Change background image
LOVE quotion

Bắt đầu từ 4.53' thứ Hai ngày 17/10/2011


You are not connected. Please login or register

Xem chủ đề cũ hơn Xem chủ đề mới hơn Go down  Thông điệp [Trang 1 trong tổng số 1 trang]

North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

"Trái tim rỉ máu" đe dọa mạng toàn cầu

Lỗi bảo mật HeartBleed và ShellShock... Screen11

TTO - Các chuyên gia an ninh mạng khuyến cáo người dùng Internet tránh mọi giao dịch trực tuyến và giảm tối đa các hoạt động trên mạng cho đến khi các công ty hạ được lỗi bảo mật mang tên "Heartbleed".

Heartbleed (tạm dịch: Trái tim rỉ máu, tên mã: CVE-2014-0160), tên gọi mang hình tượng "rò rỉ dữ liệu quan trọng" được giới an ninh mạng đặt tên một lỗi trong OpenSSL (*) ở cấp độ "cực kỳ nghiêm trọng". Và bất ngờ hơn, lỗi nguy hiểm trong OpenSSL vừa được phát hiện đã hiện diện hơn hai năm qua, cho phép bất kỳ ai trên Internet có thể "chạm tay" đến tên, mật khẩu, và nội dung bạn gửi đến một website tưởng chừng bảo mật.

Lỗi tiếp tay tin tặc lần mò vào bộ nhớ máy chủ, nơi lưu trữ những dữ liệu nhạy cảm của người dùng như thông tin cá nhân, tên tài khoản, mật khẩu và có thể bao gồm cả thẻ tín dụng.

Lỗi bảo mật HeartBleed và ShellShock... Heart_10

Hơn 66% website trên toàn cầu sử dụng OpenSSL. Rất nhiều website vẫn còn sử dụng phiên bản cũ OpenSSL, mang nguy cơ bị tấn công khai thác lỗi Heartbleed.
Khai thác lỗi, kẻ tấn công có thể "nghe trộm" thông tin liên lạc giữa trình duyệt Web và máy chủ Web, đánh cắp trực tiếp dữ liệu từ các dịch vụ và người dùng, đồng thời có thể mạo danh các dịch vụ và người dùng.

Những nghiên cứu ban đầu cho thấy Heartbleed chỉ ảnh hưởng đến các phiên bản OpenSSL từ 1.0.1 đến 1.0.1f và bản 1.0.2 beta. Rất nhiều website vẫn còn đang vận hành với phiên bản OpenSSL cũ sẽ bị đe dọa bởi lỗi. Hàng loạt những website lớn đang tích cực cập nhật phiên bản OpenSSL 1.0.1g vừa được phát hành.

Chưa thể kiểm tra website nào đã bị làm "tổn thương" bởi Heartbleed hay chưa, chỉ có thể kiểm tra website có nguy cơ bị tấn công qua lỗi.

Danh sách các website "mắc nạn" có Yahoo.com, mạng chia sẻ ảnh Flickr và 500px, các cổng thông tin entrepreneur.com, slate.com, dịch vụ chuyển file wetransfer.com. Tuy nhiên, Google, YouTube, Amazon, Microsoft, Twitter và Facebook không bị đe dọa bởi Heartbleed (xem đầy đủ danh sách tại đây).

Một số thử nghiệm ban đầu công bố "đã lấy được tên tài khoản và mật khẩu Yahoo! thông qua lỗi Heartbleed". Ronald Prins từ hãng bảo mật Fox-IT công bố thử nghiệm qua Twitter. Một lập trình viên tênScott Galloway còn lấy được đến 200 tài khoản Yahoo! trong 5 phút nhờ một đoạn mã khai thác lỗi Heartbleed tự động.

Phản hồi chính thức của Yahoo! trên CNET cho biết, công ty đã khắc phục lỗi trên các website chính của mình gồm Trang chủ Yahoo!, Yahoo! Search, Yahoo! Mail, Yahoo Finance, Yahoo Sports, Yahoo Food, Yahoo Tech, Flickr, và Tumblr. Công ty cho biết sớm khắc phục toàn bộ các website của mình.

