Chia sẻ mật khẩu trong gia đình có thực sự cần thiết?

Mật khẩu hoặc mã PIN về bản chất là thông tin xác thực dùng để chứng minh người đang truy cập có quyền sử dụng tài nguyên được bảo vệ. NIST mô tả password, passphrase và PIN là các “memorized secrets” — tức bí mật mà người dùng biết để xác thực. Vì vậy, khi một người tiết lộ mã mở khóa thiết bị, họ không chỉ chia sẻ một chuỗi số mà có thể đang trao khả năng tiếp cận nhiều lớp dữ liệu và chức năng phía sau thiết bị đó.

Nguyên tắc phù hợp hơn là chia sẻ quyền truy cập theo nhu cầu, thay vì chia sẻ bí mật xác thực theo quan hệ gia đình. Một người có thể tin tưởng vợ, chồng, cha mẹ hoặc con cái nhưng vẫn có quyền giữ riêng những cuộc trò chuyện, tài liệu công việc, thông tin sức khỏe hoặc tài khoản cá nhân không liên quan đến nhu cầu chung.

Có nên để mọi thành viên đều biết mật khẩu thiết bị của nhau?

Không có lý do bảo mật nào khiến việc biết mật khẩu thiết bị của nhau phải trở thành quy tắc chung cho mọi gia đình. Sự cần thiết phụ thuộc vào mục đích cụ thể, người cần truy cập, loại thiết bị và hậu quả nếu quyền truy cập đó bị sử dụng ngoài mục đích ban đầu.

Nếu mỗi người trưởng thành sử dụng điện thoại hoặc máy tính riêng, tự quản lý tài khoản và không có nhu cầu người khác thay mình thao tác trên thiết bị, giữ mã mở khóa riêng thường là phương án hợp lý hơn. Ngược lại, một số gia đình có thể thống nhất rằng một người đáng tin cậy cần biết cách truy cập trong trường hợp khẩn cấp. Điểm khác biệt nằm ở mục đích được xác định trước và sự đồng thuận, không phải ở việc quan hệ gia đình tự động tạo ra quyền truy cập.

Cách tiếp cận này cũng phù hợp với thiết kế của nhiều hệ sinh thái công nghệ. Apple Family Sharing cho phép thành viên chia sẻ một số dịch vụ, giao dịch mua, vị trí hoặc tài nguyên gia đình mà không phải dùng chung Apple Account; Apple đồng thời nêu rằng các tệp và tài liệu riêng của từng người vẫn có thể được giữ riêng.

Do đó, câu hỏi hữu ích không phải là “người nhà có nên biết mật khẩu của nhau không?”, mà là: người này thực sự cần quyền truy cập nào, trong hoàn cảnh nào và trong bao lâu?

Mã mở khóa thiết bị và mật khẩu tài khoản không phải cùng một mức chia sẻ

Một trong những nhầm lẫn dễ gặp khi chia sẻ mật khẩu trong gia đình là xem mọi loại thông tin xác thực như nhau.

Mã mở khóa điện thoại hoặc máy tính trước hết kiểm soát quyền sử dụng thiết bị. Nhưng thiết bị đã đăng nhập sẵn thường chứa email, tin nhắn, ảnh, lịch sử trình duyệt, ứng dụng ngân hàng, dữ liệu công việc hoặc trình quản lý mật khẩu. Vì vậy, quyền mở khóa thiết bị có thể trở thành điểm khởi đầu để tiếp cận nhiều thông tin khác, tùy cấu hình của từng máy.

Mật khẩu của tài khoản trực tuyến còn có phạm vi khác. Nó có thể cho phép đăng nhập từ thiết bị khác, thay đổi cài đặt bảo mật hoặc truy cập dữ liệu đồng bộ trên đám mây. Apple hiện khuyến cáo người dùng không chia sẻ mật khẩu Apple Account, mã xác minh hay thông tin bảo mật tài khoản với người khác.

NIST cũng đặt trọng tâm vào tính bí mật của thông tin xác thực: password phải có đủ độ mạnh và tính bí mật để người khác khó đoán hoặc phát hiện. CISA khuyến nghị sử dụng mật khẩu mạnh, trình quản lý mật khẩu và xác thực đa yếu tố thay vì phụ thuộc vào việc nhiều người cùng biết một mật khẩu.

