Video: Heartbleed explained in under 2 minutes (Tháng mười một 2024)
Vào tháng Tư, chúng tôi đã biết rằng một lỗi trong thư viện mã OpenSSL phổ biến có thể cho phép kẻ tấn công chiếm đoạt bộ nhớ từ các máy chủ được cho là an toàn, có khả năng chiếm được thông tin đăng nhập, khóa riêng tư, v.v. Được đặt tên là "Heartbleed", lỗi này đã tồn tại trong nhiều năm trước khi được phát hiện. Hầu hết các cuộc thảo luận về lỗi này đều cho rằng tin tặc sẽ sử dụng nó để chống lại các máy chủ an toàn. Tuy nhiên, một báo cáo mới chứng minh rằng nó có thể dễ dàng khai thác trên cả máy chủ và thiết bị đầu cuối chạy Linux và Android.
Luis Grangeia, một nhà nghiên cứu tại SysValue, đã tạo ra một thư viện mã bằng chứng mà ông gọi là "Cupid". Cupid bao gồm hai bản vá cho các thư viện mã Linux hiện có. Một cái cho phép một "máy chủ ác" khai thác Heartbleed trên các máy khách Linux và Android dễ bị tổn thương, trong khi cái kia cho phép một "máy khách ác" tấn công các máy chủ Linux. Grangeia đã cung cấp mã nguồn miễn phí, với hy vọng rằng các nhà nghiên cứu khác sẽ tham gia để tìm hiểu thêm về loại tấn công nào có thể xảy ra.
Không phải tất cả đều dễ bị tổn thương
Cupid đặc biệt hoạt động đối với các mạng không dây sử dụng Giao thức xác thực mở rộng (EAP). Bộ định tuyến không dây tại nhà của bạn gần như chắc chắn không sử dụng EAP, nhưng hầu hết các giải pháp cấp Doanh nghiệp đều có. Theo Grangeia, thậm chí một số mạng có dây sử dụng EAP và do đó sẽ dễ bị tấn công.
Một hệ thống được vá bằng mã Cupid có ba cơ hội để lấy dữ liệu từ bộ nhớ của nạn nhân. Nó có thể tấn công trước khi kết nối an toàn thậm chí được thực hiện, điều này hơi đáng báo động. Nó có thể tấn công sau khi bắt tay thiết lập bảo mật. Hoặc nó có thể tấn công sau khi dữ liệu ứng dụng đã được chia sẻ.
Đối với những gì một thiết bị được trang bị Cupid có thể nắm bắt được, Grangeia đã không xác định rộng rãi rằng, mặc dù "kiểm tra chữ thảo tìm thấy những thứ thú vị trên cả máy khách và máy chủ dễ bị tổn thương". Cho dù "nội dung thú vị" này có thể bao gồm khóa riêng hoặc thông tin người dùng chưa được biết. Một phần lý do để phát hành mã nguồn là để có thêm bộ não làm việc để khám phá các chi tiết như vậy.
Bạn có thể làm gì?
Cả Android 4.1.0 và 4.1.1 đều sử dụng phiên bản OpenSSL dễ bị tấn công. Theo báo cáo từ Bluebox, các phiên bản sau này dễ bị tổn thương về mặt kỹ thuật, nhưng hệ thống nhắn tin heartbeat bị vô hiệu hóa, khiến Heartbleed không có gì để khai thác.
Nếu thiết bị Android của bạn đang chạy 4.1.0 hoặc 4.1.1, hãy nâng cấp nếu có thể. Nếu không, Grangeia khuyên rằng "bạn nên tránh kết nối với các mạng không dây không xác định trừ khi bạn nâng cấp ROM của mình."
Các hệ thống Linux kết nối qua mạng không dây dễ bị tấn công trừ khi OpenSSL đã được vá. Những người sử dụng các hệ thống như vậy nên kiểm tra kỹ để đảm bảo miếng vá được đặt đúng chỗ.
Đối với các mạng công ty sử dụng EAP, Grangeia đề nghị họ nên kiểm tra hệ thống bởi SysValue hoặc một cơ quan khác.
Máy Mac, hộp Windows và thiết bị iOS không bị ảnh hưởng. Lần đầu tiên, Linux gặp rắc rối. Bạn có thể đọc toàn bộ bài viết của Grangeia tại đây hoặc xem bản trình chiếu tại đây. Nếu bạn là một nhà nghiên cứu, bạn có thể muốn lấy mã và thử nghiệm một chút.
