Các thiết bị và thiết bị thông minh IoT, smart home, mọi thứ từ tủ lạnh của bạn đến truyền hình, là những mục tiêu lý tưởng cho tin tặc nhờ khai thác KRACK.
Lỗ hổng bảo mật mới nhất đã hiện diện gần ngôi nhà thông minh (smart home), và các thiết bị có thể kết nối Internet hay còn gọi là các thiết bị IoT của bạn.
Nó được gọi là KRACK, viết tắt của Key Reinstallation Attack, và đó là một lỗ hổng ảnh hưởng đến bất kỳ kết nối Wi-Fi nào bằng WPA2. Điều đó có nghĩa là hầu như bất kỳ thiết bị nào sử dụng Wi-Fi đều có nguy cơ của một vụ tấn công tiềm tàng.
Tin tốt lành là điện thoại và máy tính xách tay của bạn có thể an toàn hơn từ các cuộc tấn công nhờ cập nhật bảo mật nhanh. Tin xấu là các thiết bị gia đình thông minh (smart home, IoT devices) của bạn có thể không được may mắn như vậy.
Cuộc tấn công là lời nhắc nhở mới nhất về những cạm bẫy mà chúng ta phải đối mặt khi nói đến các thiết bị kết nối thông minh ngày càng phổ biến của chúng ta. Khi truyền hình và tủ lạnh của bạn chứa thông tin nhạy cảm như Netflix hoặc đăng nhập Amazon, chúng trở thành mục tiêu tiềm ẩn cho tin tặc. Đó là một vấn đề sẽ trở nên tồi tệ hơn khi Internet của sự vật - IoT phát triển và hơn thế nữa chúng ta bị quây quanh với các tiện ích mà các thiết bị IoT có thể "nói chuyện" với nhau.
Các nhà nghiên cứu của KU Leuven, Mathy Vanhoef và Frank Piessens, đã phát hành một cảnh báo về lỗ hổng bảo mật KRACK, cho phép tin tặc chiếm quyền điều khiển kết nối Wi-Fi của bạn, đưa nội dung và theo dõi lưu lượng truy cập của bạn. Những kẻ tấn công có thể lấy mật khẩu của bạn trong tích tắc hoặc chuyển hướng nạn nhân đến các trang web chứa virus.
Xem xét cách các kết nối Wi-Fi kiểm soát hầu như tất cả mọi thứ chúng ta đang sử dụng - và kỷ nguyên cáp Ethernet đã đi vào dĩ vãng mãi mãi - tính dễ tổn thương đã gây ra một sự phiền toái cho những người nghiện công nghệ.
'Mục tiêu lý tưởng'
Trong khi các công ty như Microsoft đã phát hành bản vá lỗi cho lỗ hổng, các thiết bị IoT chậm hơn rất nhiều để cập nhật. Điều này có nghĩa là cửa sổ cơ hội cho tin tặc sẽ lâu hơn trên tủ lạnh (có kết nối internet) của bạn hơn là trên điện thoại của bạn.
Theo Ken Munro, nhà nghiên cứu và là người sáng lập công ty bảo mật Pen Test Partners, các thiết bị IoT là "mục tiêu lý tưởng" cho các cuộc tấn công dựa vào khai thác KRACK vì thời gian vá lỗi chậm và giao tiếp không an toàn.
Nếu bạn truy cập trang web HTTPS hoặc sử dụng mạng riêng ảo (VPN), lưu lượng truy cập của bạn sẽ vẫn được mã hóa và tin tặc sẽ không thể ăn cắp bất cứ thứ gì từ đó. Theo ông Alexandru Balan, nhà nghiên cứu của công ty bảo mật Bitdefender, may mắn hơn, hơn một nửa số Internet sử dụng HTTPS, và "90% các ứng dụng được thiết kế cho điện thoại và máy tính xách tay" cũng sử dụng HTTPS.
Vậy câu hỏi đặt ra là các nhà phát triển hệ thống nhà thông minh (smart home), các thiết bị IoT của Việt Nam có lường trước hết mọi nguy cơ về tin tặc tấn công khi phát triển giao thức kết nối Wi-Fi? Hãy hỏi nhà cung cấp của bạn ngay lập tức nếu bạn đã lắp đặt nhà thông minh, hay thiết bị IoT.
