Photobooth và lỗ hổng lưu trữ: Ảnh riêng tư hóa công khai

[Kaya]

Trong những năm gần đây, photobooth (các máy chụp ảnh tự động cố định) ngày càng trở nên phổ biến. Chỉ với vài thao tác đơn giản, người dùng có thể chụp ảnh kỷ niệm, nhận bản in tại chỗ và quét mã QR để tải ảnh về điện thoại. Tuy nhiên, phía sau sự tiện lợi này lại tiềm ẩn những rủi ro nghiêm trọng về bảo mật dữ liệu cá nhân mà không phải ai cũng nhận ra.
Một lỗ hổng kỹ thuật tưởng chừng nhỏ trong hệ thống photobooth đã khiến nhiều hình ảnh riêng tư có nguy cơ bị truy cập trái phép, thậm chí trở thành dữ liệu công khai trên Internet.​

Khi quét QR không còn là chuyện riêng tư​

Thông thường, sau khi chụp ảnh tại photobooth, người dùng sẽ được cung cấp một mã QR. Khi quét mã này, trình duyệt sẽ mở một đường dẫn, dẫn tới ảnh đã chụp, cho phép tải về hoặc chia sẻ. Cách làm này nhanh chóng, tiện lợi và được nhiều đơn vị triển khai.

Vấn đề nằm ở chỗ đường dẫn chứa ảnh thường được tạo dựa trên một mã định danh đơn giản, chẳng hạn như một chuỗi số hoặc ký tự tăng dần. Nếu hệ thống không có cơ chế kiểm tra quyền truy cập, bất kỳ ai thay đổi mã trong đường dẫn cũng có thể xem được ảnh của người khác. Đây chính là bản chất của một lỗ hổng bảo mật có tên gọi IDOR.​

IDOR là gì và vì sao nguy hiểm?​

IDOR (Insecure Direct Object Reference) là một dạng lỗ hổng cho phép người dùng truy cập trực tiếp vào tài nguyên (ảnh, video, tài liệu…) chỉ bằng cách đoán hoặc thay đổi mã định danh trong đường dẫn mà không cần đăng nhập hay xác thực quyền sở hữu.

Trong trường hợp photobooth, ảnh chụp/ video của người dùng được lưu trên máy chủ và gắn với một đường link cụ thể. Nếu hệ thống không kiểm tra xem người truy cập có thực sự là chủ nhân của bức ảnh đó hay không, thì chỉ cần đoán đúng đường link, bất kỳ ai cũng có thể xem, tải về hoặc phát tán hình ảnh.

Điều này đồng nghĩa với việc những bức ảnh cá nhân, ảnh gia đình, ảnh trẻ em hay ảnh chụp tại các sự kiện riêng tư có thể bị người lạ truy cập mà chủ nhân hoàn toàn không hay biết.
​

Nguy cơ không chỉ dừng lại ở ảnh kỷ niệm​

Thoạt nhìn, việc lộ ảnh photobooth có thể bị xem là không quá nghiêm trọng. Tuy nhiên, trong thực tế, rủi ro phát sinh từ đây lớn hơn nhiều so với tưởng tượng. Những nguy cơ có thể xảy ra bao gồm:​

• Hình ảnh cá nhân bị thu thập hàng loạt để sử dụng cho mục đích xấu, như tạo hồ sơ giả mạo hoặc phục vụ lừa đảo.​
• Ảnh trẻ em hoặc gia đình bị khai thác trái phép, xâm phạm quyền riêng tư nghiêm trọng.​
• Dữ liệu hình ảnh bị kết hợp với thông tin khác để phục vụ tấn công giả mạo khuôn mặt, lừa đảo công nghệ cao.​
• Doanh nghiệp vận hành photobooth đối mặt với rủi ro pháp lý nếu để lộ dữ liệu cá nhân người dùng.​

Đáng lo ngại hơn, nhiều người dùng có thói quen chia sẻ lại đường link ảnh cho bạn bè, đăng lên mạng xã hội mà không biết rằng đường link đó có thể bị người khác truy cập tự do.​

Vì sao lỗ hổng này dễ bị bỏ qua?​

IDOR không phải là kỹ thuật tấn công phức tạp. Trái lại, nó thường xuất phát từ tư duy thiết kế hệ thống chưa coi trọng bảo mật ngay từ đầu. Nhiều đơn vị cho rằng ảnh photobooth “không quan trọng” hoặc chỉ tồn tại trong thời gian ngắn, nên không đầu tư đầy đủ các biện pháp bảo vệ.

Trong khi đó, người dùng phổ thông gần như không có khả năng nhận biết liệu một mã QR hay đường link tải ảnh có an toàn hay không. Sự tin tưởng vào thiết bị đặt tại nơi công cộng khiến họ mặc nhiên cho rằng dữ liệu của mình đã được bảo vệ.​

Người dùng và đơn vị vận hành cần làm gì?​

Đối với người dùng, việc nâng cao cảnh giác là yếu tố quan trọng nhất. Không nên chia sẻ công khai đường link ảnh photobooth, đặc biệt là trên mạng xã hội. Nếu hệ thống cho phép, nên tải ảnh về thiết bị cá nhân và xóa ảnh khỏi máy chủ sau khi sử dụng.

Đối với các đơn vị cung cấp và vận hành photobooth, cần coi dữ liệu hình ảnh là dữ liệu cá nhân cần được bảo vệ. Hệ thống cần có cơ chế xác thực, giới hạn quyền truy cập, sử dụng mã định danh ngẫu nhiên khó đoán và đặt thời hạn tự động xóa ảnh sau một khoảng thời gian nhất định.

Quan trọng hơn, bảo mật không nên là phần “bổ sung sau cùng” mà phải được tích hợp ngay từ khâu thiết kế dịch vụ. Photobooth và mã QR mang lại trải nghiệm tiện lợi, thú vị cho người dùng nhưng nếu thiếu các biện pháp bảo mật phù hợp, thì chính những bức ảnh kỷ niệm vô hại đó có thể trở thành dữ liệu công khai ngoài ý muốn, mọi dữ liệu cá nhân dù là một bức ảnh chụp vui cũng đều cần được bảo vệ nghiêm túc.

Việc nâng cao nhận thức của người dùng và trách nhiệm của đơn vị cung cấp dịch vụ chính là chìa khóa để ngăn chặn những rủi ro tương tự trong tương lai.​

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview