Mac OS, iOS bị lỗ hổng bảo mật keychain có thể mất mật khẩu

Các nhà nghiên cứu ở Đại Học Indiana, Học Viện Công Nghệ Georgia và Đại Học Bắc Kinh cho biết có một lỗ hổng bảo mật khá nghiêm trọng trong Keychain, phần quản lý các mật khẩu trên máy tính Mac OS và iOS.

Theo đó, họ có thể bẻ gãy dịch vụ này và ăn cắp mật khẩu cũng như các thông tin khác (thẻ tín dụng), kể cả khi ứng dụng đó được bảo vệ trong sandbox. Và các nhà nghiên cứu này cũng tìm ra được một điểm yếu trong cơ chế giao tiếp giữa các ứng dụng iOS và Mac OS, qua đó dữ liệu người dùng từ Evernote, Facebook hay một số các ứng dụng khác có thể bị lấy cắp. Được biết công ty làm ra 1Password là AgileBits thừa nhận ở thời điểm này thì không thể làm gì để chống lại việc tấn công và nhóm bảo mật Chromium cũng đồng ý, chỉ có cập nhật hệ điều hành mới chống được, và họ tạm gỡ tích hợp Keychain khỏi Chrome.

Nhóm nghiên cứu này đã thông báo cho Apple vào tháng 10 vừa qua và Apple cho rằng lỗ hổng này rất nghiệm trọng, xin nhóm 6 tháng trước khi công bố nhằm tránh ảnh hưởng đến người dùng. Hồi tháng 2, Apple lại xin kết quả nghiên cứu chi tiết hơn từ nhóm nhưng giờ thì các lỗ hổng đó vẫn còn tồn tại. Được biết nhóm bảo mật đã thử đăng tải một malware khai thác lỗ hổng lên AppStore cho iOS và Mac OS, và cả 2 đều được Apple xác nhận cho khách hàng tải về. (Cần lưu ý đây là lỗ hổng zero-day, lỗ hổng mới phát hiện lần đầu. Chính vì vậy mà nhóm bảo mật hệ điều hành và nhóm kiểm tra ứng dụng trước khi đăng tải lên App Store có thể không liên hệ với nhau. Dù sao nó vẫn khá là vô trách nhiệm với công ty như Apple - người dịch).

Do lỗ hổng này nghiêm trọng nhưng do dữ liệu trong Keychain vẫn được mã hóa nên hacker phải giải mã để lấy dữ liệu này (gần như không thể hoặc rất tốn thời gian). Chính vì vậy mà các malware sẽ xóa các keychain đi, sau đó nó ghi lại mật khẩu hay các thông tin bảo mật khi người dùng nhập lại. Chính vì vậy nếu đột nhiên bạn bị bắt nhập lại mật khẩu hay tên đăng nhập, thẻ tín dụng... khi vào một trang web nào đó dù đã đăng nhập trước đó thì hãy cẩn thận.