Càng tìm hiểu về bảo mật, tôi càng thấy mật khẩu nên đơn giản lại
Giữa vô vàn vụ rò rỉ dữ liệu, định nghĩa về một mật khẩu lý tưởng đang dần thay đổi theo hướng đơn giản và dễ nhớ hơn. Thay vì những chuỗi ký tự phức tạp đến mức khó nhớ, việc ưu tiên cụm mật khẩu (passphrase) kết hợp với xác thực hai yếu tố mang lại hiệu quả thiết thực hơn.
Khi các vụ rò rỉ và tấn công mạng ngày càng xuất hiện nhiều trên tin tức, tôi lại tự hỏi: đâu mới là mật khẩu lý tưởng? Trong nhiều năm, định nghĩa của tôi dựa trên lời khuyên từ các chuyên gia: phải dài, ngẫu nhiên và độc đáo. Nhưng gần đây, tôi nhận ra câu trả lời thực tế lại không quá dập khuôn như vậy.
Tôi cho rằng mật khẩu lý tưởng vừa đơn giản nhưng vẫn phải đủ mạnh. Và định nghĩa này có thể thay đổi tùy theo bối cảnh.
Trong một số trường hợp, mật khẩu lý tưởng thực chất lại là passkey (chìa khóa thông hành) - tức là không dùng mật khẩu truyền thống. Chúng là hình mẫu của sự đơn giản và bảo mật, không cần ghi nhớ, không thể dùng lại và tích hợp sẵn tính năng xác thực hai yếu tố. Vì những lý do này, tôi khuyên hầu hết mọi người nên ưu tiên sử dụng passkey trước tiên.
Trong khi đó, đối với các trang web chưa hỗ trợ passkey, mật khẩu lý tưởng quả thực cần phải dài, ngẫu nhiên và độc đáo, được tạo và lưu trữ tự động bởi trình quản lý mật khẩu. Bạn sẽ tốn ít công sức như nhau cho một mật khẩu dài 32 ký tự hay 8 ký tự.
Nhưng còn khi bạn bắt buộc phải tự ghi nhớ mật khẩu thì sao? Quan điểm của tôi đã thay đổi nhiều nhất ở điểm này. Bạn nên ghi nhớ ít nhất một vài mật khẩu – tối thiểu là hai, một cho trình quản lý mật khẩu và một cho tài khoản email của bạn. Bạn chắc chắn không muốn bị kẹt ngoài hộp thư điện tử hay tài khoản quan trọng khác (như tài khoản ngân hàng) chỉ vì mất quyền truy cập vào trình quản lý mật khẩu.
Việc này không nên quá khó khăn. Trước đây, tôi thường đề xuất dùng cụm mật khẩu (passphrase) và chuỗi giả ngẫu nhiên (như lấy chữ cái thứ 2 từ lời bài hát bạn biết rồi đan xen số và ký tự đặc biệt). Giờ đây, tôi nghiêng hẳn về phía các cụm mật khẩu. Càng dài càng tốt. Nếu bạn có khả năng ghi nhớ một hỗn hợp các từ ngẫu nhiên, bạn sẽ được cộng thêm điểm.
Điều gì đã làm thay đổi suy nghĩ của tôi? Đó là khi nhìn lại các biểu đồ bẻ khóa mật khẩu.
Các công ty an ninh mạng đôi khi công bố thông tin này. Một công ty có tên Hive Systems thực hiện toàn bộ các bảng dữ liệu xem phần cứng PC phổ thông có thể bẻ khóa mật khẩu dễ dàng đến mức nào. Dữ liệu năm nay là một lời nhắc nhở tốt không chỉ về những điều cơ bản mà còn về ranh giới thực tế.
Một mật khẩu dài 8 ký tự – yêu cầu tối thiểu cho các trang web hiện nay – mất tới 12 năm để một dàn gồm 16 card đồ họa Nvidia RTX 5090 bẻ khóa, nếu bạn chỉ dùng kết hợp chữ hoa và chữ thường. Thêm các con số vào, thời gian đó tăng lên 50 năm. Chèn thêm các ký tự đặc biệt, nhóm GPU hiệu năng cao này sẽ cần tới 132 năm.
