Một nhân viên trong văn phòng dùng bàn phím. Nhiều logo email chồng lên nhau, có logo khiên/ổ khóa.

Tài liệu gửi qua Email đã được Bảo mật bằng Mật khẩu: Vụ Rò rỉ Dữ liệu Mới và Âm thầm

Chúng ta phụ thuộc rất nhiều vào email

Việc gửi email, cho dù là để phục vụ mục đích cá nhân hay công việc, đều trở nên phổ biến trong cuộc sống hiện đại của chúng ta. Kể từ khi đại dịch COVID bùng phát, doanh nghiệp ngày càng phụ thuộc vào các cuộc họp trực tuyến hơn là các cuộc gặp mặt trực tiếp. Kết quả là, nhân viên công ty chia sẻ nhiều tệp hơn với đồng nghiệp, khách hàng, đối tác hoặc các bên thứ ba khác (ví dụ: nhà cung cấp dịch vụ, nhà thầu, đối tác tài chính, pháp lý và kỹ thuật, v.v.). Điều quan trọng hơn bao giờ hết là chúng ta cảm thấy yên tâm khi đính kèm các tệp có thông tin nhạy cảm vào email của mình – rằng chúng ta có thể tin tưởng các nhà cung cấp email sẽ thực hiện mã hóa toàn bộ quá trình gửi và nhận tin nhắn để dữ liệu nhạy cảm của chúng ta được bảo mật.

Nhiều người đã áp dụng thêm các biện pháp bảo mật khác. Các ứng dụng như Word, Excel®, Adobe® Acrobat® và nhiều ứng dụng khác cho phép người dùng đặt mật khẩu để bảo vệ tài liệu. Tính năng mã hóa tích hợp này nhằm mục đích đảm bảo rằng dữ liệu bên trong sẽ được bảo mật và chỉ những người nhận được chỉ định có mật khẩu chính xác mới có thể truy cập.

Tuy nhiên, mã hóa như vậy chưa hẳn đã hoàn toàn yên tâm. Các bộ phận CNTT không thường xuyên kiểm tra email gửi đi để phát hiện các vi phạm tiềm ẩn đối với dữ liệu bảo mật, vì dữ liệu được lưu trữ độc lập trên các máy chủ riêng hoặc máy chủ đám mây theo yêu cầu của luật và các quy định. Trong nhiều trường hợp, nhà thầu có thể không thông báo cho đối tác khi xảy ra sự cố bảo mật email.

Vậy, mức độ an toàn của các tệp đính kèm gửi qua email đến đâu?

Chúng ta thường cho rằng máy chủ email, nhà cung cấp Internet và máy chủ của khách hàng/đối tác đều được bảo mật tốt. Mặc dù thường xuyên xảy ra các vụ vi phạm dữ liệu trên đám mây và trong các công ty, nhưng ít khi thấy báo cáo về các vụ việc email bị tấn công.

Tuy nhiên, vào tháng 7 năm 2023, tin tặc đã xâm nhập vào các tài khoản email của chính phủ Mỹ. Tháng 1 năm 2024, Microsoft® tiết lộ rằng họ đã trở thành nạn nhân của một vụ tấn công qua email kéo dài hai tháng, trong đó các email nội bộ và tệp đính kèm của ban lãnh đạo bị đánh cắp.

Liệu chúng ta còn có thể hoàn toàn yên tâm về sự an toàn của dữ liệu nhạy cảm không? Hãy nghĩ đến những ngành nghề thường xuyên làm việc với dữ liệu quan trọng như luật sư, tư vấn tài chính, kế toán, bảo hiểm và các ngành nghề khác. Việc đặt mật khẩu bảo vệ để mã hóa tệp trước đây thường được coi là biện pháp bảo mật hiệu quả, nhưng hiện nay điều này chưa đủ để đảm bảo an toàn cho dữ liệu.

