Điều gì chưa ổn trong pa$$w0rd của bạn?

Lorrie Faith Cranor nghiên cứu hàng nghìn mật khẩu thực để tìm ra những lỗi thông dụng và bất ngờ mà người dùng và trang web bảo mật mắc phải. Và có thể bạn sẽ hỏi, làm thế nào cô ấy nghiên cứu các mật khẩu mà không xâm phạm quyền bảo mật của người dùng? Đó lại là một câu chuyện khác. Những thông tin bảo mật này thực sự đáng quan tâm, nhất là khi mật khẩu của bạn là 123456...

Tôi là một giáo sư kỹ thuật
và khoa học máy tính tại Carnegie Mello,

và nghiên cứu của tôi tập trung vào
bảo mật và quyền riêng tư hữu dụng,

do đó các bạn của tôi thích đưa tôi các ví dụ

về sự bức bối với hệ thống máy tính,

đặc biệt là các mối ái ngại liên quan đến

quyền riêng tư và bảo mật không hữu dụng.

Do đó mật khẩu là thứ mà tôi
nghe nhiều nhất.

Rất nhiều người đau đầu với các mật khẩu,

và nó tệ đến mức

khi bạn có một mật khẩu thật sự tốt

mà bạn có thể nhớ

nhưng không ai có thể đoán được.

Nhưng bạn sẽ làm gì khi bạn có nhiều tài khoản

trên hàng trăm các hệ thống khác nhau

và bạn phải có một mật khẩu riêng

cho mỗi hệ thống?

Chuyện đó chẳng dễ dàng gì.

Tại Carnegie Mellon, họ đã làm việc đó,

thực ra nó khá dễ

để ta nhớ được các mật khẩu ấy.

Yêu cầu của mật khẩu cho đến năm 2009

chỉ là bạn cần phải có 1 mật khẩu

với ít nhất một ký tự.

Khá dễ dàng ha.
Nhưng sau đó họ thay đổi mọi thứ,

Và đến cuối năm 2009, họ thông báo

rằng chúng ta sẽ có một chính sách mới,

và chính sách mới này

yêu cầu mật khẩu phải có
độ dài ít nhất 8 ký tự ,

với một ký tự hoa, một ký tự thường,

một con số, một biểu tượng,

bạn không thể sử dụng
một ký tự quá 3 lần,

và nó không được có mặt trong từ điển.

Khi họ thực thi chính sách mới này,

rất nhiều người, đồng nghiệp và bạn bè tôi,

đến với tôi và nói:

"Chà, giờ thì đúng thật là bất tiện.

Mắc gì họ lại làm vậy với chúng ta,

và sao bạn không ngăn họ lại?"

Và tôi đáp, "Ờ thì, các bạn biết gì không?

Họ đã không hỏi tôi."

Nhưng tôi đã tò mò,
và quyết định đến hỏi

người phụ trách hệ thống máy tính
của chúng tôi

và tìm xem điều gì dẫn đến việc giới thiệu

chính sách mới này,

và họ nói rằng trường tôi

đã tham gia vào một liên minh các trường đại học,

và một điều cần thiết đối với thành viên

là chúng tôi phải có những mật khẩu mạnh hơn

để thỏa mãn với một vài ràng buộc mới,

đó là các mật khẩu của chúng tôi

phải có nhiều biến ngẫu nhiên - entropy.

Entropy là một khái niệm phức tạp,

nhưng về cơ bản, nó đo độ mạnh mật khẩu.

Nhưng vấn đề là, thực sự không có

một thước đo entropy chuẩn nào cả.

Viện Công Nghệ và Tiêu Chuẩn Quốc Gia
(NIST)

có một bộ đường lối chỉ đạo

gồm một số qui luật chung

để đo độ entropy,

nhưng họ lại không có gì cặn kẽ hơn,

và nguyên nhân họ chỉ có qui tắc chung

hóa ra là họ chẳng có bất cứ dữ liệu tốt nào

về mật khẩu cả.

Thật ra, báo cáo của họ viết rằng,

"Thật không may, chúng tôi không có nhiều dữ liệu

về mật khẩu mà người dùng chọn
theo những luật lệ nhất định.

