Cách bảo vệ tài sản trong thời đại số hoá
- Tài sản trong thời đại số hoá có những rủi ro gì khác?
- Bảo vệ password
- Bảo vệ hai lớp (Two Factor Authentication)
- Digital Signing
- Di sản số
- Tài khoản ở ngân hàng
Tài sản trong thời đại số hoá có những rủi ro gì khác?
Thời nay đa số người ta đều có một thứ tài sản đặc biệt cần giữ là các file: file hình/video chụp bằng camera/phone, file nhạc để nghe bằng phone/computer, tài liệu soạn ra khi làm việc và ghi chép cá nhân… Mặc dù cách dùng các file đó khác nhau nhưng bên trong mỗi file chỉ chứa toàn các số 0 và 1 cho nên chúng ta gọi đó là tài sản số hoá. Những tài sản số hoá đều có một giá trị vật chất hoặc tinh thần nào đó. Chúng có giá trị vật chất khi chúng ta có thể bán, cho thuê, ví dụ như bán những tấm hình đẹp, cho người ta xem những video clip để thu tiền quảng cáo… Một vài loại tài sản số hoá có giá trị vật chất rất cụ thể là tài khoản ngân hàng, ví điện tử, giá trị của những tài sản này bằng số tiền có trong tài-khoản hoặc ví.
Những tài sản số hoá đó được tạo ra và giữ trong thẻ nhớ, USB drive, ổ đĩa cứng, smartphone… và chúng rất dễ bị mất đi vì vật chứa bị mất hay hư bất ngờ hoặc người chủ lỡ tay xoá mất.
Ngoài ra, ngày càng có nhiều file do chúng ta tạo ra nhưng không được giữ trong tay chúng ta mà nằm trong các cloud server của các nhà cung cấp dịch vụ như Google, Facebook, Dropbox… Chúng ta giữ những file đó bằng password, mất password là mất hết file. Password giống như một cái chìa khoá để mở cái tủ chứa tài sản số hoá.
Chống rủi ro hư hoặc mất
Những tài sản số hoá do cá nhân tự giữ trong thẻ nhớ, USB drive, ổ đĩa cứng… có thể bị hư hoặc mất. Để phòng ngừa hư và mất thì chúng ta chép các file đó ra nhiều nơi, nhưng chép ra nhiều nơi rồi thì chúng ta phải nhớ nơi nào chứa file mới nhất, nơi nào cũ hơn. Cách tiện lợi nhất bây giờ là để cho file tự động được chép vào đám mây, các dịch vụ đám mây tự động giữ nhiều version của từng file từ cũ đến mới nhất. Chúng ta có thể dùng các dịch vụ cloud storage miễn phí, hoặc có trả tiền hàng tháng hay hàng năm, hoặc trả tiền một lần để dùng mãi mãi, hoặc chúng ta tự tạo một cloud storage để dùng.
Đề phòng rủi ro mất trộm
Các file của cá nhân tạo ra có thể có giá trị nào đó đủ để kẻ xấu muốn lấy trộm. Mỗi loại file có giá trị khác nhau:
- Ví tiền mật mã (cryptocurrency) có giá trị bằng số tiền trong ví
- File tài liệu bí mật kinh doanh chỉ có giá trị khi ở trong tay người biết kinh doanh
- File chứa thông tin riêng tư có thể gây hại cho danh dự thì có giá trị trong tay kẻ xấu
Mỗi người có tài sản số hoá đều cần phải chú ý giữ cho đừng bị mất trộm:
- tránh để smartphone bị trộm hoặc cướp. Giá trị vật chất của smartphone cũng đáng kể nhưng có khi giá trị của những file chứa trong smartphone còn cao hơn nhiều,
- tránh đừng để password bị lộ hoặc quên.
Trường hợp khác
Một trường hợp bị lộ file riêng tư một cách không ngờ đó là giao máy tính hoặc smartphone bị hư cho thợ sửa và thợ đọc được những file trong đó. Để tránh bị như vậy, bạn hãy yêu cầu thợ gỡ đĩa cứng, thẻ nhớ đưa lại cho bạn trước khi bạn rời khỏi cửa hàng.
