Bảo-vệ đời-sống của bạn trong không-gian-số

• Phần một: bảo-vệ những thiết-bị di-động
• Phần hai: bảo-vệ những thông-tin trong mạng

Lúc-này tôi dành phần-lớn thời-gian để xem-xét mặt tối của đời-sống trong không-gian-số—kiểm-tra những kỹ-thuật, công-cụ, và phương-pháp của những kẻ-tội-phạm máy-tính để giúp mọi-người tự-vệ tốt hơn trước bọn-chúng. So với khi tôi làm ở Ars Technica, việc này không khác nhiều, nhưng nó đã cho tôi hiểu rõ hơn những người bình-thường khó sống “an-toàn” trong không-gian-số như-thế-nào.

Ngay-cả những người tự nhận là có kiến-thức về tội-phạm máy-tính và các mối đe-dọa an-ninh—và những người làm mọi cách họ biết—cũng có-thể (và thật-sự) trở-thành nạn-nhân. Sự-thật là khi có đủ thời-gian và kỹ-năng thì mọi thứ đều có thể bị hack.

Mấu-chốt để bảo-vệ đời-sống trong không-gian-số của bạn là làm cho nó trở-nên hết-sức tốn-kém và không dễ-dàng đối-với những kẻ có ý-định ăn-cắp những thứ quan-trọng đối-với sự-an-toàn, tài-chính và sự-riêng-tư của bạn. Nếu kẻ-trộm thấy rằng khó hoặc tốn-kém để lấy được đồ của bạn thì chúng sẽ chuyển sang một mục-tiêu dễ hơn. Vì vậy, quan-trọng là phải đánh-giá những cách mà thông-tin bị trộm hoặc bị lộ—và hiểu những giới-hạn trong việc bảo-vệ những thông-tin đó.

Trong phần một của bản-hướng-dẫn của chúng-tôi về cách-bảo-vệ đời-sống trong không-gian-số của các-bạn, chúng-tôi nói vắn-tắt về quá-trình đó và những biện-pháp căn-bản mà mọi người có-thể làm để giảm những rủi-ro cho những thiết-bị của mình. Trong phần hai, chúng-tôi nêu-ra những biện-pháp rộng hơn để bảo-vệ danh-tính kỹ-thuật-số, cùng với những biện-pháp đặc-biệt cho những người mà có-thể gặp những rủi-ro lớn hơn.

Bạn không phải là Batman

Trong một bài viết trước chúng-tôi đã đề-cập đến việc lập mô-hình những mối đe-doạ—bao-gồm những điều vừa viết ở trên. Một trong những khía-cạnh quan-trọng của việc lập mô-hình những mối đe-doạ là định-nghĩa mức-độ chấp-nhận rủi-ro của bạn.

Chúng-ta vẫn luôn-luôn đánh-giá mức-độ rủi-ro mọi-lúc một cách vô-thức—ví-dụ như đánh-giá xem băng qua đường có an-toàn không. Để hoàn-toàn loại-trừ những nguy-cơ bị xe đụng, bạn phải xây một đường hầm hoặc một cây cầu để băng qua đường, hoặc bạn phải cấm tất cả xe chạy. Những biện-pháp đó quá mức để một người băng qua đường ở chỗ có đèn giao-thông, nhưng có-thể thích-hợp khi có rất nhiều người băng qua đường.

Việc lập mô-hình những mối đe-doạ trong đời-sống trong không-gian-số của bạn cũng tương-tự. Trừ-khi bạn là Batman—có rất nhiều nguồn-lực, có danh-tính bí-mật—bạn không cần những biện-pháp bảo-vệ kiểu Batman (luôn-luôn che mặt, ở trong hầm bí-mật). (Có vài trường-hợp bạn cần thêm sự bảo-vệ ngay cả khi không phải là Batman, chúng tôi sẽ bàn về những trường-hợp đặc-biệt đó trong phần hai.)

Với những người muốn khoá kỹ tài-sản mà không cần phải dọn vào ở trong một căn hầm ở nơi hẻo-lánh, bước đầu-tiên là đánh-giá những điều sau:

• Những thứ gì trong đời-sống trong không-gian-số của tôi có-thể làm lộ những thông-tin cốt-lõi về tài-chính, sự-riêng-tư và sự-an-toàn của tôi?
• Tôi có-thể làm gì để giảm thiểu những rủi-ro đó?
• Việc cố-gắng giảm thiểu rủi-ro tỷ-lệ thế-nào với những rủi-ro?
• Tôi có-thể cố làm được đến mức nào?

