Router của bạn có hai mật khẩu, và gần như không ai biết điều đó.
Một cái là mật khẩu wi-fi: cái bạn đọc qua điện thoại, cái ghi trên mẩu giấy dán trong bếp, cái bạn đọc cho anh thợ nước. Cái kia là mật khẩu quản trị của chính thiết bị, cái mở ra bảng điều khiển nơi mọi thứ được cấu hình. Cái thứ hai gần như không bao giờ bị động tới, và nếu bạn chưa động vào nó thì nó vẫn đúng là cái được in trên nhãn dán ở mặt dưới.
Hai cái bảo vệ hai thứ khác nhau và hỏng theo hai kiểu khác nhau. Tách chúng ra là đáng công, vì hai mươi năm nói chuyện về “mật khẩu wi-fi” đã, trong số nhiều việc khác, che khuất mất cái còn lại.
Cái bạn thuộc lòng và cái bạn chưa từng nhìn
Mật khẩu wi-fi quyết định ai được kết nối vào mạng. Nó là giấy phép vào cửa: có nó, một thiết bị bước vào mạng nội bộ của bạn và sống cạnh mọi thứ khác trong đó.
Mật khẩu quản trị quyết định ai được thay đổi cách mạng vận hành. Từ bảng điều khiển đó người ta chỉnh tên mạng, kiểu mã hóa, cả nhà bạn dùng máy chủ DNS nào, cổng nào mở ra ngoài, và router có thể quản trị từ internet hay không. Nó không phải là một cánh cửa nữa: nó là cánh cửa mà từ đó những cánh cửa kia được cấu hình.
Chỗ bất đối xứng khó chịu nằm ở đây. Nếu ai đó có mật khẩu wi-fi của bạn, người đó đang ở trong mạng nhà bạn. Nếu ai đó có mật khẩu quản trị, mạng nhà bạn là của người đó: họ đổi được mật khẩu wi-fi, hạ được mức mã hóa, hoặc bẻ lái đường đi của lưu lượng nhà bạn — và bạn sẽ biết qua hậu quả, chứ không bao giờ qua một thông báo.
Khuyến nghị của CISA về chuyện này không có chỗ nào mềm: hãy đổi tên đăng nhập và mật khẩu đăng nhập của router, vì thông tin mặc định đi kèm router có thể là công khai và bất kỳ ai cũng tìm được, rồi đặt cái mới thật dài, ngẫu nhiên và duy nhất. Thêm một quy tắc nữa mà gần như ai cũng phá mà không hay: đừng để nó trùng với mật khẩu wi-fi. Đó là hai thứ khác nhau và được chia sẻ theo hai cách rất khác nhau — một cái thì nửa khu phố biết, cái kia thì không ai nên biết.
2011 cái nút trông có vẻ tiện
Trong router của bạn còn một bí mật thứ ba mà gần như không ai nhắc: mã PIN của WPS, hệ thống ghép nối nhanh xuất hiện dưới dạng một cái nút trên thiết bị và một con số tám chữ số trên nhãn dán.
Tháng 12 năm 2011, CERT/CC công bố ghi chú lỗ hổng VU#723755, dựa trên công trình của Stefan Viehböck, về một điểm yếu trong thiết kế cách kiểm tra mã PIN đó. Điều quan trọng với bạn không phải là chi tiết kỹ thuật, mà là câu trả lời chính thức — và mười lăm năm sau nó vẫn thế. Không có bản vá; chỉ có một cái công tắc. Khuyến nghị hồi đó — và bây giờ — là vào phần cài đặt và tắt WPS. Hôm nay CISA lặp lại điều đó trong hướng dẫn về mạng gia đình, ngay trong cái danh sách yêu cầu bạn tắt quản trị từ xa.
Đây là phần lời nhất trong cả bài viết này: hai ô đánh dấu bạn bỏ đi một lần và không bao giờ phải nghĩ tới nữa.
2015 khi khóa nhà máy đã được tính sẵn
Mật khẩu nhà máy không phải là bí mật của bạn. Nó là một giá trị do nhà sản xuất chọn, in trên thiết bị, ghi trong sách hướng dẫn, và rất nhiều khi lặp lại y hệt trên mọi chiếc cùng một dòng máy.
