“Zaphod chỉ là anh chàng này, bạn biết mà?”
– Halfrunt, Hành trình d trí hitchhiker qua dải ngân hà của Douglas Adams. Cuốn sách, không phải phim. Chắc chắn không phải phim.
Một số người (??) thực sự đam mê an ninh mạng, mã hóa end-to-end, và cực kỳ hào hứng khi lần đầu học cách máy Enigma hoạt động. Những người này có xu hướng có hứng thú bẩm sinh trong việc xây dựng một tư thế an ninh mạng cá nhân không thể cười cười được.
Hầu hết mọi người, đáng tiếc, coi an ninh mạng là tùy chọn. Hầu hết mọi người nói những điều như:
“Không ai nhắm vào tôi đâu.”
“Tôi không có gì để giấu de cả.”
“Tôi bận quá, không học được đống này. Tại sao không ai cho tôi một tóm tắt các phương pháp hay nhất mà tôi có thể lướt qua trong khoảng bảy phút?”
Đối với những người đó, tôi nói, xin chào, bạn đọc giả giả định vô hình! Đây là tóm tắt các phương pháp hay nhất bạn có thể lướt qua trong khoảng bảy phút.
Tại sao tôi phải quan tâm
Bạn có thể thấy khó hiểu tại sao an ninh mạng quan trọng khi bạn chỉ là người bình thường. Chắc chắn bạn không muốn thiết bị bị hack hay dữ liệu cá nhân bị đánh cắp, nhưng không ai đang nhắm vào bạn cụ thể, phải không?
Hey Alex, tôi chọn "phải", cho 400$. Không ai có khả năng cố gắng đánh cắp đồ cụ thể của bạn, mặc dù tôi phải thừa nhận thảm Ba Tư của bạn sẽ làm cho căn phòng gắn kết hoàn hảo. Thay vào đó, có thể hiểu an ninh mạng nếu bạn nghĩ về nó dưới dạng trái cây treo thấp.
Bạn có trái cây, tôi có trái cây. Joe từ ngõ đối diện có robot hút trái cây công suất 1.21 gigawatt flux-capacitor. Joe không biết cả hai chúng ta tồn tại, nhưng robot của ông ta đi (rất nhanh) từ cửa nọ sang cửa kia, quanh khu phố, tìm trái cây. Nếu cửa trước nhà tôi khóa và cửa bạn mở toang, trái cây của ai sẽ bị robot của Joe hút?
Nếu điều đó nghe giống như an ninh thông thường, cũ kỹ, bình thường, bạn đúng! An ninh mạng không phải là tìm một phép màu khiến trái cây của bạn an toàn tối đa. Nó là về việc làm trái cây của bạn an toàn hơn trái cây bên cạnh. Bạn làm điều đó bằng cách áp dụng một số thói quen suy nghĩ, giống như bạn học cách khóa cửa trước để phòng tránh robot hút trái cây.
Lỗ hổng an ninh và sự cố xảy ra mỗi ngày. Hầu hết xảy ra vì một bộ quét tự động撒 một cái lưới lớn và tìm thấy một người hoặc công ty với an ninh lỏng lẻo mà hacker có thể khai thác. Đừng là người đó.
Tư thế an ninh (security posture) là gì?
V đây là cách Viện Tiêu chuẩn và Công nghệ Quốc gia (NIST) định nghĩa tư thế an ninh:
Trạng thái an ninh của mạng lưới, thông tin và hệ thống của một doanh nghiệp dựa trên các nguồn lực đảm bảo thông tin (ví dụ: con người, phần cứng, phần mềm, chính sách) và khả năng có sẵn để quản lý sự bảo vệ của doanh nghiệp và phản ứng khi tình huống thay đổi. (NIST Special Publication 800–30, B-11)
Phần quan trọng ở trên là, “khả năng có sẵn để quản lý sự bảo vệ của doanh nghiệp.” Trong bối cảnh an ninh cá nhân, bạn chính là doanh nghiệp. Chúc mừng. Mong bạn dũng cảm đi nơi chưa ai đặt chân.
