An ninh dữ liệu và riêng tư ngày càng khó hiểu. Làm sao chúng ta có thể thực sự chắc chắn tin nhắn gửi không rơi vào tay sai, và ảnh tải lên không bị lạm dụng?
Để hiểu lỗ hổng an ninh dữ liệu và cách tránh, MakeUseOf đã nói chuyện với Shaun Murphy. Murphy là cựu cố vấn an ninh chính phủ và người sáng lập Sndr, ứng dụng nhắn tin và chia sẻ tệp miễn phí mà ông khẳng định giải quyết vấn đề phổ biến nhất với dữ liệu mã hóa và an ninh trực tuyến.
Vấn Đề Với Mật Mã Học Và Email Mã Hóa
Chúng ta thường nghe chính phủ đọc email và mọi liên lạc văn bản không an toàn. Giải pháp phổ biến được đề xuất là mã hóa email. Các giải pháp này hoạt động như một lớp trên email, dưới dạng plugin mật mã. Tuy nhiên, thường không phải giải pháp thực tế.
"Nó đặt gánh nặng cho người nhận cũng phải có cùng plugin, trao đổi mã bí mật/khóa chung để đọc tin nhắn," Murphy nói. "Các lớp này thường thêm quá nhiều ma sát giao tiếp với mọi người bạn đã biết, khiến mọi người cuối cùng bỏ cuộc hoàn toàn."
Mật mã học, tuy nhiên, khó phát triển; khó thuyết phục người dùng; và rất khó để công ty từ bỏ khả năng khai thác dữ liệu tất cả tin nhắn và dữ liệu của bạn, ông thêm.
"Không ai hay thực thể nào nên có quyền truy cập tin nhắn và dữ liệu công dân riêng tư không rõ ràng dành cho tiêu thụ công cộng. Và để vậy chúng ta cần áp dụng rộng rãi dịch vụ mật mã giữa người gửi và người nhận trên mọi thứ—email, nhắn tin, mạng xã hội, chia sẻ tệp. Quá rủi ro để để những thứ này không được bảo vệ trên máy chủ trải khắp thế giới. Đó là nơi Sndr xuất hiện, bằng cách gom tất cả vào một nơi."
Mẹo Tốt Nhất Bảo Vệ Hộp Thư: 2FA
Murphy khuyên xác thực hai yếu tố (còn gọi 2FA hoặc xác thực 2 bước) là cách tốt nhất đầu tiên bảo vệ hộp thư khỏi xâm nhập. 2FA là giao thức bảo mật hai bước, có sẵn cho hầu hết dịch vụ web nổi bật. Sau khi nhập mật khẩu, dịch vụ gửi mã thứ hai, thường qua SMS, đảm bảo đúng là bạn.
"Đây là cơ chế xác thực rất mạnh vì nó yêu cầu thứ bạn biết (mật khẩu) và thứ bạn có (thiết bị di động)—thông thường, kẻ có ý định xấu sẽ không có quyền truy cập cả hai," Murphy nói. "Xác thực thiết yếu để bắt đầu bảo mật liên lạc. Nhớ, nếu ai đó vào email, họ có thể đặt lại TẤT CẢ tài khoản khác qua liên kết 'đặt lại mật khẩu' trên mạng xã hội và hầu hết trang web... đáng sợ!"
3. Dùng Email Client Ngoại Tuyến, Đặc Biệt Khi Du Lịch
Với Gmail, Outlook hoặc client email web mạnh mẽ hiện nay, bạn có thể không có client ngoại tuyến như Outlook Express hay Thunderbird. Nhưng đó là sai lầm, theo Murphy. Có lợi ích dùng client email ngoại tuyến như Thunderbird thay vì truy cập Gmail hoặc Outlook từ trình duyệt.
"Phím gõ của bạn không bị bắt (như một ông lớn mạng xã hội vừa bị bắt) khi bạn gõ tin nhắn," ông nói. "Bạn có thời gian xem lại tin nhắn và nội dung thông tin nhạy cảm trước khi nó được gửi đến dịch vụ kết nối nào. Và bạn có thể dành thời gian chắc chắn kết nối mạng an toàn."
Murphy đặc biệt khuyên dùng client email ngoại tuyến khi du lịch. Khi không dùng Wi-Fi nhà hoặc văn phòng, bạn không thể chắc nó an toàn như thế nào. "Tôi dùng client ngoại tuyến khi đi du lịch chỉ vì lý do đơn giản hầu hết điểm truy cập Wi-Fi không an toàn ngay cả khi bạn dùng nhiều lớp bảo vệ," Murphy nói.
