Kinh nghiệm bảo mật tài khoản tiền điện tử

Việc sử dụng và lưu trữ tiền điện tử hơi khác biệt so với tiền mặt thông thường có thể có đôi chút khó khăn cho người không tìm hiểu nhiều về công nghệ. Để đơn giản hoá việc lưu trữ và bảo mật các tài khoản on line nói chung và tài khoản tiền điện tử nói riêng, bài viết này chia sẻ một số kinh nghiệm về cách thức bảo vệ tài khoản đơn giản mà không làm mất đi tính an toàn.

Password

Password là một trong những nhân tố không thể thiếu trong thế giới tiền điện tử. Nó dùng để xác minh khi đăng nhập một trang web hoặc dịch vụ trực tuyến nào đó. Lời khuyên được đưa ra là bạn không nên sử dụng chung một password cho tất cả các tài khoản online. Tuy nhiên vấn đề đặt ra là bạn không thể nhớ hết các password của các tài khoản trực tuyến nếu chúng khác nhau. Do đó việc chọn một phần mềm để lưu trữ password là cần thiết, bạn chỉ cần nhớ một password duy nhất của phần mềm đó. Lastpass đáp ứng được hầu như tất cả những nhu cầu của người dùng về quản lý password. Nó là phần mềm quản lý password miễn phí, lưu trữ những password đã được mã hóa của bạn online để đồng bộ trên nhiều thiết bị khác nhau.

LastPass thường được sử dụng như là một phần mở rộng của trình duyệt có nhiệm vụ tự động tạo, lưu trữ và điền vào các dịch vụ trực tuyến. Nó đơn giản hóa nhiều tác vụ cần phải dùng đến password mà vẫn đảm bảo tài khoản được bảo mật một cách an toàn.

LastPass chứa tất cả những thông tin của bạn trong một vault (hầm) dựa trên một khóa duy nhất là “password chính”. Khi bạn tạo tài khoản Lastpass, hầm sẽ được mã hóa với password chính. Do đó, “password chính” là chìa khóa hầm được bảo vệ bởi các phép toán học. Với một mật khẩu đủ khó, sẽ mất nhiều thời gian hơn tuổi của vũ trụ để bẻ khóa mật khẩu của bạn đột nhập vào hầm.

LastPass không bao giờ lưu những tài liệu của bạn dưới định dạng “raw”, nghĩa là có thể đọc được bởi con người. Khi bạn đăng nhập, password chính của bạn được được làm xáo trộn thông qua hàm bằm (hash) một chiều, và được gửi đến LastPass. LastPass so sánh mã này với mã hash nó có trên file, nếu các giá trị trùng khớp, nó sẽ gửi vault được mã hoá đến máy tính của bạn. Sau đó máy tính của bạn sẽ giải mã vault sử dụng password chính, và lưu nó trong khoảng thời gian hiệu lực của phiên làm việc.

Trong trường hợp không mong đợi là LastPass bị xâm phạm hoặc LastPass nhận được yêu cầu của chính phủ về thông tin, tất cả LastPass có là mật khẩu chính được băm của bạn và một vault được mã hóa. Cả hai đều hoàn toàn vô giá trị nếu không có mật khẩu chủ. Cách duy nhất để giải quyết vấn đề này là thử mọi mật khẩu có thể để xem nó có khớp với phiên bản băm không.

Bảo mật 2 lớp

Ngày nay, một password đủ mạnh là chưa đủ bởi vì trong một số trường hợp password có thể bị đánh cắp bởi keylog hoặc bằng một cách nào đó. Do đó, xác thực hai lớp (2FA), còn được gọi là bảo mật 2 lớp là phương thức được đề xuất ở hầu hết các website liên quan đến tiền điện tử. Phương thức bảo mật 2 lớp phổ biến nhất là sử dụng Google Authenticator, nhưng ngoài ra cũng có nhiều giải pháp khác. Ý tưởng của bảo mật 2 lớp là ngoài lớp bảo vệ bằng mật khẩu, người sử dụng cần phải nhập mã xác thực theo thời gian (chỉ hiệu lực trong khoảng thời gian nhất định) được sinh ra trên điện thoại hoặc token sinh mã cứng.