Trước khi khám phá thế giới kỳ lạ mới (đó là Internet, dù sao), có những bước bạn có thể thực hiện để quản lý sự phòng thủ. Từ "khả năng" (capabilities) rất thích hợp, vì việc có một số thứ nhất định sẽ cho bạn siêu năng lực an ninh mạng. Đây là ba bước tôi coi quan trọng và có lợi nhất:
- Sử dụng xác thực đa yếu tố (MFA)
- Sử dụng VPN
- Phát triển sự hoài nghi lành mạnh
Với ba chìa khóa này, tư thế an ninh mạng của bạn chuyển từ mồi cho robot thành War Games — nơi nước đi chiến thắng cho kẻ tấn công là không chơi.
1. Sử dụng xác thực đa yếu tố (MFA)
Mật khẩu đã chết. Về mặt tính toán, chúng là vấn đề đã giải quyết, và bẻ khóa mật khẩu chỉ là vấn đề thời gian. Đáng tiếc, nhiều người vẫn giúp đẩy nhanh quá trình bằng cách dùng cùng mật khẩu đã bị lộ cho nhiều tài khoản, đặt bản thân ở rủi ro cho lợi ích không thể lường trước. Cụm từ mật khẩu (pass phrases) dài và phức tạp hơn, sẽ tốn nhiều thời gian hơn để bẻ khóa. Tôi mạnh mẽ khuyến khích chúng;即便如此, mật khẩu của bạn cuối cùng không quan trọng.
Câu trả lời, ít nhất cho đến nay, là xác thực đa yếu tố (MFA). MFA bao gồm ba loại yếu tố xác thực:
- Điều bạn biết, như cụm từ mật khẩu;
- Điều bạn có, như thẻ chip pin hoặc điện thoại; và
- Điều bạn là, như khuôn mặt hoặc vân tay.
Hai hoặc nhiều yếu tố này tốt hơn vô tận so với một mình mật khẩu, đặc biệt nếu mật khẩu của bạn nằm trong danh sách này.
Nhiều yếu tố xác thực hiện được hỗ trợ rộng rãi bởi các nhà cung cấp tài khoản và mạng xã hội. Nếu bạn có lựa chọn, hãy tránh dùng tin nhắn văn bản (SMS) để nhận mã xác thực. Xác thực SMS khiến bạn dễ bị tấn công đổi SIM – hãy hỏi Jack Dorsey để biết thêm. Thay vào đó, dùng ứng dụng xác thực như Google Authenticator để tạo mã trên thiết bị. Điều này đảm bảo chỉ bạn, dùng thiết bị cụ thể đó, mới có mã xác thực đúng. Không lực lượng nào trong 'văn vũ trụ' có thể ngăn cản bạn.
Ứng dụng Google Authenticator hoạt động với thiết bị cụ thể bạn thiết lập, nên khi có thiết bị mới bạn sẽ cần chuyển Google Authenticator sang điện thoại mới. Khóa phần cứng như YubiKey có thể ít phiền toái hơn khi đổi thiết bị, nhưng chưa được hỗ trợ rộng rãi như ứng dụng xác thực.
2. Sử dụng VPN
Sự khác biệt giữa dùng VPN và không dùng giống như The Dark Knight Rises thực sự hay và Batman v Superman thực sự, thực sự tệ. Cùng franchise, tiêu chuẩn hoàn toàn khác.
Giả sử bạn gửi nhiều thư, nhưng không bao giờ bận tâm bỏ chúng vào phong bì hay gấp đôi. Ai quan tâm nhìn sẽ biết bạn không phải Dread Pirate Roberts. Khi bạn dùng Mạng Riêng Ảo (Virtual Private Network), đặc biệt nếu thường kết nối WiFi công cộng, nó giống như bỏ thư vào phong bì được đóng kín bằng mật mã và gửi qua dịch vụ курьер vô hình đặc biệt. Không ai ngoài người nhận dự định có thể đọc thư, và không ai ngoài bạn và курьер biết thư được gửi cho ai.