Password-protected files using software encryption

Một người đang ngồi tại bàn làm việc, đang sử dụng bàn phím và chuột. Hình minh họa trên đó có một tài liệu được bảo vệ bằng mật khẩu.

Các bảng tính Excel chứa thông tin khách hàng được bảo vệ bằng mật khẩu, hoặc các tệp PDF chứa bằng chứng pháp lý cũng được mã hóa để có thể mang lại sự yên tâm. Tuy nhiên, nếu tin tặc có được những tệp này, chúng có thể làm gì?

Các tệp này được mã hóa bằng phần mềm trên máy tính và chỉ có thể truy cập dữ liệu qua cổng mật khẩu. Nếu nhập sai mật khẩu, tệp tin sẽ không cho phép truy cập và bạn sẽ không thể mở tệp.

Thật không may, các tệp này không có khả năng bảo vệ chống lại việc tấn công brute force (hay còn gọi là tấn công đoán mật khẩu), tức là kẻ tấn công có thể thử mọi tổ hợp ký tự để tìm ra mật khẩu đúng.

Để minh họa, hãy nghĩ đến một mật khẩu mạnh có sự kết hợp của ba trong bốn loại ký tự: chữ in hoa, chữ thường, số và ký tự đặc biệt. Đây là loại mật khẩu tiêu chuẩn được các chính sách bảo mật CNTT yêu cầu tuân thủ như một tiêu chuẩn bảo mật tốt nhất. Đa số các mật khẩu mạnh hiện nay thường có độ dài tối thiểu là 8 ký tự.

Về lý thuyết, một máy tính sẽ mất nhiều năm để thử hết các tổ hợp của mật khẩu mạnh như vậy. Các tệp được bảo vệ bằng mật khẩu không có cách nào khác để chống lại việc đoán mật khẩu ngoài việc dựa vào độ ngẫu nhiên (độ phức tạp) của mật khẩu đã chọn.

Máy tính và Công cụ Hiện đại

Ngày nay, máy tính có thể thực hiện đoán mật khẩu ít nhất 1 tỷ lần mỗi giây. Đây là một bước tiến vượt bậc so với thời điểm bắt đầu sử dụng mật khẩu để bảo vệ tệp.

Tội phạm mạng bẻ khóa các tệp được bảo vệ bằng mật khẩu như thế nào?

Có rất nhiều công cụ miễn phí trên Internet để gỡ bỏ mật khẩu khỏi các tệp Excel hoặc Acrobat. Các tệp được mã hóa bảo mật đặc biệt có thể trở thành mục tiêu của các công cụ trả phí. Những phần mềm này có thể sử dụng một máy tính để tấn công hoặc tận dụng mạng lưới của hàng nghìn máy tính để thử mọi tổ hợp mật khẩu có thể (đặc biệt là đối với những kẻ tấn công quyết tâm chiếm đoạt được dữ liệu có giá trị cao). Một số công cụ mạnh mẽ này được tiếp thị như là công cụ pháp y dành cho cơ quan thực thi pháp luật, nhưng lại rất dễ dàng tiếp cận – bạn có thể mua những công cụ này bằng thẻ tín dụng và tải chúng xuống.

Theo Home Security Heroes, một công cụ bẻ khóa mật khẩu sử dụng trí tuệ nhân tạo có thể bẻ khóa một mật khẩu mạnh gồm 8 ký tự thông thường chỉ trong vài phút đến tối đa 7 giờ. Khi sử dụng nhiều máy tính kết nối với nhau, thời gian hoàn thành cuộc tấn công brute force vào một tệp được bảo vệ bằng mật khẩu có thể được rút ngắn đáng kể.

Cách bảo vệ dữ liệu di động

A Kingston IronKey Vault Privacy 50 USB is plugged into a multi-port hub on a desk, connected to an office computer.

