MrQuậy
Well-Known Member
-
24/09/2013
-
178
-
2.221 bài viết
Hacker mũ trắng: Facebook khiến smartphone kém an toàn
Một cuộc phỏng vấn giữa trang tin WhatMobile và hacker mũ trắng Steve Lord sẽ giúp bạn hiểu rõ hơn về hiện trạng của ngành bảo mật dữ liệu cũng như độ an toàn của những chiếc smartphone hiện thời.
Smartphone ngày nay đã trở thành một công cụ không thể thiếu trong cuộc sống của con người, nhưng cũng chính bởi vậy mà loại thiết bị này cũng có thể trở thành một con dao hai lưỡi làm hại tới cuộc sống riêng tư và an toàn thông tin của người dùng. Bên cạnh các mối lo do tội phạm số mang tới, chính phủ các nước phương Tây còn đang thực hiện các chiến dịch nghe lén diện rộng nhắm vào thiết bị di động của người dân trong và ngoài nước. Theo hé lộ của Edward Snowden, cơ quan phản gián GCHQ của Anh có khả năng truy cập smartphone trong khi người sử dụng vẫn không hề hay biết gì.
Vậy, bạn làm thế nào để bảo vệ mình trong thời đại mà cả tội phạm lẫn chính quyền các nước lớn như Anh và Mỹ đều muốn dòm ngó smartphone – loại thiết bị có vai trò "sống còn" đối với cuộc sống số của bạn? Hãy cùng hỏi một hacker thứ thiệt: Steve Lord, một hacker "Mũ trắng" đến từ công ty bảo mật Mandalorian Security Services.
Bài phỏng vấn sau đây do WhatMobile thực hiện được VnReview chuyển ngữ sẽ giúp bạn hình dung rõ ràng hơn về nghề nghiệp của các hacker mũ trắng và hiện trạng của ngành bảo mật di động hiện nay:
Nghề nghiệp của anh là gì?
Tôi là một người kiểm tra khả năng tấn công. Tôi đã làm nghề này trong vòng 15 năm. Các công ty trả tiền cho tôi để đột nhập vào hệ thống của họ, xác định các lỗ hổng bảo mật để vá chúng. Phần đông mọi người xây dựng thứ gì đó. Tôi thì lại đem tháo tung tất cả mọi thứ ra. Bởi vì máy vi tính đang được sử dụng ở mọi nơi, tôi đã từng hack vào đủ mọi thứ kỳ lạ, từ ngân hàng cho tới hệ thống tên lửa.
Tôi sẽ được khách hàng chỉ định một mục tiêu, có thể là website, một chiếc điện thoại di động hoặc, như tuần trước, một phòng họp. Bạn có thể nghĩ rằng tấn công vào một phòng họp thì thật là kỳ lạ. Nhưng chỉ trong vòng khoảng 1 giờ chúng tôi đã chiếm quyền điều khiển của màn hình TV, hệ thống điều hòa và có thể thu âm thanh từ tất cả các phòng họp trong tòa nhà và gửi về máy của chúng tôi. Và đây là một hệ thống là Bộ Quốc Phòng Hoa Kỳ sử dụng tại Lầu Năm Góc. Tôi sẽ viết các bản báo cáo về cách vá các lỗ hổng này. Thông thường các lỗi nghiêm trọng là các lỗ hổng ảnh hưởng tới nghiệp vụ phía dưới, và chúng cũng là thành phần đòi hỏi nhiều sự hỗ trợ nhất.
Anh đã từng buộc phải làm điều gì đó đáng nghi ngại hay chưa?
Chưa, nhưng chúng tôi thường được hỏi làm những việc trái với đạo đức và đôi khi là không hợp pháp. Một công ty đã yêu cầu chúng tôi tìm ra nguồn gốc của một vụ scandal hối lộ lớn. Chúng tôi đã từ chối. Những người tố giác các vụ hối lộ lớn tại Thổ Nhĩ Kỳ thường biến mất. Chúng tôi không làm thứ gì có thể đe dọa tới mạng sống con người.
