Giao thức bảo mật HTTPS đã hết an toàn?

(PCWorldVN) Hãng bảo mật Trend Micro gần đây đã phát hiện một lỗ hổng mới trong giao thức bảo mật HTTPS, từ đó có thể dẫn đến nguy hại cho người dùng máy tính lẫn thiết bị di động.

• HTTPS sẽ sớm trở thành giao thức kết nối web chuẩn
• Google.com mặc định dùng giao thức https
• Ransomware: cuộc chiến bảo mật mới
• Nguồn mở: hiểm họa tiềm tàng trong ứng dụng doanh nghiệp
• Heartbleed đe dọa cả thế giới

Một chiến thuật tấn công mới được gọi là DROWN (hay còn gọi là giải mã RSA trên cơ sở sử dụng mã hóa cũ và yếu) về cơ bản đã phá vỡ hình thức mã hóa cũ mà nhiều máy chủ hiện nay vẫn còn sử dụng. Tác động của lỗ hổng này sâu rộng và cho thấy mức độ nghiêm trọng khi nói đến an ninh mạng.

Trường hợp này đến từ đâu?

Toàn bộ sự sụp đổ của HTTPS nảy sinh từ SSLv2, một giao thức lỗi thời được sử dụng để mã hóa từ năm 1995. Với hơn 20 năm tìm hiểu các lỗ hổng, cuối cùng hacker  đã tìm thấy cách khai thác hệ thống tương đối cổ xưa này.

Giao thức này dựa trên khóa (key) 40-bit, song đây là hình thức mã hóa yếu. Thực tế cho thấy, một hệ thống mã hóa 40-bit sử dụng 240 khóa (40-bit) khác nhau vẫn có thể bị xuyên thủng chỉ sau vài giờ nếu hacker triển khai một cuộc tấn công dạng vét cạn brute-force.

Hacker làm gì để giải mã thông tin cá nhân?

Đầu tiên, tội phạm đứng sau hoạt động này cần có một vị trí gọi là “man-in-the-middle”. Đây là nơi hacker hoạt động như một "chuyển tiếp" giữa hai hệ thống để cố gắng tạo ra kết nối. Một khi vị trí này được thiết lập, hacker phải nhắm đến một máy chủ chạy SSLv2 và tìm cách tạo ra nhiều kết nối để buộc hệ thống bỏ khóa mã hóa. Sau đó, hacker sẽ có khả năng giải mã các thông điệp đi qua chuyển tiếp.

Ảnh minh họa.

Việc thực hiện quá trình trên đòi hỏi nhiều kiến thức an ninh mạng, nhưng lại không khó nếu nói về chi phí. Các nhà nghiên cứu từ nhiều quốc gia đã sử dụng Amazon Elastic Compute Cloud cho một cuộc tấn công và giải mã dưới 8 giờ. Nghiên cứu kết thúc với chi phí 440 USD, mức giá nằm trong tầm của các tội phạm mạng hiện nay.

Bao nhiêu máy chủ có nguy cơ?

Có hai điều kiện làm máy chủ bị tổn thương: yêu cầu hỗ trợ SSLv2 hoặc sử dụng khóa riêng liên kết với hệ thống hỗ trợ SSLv2. Một trong hai điều kiện này có thể được gán cho khoảng 17% các máy chủ HTTPS.

Trong khi đó, tuy không nhiều nhưng các tài khoản tái sử dụng cũng đặt máy chủ vào tình trạng nguy hiểm cho một cuộc tấn công DROWN do xác suất giao tiếp với một máy chủ hỗ trợ SSLv2. Khi biến này được hạch toán, số lượng máy chủ HTTPS dễ bị nhảy lên 33%.

Đây là lý do tại sao các cuộc tấn công DROWN trở thành vấn đề lớn đối với biện pháp an ninh mạng hiện nay. Một hệ thống với một giao thức mã hóa vô cùng tinh vi vẫn có thể bị tổn hại nếu liên lạc với một máy chủ hỗ trợ SSLv2.

Điều này nói gì về mã nguồn mở?

Nguyên nhân hacker có thể phát hiện ra các lỗ hổng trong SSLv2 chính là do giao thức được chứa trong các thư viện phần mềm OpenSSL. SSLv2 là nguồn mở, có nghĩa là bất cứ ai đều có thể nhìn vào mã nguồn và công cụ xung quanh.

Một ví dụ của mã nguồn mở là các lỗ hổng Heartbleed tìm thấy trong mã hóa SSL-TLS. Các chuyên gia bảo mật Trend Micro đã dành rất nhiều thời gian phân tích khai thác và kết luận đó là một vấn đề lớn. Heartbleed cũng dựa vào tính chất nguồn mở OpenSSL và tin tặc sử dụng các lỗi của phần mềm mã hóa để truy cập vào bộ nhớ của hệ thống. Điều này cho phép tội phạm mạng đạt được quyền truy cập vào thông tin đăng nhập và mật khẩu chứa trên máy chủ.

Tuy nhiên, phần tồi tệ nhất của sự sụp đổ này là Heartbleed cho hacker khả năng chặn các khóa mã hóa, do đó cung cấp khả năng giải mã luồng dữ liệu. Thực tế là toàn bộ quá trình tấn công này thậm chí không để lại một dấu vết nào và điều đó cho thấy phương pháp mã hóa nguồn mở hoàn toàn không phải là ý tưởng tốt nhất.

Quản trị viên CNTT có thể làm gì?

Các chuyên gia bảo mật Trend Micro nói rằng hiện vẫn có một cách đơn giản để giảm thiểu những rủi ro trước một cuộc tấn công DROWN vào các hệ thống mã hóa: đó là không hỗ trợ SSLv2.

Giao thức cũ này đã lỗi thời và các quản trị viên cần phải nhận ra những rủi ro nếu quyết định hỗ trợ nó. Người sử dụng OpenSSL 1.0.2 và 1.0.1 OpenSSL nên nâng cấp lên 1.0.2g và 1.0.1s.

Hơn nữa, các nhà quản lí CNTT cần phải chắc chắn rằng các khóa không được tái sử dụng bởi máy chủ một khi được hỗ trợ SSLv2. 

Việc mã hóa cũng rất quan trọng để tránh tội phạm mạng và các hành vi bất chính khác. Bên cạnh đó, người quản trị máy chủ cần phải có vai trò tích cực trong việc đối phó với "kỹ thuật đen" như DROWN nhằm chặn đứng ngay từ trong trứng mọi cuộc tấn công.