Vì vậy, một gia đình có thể chấp nhận cho người thân biết mã mở khóa của một thiết bị cụ thể trong hoàn cảnh nhất định nhưng vẫn không nên suy ra rằng mật khẩu email, tài khoản Apple, Google, mạng xã hội hay tài khoản tài chính cũng phải được chia sẻ.

Khi nào việc chia sẻ quyền truy cập có thể hợp lý?

Có những tình huống mà một mức độ truy cập chung tạo ra giá trị thực tế. Điều quan trọng là chỉ mở đúng mức cần thiết.

Một trường hợp là thiết bị thực sự được dùng chung. Máy tính gia đình đặt tại không gian chung có thể cần cơ chế truy cập cho nhiều người, mặc dù tạo tài khoản người dùng riêng vẫn giúp phân tách dữ liệu tốt hơn so với tất cả cùng sử dụng một hồ sơ.

Trường hợp thứ hai là chăm sóc và quản lý thiết bị của trẻ. Khi trẻ chưa đủ khả năng tự quản lý tài khoản và thiết bị, cha mẹ hoặc người giám hộ có thể cần quyền quản trị phù hợp. Tuy nhiên, các nền tảng đã cung cấp cơ chế dành riêng cho mục đích này. Google Family Link cho phép cha mẹ quản lý một số cài đặt trong tài khoản Google của trẻ; Apple cũng cung cấp Family Sharing và Screen Time để quản lý thiết bị của trẻ mà không yêu cầu mọi thành viên trong gia đình phải biết mật khẩu của nhau.

Trường hợp thứ ba là kế hoạch dự phòng khi khẩn cấp. Một người có thể muốn vợ, chồng hoặc người thân đáng tin cậy có khả năng hỗ trợ khi mình mất thiết bị, mất khả năng thao tác hoặc cần lấy thông tin quan trọng. Nhưng ngay cả ở đây, chia sẻ trực tiếp mật khẩu chính không phải lựa chọn duy nhất. Chẳng hạn, Apple cung cấp Recovery Contact để một người đáng tin cậy tạo mã khôi phục giúp chủ tài khoản lấy lại quyền truy cập mà người hỗ trợ không cần biết mật khẩu Apple Account của họ.

Điểm chung của các trường hợp hợp lý là có nhu cầu cụ thể, phạm vi cụ thể và người được trao quyền cụ thể.

Khi nào không nên lấy việc chia sẻ mật khẩu làm bằng chứng của sự tin tưởng?

Mật khẩu không phải thước đo đáng tin cậy của mức độ gắn bó trong một mối quan hệ.

Một người từ chối cung cấp mã điện thoại có thể đơn giản đang bảo vệ những dữ liệu mà họ có trách nhiệm phải giữ kín. Thiết bị cá nhân có thể chứa thư từ của bạn bè, tài liệu của khách hàng, thông tin công việc hoặc nội dung của bên thứ ba mà chủ thiết bị không có quyền tùy ý cho người khác xem.

Vấn đề cũng thay đổi hoàn toàn nếu việc cung cấp mật khẩu xuất phát từ áp lực thay vì tự nguyện. Đồng thuận chỉ có ý nghĩa khi người sở hữu thiết bị hiểu người kia có thể truy cập gì, chấp nhận phạm vi đó và có thể thay đổi quyết định sau này.

Do đó, những yêu cầu như “nếu tin nhau thì phải đưa mật khẩu” dễ đánh đồng hai vấn đề khác nhau: niềm tin trong quan hệ và quyền truy cập vào hệ thống thông tin cá nhân. Một gia đình vẫn có thể minh bạch về những vấn đề cần chia sẻ mà không cần tạo quyền xem toàn bộ đời sống số của từng thành viên.

Ranh giới này đặc biệt quan trọng với người trưởng thành sử dụng thiết bị riêng. Nhu cầu phối hợp trong gia đình có thể chính đáng, nhưng quyền truy cập nên tương ứng với nhu cầu đó thay vì mở rộng không giới hạn.

Có thể hỗ trợ nhau mà không cần dùng chung toàn bộ mật khẩu

Các công cụ hiện nay cho phép tách “chia sẻ thứ cần dùng” khỏi “chia sẻ toàn bộ tài khoản”.

