Giao thức bảo mật HTTPS đã hết an toàn?

Hãng bảo mật Trend Micro gần đây đã phát hiện một lỗ hổng mới trong giao thức bảo mật HTTPS, từ đó có thể dẫn đến nguy hại cho người dùng máy tính lẫn thiết bị di động.

Một chiến thuật tấn công mới được gọi là DROWN (hay còn gọi là giải mã RSA trên cơ sở sử dụng mã hóa cũ và yếu) về cơ bản đã phá vỡ một hình thức mã hóa cũ mà nhiều máy chủ vẫn còn sử dụng. Tác động của lỗ hổng này sâu rộng và cho thấy mức độ nghiêm trọng khi nói đến an ninh mạng.

Trường hợp này đến từ đâu?

Toàn bộ sự sụp đổ của HTTPS nảy sinh từ SSLv2, một giao thức lỗi thời được sử dụng để mã hóađược thực hiện ban đầu vào năm 1995. Với hơn 20 năm tìm hiểu, hacker cuối cùng đã tìm thấy cách khai thác hệ thống tương đối cổ xưa này.

Giao thức này dựa trên một khóa (key) 40-bit, song đây là mô hình mã hóa đặc biệt yếu kém. Thực tế cho thấy, một hệ thống mã hóa 40-bit sử dụng 240 khóa (40-bit) khác nhau vẫn có thể bị xuyên thủng chỉ sau vài giờ nếu hacker triển khai một cuộc tấn công dạng vét cạn brute-force.

Hacker làm gì để giải mã thông tin cá nhân?

Đầu tiên, các tội phạm đứng sau hoạt động này cần có một vị trí gọi là “man-in-the-middle”.

Đây là nơi mà các hacker hoạt động như một “ống chuyển tiếp” giữa hai hệ thống để cố gắng tạo ra kết nối. Một khi vị trí này được thực hiện, các hacker phải nhắm đến một máy chủ chạy SSLv2 và cố gắng tạo ra nhiều kết nối để buộc hệ thống bỏ khóa mã hóa. Sau đó, tội phạm mạng sẽ có khả năng giải mã các thông điệp thông qua ống chuyển tiếp.

Ảnh minh họa.

Trend Micro cho biết quá trình này đòi hỏi kiến thức an ninh mạng nhưng lại tốn kém. Các nhà nghiên cứu từ nhiều quốc gia đã sử dụng Amazon Elastic Compute Cloud cho một cuộc tấn công và giải mã dưới 8 giờ. Nghiên cứu kết thúc với chi phí lên đến 440USD.

Bao nhiêu máy chủ có nguy cơ?

Có hai điều kiện làm máy chủ bị tổn thương: yêu cầu hỗ trợ SSLv2 hoặc sử dụng khóa riêng liên kết với hệ thống hỗ trợ SSLv2. Một trong hai điều kiện này có thể được gán cho khoảng 17% các máy chủ HTTPS.

Trong khi đó, tuy không nhiều nhưng các tài khoản tái sử dụng cũng đặt máy chủ vào tình trạng nguy hiểm cho một cuộc tấn công DROWN do xác suất giao tiếp với một máy chủ hỗ trợ SSLv2. Khi biến này được hạch toán, số lượng máy chủ HTTPS dễ bị nhảy lên 33%.

Đây là lý do tại sao các cuộc tấn công DROWN trở thành vấn đề lớn đối với các biện pháp an ninh mạng hiện nay. Một hệ thống với một giao thức mã hóa vô cùng tinh vi vẫn có thể bị tổn hại nếu liên lạc với một máy chủ hỗ trợ SSLv2.

Điều này nói gì về mã nguồn mở?

Nguyên nhân hacker có thể phát hiện ra các lỗ hổng trong SSLv2 chính là do giao thức được chứa trong các thư viện phần mềm OpenSSL. SSLv2 là nguồn mở, có nghĩa là bất cứ ai đều có thể nhìn vào mã nguồn và công cụ xung quanh.

Một ví dụ của mã nguồn mở là các lỗ hổng Heartbleed tìm thấy trong mã hóa SSL-TLS. Các chuyên gia bảo mật Trend Micro đã dành rất nhiều thời gian phân tích khai thác và kết luận đó là một vấn đề lớn. Heartbleed cũng dựa vào tính chất nguồn mở OpenSSL và tin tặc sử dụng các lỗi của phần mềm mã hóa để truy cập vào bộ nhớ của hệ thống. Điều này cho phép tội phạm mạng đạt được quyền truy cập vào thông tin đăng nhập và mật khẩu chứa trên máy chủ.

Tuy nhiên, phần tồi tệ nhất của sự sụp đổ này là Heartbleed cho hacker khả năng đánh chặn các khóa mã hóa, do đó cung cấp khả năng giải mã giao thông. Thực tế là toàn bộ quá trình tấn công này thậm chí không để lại một dấu vết nào và điều đó cho thấy rằng phương pháp mã hóa nguồn mở hoàn toàn không phải là ý tưởng tốt nhất.

Quản trị viên CNTT có thể làm gì?

Các chuyên gia bảo mật Trend Micro nói rằng hiện vẫn có một cách đơn giản để giảm thiểu những rủi ro trước một cuộc tấn công DROWN vào các hệ thống mã hóa: đó là không hỗ trợ SSLv2.

Giao thức này đã cũ lỗi thời và các quản trị viên cần phải nhận ra những loại rủi ro mà họ chạy nếu họ quyết định hỗ trợ nó. Người sử dụng OpenSSL 1.0.2 và 1.0.1 OpenSSL nên nâng cấp lên 1.0.2g và 1.0.1s.

Hơn nữa, các quan chức CNTT cần phải chắc chắn rằng các khóa không được tái sử dụng bởi các máy chủ một khi được hỗ trợ SSLv2.

Việc mã hóa cũng rất quan trọng để tránh bọn tội phạm mạng và các bên bất chính khác. Bên cạnh đó, quản trị viên máy chủ cần phải có vai trò tích cực trong việc đánh bại các "kỹ thuật đen" như DROWN nhằm chặn đứng ngay từ trong trứng nước mọi rủi ro bị tấn công.

Suckhoecuocsong.com.vn (Theo pcworld)