Và có những trường hợp đã công bố về chuyện còn tệ hơn: những khóa nhà máy hoàn toàn không ngẫu nhiên mà được tính ra từ chính dữ liệu mà router phát ra không khí. Trong danh mục của NIST có CVE-2015-0558, về một router gia đình sinh khóa WPA của nó từ một chuỗi ký tự cố định và địa chỉ MAC của chính nó. Ít lâu sau, một cảnh báo công khai của SEARCH-LAB về một modem cáp rất phổ biến ở châu Âu gói gọn chuyện đó trong một câu: “SSID và mật khẩu mặc định chỉ được suy ra từ địa chỉ MAC. Vì địa chỉ MAC của thiết bị được phát qua wi-fi, mật khẩu mặc định có thể tính ra dễ dàng.” Nhà mạng cuối cùng phải gửi thư cho khách hàng đề nghị họ đổi mật khẩu.
Bạn không cần biết chuyện đó được làm ra sao — và ở đây sẽ không kể — để giữ lại điều duy nhất đáng giá: một cái khóa nhà sản xuất tạo ra được thì người khác dựng lại được. Khóa nhà máy của bạn không ngẫu nhiên chỉ vì nó dài và xấu. Nó xấu vì nó đi ra từ một quy trình, và quy trình thì người ta nghiên cứu được.
Mật khẩu dễ làm cho dài nhất mà bạn từng có
Giờ đến tin tốt, và nó hiếm, vì lời khuyên về an toàn gần như chẳng bao giờ miễn phí.
Mọi mật khẩu trong đời bạn đều kéo theo cùng một kẻ thù giấu mặt: bạn phải gõ nó ra. Nhiều khi gõ tay, trên điện thoại, lúc vội. Vì thế người ta đặt mật khẩu ngắn, và vì thế “đặt ba mươi ký tự đi” nghe như một hình phạt.
Mật khẩu wi-fi không có vấn đề đó. Bạn gõ một lần cho mỗi thiết bị rồi không bao giờ nhìn lại: điện thoại, laptop và tivi nhớ nó mãi mãi. Còn khi phải đưa nó cho ai, gần như mọi điện thoại và phần lớn router đời mới đều chia sẻ nó bằng mã QR — chẳng ai phải gõ gì cả.
Nghĩa là: ở đây độ dài gần như miễn phí, nên không có cớ gì để nó ngắn. Chuẩn IEEE 802.11i, thứ định nghĩa chuyện này từ năm 2004, cho phép cụm mật khẩu dài tới 63 ký tự. Gần như không ai đi được đến một nửa.
Vậy đặt gì? CISA đề xuất một thứ rất cụ thể và rất dễ làm theo: một cụm mật khẩu dễ nhớ gồm năm đến bảy từ không liên quan gì đến nhau, tổng cộng ít nhất mười sáu ký tự, và đừng dùng nó cho bất kỳ tài khoản nào khác. Đó là logic của diceware đem về phòng khách nhà bạn. Nếu bạn thích một chuỗi ngẫu nhiên và để mã QR làm phần việc còn lại thì càng tốt: lấy nó từ trình tạo mật khẩu rồi đừng nhìn lại nữa. Và nếu cái bạn đang dùng khiến bạn nghi ngờ, hãy cho nó qua trình kiểm tra trước khi quyết định bất cứ điều gì.
2018 WPA3 là gì và vì sao nó đổi cách tính
Năm 2018, Wi-Fi Alliance giới thiệu WPA3, thế hệ kế nhiệm của WPA2. Hôm nay nó là bắt buộc với mọi thiết bị muốn mang chứng nhận Wi-Fi CERTIFIED.
Thay đổi nằm bên dưới có một cái tên xấu xí, SAE, và một hệ quả rất dễ hiểu. Với WPA2, một người ở gần đó có thể bắt lại màn chào hỏi đầu tiên giữa điện thoại của bạn và router, mang về nhà, rồi thử hàng triệu khóa mỗi giây với tệp đó — không giới hạn số lần và không ai hay biết. Đúng y hệt vấn đề của một vụ lộ mật khẩu: khi vật liệu đã nằm trên ổ đĩa của kẻ tấn công, không còn ai ở đầu bên kia để nói không.
