Lỗ hổng, dữ liệu, quyền riêng tư và hơn thế nữa

Có quá nhiều sự kiện liên quan tới bảo mật trong năm 2014. Cho đến tận những ngày cuối năm, câu chuyện Sony bị tấn công và lấy cắp nhiều dữ liệu bí mật của công ty vẫn còn được cả thế giới nhắc đến. Hãy cùng điểm qua những điểm nhấn về an ninh mạng năm 2014.

Dữ liệu, dữ liệu và dữ liệu

Điểm nhấn đầu tiên của năm 2014 là các vụ tấn công đánh cắp hoặc phá huỷ dữ liệu xảy ra dồn dập. Hầu hết các vụ đình đám đều được nhắc với những dấu ấn “lớn nhất” hoặc “lần đầu tiên trong lịch sử”. Ví dụ như eBay, hãng thương mại điện tử hàng đầu thế giới, bị đánh cắp 145 triệu thông tin người sử dụng hồi tháng 5. Hay như vụ tấn công tồi tệ nhất trong lịch sử các ngân hàng khiến hơn 80 triệu dữ liệu tài khoản khách hàng của JPMorgan bị lộ. Các hãng bán lẻ như Home Depot bị mất 53 triệu thông tin thẻ tín dụng của khách hàng hay hơn 70 triệu thông tin của Target rơi vào tay kẻ xấu.

Chưa hết, vụ tấn công lấy cắp dữ liệu của Sony vào cuối năm 2014 có thể nói là một trong những vụ tấn công “khủng khiếp” xảy ra đối với các doanh nghiệp. Cuộc tấn công ngay lập tức khiến cổ phiếu của Sony lao xuống thẳng đứng và còn khiến cho Interview trở thành bộ phim lần đầu tiên trong lịch sử bị hoãn chiếu với lý do bị hack. Tại Việt Nam, vụ tấn công vào VCCorp cũng có thể nói là vụ tấn công nhắm vào dữ liệu lớn nhất từ trước đến nay, gây ảnh hưởng tới hoạt động của nhiều dịch vụ và được ước tính thiệt hại lên tới hàng chục tỷ đồng.

Đặc điểm chung của hầu hết vụ tấn công trên là hacker tìm cách cài đặt được phần mềm gián điệp đặc chủng vào một số máy tính bên trong hệ thống mạng của mục tiêu. Từ đó làm bàn đạp để tấn công vào các nguồn dữ liệu nhạy cảm. Việc tấn công tinh vi vào điểm yếu nhất trong hệ thống là con người, khiến cho chúng ta có cảm giác bất kỳ công ty nào giờ đây cũng có thể bị rò rỉ dữ liệu mà không có giải pháp nào để ngăn chặn.

Lỗ hổng, lỗ hổng và lỗ hổng

Nhiều lỗ hổng nguy hiểm có mức độ ảnh hưởng rộng đã bị khai thác trong năm 2014. Đặc biệt là những lỗ hổng của các giao thức quan trọng hoặc các thư viện nguồn mở được sử dụng rộng rãi trong nhiều phần mềm khác nhau.

Ồn ào nhất có lẽ là “Trái tim rỉ máu” - Heartbleed, một lỗ hổng nguy hiểm của thư viện mã hoá OpenSSL. Ứng dụng của OpenSSL rất rộng bao gồm các máy chủ web chạy Apache hoặc Ngix, các máy chủ e-mail, máy chủ VPN, Instant Message… Khai thác lỗ hổng, hacker có thể lấy được private key của server, sử dụng để mã hóa các dữ liệu trao đổi giữa server và client. Từ đó hacker có thể đọc được toàn bộ thông tin được trao đổi giữa client và server như chưa hề được mã hóa. Dễ hiểu hơn là hacker có thể đọc được username/password, nội dung e-mail, chat…

Tiếp theo có thể kể đến là lỗ hổng Shellshock. Shellshock gây nguy hiểm cho các hệ thống máy chủ, thiết bị mạng trên nền Unix và nguy cơ khai thác rộng. Shellshock đe dọa hạ tầng mạng doanh nghiệp, chủ yếu là máy chủ web hơn là đối tượng người dùng phổ thông với máy tính cá nhân. Khi khai thác thành công sẽ có mức độ nguy hiểm cao, cho phép hacker từ xa điều khiển được máy chủ, thiết bị mục tiêu.