Người dùng nên tạm ngưng giao dịch trực tuyến trong thời gian này.

Theo hãng nghiên cứu mạng Netcraft, đã có hơn 500.000 máy chủ trên thế giới bị ảnh hưởng bởi lỗi Heartbleed. Điều này đồng nghĩa hơn 500.000 website, bao gồm cả những website lớn đang "phơi mình" trước lỗi. Theo đó, đây là lý do vì sao các chuyên gia an ninh mạng đồng loạt khuyến cáo mọi người dùng Internet nên hạn chế tối đa giao dịch trực tuyến như mua sắm trực tuyến, đăng nhập tài khoản ngân hàng... hay thậm chí là đăng nhập vào email trong thời gian này.

Cuộc chạy đua vá lỗi trước khi thảm họa xảy ra với website của mình đang diễn ra từng giờ. Và người dùng nên cẩn trọng khi dùng Internet trong thời gian này.

Một lập trình viên, kiêm cố vấn bảo mật Filippo Valsorda đã phát hành một công cụ cho phép mọi người tự kiểm tra website muốn truy cập / sử dụng có bị đe dọa bởi lỗi Heartbleed hay không tại địa chỉ http://filippo.io/Heartbleed/. Các website cần nâng cấp OpenSSL 1.0.1g để tránh lỗi "Heartbleed". Riêng phiên bản OpenSSL 1.0.2 beta2 sẽ sớm được phát hành.

(*) OpenSSL là thư viện mã hóa nguồn mở (open-source), bảo vệ rất nhiều website trên mạng Internet, mã hóa dữ liệu nhờ bộ đôi SSL (Secure Sockets Layer) và TLS (Transport Layer Security), đồng thời cho phép tạo ra các khóa mã hóa RSA, DSA... Đặc điểm nhận dạng cơ bản SSL/TLS thể hiện qua biểu tượng "ổ khóa" màu vàng trên khung địa chỉ web trong trình duyệt, cho biết website đang bảo vệ dữ liệu truyền tải giữa bạn và nó đã được bảo vệ (địa chỉ bắt đầu bằng https:// thay vì http://).

Ngoài ra, bên trong hậu trường, TLS/SSL đóng vai trò như "người môi giới" trao đổi các khóa giải mã / mã hóa dữ liệu để trình duyệt web (từ phía người dùng) và máy chủ web "hiểu nhau", đồng thời đóng vai trò "người giám hộ", bảo vệ dữ liệu cá nhân giữa người dùng với website. OpenSSL giúp mọi người có thể nhờ cậy khả năng bảo vệ mã hóa từ SSL/TLS nhanh và dễ dàng.

THANH TRỰC

Làm gì để bảo vệ mình trước lỗi bảo mật Heartbleed đang gây kinh hoàng thế giới internet:
      
North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

Lỗ hổng bảo mật "Trái tim rỉ máu" ảnh hưởng cả bộ phát WiFi

(GenK.vn) - Các router của Cisco Systems và Juniper Networks đang là "nạn nhân" của lỗ bảo mật "Trái tim rỉ máu" Heartbleed.

Lỗi bảo mật HeartBleed và ShellShock... 14041710

Mấy ngày gần đây, lỗ hổng bảo mật Heartbleed - 1 lỗi trong công nghệ OpenSSL cho phép hacker xâm nhập được vào các máy chủ web để ăn cắp dữ liệu - đang gây ra nỗi kinh hoàng cho các công ty web trên toàn thế giới. Trầm trọng hơn, Heartbleed không chỉ tấn công thế giới web, mà theo các phát hiện gần đây, nó còn ảnh hưởng tới các router (bộ phát Wifi) cũng như các sản phẩm mạng. Mới đây, cả Cisco Systems và Juniper Networks đều lên tiếng công bố rằng họ đã phát hiện ra các lỗ hổng Heartbleed đang tồn tại trên các sản phẩm mạng của mình.