Cơ quan Tình báo Anh (GCHQ) sử dụng các phần mềm có tên gọi là "smurf" ("xì trum") để thu thập dữ liệu từ điện thoại di động. GCHQ có thể sử dụng các công cụ nào khác không?
GCHQ và các cơ quan khác trong nhóm Five Eyes (bao gồm các cơ quan tình báo từ Anh, Mỹ, Australia, Canada và New Zealand) sử dụng một khối lượng lớn các loại công cụ khác nhau, theo như hé lộ của vụ rò rỉ Snowden và các vụ rò rỉ khác. Họ cũng có các công cụ tự phát triển nội bộ với các tên gọi vui nhộn như SWAMP DONKEY ("lừa trong đầm lầy") hay ANGRY PIRATE ("tên cướp biển giận dữ"). Chúng tôi không biết chính xác GCHQ có thể và không thể làm được gì. Nhưng mỗi lần một vụ rò rỉ thông tin xảy ra, các chi tiết được công bố lại tỏ ra vừa ấn tượng, vừa đáng sợ khi nhìn từ góc nhìn của một hacker.
GCHQ có thể thu thập được thông tin gì từ các thiết bị di động?
Tôi không biết chắc chắn. Nếu có đủ thời gian thì họ có thể tìm ra được bất cứ thứ gì họ muốn từ bất cứ nguồn nào họ muốn.
Anh nghĩ gì về chiếc Black Phone 2, Turing Phone và những chiếc smartphone có mục đích bảo mật khác?
Chiếc Black Phone đầu tiên là một nỗ lực tốt. Nhưng ngay cả nó cũng có khá nhiều lỗ hổng cho phép hacker xâm nhập. Một chiếc smartphone được xây dựng với mục đích bảo mật không có nghĩa rằng chiếc smartphone này là hoàn toàn an toàn.
Những hệ điều hành được chỉnh sửa như Cyanogen có an toàn hơn bản gốc hay không?
Vấn đề với Android là cách mà các bản cập nhật được quản lý. Các bản cập nhật được các nhà sản xuất và các nhà mạng tung ra. Do đó bạn không được đảm bảo sẽ được cập nhật bảo mật. Vì vậy mà một vài chiếc smartphone bị tụt lại phía sau. Những chiếc smartphone khác lại không được cập nhật lên bản mới nhất. CyanogenMod thường giúp tăng độ an toàn. Nếu như bạn thích chạy Android gốc lựa chọn tốt nhất của bạn là một chiếc Nexus của Google.
Hệ điều hành nào bị đe dọa nhiều nhất? Windows, Android hay iOS?
Tất cả đều có điểm mạnh và điểm yếu. Hiện tại Windows Phone có vẻ là khó hack nhất. BlackBerry có lịch sử lâu đời là rất được tập trung vào bảo mật. Nếu như tôi được tiếp xúc với điện thoại, tôi thường thấy Android là mục tiêu dễ dàng nhất. Tiếp đó là iOS và các phiên bản BlackBerry cũ. Nếu như phải tấn công qua mạng hoặc qua email hoặc tin nhắn, Android cũng vẫn là mục tiêu dễ nhất.
Anh nghĩ gì về trợ lý ảo trên smartphone?
Tất cả các trợ lý ảo (Google Now, Cortana và Siri) đều ngày một nắm rõ hơn về bối cảnh hoạt động. Vấn đề là ở chỗ chúng buộc phải quét nội dung và xé nhỏ ra thành nhiều phần để smartphone có thể hiểu được. Khi điều này được thực hiện ngay trên điện thoại, mọi thứ là không quá tồi tệ. Nhưng khi dữ liệu này được gửi đến và lưu trữ trên một nơi nào đó trực tuyến, điều gì sẽ xảy ra? Sự thật là chúng ta không hề hay biết.Người ta nói về việc GCHQ và NSA đọc email của họ, nhưng họ không hề biết Google đã làm nhiều này trong nhiều năm và không ai quan tâm cả.
