Một độc giả hỏi tôi: "Dedoimedo, bạn quản lý mật khẩu như thế nào?" Câu hỏi này trở thành ý tưởng cho bài viết này, trong đó tôi muốn đưa ra góc nhìn của mình về quản lý mật khẩu. Tương tự như hướng dẫn backup của tôi, mục đích của bài này không phải nói cho bạn biết phải làm gì, mà hơn là giúp bạn tìm ra giải pháp tốt nhất phù hợp nhu cầu. Gần như đi tâm lý học. Chỉ tốt hơn.
Vì vậy, tôi sẽ không thực sự nói tôi làm gì với mật khẩu của mình. Đó không liên quan. Vì người duy nhất cần biết mật khẩu của bạn là bạn, và nên các phương pháp của tôi sẽ không giúp bạn về mặt đó. Đó là lý do tôi chủ yếu sẽ đặt câu hỏi. Đồng ý không? Theo tôi đi.
Lưu ý: Tony Werman, flickr.com, licensed under CC BY-SA 2.0.
Ba trụ cột của quản lý mật khẩu
Bạn có thể đã đọc tỷ tỷ hướng dẫn online. Mật khẩu dài, ngắn, phức tạp, online vault, mã hóa, xác thực hai yếu tố, v.v. Có quá nhiều thứ ngoài kia đến mức thực sự gây nhầm lẫn. Về bản chất, quản lý mật khẩu của bạn归结为 ba điều:
Bạn đang cố gắng bảo vệ gì?
Bạn có phải người am hiểu công nghệ không?
Bạn có quan tâm điều gì xảy ra với tài khoản online khi bạn chết không?
Rủi ro
Có vẻ như mọi người có thể không hiểu rủi ro hoặc thiệt hại, hoặc rủi ro thiệt hại, nếu ai đó cắp mật khẩu của họ. Nó không đơn giản, hay thẳng thắn. Bạn có thể nghĩ email cá nhân đầy email ngu ngốc và ảnh không thực sự thú vị ai. Và sự thật là, nó không. Nhưng mà, email đó có thể được dùng để khôi phục mật khẩu cho dịch vụ khác, điều mà mọi người thường làm, và khi đó, nó trở nên thú vị. Cách thông tin di chuyển và cuối cùng funnel (quễ lại) là cực kỳ quan trọng.
Lưu ý: Hình ảnh từ Wikimedia, licensed under CC BY-SA 3.0.
Hơn nữa, mọi người có thể giả định rằng ai đó ở ngoài đó đang chủ động tìm cách xâm nhập hệ thống và cắp đồ của họ. Đây là trường hợp kinh điển của hội chứng "Unwarranted Human Importance" (UHI - Tầm quan trọng con người không có căn cứ), nơi mọi người gán quá nhiều tầm quan trọng cho hành động và môi trường xung quanh. Thực tế, Internet là một hệ thống được bôi trơn tốt, cơ giới hóa, với nhiều tự động hóa và hỗn loạn, đến mức bạn có khả năng trở thành nạn nhân ngẫu nhiên của sự ngu ngốc, tai nạn hoặc sơ suất của chính mình, ngang ngửa với việc bị vi phạm bởi người lạ ẩn danh phục vụ định kiến xã hội và kỳ vọng Hollywood. Bạn hiếm khi cần lo lắng về hacker cá nhân dành hết công lực để đối phó bạn. Nhắm mục tiêu cá nhân dành cho người quan trọng, và bạn không quan trọng.
Chuyên môn kỹ thuật
Đối với hầu hết mọi người, giải pháp đơn giản cho quản lý mật khẩu là bút và giấy. Và thực sự, nếu bạn suy nghĩ, nó có ý nghĩa hơn là có tài khoản online với master password và hai yếu tố xác thực. Vì non-techies sẽ không muốn loay hoay với kỷ luật cần thiết để dùng các công cụ này, nên họ sẽ dùng chúng theo cách lảm căm, biến một tập hợp công nghệ hữu ích thành tập hợp lỗ hổng và vector lộ thông tin không đóng góp vào bảo mật.
Công cụ cần phù hợp với người dùng. KeePass và LastPass nghe như tiện ích tuyệt vời, và chúng đúng vậy, nhưng không dành cho người hầu như không dùng được Google. Có phương pháp vượt trội hơn giúp công dân bình thường giữ mật khẩu an toàn, mà không buộc họ dùng术语 công nghệ.
