Dù đã có giải pháp khắc phục nhưng Heartbleed, lỗ hổng bảo mật trong API OpenSSL, vẫn tiếp tục ảnh hưởng lớn đến những thiết bị có khả năng nối mạng trong thời gian tới.
Heartbleed được đánh giá là một trong số lỗ hổng bảo mật nghiêm trọng nhất trong OpenSSL, thư viện phần mềm bảo mật vốn được nhiều website sử dụng nhằm tạo kết nối (giao thức SSL) mã hóa tất cả dữ liệu truyền giữa máy chủ web và trình duyệt của người dùng, đảm bảo quá trình trao đổi thông tin trên mạng được bảo mật.
Cho đến nay thì hầu hết những thông tin liên quan tới Heartbleed đã được công bố rộng rãi và nhiều website lớn đã nhanh chóng cập nhật OpenSSL phiên bản mới để khắc phục lỗi. Tuy nhiên trên thực tế, lỗ hổng bảo mật này vẫn tiếp tục ảnh hưởng đến những thiết bị có khả năng nối mạng (một thành phần của Internet of Things) trong thời gian tới.
Thông thường, việc khai thác lỗ hổng bảo mật trong API OpenSSL (từ phiên bản 1.0.1 đến 1.0.1f) sẽ đánh lừa máy chủ tiết lộ thông tin lưu trong bộ nhớ để tìm ra các khóa riêng (private key) và khóa này dùng giải mã các đoạn dữ liệu bắt được từ máy chủ nhằm đánh cắp thông tin cá nhân, tài khoản người dùng.
Tuy nhiên theo Eric Chien, chuyên viên cao cấp của Symantec cho biết tin tặc có thể áp dụng phương thức ngược lại. Chẳng hạn với máy tính đầu cuối (client computer) chưa cập nhật OpenSSL phiên bản mới, tin tặc sẽ dụ dỗ người dùng nhấn vào liên kết URL dẫn đến máy chủ web có chứa mã độc và dễ dàng khai thác được những dữ liệu tìm thấy trong bộ nhớ máy tính.
 |
|
Ảnh minh họa tin tặc tấn công bắt luồng dữ liệu và chuyển hướng kết nối máy tính người dùng đến máy chủ chứa mã độc trong mạng Wi-Fi công cộng. |
Một phương thức tấn công khác cũng khai thác lỗ hổng Heartleed trên máy tính người dùng là bắt luồng dữ liệu và chuyển hướng kết nối đến máy chủ chứa mã độc. Trước khi kết nối SSL/TLS thiết lập hoàn chỉnh và có khả năng ngăn chặn sự chuyển hướng, kẻ tấn công đã gửi đi nhiều thông điệp giả mạo để lừa máy tính tiết lộ những thông tin đang lưu trong bộ nhớ. Những nội dung này có thể gồm cả thông tin cá nhân, tài khoản ngân hàng, v..v..
Ông Eric Chien cũng cho biết thêm thay vì chờ đợi nhà cung cấp dịch vụ, các website khắc phục lỗ hổng, người dùng cũng cần thận trọng với những email có địa chỉ hoặc nội dung đáng ngờ, không mở tập tin đính kèm cả khi dường như chúng được gửi từ email bạn bè, đồng nghiệp. Kiểm tra, thay đổi mật khẩu sau khi nhận được thông báo từ nhà cung cấp dịch vụ bạn đang sử dụng và thường xuyên theo dõi tài khoản ngân hàng, thẻ tín dụng để phát hiện những khoản giao dịch đáng ngờ.
Theo PC World VN.