Trả lời nhanh: Khuyến nghị hiện đại là bỏ việc bắt đổi mật khẩu định kỳ, thay bằng mật khẩu dài kết hợp xác thực nhiều yếu tố và danh sách chặn mật khẩu phổ biến. Bắt đổi thường xuyên khiến người dùng chọn mật khẩu dễ đoán hơn và ghi ra giấy, tức là giảm an toàn thực tế.
Chính sách mật khẩu là chỗ nhiều tổ chức làm theo thói quen cũ mà không biết khuyến nghị đã đổi. Bài này nói về cách đặt hợp lý theo hiểu biết hiện nay.
- Bắt đổi mật khẩu định kỳ đã bị nhiều tổ chức uy tín khuyến cáo bỏ.
- Mật khẩu dài quan trọng hơn mật khẩu có nhiều ký tự đặc biệt.
- Bật danh sách chặn mật khẩu phổ biến, gồm cả từ tiếng Việt.
- Xác thực nhiều yếu tố quan trọng hơn mọi quy tắc về mật khẩu.
- Cho người dùng tự đặt lại mật khẩu để giảm việc cho quản trị viên.
Vì sao bắt đổi định kỳ đã lỗi thời
Trong nhiều năm, quy tắc chuẩn là bắt người dùng đổi mật khẩu mỗi vài tháng. Các tổ chức tiêu chuẩn về an toàn thông tin đã thay đổi khuyến nghị này, và Microsoft cũng đã bỏ nó khỏi cấu hình bảo mật mặc định.
Lý do dựa trên hành vi thực tế của người dùng:
- Người ta chọn mật khẩu dễ hơn khi biết sắp phải đổi. Chín mươi ngày một lần thì không ai nghĩ ra mật khẩu mạnh mới.
- Người ta đổi theo mẫu dễ đoán, chẳng hạn thêm số tháng vào cuối. Kẻ tấn công có một mật khẩu cũ là đoán được mật khẩu mới.
- Người ta ghi ra giấy vì không nhớ nổi.
- Nó không giải quyết vấn đề thật. Mật khẩu bị lộ thường được dùng ngay trong vài giờ, không phải sau ba tháng.
Khi nào vẫn nên bắt đổi: khi có bằng chứng mật khẩu đã bị lộ, hoặc khi tài khoản có dấu hiệu bị truy cập trái phép. Đổi vì lý do cụ thể thì đúng, đổi theo lịch thì không.
Nên đặt gì thay thế
Bốn việc, xếp theo hiệu quả.
Một, xác thực nhiều yếu tố cho mọi người. Đây là biện pháp quan trọng nhất và nó quan trọng hơn mọi quy tắc về mật khẩu cộng lại. Mật khẩu bị lộ mà có lớp thứ hai thì kẻ tấn công vẫn không vào được.
Hai, yêu cầu mật khẩu dài. Độ dài quan trọng hơn độ phức tạp. Một cụm từ dài dễ nhớ và khó dò hơn nhiều so với một chuỗi ngắn có ký tự đặc biệt.
Khuyến khích người dùng dùng cụm từ gồm nhiều từ ghép lại thay vì cố nhét ký tự đặc biệt vào một từ.
Ba, chặn mật khẩu phổ biến. Microsoft có danh sách chặn toàn cầu tự động, và bạn thêm được danh sách riêng của tổ chức. Đây là chỗ đáng làm với doanh nghiệp Việt Nam: thêm tên công ty, tên sản phẩm, tên thành phố, và các từ tiếng Việt phổ biến mà nhân viên hay dùng.
Bốn, phát hiện mật khẩu đã bị lộ. Các gói cao hơn có tính năng đối chiếu với dữ liệu về mật khẩu đã lộ và buộc đổi khi phát hiện. Đây là cách đúng để buộc đổi mật khẩu: dựa trên bằng chứng chứ không dựa trên lịch.
Đặt ở đâu
Với tổ chức chỉ dùng đám mây, mọi thứ đặt trong trang Entra.
- Chính sách hết hạn mật khẩu: đặt trong trang quản trị Microsoft 365, phần cài đặt bảo mật. Cân nhắc đặt là không hết hạn.
- Danh sách chặn mật khẩu tùy chỉnh: trong trang Entra, phần bảo vệ mật khẩu. Cần giấy phép Entra ID cấp cao hơn.
- Tự đặt lại mật khẩu: cũng trong Entra, và nó cần người dùng đăng ký trước phương thức xác minh.
Với tổ chức lai có máy chủ miền trong văn phòng đồng bộ lên đám mây, chính sách mật khẩu do máy chủ miền quyết định. Cần đặt ở đó chứ không phải trên đám mây. Có công cụ mở rộng khả năng chặn mật khẩu phổ biến sang cả máy chủ miền.
Đây là điểm hay gây nhầm: quản trị viên đổi cài đặt trên đám mây rồi ngạc nhiên vì không có tác dụng.
Tự đặt lại mật khẩu
Đây là tính năng giảm việc rõ rệt cho người quản trị và nên bật.
Khi bật, người dùng quên mật khẩu tự đặt lại được qua liên kết quên mật khẩu, sau khi xác minh danh tính bằng phương thức đã đăng ký.
Ba lợi ích:
- Người dùng không phải chờ quản trị viên, kể cả ngoài giờ.
- Quản trị viên giảm được một loại yêu cầu hỗ trợ chiếm khá nhiều thời gian.
- An toàn hơn cách đặt lại thủ công, vì không có ai phải đọc mật khẩu qua điện thoại.
Điều kiện: cần giấy phép Entra ID cấp cao hơn, có trong Business Premium. Và người dùng phải đăng ký trước phương thức xác minh, nếu không thì khi cần lại không dùng được.