Smartphone đã có sẵn tính năng mã hoá các file ghi vào bộ nhớ của nó. Trước khi dùng máy mới, bạn cần xem lại xem tính năng đó có bật lên chưa. Với tính năng đó thì thợ sửa smartphone sẽ không thấy được những file trong máy nếu không có password để login. Và bạn luôn luôn nhớ đừng giao password để thợ thử máy trong khi sửa. Thay vì giao password, bạn hãy đồng ý để thợ factory reset smartphone của bạn. Thà mất hết file còn hơn để lộ những file riêng tư.
Bảo vệ password
Bây giờ có quá nhiều dịch vụ được cung cấp (miễn phí hoặc có thu phí) qua Internet. Để sử dụng dịch vụ thì chúng ta phải được server xác thực bằng cách trả lời password. Dùng máy tính và smartphone cá nhân cũng cần password. Một số file đặc biệt quan trọng trong máy cá nhân cũng cần password riêng để mở.
Những người mới làm quen với máy tính và smartphone thường dùng những password đơn giản. Kẻ gian cũng biết điều đó nên chúng có một danh sách rất dài những password thường gặp và chúng dùng phần mềm để thử lần lượt các password đó để cố login vào các server nhằm tìm kiếm những thông tin riêng tư. Để tránh bị mất tài sản số hoá do password quá đơn giản thì mỗi người phải tập dùng password rắc rối hơn, một số server cũng chỉ cho dùng password không quá đơn giản.
Làm sao nhớ hết được quá nhiều password thật rắc rối ở quá nhiều nơi như vậy?
Chống quên
Một cách đơn giản để nhớ hết password là dùng chung một password ở tất cả các nơi 😉.
Bạn đừng làm theo cách đơn giản này nha. Một lý do mà nhiều người thường nói đến để cản bạn là “khi bị lộ password thì tất cả các dịch vụ đều bị xâm phạm”. Còn một lý do thực tế hơn nữa, đó là “không thể giữ password giống nhau mãi ở tất cả mọi nơi”. Ban đầu bạn chọn một password tốt và dễ nhớ để dùng ở tất cả mọi nơi, mọi việc khá đơn giản. Sau một thời gian, bạn gặp một server nào đó yêu cầu bạn phải dùng password rắc rối hơn, thế là bạn có hơn một password phải nhớ. Sau một thời gian nữa, một server nào đó yêu cầu bạn đổi password định kỳ, thế là bạn có cả đống password phải nhớ. Không thể áp dụng cách đơn giản này được lâu đâu.
Một cách cũng đơn giản khác nữa là bạn có thể không cần nhớ tất cả password, chỉ cần nhớ password của một dịch vụ email để dùng địa chỉ email nhận password mới mỗi khi quên password ở các dịch vụ khác. Làm theo cách này cũng không dở, tuy nhiên bạn sẽ tốn thời gian để lấy password mới và trong nhiều trường hợp bạn cần phải nhớ câu trả lời cho câu hỏi riêng tư như là họ của mẹ bạn, tên trường tiểu học đầu tiên của bạn, tên con chó đầu tiên của bạn…
KeePass
Một cách chống quên chắc chắn nhất là bạn ghi chép tất cả password, nhưng không phải ghi vào sổ tay hay ghi vào file bình thường đâu. Việc ghi password vào sổ tay hay ghi vào file bình thường cũng có những rủi ro, ví dụ như có thể bị lộ.
Bạn hãy dùng phần mềm quản lý password để ghi tất cả các password và các thông tin quan trọng khác (ví dụ số thẻ ngân hàng, activation key của software). Tất cả những thứ đó được ghi vào một file database, bạn bảo vệ file database đó bằng một password thật tốt và thật dài, và bạn chỉ cần nhớ một password cuối cùng đó thôi. Password thật dài đó không nhất thiết phải thật rắc rối với những ký hiệu khó nhớ như !@#$%^&, nó có thể là một câu thơ bạn rất thích, được viết hoa vài chữ, và được thêm vài số có ý nghĩa riêng tư nào đó. KeePass là một phần mềm như vậy, nó có thể dùng được trên Linux, Windows, Android, iOS.
Các entry trong KeePass database được sắp xếp thành nhiều nhóm, ví dụ như nhóm công việc, nhóm ngân hàng, nhóm giải trí, nhóm mua sắm… Mỗi entry được ghi nhiều mục: title, user name, password, expires, và các mục do bạn tự đặt tên và giá trị. Tôi tự đặt thêm hai mục address và passphrase cho ví tiền Pi.
