Mật khẩu của bạn bị lộ như thế nào: Sự thật đằng sau các vụ rò rỉ dữ liệu

Hãy tưởng tượng bạn nhận được email từ một dịch vụ bạn dùng thường xuyên: họ thông báo một vụ vi phạm dữ liệu. Mật khẩu của bạn có thể bị lộ. Bạn cảm thấy lo lắng — nhưng đó chính là lúc hiểu rõ cách thức bảo vệ tài khoản của mình là quan trọng nhất. Hầu hết chúng ta tưởng rằng "hacker" sẽ phải giải mã mật khẩu của chúng ta bằng cách nào đó. Trên thực tế, đó hiếm khi là cách mất mát xảy ra. Hãy xem xét các đường dẫn thực tế mà những kẻ xấu sử dụng để chiếm quyền truy cập vào tài khoản của bạn.

Vi phạm cơ sở dữ liệu tại các dịch vụ

Cách phổ biến nhất mật khẩu bị lộ là thông qua một vi phạm tại chính công ty hoặc dịch vụ mà bạn sử dụng. Một kẻ tấn công đột nhập vào máy chủ của họ, hoặc một nhân viên bất hợp pháp bán dữ liệu, hoặc một lỗ hổng bảo mật chưa được sửa chữa cho phép truy cập. Khi điều này xảy ra, kẻ tấn công sẽ có được một tệp chứa hàng triệu bản ghi người dùng — bao gồm tên người dùng, địa chỉ email, và mật khẩu.

Nhưng đây là nơi mà sự hiểu biết của hầu hết mọi người thường bắt đầu sai lạc. Một công ty có trách任任 không lưu trữ mật khẩu của bạn ở dạng văn bản thuần túy. Thay vào đó, họ áp dụng một hàm toán học gọi là "hash" — một quy trình chuyển đổi mật khẩu của bạn thành một chuỗi ký tự dường như ngẫu nhiên. Ý tưởng là: nếu ai đó nhìn thấy hash này, họ không thể dễ dàng khám phá mật khẩu gốc. Nhưng nếu bạn nhập cùng mật khẩu lại lần sau, hash sẽ giống nhau, vì vậy dịch vụ sẽ biết bạn nhập đúng.

Vấn đề? Hashing yếu hoặc quá cũ, tính toán hash cho mười tỷ mật khẩu phổ biến và lưu trữ một "bảng cầu vồng" — danh sách các hash được tính toán trước, thường không cần thời gian dài. Nếu hash của bạn khớp với một trong số này, họ sẽ biết mật khẩu của bạn. Tuy nhiên, công ty tốt sử dụng các phương pháp hashing hiện đại và thêm một yếu tố ngẫu nhiên gọi là "salt" vào mỗi mật khẩu, làm cho bảng cầu vồng vô dụng. Khi điều này được thực hiện đúng, giải mã hash không khả thi.

Đó là lý do tại sao vi phạm cơ sở dữ liệu không phải lúc nào cũng có nghĩa là mật khẩu của bạn được tiết lộ một cách trực tiếp. Có thể có, tùy thuộc vào cách công ty lưu trữ dữ liệu. Nhưng điều đó không phải là nỗi sợ lớn nhất của bạn.

Tấn công lừa đảo: Bạn là khuyết điểm

Vì giải mã hash là khó, những kẻ tấn công thường chọn con đường dễ hơn: hỏi bạn cho mật khẩu của bạn. Điều này gọi là "phishing". Bạn nhận được email giả mạo từ ngân hàng, layanan email, hoặc ứng dụng media xã hội của bạn. Nó trông giống hệt như thực. Nó yêu cầu bạn "xác minh tài khoản" hoặc "cập nhật thông tin thanh toán của bạn" bằng cách nhấp vào liên kết.

Bạn nhấp. Bạn được đưa đến trang web trông giống y hệt như trang web thực, nhưng nó được lưu trữ ở một nơi khác. Bạn nhập thông tin đăng nhập của mình. Nó được gửi trực tiếp đến kẻ tấn công. Bây giờ họ có mật khẩu của bạn — không cần phải giải mã hay tính toán gì cả.

Phishing không yêu cầu kỹ năng kỹ thuật cao. Nó yêu cầu tâm lý học tốt và sự lựa chọn thời gian hoặc kịch bản thuyết phục. Một email nói rằng "Bạn đã được phát hiện đăng nhập từ một vị trí kỳ lạ — hãy xác minh ngay bây giờ" có thể khiến bạn vội vàng mà không suy nghĩ. Đó là lý do tại sao phishing là một trong những phương pháp tấn công thành công nhất.

Mã độc và thiết bị của bạn

Một kịch bản khác: bạn tải xuống một tệp, cài đặt một ứng dụng, hoặc truy cập một trang web độc hại. Phần mềm độc hại — hay "malware" — được cài đặt trên máy tính hoặc điện thoại của bạn. Nó có thể ghi lại mọi thứ bạn nhập, bao gồm mật khẩu. Hay nó có thể chia sẻ tất cả các tập tin và thông tin cá nhân của bạn với kẻ tấn công. Hoặc nó có thể biến thiết bị của bạn thành một phần của mạng lưới zombies — máy tính bị kiểm soát từ xa được sử dụng để tấn công những người khác.