Vì thế nên bắt buộc đăng ký ngay khi cấp tài khoản, cùng lúc với việc đăng ký xác thực nhiều yếu tố. Làm một lần cho cả hai.
Các thực hành khác
Bốn việc bổ sung.
- Khuyến khích dùng trình quản lý mật khẩu. Khi có công cụ này, người dùng đặt được mật khẩu dài và khác nhau cho từng dịch vụ mà không phải nhớ. Nhiều trình duyệt đã có sẵn chức năng này.
- Cấm dùng lại mật khẩu công ty cho dịch vụ bên ngoài. Đây là nguồn lộ mật khẩu phổ biến nhất. Ghi vào quy định nội bộ và giải thích lý do.
- Cân nhắc đăng nhập không cần mật khẩu. Microsoft hỗ trợ đăng nhập bằng ứng dụng xác thực, khóa bảo mật vật lý, hoặc sinh trắc học. Đây là hướng đi dài hạn và nó giải quyết tận gốc vấn đề mật khẩu.
- Với tài khoản quản trị, siết chặt hơn: mật khẩu rất dài, xác thực nhiều yếu tố bắt buộc mọi lúc, và cân nhắc khóa bảo mật vật lý.
Điểm cuối cùng đáng nhắc lại: nếu công ty bạn chỉ làm được một việc, hãy bật xác thực nhiều yếu tố cho mọi người. Nó hiệu quả hơn mọi tinh chỉnh về quy tắc mật khẩu.
Nên đặt gì thay cho việc bắt đổi mật khẩu định kỳ
| Thay vì | Hãy làm |
|---|---|
| Bắt đổi mật khẩu mỗi 90 ngày | Bỏ hạn định kỳ, chỉ bắt đổi khi có dấu hiệu lộ |
| Bắt có ký tự đặc biệt và chữ hoa | Bắt độ dài tối thiểu cao hơn, khuyến khích cụm từ dễ nhớ |
| Cấm dùng lại vài mật khẩu gần nhất | Chặn danh sách mật khẩu phổ biến và mật khẩu đã bị lộ |
| Dựa vào mật khẩu là chính | Bật xác thực nhiều yếu tố, đây là biện pháp quan trọng hơn hẳn |
Lý do bắt đổi định kỳ đã lỗi thời: người dùng chỉ đổi số cuối, hoặc ghi ra giấy dán màn hình. Kết quả là mật khẩu yếu đi chứ không mạnh lên. Các hướng dẫn an ninh hiện hành đều đã bỏ khuyến nghị này.
Cấu hình và kiểm
Connect-MgGraph -Scopes "Domain.ReadWrite.All","Policy.Read.All"
# Xem chinh sach het han mat khau hien tai
Get-MgDomain | Select Id, PasswordValidityPeriodInDays, PasswordNotificationWindowInDays
# Bo han het han (gia tri rat lon nghia la khong het han)
Update-MgDomain -DomainId congty.vn -PasswordValidityPeriodInDays 2147483647
# Kiem ai chua bat xac thuc nhieu yeu to, viec quan trong hon
Get-MgUser -All | ForEach-Object {
$m = Get-MgUserAuthenticationMethod -UserId $_.Id
if ($m.Count -le 1) { $_.UserPrincipalName }
}Bốn việc quan trọng hơn chính sách mật khẩu
- Bật xác thực nhiều yếu tố cho toàn bộ tài khoản, ưu tiên ứng dụng xác thực thay vì tin nhắn. Đây là biện pháp một việc chặn được nhiều loại tấn công nhất.
- Chặn giao thức xác thực cũ, vì chúng không hỗ trợ nhiều yếu tố và là cửa hậu bị dò mật khẩu.
- Bật tính năng tự đặt lại mật khẩu, để giảm gọi hỗ trợ và để người dùng đăng ký sẵn phương thức khôi phục.
- Theo dõi nhật ký đăng nhập thất bại, vì hàng loạt lần thất bại trên nhiều tài khoản là dấu hiệu đang bị dò.
Về việc bật tự đặt lại mật khẩu: bật kèm yêu cầu đăng ký ít nhất hai phương thức khôi phục, và thông báo cho người dùng biết trước. Bật im lặng thì đến ngày cần, người dùng vẫn gọi bộ phận kỹ thuật.
Câu hỏi thường gặp
Bỏ hết hạn mật khẩu có nguy hiểm không
Không, nếu bạn đã bật xác thực nhiều yếu tố và chặn mật khẩu phổ biến. Các tổ chức tiêu chuẩn về an toàn thông tin khuyến nghị hướng này vì nó phản ánh hành vi thực tế của người dùng tốt hơn.
Mật khẩu nên dài bao nhiêu
Càng dài càng tốt, và độ dài quan trọng hơn việc có ký tự đặc biệt. Một cụm từ gồm nhiều từ ghép lại vừa dễ nhớ vừa khó dò hơn một chuỗi ngắn phức tạp.
Danh sách chặn mật khẩu tùy chỉnh nên có gì
Tên công ty và các biến thể, tên sản phẩm chính, tên thành phố nơi đặt trụ sở, và các từ tiếng Việt phổ biến mà nhân viên hay dùng. Đây là những thứ kẻ tấn công thử đầu tiên khi nhắm vào một tổ chức cụ thể.
Có nên bắt nhân viên đổi mật khẩu khi có tin về vụ lộ dữ liệu không
Có, nếu vụ đó liên quan tới một dịch vụ mà nhân viên có thể đã dùng lại mật khẩu công ty. Đây là ví dụ của việc đổi mật khẩu dựa trên bằng chứng, khác với đổi theo lịch.