Lỗ hổng có tên POODLE được công bố vào tháng 10 có lẽ đã đặt dấu chấm hết việc sử dụng SSL 3.0 (Secure Socket Layer) để mã hoá các giao dịch trên mạng. Lỗ hổng cho phép hacker có thể khai thác điểm yếu của SSL 3.0 để giải mã thông tin nhạy cảm, khiến cho tài khoản của người sử dụng trong nhiều dịch vụ có thể bị đánh cắp. Mọi hệ thống được khuyến cáo từ bỏ SSL vốn được biết đến là không đủ an toàn để chuyển sang sử dụng TLS (Transport Layer Security). Tuy nhiên, mọi chuyện chưa kết thúc khi trong tháng cuối năm 2014, người ta lại tiếp tục công bố POODLE cũng ảnh hưởng tới TLS khiến cho hàng loạt ngân hàng và hãng lớn phải cập nhật ngay lập tức bản vá cho TLS.

Tại Việt Nam, các quản trị hệ thống đặc biệt là các tổ chức tài chính, ngân hàng đã có một năm vất vả để cập nhật bản vá cho nhiều lỗ hổng trên các hệ thống giao dịch của mình.

Quyền riêng tư của người sử dụng

Một trong những điểm nhấn về an ninh mạng của năm 2014 là vấn đề quyền riêng tư bị xâm phạm. Ngày càng có nhiều cáo buộc các hãng điện thoại, các nhà cung cấp dịch vụ hay ứng dụng tìm cách thu thập thông tin riêng tư của người sử dụng một cách âm thầm. Điển hình là vụ việc các chuyên gia của F-Secure công bố phát hiện hãng điện thoại Xiaomi thu thập thông tin cá nhân của người sử dụng. Sau đó, Phó Chủ tịch của Xiaomi là Hugo Barra cũng đã phải lên tiếng xin lỗi về hành vi này. Sự việc trên cũng khiến cho nhiều hãng điện thoại bị yêu cầu kiểm tra, thậm chí có nhiều quốc gia cáo buộc thêm cả Apple, Samsung... cũng nằm trong diện phải điều chỉnh để phù hợp với luật riêng tư của quốc gia đó.

Ứng dụng Uber trên Android cũng gặp phải cáo buộc tương tự. Các nhà nghiên cứu tìm ra một số dấu hiệu thu thập thông tin của người dùng khiến cho hãng này bắt buộc phải cập nhật phiên bản mới và thay đổi chính sách bảo mật để người dùng tin tưởng hơn.

Tại Việt Nam, vụ việc hơn 14.000 điện thoại đã bị cài đặt phần mềm PTracker để nghe lén nội dung tin nhắn, cuộc gọi, địa điểm… cũng là một vụ việc điển hình cho sự xâm phạm quyền riêng tư.

Phát hiện nhiều loại mã độc nguy hiểm

Theo AV-Test, có đến hơn 140 triệu loại mã độc mới xuất hiện trong năm 2014, nhiều hơn hẳn so với các năm trước. Bên cạnh sự vượt trội về số lượng, chúng ta cũng có thể thấy 2014 xuất hiện nhiều mã độc có đặc điểm khác biệt so với các mã độc khác.

Theo AV-Test, có đến hơn 140 triệu loại mã độc mới xuất hiện trong năm 2014, nhiều hơn hẳn so với các năm trước.

Tháng 11, hãng an ninh Kaspersky phát hiện một loại mã độc được đặt tên là DarkHotel. Điểm khác biệt của DarkHotel là nó lây lan trong hệ thống mạng WiFi của các khách sạn cao cấp. Mục tiêu của nó là đánh cắp dữ liệu của các VIP, CEO, chủ tịch hay các lãnh đạo cấp cao của nhiều tập đoàn. Không phải cứ khách hàng nào kết nối máy tính với khách sạn đang trong tầm ngắm đều bị lây nhiễm mà kẻ đứng đằng sau DarkHotel nhằm vào từng nạn nhân cụ thể. Theo báo cáo, khoảng 90% lây nhiễm mã độc DarkHotel được phát hiện ở Nhật Bản, Đài Loan, Trung Quốc, Nga và Hàn Quốc.

Nếu như DarkHotel khác biệt bởi môi trường tấn công của nó thì Regin, một siêu gián điệp được công bố cũng trong tháng 11 nổi bật ở độ phức tạp của nó. Người ta so sánh độ phức tạp của Regin với Stuxnet, sâu đã tấn công vào các nhà máy hạt nhân xuất hiện năm 2010. Đặc điểm nổi bật tạo nên sự khác biệt của Regin là nó có module để có thể thu thập thông tin trong mạng GSM. Chính vì vậy, mục tiêu của nó có thể là hạ tầng mạng của các nhà cung cấp dịch vụ viễn thông. Dấu vết của Regin được tìm thấy tại nhiều quốc gia trên thế giới: Nga, Saudi Arabia, Bỉ, Đức, Iran, Ấn Độ…

Nguyễn Minh Đức