Lỗi bảo mật HeartBleed và ShellShock... Cisco-10
Đây cũng là điều dễ hiểu, bởi Heartbleed là lỗi liên quan tới SSL, và bất kì sản phẩm nào sử dụng các phiên bản SSL cũ, đều có nguy cơ gặp phải lỗi này (Những nghiên cứu ban đầu cho thấy Heartbleed chỉ ảnh hưởng đến các phiên bản OpenSSL từ 1.0.1 đến 1.0.1f và bản 1.0.2 beta). Những thiết bị sử dụng các phiên bản OpenSSL ngoài các phiên bản trên, sẽ không bị ảnh hưởng, như các router của Linksys.

Nếu đang sử dụng router của 2 hãng nói trên, bạn có thể kiểm tra xem model của mình có bị ảnh hưởng không tại đây, và đây (với router của Juniper Networks) và tại đây (với router của Cisco Systems). Nếu router của bạn bị "dính chưởng", bạn cần theo dõi tin tức cũng như các thông báo của nhà sản xuất trong thời gian tới để kịp thời cập nhật bản phần mềm vá lỗi sớm nhất có thể.

      
North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

Hàng triệu thiết bị chạy Android 4.1.1 có thể dính lỗi "Trái tim rỉ máu"

(GenK.vn) - Hệ điều hành Android Jelly Bean 4.1.1 có thể dính lỗi Heartbleed, bản cập nhật sẽ được phát hành trong thời gian tới.

Lỗi bảo mật HeartBleed và ShellShock... Androi10

Lỗi Heartbleed trở thành tâm điểm chủ ý thời gian qua khi nó đe dọa lớn tới người dùng, đặc biệt các thanh toán thương mại điện tử. Rất nhiều website lớn, dịch vụ ngân hàng dính lỗi khiến nguy cơ lộ thông tin khách hàng lên cao hơn bao giờ hết. Tuy nhiên không chỉ ảnh hưởng tới các dịch vụ nền web, lỗi trên có thể xảy ra với cả các thiết bị sử dụng hệ điều hành Android của Google.

Theo ghi nhận của Google về lỗi Heartbleed hôm thứ tư vừa qua, các thiết bị sử dụng phiên bản Android Jelly Bean 4.1.1 có thể bị lỗi Heartbleed. Google cũng cho biết thêm bản vá lỗi này sẽ sớm được phát hành trong thời gian ngắn tới.

Với đặc thù là hệ điều hành di động mở, rất khó xác định có bao nhiêu thiết bị đang sử dụng Android 4.1.1, chúng ta chỉ có con số thống kê chung cho số lượng máy sử dụng Android Jelly Bean là 34,4%. Phiên bản mới nhất của Jelly Bean là 4.1.2 được phát hành vào tháng 10/2012.

Một phát ngôn viên của Googel xác nhận với Bloomberg rằng có "hàng triệu" các thiết bị chạy Android 4.1.1 trên thị trường.

Vì mỗi phiên bản cập nhật Android được phân phối bởi các nhà sản xuất điện thoại nên rất khó xác định các thiết bị nào sẽ đón nhận bản vá lỗi và số lượng chính xác các thiết bị trong tình trạng nguy hiểm. Chúng ta chỉ có thể chắc chắn rằng các thiết bị "đóng mác" Google như Nexus và các máy Google Edition sẽ nhận được bản vá lỗi này.

Trước đó, đối thủ lớn nhất của Android là iOS đã được Apple xác nhận rằng hệ điều hành hoàn toàn ổn định và không gặp sự cố với lỗi Heartbleed nói trên.

Tham khảo mashable
      
North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

Chưa hết "trái tim rỉ máu", OpenSSL dính thêm lỗi nghiêm trọng "nhịp tim"

Cơ quan, tổ chức sử dụng thư viện OpenSSL có thể là nạn nhân của lỗi an toàn thông tin có tên “TLS heartbeat read overrun” cho phép tin tặc đánh cắp từ xa các dữ liệu nhạy cảm.