Mọi người có thể làm gì để giữ cho dữ liệu cá nhân được an toàn hơn?
Hãy đảm bảo rằng smartphone của bạn được cập nhật lên bản mới nhất. Đừng đặt lên đó những thứ mà bạn không muốn cả Internet nhìn thấy. Đừng jailbreak hay root smartphone của bạn. Đừng cài đặt ứng dụng từ bên ngoài chợ ứng dụng chính thống.
Liệu người tiêu dùng có thể sử dụng những chiếc smartphone cũ để được an toàn hơn?
Smartphone cũ thường là kém an toàn hơn smartphone mới vì chúng bị ảnh hưởng bởi các lỗ hổng đã được biết tới. Nếu bạn đang sử dụng một chiếc điện thoại cũ, tốt nhất là hãy dùng điện thoại truyền thống "stupid phone". Nếu như bạn buộc phải dùng smartphone cũ, hãy sử dụng một chiếc BlackBerry chạy BB10 hoặc Windows Phone chạy WP8 trở lên.
Những chiếc điện thoại dịch vụ không được đăng ký có thể bị truy cập hay không?
Dĩ nhiên rồi. Việc smartphone được mua hay sử dụng như thế nào không có ý nghĩa gì với hacker cả.
Có những loại ứng dụng nào có thể làm cho smartphone kém an toàn hơn?
Rất nhiều ứng dụng có thể thực hiện những điều xấu khi được cho phép. Những kẻ vi phạm tồi tệ nhất thường là những thứ như Facebook và Facebook Messenger. Phần lớn các ứng dụng đều muốn truy cập các dữ liệu như ảnh chụp để cho phép bạn đăng tải ảnh. Nhưng nhiều ứng dụng chỉ muốn thu thập dữ liệu và gửi về "tàu mẹ" mà thôi.
Làm thế nào để biết rằng mình đã bị hack?
Trừ khi hacker đủ ngớ ngẩn để đem hiển thị một thứ gì đó lên màn hình của bạn, bạn sẽ không thể biết chắc chắn được. Bạn sẽ phát hiện ra khi một vài khoản chi lạ xuất hiện trên tài khoản ngân hàng của bạn, hoặc Gmail nói rằng tài khoản của bạn vừa bị truy cập từ một nơi bạn chưa bao giờ tới. Miễn là bạn đảm bảo các tùy chọn an toàn được quản lý tốt và smartphone của bạn được cập nhật và bảo vệ với mật khẩu tốt cùng tính năng tự động khóa, bạn sẽ được an toàn hơn nhiều người.
Có sự khác biệt lớn nào giữa hacker mũ trắng và hacker mũ đen không? Và hacker mũ đen có được tuyển dụng vào ngành bảo mật không?
Hacker mũ trắng như tôi làm việc để gia tăng tính bảo mật theo cách hợp đạo đức. Hacker mũ đen xâm nhập vào các hệ thống khi không được phép, ví dụ như NSA hay là những đứa trẻ tuổi teen tại Bắc Ai-Len vừa tấn công vào TalkTalk. Ngành bảo mật có sự tham gia của hacker mũ đen. Nhưng những người từng là hacker mũ đen trở thành mũ trắng cũng thường phải gánh chịu điều tiếng.
Tương lai của bảo mật dữ liệu và thiết bị sẽ là như thế nào?
Có một cuộc chiến đang diễn ra giữa các nhà mạng và các nhà sản xuất. Hãy nhìn xem Microsoft Office mất bao lâu mới xuất hiện trên iPad. Hoặc, thương vụ sáp nhập của WhatsApp vào Facebook. Bạn sẽ bị bớt quyền điều khiển dữ liệu cá nhân trên thiết bị của mình. Các nhà cung cấp không chỉ muốn sở hữu dữ liệu của bạn, họ muốn kiểm soát các bạn truy cập chúng.
