VnReview
Hà Nội

Phát hiện lỗ hổng bảo mật "Trái tim rỉ máu" rất nghiêm trọng

Các chuyên gia an ninh mạng vừa phát hiện một lỗ hổng bảo mật rất nghiêm trọng. Lỗ hổng này khiến cho những người lướt web có nguy cơ bị lộ mật khẩu và các dữ liệu cá nhân nhạy cảm. Lỗ hổng được biết đến dưới cái tên;heartbleed (tạm dịch là Trái tim rỉ máu). Yahoo là công ty bị ảnh hưởng nặng nề nhất bởi lỗ hổng nói trên.

Lổ hổng "Trái tim rỉ máu" do công ty bảo mật Codenomicon và chuyên gia Neel Mehta phát hiện và đặt tên. Lỗ hổng này cho phép hacker đánh cắp mật khẩu của người sử dụng web, đánh lừa họ truy cập vào những website giả mạo để tiếp tục đánh cắp thông tin. Theo Netcraft – công ty chuyên nghiên cứu về Internet – có 500.000 máy chủ bị ảnh hưởng bởi "Trái tim rỉ máu".

Đây là một lỗ hổng nằm trong phần mềm mã nguồn mở Open SSL. Phần mềm này được sử dụng rộng rãi để mã hóa các luồng tin lưu chuyển trên Web. "Tim rỉ máu" có khả năng phơi bày các nội dung chứa trong bộ nhớ máy chủ. Đây là nơi mà các thông tin cá nhân được lưu trữ, chẳng hạn như tên truy cập, mật khẩu và số thẻ tín dụng. Lỗ hổng nói trên cũng cho phép kẻ xấu sao chép các chìa khóa số của máy chủ. Sau đó chúng sử dụng các "chìa khóa" này để giải mã các thông tin lưu chuyển qua máy chủ.

Từ trước đến nay người ta đã phát hiện được nhiều lỗ hổng bảo mật, nhưng "Trái tim rỉ máu" là một lỗ hổng rất nghiêm trọng. Nó khiến cho nhiều website phải tiến hành một cuộc "đại phẫu", cũng như bắt buộc người sử dụng phải thay đổi mật khẩu nếu không muốn tiền bay khỏi ví hoặc gặp phải những rắc rối không đáng có.

Vào tối thứ Hai vừa rồi theo mốc giờ địa phương (tức sáng thứ Ba theo múi giờ Việt Nam), Ronald Prins - chuyên gia bảo mật của FoxIT đã đăng một tweet trên Twitter rằng: "Chúng tôi đã có thể lấy được tên truy cập và mật khẩu Yahoo". Còn lập trình viên Scott Galloway cho biết thêm: "Tôi mới chạy đoạn mã Trái tim rỉ máu có 5 phút mà đã lấy được 200 mật khẩu Yahoo Mail".

Yahoo cho biết, hãng này đang tiến hành "vá" lỗ hổng trên các dịch vụ của mình: "Ngay khi được thông báo về lỗ hổng, chúng tôi đã tiến hành khắc phục nó. Các chuyên gia của chúng tôi đã sửa thành công yếu điểm tồn tại trên Trang chủ Yahoo, Yahoo Search, Yahoo Mail, Yahoo Finance, Yahoo Sports, Yahoo Food, Yahoo Tech, Flickr và Tumblr. Chúng tôi vẫn đang tiếp tục khắc phục các phần còn lại trên site của mình".

Theo khuyến cáo của các chuyên gia an ninh mạng, người sử dụng nên thực hiện theo các cách sau để bảo mật thông tin:

- Không đăng nhập vào các website có lỗ hổng trừ phi bạn chắc chắn rằng lỗ hổng đó đã được công ty chủ quản "vá" lại. Nếu công ty đó chưa thông báo gì, hãy liên lạc với bộ phận dịch vụ khách hàng. Một số website tồn tại lỗ hổng như Yahoo và OKCupid đã khắc phục hoàn toàn hoặc một phần hệ thống máy chủ. Bạn có thể kiểm tra website có tồn tại lỗ hổng hay không bằng công cụ này. Nếu bạn thấy chữ "all clear" thì không sao. Nếu công cụ hiển thị một lá cờ đỏ, tốt nhất bạn nên tránh xa website đó.

Theo phản ứng tự nhiên thì người sử dụng muốn đổi mật khẩu ngay lập tức. Nhưng các chuyên gia khuyến cáo rằng nên đợi các website vá lỗi xong rồi mới đổi mật khẩu.

- Sau khi các website thông báo đã sửa lỗi, người sử dụng nên đổi mật khẩu thư điện tử và tài khoản ngân hàng.

- Đừng ngại khi liên lạc với các doanh nghiệp nhỏ có nắm giữ dữ liệu cá nhân khách hàng. Trong khi các doanh nghiệp lớn như Yahoo và Imgur đã có phản ứng tức thời để sửa lỗi, thì các doanh nghiệp nhỏ có thể chưa nhận thức được rõ vấn đề. Cần phải được đảm bảo rằng dữ liệu của bạn vẫn an toàn.

- Tiếp tục theo dõi những thông báo trong những ngày tới.

Thậm chí khi đã làm theo những cách trên, người sử dụng web vẫn chưa hết nguy cơ bị lộ thông tin, bởi vì lỗ hổng "Trái tim rỉ máu" ảnh hưởng đến cả cookie của trình duyệt – nơi ghi lại hoạt động của người dùng trên site. Các chuyên gia khuyến cáo những người hay thực hiện các giao dịch online nên "tạm xa rời Internet trong một vài ngày tới".

Hiện tại, theo thống kê mới nhất thì Google, Microsoft, Twitter, Facebook, Dropbox không bị ảnh hưởng bởi lỗ hổng nghiêm trọng này.

Đăng Khoa

Theo Cnet

Chủ đề khác