Vết nứt trong ứng dụng

Vết nứt trong ứng dụng Với những lổ hổng bảo mật hiện có, các chương trình mà bạn thường chạy hằng ngày là miếng mồi béo bở hơn cả hệ điều hành cho tin tặc. Windows qua năm tháng "thử lửa" đã trở nên cứng cáp hơn, có thể phần nào chống trả được những đợt tấn công. Mặc dù đôi khi vẫn xuất hiện vài lỗ hổng nghiêm trọng nhưng chương trình cập nhật tự động bản sửa lỗi, vá ngay những lỗ hổng đã giúp Windows vững chãi, khó xâm nhập hơn. Nếu tin tặc chỉ là những kẻ thích gây rối và tự tạo "tiếng thơm" cho mình thì những con virus của họ thường chỉ chọc phá cho vui, chứ không gây ảnh hưởng rộng. Nhưng ngày nay, chính đồng tiền, chứ không phải việc cố ý phá hoại, là động cơ chính của những kẻ tấn công qua Internet (xem thêm chuyên mục "Web of Crime" của PC World Mỹ tại ). Tin tặc tìm được cách dễ dàng đột nhập vào PC bạn hơn trước, và cái mà chúng tìm được chính là ứng dụng bạn thường dùng. Những chương trình bị hổng Đó có thể là chương trình phòng chống virus của bạn nói cho tin tặc biết rằng "lạy ông tui ở bụi này". Đó cũng có thể là chương trình chơi nhạc, nó có thể mở cổng để mời chào kẻ khác đột nhập PC bạn. Ngay cả một đĩa CD nhạc chạy trên PC cũng nguy hiểm, khi đĩa đó chứa phần mềm chống sao chép. Và nếu bạn dùng máy Mac, hãy "tỉnh ngủ” vì những lỗ hổng bảo mật này được tìm thấy chủ yếu là trên các ứng dụng, chứ không còn đơn thuần trên hệ điều hành nữa, bạn cũng có nguy cơ bị tấn công. Theo công ty bảo mật Anh Quốc là Qualys, những chương trình cho máy tính để bàn như là iTunes, RealPlayer và ngay cả Firefox đầu tư nghiêm túc cho chuyện bảo mật thì cũng có hơn 60% những lỗ hổng nghiêm trọng, (xem thêm bảng trong bài để thấy số lỗ hổng trong các ứng dụng thông thường). Một chuyên gia bảo mật ở viện nghiên cứu SANS cho biết xu hướng này đã "gây hại" cho những tiến bộ về bảo mật Internet "trở về với thời điểm cách đây 6 năm". Windows vẫn là mục tiêu tấn công thông thường của tin tặc, đơn giản bởi vì nó quá thông dụng trên cả máy tính cá nhân và máy tính trong môi trường cộng tác và thỉnh thoảng vài lỗ hổng lớn mới vẫn lộ ra ở những chỗ quen thuộc. Gần đây là lỗ hổng của Windows liên quan đến tập tin ảnh .WMF, cho kẻ tấn công có thể điều khiển máy tính từ xa (Microsoft đã nhanh chóng đưa ra bản vá, xem thêm tại ). Còn theo chuyên gia bảo mật của Gartner, mặc dù có những vết nứt mới nhưng các sản phẩm hiện có của Microsoft chú trọng về bảo mật hơn so với những sản phẩm trước đây. Còn những nguy cơ bảo mật đáng chú ý bây giờ ta lại thấy mỗi ngày trong các ứng dụng như trình duyệt web, chương trình nghe nhạc, và ngay cả ứng dụng quét virus. Bạn có thể xem thêm bảng liệt kê 20 lỗ hổng bảo mật internet nghiêm trọng nhất tại . Lướt web cẩn thận Các trình duyệt web ngày nay được xem là chất chứa nhiều vết rạn nứt nhất và công ty nghiên cứu Secunia đã liệt kê một số cảnh báo về bảo mật. Trộn lẫn trong các lỗ hổng đó là những vấn đề ảnh hưởng xấu đến một số chương trình về nền của web (webs back end), trong đó có máy chủ tên miền và ngôn ngữ PHP đang được nhiều diễn đàn bàn cãi. Ví dụ như một cuộc tấn công chuẩn bị kỹ lưỡng có thể "gài" cả máy chủ tên miền để chuyển hướng những người lướt web đến một trang web đánh cắp thông tin, mà trang web này lợi dụng lỗ hổng trình duyệt để lén lút cài các đoạn mã xấu vào máy người dùng. Ví dụ khác là các lỗ hổng trình duyệt có thể cho phép kẻ tấn công Internet biến hóa hộp thoại để người dùng nghĩ ngay rằng họ đang nhận một tin nhắn quan trọng từ hệ thống nhưng thực ra họ đang tiếp tay cho kẻ xấu, tải đoạn mã xấu nào đó về