Authy là một ứng dụng dùng để tạo ra mã theo thời gian để truy cập vào một dịch vụ online nào đó. Nó hoàn toàn tương thích với những trang web sử dụng Google Authenticator, nhưng nó có nhiều tính năng mạnh mẽ và tiện lợi hơn. Một số tính năng so với Google Authenticator có thể kể đơn giản như sau:

• Hỗ trợ nhiều thiết bị trên các hệ điều hành khác nhau như Windows, Android, macOS thậm chí là trình duyệt web.

• Đồng bộ mã xác thực trên nhiều thiết bị ở cùng thời điểm.

• Sao lưu (backup) có mã hóa các mã xác thực.

• Password bảo vệ ứng dụng.

Chi tiết hơn về so sánh giữa Authy và Google Authenticator có thể đọc thêm ở đây

Tóm lại, Authy là ứng dụng được khuyên dùng để thay thế Google Authenticator trong trường hợp website hỗ trợ bảo mật 2 lớp với Google Authenticator.Lưu ý không nên sử dụng chương trình 2FA của Lastpass vì để tránh rủi ro đặt tất cả lớp bảo mật ở Lastpass.

Thư mục bảo mật

TrueCrypt/Veracrypt

Để lưu một số tài liệu, hình ảnh định dạng text hoặc ảnh chụp chúng ta cần đến thư mục bảo mật hoặc một ổ đĩa bảo mật. Nó thường là nơi để lưu private key hoặc ảnh chụp các thông tin quan trọng.

TrueCrypt từng được sử dụng như là một ứng dụng mã hóa để tạo ra một ổ đĩa bảo mật khá nổi tiếng. Nó được FBI từng thừa nhận không thể bẻ khóa được, nhưng hiện nay nó không còn được tiếp tục phát triển nữa.

VeraCrypt là sự tiếp nối phát triển của TrueCrypt. Chỉ với vài thao tác đơn giản là bạn có thể tạo được một ổ đĩa bảo mật với khóa riêng hoặc mật khẩu của bạn. Ổ đĩa bảo mật này có dung lượng chỉ khoảng 50MB là đủ để tiện việc upload lên mây, di chuyển v.v… Trước khi bạn lưu những tài liệu quan trọng bạn nên đăng nhập và thoát khỏi ổ đĩa được mã hóa một vài lần để chắc rằng bạn có thể truy cập được sau khi tạo hộp mã hóa.

Keybase KBFS

Hiện tại, Keybase cho phép người dùng lưu trữ lên đến 250GB dữ liệu trên mây hoàn toàn miễn phí gọi là Hệ thống file Keybase (The Keybase filesystem - KBFS). Keybase là một hệ thống file phân tán được mã hóa đầu cuối. “Phân tán” nghĩa là bạn có thể truy cập nó từ bất kì thiết bị nào.“Hệ thống file” nghĩa là không có mô hình đồng bộ – file được lưu và truy xuất theo yêu cầu. “Mã hóa đầu cuối” nghĩa là tất cả dữ liệu lưu trữ ở KBFS được đảm bảo tính đồng nhất và xác thực, có thể làm nơi lưu trữ bí mật khi cần. Nói cách khác đến Keybase cũng không thể thay đổi, đọc hoặc thậm chí biết tên của những file được thiết lập ở chế độ riêng tư. Hệ thống file được chia thành ba phần: file công khai, file riêng tư và file nhóm. Trên hệ thống Linux, hệ thống file được mount vào thư mục /keybase, và trên Windows, nó thường được mount vào ổ đĩa K.

Việc sử dụng ổ đĩa K để tạo một bản lưu của ổ đĩa được tạo ra bởi Veracrypt thực sự hiệu quả. Nó giúp ta có được một bản backup của những file bí mật với mật khẩu được bảo vệ bởi Veracrypt. Sau mỗi lần lưu nội dung mới bạn nên copy ổ đĩa đó lưu thêm ít nhất hai nơi nữa để đảm bảo an toàn.

Kết luận

Tóm lại để đảm bảo tài khoản của bạn an toàn, bạn cần một chương trình quản lý mật khẩu đủ tốt, kích hoạt 2FA nếu website hỗ trợ. Thêm nữa, việc lưu trữ các ở dạng thô (con người có thể đọc được) quan trọng nên có ít nhất 3 bản copy: 1 lưu trên máy tính ở dạng hộp mã hóa sử dụng Veracrypt, một lưu trữ ở Keybase KBFS và 1 lưu trữ ở USB dự phòng.