Tất cả thông tin ghi trong file KeePass database được mã hoá bằng password của file nên dù kẻ gian có chép được file database và đọc từng byte trong file database đó cũng không thể thấy được những gì ghi trong đó. KeePass có một password generator để tạo ra những password khó đoán để bạn dùng ở những server có yêu cầu cao, tôi tin rằng các password đó là không thể đoán được và cũng không thể nhớ được, để dùng những password đó bạn chỉ có cách mở KeePass ra và copy rồi paste. KeePass giữ lại lịch sử những lần sửa đổi của từng entry.
Dùng chung một file KeePass ở nhiều máy
App KeePass trong smartphone Android mở được file trong các cloud storage server Dropbox, Google Drive, OneDrive, OwnCloud, Nextcloud, pCloud và WebDav, SSH, FTP. KeePass tự động sao một bản của database trong smartphone và làm việc trên bản sao đó. Bạn chọn Synchronize database trong menu ba chấm ⁝ để đồng-bộ bản sao đó với bản chính trong cloud storage server. Như vậy bạn không cần đồng-bộ bằng các app cloud storage client.
Để dùng như vậy bạn hãy chép file KeePass của bạn vào một cloud storage, đồng-bộ giữa cloud và tất cả các máy tính, mở file đó từ cloud strorage bằng app KeePass trong smartphone.
Chú-ý: bạn cần phải đồng-bộ database với cloud storage ngay sau khi sửa ở một máy để tránh bị mất thông tin, xem thêm trong bài Kinh nghiệm dùng cloud storage.
Tôi đang dùng phần mềm KeePass để giữ tất cả thông tin như vậy. Để tiện dùng những thông tin đó mọi lúc và mọi nơi, tôi để file KeePass database của tôi trong một cloud storage và đồng-bộ nó về máy tính cũng như smartphone. Mặc dù để file KeePass trong Internet nhưng tôi không lo ngại gì hết vì kẻ gian phải qua hai lớp khoá mới lấy được file đó: password của cloud storage và password của file đó (ai mà biết được tôi thích câu thơ nào).
Nếu bạn chỉ dùng một máy smartphone (không có máy-tính), bạn cũng nên để file KeePass của bạn trong cloud storage để tránh rủi-ro hư hoặc mất smartphone. Ngay khi tạo file KeePass, bạn hãy chọn tạo file trong cloud strorage.
KeePass trong Android
Khi dùng app KeePass trong smartphone Android, bạn không cần copy và paste. App tạo ra sẵn một bàn phím ảo, bàn phím ảo này tự động chứa các mục của entry bạn đang mở trong KeePass. Ví-dụ bạn cần login vào website Dynv6 từ smartphone, bạn làm theo các bước:
- mở app Firefox,
- chọn ô nhập URL,
- chọn dùng bàn phím ảo Keepass2Android từ danh sách các bàn phím ảo đang có trong máy (Gboard, Laban Key, SwiftKey…),
- bấm vào logo của KeePass là nút hình ổ khoá,
- chọn Select entry, app KeePass hiện lên,
- gõ ba chữ cuối của password để Quickunlock KeePass
- chọn entry Dynv6 trong KeePass,
- app Firefox hiện ra, với các tên mục để chọn, nếu chiều ngang màn hình không đủ chỗ để hiện tất cả các mục, sẽ có dấu > để lần lượt xem các mục, bạn chọn URL để dán URL của Dynv6 vào, bấm Go để mở trang web,
- chọn Sign in trong trang web rồi chọn mục User để dán user name, chọn mục password để dán password vào đúng ô.
Sau vài chục giây thì app KeePass sẽ tự xoá hết các mục thông tin trong bàn phím ảo và trở về bàn phím default, bạn cũng có thể trở về bàn phím default bằng cách bấm phím hình ổ khoá mờ ở góc bên phải.
Đề phòng bị trộm password
Ngoài rủi ro quên mất password, còn có rủi ro bị người khác biết được password. Việc mất trộm password thường là do bị lừa:
- Bạn bị lừa đến một trang web giả, trông rất giống trang web cung cấp dịch vụ (ngân hàng, email, Facebook…) mà bạn định mở ra dùng, bạn gõ tên và password vào trang web giả đó, thế là bạn đã bị mất password.
