Đầu tháng này, chúng ta thấy chuyên gia an ninh mạng khắp nơi nổi giận về các rò rỉ Vault 7, nơi mọi thứ từ công cụ hack của CIA đến việc khám phá "ma thuật meme" bị tung lên WikiLeaks cho thế giới thấy.
Vài tuần vừa trôi qua, và tháng 3 tiếp tục là tháng sôi động khi các lỗi trong tiện ích mở rộng trình duyệt của LastPass cho phép hacker đánh cắp mật khẩu từ người dùng không ngờ.
Các lỗi hở
Một lỗi trong tiện ích mở rộng Google Chrome của LastPass được phát hiện bởi Tavis Ormandy, thành viên của Project Zero của Google, vào thứ Hai. Lỗi đầu tiên – cho phép hacker ghi mã code trong khi chiếm đoạt giao tiếp của máy tính bạn với máy chủ bạn đang đăng nhập và truy cập mật khẩu – có thể tìm thấy trong báo cáo này, cũng chứa mã proof-of-concept của ông nếu bạn quan tâm.
Lỗi khác được Ormandy tìm thấy nằm trong tiện ích mở rộng Firefox của LastPass phiên bản 3.3.2 (phiên bản cũ hơn, nhưng vẫn rất phổ biến). Nó cho phép hacker thực thi script cross-site (XSS) phổ quát để lộ mật khẩu của người dùng qua cảnh báo (alert).
Vào thứ Ba, LastPass đã làm cho tên miền dịch vụ nội bộ chịu trách nhiệm chuyển thông tin xác thực xuất hiện như không tồn tại (ví dụ: NXDOMAIN) trong khi họ điều tra vấn đề, sau đó đăng thông báo vào thứ Tư cho biết họ đã sửa các vấn đề trong tiện ích mở rộng Chrome.
Đối với tiện ích mở rộng Firefox, họ để nguyên vì nhánh phiên bản 3.x sẽ được nghỉ hưu vào tháng 4. Để rõ ràng, đây không phải là lời buộc tội. Họ đã nêu rõ trong thông báo: "Lỗi này đã được báo cáo cho đội ngũ của chúng tôi năm ngoái và đã được sửa vào lúc đó. Tuy nhiên, bản sửa lỗi không được đẩy xuống nhánh Firefox 3.3.x kế thừa; nhánh này đã được lên kế hoạch nghỉ hưu chính thức vào tháng 4."
Bạn nên làm gì
Nếu bạn sử dụng dịch vụ của LastPass, tôi mạnh mẽ khuyên bạn hãy đảm bảo tiện ích mở rộng trình duyệt của bạn được cập nhật mới nhất có thể. Bên cạnh đó, không có mối đe dọa tức thời nào để lo lắng. Nói chung, bạn nên làm điều này với tất cả tiện ích mở rộng của mình. Mặc định, cả Chrome và Firefox sẽ tự động thực hiện các cập nhật này cho bạn, vì vậy nếu bạn đã chọn từ chối, có lẽ bây giờ là lúc tốt để suy nghĩ lại.
Tuy nhiên, còn một mối quan ngại lớn hơn…
Nói điều này chắc chắn không mang lại điểm nào trong môi trường công nghệ hiện nay, nhưng phải nói: sự tiện lợi và an ninh thường là một sự đối lập. Một trong những người bình luận nhiệt tình nhất của chúng tôi đã phát biểu tương tự khi chúng tôi báo cáo về rò rỉ Vault 7 của CIA.
Khi chúng ta trở nên "gần gũi" hơn (ví dụ: chia sẻ mật khẩu, thông tin cá nhân, v.v.) với công nghệ chúng ta sử dụng, chúng ta thực chất đang cho hacker thêm một cách để xâm phạm chúng ta. Vi phạm dữ liệu xảy ra vì chúng ta tin tưởng công nghệ một cách cởi mở trước khi tự hỏi liệu chúng có khả năng bảo vệ chúng ta khỏi tổn thương hay không.
LastPass là một dịch vụ làm mọi thứ có thể để đảm bảo người dùng có thể tin tưởng nó với mật khẩu – chìa khóa của sự tồn tại trực tuyến của họ. Nhưng với tất cả sự tôn trọng dành cho họ, chúng ta phải tự hỏi: nếu một ngày nào đó chúng ta không đủ may mắn để lỗi được vá trước khi bị khai thác thì sao? Nếu một vấn đề không lường trước trong mã ứng dụng cho phép hacker lẻn vào và thấy tất cả thông tin của bạn trơ trọi thì sao?
Các vụ xâm nhập LastPass đã xảy ra trước đây, gần nhất là năm 2015. Sau đó, vào tháng 7/2016, một hacker thiện ý hơn quyết định công khai một lỗi có thể bị khai thác.
<ý tưởng ở đây là bạn không bao giờ nên tự mãn. Chắc chắn, nhiều lỗi khai thác này được thừa nhận là bị thổi phồng hơn mức đáng. Nhưng bạn nên nhận thức rằng bạn đang bước vào vùng lãnh thổ nguy hiểm mỗi khi bạn trao thứ gì đó cá nhân cho một dịch vụ. Đôi khi lợi ích lớn hơn rủi ro, nhưng chỉ bạn mới có thể đưa ra quyết định đó khi bạn được thông tin đầy đủ về những gì bạn đăng ký.Bạn có dùng trình quản lý mật khẩu? Bạn cảm thấy thế nào về khả năng dịch vụ bạn dùng bị vi phạm dữ liệu? Hãy cho chúng tôi biết trong bình luận!