Giảm bề-mặt bị tấn-công của bạn

Câu-hỏi đầu-tiên ở trên là về việc liệt-kê mọi-thứ của đời-sống trong không-gian-số của bạn mà có-thể bị khai-thác bởi bọn tội-phạm (hay một công-ty, một cá-nhân bất-lương) gây thiệt-hại cho bạn. Một danh-sách điển-hình gồm có điện-thoại, các thiết-bị di-động, máy-tính cá-nhân, mạng máy-tính gia-đình, trương-mục mạng-xã-hội, tài-khoản ngân-hàng online, thẻ tín-dụng, và danh-tính của bạn. Chúng-tôi sẽ đề-cập vài thứ ở đây, phần còn-lại sẽ được đề-cập trong phần hai.

Mỗi món trong danh-sách trên là một bề-mặt bị tấn-công—một cơ-hội cho một ai-đó khai-thác ra thông-tin của riêng bạn. Diện-tích bị tấn-công lớn hay nhỏ phụ-thuộc vào nhiều yếu-tố, bạn có thể dùng vài biện-pháp căn-bản để giảm cơ-hội bị-hại.

Những mối-đe-doạ đến máy-điện-thoại

Những máy-điện-thoại-di-động và máy-tính-bảng chứa một phần đáng-kể danh-tính trong không-gian-số của chúng-ta. Chúng cũng dễ bị nằm ngoài tầm-kiểm-soát của chúng-ta khi bị mất, bị trộm, bị người khác cầm trong lúc chúng-ta không để-ý.

Để ngăn-ngừa những trường-hợp không cố-ý xem thông-tin cá-nhân trong smartphone thì khá đơn-giản.

Điều đầu-tiên, khi bạn không ở nhà, bạn nên luôn-luôn, không có ngoại-lệ, khoá thiết-bị trước khi rời tay khỏi nó. Bạn nên khoá điện-thoại bằng cách chắc-chắn nhất mà bạn cảm thấy thoải-mái, đừng dùng PIN bốn chữ số vì nó gần như vô-dụng. Để chắc-chắn hơn, hãy dùng password hoặc passcode có ít nhất sáu chữ số.

Điều thứ-hai, điện-thoại của bạn phải được khoá ngay khi tắt màn-hình, không có khoảng thời-gian cho phép bật màn-hình lại trong tình trạng không khoá. Và hãy đặt cho điện-thoại của bạn tự xoá hết thông-tin khi password bị sai mười lần.

Và cũng thường-xuyên backup điện-thoại của bạn. Cách an-toàn nhất là backup vào máy-tính cá-nhân và thông-tin được mã-hoá. Người dùng iOS 13 trở về sau có thể backup vào iCloud một cách an-toàn.

Hãy upgrade OS trong máy-điện-thoại của bạn tới bản mới nhất để chặn những kẽ hở đã biết. Upgrade ngay khi smartphone báo có bản mới, đừng chờ xem bản mới đó có ổn-định không, có bug không.

Những mối-đe-doạ khác đến thiết-bị di-động

Những điều trên đề-cập đến 90% những mối-đe-doạ đến thiết-bị di-động của bạn—nhưng chưa đủ. Còn những phần khác cần được nêu ra, gồm có những mối-đe-doạ từ software và mạng. Apple và Google đã làm nhiều việc để những thiết-bị di-động được an-toàn hơn, nhưng vẫn còn nhiều cách để các app gian-xảo hoặc không gian-xảo làm những việc không nên làm.

Ví-dụ app (và thiết-bị di-động) có-thể được dùng để theo-dõi người-chủ theo những cách rối-rắm, và có thể làm lộ thông-tin một cách không cố-ý hoặc cố-ý trong mạng Wi-fi, mạng di-động hoặc Bluetooth.

Những app ở ngoài cửa-hàng chính-thức (side-loaded) cũng có-thể đem đến những vấn-đề về an-toàn. Đừng-bao-giờ cài app từ những nơi không tin-cậy. Có những app giả lừa người-ta đến những trang web giả để chiếm-đoạt thông-tin và tiền.

Để giảm những kẽ-hở ở các app, hãy thường-xuyên xem lại từng app có quyền làm gì trong smartphone. Một vài app muốn có thông-tin vị-trí ngay cả khi bạn không dùng app, phải dè-chừng những người-phát-triển app không có uy-tín. Nên từ-chối cho app những quyền không cần-thiết—ví-dụ như Facebook Messenger đòi dùng SMS và phone call để tìm bạn của bạn. Và nếu trong máy có những app mà bạn không cần dùng, hãy xoá nó ngay.