NIST mong nhận được thêm nhiều dữ liệu

về sự lựa đó hơn trong thực tế,

nhưng điều dễ hiểu là các nhà
quản trị hệ thống lại miễn cưỡng

tiết lộ dữ liệu mật khẩu cho người khác."

Đây là một bài toán,
nhưng nhóm nghiên cứu của tôi

đã xem nó như một cơ hội.

Chúng tôi nhủ, "Được thôi, dữ liệu mật khẩu
an toàn đúng là cần thiết đấy."

Có thể chúng tôi thu thập
một vài bộ dữ liệu mật khẩu tốt

và thậm chí tối tân hóa cái tiên tiến nữa.

Nên điều đầu tiên chúng tôi làm,

là lấy một túi kẹo cây

rồi đi vòng quanh trường

để nói chuyện với sinh viên,
cán bộ giảng dạy và nhân viên,

hỏi họ thông tin

về mật khẩu của họ.

Chúng tôi đã không yêu cầu,
"Đưa mật khẩu của anh/chị đây."

Không, chúng tôi chỉ dò về mật khẩu.

Nó dài bao nhiêu? Có chữ số không?

Có ký tự đặc biệt không?

Và bạn có thấy phiền khi tạo mới

mật khẩu tuần trước không?

Chúng tôi đã thu thập kết quả từ 470
sinh viên,

cán bộ khoa và nhân viên,

và y như rằng, chúng tôi thấy
chính sách mới

đúng là rất lằng nhằng.

Nhưng chúng tôi cũng để ý rằng
mọi người nói

họ cảm thấy an toàn hơn với
loại mật khẩu mới này.

Chúng tôi phát hiện đa số biết

họ không nên
viết ra mật khẩu của họ,

và chỉ 13% trong số đó làm như vậy,

nhưng tiếc thay, 80% tổng cộng

thừa nhận đã đang sử dụng lại mật khẩu.

Điều này thật sự còn nguy hiểm hơn

việc viết ra mật khẩu của mình,

bởi vì nó làm bạn dễ bị tấn công hơn.

Vì thế nếu bạn bị bắt buộc,
hãy viết mật khẩu của bạn ra,

nhưng đừng tái sử dụng chúng.

Chúng tôi cũng khám phá vài điều thú vị

về kí tự đặc biệt mọi người
sử dụng trong mật khẩu.

Do CMU cho phép cả thảy 32 kí tự,

nhưng như bạn thấy đó, chỉ có số lượng nhỏ

là mọi người đang sử dụng,

vì thế chúng ta thực sự không tận dụng
được độ mạnh

từ kí tự đặc biệt trong mật khẩu
của chúng ta.

Vì vậy đây quả là một nghiên cứu thú vị,

và chúng tôi có dữ liệu
từ 470 người,

nhưng theo kiểu này,

là không có nhiều dữ liệu password.

Thế nên chúng tôi đã tìm quanh

ở đâu có thể tìm thêm dữ liệu mật khẩu?

Và hóa ra là có rất nhiều người

suốt ngày tranh thủ trộm mật khẩu,

rồi họ thường đăng những mật khẩu này

lên mạng.

Vì thế chúng tôi đã có thể truy cập được

đến vài bộ mật khẩu bị đánh cắp nói trên.

Đây vẫn chưa là mô hình
lý tưởng cho nghiên cứu,

bởi nó không hoàn toàn rõ ràng

về nguồn của tất cả mật khẩu này,

hoặc là chính sách gì được áp dụng lên nó

khi người ta tạo ra chúng.

Nên chúng tôi muốn tìm thêm
một vài nguồn trữ tốt hơn.

Và chúng tôi quyết định
một điều có thể làm được

là làm một nghiên cứu và nhờ mọi người

tạo mật khẩu dành riêng cho mục đích này.

Chúng tôi sử dụng 1 dịch vụ có tên
Amazon Mechanical Turk,

và đây là một dịch vụ
mà bạn có thể đăng tải

một công tác nhỏ mất ít thời gian,

vài phút, một tiếng,

và trả tiền cho mọi người,
1 xu, 10 đồng (cent), vài đô la,

để làm việc cho bạn,

sau đó bạn trả họ thông qua Amazon.com.

