Trong thế giới kỹ thuật số ngày nay, việc áp dụng các phương pháp bảo mật vững chắc chưa bao giờ trở nên cấp thiết hơn. Rất nhiều người dùng đã quen thuộc với việc sử dụng trình quản lý mật khẩu để theo dõi các mật khẩu duy nhất cho từng tài khoản, đây là một phần quan trọng trong an ninh mạng. Bên cạnh đó, các lớp bảo mật như xác thực hai yếu tố (2FA) hay khóa TOTP vật lý cũng đã được nhiều người biết đến để tăng cường “lớp vỏ” bảo mật. Tuy nhiên, còn một lỗ hổng lớn thường bị bỏ qua: những thiết bị công nghệ mà bạn không thể hoặc không nghĩ đến việc thay đổi mật khẩu mặc định.
Một số lượng đáng báo động các thiết bị điện tử được bán ra thị trường với những mật khẩu mặc định vô cùng tệ hại, và chúng thường không bao giờ được thay đổi bởi người dùng. Đôi khi, những mật khẩu này thậm chí không thể thay đổi được vì chúng đã được mã hóa cứng vào phần mềm (firmware) của thiết bị và cần một bản cập nhật từ nhà sản xuất. Có rất nhiều tài nguyên trực tuyến dành cho các nhà nghiên cứu bảo mật cung cấp cơ sở dữ liệu khổng lồ về những mật khẩu mặc định này, cho thấy mức độ nghiêm trọng của vấn đề. Đáng lo ngại nhất là các thiết bị được quảng cáo là an toàn hoặc được thiết kế để bảo vệ ngôi nhà của bạn, như camera giám sát kết nối internet, tường lửa phần cứng, bộ định tuyến (router) hoặc hệ thống báo động. Các thiết bị này thường có mật khẩu mặc định để dễ dàng cài đặt, nhưng chúng không phải lúc nào cũng được thay đổi sau khi quá trình cài đặt hoàn tất. Nếu bạn đang sở hữu bất kỳ thiết bị nào trong số này, hãy kiểm tra ngay để đảm bảo rằng mật khẩu mặc định đã được thay đổi. Nếu không thể tự thay đổi, hãy liên hệ với nhà sản xuất để được hỗ trợ.
7. Router (Bộ Định Tuyến Wi-Fi)
Nguy cơ tiềm ẩn từ mật khẩu mặc định của thiết bị cổng internet và Wi-Fi gia đình bạn
Các router thường được xuất xưởng với mật khẩu mặc định, cho dù là mật khẩu trang quản trị, thông tin đăng nhập Wi-Fi hay để kết nối với nhà cung cấp dịch vụ internet (ISP). Mặc dù bất kỳ router nào cũng có thể có những mật khẩu mặc định tồi tệ như admin/password, cho phép người dùng toàn quyền quản trị để thay đổi mọi thứ, nhưng các router do các ISP cung cấp đặc biệt nổi tiếng về vấn đề này.
Một mặt, việc có mật khẩu mặc định giúp kỹ thuật viên dễ dàng cài đặt mọi thứ hoạt động bình thường, và bạn cũng có thể kết nối nhanh chóng với Wi-Fi của router mới, vì thông tin đăng nhập thường được in trên nhãn dán ở đâu đó trên thiết bị. Nhưng bạn lẽ ra phải thay đổi các chi tiết đăng nhập đó ngay sau khi kỹ thuật viên rời đi. Có bao nhiêu người trong chúng ta thực sự làm điều đó? Không nhiều, theo IBM, 86% mật khẩu router mặc định chưa bao giờ được thay đổi.
Hãy nhớ rằng, đây là thiết bị được sử dụng làm cổng kết nối internet cho mọi thiết bị khác trong nhà bạn, và quan trọng hơn, đây là tường lửa bảo vệ mọi thiết bị trên internet đang cố gắng truy cập vào mạng của bạn. Đừng chần chừ, hãy thay đổi mật khẩu của nó ngay lập tức.
6. Modem Cáp
Một hình thức phổ biến của mật khẩu mặc định trên các thiết bị kết nối internet
Một số hộ gia đình có thể sử dụng nhiều thiết bị để quản lý mạng gia đình và cổng kết nối internet, trong đó modem cáp thường là một phần của gói dịch vụ. Tuy nhiên, các modem này hầu như luôn có những mật khẩu mặc định đơn giản nhất, như admin/password. Tệ hơn nữa, nhiều ISP sẽ không cho phép bạn thay đổi chúng vì họ sử dụng thông tin đăng nhập đó để đẩy các bản cập nhật firmware và thực hiện các tác vụ quản trị khác.
Modem cáp Xfinity XFi và giao diện điều khiển ứng dụng, minh họa thiết bị mạng gia đình có mật khẩu mặc định kém an toàn
Nếu bạn đang bị “kẹt” với một modem cáp mà bạn không thể thay đổi mật khẩu quản trị, bạn có thể cân nhắc trả lại cho ISP và mua một modem cáp tốc độ cao của riêng mình mà bạn có thể kiểm soát và thay đổi mật khẩu mặc định kém an toàn của nó.
