Ảnh minh họa: internet |
Theo đánh giá của Cục ATTT, nguy cơ này có thể ảnh hưởng đến các phần mềm, ứng dụng hỗ trợ mã hóa thư điện tử trên cả Windows, Linux, MacOS và các hệ điều hành cho các thiết bị di động.
Thông tin ban đầu về lỗ hổng trên OpenPGP và S/MIME, Cục ATTT cho biết: ngày 14/5, nhóm chuyên gia an toàn thông tin của Châu Âu có tên EFF (Electronic Frontier Foundation) đã công bố nhóm lỗ hổng (có tên EFAIL) trong các công cụ hỗ trợ mã hóa PGP và S/MIME cho phép đối tượng tấn công có thể giải mã thư điện tử đã được người dùng mã hóa bằng OpenPGP và S/MIME khi gửi đi hay cả những thư điện tử mã hóa đã thu thập được trước đó.
Một trong những cách để đối tượng tấn công có thể lấy được nội dung thư điện tử đã giải mã là khai thác việc tự động hiển thị nội dung HTML như sau: Thu thập thư điện tử đã mã hóa;Sửa đổi thư mã hóa trong đó có thể chèn nội dung để lấy thông tin thư đã giải mã sử dụng thuộc tính src của thẻ ; Gửi thư mã hóa đã bị sửa đổi đến nạn nhân; Ứng dụng mã hóa email phía nạn nhân sẽ thực hiện giải mã và nạp các thông tin khác trong đó thông tin sau giải mã bao gồm cả URL đối tượng tấn công chèn vào và nội dung thư đã giải mã. Việc yêu cầu thông tin trong thẻ cho phép đối tượng tấn công nhận được thông tin đã giải mã.
Hình thức này có thể thực hiện trên Apple Mail (macOS), Mail App (iOS), Thunderbird (Windows, macOS, Linux), Postbox (Windows) and MailMate (macOS).
Ngoài ra còn một số cách khác nhóm chuyên gia mô tả cũng cho phép lấy được thư điện tử mã hóa bằng PGP và S/MIME thông qua tấn công các chế độ CBC/CFB của thuật toán mã hóa mà hai chuẩn này sử dụng.
Các lỗ hổng này nhằm vào việc giải mã nội dung thư điện tử và được khai thác kết hợp với một số tính năng có sẵn của phần mềm phía thiết bị người dùng, do vậy nếu vẫn muốn tiếp tục sử dụng OpenPGP và S/MIME. Do đó, Cục ATTT cũng khuyến nghị người dùng có thể thực hiện một số thao tác để hạn chế rủi ro bị tấn công.
Cụ thể là bật chức năng ngăn chặn việc hiển thị và nạp các nội dung từ bên ngoài. Đặc điểm này không chỉ cho phép đối tượng tấn công giải mã thư điện tử mà còn cho phép chèn và thực thi nội dung độc hại khác trên máy tính người dùng. Một số tính năng người dùng có thể thiết lập để an toàn hơn như: Disable HTML messages; Disable JavaScript; Disable Remote Image; Disable the preview pane.
Bật chức năng kiểm tra tính toàn vẹn của thư điện tử và cảnh báo khi thư điện tử bị thay đổi trong quá trình gửi/nhận. Hay theo dõi và cập nhật ngay khi bản vá được phát hành, đồng thời cập nhật bản vá cho các lỗ hổng đã biết.
Ở các quốc gia trên thế giới việc sử dụng OpenPGP và S/MIME là khá phổ biến, thông thường đối tượng dùng mã hóa email phía client gồm chính trị gia, nhà báo, phóng viên, chuyên gia làm về an toàn thông tin, và cả người dùng thông thường - những người muốn bảo vệ thông tin, dữ liệu của mình truyền đi trên môi trường Internet.
Tại Việt Nam việc sử dụng phần mềm mã hóa phía đầu thiết bị người dùng cũng được nhiều người sử dụng, và đã được Trung tâm Ứng cứu khẩn cấp máy tính Việt Nam đưa ra hướng dẫn, khuyến nghị đối với các nhóm CSIRT.
D.V
Nguồn: Ictnews.vn
Chuyên Viên Cao Cấp Nguồn Lực Công Nghệ
NGÂN HÀNG TMCP KỸ THƯƠNG VIỆT NAM (TECHCOMBANK)
Địa điểm: Hà Nội
Lương: Cạnh Tranh
Chuyên gia An ninh thông tin (Security)
Địa điểm: Hà Nội
Lương: Cạnh Tranh
Phó phụ trách Quản lý rủi ro Công nghệ Thông tin
Ngân Hàng Thương Mại Cổ Phần Nam Á (Nam A Bank)
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Chuyên viên An ninh thông tin - BP. Giám sát an ninh thông tin
Ngân Hàng Thương Mại Cổ Phần Nam Á (Nam A Bank)
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Chuyên viên An ninh thông tin - BP. Chính sách & Tuân thủ
Ngân Hàng Thương Mại Cổ Phần Nam Á (Nam A Bank)
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Công ty cổ phần Người Bạn Vàng
Địa điểm: Hồ Chí Minh
Lương: Cạnh Tranh
Chuyên viên cao cấp Phân tích cảnh báo sớm An ninh thông tin
Ngân Hàng TMCP Tiên Phong (TPBank)
Địa điểm: Hà Nội
Lương: Cạnh Tranh
CÔNG TY TNHH GUNZETAL (VIỆT NAM)
Địa điểm: Bình Dương
Lương: 15 Tr - 20 Tr VND
Lập trình viên Java (AngularJS, JavaScript, Java)
Ngân Hàng TMCP Tiên Phong (TPBank)
Địa điểm: Hà Nội
Lương: Cạnh Tranh