Chúng tôi trả cho mọi người
tầm 50 đồng (cent)

để tạo một mật khẩu theo đúng qui định

kèm theo việc trả lời bản khảo sát,

rồi lại trả họ thêm lần nữa để quay lại

2 ngày sau và đăng nhập

sử dụng chính mật khẩu đó
và trả lời bản khảo sát khác.

Chúng tôi đã triển khai hình thức này,
và thu thập được 5.000 mật khẩu,

và chúng tôi đã đưa họ
1 đống yêu cầu khác nhau

để áp dụng tạo mật khẩu.

Một số có chính sách khá dễ chơi,

mà tụi tôi gọi là Basic8,

qui ước duy nhất là mật khẩu của bạn

phải có ít nhất 8 kí tự.

Đến số khác có yêu cầu khó hơn,

giống với yêu cầu của bên CMU,

là nó phải có 8 kí tự

bao gồm kí tự hoa, kí tự thường,
số, biểu tượng,

và phải vượt qua khâu kiểm tra từ điển.

Rồi một loại chính sách khác chúng tôi thử,

và thêm hàng tá nữa,

nhưng có một loại chúng tôi gọi Basic16,

và điều kiện duy nhất ở đây

là mật khẩu phải ít nhất 16 kí tự.

Được rồi, lúc đó chúng tôi có
5.000 password,

nên chúng tôi đã khá khẩm hơn nhiều
thông tin chi tiết.

Một lần nữa, chúng tôi thấy rằng
chỉ có một số nhỏ

kí tự đặc biệt là mọi người thật sự dùng

trong mật khẩu mà thôi.

Chúng tôi cũng muốn một ý tưởng

về độ mạnh mật khẩu
mà mọi người tạo ra.

Nhưng như các bạn nhớ đó,
không có thước đo chuẩn nào

cho độ mạnh của password.

Điều mà chúng tôi quyết định làm là xem

mất bao lâu để bẻ khóa các mật khẩu này

sử dụng các công cụ bẻ khóa hiện đại

mà những kẻ xấu đang sử dụng,

hoặc là chúng tôi có thể tìm thấy
thông tin về nó

trong các tài liệu nghiên cứu.

Để các bạn hình dung được cách

kẻ xấu bẻ khóa ra sao,

họ sẽ đánh cắp một tập tin mật khẩu,

mà chứa tất cả dữ liệu

dưới một dạng xáo trộn, được gọi là hash,

và điều họ sẽ làm là đoán

xem mật khẩu là gì,

rồi cho chạy với một chương trình hashing,

và chờ liệu có khớp

với các mật khẩu họ đã chuẩn bị sẵn
trên danh sách trộm được.

Một kẻ gà mờ thì sẽ cố thử mọi mật khẩu
theo trình tự,

Họ sẽ bắt đầu với AAAAA và rồi AAAAB,

và điều này thật sự cần lượng lớn thời gian

trước khi họ lấy được bất cứ mật khẩu nào

mà ai ai cũng có thể làm được.

Một kẻ thông minh, mặt khác,

lại khéo léo hơn nhiều.

Họ nhìn vào các mật khẩu

mà được xem là phổ biến

từ những bộ bị đánh cắp này,

và họ đoán chúng trước.

Họ sẽ bắt đầu đoán là "password,"

và tiếp theo là "I love you," và "monkey,"

và "12345678,"

bởi vì đây là các mật khẩu

mà dường như mọi người hay có.

Thật ra, vài người ở đây có lẽ
có những loại này đó.

Điều chúng tôi tìm thấy

khi chạy 5.000 mật khẩu mà đã
tổng hợp được này

qua các đợt kiểm tra để xem
chúng mạnh như thế nào,

chúng tôi thấy rằng khi mật khẩu dài

thì thật sự khá mạnh,

và các loại phức tạp cũng vậy.

Tuy nhiên, khi chúng tôi xem qua
dữ liệu khảo sát,

chúng tôi thấy rằng mọi người
thật sự khó chịu

bởi sự phức tạp ấy,

và mật khẩu dài thì lại hữu dụng
hơn hẳn,

và trong vài trường hợp, chúng còn

thậm chí mạnh hơn cả loại phức tạp.