5. Raspberry Pi
Bảo mật các máy tính bảng mạch đơn của bạn để tránh trở thành mục tiêu của tin tặc
Cho đến gần đây, Raspberry Pi từng có sự kết hợp mật khẩu mặc định tệ nhất (ngoài cặp admin/password, tất nhiên). Vâng, việc sử dụng pi và raspberry lần lượt cho tên người dùng và mật khẩu sẽ giúp bạn đăng nhập vào bất kỳ hệ điều hành Raspbian hay Raspberry Pi OS mới cài đặt nào. Điều này cũng đúng cho dù bạn đăng nhập từ giao diện đồ họa (GUI) hay truy cập SBC từ xa bằng SSH. Với các loại tác vụ mà người dùng Raspberry Pi thường cài đặt, đây là một vấn đề lớn.
May mắn thay, đây không còn là vấn đề nữa. Kể từ Raspberry Pi OS dựa trên Bullseye trở lên, quá trình cài đặt sẽ yêu cầu bạn tạo tên đăng nhập và mật khẩu riêng. Điều này có thể là do Raspberry Pi Foundation có trụ sở tại Vương quốc Anh, nơi gần đây đã thông qua một đạo luật cấm các nhà sản xuất thiết bị sử dụng mật khẩu mặc định kém an toàn. Việc sử dụng tên thiết bị làm mật khẩu rõ ràng là ngớ ngẩn, và việc loại bỏ nó đã giúp tăng cường an toàn cho người dùng.
4. Thiết bị IoT
Nhà thông minh của bạn có thể “ngu ngốc” một cách đáng ngạc nhiên về bảo mật
Hàng năm, nhiều công ty bảo mật đều công bố báo cáo về những mật khẩu tệ nhất trong năm. Năm 2024, “123456” vẫn là mật khẩu phổ biến nhất đang được sử dụng. Bên cạnh việc mất niềm tin vào nhân loại mỗi khi đọc điều đó, tôi cũng không chắc liệu lỗi này luôn là do người dùng hay không. Dù sao thì, theo NordPass, đây là lỗi của người dùng, vì hơn một triệu người đã sử dụng mật khẩu đó trong môi trường doanh nghiệp.
Đó cũng là một trong những mật khẩu mặc định phổ biến nhất trên các thiết bị IoT, như camera kết nối internet, chuông cửa video thông minh, đèn thông minh, công tắc thông minh và những thiết bị tương tự. Không phải ngẫu nhiên mà chúng có tiếng xấu về bảo mật, và đôi khi những mật khẩu kinh khủng này được mã hóa cứng trong firmware của thiết bị, khiến bạn không thể làm gì được. Điều bạn có thể làm là tìm kiếm các thiết bị từ các thương hiệu đáng tin cậy, vì những thiết bị này ít có khả năng sử dụng các thực hành bảo mật đã lỗi thời. Và quan trọng hơn, hãy thay đổi mọi thông tin đăng nhập mặc định ngay khi bạn kết nối chúng vào mạng của mình.
3. Ô tô có điểm phát sóng Wi-Fi
Thay đổi mật khẩu Wi-Fi trên ô tô vì lý do an toàn tối thượng
Điểm phát sóng Wi-Fi trên ô tô là một trường hợp điển hình của sự tiện lợi lấn át bảo mật. Giả sử bạn có một chiếc ô tô có Wi-Fi (vì mọi thứ đều cần Wi-Fi ngày nay), bạn đã thay đổi mật khẩu mặc định của nó chưa? Bạn có biết một tên trộm có thể dễ dàng lấy được thông tin đăng nhập của bạn đến mức nào không?
Điện thoại iPhone hiển thị cài đặt điểm phát sóng cá nhân, liên quan đến nguy cơ bảo mật trên các xe hơi có Wi-Fi
Nếu xe của bạn có hệ thống OnStar, tất cả những gì kẻ xấu cần làm là nhấn nút Lệnh giọng nói của OnStar và nói “Wi-Fi settings”, và trợ lý giọng nói hữu ích của bạn sẽ đọc ra các chi tiết. Điều này thậm chí còn dễ dàng hơn hệ thống WPS (Wi-Fi Protected Setup) một nút bấm, vốn cũng nên được tắt đi. Và mật khẩu Wi-Fi mặc định thường nằm ở những vị trí dễ tìm, như trong sách hướng dẫn sử dụng xe, trên một nhãn dán trong hộc đựng đồ, hoặc thậm chí trên chính thiết bị phát sóng Wi-Fi nếu nó hiển thị. Hệ thống thông tin giải trí của xe cũng sẽ hiển thị mật khẩu Wi-Fi, nhưng xe phải đang hoạt động để làm điều đó, khiến việc tìm mật khẩu mà bạn đã thay đổi thành mặc định càng dễ dàng hơn.
2. Hệ thống báo động gia đình của bạn
Bạn có biết hầu hết hệ thống này đều có một mã thoát hiểm được cấu hình sẵn để tắt báo động?