Xin cảm ơn anh đã dành thời gian trả lời các câu hỏi của chúng tôi.
---
Trên đây là quan điểm chủ quan của hacker mũ trắng Steve Lord, VnReview lược dịch và giới thiệu tới bạn đọc để có thêm cái nhìn đa chiều về các vấn đề bảo mật.
Riêng về vấn đề bảo mật cho smartphone, theo VnReview, hiện iOS và Android phổ biến nhất nên các lỗ hổng bảo mật cũng được khai thác và được công bố nhiều hơn các nền tảng khác. Do vậy, dù smartphone hiện đang sử dụng nền tảng nào thì người dùng cũng nên chú ý cài đặt các phần mềm bảo mật và thận trọng hạn chế root/jailbreak, tránh cài các ứng dụng từ các nguồn không đáng tin cậy, kể cả trên chợ ứng dụng chính thống.
Vậy, bạn làm thế nào để bảo vệ mình trong thời đại mà cả tội phạm lẫn chính quyền các nước lớn như Anh và Mỹ đều muốn dòm ngó smartphone – loại thiết bị có vai trò "sống còn" đối với cuộc sống số của bạn? Hãy cùng hỏi một hacker thứ thiệt: Steve Lord, một hacker "Mũ trắng" đến từ công ty bảo mật Mandalorian Security Services.
Bài phỏng vấn sau đây do WhatMobile thực hiện được VnReview chuyển ngữ sẽ giúp bạn hình dung rõ ràng hơn về nghề nghiệp của các hacker mũ trắng và hiện trạng của ngành bảo mật di động hiện nay:
Tôi là một người kiểm tra khả năng tấn công. Tôi đã làm nghề này trong vòng 15 năm. Các công ty trả tiền cho tôi để đột nhập vào hệ thống của họ, xác định các lỗ hổng bảo mật để vá chúng. Phần đông mọi người xây dựng thứ gì đó. Tôi thì lại đem tháo tung tất cả mọi thứ ra. Bởi vì máy vi tính đang được sử dụng ở mọi nơi, tôi đã từng hack vào đủ mọi thứ kỳ lạ, từ ngân hàng cho tới hệ thống tên lửa.
Tôi sẽ được khách hàng chỉ định một mục tiêu, có thể là website, một chiếc điện thoại di động hoặc, như tuần trước, một phòng họp. Bạn có thể nghĩ rằng tấn công vào một phòng họp thì thật là kỳ lạ. Nhưng chỉ trong vòng khoảng 1 giờ chúng tôi đã chiếm quyền điều khiển của màn hình TV, hệ thống điều hòa và có thể thu âm thanh từ tất cả các phòng họp trong tòa nhà và gửi về máy của chúng tôi. Và đây là một hệ thống là Bộ Quốc Phòng Hoa Kỳ sử dụng tại Lầu Năm Góc. Tôi sẽ viết các bản báo cáo về cách vá các lỗ hổng này. Thông thường các lỗi nghiêm trọng là các lỗ hổng ảnh hưởng tới nghiệp vụ phía dưới, và chúng cũng là thành phần đòi hỏi nhiều sự hỗ trợ nhất.
Anh đã từng buộc phải làm điều gì đó đáng nghi ngại hay chưa?
Chưa, nhưng chúng tôi thường được hỏi làm những việc trái với đạo đức và đôi khi là không hợp pháp. Một công ty đã yêu cầu chúng tôi tìm ra nguồn gốc của một vụ scandal hối lộ lớn. Chúng tôi đã từ chối. Những người tố giác các vụ hối lộ lớn tại Thổ Nhĩ Kỳ thường biến mất. Chúng tôi không làm thứ gì có thể đe dọa tới mạng sống con người.