Điều này gợi ra rằng,

thay vì khuyên mọi người

hãy đặt kí tự đặc biệt và số

và những thứ điên rồ vào mật khẩu,

chúng ta tốt hơn chỉ khuyên họ là

nên có mật khẩu dài.

Dù gì thì, đây mới là vấn đề:

Một số người có mật khẩu dài

mà lại không thật sự mạnh.

Bạn có thể tạo độ dài

mà vẫn bao hàm những điều

một kẻ tấn công có thể dễ dàng đoán được.

Vì thế chúng ta cần làm nhiều hơn
thay vì chỉ tuyên bố khơi khơi như vậy.

Phải có vài điều kiện thêm vào,

và vài nghiên cứu dang dở
của chúng tôi đang xem xét

các điều kiện cần

để làm cho mật khẩu mạnh hơn

mà cũng chẳng phiền toái gì

để được ghi nhớ và gõ ra.

Một cách khác để
khuyến khích mọi người

tạo mật khẩu mạnh hơn là
sử dụng một thước đo mật khẩu..

Sau đây là một vài ví dụ.

Các bạn có thể đã thấy
những thứ này trên internet

trong khi các bạn tạo mật khẩu.

Chúng tôi đã quyết định làm
một nghiên cứu để tìm ra

cách hoạt động của các thước đo này.

Liệu chúng có thật sự giúp mọi người

cài mật khẩu mạnh hơn,

và nếu vậy, cái nào thì tốt hơn?

Vì thế chúng tôi đã thử nghiệm đủ loại

có kích thước, hình dáng,
màu sắc khác nhau,

tùm lum chữ xoay quanh,

và chúng tôi thậm chí đã thử một loại là
một chú thỏ nhảy nhót.

Khi bạn đánh một mật khẩu tốt hơn,

chú thỏ sẽ nhảy càng nhanh hơn.

Nhìn nó khá thú vị ấy chứ.

Rồi kết quả cuối cùng

là các thước đo này đúng có hiệu quả.

(Cười)

Đa số thực tế là như vậy,

kể cả con thỏ nhảy nhót nữa,

nhưng thước đo hay nhất

là cái khiến bạn làm việc nhiều hơn

trước khi nó đưa ra sự tán thành
và nói rằng

bạn đã đang làm rất tốt,

và hiện thực, chúng tôi thấy rằng phần lớn

thước đo mật khẩu trên Internet ngày nay

quá yếu.

Chúng khen bạn quá sớm,

và nếu chúng chỉ cần đợi thêm một tí

trước khi đưa bạn phản hồi tích cực đó,

thì bạn đã có thể có mật khẩu tốt hơn.

Một phương thức khác nữa, có lẽ thế,

là dùng cụm từ mật khẩu thay vì
từng từ mật khẩu.

Đây là bộ phim hoạt hình xkcd
cách đây vài năm,

và nhà họa sĩ phía sau đề nghị

tất cả chúng ta nên sử dụng
cụm mật khẩu

và nếu bạn nhìn vào hàng thứ 2
của phim hoạt hình này,

bạn có thể thấy nó đang gợi ý

rằng cụm từ mật khẩu
"correct horse battery staple"

sẽ rất mạnh

và cũng rất dễ nhớ.

Thật ra, anh ta nói không chừng
bạn đã nhớ nó rồi.

Do đó chúng tôi đã quyết định
làm một nghiên cứu

để phân xem điều đó đúng hay sai.

Những người tôi từng tiếp xúc,

người mà tôi nói rằng
tôi đang làm nghiên cứu,

họ đều chỉ đến bộ phim này.

"Ếy, bà đã xem nó chưa? Phim xkcd đó.

Correct horse battery staple."

Chúng tôi đã làm một nghiên cứu để xem

điều gì thực sự sẽ xảy ra.

Trong nghiên cứu, chúng tôi lại sử dụng
Mechanical Turk,

rồi chúng tôi để máy tính
chọn ngẫu nhiên các từ

vào trong cụm mật khẩu.

Lý do cho việc đó

là vì con người không giỏi

việc chọn ra từ ngẫu nhiên.

Nếu chúng tôi nhờ ai làm điều đó,

họ sẽ chọn những từ
không tự nhiên lắm.