Ngoài những vấn-đề xảy-ra từ những app đáng-ngờ, thiết-bị di-động còn bị xâm-nhập qua những chức-năng bình-thường như Wi-fi hoặc Bluetooth. Nên tắt Wi-fi khi rời khỏi nhà để tránh lộ những thông-tin, như là địa-chỉ MAC, khi nó dò tìm những mạng Wi-fi quanh nó. Khi smartphone cần bạn bật Wi-fi để định-vị, đừng cho nó bật.

Bluetooth cũng vậy. Khi bật Bluetooth, smartphone sẽ gửi ra quanh nó những thông-tin về chính nó và chính bạn, ví-dụ như tên bạn (khi bạn đặt tên smartphone.) Đừng dùng tên bạn đặt tên cho smartphone. Bạn có bất-ngờ không khi một người lạ gọi đúng tên bạn vì thấy tên smartphone của bạn qua Bluetooth.

Máy-tính và web browser

Về máy-tính, đại-dịch làm cho người ta ít ra đường, giảm rủi-ro mất máy, nhưng có nhiều người làm việc với cái máy-tính không an-toàn, những phương-tiện bảo-vệ cũ hoặc tệ hơn nữa là bị tắt đi. Hãy update và dùng những miếng vá software mới nhất.

Trong phần lớn các trường-hợp, malware được cài vào máy bởi chính người chủ máy, do bất-cẩn. Kẻ-gian dùng những cách để lừa người-ta cài malware của chúng: malware xuất hiện trong kết quả tìm-kiếm, malware được gửi qua email hay tin-nhắn từ người quen, malware trong những software đã bị sửa để không phải trả tiền (cracked). Cũng có khi những website đàng-hoàng bị hack và chứa malware, hoặc malware nằm trong những ô quảng-cáo trong web.

Những router, server hoặc những thiết-bị nối vào Internet cũng có thể bị xâm-nhập do có kẽ-hở. Kẻ-gian xâm-nhập được vào các thiết-bị đó, cài malware vào và từ đó xâm-nhập vào các máy-tính trong mạng.

Máy laptop của bạn cần có mật-khẩu mạnh để tránh rủi-ro khi mất máy và kẻ-gian login được.

Để tránh những mối đe-doạ kể trên, bạn cần phải thay-đổi hành-vi khi lướt web, phải thận-trọng quan-sát y như khi đi-bộ qua những đoạn đường tối và vắng.

Một cách dễ-dàng để giảm-thiểu những mối đe-doạ đến máy-tính của bạn là dùng bản mới nhất của hệ-điều-hành, dù là hệ-điều-hành gì (Linux, macOS, Windows.) Nếu bạn dùng bản cũ của hệ-điều-hành mà nối vào Internet, rủi-ro tăng lên. Hãy bật tính-năng tự động update. Khi máy báo có bản update, hãy tạm ngưng việc đang làm và update ngay. Tương-tự như vậy với browser.

Tất-cả những hệ-điều-hành hiện-đại đều có firewall. Hãy bật firewall lên. Bạn có thể tạo một profile firewall với ít hạn-chế hơn để dùng khi ở nhà, nhưng khi ở nơi công-cộng thì phải dùng profile public.

Trong trường-hợp máy-tính của bạn bị xâm-phạm, thiệt-hại bị hạn-chế nếu bạn có backup data. Nên backup vào nơi có mã-hoá và không nối mạng để ransomware không chạm đến bản backup. Nếu có nhiều bản backup thì càng tốt.

Đĩa cứng trong máy của bạn cũng phải được mã-hoá để không ai đọc được nội-dung đĩa khi bạn chưa login máy.

Như đã viết ở trên, hãy bật và update antivirus.

Cũng như đối với smartphone, password để mở máy laptop phải mạnh. Khi đem máy đến những nơi có rủi-ro cao thì tắt máy thay vì suspend khi không dùng.

Các Wi-fi access point và router cũng cần được update firmware hoặc software.

Và cuối-cùng là hãy dùng một password manager để tạo ra và quản lý các password mạnh.

Trong phần trên, tôi đã đề-cập những điều-cơ-bản của việc đánh-giá những rủi-ro trong không-gian-số và những cách-bảo-vệ trong tầm-tay của bạn: những thiết-bị của bạn. Nhưng những thiết-bị bạn dùng chỉ là một phần của những gì bạn lộ ra trong không-gian-số.

Theo một báo-cáo của Aite Group, gần một nửa số người-tiêu-dùng Mỹ đã bị trộm danh-tính trong hai năm qua. Những thiệt-hại trong năm 2021 từ việc trộm đó được tính ra khoảng 721,3 tỷ Mỹ-kim—chỉ tính riêng những vụ chiếm-đoạt trương-mục online. Những phần đáng-giá khác của bạn trong không-gian-số có-thể không đem rủi-ro về tiền đến với bạn nhưng vẫn có-thể có tác-động rõ-ràng đến sự-riêng-tư, sự-an-toàn và tổng-thể sức-khoẻ tài-chính.