Với dịch vụ gia đình, nên ưu tiên tính năng được thiết kế cho nhiều thành viên. Apple Family Sharing cho phép chia sẻ các dịch vụ và nội dung nhất định mà mỗi người vẫn sử dụng Apple Account riêng. Google cũng vận hành Family Group và các công cụ gia đình để thành viên chia sẻ một số dịch vụ mà không phải biến một tài khoản cá nhân thành tài khoản dùng chung.

Với mật khẩu của các dịch vụ thực sự cần dùng chung, trình quản lý mật khẩu là lựa chọn có cấu trúc hơn việc ghi mật khẩu vào tin nhắn, giấy nhớ hoặc để tất cả thành viên ghi nhớ cùng một chuỗi. CISA khuyến nghị sử dụng password manager để tạo và quản lý mật khẩu mạnh; NIST cũng khuyến nghị password manager và xác thực đa yếu tố trong hướng dẫn bảo vệ tài khoản.

Với việc khôi phục tài khoản, nên dùng chức năng recovery hoặc người liên hệ khôi phục nếu nền tảng hỗ trợ. Với trẻ em, nên dùng parental controls và cơ chế quản lý gia đình. Với thiết bị chung, nên tạo hồ sơ người dùng riêng nếu hệ điều hành cho phép.

Cách tiếp cận này giảm một vấn đề căn bản của việc chia sẻ mật khẩu trực tiếp: một bí mật duy nhất có thể trao nhiều quyền hơn mức người chia sẻ thực sự muốn trao.

Gia đình nên thống nhất những gì trước khi chia sẻ quyền truy cập?

Một thỏa thuận tốt không cần phức tạp nhưng nên trả lời rõ vài câu hỏi.

Trước hết là mục đích: quyền truy cập được trao để xử lý tình huống khẩn cấp, quản lý thiết bị của trẻ, sử dụng thiết bị chung hay thực hiện một công việc cụ thể?

Tiếp theo là phạm vi. Biết mã mở khóa điện thoại không đương nhiên có nghĩa được phép đọc mọi tin nhắn; được dùng một tài khoản phát trực tuyến không đồng nghĩa được biết mật khẩu email; được hỗ trợ khôi phục tài khoản không đồng nghĩa được đăng nhập bất cứ lúc nào.

Thứ ba là thời điểm sử dụng. Có thể thống nhất rằng quyền truy cập chỉ được dùng khi chủ thiết bị yêu cầu hoặc khi xảy ra một tình huống đã được xác định trước.

Cuối cùng là khả năng thu hồi. Khi nhu cầu thay đổi, mật khẩu có thể được đổi, quyền chia sẻ có thể bị xóa và người dùng có thể trở lại cơ chế truy cập riêng. Đây là đặc điểm quan trọng của đồng thuận: quyền đã trao không nhất thiết tồn tại vĩnh viễn.

Một nguyên tắc gia đình dễ áp dụng là:

·         Chia sẻ quyền cần thiết thay vì mặc định chia sẻ toàn bộ mật khẩu

·         Dùng tài khoản riêng cho từng người khi dịch vụ hỗ trợ

·         Dùng tính năng Family Sharing, Family Link, parental controls hoặc recovery khi chúng giải quyết đúng nhu cầu

·         Giữ riêng mật khẩu của những tài khoản không có lý do chính đáng để người khác sử dụng

·         Thống nhất trước trường hợp nào người thân được phép truy cập thiết bị

·         Thay đổi hoặc thu hồi quyền truy cập khi mục đích ban đầu không còn

Các thành viên trong gia đình không cần mặc định biết mật khẩu thiết bị của nhau. Chia sẻ có thể hợp lý khi tồn tại nhu cầu thực tế như sử dụng thiết bị chung, chăm sóc trẻ hoặc chuẩn bị cho tình huống khẩn cấp, nhưng nên dựa trên đồng thuận rõ ràng và giới hạn quyền truy cập ở mức cần thiết.

Trong phần lớn trường hợp, phương án tốt hơn là mỗi người duy trì tài khoản và thông tin xác thực riêng, sau đó sử dụng các công cụ chia sẻ gia đình, quản lý trẻ, khôi phục tài khoản hoặc quản lý mật khẩu cho đúng mục đích. Như vậy, gia đình vẫn có thể hỗ trợ nhau mà không biến quyền riêng tư thành cái giá phải trả cho sự tin tưởng.