Vì thế chúng tôi đã thử
trong điều kiện khác nhau.

Trong một trường hợp, máy tính

lọc từ một từ điển chứa nhiều

từ Tiếng Anh thông dụng,

và vì vậy bạn sẽ có thể nhận
được các cụm như

"try there three come."

Chúng tôi nhìn vào nó, và nói,

"Chậc, cũng chả dễ nhớ hơn là bao."

Sau đó chúng tôi thử những từ

các đoạn cụ thể trong bài văn nào đó,

hợp cấu trúc
Danh từ-động từ- tính từ-danh từ.

Điều đó đúc kết ra
những cụm giống như câu văn vậy.

Nên bạn có thể nhận được cụm đại loại như

"plan builds sure power"

hoặc "end determines red drug."

Và những cái này
dường như khá hơn đôi chút,

và có thể mọi người sẽ thích
những từ đó hơn.

Chúng tôi muốn so sánh chúng với mật khẩu,

nên chúng tôi để máy tính
chọn mật khẩu ngẫu nhiên,

chúng hấp dẫn và ngắn,
nhưng như bạn thấy đó,

chúng trông không dễ nhớ cho lắm.

Sau đó chúng tôi thử

mật khẩu phát âm được.

Máy tính chọn ngẫu nhiên âm tiết

rồi kết hợp chúng lại với nhau

cho ra vài thứ có thể phát âm được,

như "tufrivi" và "vadasabi."

Chúng làm cong lưỡi của bạn.

Đây là những mật khẩu ngẫu nhiên

được tạo ra từ máy tính.

Ngạc nhiên thay, cái chúng tôi tìm được
trong nghiên cứu này,

là cụm từ mật khẩu thì không mạnh cỡ vậy.

Mọi người thật sự không cảm thấy tốt hơn khi ghi nhớ

các 'cụm mật khẩu' hơn là
các 'từ mật khẩu' ngẫu nhiên này,

và bởi vì các 'cụm mật khẩu' dài hơn,

chúng làm mất thời gian lâu hơn khi gõ

và mọi người mắc lỗi nhiều hơn khi gõ chúng.

Vì thế nó là nhược điểm
của 'cụm mật khẩu'.

Xin lỗi, các fan của xkcd.

Mặt khác, chúng tôi đã tìm thấy

rằng các mật khẩu phát âm được

có hiệu quả đáng ngạc nhiên,

và do đó chúng tôi nghiên cứu thêm

cách làm tăng hiệu quả
của phương cách này.

Và một trong số các vấn đề

với các nghiên cứu của chúng tôi

là bởi các mật khẩu đều được tạo ra

từ Mechanical Turk.

Đó không phải mật khẩu thực
của con người.

Đó là các mật khẩu trang web này tạo ra

hoặc là do máy tính tạo ra
cho các nghiên cứu của chúng tôi.

Và chúng tôi muốn biết

liệu mọi người có làm như vậy

với các mật khẩu thực của họ.

Vì thế chúng tôi đã hỏi văn phòng
bảo mật thông tin tại Carnegie Mellon

liệu chúng tôi có thể có
password thực của mọi người.

Không ngạc nhiên, họ hơi miễn cưỡng

để chia sẻ chúng với chúng tôi,

nhưng chúng tôi đã tiếp cận được

một hệ thống mật khẩu

nơi mà họ chứa tất cả các password thực

cho 25.000 sinh viên CMU,
các cán bộ giảng dạy và nhân viên,

vào một máy tính được khóa
trong phòng bảo mật,

không kết nối internet,

và họ chạy mã lệnh mà chúng tôi viết

để phân tích các password này.

Họ kiểm tra code của chúng tôi.

Họ đã chạy code đó.

Và chúng tôi thật sự không thấy được

các mật khẩu của bất kỳ ai.

Chúng tôi thu được vài kết quả thú vị,

và những học sinh trường Tepper ở phía cuối

sẽ rất thích thú về điều này.

Chúng tôi đã tìm thấy rằng các password được tạo

bởi những người trong trường tin học

thì thực sự mạnh hơn gấp 1.8 lần

so với những người học tại trường kinh tế.