Lỗi bảo mật HeartBleed và ShellShock... Heartb12

Cộng đồng xã hội vẫn chưa hết dư chấn về sự kiện lỗ hổng "trái tim rỉ máu" (Heartbleed) trong OpenSSL làm giới ngân hàng lao đao về khả năng mất an toàn giao dịch trực tuyến thì OpenSSL lại tiếp tục "dính" thêm một lỗi an toàn thông tin rất nghiêm trọng khác có tên “TLS heartbeat read overrun”, cũng liên quan tới "trái tim" (heartbeat có thể tạm dịch là nhịp đập trái tim).

Theo Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam (VNCERT), ngày 7/4/2014, tổ chức cung cấp bộ thư viện OpenSSL đã xác nhận chính thức về lỗi an toàn thông tin có tên “TLS heartbeat read overrun” cho phép tin tặc từ xa có thể đánh cắp các dữ liệu nhạy cảm (như khóa bí mật - private keys) trong bộ nhớ khi tấn công các dịch vụ có sử dụng giao thức bảo mật tầng vận chuyển “TLS/DTLS heartbeat extension” do bộ thư viện OpenSSL cung cấp.

VNCERT đánh giá đây là một trong các lỗi an toàn thông tin rất nghiêm trọng, phạm vi ảnh hưởng rộng, có khả năng gây mất thông tin trong nhiều ứng dụng tài chính, ngân hàng, thư điện tử... có giao thức truyền tin siêu văn bản an toàn HTTPS sử dụng giao thức TLS của thư viện OpenSSL có lỗi để mã hóa dữ liệu trên đường truyền.

Tuy mới được công bố nhưng điểm yếu trên có khả năng ảnh hưởng rất lớn đến an toàn, bảo mật của các hoạt động giao dịch điện tử trên mạng, vì giao thức TLS được dùng phổ biến trong nhiều ứng dụng khác nhau, kể cả trong giao thức HTTPS. Các công cụ khai thác điểm yếu này đã xuất hiện trên mạng Internet và có khả năng bị tin tặc sử dụng dò quét tự động nên khả năng gây hại là rất lớn.

Danh sách các phiên bản thư viện OpenSSL có điểm yếu an toàn thông tin “TLS/DTLS heartbeat read overrun” cũng đã được công bố công khai gồm: các phiên bản 1.0.1x bao gồm: 1.0.1, 1.0.1-beta1, 1.0.1-beta2, 1.0.1-beta3, 1.0.1a, 1.0.1b, 1.0.1c, 1.0.1d, 1.0.1e, 1.0.1f. Phiên bản mới nhất hiện tại 1.0.1g là bản nâng cấp và đã được vá lỗi cho dòng 1.0.1.x.

Lỗi bảo mật HeartBleed và ShellShock... Heartb11

Mới đây, hãng Codenomicon cũng đã công bố một số phiên bản hệ điều hành Linux có sử dụng các phiên bản OpenSSL bị lỗi cần cập nhật nâng cấp để đảm bảo an toàn khi sử dụng, gồm: Debian Wheezy (bản stable), OpenSSL 1.0.1e-2+deb7u4; Ubuntu 12.04.4 LTS, OpenSSL 1.0.1-4ubuntu5.11; CentOS 6.5, OpenSSL 1.0.1e-15; Fedora 18, OpenSSL 1.0.1e-4; OpenBSD 5.3 (OpenSSL 1.0.1c ngày 10/5/2012) và 5.4 (OpenSSL 1.0.1c ngày10/5/2012); FreeBSD 10.0, OpenSSL 1.0.1e ngày 11/2/2013; NetBSD 5.0.2, OpenSSL 1.0.1e; OpenSUSE 12.2, OpenSSL 1.0.1c.

Theo khuyến cáo của VNCERT, để biết được hệ thống có bị lỗi “TLS heartbeat read overrun” hay không, các cơ quan, tổ chức cần thực hiện lệnh “openssl version”, sau đó đối chiếu phiên bản OpenSSL do hệ thống trả về với danh sách phiên bản OpenSSL có lỗi.

