Lỗ hổng WiFi công cộng

Trong thời đại đi đến đâu người ta cũng muốn lướt mạng và kết nối với “vạn vật”, từ camera chống trộm đến TV, tủ lạnh đều có kết nối Internet, thực tế WiFi không còn an toàn đòi hỏi nhà sản xuất, hãng phần mềm phải tăng cường bảo mật. Người dùng cũng cần điều chỉnh thói quen cứ thấy WiFi là “OK” không lăn tăn chuyện bảo mật.

Đừng dùng WiFi công cộng!

Ngày 16-10, chuyên gia an ninh máy tính Mathy Vanhoef (Đại học KU Leuven, Bỉ) công bố trên blog đã tìm thấy “điểm yếu chết người” của WPA2, giao thức bảo mật được tất cả các mạng WiFi hiện tại sử dụng.

Lỗ hổng bảo mật này cho phép tin tặc lấy cắp dữ liệu trao đổi giữa thiết bị kết nối (ví dụ điện thoại) và router WiFi, “những thông tin mà chúng ta vẫn nghĩ là được mã hóa an toàn” - Vanhoef viết.

Kỹ thuật tấn công bằng cách khai thác lỗ hổng bảo mật này có tên là KRACK (Key Reinstallation Attack). Yêu cầu duy nhất là kẻ tấn công phải nằm trong vùng phủ sóng của điểm phát WiFi cùng với nạn nhân.

Với chỗ dữ liệu đánh cắp được, tin tặc có thể giải mã và có được nội dung trao đổi qua chat, mạng xã hội của nạn nhân hay các thông tin nhạy cảm như tài khoản ngân hàng, thẻ tín dụng. Ngoài đánh cắp thông tin, hacker cũng có thể sử dụng KRACK để thay đổi các gói dữ liệu trao đổi giữa thiết bị và điểm phát WiFi, cài mã độc vào đó để tiếp cận thiết bị của người dùng và các thiết bị khác có cùng kết nối WiFi đó.

Tiền thân của WPA2 là giao thức WEP, vốn bị phá vỡ hồi năm 2001, khiến thông tin trao đổi qua mạng WiFi không còn an toàn nữa. 16 năm sau, “giao thức được chọn làm tiêu chuẩn WPA2 mà ai cũng ngỡ an toàn đang cùng chung số phận với WEP” - chuyên gia bảo mật Mark James nói với tạp chí Newsweek.

Trong bài viết “Lỗ hổng bảo mật KRACK là lý do mới nhất để dẹp WiFi công cộng” ngày 17-10, WIRED khuyến cáo dù có thể bạn chưa, và không bao giờ trở thành nạn nhân của KRACK, thì cũng đã đến lúc ngưng dùng WiFi công cộng, ít nhất là trong một thời gian.

Bài viết dẫn lời Andy Patel, chuyên gia nghiên cứu Hãng bảo mật F-Secure, cho rằng KRACK là “một món đồ mới trong kho vũ khí của giới tin tặc” và dù phạm vi tấn công khá hẹp (phải ở cùng vùng phủ sóng với nạn nhân), một khi đã phát triển được các công cụ có thể dễ dàng khai thác lỗ hổng bảo mật này, kẻ xấu chắc chắn sẽ dùng chúng.

Dù lỗ hổng này chỉ mới ở dạng chứng minh là có thể xảy ra và chưa có vụ tấn công thực sự nào được ghi nhận, điều đó không có nghĩa là nó không bao giờ xảy ra. Mạng WiFi công cộng là mục tiêu hàng đầu của hacker, vì các điểm phát sóng ở đó kém bảo mật hơn rất nhiều so với mạng WiFi cá nhân dùng trong gia đình.

Patel mô tả WiFi tại các trung tâm mua sắm, sân bay, khách sạn, quán cà phê và nhà ga, bến xe, nơi hàng trăm con người dùng chung một điểm truy cập, là cực kỳ kém an toàn và là “mảnh đất săn màu mỡ cho bất kỳ ai muốn đánh cắp thông tin cá nhân”.

Ngay khi lỗ hổng KRACK được công bố, Newsweek khuyên việc đầu tiên người dùng phổ thông cần làm là tránh truy cập WiFi công cộng cho đến khi các thiết bị được vá lỗi, tránh truy cập trang web không có giao thức bảo mật https. Lý tưởng nhất là nên cắm dây mạng trực tiếp vào router WiFi thay vì dùng mạng không dây. Nếu buộc phải dùng WiFi công cộng thì nên cài thêm máy chủ ảo (VPN) để an toàn hơn.

Các nhà sản xuất đương nhiên phải cập nhật, cung cấp bản vá lỗi cho thiết bị hay hệ điều hành của mình. Về phía người dùng, đây cũng là dịp để nâng cao nhận thức về bảo mật trong không gian số. Nhiều người vẫn có thói quen dùng thiết bị di động mà không cài đặt các bản cập nhật hay vá lỗi mới nhất, và đây là thói quen không tốt cần phải bỏ ngay.