4. Tạo Mật Khẩu 30 Ký Tự Hoặc Hơn
Truyện tranh XKCD đúc kết bí mật bảo mật mật khẩu, Murphy nói. Càng dài và phức tạp, càng khó cho thuật toán máy tính bẻ khóa. Vì vậy ông có hai quy tắc vàng mật khẩu:
- Người dùng phải nhớ được (không viết ra).
- Chúng phải đủ phức tạp máy tính không dễ giải mã.
Độ phức tạp đạt được bằng ký tự đặc biệt, chữ hoa, số, v.v., Murphy nói, đưa ví dụ mật khẩu thực sự mạnh:
Ye8ufrUbruq@n=se
"Vâng, đó vi phạm Quy tắc #1: Tôi phải nhớ đó cách nào. Quên đi, tôi chỉ viết ra hoặc bỏ vào chương trình nhớ mật khẩu... và đó không tốt cho an ninh," ông nói. "Sao chúng ta không có mật khẩu rất dài nhưng dễ nhớ hơn?" Ví dụ:
TodayIsGoing2BeTheBestDayEver!
"Chìa khóa ở đây là tôi nhớ được, đó là cụm mật khẩu dài (passphrase) và rất phức tạp, và theo một số tiêu chuẩn, an toàn hơn cái đầu chỉ vì số lượng ký tự."
5. Đính Kèm Tài Liệu Quan Trọng Dưới Dạng PDF Hoặc 7-Zip
Email thường dùng truyền tệp quan trọng, từ thông tin khai thuế đến ảnh nhạy cảm. Vì đã xác định lỗ hổng an ninh email, bạn cần chắc chắn kép về tài liệu này. Vì vậy trước tiên cho chúng vào định dạng mã hóa, khóa, rồi gửi email, Murphy nói.
- Dùng định dạng tài liệu như PDF cho phép mã hóa tài liệu với ít nhất khóa AES-256 với mật khẩu khổng lồ (30+ ký tự) sẽ cần để mở tệp, và thêm hạn chế người nhận in, chọn văn bản, v.v. Điều này tốt vì hầu hết người có trình xem PDF.
- Dùng loại định dạng container cho phép ít nhất khóa AES-256 và mật khẩu khổng lồ (30+ ký tự) mã hóa dữ liệu. 7Zip là chương trình mã hóa mã nguồn mở tốt đã cho thấy khá tốt an ninh nhưng chưa được kiểm toán kỹ. Nhưng lại, người kia cần phần mềm.
Sau khi làm một (hoặc cả hai) tùy chọn, bạn có thể tự do gửi tệp đó mà không quá lo lắng.
Cách này vẫn yêu cầu gửi mật khẩu cho người kia. Để an toàn, Murphy khuyên gọi điện và nói mật khẩu to; đừng viết đâu. Và dùng nguyên tắc mật khẩu 30 ký tự để làm cho nó dễ nhớ và an toàn.
6. Rủi Ro An Ninh Khác Nhau Trên PC Và Điện Thoại
Mặc dù điện thoại thông minh dần thay thế PC, bạn không thể đối xử chúng như cùng loại thiết bị khi nói đến thực hành an ninh. Rủi ro khác nhau, và bạn cần tiếp cận khác. Đây là cách Murphy phân biệt rủi ro:
Rủi ro cho PC: PC thường được thiết lập cho phép chương trình làm gì họ muốn trừ một vài mục nóng (làm máy chủ mạng, truy cập hệ thống hoặc tệp người dùng khác, v.v.) Ugroza ngày nay trên PC bao gồm ransomware—chương trình mã hóa tất cả tệp bạn cần và ép bạn trả tiền mở khóa nhưng vấn đề lớn là thứ lặng lẽ. Một số chương trình ngồi trên máy, bò mạng tìm thứ ngon và lặng lẽ truyền tệp ra nước ngoài.
Rủi ro cho Điện Thoại: Vấn đề an ninh điện thoại thường bị hạn chế hơn PC vì điện thoại không được thiết lập cho phép chương trình làm gì muốn. Tuy nhiên, có vấn đề khác. Điện thoại thường biết bạn ở đâu bằng tháp sóng, Wi-Fi gần, và nếu bật GPS. Ứng dụng tải xuống có thể có quá nhiều quyền và có thể thu thập quá nhiều thông tin về bạn (như truy cập danh bạ và tải tất cả lên máy chủ đâu đó).
