mất một cái chỉ mất một tủ. Mật khẩu số hoạt động đúng như thế, vậy mà rất nhiều người vẫn dùng một chiếc chìa duy nhất cho mọi cánh cửa, từ email, mạng xã hội, ngân hàng đến tài khoản B52club. Bài này giải thích vì sao thói quen ấy nguy hiểm và cách thay thế nó một cách thực tế.
Ảnh: Rodrigo Tadeo / Unsplash
Rò rỉ dữ liệu xảy ra thường xuyên hơn bạn nghĩ
Các dịch vụ trực tuyến, dù lớn hay nhỏ, đều có thể bị xâm nhập. Khi chuyện đó xảy ra, kho thông tin người dùng gồm email, mật khẩu hoặc dạng mã hóa của chúng có thể bị đánh cắp và bày bán hay chia sẻ trong các cộng đồng ngầm. Điều quan trọng là bạn không kiểm soát được dịch vụ nào bị lộ, và cũng thường không biết ngay lúc nó xảy ra, có khi vài tháng hay vài năm sau mới hay.
Vì vậy, an toàn của bạn không chỉ phụ thuộc vào việc bản thân cẩn thận, mà còn vào việc những nơi bạn từng đăng ký có giữ tốt dữ liệu hay không. Cách duy nhất để không bị vạ lây là thiết kế sao cho một nơi lộ cũng không kéo theo nơi khác.
Credential stuffing: một nơi lộ kéo theo nhiều nơi
Credential stuffing, tạm hiểu là nhồi thông tin đăng nhập, là kỹ thuật mà kẻ tấn công lấy các cặp email và mật khẩu đã lộ ở một nơi rồi thử tự động hàng loạt trên nhiều dịch vụ khác. Chúng không cần đoán mật khẩu của bạn; chúng chỉ cần bạn đã dùng lại.
Hãy hình dung kịch bản: bạn dùng cùng một mật khẩu cho một diễn đàn nhỏ và cho tài khoản B52club. Diễn đàn nhỏ bảo mật yếu, bị lộ. Vài giờ sau, một chương trình tự động thử đúng cặp ấy trên hàng trăm dịch vụ phổ biến. Nếu nó khớp ở đâu, cánh cửa ở đó mở ra mà không cần phá khoá. Điều đáng sợ là cuộc tấn công này rẻ, nhanh và gần như không cần kỹ năng, nên nó nhắm vào số đông chứ không riêng ai.
Mật khẩu duy nhất cho mỗi dịch vụ
Giải pháp nguyên tắc rất gọn: mỗi dịch vụ một mật khẩu riêng, không trùng, không biến thể. Biến thể là cái bẫy: đổi "matkhau1" thành "matkhau2" không đem lại bao nhiêu an toàn vì kẻ tấn công cũng thử các biến thể phổ biến.
Một mật khẩu tốt có những đặc điểm sau:
- Dài: từ mười sáu ký tự trở lên, vì độ dài quan trọng hơn độ phức tạp vặt.
- Ngẫu nhiên hoặc là một cụm từ dài gồm nhiều từ không liên quan.
- Không chứa tên, ngày sinh, số điện thoại hay bất kỳ thông tin nào người khác dễ đoán.
- Không từng được dùng ở bất kỳ đâu khác.
Chính độ dài và sự ngẫu nhiên khiến việc nhớ bằng đầu gần như không khả thi cho hàng chục tài khoản. Đó là lý do ta cần một công cụ.
Trình quản lý mật khẩu, người giữ chìa đáng tin
Trình quản lý mật khẩu là ứng dụng lưu toàn bộ mật khẩu trong một kho được mã hóa, mở bằng một mật khẩu chủ duy nhất. Bạn chỉ cần nhớ một mật khẩu thật mạnh, còn lại để công cụ tạo và điền hộ. Lợi ích còn nhiều hơn thế: nó tự sinh mật khẩu ngẫu nhiên, chỉ tự điền khi tên miền khớp nên giúp chống trang giả mạo, và cảnh báo khi phát hiện mật khẩu trùng hoặc yếu.
Cách bắt đầu không cần làm hết một lần:
- Chọn một trình quản lý uy tín, tốt nhất có hỗ trợ khóa bảo mật hoặc xác thực hai lớp.
- Đặt mật khẩu chủ dài, dạng cụm từ, chưa dùng ở đâu, và bật xác thực hai lớp cho chính kho này.
- Bắt đầu thay mật khẩu theo thứ tự ưu tiên: email chính, ngân hàng và ví, rồi B52club cùng các dịch vụ có liên quan tiền bạc, sau đó đến phần còn lại.
- Mỗi lần đăng nhập vào một nơi cũ, nhờ trình quản lý sinh mật khẩu mới ngay.
- Cất mã khôi phục của kho ở nơi riêng, ngoài thiết bị.
Đừng cất mật khẩu trong ghi chú thường hoặc bảng tính không mã hóa, vì như vậy chẳng khác để chìa khóa dưới thảm chùi chân.
Kiểm tra rò rỉ và phản ứng
Hãy định kỳ kiểm tra xem địa chỉ email của mình có xuất hiện trong các vụ rò rỉ đã biết hay không, bằng dịch vụ kiểm tra uy tín hoặc tính năng cảnh báo có sẵn trong trình quản lý mật khẩu hay trình duyệt. Khi nhận được thông báo rò rỉ:
- Đổi ngay mật khẩu tại dịch vụ bị lộ.
- Nếu mật khẩu cũ từng dùng ở nơi khác, đổi luôn ở những nơi đó, bắt đầu với email và các dịch vụ liên quan tài chính, rồi B52club.
- Bật hoặc kiểm tra lại xác thực hai lớp.
- Xem lịch sử đăng nhập và các thiết bị đã kết nối, thoát những phiên lạ.
- Cảnh giác với thư và tin nhắn lừa đảo sau vụ rò rỉ, vì kẻ xấu thường tận dụng danh sách lộ để nhắm đúng bạn.
Tuyệt đối đừng chia sẻ mật khẩu hay mã OTP cho bất kỳ ai tự xưng là hỗ trợ, và đừng nhập chúng trên trang mở từ đường dẫn lạ.
Sai lầm thường gặp
Những lỗi hay gặp gồm: dùng chung mật khẩu "cho dễ nhớ", chỉ đổi đuôi số, giữ mật khẩu chủ yếu, không bật xác thực hai lớp, bỏ qua thông báo rò rỉ vì nghĩ "chắc không sao", và chỉ bảo vệ tài khoản ngân hàng mà quên email, trong khi email mới là chìa khóa khôi phục của mọi thứ.
Mỗi cánh cửa một chiếc chìa
Một tên trộm cầm được một chiếc chìa chỉ mở được một ngăn tủ, nếu bạn đã chuẩn bị chu đáo. Đó là điều mật khẩu duy nhất làm được cho bạn: biến mỗi vụ rò rỉ từ thảm họa thành chuyện nhỏ cần xử lý. Với B52club, hãy dành một buổi chiều lập một mật khẩu riêng thật dài, cất vào trình quản lý đáng tin, bật thêm lớp xác thực, rồi để thói quen đó âm thầm bảo vệ bạn những năm sau.
Bài viết chỉ mang tính hướng dẫn chơi có trách nhiệm cho người từ đủ 18 tuổi; mỗi người cần tuân thủ pháp luật tại nơi cư trú, đặt giới hạn giải trí rõ ràng và tự chịu trách nhiệm với quyết định của mình.