SourceDNA, nền tảng phân tích mã kiểm toán ứng dụng Android và iOS, gần đây phát hành báo cáo chỉ ra hơn 1.000 ứng dụng iOS có lỗ hổng bảo mật nghiêm trọng có thể xâm phạm chi tiết tài chính người dùng.
Lỗi ngăn ứng dụng xác thực chứng chỉ SSL đúng cách, mở ra cho các cuộc tấn công man-in-the-middle. Mặc dù lỗi này không ảnh hưởng bảo mật của iOS bản thân, nó có thể xâm phạm dữ liệu người dùng truyền qua ứng dụng bị ảnh hưởng...
Một Lỗi Đơn Giản Làm Hỏng SSL
Lỗi nằm trong gói AFNetworking, giải pháp mạng mã nguồn mở phổ biến dùng trong hàng nghìn ứng dụng App Store. Lỗi là lỗi logic đơn giản ngăn kiểm tra SSL thực sự diễn ra, trả về tất cả kiểm tra chứng chỉ là hợp lệ. Đây không phải thảm họa bảo mật khổng lồ như HeartBleed hay ShellShock — nhưng là vấn đề nếu bạn dùng ứng dụng chứa lỗi. May mắn thay, lỗi chỉ tồn tại khoảng sáu tuần, thêm trong 2.5.1, và sửa trong 2.5.2. Bạn có thể hợp lý giả định đó là kết thúc câu chuyện.
Thật không may, không.
Buồn thay, nhiều nhà phát triển không chủ động cập nhật ứng dụng với bản sửa lỗi, và có một đống ứng dụng vẫn dùng phiên bản AFNetworking bị lỗi, dù bản vá có sẵn. SourceDNA phân tích 20.000 ứng dụng chứa phiên bản gói AFNetworking, và xác định khoảng 1.000 vẫn dùng kiểm tra SSL bị lỗi.
SourceDNA có thể thực hiện kiểm tra này bằng công cụ phân tích cho phép phân tích file nhị phân của hàng nghìn ứng dụng. Công nghệ của họ cho phép xác định không chỉ thư viện nào ứng dụng được biên dịch, mà cả phiên bản của thư viện đó. Như kết quả, điều này cực kỳ hữu ích xác định ứng dụng nào có thể bị ảnh hưởng bởi lỗi và lỗ hổng đã biết. Theo bài báo phát hành,
"SourceDNA tạo dấu vân tay vi phân từ chúng để tìm mã dễ bị tổn thương. Hãy nghĩ đến đây như một tập hợp đặc điểm duy nhất chỉ hiện diện hoặc vắng mặt trong phiên bản được nhắm đến và không phải bất kỳ phiên bản nào trước hoặc sau nó. Với bộ chữ ký này, công cụ phân tích của chúng tôi sẽ cho biết chính xác phiên bản AFNetworking nào được dùng trong mỗi ứng dụng."
Nhiều ứng dụng bị ảnh hưởng lưu trữ và truyền dữ liệu thẻ tín dụng người dùng, bao gồm ứng dụng di động Alibaba.com, KYBankAgent 3.0, và Revo Restaurant Point of Sale. Vài triệu người dùng có ứng dụng dễ bị tổn thương cài trên thiết bị iOS — một lượng phơi bày đáng kinh ngạc từ lỗi ngắn ngủi như vậy.
"5% hoặc khoảng 1.000 ứng dụng có lỗi. Những ứng dụng này quan trọng không? Chúng tôi so sánh với dữ liệu xếp hạng và tìm thấy một số gã khổng lồ: Yahoo!, Microsoft, Uber, Citrix, v.v. Nó khiến chúng tôi ngạc nhiên một thư viện mã nguồn mở giới thiệu lỗ hổng bảo mật chỉ 6 tuần đã phơi bày hàng triệu người dùng ra tấn công."
Đánh Giá Tác Động Của Lỗi AFNetworking
Lỗ hổng này tồi tệ đến đâu? Lỗi cho phép kẻ tấn công lừa ứng dụng nghĩ rằng chúng đang giao tiếp qua kết nối an toàn với máy chủ tin cậy. Nếu bạn dùng ứng dụng dễ bị tổn thương, bất kỳ ai trên cùng mạng WiFi với bạn có thể thiết lập tấn công man-in-the-middle và chặn thông tin từ ứng dụng, bao gồm dữ liệu nhạy cảm như thông tin thẻ tín dụng. Thông tin này sau đó có thể dùng để thực hiện đánh cắp danh tính và các hình thức gian lận khác. Có khả năng loại tấn công này có thể tự động hóa để nhắm vào ứng dụng phổ biến.
Một số công ty đã vội tung ra cập nhật và bản sửa sau khi tin tức bung nổ, bao gồm Microsoft và Yahoo. Hầu hết ứng dụng, tuy nhiên, vẫn chưa được vá. Để xem ứng dụng bạn dùng có bị ảnh hưởng không, bạn có thể dùng công cụ tìm kiếm SourceDNA. Nếu phát hiện một ứng dụng bạn dùng vẫn dễ bị tổn thương, chiến lược an toàn nhất là xóa tạm thời, và nhắn tin cho nhà phát triển yêu cầu họ tung ra bản vá càng sớm càng tốt.
SourceDNA là công cụ thông minh, và điều này chứng minh công nghệ của họ thực sự hữu ích. Bảo mật máy tính khó khăn, và công cụ có thể tự động hóa quá trình tìm lỗi chưa vá — có hoặc không có sự hợp tác của nhà phát triển — là thắng lợi lớn cho bảo mật người dùng. Nếu không có loại kiểm tra này, lỗi phổ biến này sẽ tồn tại, có thể khá lâu. Loại phân tích này cho phép xúc phạm công khai quy mô lớn khiến nhà phát triển chịu trách nhiệm hơn, và dường như SourceDNA sẽ phát hiện thêm nhiều vấn đề chưa được phát hiện và chưa giải quyết.
Thiết bị iOS của bạn có bị ảnh hưởng bởi lỗi AFNetworking không? Bạn có hào hứng với công cụ phân tích mới này không? Cho chúng tôi biết trong bình luận!
Nguồn ảnh: "Chiến tranh mạng Hải quân Mỹ," "Mặt trước iPhone," "Camera iPhone", bởi Wikimedia