Chết chóc
Cuối cùng, nếu bạn qua đời sớm, điều gì sẽ xảy ra với tài khoản email, lưu trữ online, cloud, và đồ khác? Thành viên gia đình và bạn bè có thể truy xuất thông tin cá nhân, hoặc ít nhất yêu cầu nó dưới tên bạn không?
Đây là một cân nhắc khác cho quản lý mật khẩu. Chắc chắn, bạn có thể có xác thực hai yếu tố cho mail với mật khẩu 63 ký tự và quét vân tay, nhưng theo một cách, các công cụ được thiết kế để ngăn truy cập độc hại cũng sẽ ngăn gia đình và bạn bè truy xuất thông tin sau cái chết của bạn. Nếu điện thoại dùng vân tay, người khác không thể mở khóa, và do đó, họ không thể lấy mã truy cập cho tài khoản online, và không thể đăng nhập, ngay cả khi họ biết mật khẩu, mà họ không biết, vì bạn đã lưu chúng theo cách "bảo mật điên rồ" khóa mọi người bên ngoài.
Lưu ý: Hình ảnh từ Wikimedia, licensed under CC BY-SA 3.0.
Vì vậy cân nhắc của bạn cũng nên bao gồm kịch bản mà hầu hết mọi người không muốn suy nghĩ, và đó là cái chết. Bạn có thể tin cậy chuyển dữ liệu cá nhân cho người thân, ngay cả khi bạn không có mặt để hướng dẫn họ cách dùng mã hóa kép và ba lớp, mount ổ ngoài, đăng nhập đây, đăng nhập kia, v.v.?
Phần mở rộng của kịch bản cái chết là khả năng ghi nhớ mật khẩu. Bạn có thể tin cậy nhớ 29 mật khẩu khác nhau cho 29 trang web khác nhau, để bạn thực sự dùng chúng mà không妥協 trên một số best practice bạn đọc online?
Hầu hết mọi người không thể, đó là lý do họ thường dùng một mật khẩu duy nhất, và chúng ta quay lại câu hỏi về rủi ro và phơi bày, và điều gì xảy ra nếu bảo mật hoặc quyền riêng tư bị xâm phạm. Đó là lý do chúng ta cần thảo luận cách xử lý đúng đắn.
Một số lời khuyên thực tế
Bây giờ chúng ta đã xem xét mọi thứ, hãy xem Internet cung cấp gì. Hầu hết mẹo và thủ thuật quản lý mật khẩu sẽ xoay quanh:
Dùng mật khẩu phức tạp, khó đoán hoặc, thay vào đó, mật khẩu dài, dễ nhớ.
Dùng xác thực hai yếu tố.
Không tái sử dụng mật khẩu.
Thường xuyên đổi mật khẩu.
Dùng kết nối an toàn khi đăng nhập.
Đó là những điều cơ bản. Độc lập, chúng vô nghĩa nếu bạn không áp dụng cho trường hợp sử dụng cụ thể. Nhớ rằng, bạn không thể kiểm soát người khác làm gì. Bạn không thể quyết định ai đó muốn hack bạn hay không. Bạn cũng không thể đảm bảo 100% hệ thống không bị xâm phạm. Tuy nhiên, bạn có thể đánh giá rủi ro và nhu cầu và làm việc tương ứng.
Hơn nữa, có một chiều khác cần xem xét - kiểm soát thiệt hại. Nếu một trong ba khối xây dựng bị xâm phạm theo cách nào, bạn có thể kiểm soát hoặc loại bỏ vấn đề nhanh như thế nào? Lại nói, cân nhắc xoay quanh điều gì xảy ra trước, trong và sau sự cố. Và nhớ, sự cố có thể là đổ cà phê lên laptop nơi bạn lưu mật khẩu, và bây giờ bạn không thể truy xuất chúng.
Kiểm soát thiệt hại
Được rồi. Bạn muốn dùng mật khẩu một cách tin cậy, và muốn người khác không truy cập được chúng nếu không có sự cho phép. Có lý, phải không? Điều này đúng cho mọi loại người dùng và mọi loại độ nhạy cảm dữ liệu.
Để ngăn truy cập trái phép, bạn cần giữ mật khẩu an toàn. Bây giờ, có hai vị trí chính bạn có thể lưu mật khẩu - offline hoặc online. Offline nghĩa là không trên máy tính, ví dụ: đầu bạn, một tờ giấy, hoặc máy tính ngắt kết nối, và online nghĩa là trên máy tính có thể truy cập từ mạng. Trong trường hợp sau, từ góc độ kỹ thuật thuần túy, mật khẩu của bạn có thể bị truy cập từ Internet. Có thể là nhiệm vụ khó khăn, và xác suất có thể thấp, nhưng về mặt thống kê, nó có thể làm được.
