Một lỗ hổng bảo mật nghiêm trọng mới được các chuyên gia bảo mật phát hiện ảnh hưởng đến 33% các trang web đang sử dụng giao thức mã hóa HTTPS trên toàn cầu, trong đó có nhiều hệ thống lớn của Việt Nam.
Một nhóm các nhà nghiên cứu bảo mật từ Google, dự án OpenSSL Project, Đại học Tel Aviv (Israel), Đại học Ứng dụng Khoa học Munster và Đại học Bochum (Đức), Đại học Pennsylvania và Michigan (Mỹ) vừa phát hiện một lỗ hổng bảo mật nghiêm trọng trong công nghệ mã hóa OpenSSL dùng để mã hóa giao thức HTTPS và các dịch vụ khác sử dụng giao thức SSL và TLS.
Lỗ hổng bảo mật này được đặt tên là DROWN, cho phép các tin tặc có thể giải mã các dữ liệu đã được mã hóa trong quá trình truyền tin từ máy tính của người dùng đến máy chủ và lấy cắp các dữ liệu quan trọng như thông tin thẻ tín dụng, tên đăng nhập, mật khẩu email...
Hơn 11 triệu trang web sử dụng giao thức HTTPS có thể bị tấn công qua lỗ hổng bảo mật DROWN
Các chuyên gia bảo mật cho biết tin tặc có thể khai thác lỗ hổng bảo mật này để thực hiện tấn công từ một máy tính duy nhất với việc thiết lập quá trình tấn công chưa đến một phút.
Hiện tại có hàng triệu trang web sử dụng OpenSSL để mã hóa dữ liệu và theo ước tính của các chuyên gia bảo mật hiện có khoảng 33%, tương đương 11 triệu trang web đang sử dụng giao thức HTTPS bị ảnh hưởng bởi lỗ hổng bảo mật DROWN này, trong đó 25% là các trang web đứng trong top 1 triệu trang web phổ biến nhất thế giới, bao gồm Yahoo, Buzzfeed.com, Samsung.com, Flickr.com, Blackboard.com, Weibo.com, Alibaba.com, CNBC.com...
Nhiều hệ thống lớn tại Việt Nam chịu ảnh hưởng bởi DROWN
Không chỉ các trang web lớn trên thế giới mà theo công ty an ninh mạng BKAV, nhiều hệ thống lớn và có ảnh hưởng tại Việt Nam cũng đang bị ảnh hưởng bởi lỗ hổng bảo mật này, khiến các hệ thống này đứng trước nguy cơ bị tin tặc tấn công và lấy cắp các dữ liệu quan trọng như thông tin cá nhân, mật khẩu đăng nhập, thông tin tài khoản ngân hàng...
BKAV ước tính trong số các hệ thống bị ảnh hưởng bởi DROWN thì có tới 58% thuộc lĩnh vực tài chính, 21% thuộc lĩnh vực dầu khí, 11% thuộc lĩnh vực công nghiệp, hàng tiêu dùng, 5% thuộc lĩnh vực công nghệ, viễn thông và 5% thuộc lĩnh vực vận tải, du lịch. Bkav cũng đã gửi cảnh báo đến các đơn vị bị ảnh hưởng và hướng dẫn cách khắc phục lỗ hổng, đảm bảo an toàn thông tin cho khách hàng.
Làm thế nào để ngăn chặn máy chủ không bị tấn công bởi DROWN
Hiện tại các chuyên gia nghiên cứu bảo mật đã cung cấp một công cụ hữu ích để giúp các nhà quản trị trang web có thể kiểm tra xem trang web của mình có bị ảnh hưởng bởi lỗi DROWN hay không để có biện pháp khắc phục và đề phòng.
Sau khi lỗ hổng bảo mật DROWN được phát hiện, OpenSSL phiên bản mới đã được phát hành để vá lại lỗ hổng bảo mật này. Cách đơn giản nhất đó là nâng cấp thư viện OpenSSL lên phiên bản cao nhất. Với các hệ thống đang sử dụng OpenSSL phiên bản 1.0.2 phải nâng cấp lên phiên bản OpenSSL 1.0.2g và đang sử dụng phiên bản 1.0.1 phải nâng cấp lên phiên bản 1.0.1s.
Trong khi đó với các hệ thống sử dụng Windows Servers (Microsoft IIS) thì cần phải vô hiệu hóa công nghệ mã hóa SSLv2 đang sử dụng trên hệ thống. Để tắt hoàn toàn SSLv2 trên Windows có thể sử dụng công cụ do Microsoft cung cấp.
Hiện tại phần lớn các trang web lớn trên thế giới đều đã khắc phục kịp thời lỗ hổng bảo mật này và các chuyên gia bảo mật cũng kêu gọi các nhà quản lý hệ thống nên sớm có biện pháp khắc phục trước khi lỗ hổng được khai thác để đánh cắp dữ liệu.
“Chúng tôi không có lý do nào để tin rằng lỗi bảo mật DROWN đã được khai thác và sử dụng trước khi báo cáo này được công bố”, các chuyên gia nghiên cứu bảo mật cho biết khi công bố về lỗi bảo mật DROWN. “Tuy nhiên kể từ khi các chi tiết về lỗ hổng bảo mật này được công khai, các tin tặc có thể sẽ bắt đầu khai thác nó vào bất cứ lúc nào và chúng tôi khuyên các nhà quản trị hệ thống nên dùng các biện pháp đối phó càng sớm càng tốt”.
Theo Dân trí
