Phần mềm độc hại Superfish của Lenovo đã gây sóng gió trong tuần qua. Không chỉ nhà sản xuất laptop cài sẵn adware, mà còn làm cho những chiếc máy đó cực kỳ dễ bị tấn công. Bạn có thể gỡ bỏ Superfish ngay bây giờ, nhưng câu chuyện chưa kết thúc. Còn rất nhiều ứng dụng khác cần lo lắng.
Bắt Giữ Superfish
Lenovo đã phát hành công cụ gỡ bỏ Superfish, và Microsoft đã cập nhật phần mềm diệt virus để bắt và gỡ bỏ phiền toái này. Các nhà cung cấp phần mềm diệt virus khác chắc chắn sẽ nhanh chóng theo kịp. Nếu bạn sở hữu laptop Lenovo và chưa thực hiện bước gỡ bỏ Superfish, bạn nên làm ngay lập tức!
Nếu bạn không gỡ bỏ nó, bạn sẽ dễ bị tấn công man-in-the-middle (người trung gian) khiến trông như bạn đang giao tiếp với trang web an toàn khi thực tế bạn đang giao tiếp với kẻ tấn công. Superfish làm vậy để lấy thêm thông tin về người dùng và chèn quảng cáo vào trang, nhưng kẻ tấn công có thể tận dụng lỗ hổng này.
SSL Hijacking Hoạt Động Như Thế Nào?
Superfish sử dụng quy trình gọi là SSL hijacking (chiếm đoạt SSL) để lấy dữ liệu được mã hóa của người dùng. Quy trình thực sự khá đơn giản. Khi bạn kết nối với trang web an toàn, máy tính và máy chủ trải qua một số bước:
- Máy tính của bạn kết nối với trang HTTP (không an toàn).
- Máy chủ HTTP chuyển hướng bạn đến phiên bản HTTPS (an toàn) của cùng trang đó.
- Máy tính của bạn kết nối với trang HTTPS.
- Máy chủ HTTPS cung cấp chứng chỉ, cung cấp nhận dạng dương tính của trang.
- Kết nối hoàn tất.
Trong cuộc tấn công man-in-the-middle, bước 2 và 3 bị xâm phạm. Máy tính của kẻ tấn công đóng vai trò cầu nối giữa máy tính của bạn và máy chủ an toàn, chặn bất kỳ thông tin nào được truyền giữa hai bên, có thể bao gồm mật khẩu, chi tiết thẻ tín dụng, hoặc bất kỳ dữ liệu nhạy cảm nào. Giải thích đầy đủ hơn có thể tìm thấy trong bài viết tuyệt vời này về tấn công man-in-the-middle.
"Cá Mập" Đằng Sau "Cá": Komodia
Superfish là phần mềm của Lenovo, nhưng nó được xây dựng trên một khung (framework) đã tồn tại, được tạo bởi một công ty tên Komodia. Komodia tạo ra một số công cụ khác nhau, hầu hết được xây dựng quanh mục tiêu chặn traffic Internet được mã hóa SSL, giải mã nhanh chóng, và cho phép người dùng làm nhiều việc, như lọc dữ liệu hoặc giám sát duyệt web được mã hóa.
Komodia tuyên bố phần mềm của họ có thể dùng cho điều khiển cha mẹ, lọc thông tin nhạy cảm từ email được mã hóa, và chèn quảng cáo vào trình duyệt hạn chế loại tiện ích mở rộng được thêm. Rõ ràng, có cả khả năng sử dụng tốt và xấu cho phần mềm này, nhưng thực tế nó giải mã traffic SSL của bạn mà không cho bạn bất kỳ manh mối nào rằng bạn không còn duyệt web an toàn là rất đáng lo ngại.
Tóm lại, Superfish dùng chứng chỉ bảo mật một mật khẩu duy nhất, nghĩa là bất kỳ ai có mật khẩu của chứng chỉ đó sẽ có quyền truy cập vào bất kỳ traffic nào được giám sát bởi Superfish. Vậy điều gì xảy ra sau khi Superfish bị phát hiện? Ai đó đã bẻ khóa mật khẩu và công bố nó, để lại số lượng lớn chủ sở hữu laptop Lenovo dễ bị tổn thương.
Một nhà nghiên cứu an ninh báo cáo trong bài blog rằng mật khẩu là "komodia". Thật sự.