Mẹo Murphy: Mã hóa điện thoại. Trên Android bạn phải làm rõ ràng trong cài đặt. iPhone mới nhất mặc định như vậy khi có mật khẩu. Đây là cách làm.
Cũng, công nghệ thực tế làm điện thoại liên lạc với tháp sóng nói chung là hộp đen cộng đồng an ninh không có nhiều hiểu biết vào hoạt động bên trong. Nó có khả năng điều khiển từ xa điện thoại, bật nó hoặc kích hoạt camera?
Mẹo Murphy: Dùng cụm mật khẩu (passphrase) đăng nhập. PIN 4 chữ số không đủ, PIN 6 chữ số tốt, cụm mật khẩu tốt nhất. Khóa mẫu thì không thể chấp nhận. Vân tay tốt hơn nhưng không thay thế tốt cho mật khẩu. Vân tay và sinh trắc học khác tốt hơn thay thế tên người dùng hơn mật khẩu vì mật khẩu nên là thứ bạn biết. Có nói vậy, vân tay mở khóa điện thoại tốt hơn không có gì.
Cuối cùng, kích thước điện thoại làm nó dễ bị đánh cắp hơn. Vì nó có tất cả tài khoản đăng nhập, kẻ trộm chỉ cần đặt lại mật khẩu để khóa bạn ngoài.
Mẹo Murphy: Bật quản lý thiết bị từ xa. Dành cho Apple, có Find My iPhone và cho Android, dùng Device Manager. Điều này cho bạn xóa từ xa dữ liệu nhạy cảm nếu bị đánh cắp.?
7. Khi Nào Dùng Đăng Nhập Google/Facebook Cho Trang Web
Một số trang yêu cầu đăng nhập bằng tài khoản xã hội. Bạn nên làm không?
"Thực sự phụ thuộc và trang web yêu cầu bao nhiêu quyền truy cập thông tin bạn," Murphy nói. "Nếu trang chỉ muốn xác thực để bạn bình luận, thử dịch vụ, v.v. và họ yêu cầu danh tính, đó có thể ổn."
"Nếu họ xin mọi loại quyền—đăng lên mạng của bạn, gửi tin nhắn thay mặt, truy cập danh bạ? Cảnh giác!"
8. Nên Dùng Dịch Vụ Nào?
Cuối tất cả, bạn có thể thắc mắc trong nhiều dịch vụ phổ biến nào bạn có thể dùng và vẫn yên tâm an ninh. Gmail an toàn? Bạn nên lưu dữ liệu trên Dropbox? Những dịch vụ tập trung an ninh?
Murphy không khuyến nghị ứng dụng đám mây hiện tại nào. Những cái phổ biến, tiện lợi, đơn giản thiếu riêng tư và an ninh thực sự, ông nói, trong khi những cái cung cấp riêng tư và an ninh thực sự phức tạp dùng và có quá nhiều ma sát nêu trên.
Vậy khuyến nghị của Murphy?
Cho email: "Email là một cái lost cause (vụ án thua). Ngay cả khi bạn có nhà cung cấp an toàn nhất, người nhận luôn là điểm yếu."
Cho lưu trữ đám mây: "Tốt nhất là máy chủ bạn kiểm soát, có thể khóa ở cấp độ hệ thống tệp, và đảm bảo mỗi tệp được mã hóa với khóa duy nhất mỗi tệp."
Cho bộ văn phòng: "Bạn vẫn có thể mua công cụ văn phòng ngoại tuyến hoặc dùng mã nguồn mở. Hợp tác thời gian thực chịu tác động nhưng một số giải pháp an ninh/mở nguồn bắt đầu đến cho chức năng đó."
Cho ảnh: "Tôi đi old school, kết nối thiết bị trong nhà, chuyển ảnh từ thiết bị đến ổ lưu trữ dài hạn (không phải flash, dữ liệu không sống sót nhiều năm không cắm điện) và có chương trình tự động mã hóa và tải thông tin này lên máy chủ tôi kiểm soát. Không tiện, nhưng an toàn, không chỉ khỏi ánh mắt dòm ngó mà cả khỏi dịch vụ倒闭几个月后、一年后."
Hỏi Shaun!
Có thắc mắc về an ninh dữ liệu? Có thể bạn có câu hỏi về cách Sndr giúp giải quyết vấn đề? Đăng câu hỏi trong bình luận, chúng tôi sẽ nhờ Shaun giải đáp!