- Bạn mở một trang web nào đó có một số thông tin mà bạn đang quan tâm, bạn download một file tài liệu hay phần mềm từ trang web đó vào máy, thế là một malware vào nằm trong máy của bạn, lặng lẽ gửi những gì bạn gõ trên bàn phím cho kẻ gian, kẻ gian sẽ lọc ra để lấy tên và password của các dịch vụ bạn thường dùng.
- Bạn nhận được một email từ một người quen, trong email đó có một file tài liệu hay hình ảnh, bạn mở file đó ra, thế là một malware vào nằm trong máy của bạn.
Để tránh bị lừa thì bạn hãy bình tĩnh đọc kỹ những thông báo nhận được, và tránh cài những phần mềm không rõ nguồn gốc (phần mềm đã crack), cân nhắc cẩn thận khi mở những file đính kèm email.
Bạn cũng nên nhớ rằng không bao giờ gõ password của mình ở máy của người khác. Lý do là bạn không thể biết chắc rằng máy đó không có malware trộm password. Khi tôi cần dùng máy ở tiệm in, tôi luôn luôn chuẩn bị sẵn những thứ cần in thành các file pdf, và để các file đó trong một cloud storage mà không cần password.
Một trường hợp bị mất password khác là server dịch vụ bị hacker xâm nhập và lấy hàng loạt thông tin người dùng, bao gồm tên trương-mục, địa chỉ e-mail, password… Bạn có thể đến trang web have i been pwned? dò xem những địa chỉ email nào của bạn đã bị lộ tại những dịch vụ nào.
Và bạn hãy luôn luôn dùng lớp bảo vệ thứ hai (được giải thích dưới đây) để khỏi bị mất trương-mục khi password đã bị trộm mất.
Password ở những chỗ khác
Ngoài việc dùng password để login vào các dịch vụ web, password còn được dùng ở nhiều chỗ khác nữa:- Để bật máy tính: người chủ máy tính có thể đặt password để người lạ không thể bật máy lên dùng khi không có password. Nếu lỡ quên password này thì người chủ máy có thể xoá BIOS Settings để máy không hỏi password nữa. Tôi chưa bao giờ dùng đến loại password này.
- Để mã hoá nguyên ổ đĩa cứng: người chủ máy tính có thể đặt password để mã hoá tất cả các sector được ghi vào ổ đĩa cứng, mỗi lần khởi động ổ đĩa cứng đều hỏi password. Việc mã hoá được thực hiện trong mạch điện của đĩa cứng. Nếu người chủ lỡ quên password thì xem như vứt đi cả ổ đĩa cứng lẫn nội dung trong đó vì không có cách gì để dùng được nữa.
- Để mã hoá nguyên file system volume: các hệ điều hành mới đều cho phép người chủ máy đặt password để mã hoá nguyên file system volume giống như mã hoá nguyên ổ đĩa cứng.
- Để mã hoá một file: các file chứa thông tin quan trọng như file ví tiền mật mã, file KeePass cần được mã hoá bằng một password để người khác không thể biết được nội dung.
- Để khoá máy điện thoại
- Để khoá SIM điện thoại di động: mỗi SIM có hai lớp PIN để hạn chế sử dụng.
- Để mở cửa với khoá điện tử
Bảo vệ hai lớp (Two Factor Authentication)
Một số dịch vụ tăng mức độ bảo vệ lên bằng cách dùng thêm password thứ hai, sau khi server đã nhận được password thứ nhất đúng rồi, nó hỏi thêm password thứ hai để chắc chắn rằng người trả lời thật sự là chủ trương-mục, không những biết password mà còn đang giữ một vật của riêng chủ trương-mục. Password thứ hai thay đổi liên tục theo thời gian và mỗi password chỉ có hiệu lực trong vài phút, nó gọi là One Time Password. Có hai cách để có OTP mà gõ vào.
Nhận OTP qua SMS
Sau khi nhận được password thứ nhất đúng, server sẽ gửi cho user một OTP qua SMS đến một số điện thoại di động của user.
Với những dịch vụ có giá trị lớn (liên quan đến nhiều tiền), kẻ gian sẽ cố tìm cách chiếm được cả password thứ nhất và số điện thoại của nạn nhân để chiếm quyền sử dụng dịch vụ. Nhiều vụ như vậy đã xảy ra trên thế giới và ở Việt Nam.
