Lỗ hổng bảo mật không bao giờ hết

(PCWorldVN) An ninh thông tin là công việc không bao giờ kết thúc. Các mối đe dọa tăng vọt và luôn có các chiêu thức tấn công mới. Một số đã được công bố hồi tuần rồi.

• Bảo mật Wi-Fi vẫn là điểm nóng
• Bảo mật: Chung sống với mã ngoại lai
• Chìa khóa USB - Khóa bảo vệ phần mềm và bảo mật
• Bảo mật cá nhân trên mạng 

Công ty bảo mật Internet Bastille (Mỹ) khuyến cáo người dùng là hacker có thể truy cập các giao thức liên lạc không được mã hóa của bàn phím không dây, sử dụng thiết bị giá chưa đến 100 USD để lấy trộm từ xa mọi tổ hợp phím mà người dùng gõ. Bàn phím không dây thường giao tiếp với máy tính bằng giao thức riêng hoạt động ở băng tần ISM 2.4GHz. Khác với Bluetooth, không hề có chuẩn chung cho bàn phím không dây, từng hãng tự thực hiện cơ chế bảo mật riêng.

An ninh thông tin là công việc không bao giờ kết thúc. Các mối đe dọa tăng vọt và luôn có các chiêu thức tấn công mới.

Bastille đã công bố danh sách các nhà sản xuất bàn phím bị ảnh hưởng và cho đến nay mới chỉ có ba hãng có phản ứng.

Kensington có vẻ phản ứng tốt nhất. Hãng cho biết đã phát hành bản cập nhật firmware bao gồm mã hóa AES đã được chính phủ Mỹ thông qua và hiện đang được sử dụng rộng rãi trên toàn cầu, nhưng lại tuyên bố bao biện: "Chúng tôi vui mừng thông báo kể từ khi sản phẩm này được bán ra từ năm 2005, chúng tôi không hề nhận được bất kỳ thông báo sự cố bảo mật nào". Vấn đề ở chỗ hãng không nhận được thông báo sự cố không có nghĩa là không có gì bị rò rỉ. Do đặc tính của lỗ hổng này, nạn nhân có khả năng không biết về sự rò rỉ. Và nếu họ bằng cách nào đó biết về sự rò rỉ, rất có thể họ sẽ đổ lỗi cho hệ điều hành hoặc trang web mà họ truy cập.

Phản ứng kém hơn, Anker cho biết hãng đã "quyết định ngừng bán vô thời hạn bàn phím không dây Ultra Slim 2.4Ghz" và trong một thời gian rất hạn chế (cho đến ngày 30 tháng 8), hãng sẽ cho đổi sang bàn phím Bluetooth nhưng chỉ với bàn phím bị ảnh hưởng vẫn còn thời hạn bảo hành.

Ở đây có ba điều cần bàn. Thứ nhất: Giờ thực sự có phải là lúc tốt nhất để bắt ép giới hạn thời hạn bảo hành? Có thể khách hàng không biết sản phẩm Anker không an toàn cho đến khi Bastille thông báo. Thứ hai: Nếu khách hàng muốn dùng Bluetooth, họ đã mua ngay từ đầu. Thứ ba: Liệu có thể bổ sung tính năng mã hóa cho bàn phím và cung cấp miễn phí cho tất cả khách hàng? Đó là cách lấy lại lòng tin của khách hàng. Anker cũng cho biết họ đã không hề nhận được bất kỳ khiếu nại nào của khách hàng liên quan đến vấn đề này, cho đến nay.

Phản hồi thứ ba là của Jasco Products, hãng được cấp phép bán bàn phím dưới thương hiệu General Electric. Tuyên bố của hãng thực chất chỉ là một sự hứa hẹn mơ hồ: "Theo báo cáo của Bastille Threat Research Group, Jasco nhận thức được vấn đề liên quan bộ chuột và bàn phím 98614 và sẽ làm việc trực tiếp với khách hàng để giải quyết mọi vấn đề".