Trường-hợp cụ-thể: Tháng-Chín vừa-qua, trương-mục Twitter của tôi bị một hacker tấn-công nhằm chiếm-đoạt. Mặc-dù tôi đã thực-hiện nhiều biện-pháp để ngăn trương-mục của tôi bị trộm (gồm có xác-thực hai yếu-tố), kẻ-tấn-công đã làm cho tôi không-thể login (mặc-dù chúng cũng không thể). Tôi đã phải tốn vài tuần và vài lần liên-lạc với cấp cao ở Twitter để khôi-phục trương-mục. Là một người mà cách-kiếm-tiền gắn với trương-mục Twitter đã được xác-minh, vụ-tấn-công này không chỉ là sự-bất-tiện mà thật-sự làm rối-loạn công-việc của tôi.

Kẻ-tấn-công đã tìm được địa-chỉ email liên-kết với trương-mục Twitter của tôi qua một vụ ăn-cắp thông-tin ở một dịch-vụ mà tôi đã từng liên-kết với trương-mục Twitter. Không có thiệt-hại về tiền nhưng nó đã làm tôi nhìn kỹ lại cách tôi bảo vệ trương-mục online của mình.

Một-số rủi-ro với đời-sống trong không-gian-số của bạn lại nằm ở các nhà-cung-cấp-dịch-vụ nơi mà trực-tiếp bị tác-động bởi kẻ-gian nhiều hơn bạn. Ví-dụ các công-ty thẻ-tín-dụng đã đầu-tư rất nhiều vào việc phát-hiện gian-lận bởi-vì việc-kinh-doanh của họ được xây trên việc giảm-thiểu rủi-ro của những giao-dịch tài-chính. Nhưng các tổ-chức khác cũng giữ danh-tính cá-nhân của bạn thì không đủ mạnh trong việc chống gian-lận như-vậy.

Mọi việc dựa trên nhiều trương-mục

Có vài việc bạn có-thể làm để giảm những rủi-ro đặt-ra bởi việc ăn-cắp thông-tin (ở các nhà-cung-cấp dịch-vụ). Việc đầu-tiên là tránh để lộ thông-tin chứng-thực (tên-trương-mục và mật-khẩu) của bạn. Việc ăn-cắp thông-tin ở nhà-cung-cấp dịch-vụ đặc-biệt nguy-hiểm nếu bạn đã không áp-dụng các biện-pháp kỹ-lưỡng khi tạo thông-tin chứng-thực. Các biện-pháp đó là:

• Dùng một phần-mềm quản-lý mật-khẩu để tạo ra những mật-khẩu mạnh mà bạn không cần phải nhớ. Phần-mềm quản-lý mật-khẩu đã có sẵn trong các browser thông dụng: Chrome, Firefox. Bạn cũng có-thể dùng phần-mềm quản-lý mật-khẩu riêng rẽ (ví-dụ KeePass). Với phần-mềm quản-lý mật-khẩu, bạn tạo những mật-khẩu khác nhau cho những dịch-vụ khác nhau, như-vậy khi thông-tin chứng-thực bị ăn-cắp ở một nhà-cung-cấp dịch-vụ sẽ không dùng được ở các nhà-cung-cấp dịch-vụ khác.
• Khi có-thể được, dùng cách-xác-thực hai yếu-tố hoặc hơn nữa (2FA hoặc MFA). Việc này kết-hợp mật-khẩu với một thứ từ một nơi không phải web browser hoặc app đang dùng. Cách-xác-thực hai yếu-tố làm cho kẻ-gian không-thể log-in vào dịch-vụ với thông-tin ăn-cắp được. Nếu có-thể được thì tránh dùng 2FA qua SMS vì kẻ-gian có thể nhận được SMS của bạn. Hãy dùng những app như Authy, Duo, Google Authenticator, hoặc Microsoft Authenticator, chúng có-thể được dùng với nhiều dịch-vụ web khác nhau. Bạn cũng có-thể dùng một phần-cứng như YubiKey.
• Dùng một địa-chỉ email khác cho những trương-mục dịch-vụ có giá-trị cao. Như-vậy kẻ-gian không-thể log-in vào dịch-vụ giá-trị cao với thông-tin ăn-cắp được từ các dịch-vụ thường. Bạn có-thể tạo nhiều email alias, mỗi alias để dùng cho từng dịch-vụ khác nhau; như-vậy bạn sẽ biết ngay đã bị ăn-cắp thông-tin từ nhà-cung-cấp dịch-vụ nào khi thấy spam mail gửi đến alias nào.
• Hãy dùng các dịch-vụ kiểm-tra địa-chỉ email nào của bạn đã bị ăn-cắp. Chrome hay Firefox có dịch-vụ này. Bạn cũng có-thể kiểm-tra ở haveIbeenpwned.com.