OTP tự tạo
Để tránh bị chiếm mất OTP trên đường truyền đến người dùng, một số dịch vụ cho người dùng tạo OTP bằng một máy tạo OTP nhỏ như ngón tay gọi là token, hoặc tạo OTP bằng một app trong smartphone. App tạo OTP có thể là app của riêng từng dịch vụ (ví dụ như app của riêng mỗi ngân hàng), hoặc app dùng chung cho nhiều dịch vụ (ví dụ Authy, Google Authenticator dùng chung cho Google, Microsoft, Facebook). KeePass cũng có thể tạo ra OTP. Tôi đang dùng Authy để tạo OTP cho các account Google, Microsoft Outlook, Github, pcloud, Firefox và Facebook.
Authy
Authy là app chạy trong smartphone (và Linux, Mac, Windows) để tạo OTP cho nhiều dịch vụ trong Internet. Sau khi cài Authy vào máy, bạn đăng ký sử dụng bằng một địa chỉ email và cung cấp một số điện thoại để bắt đầu dùng, sau đó bạn bảo vệ app Authy của bạn bằng một password và một PIN. Bạn nên ghi các thông tin đó vào KeePass để dùng khi cần cài lại Authy.
Sau khi cài và đăng ký account Authy, bạn bắt đầu đưa các dịch vụ cần bảo vệ bằng OTP vào Authy. Các dịch vụ phổ biến dùng được với Authy là Google, Facebook, Microsoft, Firefox, pCloud. Danh sách đầy đủ các dịch vụ được ghi ở Two Factor Auth.
Bạn có thể cài Authy trên vài máy cá nhân với cùng một account Authy. Khi đó OTP cho các dịch vụ được bảo vệ sẽ đồng bộ ở tất cả những máy đó. Nếu bạn lỡ mất hoặc xoá Authy ở một máy thì vẫn dùng được Authy ở các máy khác.
Nếu bạn chỉ có một máy cài Authy mà bị mất, bạn phải cài lại Authy để dùng. Khi cài lại Authy bạn sẽ dùng lại địa chỉ email, password đã ghi nhớ lúc trước, và bạn phải xác thực bằng một OTP nhận qua số điện thoại đã đăng ký.
Vật xác thực danh tính
Ở mức độ an toàn hơn password và OTP, các server yêu cầu người dùng chứng tỏ không giả mạo bằng một vật không thể sao chép được, ví dụ như vân tay hay authenticator (security key, chìa khoá an ninh kỹ thuật số). Khi dùng phương pháp xác thực này thì password không còn cần thiết nữa.
Phần mềm của dịch vụ sẽ liên lạc với đầu đọc vân tay (có sẵn trong máy hoặc nối với máy tính qua USB hoặc Bluetooth) để đọc vân tay của người dùng trước khi bắt đầu giao dịch.
Authenticator là một máy mã hoá nhỏ như cái móng tay. Nó chứa chìa khoá riêng (private key) của người dùng trong cặp chìa khoá public-key cryptography đã đăng ký với server của dịch vụ. Mỗi khi người dùng login vào dịch vụ thì server dịch vụ gửi đến máy của người dùng một chuỗi thử thách (challenge), máy của người dùng giao chuỗi thử thách đó cho authenticator qua USB hoặc NFC hoặc Bluetooth, authenticator ký chuỗi thử thách bằng private key rồi gửi trở lại server, server dùng public key của người dùng để kiểm xem chữ ký đó có khớp không. Private key của người dùng không bao giờ xuất hiện bên ngoài authenticator nên không sợ bị lộ. Authenticator có thể chứa vô số private key nên một người dùng với một authenticator có thể tạo trương-mục ở vô số dịch vụ, nhiều trương-mục ở cùng một dịch vụ. Authenticator đang dần trở nên phổ biến, đến một lúc nào đó người ta không cần password ở mọi nơi.
Biện pháp này chặt chẽ như vậy nhưng cũng không bảo vệ tuyệt đối được. Đã có trường hợp trong khi ngủ, chủ tài khoản bị người cùng nhà dùng đầu ngón tay để thực hiện giao dịch chuyển tiền đi mất. Trong trường hợp không tin tưởng người cùng nhà thì nên tắt hoặc cất smartphone vào trong két sắt khi đi ngủ.