Vậy có thực sự cần thiết phải có một mật khẩu siêu dài không? Không. Nó có còn là một ý tưởng hay không? Chắc chắn có, bởi vì bạn không biết chuyện gì sẽ xảy ra với thông tin mật khẩu của mình nếu một ngày nào đó nó bị rò rỉ. Nhưng khi bạn buộc phải ghi nhớ một mật khẩu, hãy ưu tiên loại đủ tốt và dễ đọng lại trong đầu. Nó sẽ vượt trội hơn một mật khẩu hoàn hảo nhưng khó nhớ, đặc biệt là khi bạn kết hợp nó với xác thực hai yếu tố.
Tốt hơn hết là bớt đi vài ký tự về độ dài mật khẩu và áp dụng cách bảo vệ tài khoản hai lớp – bạn sẽ có cơ hội chống lại các nỗ lực chiếm đoạt tài khoản cao hơn. Thậm chí bạn còn không phải lựa chọn giữa độ dài và độ mạnh, nếu bạn chọn một cụm mật khẩu có từ bốn từ trở lên.
Với sự phức tạp của an ninh mạng hiện nay, tôi hoàn toàn ủng hộ việc chọn con đường dễ dàng hơn (nhưng vẫn được bảo vệ tốt).
Bản tin an ninh mạng
Tôi đã viết dài về tác nhân cá nhân Muse của Meta vào tuần trước và lý do tôi không tin tưởng giao phó cuộc sống kỹ thuật số của mình cho nó. Hóa ra sự mất lòng tin của tôi là đúng đắn – một sự cố quyền riêng tư lớn khác lại xảy ra, khi một người dùng Muse nhận ra AI này đã chia sẻ địa chỉ nhà của anh ấy cho một người lạ.
Cứ tiếp tục nói 'không' đi mọi người. (Ít nhất là lúc này).
Điểm sáng
Apple đã phản ứng nhanh chóng trước các báo cáo cho rằng tác nhân AI Muse của Meta có thể truy cập dữ liệu trên macOS mà nó không được phép rõ ràng. Công ty có trụ sở tại Cupertino cho biết họ sẽ thay đổi cách hoạt động của quyền truy cập toàn bộ ổ đĩa (full disk access) để hạn chế tốt hơn các tác nhân AI tò mò.
Điểm tối
Một số tác nhân AI nhất định có thể bị thao túng để lây lan hành vi độc hại sang các tác nhân khác trong mạng của chúng. Vấn đề là: Các tác nhân dùng cho các tác vụ cụ thể có ít hạn chế và biện pháp an toàn hơn được áp dụng cho chúng. Tiêm độc một con, có thể tiêm độc nhiều con khác. Tất cả là nhờ sự lỏng lẻo trong cách các tác nhân này giao tiếp với nhau.
Điểm tệ
Meta Muse liên tục xuất hiện trên tin tức vì những lý do đáng thất vọng. Trong trường hợp này là một kịch bản khó chịu khi tác nhân AI đã gửi một người lạ đến nhà người dùng. Muse nghĩ rằng việc đó giúp bán một món đồ. Người dùng đã nhận được một bất ngờ khó chịu khi nhận ra người mua tiềm năng đã đến và rời đi mà họ không hề hay biết.
Mẹo của tuần
Bạn có thể thường xuyên làm sạch kỹ thuật số cho điện thoại và PC của mình – loại bỏ ảnh và tài liệu không muốn làm tốn dung lượng lưu trữ – nhưng bạn đã thực hiện việc dọn dẹp tương tự đối với các ứng dụng của mình chưa?
Trên thiết bị của bạn, hãy định kỳ gỡ cài đặt các ứng dụng và tiện ích mở rộng trình duyệt mà bạn không còn sử dụng hàng ngày. Tại sao? Phần mềm hợp pháp không còn là lá chắn tốt chống lại phần độc hại. Đôi khi, ứng dụng 'tốt' mà bạn đang có có thể trở nên đen tối, nếu nhà phát triển bán nó cho một kẻ mờ ám... hoặc đơn giản là bị kẻ xấu hack.
