Thiết bị 100K giúp hack password máy tính trong một nốt nhạc.

Kể cả những thứ password mạnh mẽ nhất cũng không thể vượt qua công cụ này, Sammy Kamkar vừa biểu diễn vừa cho thấy rằng đôi khi việc hack trở nên quá đơn giản.

Khám phá mới của Kamkar đến từ Poison Tap chính là một phần mềm miễn phí và một microcomputer Raspberry Pi Zero có giá khoảng 100 ngàn đồng (5 đô la). Chỉ trong vòng 30s, nó đã vượt qua được màn hình khoá và bắt đầu cài đặt backdoor. Hệ thống được mở khoá trước khi thiết bị được rút ra khỏi cổng USB.

Nếu bạn nghĩ một password phức tạp có thể giúp bạn trong tình huống này thì bạn đã lầm vì PoisonTap không hoạt động kiểu đấy mà nó bypass qua tất cả để mở khoá.

Sau khi cắm thiết bị PoisonTap vào, nó bắt đầu truy cập vào internet thông qua cổng USB. Khi thành công, laptop của bạn sẽ tưởng rằng nó đang kết nối internet thông qua ethernet và bắt đầu gửi tất cả traffic chưa được mã hoá từ web đến microcontroller của thiết bị. Hệ thống bảo mật wifi cũng không thể cứu được bạn vì thiết bi đã lừa máy tính phải ưu tiên hơn cho kết nối của nó.

Như một người đứng giữa, thiết bị bắt đầu ăn cắp bất kỳ HTTP authentication cookies nào mà bạn dùng để log vào tài khoản của mình, kể cả các dữ hàng triệu session dữ liệu từ các trang web, Alexa cho biết. Tệ hơn, với cách mà thiết bị này được thiết kế, two-factor authentication ((xác minh hai yếu tố) cũng sẽ không giúp ích trong tình huống này. Vì cơ bản, PoisonTap hút các cookies về mình chứ không phải các thông tin mật về login (login credentials), vì vậy mà nó hoàn toàn có thể đánh cắp các tài khoản sử dụng two-factor một cách dễ dàng.

hacker

Một hân chế duy nhất về tính hiệu quả của công cụ này chính là việc người dùng buộc phải có một browser tab đang được chạy trên thiết bị đang khoá (locked device). Tuy nhiên tôi nghĩ phần lớn chúng ta đều sẽ để các browser lại khi đóng màn hình máy tính.

Kamkar cũng có một số lời khuyên giúp chúng ta có thể bảo vệ được chính mình, tuy nhiên chúng cũng không thật sự hiệu quả lắm.