Passkey
Từ Tháng 5/2023, Google bắt-đầu áp-dụng passkey để login vào các website của Google mà không dùng password. Thay vì password, người chủ-trương-mục dùng một smartphone Android. Cách login như sau:
Gõ địa-chỉ e-mail vào website trong Chrome browser, Chrome báo là login bằng passkey, bấm Continue thì Chrome hiện ra một QR code,
scan QR code đó bằng Google Lense trên Android, scan ra một đoạn text bắt đầu bằng chữ FIDO:, Google Lense hỏi có mở link không, chọn Ok thì Android chuyển đến đọc vân-tay, đưa ngón-tay vô thì Chrome trên Linux login vào Google xong.
Cả Linux và Android đều cần có Chrome. Nếu login vào google.com bằng Firefox hoặc Edge thì nó hỏi password. Nếu Android không cài Chrome thì không mở được text trong QR code.
Digital Signing
Trong phần trên, chúng ta được biết authenticator hay security key chứa những cặp chìa khoá public-key cryptography của những trương-mục ở các nhà cung cấp dịch vụ, và authenticator sẽ ký chuỗi thử thách để người-dùng được login vào dịch vụ, gọi là xác thực danh tính, authentication.
Cặp-chìa-khoá public-key cryptography còn được dùng để ký các chứng-từ giao-dịch, ví-dụ file hợp-đồng, file biên-bản… Đó là ứng-dụng chữ-ký-số. Mỗi-người đều có-thể tự dùng software để tạo ra cặp-chìa-khoá public-key cryptography, nhưng muốn cho chữ-ký-số được công-nhận có giá-trị thì phải mua từ các nhà-cung-cấp dịch-vụ chữ-ký-số được cấp phép từ chính-quyền và phải trả tiền hàng-năm. Chữ-ký-số thường chứa trong một USB token hoặc chứa trong SIM điện-thoại di-động. Khi ký văn-bản thì phần-mềm ký sẽ tạo ra chuỗi hash từ văn-bản, giao chuỗi hash cho USB token hoặc SIM điện thoại ký.
Từ vài năm trước, các doanh-nghiệp Việt-Nam đã phải dùng chữ-ký-số để ký các file khai thuế và khai hải quan trước khi nộp cho cơ-quan qua website.
Sắp tới đây cá-nhân ở Việt-Nam cũng cần chữ-ký-số để ký các file gửi đến website dichvucong của các cơ-quan hành-chánh. Từ Tháng 6/2023, các nhà-cung-cấp dịch-vụ chữ-ký-số đang cho khách-hàng cá-nhân dùng chữ-ký-số miễn-phí một năm đầu-tiên. Tuy-nhiên mỗi cá-nhân vẫn phải tốn-tiền mua lượt ký với giá 16.500/38.500/55.000 ₫ ứng với 3/20/50 lượt-ký.
Chữ-ký-số được cấp sau khi khai họ-tên, số-căn-cước, số-điện-thoại, e-mail, phường-xã, chụp hình thẻ-căn-cước, chụp hình mặt bằng smartphone. Có-thể dùng chữ-ký-số trên website, hoặc qua app của nhà-cung-cấp dịch-vụ.
Di sản số
Những tài sản có một giá trị nào đó (vật chất hay tinh thần) đều cần phải được truyền lại khi người chủ tài sản qua đời, không nên để bị quên lãng giống như những trường hợp chôn vàng dưới nền nhà mà người nhà không biết.
Người chôn vàng dưới nền nhà nên viết rõ chỗ chôn vào di chúc. Di chúc được niêm phong và cất cẩn thận, người thân sẽ mở di chúc sau khi người viết qua đời.
Với tài sản số hoá thì viết vào di chúc như thế nào? Viết tên và password lên giấy rồi niêm phong lại ư? Mỗi khi có một password cần phải đổi thì lại phải chép lại di chúc sao? Mất công quá, hãy làm di chúc số!
Google có một khả năng gọi là Inactive Account Manager rất tiện cho việc để lại tài sản số hoá. Khi Google thấy bạn không dùng trương-mục của bạn từ ba tháng trở lên, Inactive Account Manager sẽ gửi một email báo cho một vài người thân mà bạn đã chọn sẵn và cho những người đó dùng một vài loại tài sản số hoá mà bạn đang để trong Google.