Bạn có biết rằng một trong những tính năng của hệ thống báo động gia đình bạn bao gồm một mã mặc định có thể tắt báo động không? Tôi chắc chắn là không, nhưng giờ thì tôi biết, và tôi cũng biết thêm một mật khẩu mặc định nữa cần phải thay đổi ngay khi tôi lắp đặt một hệ thống báo động mới. Nhờ KrebsonSecurity, chúng ta biết rằng ADT có một mã thoát hiểm trên bàn phím của họ, đây là một tính năng tiện lợi giúp tắt báo động nhưng cũng gửi một tín hiệu báo động im lặng đến ADT để họ có thể cử người đến giúp đỡ.
Bàn phím hệ thống báo động Ring được gắn trên tường, minh họa thiết bị an ninh gia đình có thể dùng mật khẩu mặc định
Nhưng chúng ta cũng phát hiện ra rằng các bàn phím thường được cài đặt mặc định với mã 2-5-8-0. Vâng, một đường thẳng duy nhất, đi thẳng xuống giữa bàn phím, là cách tốt nhất mà họ có thể nghĩ ra cho một mã mặc định. Tôi đoán điều đó cũng có lý một phần, vì bạn muốn một cái gì đó dễ nhớ trong trường hợp khẩn cấp, nhưng nó nên là một cài đặt mà người dùng có thể thay đổi, chứ không phải là một mật định. Việc nó phổ biến rộng rãi trong các hệ thống báo động có nghĩa là một tên trộm có thể tắt báo động đủ lâu để đột nhập và rời đi trước khi cảnh sát đến.
1. Thiết bị y tế
Máy tạo nhịp tim, máy chụp CT và nhiều thiết bị khác đều sử dụng mật khẩu mặc định cố định
Bạn có thể nghĩ rằng các thiết bị hình ảnh y tế có giá trị lớn sẽ được bảo mật tốt hơn là chỉ một mật khẩu mặc định, nhưng hãy nghĩ lại. TechCrunch cho biết hàng chục máy hình ảnh do General Electric sản xuất có “mật khẩu mặc định cứng không thể thay đổi”, và những thiết bị này được kết nối mạng trong bệnh viện, vì vậy bạn có thể thấy vấn đề ở đây liên quan đến quyền riêng tư của bệnh nhân. Không chỉ các thiết bị hình ảnh; thông tin đăng nhập được mã hóa cứng cũng được dùng để bảo mật máy tạo nhịp tim và các thiết bị bệnh nhân khác. Điều đó giúp các bác sĩ điều trị cho bạn làm việc dễ dàng hơn, nhưng lại mở ra khả năng bạn bị tấn công vào sức khỏe của mình.
Máy chụp CT trong bệnh viện, tượng trưng cho các thiết bị y tế phức tạp nhưng có thể có mật khẩu mặc định cố định
Mật Khẩu Mặc Định Là Rủi Ro Lớn, Nhưng Đã Có Những Thay Đổi Tích Cực
Các thiết bị sử dụng mật khẩu mặc định là dấu hiệu cho thấy các thực hành bảo mật lỏng lẻo từ nhà sản xuất. Thực tế là những mật khẩu này thường được sử dụng trên các thiết bị được thiết kế bởi các công ty bảo mật, như router Cisco, camera kết nối internet, router Wi-Fi hoặc hệ thống báo động gia đình, là một thất bại nghiêm trọng đối với cộng đồng bảo mật. Một số mật khẩu mặc định này thậm chí còn được mã hóa cứng, khiến người dùng cuối không thể loại bỏ chúng, và tin tặc có thể dễ dàng chiếm quyền kiểm soát thiết bị.
Tuy nhiên, không phải tất cả đều là tin xấu. California đã có luật cấm các mật khẩu mặc định yếu, và Vương quốc Anh cũng vậy, với cả hai quốc gia đều ưu tiên người dùng tự chọn mật khẩu trong quá trình cài đặt. Có lẽ một ngày nào đó, mật khẩu mặc định sẽ biến mất, và khi đó, vấn đề sẽ chỉ là việc nhớ mật khẩu của chính bạn sau khi thiết lập xong.
Hãy nhớ rằng, bảo mật là một hành trình liên tục. Việc thay đổi mật khẩu mặc định trên mọi thiết bị bạn sở hữu là bước đầu tiên và quan trọng nhất để bảo vệ bản thân và dữ liệu của bạn khỏi những rủi ro không đáng có. Đừng để sự tiện lợi ban đầu trở thành cánh cửa cho những kẻ xâm nhập!
Tài liệu tham khảo:
- IBM: Router Reality Check: 86 Percent of Default Passwords Have Never Been Changed
- NordPass: The worst passwords of the year
- KrebsonSecurity: Does Your Alarm Have a Default Duress Code?
- TechCrunch: Researchers say hardcoded passwords in GE medical imaging devices could put patient data at risk
- Schneier on Security: Cisco Can’t Stop Using Hard-Coded Passwords
- WeLiveSecurity: California outlaws poor default passwords on connected devices
- The Record: United Kingdom bans default passwords on IoT devices