Nhưng khi bạn sử dụng điện thoại để gửi lệnh cho thiết bị IoT, thường thì nó là văn bản không được mã hóa, nghĩa là bất kỳ ai cũng có thể nhìn thấy nó nếu chúng đang theo dõi lưu lượng truy cập của bạn. Munro ước tính rằng một nửa số thiết bị IoT của công ty ông đã sử dụng giao tiếp bằng văn bản thuần túy.
Munro cho biết: "Tất cả các thiết bị IoT đều sử dụng các phương tiện truyền thông văn bản thuần túy - hầu như tất cả các thiết bị mà chúng tôi đã nhìn từ xe hơi đến CCTV đều được sử dụng cho các thiết bị gia nhiệt.
Đối với thiết bị IoT, thiết bị được xây dựng bằng thiết kế. Không phải tất cả các thiết bị gia đình thông minh đều cần truyền thông mã hoá - ví dụ như bạn không cần phải nhập mật khẩu để bật bóng đèn. Nhưng hãy xem xét TV thông minh của bạn được liên kết với tài khoản Netflix của bạn hoặc tủ lạnh thông minh có quyền truy cập tài khoản Amazon của bạn.
Những thiết bị này giữ thông tin nhạy cảm và là mục tiêu lý tưởng cho các cuộc tấn công KRACK.
Balan cho biết: "Hầu hết các thiết bị thông minh đều được thiết kế để sử dụng tại nhà, và do đó chúng không nhất thiết đòi hỏi mã hóa cho traffic có tính địa phương. "Hầu hết các TV thông minh mà tôi biết không yêu cầu xác nhận khi bạn "nói chuyện" với chúng."
Chúng ta có thể nhìn thấy một viễn cảnh mà các hacker có thể chiếm được những gì bạn đang xem trên một chiếc TV thông minh, trong khi ăn cắp thông tin từ nó. Và họ có thể sẽ làm việc này trong nhiều tháng cho đến khi vấn đề được vá lại - nếu nó đã bao giờ được vá.
Vá các vết nứt
Cho đến nay, chỉ có một nhà sản xuất mô-đun IoT Wi-Fi chính thống đã cập nhật phần mềm để khắc phục tính dễ tổn thương, Munro nói. Espressif Systems, hãng cung cấp các mô-đun Wi-Fi cho các thiết bị IoT, cho biết họ đã phát hành bản vá cho KRACK.
Google và Amazon đều cho biết họ nhận thức được vấn đề này và sẽ gửi bản vá lỗi trong vài tuần tới. Điều này áp dụng cho tất cả thiết bị của họ, bao gồm cả Trang chủ Google và Amazon Echo, loa thông minh có thể điều khiển ngôi nhà của bạn.
Nest Labs, nhà cung cấp nhà thông minh thuộc sở hữu của Công ty mẹ Alphabet của Google, cũng cho biết "đang tung ra bản vá cho sản phẩm Nest trong vài tuần tới."
Truyền thông trên the Home and the Echo được mã hóa khi chuyển tiếp và rest, không giống như đa số thiết bị mà các nhà nghiên cứu bảo mật IoT đã nhìn thấy. Dữ liệu của Nest cũng được mã hóa, bảo vệ nó khỏi gián điệp bằng cách khai thác của KRACK.
Việc kiểm tra về mã hóa nhấn mạnh tầm quan trọng của việc trang bị cho ngôi nhà thông minh của bạn từ một nguồn đáng tin cậy, một thiết bị giữ an toàn và tiếp tục cập nhật các thiết bị. Lời khuyên chung là cập nhật thiết bị của bạn, nhưng điều gì xảy ra nếu không có?
Munro ước tính rằng các thiết bị IoT và bộ định tuyến gia đình "sẽ có nhiều khả năng không bị vướng mắc và vẫn có thể bị tổn thương trong vòng 6 đến 12 tháng".
Munro nói: "Rất nhiều IoT và các thiết bị thông minh liên quan không còn được hỗ trợ một cách nhanh chóng nữa, thay vào đó là 'Smart Thing V2'. "Vậy đâu là động lực cho các nhà cung cấp để tiếp tục hỗ trợ phiên bản cũ?"
Các thiết bị IoT không bao giờ nhận được các cập nhật cần thiết đang là miếng mồi ngon để tấn công KRACK.
(Nguyễn Thảo Trường - Toàn Minh Technologies lược dịch và hiệu đính từ C|net)
dienelectrics@gmail.com
0909186879 