Còn tài sản số hoá trong những dịch vụ khác thì làm sao để truyền lại? Tôi sẽ dùng Inactive Account Manager bắc cầu qua dịch vụ cloud storage để truyền lại tất cả tài sản số hoá như sau:
- Để trong Google Drive một file chứa link chỉ đến file KeePass trong một cloud storage server và password của file đó.
- Khi người thân của tôi nhận được quyền dùng gmail hoặc Google Drive của tôi sẽ mở được file KeePass đó và thấy tất cả password ở tất cả các dịch vụ tôi đã từng dùng.
Tài khoản ở ngân hàng
Tài khoản của bạn ở ngân hàng cũng là tài sản số hoá, nhưng là số tiền, cụ thể hơn loại tài sản số hoá ở trên.
Đối với loại tài sản số hoá là tài khoản trong ngân hàng thì chìa khoá gồm có một cái thẻ gắn liền với PIN (Personal Identification Number) và số điện thoại di động. Số điện thoại di động được dùng để nhận OTP (One Time Password) qua SMS khi dùng thẻ qua Internet (để trả tiền mua hàng hoặc chuyển tiền sang tài khoản khác). Kẻ gian đã tìm ra những cách để chiếm quyền sử dụng số điện thoại của chủ tài khoản, hoặc lén cài phần mềm gián điệp vào smartphone để lấy cắp OTP trong SMS và chuyển hết tiền sang tài khoản khác. Gần đây các ngân hàng đã dùng loại chìa khoá tốt hơn số điện thoại di động, đó là app tạo ra OTP trên smartphone. Tuy nhiên, kẻ gian vẫn nghĩ ra nhiều kịch bản để lừa chủ tài khoản giao OTP cho bọn chúng và các ngân-hàng đã liên-tục nhắc-nhở “không giao OTP cho bất-cứ ai, kể-cả nhân-viên ngân-hàng”.
Đối với thẻ, khi dùng thẻ để rút tiền ở ATM thì máy luôn luôn hỏi PIN. Nhưng khi dùng thẻ để trả tiền mua hàng qua máy POS thì có trường hợp máy hỏi PIN (thường là thẻ debit), có trường hợp máy không hỏi PIN (thường là thẻ credit). Khi thẻ credit của bạn bị mất, kẻ gian sẽ cầm thẻ đi mua những món đắt tiền rồi đem bán lại. Ở nước ngoài, khi bạn báo cho ngân hàng biết rằng bạn bị mất thẻ thì ngân hàng không bắt bạn trả những món tiền đã chi tiêu từ lúc mất thẻ. Ở VN, bạn phải trả tiền cho ngân hàng trước rồi khiếu nại sau, do đó việc mất thẻ credit mà không kịp khoá thẻ tương đương với mất tiền. Bây giờ, các ngân hàng thường có app để khách hàng cài vào smartphone, qua app đó có thể khoá thẻ ngay lập tức mà không cần phải gọi đến ngân hàng như hồi xưa.
Một kiểu mất thẻ khác là thẻ bị sao chép. Thẻ ngân hàng loại cũ dùng dải từ để ghi thông tin thì rất dễ bị sao chép. Khi thẻ đã bị sao chép rồi, kẻ xấu có thể dùng bản sao đó đi mua hàng, hoặc đi rút tiền nếu chép được cả PIN. Thẻ từ có thể bị sao chép trong những trường hợp sau:
- Chép ở ATM: kẻ xấu gắn một máy đọc thẻ rất gọn ra trước khe nhét thẻ ở ATM và một camera để ghi PIN. Khi người ta đưa thẻ vào thì hai bộ phận đó sẽ chép nội dung dải từ và số PIN rồi gửi cho kẻ xấu để ghi ra một thẻ khác. Để tránh bị sao chép như vậy thì luôn luôn để ý khe nhét thẻ phải bình thường và che bàn phím khi bấm PIN.
- Chép ở máy POS: những cửa hàng gian lận sẽ dùng máy đọc thẻ của khách hàng. Để tránh bị thì khách mua hàng không được để người bán hàng cầm thẻ đi khỏi tầm mắt của mình.
Ngoài tài khoản ngân hàng, tôi còn có ví tiền điện tử, tài khoản đầu tư quỹ đầu tư.
* Những kinh nghiệm khác