Trong kỷ nguyên số, người dùng trực tuyến ngày càng đòi hỏi cao về chất lượng website/ứng dụng. Họ ưu tiên trải nghiệm người dùng mượt mà, và HTML5 đóng vai trò then chốt đạt được điều này.
HTML5 cho phép kỹ sư nâng cao giao diện người dùng, không có mối đe dọa bảo mật liên quan đến module như Flash. Để an toàn mọi khía cạnh, lập trình viên tin tưởng HTML5 hơn bao giờ. Lựa chọn được chứng minh tối ưu sau khi Adobe Flash công bố lỗ hổng. Ban đầu HTML5 hứa hẹn bảo mật cao hơn và tính năng tốt hơn. Tỷ lệ site dùng HTML5 lên 70%. Nhưng có thực sự đáng giá? Làm sao chắc chắn đây không phải quyết định tồi?
Nhìn sâu hơn...
Không phủ nhận HTML5 là nâng cấp tuyệt vời, nhưng có vấn đề bảo mật riêng. Vài tháng trước, nhóm The Media Trust Digital and Security Operations phát hiện nhiều malware đặt dấu hỏi về bảo mật và độ tin cậy HTML5. Phát hiện malware dùng JavaScript che giấu mình bên trong HTML5. Nhờ đó, tránh phát hiện và dụ người dùng nhập dữ liệu. Thu thập dữ liệu chuyển cho hacker dùng cho mục đích xấu. Đặc biệt: malware chia nhỏ thành mảnh, khó nhận diện. Lan nhanh qua quảng cáo và truyền thông. Theo chuyên gia bảo mật, gây gần 20 cuộc tấn công ảnh hưởng nhà phân phối web media toàn cầu.
Ví dụ nổi bật cho thấy nhà thiết kế malware luôn tìm phương pháp mới, sáng tạo khai thác khe hở nhỏ nhất. Tuy nhiên, không phải lần đầu HTML5 bị tấn công. Năm 2015, khi Adobe Flash bắt đầu, chuyên gia bảo mật tìm thấy vài chiến thuật hacker khai thác code HTML5. Bao gồm dùng API với lệnh JavaScript "obfuscation-de-obfuscation" (làm rối - gỡ rối).
Năm sau, malware dùng đóng băng hệ thống và lấy cắp thông tin cá nhân bí mật. Các vụ năm nay khác: không cần tương tác người dùng. Thể hiện sự học hỏi, hiểu biết của hacker trong chuỗi tấn công hàng loạt. Liên tục, không phiên bản malware HTML5 nào được phát hiện/gỡ bởi phần mềm diệt virus. Vấn đề bảo mật HTML5 có thể thành nỗi đau đầu!
Vấn đề bảo mật HTML5 còn nhiều hơn...
Quy định bảo vệ dữ liệu chung (GDPR) tại UK và hàng loạt quy định bảo mật tại Mỹ đã cho tổ chức một chút sự an tâm nhờ triển khai GDPR. Các sự việc như HTML obfuscation (làm rối HTML) – mối đe dọa không được phát hiện ngay – giống như quả bom hẹn giờ chờ nổ.
Hacker uy tín tấn công bên thứ ba. Lý do: bảo mật yếu hơn, dễ xâm nhập. Khi vượt qua, họ xâm nhập hệ thống an toàn của khách hàng mà không bị phát hiện. Mục tiêu dễ khác: quảng cáo trực tuyến. Hacker lan malware cho lượng lớn người dùng mà không làm hỏng toàn bộ website.
Hành động có thể thực hiện để đối phó?
Cách tối ưu đảm bảo bảo mật: giám sát liên tục, hiệu quả bên thứ ba, điều tra và xử lý mọi mối đe dọa/bất thường. Thực hiện bằng cách kiểm tra liên tục bên thứ ba không được phép và code. Tổ chức cũng nên chia sẻ chiến lược rõ ràng và thực thi điều kiện bảo mật với nhà cung cấp.
Cuối cùng, tổ chức cần quy trình phản ứng nhanh khi vi phạm hoặc hành động nhà cung cấp trái phép xảy ra. Bên cạnh kế hoạch khắc phục hoàn chỉnh và thông báo khách hàng, báo cáo sự cố, quy trình phải bao gồm chấm dứt ngay hợp tác với nhà cung cấp tiếp tục vi phạm chính sách/sản phẩm sau khi cảnh báo.
Cơ quan quản lý sẽ xem tổ chức đã làm gì chống hacker, nhanh bao nhiêu thông báo công chúng, biện pháp phòng ngừa trước vi phạm. Dù không phải phương pháp tuyệt đối, chắc chắn đảm bảo vấn đề bảo mật HTML5 không làm sụp đổ doanh nghiệp! Quan điểm của bạn?