Hacker bẻ mật khẩu 16 kí tự trong chưa đầy 60 phút

Trong một thử nghiệm của trang we bArs Technica,14.800 mật mã đã bị hack thành công, bao gồm cả những mật mã có độ dài 16 ký tự.

Trong một thử nghiệm của trang web Ars Technica, 14.800 mật mã đã bị hack thành công, bao gồm cả những mật mã có độ dài 16 ký tự.

Trang web nói trên đã cung cấp cho một đội ngũ hacker khoảng 16.449 mật khẩu được mã hóa, và yêu cầu họ giải mã được càng nhiều mật khẩu càng tốt trong vòng một giờ đồng hồ. Trong khoảng thời gian này, Jens Steube, lập trình viên trưởng của phần mềm bẻ khóa oclHashcat-plus đã bẻ khóa được tới 13.486 mật khẩu, tương đương với 82% tổng số password được giao. Thậm chí, hacker này còn không cần dùng tới một mạng máy vi tính có sức mạnh khủng khiếp, mà chỉ cần một máy vi tính với 2 card đồ họa.

Ngay cả thành viên "kém cỏi" nhất của đội hacker nói trên (biệt danh radix) cũng có khả năng bẻ khóa tới 62% số lượng password được giao trong vòng 1 giờ, và hacker này thậm chí còn vừa bẻ khóa password vừa trả lời phỏng vấn. Vậy, lý do gì dẫn tới việc các hacker này có thể làm việc hiệu quả tới vậy?

Với các mật khẩu ngắn, các hacker chỉ cần sử dụng biện pháp brute-force (tấn công vét cạn). Đây là một phương pháp trong đó máy vi tính thử nhập vào tất cả các chuỗi có thể xây dựng được từ các ký tự, ví dụ như từ aaaaa đến ZZZZZ. Với độ dài ngắn, số lượng chuỗi ký tự có thể tạo ra là không nhiều, do đó phương háp tấn công brute-force không tốn quá nhiều thời gian. Với các mật khẩu dài hơn, các hacker cần sử dụng các biện pháp tinh vi hơn.

Một thành viên trong đội hacker này, Jeremi Gosney, thêm một vài tham số vào các tấn công brute-force của mình. Anh ta cho máy vi tính của mình đoán các mật khẩu 7 – 8 ký tự, bao gồm toàn các chữ cái viết thường (không viết hoa). Gosney cũng sử dụng các cuộc tấn công kiểu Markov: phương pháp dựa vào các điểm giống nhau trong cấu trúc của mật khẩu (ví dụ như chữ hoa ở đầu, chữ thường ở giữa, các ký tự lạ và chữ số ở cuối cùng) để giảm thiểu số lần máy vi tính phải đoán mật khẩu.

Các hacker cũng sử dụng các cuộc tấn công dạng từ điển (dictionary attack). Tấn công dạng từ điển sẽ dò tìm mật khẩu yêu cầu từ một danh sách các từ ngữ có sẵn (gọi là một "wordlist"). Thực tế, "từ điển" ("wordlist") trong "tấn công từ điển" lớn hơn rất nhiều lần so với một cuốn từ điển thông thường. Các wordlist mà bạn có thể tìm thấy miễn phí ở trên mạng chứa hàng triệu từ ngữ từ nhiều ngôn ngữ khác nhau, và cả những mật khẩu thông thường như "password123".

Bất kể ai sở hữu một chiếc máy vi tính có sức mạnh tương đối và kết nối Internet đều có thể sử dụng các công cụ này – kể cả những kẻ dò mật khẩu kém cỏi nhất cũng có thể giải mã ra được khoảng 60% số mật khẩu được giao trong vòng vài giờ. Các chuyên gia dò tìm mật khẩu có thể tìm ra nhiều password hơn với tốc độ nhanh hơn. Rất nhiều mật khẩu có thể bị giải mã vì chúng đi theo những xu hướng phổ biến, do đó bạn có thể dựa vào các lời khuyên sau đây để tăng tính bảo mật cho mật khẩu của mình:

- Hãy sử dụng mật khẩu càng dài càng tốt. Mật khẩu càng dài thì càng khó bị bẻ khóa.

- Hãy sử dụng vài chữ cái viết hoa, nhất là ở phần giữa của mật khẩu. Các mật khẩu chỉ sử dụng các chữ cái viết thường và các chữ số dễ bị bẻ khóa hơn rất nhiều.

- Rất nhiều mật khẩu bắt đầu bằng chữ cái hoặc ký tự lạ và kết thúc bằng các con số. Hãy thay đổi cấu trúc này để tạo ra một mật khẩu có cấu trúc khó đoán.

Trong thời đại mà các công ty để lộ thông tin cá nhân của người dùng ngày càng nhiều, bao gồm cả những cái tên lớn như Twitter hay Sony, hãy nhớ rằng trách nhiệm bảo vệ tài khoản của bạn thuộc về bạn trước tiên.