Lỗ hổng DROWN: Hàng trăm hệ thống quan trọng tại Việt Nam có nguy cơ bị đánh cắp thông tin, Bkav phá

[WhiteHat News #ID:2112]

[Update 21h00, ngày 4/3/2016] Bkav phát hành công cụ DROWN checker tại địa chỉ http://tools.whitehat.vn, giúp quản trị có thể nhanh chóng kiểm tra khả năng hệ thống của mình bị ảnh hưởng bởi lỗ hổng DROWN.

Các quản trị cũng có thể kiểm tra hệ thống của mình tại https://test.drownattack.com, công cụ được phát hành bởi các nhà nghiên cứu tìm ra lỗ hổng. Tuy nhiên, công cụ này chỉ hiển thị các kết quả được kiểm tra trong tháng 2/2016 và không cập nhật tình trạng sau đó. Nghĩa là, nếu hệ thống của bạn không còn tồn tại lỗ hổng DROWN do đã vô hiệu hóa SSLv2 hoặc nâng cấp OpenSSL, công cụ này vẫn báo hệ thống có lỗ hổng.

​

-------------------------------------------------------------

Như thông tin đã đưa về lỗ hổng DROWN ngày 2/3, Bkav đã tiến hành kiểm tra các hệ thống quan trọng và có ảnh hưởng lớn tại Việt Nam. Kết quả, hàng trăm hệ thống có thể bị tấn công, đặt người dùng trước nguy cơ bị đánh cắp các thông tin quan trọng như mật khẩu, thông tin cá nhân, tài khoản ngân hàng…

​

Trong số các hệ thống bị ảnh hưởng, có tới 58% thuộc lĩnh vực tài chính, 21% thuộc lĩnh vực dầu khí, 11% thuộc lĩnh vực công nghiệp, hàng tiêu dùng, 5% thuộc lĩnh vực công nghệ, viễn thông và 5% thuộc lĩnh vực vận tải, du lịch.

Bkav đã gửi cảnh báo đến các đơn vị bị ảnh hưởng và hướng dẫn cách khắc phục lỗ hổng, đảm bảo an toàn thông tin cho khách hàng.

Lỗ hổng DROWN là gì?

Lỗ hổng DROWN khai thác điểm yếu của giao thức SSLv2, ảnh hưởng tới các kết nối có mã hóa như HTTPS và các dịch vụ khác dựa trên giao thức SSL và TLS. Đây là các giao thức được dùng để mã hóa dữ liệu trong các dịch vụ như ebanking, thương mại điện tử… đồng thời cũng được nhiều cơ quan sử dụng để cho phép nhân viên có thể truy cập vào các ứng dụng nội bộ của cơ quan, làm việc từ xa qua Internet.

Khai thác lỗ hổng DROWN, tội phạm mạng có thể lấy được các thông tin nhạy cảm của người dùng như mật khẩu, thông tin cá nhân, tài khoản ngân hàng, truy cập hộp thư hoặc xâm nhập trái phép vào mạng nội bộ của cơ quan.

Ông Ngô Tuấn Anh, Phó chủ tịch phụ trách An ninh mạng của Bkav cho biết: “Lỗ hổng DROWN khó khai thác hơn lỗ hổng Heartbleed do tin tặc phải đứng giữa kết nối của máy chủ và người dùng. Tuy nhiên, nguy cơ khai thác lỗ hổng để đánh cắp các thông tin của người sử dụng hoàn toàn có thể xảy ra. Các quản trị hệ thống cần lập tức vô hiệu hóa giao thức SSLv2 để bảo vệ an toàn cho hệ thống của mình và người dùng”.

Hướng dẫn xử lý lỗ hổng DROWN Bước 1: Kiểm tra hệ thống có tồn tại lỗ hổng DROWN hay không tại tools.whitehat.vn Bước 2: Vô hiệu hóa lỗ hổng theo hướng dẫn chi tiết cho từng hệ điều hành Đối với server Windows Để tắt hoàn toàn SSLv2 trên Windows có thể sử dụng công cụ do Microsoft cung cấp (http://go.microsoft.com/?linkid=9742318). Trong trường hợp không sử dụng được công cụ này có thể thực hiện thay đổi trong registry (chú ý sao lưu trước khi có bất kỳ thay đổi nào để đảm bảo hoạt động cho server) Trong Registry Editor tìm tới đường dẫn HKey_Local_MachineSystemCurrentControlSetContro lSecurityProviders SCHANNELProtocolsSSL 2.0Server Chuột phải vào Server chọn New -> Add DWORD (32 bit) Value Đặt tên là “Enabled” và đặt giá trị bằng 0 Khởi động lại server * Chú ý: Trong trường hợp không tìm thấy SSL 2.0 trong Protocol có thể tự tạo thêm folder này và thực hiện tương tự như ở trên Đối với server Linux Với phiên bản OpenSSL 1.0.1: Nâng cấp lên phiên bản OpenSSL 1.0.1s wget http://www.openssl.org/source/openssl-1.0.1s.tar.gz​ tar –xvzf http://www.openssl.org/source/openssl-1.0.1s.tar.gz​ cd openssl-1.0.1s​ ./config –prefix=/usr/​ make​ sudo make install​ Với phiên bản OpenSSL 1.0.2: Nâng cấp lên phiên bản OpenSSL 1.0.2g wget http://www.openssl.org/source/openssl-1.0.2g.tar.gz​ tar –xvzf http://www.openssl.org/source/openssl-1.0.2g.tar.gz​ cd openssl-1.0.2g​ ./config –prefix=/usr/​ make​ sudo make install​

Bkav​