🖱️ CÀNG TÌM HIỂU VỀ BẢO MẬT, TÔI CÀNG THẤY MẬT KHẨU NÊN ĐƠN GIẢN LẠI Khi các vụ rò rỉ và tấn công mạng ngày càng xuất hiện nhiều trên tin tức, tôi lại tự hỏi: đâu mới là mật khẩu lý tưởng? Trong nhiều năm, định nghĩa của tôi dựa trên lời khuyên từ các chuyên gia: phải dài, ngẫu nhiên và độc đáo. Nhưng gần đây, tôi nhận ra câu trả lời thực tế lại không quá dập khuôn như vậy. Tôi cho rằng mật khẩu lý tưởng vừa đơn giản nhưng vẫn phải đủ mạnh. Và định nghĩa này có thể thay đổi tùy theo bối cảnh. Trong một số trường hợp, mật khẩu lý tưởng thực chất lại là passkey (chìa khóa thông hành) - tức là không dùng mật khẩu truyền thống. Chúng là hình mẫu của sự đơn giản và bảo mật, không cần ghi nhớ, không thể dùng lại và tích hợp sẵn tính năng xác thực hai yếu tố. Vì những lý do này, tôi khuyên hầu hết mọi người nên ưu tiên sử dụng passkey trước tiên. Trong khi đó, đối với các trang web chưa hỗ trợ passkey, mật khẩu lý tưởng quả thực cần phải dài, ngẫu nhiên và độc đáo, được tạo và lưu trữ tự động bởi trình quản lý mật khẩu. Bạn sẽ tốn ít công sức như nhau cho một mật khẩu dài 32 ký tự hay 8 ký tự. Nhưng còn khi bạn bắt buộc phải tự ghi nhớ mật khẩu thì sao? Quan điểm của tôi đã thay đổi nhiều nhất ở điểm này. Bạn nên ghi nhớ ít nhất một vài mật khẩu – tối thiểu là hai, một cho trình quản lý mật khẩu và một cho tài khoản email của bạn. Bạn chắc chắn không muốn bị kẹt ngoài hộp thư điện tử hay tài khoản quan trọng khác (như tài khoản ngân hàng) chỉ vì mất quyền truy cập vào trình quản lý mật khẩu. Việc này không nên quá khó khăn. Trước đây, tôi thường đề xuất dùng cụm mật khẩu (passphrase) và chuỗi giả ngẫu nhiên (như lấy chữ cái thứ 2 từ lời bài hát bạn biết rồi đan xen số và ký tự đặc biệt). Giờ đây, tôi nghiêng hẳn về phía các cụm mật khẩu. Càng dài càng tốt. Nếu bạn có khả năng ghi nhớ một hỗn hợp các từ ngẫu nhiên, bạn sẽ được cộng thêm điểm. Điều gì đã làm thay đổi suy nghĩ của tôi? Đó là khi nhìn lại các biểu đồ bẻ khóa mật khẩu. Các công ty an ninh mạng đôi khi công bố thông tin này. Một công ty có tên Hive Systems thực hiện toàn bộ các bảng dữ liệu xem phần cứng PC phổ thông có thể bẻ khóa mật khẩu dễ dàng đến mức nào. Dữ liệu năm nay là một lời nhắc nhở tốt không chỉ về những điều cơ bản mà còn về ranh giới thực tế. Một mật khẩu dài 8 ký tự – yêu cầu tối thiểu cho các trang web hiện nay – mất tới 12 năm để một dàn gồm 16 card đồ họa Nvidia RTX 5090 bẻ khóa, nếu bạn chỉ dùng kết hợp chữ hoa và chữ thường. Thêm các con số vào, thời gian đó tăng lên 50 năm. Chèn thêm các ký tự đặc biệt, nhóm GPU hiệu năng cao này sẽ cần tới 132 năm. Vậy có thực sự cần thiết phải có một mật khẩu siêu dài không? Không. Nó có còn là một ý tưởng hay không? Chắc chắn có, bởi vì bạn không biết chuyện gì sẽ xảy ra với thông