Nếu bạn muốn giữ mật khẩu ở định dạng số, chúng phải được bảo vệ. Nghĩa là bạn cần dùng cơ chế nào đó che mật khẩu khỏi mắt trần, và nếu ai đó cắp ổ cứng, dữ liệu vô nghĩa. Nghĩa là mã hóa. Nghĩa là chuyên môn kỹ thuật và phức tạp sau cái chết.
Hơn nữa, ngay cả khi bạn giữ dữ liệu an toàn, terminal nhập liệu của bạn - laptop, điện thoại hoặc thiết bị khác, về lý thuyết có thể bị xâm phạm, mà không mất dữ liệu. Trong trường hợp xấu nhất, từ góc độ kỹ thuật thuần túy, bạn có thể bị cài keylogger, và khi đó, ngay cả khi bạn quản lý mật khẩu thông minh, keystroke có thể bị chặn, và ai đó khác có thể truy cập tài khoản online của bạn.
Lưu ý: Hình ảnh từ Wikimedia, licensed under CC BY-SA 2.0.
Điều này nghĩa là máy tính của bạn có thể là điểm yếu nhất - chứ không phải cách bạn quản lý mật khẩu, nhưng chúng ta sẽ giải quyết mảnh đó ngay. Bảo mật máy tính là chủ đề hoàn toàn khác, và chúng ta đã nói về nó trong quá khứ. Không có gì cụ thể về mật khẩu trong trường hợp này. Nếu bạn mismanage (quản lý sai) tài nguyên, bạn sẽ rò rỉ dữ liệu. Có thể là lừa đảo, ngu ngốc, lười biếng, cài đặt rác ngẫu nhiên, v.v. Mật khẩu có thể là một trong nhiều mảnh dữ liệu tiềm năng có thể mất. Vì vậy bạn cần làm là đảm bảo máy của bạn an toàn. Đơn giản như vậy. Nếu không có rác, không có ruồi, ông tôi xưa hay nói. Không thực sự, nhưng là một câu nói hay.
Nhưng nếu bạn không thực sự làm được, câu hỏi tiếp theo là, nếu ai đó có mật khẩu của bạn thì sao? Câu trả lời là, xác thực hai yếu tố, làm cho bất kỳ nửa dữ liệu nào trở nên vô dụng. Nhưng phương pháp này cồng kềnh. Bạn cần là advanced user, và công nghệ trở thành yếu tố hạn chế. Điện thoại bị mất thì sao? Bạn chết và gia đình không hiểu phương pháp xác thực mới này? Như bạn thấy, về mặt truy cập dữ liệu online, chúng ta có:
online --> plain|encrypted passwords --> keylogging
--> two-factor auth
Chúng ta chưa thảo luận offline. Bây giờ, thực hành bảo mật cũ là không bao giờ viết mật khẩu là đúng cho văn phòng và môi trường doanh nghiệp. Nó vô nghĩa cho home user. Nếu ai đó đột nhập nhà bạn, họ có thể không quan tâm đến tờ giấy ngẫu nhiên, và nếu họ quan tâm, họ có thể không dễ dàng map chúng đến đồ online của bạn. Trừ khi bạn bị nhắm mục tiêu, nhưng đó là kịch bản rất không chắc.
Vì vậy viết mọi thứ ra giấy thực sự là điều tốt. Bạn có thể dùng mật khẩu rất dài, bạn có thể chia sẻ với bạn bè và gia đình, thách thức công nghệ thấp, và không ai có thể cắp sổ tay từ Internet. Phương pháp này không sửa chữa mảnh bảo mật máy tính, nên chúng ta có:
offline --> keylogging --> two-factor auth
Chúng ta thấy logic chỉ về xác thực hai yếu tố, thực sự loại bỏ đại đa số người dùng, vì họ không đủ am hiểu để triển khai nó tin cậy. Và nó cũng phức tạp hóa việc sử dụng sau cái chết. Đó là lý do bạn cần suy nghĩ kỹ. Bạn sợ hơn: hack online hay cái chết của mình? Bạn quan tâm hơn: malware hay để lại di sản lành mạnh?
