Cài đặt mới giúp hacker test bảo mật ứng dụng Facebook và Instagram dễ dàng hơn

Facebook mới đây đã giới thiệu một tính năng mới trên cả nền tảng web lẫn ứng dụng di động, được thiết kế để giúp những “hacker săn tiền thưởng” (pentester) dễ dàng tìm thấy những lỗ hổng bảo mật có thể có trong các ứng dụng Messenger và Instagram của Facebook trên nền tảng Android.

Nếu bạn chưa biết thì pentest (Penetration Testing) là hình thức kiểm tra xem một hệ thống CNTT nào đó có chứa lỗ hổng bảo mật hoặc có thể bị tấn công hay không bằng cách giả lập các vụ tấn công thử nghiệm. Người thực hiện một thử nghiệm xâm nhập được gọi là kiểm tra xâm nhập hoặc pentester.

• Tối nay (26/3), tính năng "hẹn hò" của Facebook sẽ có mặt tại Việt Nam, bạn đã sẵn sàng dùng thử?

Hầu hết tất cả các ứng dụng thuộc sở hữu của Facebook đều sử dụng những cơ chế bảo mật như Certificate Pinning để đảm bảo tính toàn vẹn và mức độ an toàn của lưu lượng truy cập. Do vậy, hacker cũng như các nhà nghiên cứu bảo mật sẽ gặp nhiều khó khăn hơn trong việc chặn và phân tích lưu lượng mạng để tìm lỗ hổng bảo mật từ phía máy chủ. Cần phải nói thêm một chút về Certificate Pinning. Nếu bạn chưa biết thì có thể hiểu nôm na rằng đây là một cơ chế bảo mật được thiết kế để giúp người dùng ứng dụng tránh trở thành nạn nhân của các cuộc tấn công dựa trên kết nối internet, bằng cách tự động từ chối toàn bộ kết nối bắt nguồn từ những trang web sử dụng cũng như cung cấp chứng chỉ SSL không có thật.

Theo đó, tùy chọn mới được Facebook triển khai này được đặt tên là "Whitehat Settings”, hiện cho phép các nhà nghiên cứu dễ dàng bỏ qua cơ chế bảo mật Certificate Pinning trên các ứng dụng di động do Facebook sở hữu bằng cách thực hiện những thao tác sau:

• Vô hiệu hóa hỗ trợ TLS 1.3 của Facebook
• Kích hoạt proxy cho các yêu cầu API nền tảng
• Sử dụng chứng chỉ do người dùng cài đặt

Ngoài ra, theo phía Facebook thì cũng có thể "chọn không sử dụng TLS 1.3 sẽ cho phép bạn làm việc với các proxy như Burp hoặc Charles - đây vốn là các giao thức hiện chỉ hỗ trợ tối đa cho TLS 1.2".

• Facebook Messenger bổ sung tính năng trả lời trích dẫn, thêm một bước tiến trong việc hợp nhất các dịch vụ tin nhắn

Lưu ý rằng tùy chọn Whitehat Settings không hiển thị cho tất cả mọi người theo mặc định. Thay vào đó, các nhà nghiên cứu phải kích hoạt tính năng này một cách rõ ràng cho ứng dụng Android của họ từ giao diện trên nền tảng web của Facebook, như ở hình minh họa dưới đây:

"Để đảm bảo tùy chọn Whitehat Settings được hiển thị đầy đủ trong môi trường ứng dụng dành cho thiết bị di động, chúng tôi khuyên bạn nên đăng xuất tài khoản của mình khỏi tất cả các ứng dụng di động có liên quan, đóng ứng dụng, rồi sau đó truy cập lại vào ứng dụng và đăng nhập lại. Quá trình đăng nhập sẽ cho phép ứng dụng tự động tìm nạp cấu hình mới và cài đặt các bản cập nhật bạn vừa sở hữu”.

Sau khi tùy chọn Whitehat Settings đã được bật, bạn sẽ thấy một biểu ngữ xuất hiện ở đầu ứng dụng (Facebook, Messenger hoặc Instagram), cho biết rằng tính năng kiểm tra mạng đã được bật và lưu lượng truy cập của bạn đã có thể được theo dõi.

Nếu muốn kiểm tra về các lỗ hổng bảo mật có thể xuất hiện trong ứng dụng di động Instagram bằng cách sử dụng tùy chọn Whitehat Settings mới ra mắt, trước tiên bạn nên liên kết ứng dụng Instagram của mình với ứng dụng Facebook.

• Lỗi mới trên Instagram khiến nhiều người mất tới hàng triệu follower

Ngoài ra, cũng cần lưu ý rằng Whitehat Settings không phải là tính năng được phát triển dành cho tất cả mọi người, đặc biệt là người dùng phổ thông bởi về cơ bản, nó sẽ làm giảm tính bảo mật của các ứng dụng trực thuộc Facebook được cài đặt trên thiết bị của họ.

"Để đảm bảo tính bảo mật cho tài khoản của mình, chúng tôi khuyên bạn nên tắt cài đặt này khi không có nhu cầu thực hiện kiểm tra nền tảng của chúng tôi để dò tìm lỗ hổng nhận tiền thưởng", đại diện Facebook cho biết.

Bạn có suy nghĩ gì về tính năng mới này của Facebook? Hãy để lại ý kiến ở mục bình luận bên dưới nhé!