Trái tim rỉ máu: Đối phó tạm thời

Trái tim rỉ máu là một lỗ hổng an ninh nghiêm trọng trong thư viện OpenSSL, một phần mềm được 2/3 website trên thế giới sử dụng để bảo mật thông tin. Các tin tặc sử dụng lỗ hổng này để lấy các thông tin cá nhân như số thẻ bảo hiểm xã hội, thường được dùng cho việc tuyển dụng hoặc nhận các khoản trợ cấp của chính phủ.

Nguy hiểm tới cỡ nào?

Đã hơn một tuần kể từ khi lỗ hổng bảo mật Trái tim rỉ máu được phát hiện, nhưng đến nay vẫn chưa có giải pháp nào thực sự ngăn chặn được nó. Điều đáng thất vọng hơn là một loạt các ứng dụng, công cụ miễn phí trực tuyến trên Internet hiện nay được lập trình với mục đích chống lại nó đều bị chính lỗi bảo mật khét tiếng này qua mặt.

Vài ngày gần đây, một loạt các công cụ đáng tin cậy nhanh chóng xuất hiện trên Internet hứa hẹn sẽ giúp người dùng xác định xem các dịch vụ website mà họ sử dụng, bao gồm cả Windows và Android, có nằm trong tầm ảnh hưởng của "Trái tim rỉ máu" hay không. Tuy nhiên, Cục tư vấn an ninh mạng có trụ sở tại London sau khi thực hiện nhiều nghiên cứu đã đưa ra kết luận gây "sốc": Tới hơn 95% trong số đó là không đáng tin cậy.

"Rất nhiều công ty tin rằng họ đã an toàn sau khi sử dụng các công cụ miễn phí trên Internet và giờ đây khi biết rằng chúng vô hiệu, họ đã thực sự bị hoảng loạn", ông Edd Hardy, đại diện cho Hut3, một website chuyên phân tích an ninh mạng, cho biết.

Không chỉ đe dọa hàng ngàn website và dịch vụ web trên toàn thế giới, lỗ hổng này còn ảnh hưởng tới cả các thiết bị mạng của các hãng Cisco, Juniper vốn đang được sử dụng cực kỳ rộng rãi để kết nối mạng Web toàn cầu.

Chính Cisco và Juniper đã lên tiếng xác nhận rằng các sản phẩm của họ cũng “dính” Trái tim rỉ máu. Cụ thể, Cisco đã liệt kê 11 sản phẩm và 2 dịch vụ bị ảnh hưởng cùng với hơn 60 sản phẩm, dịch vụ khác có khả năng bị ảnh hưởng trong lúc cuộc điều tra nội bộ vẫn đang tiếp diễn. Hai dịch vụ nhắn tin là Registered Envelope Service (CRES) và Webex Messenger Service cũng dính lỗi nhưng đã được vá xong, Cisco cho biết.

Về phần mình, Juniper cũng công bố danh sách nhiều sản phẩm bị ảnh hưởng, trong đó có các sản phẩm dựa trên hệ điều hành Junos OS 13.3R1 và Odyssey Cloent 5.6r5 trở về sau.

Chuyên gia bảo mật quốc tế nổi tiếng Bruce Schneier đã gọi lỗ hổng Trái tim rỉ máu là nguy hiểm ngoại hạng. "Trên thang điểm từ 1 đến 10 thì lỗ hổng này phải 11", ông tuyên bố. Rất nhiều website đã tiến hành vá lỗi nhưng việc khắc phục phần cứng như các thiết bị mạng của Cisco và Juniper thì khó hơn rất nhiều.

"Với phần cứng, không phải cứ chạy bản vá hay nâng cấp hệ thống là xong. Tôi không dám chắc vấn đề này có thể xử lý triệt để trong bao lâu", người phát ngôn của Juniper chia sẻ với Wall Street Journal.

Nghi phạm đầu tiên

Ngày 16/4, Cảnh sát Canada đã bắt giữ Stephen Solis-Reyes, 19 tuổi, đang sống tại khu vực London, Ontario (Canada), bị tình nghi đã khai thác lỗ hổng Trái tim rỉ máu để đột nhập vào website Cơ quan thuế Canada CRA và đánh cắp 900 số bảo hiểm xã hội của Canada cùng nhiều dữ liệu khác.

Sau sự cố này, CRA đã tiến hành vá khẩn cấp lỗ hổng và nâng cấp toàn bộ hệ thống trước khi cho chạy lại dịch vụ trực tuyến. Tuy nhiên, ngoài CRA, các chuyên gia bảo mật cho rằng còn rất nhiều cơ quan, tổ chức nữa cũng bị ảnh hưởng. Dù vụ tấn công vào CRA có vẻ như là vụ đầu tiên có liên quan đến Trái tim rỉ máu nhưng chắc chắn đây sẽ không phải là vụ cuối cùng.

Đối phó tạm thời

Theo hãng nghiên cứu Internet Netcraft, để bảo vệ chính mình, người dùng không nên đăng nhập các tài khoản từ các trang web “dính” Trái tim rỉ máu trên cho đến khi các trang web này được vá lỗi.

Thông thường, theo phản ứng tự nhiên, người dùng sẽ muốn thay đổi mật khẩu ngay lập tức, nhưng các chuyên gia bảo mật khuyến cáo nên chờ đến khi trang web đó đã vá xong bởi vì việc thay đổi mật khẩu trên một trang web có lỗ hổng có thể khiến cho vấn đề càng trở nên trầm trọng hơn.

Còn sau khi trang web được vá lỗi, người dùng nên thay đổi các mật khẩu của các tài khoản quan trọng như ngân hàng, email… Thậm chí người dùng nên sử dụng hai yếu tố xác thực cho giao dịch trực tuyến như mật khẩu trực tiếp và mã xác thực nhắn tin qua điện thoại di động.

Mặt khác, người dùng cũng có thể sử dụng ứng dụng quản lý mật khẩu LastPass. Hiện LastPass đã phát hành một công cụ mới để báo cho người dùng biết các tài khoản trực tuyến được bảo mật của người dùng có nguy cơ bị xâm phạm hay không.

                                                                                                                                                 Hoàng Anh