Trò chơi phía server
Cho đến nay, chúng ta chỉ thảo luận mảnh phía client. Nhưng có hai mặt của đồng xu. Của bạn, và server bạn đăng nhập. Và điều này mở ra một loạt câu hỏi, vấn đề và khả năng mới. Thực tế, hack server lợi nhuận hơn nhiều, vì bạn có thể thu được hàng nghìn thậm chí hàng triệu mật khẩu trong một nháy mắt, thay vì lãng phí công sức vào mục tiêu cá nhân. Đây là những gì chúng ta đọc trong tin tức gần đây. Lỗ hổng dữ liệu của các công ty lớn chưa triển khai biện pháp bảo mật đúng đắn.
Lại nói, bạn chỉ có kiểm soát một phần toàn bộ sơ đồ. Bạn có thể đảm bảo đăng nhập qua kết nối an toàn (HTTPS), nhưng bạn có thể không luôn biết điều này, đặc biệt trên điện thoại di động. Bạn có thể tuân thủ các best practice, nhưng bạn không thể ngăn công ty bị hack.
Đây là lý do chúng ta quay lại câu hỏi kiểm soát thiệt hại. Nếu database bị hack và tất cả user bị xâm phạm, bạn gánh thêm bao nhiêu rủi ro qua chính sách quản lý mật khẩu? Vì vậy nếu bạn dùng cùng user và mật khẩu cho tất cả tài khoản online, thì vâng, về mặt kỹ thuật, lý thuyết, nếu credentials này bị lộ, ai đó có thể truy cập tất cả đồ của bạn. Có mật khẩu khác nhau - cũng như user - có ý nghĩa. Alias không cá nhân cũng giúp ẩn danh hóa bạn. Và bạn sẽ lưu tên user này ở đâu? Online hay offline? Chúng ta quay lại con số không.
Lưu ý: Hình ảnh từ Wikimedia, licensed under CC BY-SA 3.0.
Tất cả những điều trên không liên quan đến mật khẩu mạnh hay dễ nhớ đến đâu. Chúng thảo luận về sự chắc chắn của vi phạm dữ liệu, và những gì bạn có thể làm trước, trong, và sau sự cố. Quên lý do tại sao điều này có thể xảy ra. Nó SẼ xảy ra. Điều duy nhất quan trọng là, bạn đã làm gì để giảm thiểu thiệt hại, bạn có thể làm gì trong khi vấn đề đang diễn ra, và những gì dành cho bạn sau khi vấn đề được khắc phục.
Nếu bạn khôn ngoan, bạn sẽ đầu tư nhiều năng lượng vào các liên kết sớm nhất trong chuỗi, vì càng sớm hành động, chi phí càng rẻ. Nếu bạn chuẩn bị tốt, ngay cả khi có vấn đề, bạn có thể không thực sự quan tâm.
Ở phía client, nghĩa là bảo mật thông minh để bạn không cần lo lắng xâm phạm dữ liệu. Ngắn gọn, những người ít khả năng bị hack hơn là những người có xu hướng dùng xác thực hai yếu tố, một phương pháp được thiết kế để giảm thiểu cơ hội hack.
Cuối cùng, nó nghĩa là lựa chọn lưu trữ mật khẩu offline hoặc online, và giảm thiểu thiệt hại bạn sẽ gánh nếu có vấn đề phía server. Nói cách khác, dùng tên và mật khẩu khác nhau cho các tài khoản online khác nhau. Đó là đau khổ, nhưng mà, bạn có đi đường quảng cáo danh tính cho mọi người không? Không. Vậy tại sao bạn muốn làm vậy online?
Tóm lại, không có giải pháp bạc (silver bullet).
Nhớ tất cả
Nhưng mật khẩu không chỉ về bảo mật. Một phần đúng. Nhưng có lý do quan trọng hơn nhiều để quản lý chúng tốt. BỘ NÃO CỦA CHÍNH BẠN. Nếu bạn quên chúng, bạn xong. Nếu bạn chôn chúng sâu đến mức không tìm thấy, bạn xong. Nếu bạn chết, tất cả biến mất.
Bảo mật thực tế được overrated (đánh giá quá cao) như một khái niệm. Nó là một phần của thế giới online, nhưng giống như không có lý do mắc bệnh lây truyền qua đường tình dục trong đời thường, không có lý do chơi với malware. Tôn trọng, và bạn có thể tránh được phía đó của Web. Lại nói, nghịch lý của computing. Những người cần lời khuyên này sẽ không đọc bài này, và chỉ có nerd lướt qua, tận hưởng sự khẳng định những gì họ đã làm.