Không hứa hẹn khắc phục, thậm chí trong các phiên bản tương lai. Không có lời nào về mã hóa. Chỉ có một lời hứa mơ hồ để đối phó với khiếu nại của khách hàng. Jasco chắc chắn có mặt trong danh sách các nhà cung cấp cần tránh xa.

Tripwire xát thêm muối thêm vào “vết thương” thiết bị ngoại vi khi báo cáo "74% trong 50 router bán chạy nhất trên Amazon có lỗ hổng bảo mật, gồm 20 model khác nhau với firmware mới nhất có thể bị khai thác".

Báo cáo của Tripwire thật đáng ngại: "Tất cả các yêu cầu có chứa một chuỗi ký tự đặc biệt đều nhận được đáp trả '200 OK'. Bằng cách ghép chuỗi này vào các yêu cầu khác, bạn có thể được đáp trả dữ liệu chỉ dành cho các truy vấn có chứng thực. Lỗi từ chối dịch vụ: Có một trang web đặc biệt có thể truy cập qua HTTP mà không cần chứng thực khiến cho giao diện quản lý trở nên vô hiệu. Đây là lỗi nghiêm trọng vì thiết bị phụ thuộc vào HTTP khi được dùng điểm truy cập (hot spot). Lỗi lộ thông tin: Số serial của thiết bị bị lộ bởi máy chủ HTTP. Hiện chưa rõ việc này có bất kỳ tác động trực tiếp nào đến vấn đề bảo mật hay không nhưng hacker có thể lợi dụng để lừa đảo. Chúng tôi cũng phát hiện các sản phẩm khác dùng số serial để chứng minh quyền sở hữu thiết bị. Chúng tôi cũng nhận thấy các yêu cầu có chứng thực đến một trang nhất định sẽ ngốn bộ nhớ quá mức làm ảnh hưởng đến máy chủ HTTP, cũng như có thể làm gián đoạn các dịch vụ khác. Chiêu thức này có thể khai thác thông qua yêu cầu GET và từ đó mở đường cho các cuộc tấn công CSRF qua thẻ hình (image) trong các tệp HTML hoặc email".

Và cuối cùng là cú “knock out”, bạn sẽ điếng người với báo cáo của PubPub về một trong những biện pháp bảo vệ riêng tư ít tốn công sức được yêu thích: để điện thoại ở chế độ máy bay (Airplane). Trừ khi muốn làm một cái gì đó như kiểm tra email hoặc thực hiện cuộc gọi, còn không người ta thường chuyển sang chế độ này để cách ly điện thoại của mình khỏi mạng di động và Wi-Fi miễn phí, “cấm cửa” những kẻ xấu trong khi vẫn có thể thực hiện các giao dịch Apple Pay. Quá lạc quan!

Theo PubPub: "Tắt tính năng thu phát không dây bằng cách chuyển sang chế độ máy bay cũng không an toàn. Ví dụ, trên iPhone kể từ iOS 8.2, GPS vẫng hoạt động ở chế độ trên máy bay".

Apple thật “tốt bụng”, cho phép để chúng ta bị theo dõi dễ dàng hơn bao giờ hết trong khi hầu như không thông báo gì cho chúng ta biết. Có thể một số người vẫn muốn sử dụng Maps trong khi ở chế độ máy bay, nhưng nó có thể gây nên vấn đề về sự riêng tư. Ví dụ bạn đi đến BigBoxStore trong khi để điện thoại ở chế độ máy bay. Trên điện thoại có một ứng dụng của đối thủ cạnh tranh, BiggerBoxStore, nó có thể khai thác vị trí hiện tại của bạn.

PubPub tiếp: "Hơn nữa, chế độ máy bay là 'chuyển đổi mềm' – thông tin trên màn hình, không có mối quan hệ thực chất nào với trạng thái phần cứng. Các gói phần mềm độc hại có thể kích hoạt tính năng thu phát không dây mà không có bất kỳ dấu hiệu trên giao diện người dùng".

Các doanh nghiệp bỏ ra hàng đống tiền cho các hệ thống bảo mật cao và cho phép kết nối theo nhiều cách, trong đó có VPN (mạng riêng ảo), với các thiết bị ngoại vi không an toàn. Bộ phận CNTT khó có thể biết việc này.