máy. Microsoft xóa mờ ranh giới giữa Internet Explorer và các phần còn lại của Windows. So với tính năng ở cấp thấp của hệ điều hành hay một ứng dụng biệt lập nào đó thì trình duyệt vẫn là cạm bẫy tiềm ẩn nhất. Tuy vậy, các lỗ hổng bảo mật trong các trình duyệt thay thế như Mozilla Firefox và Opera cũng đang là mục tiêu. Cả các đối thủ cạnh tranh của IE cũng kịp thời đưa ra những miếng vá mới, nhưng nhớ là: nếu bạn không liên tục cập nhật, thì bạn đang ở tình trạng nguy hiểm. Âm nhạc trong tai của tin tặc Những lỗ hổng trình duyệt có thể ví như hồng tâm cho dân tin tặc bắn phá, vì hầu hết người dùng máy tính đều lướt web. Nhưng những trình duyệt này không phải chỉ là ứng dụng phổ biến phơi bày lỗ hổng. RealPlayer, iTunes và các chương trình chơi nhạc khác cũng có nhiều vết nứt. Kẻ tấn công có thể ngụy trang đoạn mã xấu để trông giống với một tập tin nhạc hay phim số, hoặc chúng chỉ đơn giản tống chương trình chơi nhạc không may nào đó một lô địa chỉ web để điều khiển máy tính bị tấn công. Tuy vậy, lúc này thì lỗ hổng trong các chương trình chơi nhạc phần lớn là mối đe dọa còn trên lý thuyết. Các nhà nghiên cứu đã tìm thấy virus dưới lốt tập tin nhạc MP3 nhưng chưa có một tấn công nghiêm trọng nào lên các chương trình chơi nhạc, nhưng "phòng bệnh hơn chữa bệnh". Nếu chương trình chơi nhạc của bạn cảnh báo về một cập nhật sẵn có nào đó, thì bạn hãy cập nhật ngay. Nếu chương trình của bạn không khuyên bạn nên cập nhật thì bạn tự kiểm tra phiên bản của mình đang dùng có mới nhất hay chưa (thường là trong menu Help). Giảm nguy cơ rủi ro bằng cách gỡ bỏ chương trình chơi nhạc mà bạn không dùng đến cũng là một ý tưởng tốt. Ngay cả các chương trình chống virus thiết yếu của bạn cũng có lỗ hổng. Theo bản báo cáo 2005 của Yankee Group, số lỗ hổng trong chương trình chống virus và các phần mềm bảo mật khác có tỉ lệ tăng nhanh hơn so với Windows. Theo một chuyên gia, trong khi hầu hết các chương trình chống virus nhanh chóng tự động cập nhật để kịp bít lại vết nứt của mình thì thà bạn không sử dụng công cụ chống virus nào còn hơn là chạy một chương trình chống virus cũ kỹ. TỰ BẢO VỆ Năm mẹo nhỏ bảo vệ chương trình của bạn Đây là cách tạo an toàn và giữ cho ứng dụng của bạn luôn được cập nhật mà không cần phí nhiều thời gian để trở thành một chuyên gia CNTT. Bật tính năng tự động cập nhật: nếu chương trình có hỗ trợ tính năng quan trọng này, bạn hãy bật nó lên. Windows Update giám sát sửa lỗi cho Internet Explorer, và Firefox 1.5 cũng có tính năng tự động cập nhật. Bạn nên thiết lập để cho chương trình hỏi bạn trước khi áp dụng thay đổi nào để bạn biết được cái gì đang chạy trên máy tính của mình. Khóa IE: cập nhật các thiết lập trình duyệt của bạn ở mức bảo mật cao nhất. Chọn Tools.Internet Options, nhấn chuột vào tab Security, và chọn Custom level cho vùng internet. Tắt điều khiển ActiveX, thiết lập quyền Java ở mức High, và tắt "Access to data sources across domains". Bạn cũng tắt "Paste operations via script". Dùng dịch vụ của hãng thứ 3: trang web VersionTracker (www.versiontracker.com) liệt kê những bản vá sẵn có cho rất nhiều ứng dụng trên PC, Mac và ngay cả Palm. VersionTracker Pro (giá 30 USD) sẽ quét các chương trình cài đặt trên máy bạn và cung cấp những bản vá cho những ứng dụng chưa được cập nhật. BigFix thì đưa ra một chương trình miễn phí cho người dùng bình thường, cho bạn theo dõi những lỗ hổng của ứng dụng và các vết nứt khác; bạn tải về tại help.bigfix.com. Luôn theo dõi tin tức: hãy đọc những bản tin và bài phân tích mới nhất về bảo mật ngay tại ngưỡng cửa điện tử của