WPA3 cắt đứt chuyện đó. Theo chính lời của Wi-Fi Alliance: “WPA3-Personal thay khóa chia sẻ trước của WPA2 (WPA2-PSK) bằng Simultaneous Authentication of Equals (SAE). Khác với WPA2-PSK, SAE kháng được các cuộc tấn công từ điển ngoại tuyến.” Mỗi lần thử đều buộc phải nói chuyện lại với router, và một chiếc router nhận hàng nghìn lần thử hỏng có thể nhận ra và hãm lại.
Rồi đến phần trung thực, mà chính tài liệu đó nhận việc nói ra. Sức kháng ấy có nghĩa là “gánh nặng bảo mật mật khẩu không còn đặt lên vai người dùng nữa”, và việc bắt buộc chữ hoa với ký tự đặc biệt không còn là một yêu cầu hợp lý với SAE. Nhưng đó không phải giấy phép để đặt một mật khẩu tồi: tấn công chủ động vẫn còn đó, và bản đặc tả nói thẳng không vòng vo — mật khẩu dùng với SAE phải cực kỳ khó đoán. Đúng điều NIST đã nói nhiều năm nay về những mật khẩu còn lại của bạn: độ dài thắng sự vặn vẹo.
Hai lưu ý thực tế. Nếu router của bạn không lên nổi WPA3, CISA chấp nhận WPA3 Personal và WPA2 với AES, và chỉ hai thứ đó; một mạng để mở, WEP hay TKIP không phải là mật khẩu yếu, mà là không có mật khẩu. Và nếu bạn bật chế độ chuyển tiếp, mạng của bạn nhận cùng lúc cả WPA3 lẫn WPA2 để thiết bị cũ còn vào được: đó là quyết định hợp lý trong một nhà có cái máy in từ 2013, nhưng nên biết nó là gì — còn bật thì mạng của bạn còn giữ một cánh cửa WPA2. Nếu mọi thứ bạn có đều vào được bằng WPA3, hãy tắt nó đi.
2024 luật lách xuống dưới nhãn dán
Suốt mấy chục năm đây là chuyện của lời khuyên. Giờ nó còn là chuyện của quy định.
Ngày 29 tháng 4 năm 2024, chế độ PSTI của Anh — luật về an toàn của sản phẩm kết nối — có hiệu lực, cấm mật khẩu mặc định dùng chung trên các thiết bị tiêu dùng: chấm dứt kiểu mọi chiếc của cùng một sản phẩm rời nhà máy với cùng một khóa. Luật vẫn cho phép một mật khẩu mặc định duy nhất cho từng chiếc, tức đúng trường hợp cái nhãn dán mang một chuỗi khác nhau trên mỗi router. Ở Liên minh châu Âu, các yêu cầu an ninh mạng của Chỉ thị Thiết bị Vô tuyến — Quy định Ủy quyền (EU) 2022/30 — bắt buộc từ ngày 1 tháng 8 năm 2025.
Từ đó rút ra hai điều, và chúng không phải là một. Thứ nhất: router mới sẽ ra khỏi nhà máy trong tình trạng tốt hơn. Thứ hai, và đây là điều liên quan đến bạn: không điều nào trong đó áp dụng ngược lại cho cái máy đang nằm sẵn trong phòng khách nhà bạn. Nếu nó đã ở đó sáu năm, trong nhà bạn thế giới cũ vẫn đang cầm quyền.
Mạng khách, hay là thôi đọc mật khẩu cho người khác
Thử nghĩ xem bao nhiêu người biết mật khẩu wi-fi nhà bạn. Ông anh rể, cô trông trẻ, người bạn đến ăn tối năm 2022 và điện thoại vẫn còn lưu cấu hình, anh kỹ thuật đến lắp một thứ gì đó.
Không ai trong số họ chỉ nhận được quyền ra internet: mỗi người có một thiết bị nằm bên trong mạng nội bộ nhà bạn, cạnh ổ đĩa mạng, máy in và mấy cái camera. Và bạn chẳng biết chút gì về tình trạng của thiết bị đó.
Mạng khách là câu trả lời, và nó là một tính năng bạn đã có sẵn mà không dùng. CISA nói thẳng ra: nếu router của bạn có tùy chọn wi-fi khách, hãy bật nó lên, cho nó mật khẩu riêng — dài, ngẫu nhiên và duy nhất — và để tất cả những ai không kết nối vào wi-fi nhà bạn thường xuyên dùng mạng đó. Rồi thêm phần mà gần như không ai làm: đẩy luôn mấy món đồ kết nối sang đó — ổ cắm thông minh, tivi, robot hút bụi — nếu thứ duy nhất chúng cần là ra internet, để chúng không phát hiện được những thiết bị còn lại trong nhà.