Tại thời điểm này, rõ ràng rằng bất kỳ dữ liệu nhạy cảm nào được truyền qua phương tiện điện tử đều có nguy cơ bị xâm phạm nếu tệp bị chặn, hoặc máy chủ lưu trữ tệp cũng như máy chủ chứa tệp dưới dạng tệp đính kèm bị xâm nhập. Tương tự, các tệp được mã hóa lưu trữ trên đám mây – bất kỳ đám mây nào – cũng không hoàn toàn an toàn, vì vẫn phụ thuộc vào cơ chế mã hóa phần mềm. Nếu kẻ tấn công có được tệp được bảo vệ bằng mật khẩu, chúng có thể sử dụng phần mềm tùy chỉnh theo loại tệp để tấn công bằng phương pháp đoán mật khẩu.

Giải pháp để giảm thiểu rủi ro này là "ngắt kết nối hoàn toàn" hoặc cách ly dữ liệu khỏi mạng. Dữ liệu có thể được lưu trữ trên máy tính không kết nối Internet hoặc truyền qua một phương tiện đã được tăng cường để chống lại các cuộc tấn công mật khẩu bằng phương pháp brute-force. Mặc dù khá phức tạp, nhưng đây là một biện pháp giảm thiểu dựa trên giá trị của dữ liệu – một số loại vi phạm có thể gây ra thiệt hại lên tới hàng triệu đô la và tốn kém chi phí pháp lý và các khoản bồi thường cao tùy thuộc vào loại dữ liệu bị mất. Ví dụ: một bảng tính chứa thông tin chi tiết về tài khoản khách hàng có thể gây thiệt hại nghiêm trọng cho doanh nghiệp nếu bị mất. Thông tin IP của khách hàng được sử dụng trong một vụ kiện có thể gây ảnh hưởng nghiêm trọng đến công ty nếu thông tin đó bị mất và bị bán trên dark web.

Một giải pháp bảo mật dữ liệu di động hiệu quả và tương đối rẻ là sử dụng ổ USB hoặc SSD được mã hóa phần cứng. Các thiết bị này có hệ thống bảo mật phần cứng độc lập, bảo vệ chống lại các cuộc tấn công mật khẩu và sử dụng mã hóa AES-256 bit luôn bật, vốn được biết là chưa từng bị phá vỡ. Điều quan trọng là phải tìm mua các thiết bị lưu trữ như vậy từ các nhà sản xuất uy tín và đáng tin cậy vì các ổ đĩa giá rẻ được bán trực tuyến có thể không thực hiện đúng cách việc bảo mật bằng mật khẩu hoặc mã hóa.

Ổ USB hoặc ổ SSD ngoài được mã hóa phần cứng, chẳng hạn như ổ đĩa Kingston IronKey, không phải là những USB hoặc SSD thông thường. Các thiết bị này được thiết kế đặc biệt từ ban đầu như những thiết bị bảo vệ dữ liệu – sử dụng các bộ điều khiển chuyên dụng với mục tiêu chính là bảo mật. Các ổ đĩa này đáp ứng tiêu chuẩn bảo mật cấp doanh nghiệp và bảo mật cấp quân sự (bao gồm chứng nhận FIPS 140-3 Cấp độ 3 được cấp bởi NIST, Viện Tiêu chuẩn và Công nghệ Quốc gia Hoa Kỳ, đơn vị thiết lập nên mã hóa AES-256 bit và đặt ra các tiêu chuẩn cho các cơ quan chính phủ Hoa Kỳ). Trong hơn 20 năm qua, Kingston cũng đã thiết kế và sản xuất các ổ đĩa mã hóa phần cứng cho các doanh nghiệp và chính phủ trên toàn thế giới.