Nhưng Superfish không phải phần mềm duy nhất sử dụng khung Komodia. Một nhà nghiên cứu an ninh của Facebook gần đây phát hiện hơn một chục phần mềm khác sử dụng công nghệ Komodia, nghĩa là số lượng lớn kết nối SSL có thể bị xâm phạm. Ars Technica báo cáo hơn 100 khách hàng, bao gồm các công ty Fortune 500, cũng đang dùng Komodia. Và một số chứng chỉ khác cũng được mở khóa với mật khẩu "komodia".
Các Kẻ Chiếm Đoạt SSL Khác
Mặc dù Komodia là "cá lớn" trong thị trường SSL hijacking, vẫn có những kẻ khác. PrivDog, một dịch vụ của Comodo thay thế quảng cáo từ trang web bằng quảng cáo đáng tin cậy, bị phát hiện có lỗ hổng có thể cho phép tấn công man-in-the-middle cũng vậy. Nhà nghiên cứu nói rằng lỗ hổng PrivDog thậm chí tồi tệ hơn Superfish.
Điều này không hiếm lắm. Nhiều phần mềm miễn phí đi kèm với adware và những thứ khác bạn không thực sự muốn (How-To Geek đã đăng một thí nghiệm tuyệt vời về điều này), và nhiều trong số chúng dùng SSL hijacking để kiểm tra dữ liệu bạn gửi qua kết nối được mã hóa. May mắn thay, ít nhất một số trong chúng thông minh hơn một chút về thực hành chứng chỉ bảo mật, nghĩa là không phải SSL hijacker nào cũng tạo ra lỗ hổng an ninh lớn như Superfish hoặc PrivDog.
Đôi khi có lý do tốt để cấp quyền truy cập kết nối được mã hóa cho ứng dụng. Ví dụ, nếu phần mềm diệt virus của bạn không thể giải mã giao tiếp với trang HTTPS, nó sẽ không thể ngăn chặn malware lây nhiễm máy tính qua kết nối an toàn. Phần mềm kiểm soát cha mẹ cũng cần truy cập kết nối an toàn, nếu không trẻ em chỉ cần dùng HTTPS để bỏ qua lọc nội dung.
Nhưng khi adware giám sát kết nối được mã hóa của bạn, và mở chúng ra để tấn công, bạn nên lo ngại.
Điều Gì Cần Làm?
Thật không may, nhiều cuộc tấn công man-in-the-middle cần được ngăn chặn bằng biện pháp phía máy chủ (server-side), nghĩa là bạn có thể bị phơi bày trước các loại tấn công này mà không biết. Tuy nhiên, bạn có thể thực hiện một số biện pháp để giữ an toàn. Filippo Valsorda đã tạo một ứng dụng web tìm kiếm Superfish, Komodia, PrivDog, và phần mềm vô hiệu hóa SSL khác trên máy tính của bạn. Đó là nơi bắt đầu tốt.
Bạn cũng nên chú ý cảnh báo chứng chỉ, kiểm tra kỹ kết nối HTTPS, cẩn thận trên Wi-Fi công cộng, và chạy phần mềm diệt virus cập nhật. Kiểm tra tiện ích mở rộng trình duyệt nào được cài đặt và gỡ bỏ những thứ bạn không nhận ra. Cẩn thận khi tải phần mềm miễn phí, vì nhiều adware được gói kèm với nó.
Bên cạnh đó, điều tốt nhất chúng ta có thể làm là truyền đạt sự phẫn nộ của chúng ta đến các công ty sản xuất và sử dụng công nghệ này, như Komodia. Trang web của họ gần đây bị sập, cho rằng do tấn công từ chối dịch vụ phân tán (DDoS), gợi ý nhiều người nhanh chóng bày tỏ sự không hài lòng. Đã đến lúc làm rõ rằng SSL hijacking hoàn toàn không thể chấp nhận được.
Bạn nghĩ sao về adware SSL hijacking? Bạn có nghĩ chúng ta nên kêu gọi công ty dừng thực hành này? Nó thậm chí có nên hợp pháp không? Hãy chia sẻ suy nghĩ của bạn bên dưới!
Nguồn ảnh: Shark cartoon Via Shutterstock, HTTPS secure connection sign in via Shutterstock.