GCHQ và các cơ quan khác trong nhóm Five Eyes (bao gồm các cơ quan tình báo từ Anh, Mỹ, Australia, Canada và New Zealand) sử dụng một khối lượng lớn các loại công cụ khác nhau, theo như hé lộ của vụ rò rỉ Snowden và các vụ rò rỉ khác. Họ cũng có các công cụ tự phát triển nội bộ với các tên gọi vui nhộn như SWAMP DONKEY ("lừa trong đầm lầy") hay ANGRY PIRATE ("tên cướp biển giận dữ"). Chúng tôi không biết chính xác GCHQ có thể và không thể làm được gì. Nhưng mỗi lần một vụ rò rỉ thông tin xảy ra, các chi tiết được công bố lại tỏ ra vừa ấn tượng, vừa đáng sợ khi nhìn từ góc nhìn của một hacker.
GCHQ có thể thu thập được thông tin gì từ các thiết bị di động?
Tôi không biết chắc chắn. Nếu có đủ thời gian thì họ có thể tìm ra được bất cứ thứ gì họ muốn từ bất cứ nguồn nào họ muốn.
Anh nghĩ gì về chiếc Black Phone 2, Turing Phone và những chiếc smartphone có mục đích bảo mật khác?
Chiếc Black Phone đầu tiên là một nỗ lực tốt. Nhưng ngay cả nó cũng có khá nhiều lỗ hổng cho phép hacker xâm nhập. Một chiếc smartphone được xây dựng với mục đích bảo mật không có nghĩa rằng chiếc smartphone này là hoàn toàn an toàn.
Vấn đề với Android là cách mà các bản cập nhật được quản lý. Các bản cập nhật được các nhà sản xuất và các nhà mạng tung ra. Do đó bạn không được đảm bảo sẽ được cập nhật bảo mật. Vì vậy mà một vài chiếc smartphone bị tụt lại phía sau. Những chiếc smartphone khác lại không được cập nhật lên bản mới nhất. CyanogenMod thường giúp tăng độ an toàn. Nếu như bạn thích chạy Android gốc lựa chọn tốt nhất của bạn là một chiếc Nexus của Google.
Hệ điều hành nào bị đe dọa nhiều nhất? Windows, Android hay iOS?
Tất cả đều có điểm mạnh và điểm yếu. Hiện tại Windows Phone có vẻ là khó hack nhất. BlackBerry có lịch sử lâu đời là rất được tập trung vào bảo mật. Nếu như tôi được tiếp xúc với điện thoại, tôi thường thấy Android là mục tiêu dễ dàng nhất. Tiếp đó là iOS và các phiên bản BlackBerry cũ. Nếu như phải tấn công qua mạng hoặc qua email hoặc tin nhắn, Android cũng vẫn là mục tiêu dễ nhất.
Anh nghĩ gì về trợ lý ảo trên smartphone?
Tất cả các trợ lý ảo (Google Now, Cortana và Siri) đều ngày một nắm rõ hơn về bối cảnh hoạt động. Vấn đề là ở chỗ chúng buộc phải quét nội dung và xé nhỏ ra thành nhiều phần để smartphone có thể hiểu được. Khi điều này được thực hiện ngay trên điện thoại, mọi thứ là không quá tồi tệ. Nhưng khi dữ liệu này được gửi đến và lưu trữ trên một nơi nào đó trực tuyến, điều gì sẽ xảy ra? Sự thật là chúng ta không hề hay biết.Người ta nói về việc GCHQ và NSA đọc email của họ, nhưng họ không hề biết Google đã làm nhiều này trong nhiều năm và không ai quan tâm cả.
Hãy đảm bảo rằng smartphone của bạn được cập nhật lên bản mới nhất. Đừng đặt lên đó những thứ mà bạn không muốn cả Internet nhìn thấy. Đừng jailbreak hay root smartphone của bạn. Đừng cài đặt ứng dụng từ bên ngoài chợ ứng dụng chính thống.
Liệu người tiêu dùng có thể sử dụng những chiếc smartphone cũ để được an toàn hơn?
