Nếu bạn đã tạo tài khoản hay hai trong những năm gần đây, bạn có thể đã nhận thấy nhiều trang web mắng bạn vì dùng mật khẩu "không an toàn" dưới điều kiện nhất định. Đôi khi bạn thậm chí không cần bấm nút "Đăng ký" trước khi gặp thông báo bên cạnh ô mật khẩu nói bạn đang dùng mật khẩu yếu.
Mặc dù một số trang có thể ngăn bạn đăng ký với mật khẩu yếu theo tiêu chí của họ, những trang khác chỉ cảnh báo và để bạn làm theo ý muốn. Dù sao, các trang này (chủ yếu) có một điểm chung: tiêu chí của họ cho "mật khẩu an toàn" sẽ KHÔNG giữ bạn an toàn.
Tạo Thói Quen Xấu
Một trong những điều đầu tiên bạn nhận thấy trên hầu hết trang web là tất cả chúng dường như có tiêu chí tương tự cho "mật khẩu mạnh". Trên hầu hết trang, tiêu chí là:
- Tối thiểu 6 hoặc 8 ký tự
- Tối thiểu một số và một chữ cái
- Đôi khi ít nhất một chữ in hoa.
Trong trường hợp này, mật khẩu như "Ironclad1" hoàn toàn đạt yêu cầu của trang web đó. Vì hầu hết trang chỉ có những yêu cầu này, mọi người có thể quen với việc "Ironclad1", "Sallyepstein4", "Michael1985", v.v. là mật khẩu tốt. Bất kỳ ai từng đọc ba trang đầu của sách về an ninh mạng đều biết rằng điều này cực kỳ không an toàn, nhưng nó đang được thiết lập ngầm là tiêu chuẩn bởi hàng triệu trang web nơi bảo mật là suy nghĩ sau cùng chỉ đáng giá năm dòng mã.
Hacker có thể đơn giản dùng tấn công từ điển để bẻ khóa mật khẩu của bạn và kết thúc.
Một số dịch vụ web (như Google) cũng yêu cầu ký hiệu (như "!" hoặc "$") để tạo mật khẩu. Điều này chỉ làm cho "$allyepstein4" thành mật khẩu hợp lệ, và tấn công từ điển đã trở nên tinh vi hơn qua nhiều năm.
Thói Quen Mật Khẩu Tốt Là Gì?
Có nhiều tranh luận về gì làm nên mật khẩu tốt, nhưng thay vì đi sâu vào chi tiết kỹ thuật, chúng ta chỉ xem xét những điều mọi người chung nhất. Mật khẩu tốt:
- Bao gồm nhiều biến thể chữ số như chữ in hoa, số, chữ thường
- Có ký hiệu ở vị trí không thể đoán trước (ví dụ "@shley" kém an toàn hơn "@$_hley" vì có gạch dưới giữa từ, nơi tấn công từ điển thường quét "@" thay "a" và "$" thay "s")
- Chứa khoảng trắng (như "I @te a S4nDw1ch")
- Đạt giới hạn trên của độ dài hợp lý ("I l0v3 LuC#Y" kém an toàn hơn "Th1S p4ssword sH_oulD b3 h@rd to cr@ck")
- Chứa chính tả phi chuẩn của từ (ví dụ "schuld" thay "should", "beffe" thay "beef", "inszteda" thay "instead", "mektekezier" thay "maketecheasier", v.v.)
Tất nhiên, một trong những mật khẩu tốt nhất bạn có thể có không dễ nhớ (ví dụ: "ifjecBucE083$&&8c ociefjC*#&$6c iof0e0($*#"). Chú ý ví dụ dùng tất cả quy tắc trên, bao gồm khoảng trắng. Điều này cực kỳ phi quy ước đối với ngay cả tấn công từ điển tinh vi nhất. Miễn là database lưu hash mật khẩu an toàn và khóa mã hóa được quản lý đúng, nó sẽ làm tài khoản kém hấp dẫn cho hacker bẻ khóa.
Tự nhiên, không phải server nào cũng an toàn, và một dịch vụ bạn dùng có thể bị vi phạm lộ mật khẩu. Đó là lý do quan trọng là phải có mật khẩu khác nhau cho mỗi dịch vụ.
Nhưng bạn không thể nhớ 15 mật khẩu, chứ đừng nói đến ví dụ "một trong những mật khẩu tốt nhất". Để khắc phục, bạn có thể dùng dịch vụ đăng nhập đơn (single sign-on) siêu an toàn (còn gọi là "quản trị danh tính") lưu trữ mật khẩu giúp bạn không cần nhớ. Mặc dù chúng tồn tại nhiều năm, khái niệm vẫn là vùng đất chưa khám phá (ít nhất theo quan điểm chuyên nghiệp của tôi), nên hãy cẩn thận. Tự tìm hiểu và google tên dịch vụ theo sau từ "vi phạm" để xem nó từng bị hack chưa.
Làm Sao Giải Quyết Vấn Đề
Vấn đề chúng ta giải quyết là khiến số lượng lớn người tạo tài khoản trên Web hiểu thực hành tốt nhất cho tạo mật khẩu. Nghe như nhiệm vụ đồ sộ, phải không?
Thực ra, nó dễ như việc cung cấp thông tin ở đâu đó. Google làm tốt việc này với hướng dẫn của mình, nhưng chưa đủ xa.
Dù khen ngợi, tôi nghĩ tốt nhất là đặt liên kết đến hướng dẫn này bên cạnh ô mật khẩu, cho người dùng dễ tiếp cận khi đăng ký tài khoản. Nếu ai bỏ qua, đó là quyền của họ, nhưng không ai lúc đó có thể nói họ chưa từng có cơ hội đọc tài liệu giáo dục về chủ đề này.
Phần khó duy nhất là thuyết phục hàng triệu trang web nắm database tài khoản áp dụng thực hành này. Tuy nhiên, vì hầu hết trang dùng phần mềm hộp lớn (như WordPress hay Drupal), có lẽ ý kiến hay hơn là tiếp cận các nhà phát triển phần mềm này để cung cấp loại này trong cập nhật tương lai. Ngay khi trang cập nhật phần mềm, họ sẽ tự động có hướng dẫn này trên trang đăng ký!
Bạn nghĩ chúng ta还能 làm gì để lan tỏa nhận thức về mật khẩu tốt? Hãy thảo luận trong bình luận!