Chúng tôi cũng có nhiều

thông tin nhân khẩu học thú vị khác nữa

Điều thú vị khác mà chúng tôi tìm thấy

là khi so sánh các mật khẩu
của Carnegie Mellon

với các mật khẩu được tạo bởi Mechnical Turk,

thưc sự có rất nhiều sự giống nhau,

và điều này xác nhận
phương pháp nghiên cứu của chúng tôi

và cho thấy rằng, việc tổng hợp password

theo kết quả của Mechanical Turk này

là một cách hợp lý để nghiên cứu password.

Đó là một tin tốt lành.

Okay, tôi muốn kết thúc bằng việc nói về

vài hiểu biết mà tôi đã đúc kết được khi đi

nghiên cứu tại trường nghệ thuật
Carnegie Mellon.

Tôi đã làm một việc

là tạo ra một số mền long,

và tôi đã làm cái mền này đây.

Nó được gọi là "Tấm mền Bảo Mật."

(Cười)

Và cái mền này có tới 1.000

password bị đánh cắp nhiều nhất

từ website RockYou.

Và kích cỡ của password
thì tương ứng

với mức độ xuất hiện của chúng

trên bộ dữ liệu đánh cắp.

Và cái mà tôi làm là tạo ra đám mây từ này,

và tôi duyệt qua tất cả 1.000 từ

và tôi phân loại chúng vào

các loại chuyên đề mơ hồ.

Và trong vài trường hợp,

nó khó để nhận ra

chúng thuộc thể loại nào,

và sau đó tôi đánh màu cho chúng.

Và đây là vài ví dụ của sự khó khăn.

So "justin."

đó có phải là tên của một người dùng,

bạn trai của họ, con trai của họ?

Có lẽ chúng là 1 fan của Justin Bieber.

Hoặc "princess."

Đó là môt nickname?

Họ là fan của công chúa Disney?

Hoặc có lẽ đó là tên của con mèo của họ.

"Iloveyou" xuất hiện nhiều lần

trong nhiều ngôn ngữ khác nhau.

Có nhiều chữ love trong các password này

Nếu bạn nhìn kĩ, bạn sẽ nhìn thấy

vài lời tục tĩu,

những nó cũng thú vị

khi có nhiều YÊU hơn là GHÉT

trong các password này.

Và có những con vật,

rất nhiều động vật,

và "monkey" là con vật thông dụng nhất

và đứng thứ 14 trong tất cả
các password thông dụng nhất.

Và điều này gây cho tôi tò mò,

tôi tự hỏi, "Tại sao khỉ lại thông dụng nhất ?"

Và trong nghiên cứu cuối cùng của chúng tôi,

mỗi khi chúng tôi tìm thấy ai đó

tạo 1 mật khẩu với từ "monkey",

chúng tôi hỏi tại sao lại có
con khỉ trong mật khẩu của họ.

Và chúng tôi tìm ra --

chúng tôi tìm được 17 người

mà có từ "monkey" --

1/3 trong số họ nói rằng

họ có một thú nuôi tên là "monkey"

hoặc là một người bạn của họ có nickname là "monkey",

và 1/3 họ nói rằng

họ thích khỉ

và khỉ rất dễ thương.

Và nó thật sự dễ thương.

Và dường như cuối ngày,

khi chúng tôi tạo password,

chúng tôi cũng tạo ra vài thứ thật sự dễ nhớ

để đánh máy, một mẫu phổ biến,

hoặc những thứ gợi chúng tôi tới từ 'password'

hoặc là tài khoản mà chúng tôi đã tạo mật khẩu cho,

hoặc là bất cứ thứ gì.

Hoặc chúng tôi nghĩ về điều
làm chúng tôi hạnh phúc,

và chúng tôi tạo mật khẩu

dựa trên các điều mà làm chúng tôi hạnh phúc.

Và khi điều này làm cho việc đánh máy

và ghi nhớ mật khẩu thú vị hơn,

nó cũng trở nên dễ dàng hơn

để đoán mật khẩu của bạn.

Và tôi biết rất nhiều bài TED

gây cảm hứng

và làm cho bạn nghĩ về
những thứ tốt đẹp, hạnh phúc,

nhưng khi bạn tạo password,

hãy cố nghĩ đến những thứ khác.

Xin cám ơn.

(Vỗ tay)