Đó là nguyên tắc của cả cái blog này đem áp vào phòng khách: mỗi nơi một thông tin đăng nhập. Wi-fi chính của bạn là một nơi. Khách là một nơi khác.
Phải làm gì, theo thứ tự
- Vào bảng điều khiển router và đổi mật khẩu quản trị. Đây là món duy nhất trong danh sách mà nhiều khả năng bạn chưa từng động tới, và là món có quyền lớn nhất. Dài, ngẫu nhiên và khác với mật khẩu wi-fi.
- Đặt một mật khẩu wi-fi dài. Năm đến bảy từ không liên quan, hoặc một chuỗi từ trình tạo mật khẩu. Bạn gõ một lần rồi sau đó chia sẻ bằng mã QR.
- Lên WPA3 nếu router cho phép. Nếu không, WPA2 với AES.
- Tắt WPS và quản trị từ xa. Hai ô đánh dấu, một lần duy nhất.
- Bật mạng khách và đẩy khách lẫn đồ thông minh sang đó.
- Cập nhật firmware và để bật cập nhật tự động nếu có.
- Đừng dùng lại cái nào trong hai mật khẩu đó ở nơi khác. Nếu nghi ngờ một trong những mật khẩu bạn đang dùng, cho nó qua trình kiểm tra.
Không việc nào trong đây mất quá hai mươi phút, và hai mươi phút đó chỉ bỏ ra một lần.
Router là thiết bị quan trọng nhất trong nhà bạn và là thiết bị duy nhất tự quản trị chính nó chừng nào chưa ai quản trị nó. Nhiều năm rồi nó vẫn bật trong một góc nhà, làm việc của mình mà không kêu ca — và chính vì thế không bao giờ có vẻ là lúc thích hợp để ngó tới.
Mật khẩu nhà máy tồi không phải vì nó ngắn hay xấu. Nó tồi vì nó không phải của bạn. Người khác chọn nó, in nó lên một mảnh nhãn dán và gửi nó tới hàng nghìn ngôi nhà giống hệt nhà bạn. Đổi nó đi là thứ gần nhất mà tin học gia đình có được với việc thay ổ khóa khi dọn tới nhà mới.
Nguồn: CISA, “Project Upskill · Module 5: Securing Your Home Wi-Fi” thuộc Joint Cyber Defense Collaborative — đổi tên đăng nhập và mật khẩu đăng nhập của router vì thông tin mặc định của router có thể là công khai, cụm mật khẩu gồm năm đến bảy từ không liên quan và tổng cộng ít nhất mười sáu ký tự, WPA3 Personal hoặc WPA2 AES là hai kiểu mã hóa duy nhất được coi là an toàn, tắt WPS và quản trị từ xa, và bật wi-fi khách kể cả cho thiết bị IoT · Wi-Fi Alliance, “WPA3 Security Considerations Overview” (tháng 4 năm 2019), về việc thay WPA2-PSK bằng SAE, sức kháng của nó trước các cuộc tấn công từ điển ngoại tuyến, và yêu cầu mật khẩu vẫn phải cực kỳ khó đoán · CERT/CC, ghi chú lỗ hổng VU#723755 (27 tháng 12 năm 2011), do Stefan Viehböck báo cáo, với giải pháp khuyến nghị là tắt WPS · NVD (NIST), CVE-2015-0558, về một router gia đình sinh khóa WPA từ một chuỗi ký tự cố định và địa chỉ MAC của nó · cảnh báo công khai của SEARCH-LAB (Gergely Eberhardt) về modem Ubee EVW3226, công bố trên Full Disclosure tháng 7 năm 2016 · IEEE 802.11i, định nghĩa cụm mật khẩu dài từ 8 đến 63 ký tự · Vương quốc Anh, chế độ Product Security and Telecommunications Infrastructure Act, có hiệu lực từ 29 tháng 4 năm 2024 · Liên minh châu Âu, Quy định Ủy quyền (EU) 2022/30 của Chỉ thị Thiết bị Vô tuyến, bắt buộc từ 1 tháng 8 năm 2025 · NIST SP 800-63B, về độ dài thắng độ phức tạp.
Ảnh của Jakub Zerdzicki · Pexels