tin mật khẩu của mình nếu một ngày nào đó nó bị rò rỉ. Nhưng khi bạn buộc phải ghi nhớ một mật khẩu, hãy ưu tiên loại đủ tốt và dễ đọng lại trong đầu. Nó sẽ vượt trội hơn một mật khẩu hoàn hảo nhưng khó nhớ, đặc biệt là khi bạn kết hợp nó với xác thực hai yếu tố. Tốt hơn hết là bớt đi vài ký tự về độ dài mật khẩu và áp dụng cách bảo vệ tài khoản hai lớp – bạn sẽ có cơ hội chống lại các nỗ lực chiếm đoạt tài khoản cao hơn. Thậm chí bạn còn không phải lựa chọn giữa độ dài và độ mạnh, nếu bạn chọn một cụm mật khẩu có từ bốn từ trở lên. Với sự phức tạp của an ninh mạng hiện nay, tôi hoàn toàn ủng hộ việc chọn con đường dễ dàng hơn (nhưng vẫn được bảo vệ tốt). Bản tin an ninh mạng Tôi đã viết dài về tác nhân cá nhân Muse của Meta vào tuần trước và lý do tôi không tin tưởng giao phó cuộc sống kỹ thuật số của mình cho nó. Hóa ra sự mất lòng tin của tôi là đúng đắn – một sự cố quyền riêng tư lớn khác lại xảy ra, khi một người dùng Muse nhận ra AI này đã chia sẻ địa chỉ nhà của anh ấy cho một người lạ. Cứ tiếp tục nói 'không' đi mọi người. (Ít nhất là lúc này). Điểm sáng Apple đã phản ứng nhanh chóng trước các báo cáo cho rằng tác nhân AI Muse của Meta có thể truy cập dữ liệu trên macOS mà nó không được phép rõ ràng. Công ty có trụ sở tại Cupertino cho biết họ sẽ thay đổi cách hoạt động của quyền truy cập toàn bộ ổ đĩa (full disk access) để hạn chế tốt hơn các tác nhân AI tò mò. Điểm tối Một số tác nhân AI nhất định có thể bị thao túng để lây lan hành vi độc hại sang các tác nhân khác trong mạng của chúng. Vấn đề là: Các tác nhân dùng cho các tác vụ cụ thể có ít hạn chế và biện pháp an toàn hơn được áp dụng cho chúng. Tiêm độc một con, có thể tiêm độc nhiều con khác. Tất cả là nhờ sự lỏng lẻo trong cách các tác nhân này giao tiếp với nhau. Điểm tệ Meta Muse liên tục xuất hiện trên tin tức vì những lý do đáng thất vọng. Trong trường hợp này là một kịch bản khó chịu khi tác nhân AI đã gửi một người lạ đến nhà người dùng. Muse nghĩ rằng việc đó giúp bán một món đồ. Người dùng đã nhận được một bất ngờ khó chịu khi nhận ra người mua tiềm năng đã đến và rời đi mà họ không hề hay biết. Mẹo của tuần Bạn có thể thường xuyên làm sạch kỹ thuật số cho điện thoại và PC của mình – loại bỏ ảnh và tài liệu không muốn làm tốn dung lượng lưu trữ – nhưng bạn đã thực hiện việc dọn dẹp tương tự đối với các ứng dụng của mình chưa? Trên thiết bị của bạn, hãy định kỳ gỡ cài đặt các ứng dụng và tiện ích mở rộng trình duyệt mà bạn không còn sử dụng hàng ngày. Tại sao? Phần mềm hợp pháp không còn là lá chắn tốt chống lại phần độc hại. Đôi khi, ứng dụng 'tốt' mà bạn đang có có thể trở nên đen tối, nếu nhà phát triển bán nó cho một kẻ mờ ám... hoặc đơn giản là bị kẻ xấu hack. 🗞 Nguồn: PCWorld #vgsnews #vgs #tintuc
Nguồn: PCWorld