VPN ngăn người khác đọc truyền thông của bạn, như kẻ tấn công cơ hội quét WiFi mở, và ngay cả Nhà cung cấp Dịch vụ Internet (ISP) của bạn có thể bán dữ liệu sử dụng cho tiền quảng cáo.
Chọn nhà cung cấp VPN đáng tin cậy cần nghiên cứu, và bản thân nó đủ nội dung cho một bài viết riêng. Là điểm khởi đầu, tìm nhà cung cấp có chính sách chặt chẽ chống ghi log (logging), và dự trù trả 5-10 USD/tháng. Tránh ứng dụng VPN miễn phí và dịch vụ với chính sách bảo mật mơ hồ; chúng thường khiến bạn tốn kém nhiều hơn bạn biết.
3. Phát triển sự hoài nghi lành mạnh
Cuối cùng, điểm yếu nhất trong phòng thủ an ninh mạng của bạn là bạn. Tất cả MFA và VPN trên Internet không bảo vệ bạn nếu một lừa đảo hoặc bot phần mềm độc hại lừa bạn mở cổng lớn. Vâng, tôi biết nó là con ngựa gỗ trông rất đẹp. Cũng miễn phí. Bạn có đặt hàng không? Không? Thì để nó ngoài kia.
Hãy hình thành thói quen đặt câu hỏi lần hai về những thứ được giao đến cửa ảo của bạn. Lừa đảo qua email, điện thoại, và nhắn tin có độ tinh vi từ robot thô ráp bắn súng loạn xạ đến tấn công xã hội phức tạp sử dụng thiên kiến nhận thức rất hiệu quả. Đừng giả định bạn quá thông minh cho chúng; con người là sinh vật rất dễ đoán.畢竟, không ai mong chờ宗教裁判所 西班牙.
Thay vào đó, hãy đặt câu hỏi. Kiểm tra kỹ các truyền thông yêu cầu bạn nhấp liên kết hoặc truy cập trang web, ngay cả khi chúng đến từ người bạn biết hoặc công ty bạn dùng. Nếu bạn không chắc chắn, dựa trên tương tác trực tiếp trước đó, rằng bạn bè, ngân hàng hay mẹ bạn gửi email này, hãy nhấc máy gọi cho họ. Ngay cả khi bạn nghĩ bạn chắc chắn, hãy nhấc máy và kiểm tra. Dù sao bạn cũng không gọi cho mẹ đủ nhiều.
À, và nếu người ở đầu dây điện thoại nói họ từ cơ quan thuế địa phương hoặc IRS hoặc CRA và sắp đóng tài khoản bạn vì nhầm lẫn danh tính khiến bạn bị truy tố hình sự vì không trả nợ cho một chiếc du thuyền 600 feet ở Malibu, chỉ cần gác máy. Bạn biết rõ hơn. Cơ quan thuế không có điện thoại.
Gói khởi động an ninh mạng cá nhân của bạn
Bây giờ bạn có ba chìa khóa mở ba cổng đến tư thế an ninh mạng cá nhân vững chắc. Nếu những chìa khóa đó cũng mở khóa sự tò mò của bạn, còn rất nhiều hang thỏ để đi sâu. Tôi mạnh mẽ khuyến khích podcast Security in Five cho lời khuyên tuyệt vời của Binary Blogger, truyền cảm hứng cho nhiều phần bài này. Surveillance Self Defense cung cấp mẹo của Quỹ Biên giới Điện tử (EFF) về bảo mật truyền thông trực tuyến. Troy Hunt cũng có loạt video YouTube mang tên Internet Security Basics đi sâu hơn về cách bảo vệ bản thân trực tuyến.
Cho đến nay, tôi hy vọng bạn dùng siêu năng lực an ninh mạng mới tìm được cho điều tốt. Nhớ những gì bạn đã học. Nó có thể cứu bạn.