Trong trường hợp này, không quan trọng mật khẩu của bạn mạnh như thế nào. Kẻ tấn công đang nhìn thấy nó trực tiếp khi bạn nhập.

Tái sử dụng mật khẩu: Tác động dây chuyền

Bây giờ hãy tưởng tượng rằng một vi phạm lớn xảy ra tại một dịch vụ nhỏ hơn mà bạn đã sử dụng năm năm trước — có thể là một diễn đàn cũ, hay một trang web bán hàng hoặc ứng dụng mà bạn đã quên. Dữ liệu của bạn bị lộ. Kẻ tấn công có email của bạn và mật khẩu. Bây giờ họ cố gắng đăng nhập vào tài khoản email của bạn với những chứng chỉ đó. Nếu bạn sử dụng cùng mật khẩu ở cả hai nơi, họ sẽ có quyền truy cập.

Từ email của bạn, họ có thể đặt lại mật khẩu của bạn ở bất kỳ dịch vụ nào khác — ngân hàng của bạn, lưu trữ đám mây, phương tiện truyền thông xã hội. Đó được gọi là "padding thông tin đăng nhập" — sử dụng các cặp email-mật khẩu cũ từ các vụ vi phạm trước đây để cố gắng truy cập các tài khoản mới. Nó hoạt động với tần suất đáng ngạc nhiên bởi vì rất nhiều người sử dụng lại mật khẩu.

Cách bảo vệ thực tế của bạn

Có ba lớp phòng chống.

Đầu tiên: sử dụng một mật khẩu độc nhất, mạnh mẽ cho mỗi dịch vụ. Một "mất khẩu mạnh" có nghĩa là dài (ít nhất 16 ký tự là tốt), với hỗn hợp chữ cái, chữ số và ký hiệu. Nhớ những thứ như vậy là bất khả thi. Đó là lý do tại sao một "trình quản lý mật khẩu" — phần mềm lưu trữ và tự động điền các mật khẩu của bạn, được bảo vệ bằng một mật khẩu chính duy nhất — là điều cần thiết. Trình quản lý mật khẩu có sẵn miễn phí từ các nguồn mã nguồn mở. Điểm mạnh của chúng: nếu một dịch vụ bị vi phạm, chỉ tài khoản đó bị ảnh hưởng. Tài khoản khác của bạn vẫn an toàn vì chúng có mật khẩu khác nhau.

Thứ hai: sử dụng xác thực đa yếu tố (MFA). Điều này có nghĩa là ngay cả khi ai đó có mật khẩu của bạn, họ cần cái gì khác để đăng nhập — thường là mã được gửi đến điện thoại của bạn hoặc được tạo bởi một ứng dụng trên điện thoại của bạn. Mạnh hơn nữa là một "khóa bảo mật phần cứng" — một thiết bị USB nhỏ bạn kết nối với máy tính của mình. Nếu bạn kích hoạt MFA với khóa phần cứng, một kẻ tấn công ở phía bên kia thế giới sẽ không thể đăng nhập vào tài khoản của bạn, bất kể họ có mật khẩu hay không. Điều này bảo vệ bạn chống lại hầu hết các cuộc tấn công dựa trên thông tin đăng nhập.

Thứ ba: hãy cảnh báo khi một dịch vụ bạn sử dụng báo cáo một vụ vi phạm. Một số trang web cho phép bạn kiểm tra xem email của bạn có xuất hiện trong các vụ vi phạm đã biết hay không. Nếu nó làm, hãy thay đổi mật khẩu tại dịch vụ đó ngay lập tức — và kiểm tra xem bạn có sử dụng mật khẩu tương tự ở bất kỳ nơi nào khác không, nếu bạn chưa sử dụng trình quản lý mật khẩu.

Tóm tắt

Mật khẩu của bạn không phải lúc nào cũng bị "hack" hoặc "giải mã". Thường thì nó bị lộ vì một công ty bị vi phạm, bạn được lừa để nhập nó vào trang web giả, hoặc nó được tái sử dụng ở nhiều nơi. Tấn công MFA, đặc biệt là với khóa phần cứng, giúp vô hiệu hóa hầu hết những cách thức này. Mật khẩu độc nhất cho mỗi dịch vụ, được quản lý bằng một trình quản lý mật khẩu, loại bỏ rủi ro của tái sử dụng.

Những khái niệm khác cần khám phá: cách hoạt động của hash và salt, lý do tại sao các công ty khác nhau lưu trữ dữ liệu khác nhau (và tại sao điều đó quan trọng), cách hoạt động của xác thực đa yếu tố từ một góc độ kỹ thuật, và những cách khác một kẻ tấn công có thể thu được quyền truy cập vào tài khoản của bạn ngoài chỉ sử dụng mật khẩu.