Cách tốt nhất để khắc phục lỗi “TLS heartbeat read overrun” là nâng cấp thư viện OpenSSL lên phiên bản mới nhất (hiện tại là phiên bản 1.0.1g). Bên cạnh đó, để ngăn chặn tin tặc lợi dụng khai thác thông tin, có thể áp dụng biện pháp cập nhật cơ sở dữ liệu của các thiết bị IPS hoặc IDS để phát hiện và ngắt truy cập tấn công khai thác điểm yếu ATTT “TLS heartbeat read overrun”.

Theo ICTnews
      
North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

Shellshock - lỗi bảo mật nguy hiểm hơn cả Heartbleed

Lỗi bảo mật HeartBleed và ShellShock... 220px-10
Ước tính Shellshock có thể gây ảnh hưởng nghiêm trọng đến hàng triệu người dùng máy tính Mac hay Linux.

Shellshock là tên gọi một lỗ hổng bảo mật mới phát hiện gần đây có khả năng gây ảnh hưởng trực tiếp đến ứng dụng Bash (Bourne again shell) vốn được dùng để điều khiển giao diện dòng lệnh trong nền tảng Linux cũng như HĐH Mac OS X.

Shellshock cho phép kẻ xấu có thể tấn công, kiểm soát từ xa các hệ thống Linux hay Mac không được bảo vệ. Không như lỗi bảo mật Heartbleed vốn chỉ ảnh hưởng trực tiếp đến các hệ thống máy chủ - Shellshock nguy hiểm hơn rất nhiều vì có thể gây ảnh hưởng một lượng lớn máy tính cài đặt MAC OS X và nhiều thiết bị IoT khác vốn được nhúng các đoạn mã dựa trên nền Linux.

Theo dự đoán, lỗ hổng bảo mật mới phát hiện này có thể gây ảnh hưởng đến 500 triệu người dùng, cao hơn nhiều so với con số khoảng 500.000 người dùng bị ảnh hưởng bởi Heartbleed. Giới chuyên gia về an ninh và bảo mật đánh giá lỗ hổng bảo mật Shellshock thực sự rất tệ. Giáo sư an ninh mạng tại Đại học Birmingham City University khẳng định rằng nếu bạn đang sử dụng một máy tính MAC, rất nhiều khả năng bạn sẽ bị tấn công vì HĐH MAC OS X của Apple cũng dựa trên nền tảng Unix. Bên cạnh đó, người dùng Windows cũng không nên vội tự mãn vì chiếc PC của bạn có thể an toàn trước lỗ hổng bảo mật này - song, liệu có đảm bảo chắc một điều chiếc router/modem mà bạn đang dùng không sử dụng phần mềm được phát triển từ nền tảng Unix. Không chỉ vậy, Shellshock cũng có thể gây ảnh hưởng nghiêm trọng đến các web server sử dụng hệ thống Apache, vốn cũng là một nền tảng được phát triển từ Unix.

Lời khuyên trước mắt cho người dùng máy tính gia đình chính là hãy kiểm tra các bản cập nhật phần mềm mới nhất - đặc biệt là cho router băng thông rộng - và cài đặt những bản cập nhật mới này ngay khi có thể.

Mai Hoa - Nguồn: Betanews, TrustedReview
      
North
North Tích cực

Cấp bậc: Tích cực

Giới tính : Nam

Bài viết : 493

Danh vọng : 974

Uy tín : 3

Những điều cơ bản về lỗ hổng bảo mật Shellshock

Lỗi bảo mật HeartBleed và ShellShock... Shellshock-bug-100457107-large
Shellshock không ảnh hưởng đến người dùng Mac OS X, dễ phát hiện và khắc phục bằng việc cập nhật bản vá phần mềm hay firmware mới nhất.

Nếu search trên Google với từ khóa Shellshock, tính đến nay, lỗ hổng bảo mật này đã có hơn 9 triệu lượt tìm kiếm hơn chỉ sau vài ngày được công bố. Shellshock thực chất là tên gọi một lỗ hổng bảo mật mới được phát hiện gần đây, gây ảnh hưởng trực tiếp đến ứng dụng Bash (Bourne again shell) vốn được dùng để điều khiển giao diện dòng lệnh trong nền tảng Linux cũng như HĐH Mac OS X.