Smartphone cũ thường là kém an toàn hơn smartphone mới vì chúng bị ảnh hưởng bởi các lỗ hổng đã được biết tới. Nếu bạn đang sử dụng một chiếc điện thoại cũ, tốt nhất là hãy dùng điện thoại truyền thống "stupid phone". Nếu như bạn buộc phải dùng smartphone cũ, hãy sử dụng một chiếc BlackBerry chạy BB10 hoặc Windows Phone chạy WP8 trở lên.
Dĩ nhiên rồi. Việc smartphone được mua hay sử dụng như thế nào không có ý nghĩa gì với hacker cả.
Có những loại ứng dụng nào có thể làm cho smartphone kém an toàn hơn?
Rất nhiều ứng dụng có thể thực hiện những điều xấu khi được cho phép. Những kẻ vi phạm tồi tệ nhất thường là những thứ như Facebook và Facebook Messenger. Phần lớn các ứng dụng đều muốn truy cập các dữ liệu như ảnh chụp để cho phép bạn đăng tải ảnh. Nhưng nhiều ứng dụng chỉ muốn thu thập dữ liệu và gửi về "tàu mẹ" mà thôi.
Làm thế nào để biết rằng mình đã bị hack?
Trừ khi hacker đủ ngớ ngẩn để đem hiển thị một thứ gì đó lên màn hình của bạn, bạn sẽ không thể biết chắc chắn được. Bạn sẽ phát hiện ra khi một vài khoản chi lạ xuất hiện trên tài khoản ngân hàng của bạn, hoặc Gmail nói rằng tài khoản của bạn vừa bị truy cập từ một nơi bạn chưa bao giờ tới. Miễn là bạn đảm bảo các tùy chọn an toàn được quản lý tốt và smartphone của bạn được cập nhật và bảo vệ với mật khẩu tốt cùng tính năng tự động khóa, bạn sẽ được an toàn hơn nhiều người.
Có sự khác biệt lớn nào giữa hacker mũ trắng và hacker mũ đen không? Và hacker mũ đen có được tuyển dụng vào ngành bảo mật không?
Hacker mũ trắng như tôi làm việc để gia tăng tính bảo mật theo cách hợp đạo đức. Hacker mũ đen xâm nhập vào các hệ thống khi không được phép, ví dụ như NSA hay là những đứa trẻ tuổi teen tại Bắc Ai-Len vừa tấn công vào TalkTalk. Ngành bảo mật có sự tham gia của hacker mũ đen. Nhưng những người từng là hacker mũ đen trở thành mũ trắng cũng thường phải gánh chịu điều tiếng.
Có một cuộc chiến đang diễn ra giữa các nhà mạng và các nhà sản xuất. Hãy nhìn xem Microsoft Office mất bao lâu mới xuất hiện trên iPad. Hoặc, thương vụ sáp nhập của WhatsApp vào Facebook. Bạn sẽ bị bớt quyền điều khiển dữ liệu cá nhân trên thiết bị của mình. Các nhà cung cấp không chỉ muốn sở hữu dữ liệu của bạn, họ muốn kiểm soát các bạn truy cập chúng.
Xin cảm ơn anh đã dành thời gian trả lời các câu hỏi của chúng tôi.
---
Trên đây là quan điểm chủ quan của hacker mũ trắng Steve Lord, VnReview lược dịch và giới thiệu tới bạn đọc để có thêm cái nhìn đa chiều về các vấn đề bảo mật.
Riêng về vấn đề bảo mật cho smartphone, theo VnReview, hiện iOS và Android phổ biến nhất nên các lỗ hổng bảo mật cũng được khai thác và được công bố nhiều hơn các nền tảng khác. Do vậy, dù smartphone hiện đang sử dụng nền tảng nào thì người dùng cũng nên chú ý cài đặt các phần mềm bảo mật và thận trọng hạn chế root/jailbreak, tránh cài các ứng dụng từ các nguồn không đáng tin cậy, kể cả trên chợ ứng dụng chính thống.
Gia Bảo
Theo WhatMobile