Hiện nay, các cơ quan cảnh sát vẫn thường sử dụng công cụ suy đoán password (offline password guessing). Tuy nhiên, một số công cụ của các hacker cũng có thể làm được điều tương tự. Các công cụ này (còn gọi là guesser) có khả năng chạy tự động nhiều tháng liền trên các máy tính và rà soát hàng trăm ngàn password trong vòng 1 giây.

Các công cụ hết sức thông minh này không chạy lần lượt từng cụm 8 ký tự từ “aaaa/.aaaa” đến “zzzzzzzz”, bởi có đến 200 tỷ password dạng này. Mà trước hết chúng thử kiểm tra những password thông thường nhất như: “password”. Điều thú vị là password được dùng phổ biến nhất lại là… "password".

Các chuyên gia cho rằng một password điển hình bao gồm một gốc cộng với một phần phụ. Gốc này không nhất thiết phải là một từ trong từ điển, nhưng nó lại là một từ có thể phát âm được. Phần phụ hoặc là một hậu tố chiếm đến 90% hoặc một tiền tố chiếm 10%.

Các nhà khoa học đã nghiên cứu một công cụ guesser, họ bắt đầu với một cuốn từ điển với khoảng 1000 password thông dụng, ví dụ như "letmein", "temp," "123456”,… Sau đó, nó kiểm tra mỗi password này với khoảng 100 đuôi hậu tố thông dụng như "1", "4u", "69", "abc", "!"…Công cụ này đã phát hiện ra rằng có khoảng 24% trong số những password này tồn tại chỉ với 100.000 các kết hợp.

Sau đó, cộng cụ guesser này thử với những cuốn từ điển khác: từ tiếng Anh, tên riêng, từ tiếng nước ngoài, các mẫu phát âm… để tìm ra gốc, sau đó là hai con số, ngày tháng… để tìm ra phần phụ đi kèm. Công cụ này cũng thử nghiệm với nhiều từ viết hoa và các biểu tượng thay thế khác như “$” thay cho “s”, “@” thay cho “a”, “1” thay cho “l”…Chỉ với một vài tuần đến một tháng, kỹ thuật đoán password này đã phá được 2/3 tất cả các password.

Như vậy, nếu bạn muốn password của mình khó đoán được ra, bạn nên chọn password nào mà quá trình đoán này không chạm tới được. Lời khuyên là chọn 1 câu và chuyển nó thành password. Ví dụ như câu "This little piggy went to market" (con lợn con đi ra chợ) có thể chuyển thành "tlpWENT2m". Cụm password này sẽ không thể tìm thấy ở bất cứ quyển từ điển nào.

“Password vẫn có thể là một công cụ nhận dạng rất tốt nếu được sử dụng đúng cách. Việc chúng ta sử dụng những công cụ khác thay cho password không phải là vì password không còn tác dụng bảo mật, mà vì con người chúng ta đã không sử dụng password một cách an toàn”, Bruce Schneier – chuyên gia công nghệ bảo mật cho biết.

Quỳnh Mai (Theo The Guardian)