Phát hiện lỗ hổng có thể lộ tất cả các mật khẩu trên iOS

Suốt từ tháng 10 tới nay, Apple đã không thể vá được một lỗ hổng có thể khiến người dùng để mất tất cả các mật khẩu lưu trên Keychain, bao gồm cả mật khẩu iCloud lẫn các mật khẩu của ứng dụng iOS.

Các nhà nghiên cứu từ Đại học Indiana và Viện Công nghệ Georgia ở Mỹ đã tìm ra một lỗ hổng khổng lồ trên iOS và Mac OS X được cả Apple, Google và nhiều công ty khác xác nhận. Với mục tiêu là tính năng Keychain trên các hệ điều hành gắn mác Táo, các nhà nghiên cứu đã tạo ra một ứng dụng có thể đánh cắp dữ liệu đăng nhập iCloud cũng như của tất cả các ứng dụng độc lập trên iOS.

"Chúng tôi đã phá thành công dịch vụ Keychain, vốn được sử dụng để lưu mật khẩu và các thông tin định danh khác cho các ứng dụng Apple, và cả sandbox container (môi trường cho phép ứng dụng chạy hoàn toàn độc lập và cách biệt) trên OS X. Đồng thời, chúng tôi cũng đã phát hiện ra nhiều điểm yếu trong cơ chế liên lạc giữa Mac OS X và iOS, cho phép đánh cắp dữ liệu nhạy cảm từ Evernote, Facebook và nhiều ứng dụng nổi tiếng khác", đội nghiên cứu khẳng định.

Thông tin của tờ The Register cho biết Apple đã được thông báo về lỗ hổng này từ tháng 10 năm ngoái. Khi đó, công ty của Tim Cook khẳng định đã nắm được mức độ nguy hiểm của lỗ hổng này, đồng thời yêu cầu các nhà nghiên cứu cho thêm 6 tháng để sửa lỗi trước khi công bố. Đến tháng 2, Apple lại yêu cầu được cung cấp bản thảo của công trình nghiên cứu này, song đến tận bây giờ lỗ hổng nguy hiểm này vẫn chưa được vá.

Để có thể thực hiện đánh cắp mật khẩu, các nhà nghiên cứu đã lợi dụng các lỗ hổng của iOS và Mac OS X để mã độc có thể "ép" người dùng thực hiện đăng nhập vào các dịch vụ bị tấn công, sau đó đánh cắp thông tin vừa được nhập vào. Theo thiết kế, các ứng dụng chỉ được quyền thay đổi các thông tin keychain của một vài ứng dụng nhất định (thường chỉ bao gồm ứng dụng đó). Mã độc của các nhà nghiên cứu đã có thể xóa thông tin keychain của ứng dụng khác. Sau đó, mã độc sẽ tạo ra một bản ghi keychain mới, tự thêm chính mình cũng như ứng dụng nạn nhân vào danh sách được quyền truy cập thông tin keychain mới tạo này. Khi nạn nhân đã thực hiện đăng nhập, thông tin mật khẩu của họ sẽ được thêm vào keychain do mã độc tạo ra.

Ngay cả Google cũng phải bó tay và buộc phải loại bỏ tích hợp Keychain trên Chrome nền iOS/Mac OS X.

AgileBits, tác giả của ứng dụng quản lý mật khẩu nổi tiếng 1Password cho biết người dùng không có cách nào để tự bảo vệ mình trước lỗ hổng này. Các nhà nghiên cứu cũng đã đăng tải thành công các ứng dụng có chứa mã độc lên các chợ ứng dụng của iOS và Mac OS, vượt qua khâu kiểm thử của Apple. Sau khi tiến hành tấn công vào nhiều ứng dụng iOS và Mac OS X, các nhà nghiên cứu khẳng định 90% các ứng dụng bị thử nghiệm "bị sơ hở hoàn toàn", cho phép mã độc được quyền truy cập tất cả các thông tin nhạy cảm.

Để đối phó với lỗ hổng này, đội ngũ bảo mật của dự án Chromium trực thuộc Google đã loại bỏ tính năng tích hợp Keychain khỏi trình duyệt Chrome. Hiện tại, cách giải quyết duy nhất đối với người dùng là tránh tải về các ứng dụng đến từ các nhà phát triển ít danh tính (thậm chí là trên cả các chợ iOS App Store và Mac App Store). Đồng thời, người dùng cũng sẽ cần để ý tới các trường hợp yêu cầu đăng nhập bất thường. Để đảm bảo an toàn tối đa, hãy tránh lưu mật khẩu trên trình duyệt hoặc các ứng dụng quản lý mật khẩu.