bạn bằng cách đăng ký tin RSS từ các hãng sản xuất công cụ chống virus như Kaspersky (find.pcworld.com/51246) hoặc từ công ty bảo mật internet Sophos (feeds.sophos.com). Tự bảo vệ: thiết lập lịch nhắc nhở mỗi tháng 1 lần kiểm tra cập nhật cho các chương trình hoặc tìm bản vá trên trang web của công ty viết chương trình đó. Hiểm họa: những ứng dụng chống virus cũ Một chuyên gia cho biết: vấn đề là nhiều người dùng các chương trình chống virus miễn phí và họ không đăng ký; cài phần mềm lên máy và nghĩ vậy là xong và rồi máy tính của họ bị tấn công. Trông cứ như là một món quà dễ thương nhưng các công cụ chống virus miễn phí lại là một mối hiểm họa. Nếu thời gian sử dụng của bạn hết hạn, cập nhật phiên bản mới nhất của phần mềm chống virus, đăng ký thời hạn cập nhật cho năm tiếp theo hoặc bạn tìm một phần mềm chống virus mới khác. Các công cụ thay thế miễn phí gồm có AVG Free () và Avast Home Edition (). PC World Mỹ thử nghiệm các công cụ này cùng với 8 công cụ chống virus khác trong bài "the new virus fighters" Một mối đe dọa khác không có trong danh sách của viện nghiên cứu bảo mật SANS là việc Sony BMG cố gắng "vụng về" chặn việc sao chép nhạc qua mạng ngang hàng. Tin tặc đã nhanh chóng phát triển sâu khai thác "rookkit" trong phần mềm chống sao chép mà Sony BMG đã dùng trên 49 tựa đĩa nhạc CD (xem danh sách các đĩa nhạc này tại ). Vậy bạn phải làm gì? Mặc dù các lỗ hổng mới dường như ngày nào ta cũng gặp nhưng những vết nứt cũ nhất vẫn còn là mối hiểm họa lớn nhất. Thành thực mà nói, những cảnh báo cơ bản nhất mà bạn thường xuyên nghe vẫn luôn có giá trị: giữ cho trình duyệt và phần mềm chống virus luôn được cập nhật. Những lời khuyên sáo rỗng? Một chuyên gia bảo mật cho rằng ông ít lạc quan về tình hình bảo mật hiện nay vì hầu hết người dùng Internet đều có những thứ quan trọng hơn cả bảo mật trong ý nghĩ của họ, và lời khuyên chân thành nhất thì bị họ bỏ ngoài tai. Tình trạng này sẽ không thay đổi cho đến khi nào người dùng đặt áp lực lên nhà viết phần mềm để nhấn mạnh hơn nữa tầm quan trọng của bảo mật. Điều này đang được chú trọng trong thế giới làm việc cộng tác, nơi mà người mua đang "giấy trắng mực đen" những đòi hỏi này trong bản hợp đồng lớn. Còn với người dùng bình thường, sự thành công của những sản phẩm như Firefox nhờ tập trung vào tính năng bảo mật có thể khích lệ các nhà viết phần mềm khác nỗ lực hơn trong vấn đề này. Một chuyên gia tin rằng những hãng nặng ký như Microsoft sẽ tìm cách để kèm bản cập nhật phần mềm của các công ty khác cùng với sản phẩm của hãng. Viễn cảnh này có thể dể thở hơn cho người dùng nhưng có thể làm đau đầu những đối thủ cạnh tranh khác mà trước đây đã từng lo ngại về sự thống trị của Microsoft. CẢNH GIÁC VỚI NHỮNG ỨNG DỤNG NÀY Chương trình Số lỗ hổng Internet Explorer 6.x 91 Firefox 1.x 26 RealPlayer 10.x 11 Winamp 5.x 5 Quicktime 7.x 3 Danh sách 20 lỗ hổng Internet gần đây nhất của Viện Nghiên Cứu Bảo Mật SANS cho thấy một chiều hướng bùng nổ mới đáng lo ngại: có nhiều lỗ hổng bảo mật trong các ứng dụng để bàn hơn là trong Windows. Đây là một số chương trình lấy ra từ bản báo cáo đó, với tổng số lỗ hổng (đã được sửa và cả chưa sửa) cho mỗi ứng dụng, do công ty Secunia và một công ty nghiên cứu khác đưa ra. Nguồn: SANS, www.sans.org; Secunia, www.secunia.com iTunes 6.x 2 hfghfghfghfghfghfgg . Vết nứt trong ứng dụng Với những lổ hổng bảo mật hiện có, các chương trình mà bạn thường. đáng chú ý bây giờ ta lại thấy mỗi ngày trong các ứng dụng như trình duyệt web, chương trình nghe nhạc, và ngay cả ứng dụng quét virus. Bạn có thể xem thêm