Thách thức của IoT

Ẩn họa của KRACK với người dùng thiết bị IoT trong tương lai cũng không thua kém so với WiFi công cộng. Trong một bài viết khác, WIRED cho rằng lỗ hổng bảo mật KRACK đã “phơi bày các vấn đề tồn tại của thiết bị IoT và cách mà ngành công nghiệp này giải quyết chúng chậm chạp ra sao”.

Bob Rudis, nhà khoa học dữ liệu thuộc Công ty bảo mật Rapid7, đưa ra nhận định sốc rằng nhiều người dùng thiết bị IoT nhưng không hề biết rằng chúng có kết nối Internet. Nhưng IoT không chứa thông tin nhạy cảm như máy tính hay smartphone, việc gì phải sợ bị hack?

Rudis cho rằng nhận định như thế là ngây thơ vì việc thiết bị IoT bị tin tặc kiểm soát sẽ “để lại hậu quả theo cách khác”.

“Vấn đề không phải là bảo mật thông tin mà là an toàn: nếu ai đó có thể ứng dụng thành công KRACK với các thiết bị IoT của quý vị, họ sẽ có thể mở cửa gara hay mở khóa cổng chính nhà bạn” - Rudis cảnh báo.

Chuyên gia HD Moore của hãng nghiên cứu bảo mật Atredis Partners cho rằng danh sách thiết bị có thể là nạn nhân của KRACK “có thể sẽ tiếp tục kéo dài trong 20 năm tới”.

Điểm khác biệt mấu chốt giữa thiết bị có kết nối Internet với thiết bị di động (smartphone, máy tính bảng, laptop) chính là khi các hệ điều hành có thể nhanh chóng cung cấp bản vá hay cập nhật để đối phó với các lỗ hổng bảo mật mới, mọi thứ không dễ dàng và nhanh chóng đến thế với router WiFi, cửa cuốn hay tủ lạnh có kết nối Internet.

Theo Moore, ngay cả trong điều kiện lý tưởng nhất, các thiết bị IoT cũng ít khi nhận được cập nhật phần mền cần thiết để khắc phục lỗi bảo mật. Đôi khi giải pháp “tốt” nhất là mua thiết bị mới đã được vá lỗi thay vì chỉ cần cập nhật hệ điều hành hay phần mềm.

Ngay cả khi có sẵn bản sửa lỗi, nhà sản xuất IoT sẽ gặp thách thức kế tiếp: làm sao thông báo để khách hàng biết mà cập nhật thiết bị ngay? Chỉ có vài cách bao gồm gửi email (chỉ đến được các khách hàng có đăng ký), thông báo trên web (chắc gì ai vào đọc), hoặc thông qua các diễn đàn công nghệ, mạng xã hội và báo chí.

Dù là cách nào đi nữa cũng không chắc chắn thông báo sẽ đến được 100% khách hàng, khác với hệ điều hành smartphone hay máy tính có thể báo ngay đến tất cả người dùng. Chưa kể để cập nhật một số thiết bị IoT, người dùng phải kết nối với máy tính và vào trang web của hãng, điều không phải ai cũng sẵn lòng thực hiện.

Vẫn có những thiết bị IoT chạy thông qua app và nhà sản xuất hoàn toàn có thể thông báo tình trạng cũng như cung cấp bản vá cho người dùng dễ dàng như với smartphone. Tuy nhiên, trớ trêu là hình thức cập nhật tự động cũng có mặt trái. Nhà sản xuất có thể cung cấp nhầm bản vá, hay tai hại hơn là làm hỏng thiết bị của khách hàng.

Như hồi tháng 8, Công ty ổ khóa thông minh Lockstate đã vô tình biến thiết bị của khách hàng thành “cục gạch” vì cung cấp bản vá bị lỗi. Tin tặc cũng có thể lợi dụng cập nhật tự động để phát tán mã độc quy mô lớn, như trường hợp mã độc tống tiền NotPetya được phát tán dưới hình thức cập nhật phần mềm kế toán ở Ukraine hồi tháng 6 qua. “Nhưng đo đi tính lại thì cập nhật tự động vẫn hơn là không có gì” - Moore kết luận.

Lỗ hổng KRACK có thể gây hoang mang với người dùng WiFi, nhưng khi bình tâm xét lại, ý nghĩa của nó chính là gióng hồi chuông báo động, buộc các nhà sản xuất IoT nhìn nhận lại vấn đề bảo mật cho thiết bị của mình. Dù chắc chắn không có thần dược nào cho các lỗ hổng bảo mật, các công ty cần đảm bảo nếu có sự cố xảy ra, thiết bị của họ có thể được cập nhật nhanh chóng.■