Bảo vệ hiệu quả trước các cuộc tấn công brute force

Tất cả các truy cập vào ổ đĩa IronKey đều được điều hướng thông qua bộ vi xử lý bảo mật. Để cho phép truy cập dữ liệu, bộ vi xử lý bảo mật yêu cầu mật khẩu hợp lệ hoặc mã PIN đối với các ổ đĩa có bàn phím. Bộ vi xử lý bảo mật sẽ đếm số lần nhập sai mật khẩu liên tiếp (giống như khi bạn bị khóa điện thoại vì nhập sai mật khẩu quá nhiều lần). Ổ đĩa IronKey cho phép đặt nhiều loại mật khẩu, bao gồm mật khẩu quản trị viên, mật khẩu người dùng và mật khẩu khôi phục dùng một lần. Nếu nhập sai mật khẩu khôi phục dùng một lần hoặc mật khẩu người dùng 10 lần liên tiếp, ổ đĩa sẽ khóa các loại mật khẩu này. Nếu nhập sai mật khẩu Quản trị viên chính 10 lần liên tiếp, bộ vi xử lý bảo mật sẽ kích hoạt chế độ tự hủy dữ liệu – xóa toàn bộ dữ liệu mã hóa, định dạng lại ổ đĩa và khôi phục về cài đặt gốc. Lúc này, dữ liệu đã lưu trữ trước đó trên ổ đĩa sẽ bị mất vĩnh viễn. Đây là biện pháp phòng thủ tốt nhất mà bạn cần để bảo vệ dữ liệu nhạy cảm.

Các phương pháp tốt nhất để bảo mật dữ liệu nhạy cảm

Thật không may, việc truyền các tệp được bảo vệ bằng mật khẩu qua email hoặc đăng lên máy chủ đám mây có thể dẫn đến rò rỉ dữ liệu vì bản thân các tệp không thể được bảo vệ hoàn toàn bằng công nghệ AI và máy tính hiện nay. Cách bảo mật tốt nhất là mang dữ liệu di động theo bên mình – trong túi áo hoặc túi xách của bạn. Sau đó, bạn có thể chia sẻ dữ liệu với bên khác. Hoặc, bạn có thể gửi ổ đĩa cho khách hàng/đối tác của mình và hướng dẫn họ cách truy cập dữ liệu. Ổ đĩa có thể được giao cho khách hàng/đối tác để đảm bảo dữ liệu được bảo mật và cách ly dữ liệu khỏi mạng. Ổ SSD ngoài của IronKey có các mức dung lượng lên đến 8 TB có thể cung cấp bảo mật mạnh mẽ cho nhiều chuyên gia, từ luật sư đến các nhà cung cấp dịch vụ y tế hoặc tài chính.

Nhiều nhà sản xuất không còn gửi email các tài liệu và thông tin chi tiết quan trọng về sở hữu trí tuệ nữa, thay vào đó, họ gửi ổ đĩa IronKey cho đối tác (thường ở các quốc gia khác) và kèm theo hướng dẫn cách truy cập dữ liệu. Ổ đĩa IronKey cho phép Quản trị viên thiết lập chế độ chỉ đọc áp dụng cho toàn bộ ổ đĩa, ngăn chặn mọi thay đổi đối với các tệp khi sử dụng mật khẩu của Người dùng để truy cập.

Ổ đĩa IronKey tuân thủ các phương pháp tốt nhất theo mô hình bảo mật CIA Triad và là một hình thức bảo hiểm giá rẻ để bảo vệ dữ liệu nhạy cảm một cách an toàn và tốt nhất có thể, trong phạm vi mà công nghệ hiện tại cho phép. Cuối cùng, việc bạn quyết định bảo vệ dữ liệu của mình như thế nào phụ thuộc vào giá trị của thông tin đó đối với bạn.

Biểu tượng Hỏi chuyên gia của Kingston trên chipset bo mạch

Hỏi Chuyên gia

Lên kế hoạch cho giải pháp phù hợp yêu cầu phải có sự hiểu biết về các mục tiêu bảo mật của dự án. Hãy để các chuyên gia của Kingston hướng dẫn cho bạn.

Hỏi Chuyên gia

Bài viết liên quan