Về bảo mật. Mọi người đầu tư quá nhiều vào nó, nhưng có việc cấp bách hơn. Như backup dữ liệu. Cơ hội bạn bị hack? Thấp. Cơ hội bạn mất ổ cứng? 100%. Đây là điều mọi người quên.
Với mật khẩu, cũng y hệt. Bạn sẽ quên chúng. Bạn sẽ đặt sai chỗ. Bạn sẽ chết. Vì vậy hãy làm cho chúng hữu ích và thực tế. Và này thực sự là câu trả lời cho yêu cầu ban đầu. Làm sao quản lý mật khẩu hợp lý?
Và câu trả lời là - tôi không có một. Điều sẽ thúc đẩy cân nhắc của bạn là, làm sao bạn có thể chắc chắn nhớ mật khẩu khi cần? Và bằng nhớ, tôi muốn nói, bạn có thể tìm thấy chúng, dù trong tế bào não hay tờ giấy già nua đâu đó.
Tham số phức tạp vs dài của mật khẩu nảy sinh trong tâm trí. Thực sự, có mật khẩu hax0ry là l33t, cool và rad, nhưng thực tế, trừ khi bạn bị nhắm mục tiêu bởi con người, có mật khẩu dài, dễ nhớ là cách tiếp cận hợp lý hơn về mặt thống kê, toán học cho đại đa số người. Họ dễ nhớ lời bài hát hoặc địa điểm, nhưng chắc chắn không thể thành thạo chữ hoa chữ thường ký tự đặc biệt rắc rối mà chúng ta nerd gây ra cho họ.
Lợi ích phụ của tất cả là, nếu quy trình quản lý mật khẩu vui vẻ, mọi người sẽ có xu hướng tuân thủ và duy trì kỷ luật. Chỉ cần đi theo bộ phim yêu thích, viết danh sách, và tận hưởng. Nghe đơn giản và hiệu quả. Và nhớ, tôi không cổ vọng cho điều này, vì bạn cần tìm cách riêng để đảm bảo di sản mật khẩu của mình.
Đừng bao giờ quên tam giác quản lý mật khẩu. Rủi ro. Công nghệ. Cái chết. Bài hát của bạn có thể high and mighty (cao siêu), nhưng nếu không ai đoán được bạn lưu chúng trong file tên pr0n.txt trong folder ẩn, thì chúng vô nghĩa, đúng không?
Kết luận
Như bạn thấy, và bạn có thể bực bội vì điều này, tôi sẽ kết thúc bài viết này không nhắc đến một app hay công nghệ cụ thể nào. Điều này là vì đưa ra lời khuyên quá dễ dàng, và nó không có ý nghĩa khi bạn phải là người áp dụng. Giống như shrink (tâm lý học) kinh điển, tôi sẽ để bạn với những "blue balls" của quản lý mật khẩu, trang bị công thức vàng của suy nghĩ và lý luận, sẽ cho bạn công cụ bạn cần.
Đánh giá tình huống dựa trên ba tham số quan trọng. Khi bạn biết odds (tỷ lệ), bạn biết điểm yếu nhất. Tăng cường nó trước, rồi làm việc lên bậc thang. Giảm thiểu thiệt hại với kỳ vọng nó SẼ xảy ra. Dùng công nghệ để hỗ trợ bản thân và gia đình, thay vì xây dựng một pháo đài ấn tượng nhưng vô nghĩa của bảo mật vô nghĩa. Bạn không quan trọng như bạn nghĩ, và có trăm điều sẽ xảy ra trước khi bạn bị hack. Và bạn đang bỏ qua tất cả, vì bạn ghé diễn đàn bảo mật quá nhiều.
Để kết thúc, quản lý mật khẩu nghĩa là chút công sức, đặc biệt nếu bạn dùng tên tài khoản và mật khẩu khác nhau, nhưng có thể làm theo cách bền vững. Bạn chỉ cần tìm cái phù hợp với kỳ vọng cuộc sống, skill công nghệ và rủi ro mất tất cả do đố mịch, tò mò, dũng cảm, ngu ngốc, và lỗi ổ cứng đơn thuần. Xong. Ghét tôi nếu bạn muốn. Nếu bạn tìm lời khuyên kiểu "dùng XYZ 2.0 và MyP@ss 17.3", hãy tìm nơi khác. Chúng ta ở đây để học cách suy nghĩ! Hết.
P.S. Hình ảnh bộ não bộ nhớ thuộc public domain.
Chúc vui.