Phát hiện 2 lỗ hổng mới trên 2 giao thức email phổ biến

Vũ An

Các nhà nghiên cứu an ninh bảo mật châu Âu vừa phát hiện ra lỗ hổng mới đáng chú ý trong giao thức mã hóa email được sử dụng phổ biến. Thông qua đó, kẻ tấn công có thể tiêm mã độc vào email dù giao thức được thiết kế để ngăn chặn hành vi này. Nếu thực hiện đúng cách, mã độc có thể được dùng để đánh cắp toàn bộ nội dung trong hộp thư đến của nạn nhân.

Lỗ hổng này ảnh hưởng tới 2 trong số các giao thức email rất phổ biến là PGP và S/MIME, dù mức độ ảnh hưởng còn tùy thuộc vào việc sử dụng giao thức của phần mềm client. Khá nhiều phần mềm email client bị ảnh hưởng, trong đó có Apple Mail, ứng dụng Mail trên iOS, Thunderbird và cả Outlook. Đáng chú ý là nhiều hệ thống xác thực tin nhắn hiện nay có thể chặn được kiểu tấn công này.

Về cơ bản kiểu tấn công có thể chia làm 2 loại: Direct Exfiltration ảnh hưởng tới macOS và iOS Mail của Apple và Thunderbird của Mozilla. Nếu email được mã hóa sử dụng các phần mềm client này bị can thiệp, kẻ tấn công có thể khai thác lỗ hổng để chỉnh sửa email, thêm đoạn mã HTML nhiễm độc trước khi gửi lại cho nạn nhân. Khi nạn nhân mở thư mới, mã độc sẽ gửi lại email dạng plaintext.

Hình thức thứ 2 là CBC/CFB Gadget Attack ảnh hưởng tới nhiều phần mềm email client hơn, trong đó có Outlook của Microsoft nhưng mức độ còn tùy thuộc. Với PGP, cứ 3 lần tấn công sẽ được 1 lần nhưng vói S/MIME một email có thể phá vỡ tới 500 tin nhắn.

Rất nhiều máy chủ doanh nghiệp vẫn dùng mã hóa S/MIME nên lỗ hổng nói trên có thể gây ra quan ngại lớn.

S/MIME dường như gặp khá nhiều rắc rối và dễ bị tấn công

Phần mềm mã nguồn mở GNU Privacy Guard có viết “có 2 cách để giảm thiểu tấn công này: đừng dùng email HTML… dùng mã hóa được xác thực”.

Sebastian Schinzel, giáo sư ngày bảo mật máy tính tại đại học khoa học ứng dụng Münster cảnh báo trên Twitter rằng “hiện tại không có cách khắc phục lỗ hổng”. Anh khuyến khích mọi người vô hiệu hóa các giao thức mã hóa trên trong phần mềm email của mình. Electronic Frontier Foundation gọi đây là các biện pháp “tạm thời” trước khi lỗi được khắc phục.

Xem thêm:

Thứ Ba, 15/05/2018 08:43

3 ★ 1 👨 612