Theo một số chuyên gia về bảo mật, vấn đề của Shellshock đang được cường điệu hóa một cách thái quá. Các hệ thống sử dụng Bash không phải lúc nào cũng có thể bị tấn công, khai thác từ xa. Lỗ hổng bảo mật này hiện chỉ có thể ảnh hưởng đến một lượng không thể xác định các hệ thống máy tính và một số sản phẩm, nhưng cũng được cho là không hề ảnh hưởng đến cơ cấu Web hiện đại ngày nay.

Các nhà an ninh mạng xác nhận Shellshock hầu hết chỉ ảnh hưởng đến các chương trình CGI Script chạy trên Web Server được gọi từ một yêu cầu HTTP request, các ứng dụng PHP cũng như các SSH Server. Tuy nhiên, các SSH Server khó bị tấn công hơn vì khả năng thương tổn chỉ xảy ra trong phiên xác thực người dùng.

Việc so sánh mức độ nguy hiểm giữa Shellshock và Heartbleed như đã từng đề cập trước đây thực chất có thể gây hiểu lầm. Vì ngoài mức độ nghiêm trọng của vấn đề, còn có cả yếu tố khác dẫn đến sử so sánh này chính là số lượng máy tính Linux đang chạy các phiên bản ứng dụng Bash khác nhau. Có thể nói, sự so sánh giữa Shellshock và Heartbleed chỉ nhằm mục đích nói lên sự khó khăn trong việc truy tìm và vá lỗi tất cả các hệ thống có thể bị ảnh hưởng bởi lỗi bảo mật Shellshock.

Nhiều chuyên gia không tin rằng Shellshock tệ hơn vì phổ biến hơn. Các cuộc tấn công nhằm vào lỗ hổng Shellshock được phát hiện có số lượng nhỏ hơn kết quả điều tra của vụ Heartbleed. Khả năng ảnh hưởng của Shellshock tới các thiết bị được nhúng nền tảng Linux cũng đang dấy lên sự hoài nghi từ phía các chuyên gia bảo mật - vì các thiết bị phần cứng sử dụng phần mềm Busybox (một bộ sưu tập đầy đủ các tính năng của Unix được thu nhỏ) hầu như đều miễn nhiễm trước Shellshock. Được biết, sở dĩ Busybox nằm ngoài phạm vi tấn công là vì ứng dụng này sử dụng một phiên bản Bash khác hoàn toàn.

Việc phát hiện liệu hệ thống có nguy cơ bị ảnh hưởng từ lỗ hổng bảo mật Shellshock hay không thực sự rất đơn giản. Các quản trị viên IT hoặc thậm chí cả người dùng bình thường cũng có thể làm điều này chỉ với một dòng lệnh khá đơn giản.
Bên cạnh đó, khắc phục sự cố Shellshock cũng không hề phức tạp. Người dùng chỉ cần cập nhật ứng dụng Bash lên phiên bản mới nhất. Red Hat cũng đã phát hành một vài bản vá lỗi Shellshock gần đây. Tuy nhiên, một điều không may là các bản vá hiện tại vẫn chưa hoàn toàn khắc phục được tất cả mọi vấn đề liên quan đến Shellshock; và vẫn đang được tiếp tục hiệu chỉnh để trở thành một bản vá hoàn chỉnh trong một thời gian ngắn.

Mai Hoa - Nguồn: Infoworld
      
      

Xem chủ đề cũ hơn Xem chủ đề mới hơn Về Đầu Trang  Thông điệp [Trang 1 trong tổng số 1 trang]

Quyền hạn của bạn

Bạn không có quyền trả lời bài viết
free counters



  • Đoàn Ngọc Khánh

    mobile phone 098 376 5575


    Đỗ Quang Thảo

    mobile phone 090 301 9666


    Nguyễn Văn Của

    mobile phone 090 372 1401


    IP address signature
    Free forum | ©phpBB | Free forum support | Báo cáo lạm dụng | Thảo luận mới nhất