Khi 2FA vẫn chưa đủ

Những biện-pháp bảo-vệ luôn thay-đổi. Tôi nhận-ra điều-đó khi trương-mục Twitter của tôi đã có 2FA nhưng vẫn không đủ—có một biện-pháp nữa gọi là “bảo-vệ mật-khẩu”, nó sẽ không cho đổi mật-khẩu nếu không có sự xác-nhận qua email. Gửi yêu-cầu đổi mật-khẩu và đổi địa-chỉ email làm cho 2FA bị mất tác-dụng và đổi mật-khẩu. May-mắn là trương-mục bị khoá sau nhiều lần gửi yêu-cầu và kẻ-gian không thể chiếm được.

Đây là một ví-dụ về tình-huống những biện-pháp giảm nhẹ rủi-ro bình-thường không có tác-dụng cộng: dùng nhiều biện-pháp vẫn không đem lại sự bảo-vệ. Trong trường-hợp này tôi bị tấn-công vì trương-mục của tôi đã được xác-minh, có giá-trị.

Những rủi-ro trong mạng-xã-hội

Những mạng-xã-hội, cộng-đồng online, app hay dịch-vụ để tương-tác là những nguồn thông-tin dùng để tấn-công có chủ-đích. Những trương-mục mạng-xã-hội là những mục-tiêu bị chiếm, và nó chứa những thông-tin quan-trọng về người-dùng, gia-đình họ, bạn họ, những hoạt-động hoặc thậm-chí là tài-sản. Nếu bạn dùng mạng-xã-hội, hãy dùng các cách sau để bớt lộ ra trong mạng-xã-hội:

• Phải luôn-luôn xoá bớt thông-tin trong hình các loại thẻ trước khi gửi.
• Phải dùng mật-khẩu mạnh và 2FA.
• Chọn chỉ cho friends xem những nội-dung của bạn trong Facebook.
• Đừng để vị-trí tức-thời chính-xác của bạn trong các nội-dung đưa lên mạng-xã-hội. Tôi chỉ gửi hình vào mạng-xã-hội sau khi tôi đã rời khỏi nơi chụp. Như-vậy sẽ tránh được rủi-ro bị theo-dõi.
• Đừng gửi hình có địa-chỉ nhà hoặc các thông-tin chỉ tới nơi ở.
• Đừng đưa địa-chỉ email hoặc số-điện-thoại vào những nơi công-cộng.
li>Không cho phép các app biết vị-trí của bạn khi bạn không mở app. Những thông-tin đó liên-tục được ghi lại trong server của nhà cung-cấp dịch-vụ, khi kẻ-gian chiếm được thông-tin đó trong server, chúng có thể biết được thói-quen đi-lại của bạn.
• Đừng bao-giờ chấp-nhận đem một cuộc trò-chuyện từ app này sang app khác, ví-dụ một người vừa mới quen sơ trong mạng-xã-hội đề-nghị tiếp-tục chat qua WhatsApp hoặc phone là dấu-hiệu của một kẻ lừa-đảo đang cố thu-thập thông-tin về bạn, hoặc đang cố gửi cho bạn những địa-chỉ web không an-toàn mà chúng không thể gửi được trong mạng-xã-hội.
• Hãy thận-trọng với những địa-chỉ web được gửi trên mạng-xã-hội, đó có-thể là những cái-bẫy để ăn-cắp thông-tin chứng-thực. Và cũng phải thận-trọng khi một người bạn đã kết-nối qua mạng-xã-hội lại gửi thêm yêu-cầu kết-nối, đó có thể là kẻ mạo-danh muốn lừa lấy tiền của bạn.

Nếu bạn thấy những điều trên quá rắc-rối thì bạn đừng dùng mạng-xã-hội.

Những trường-hợp đặc-biệt

Hãy dùng VPN hoặc Tor để vượt qua những hạn-chế của nhà-nước, và trong trường-hợp dùng Internet qua proxy của một mạng nội-bộ vì proxy có thể xem được những nội-dung của bạn.

Đôi-khi, mối-nguy lớn nhất lại ở ngay bên cạnh bạn—một người thân lén cài phần-mềm độc-hại vào thiết-bị của bạn.