[Update] Không chỉ trình duyệt, nhiều ứng dụng Android và iOS bị ảnh hưởng bởi FREAK

[Ginny Hà]

Cập nhật ngày 18/03/2015: Trong khi hầu hết mối quan tâm, lo ngại của mọi người dồn về lỗ hổng FREAK ảnh hưởng tới các trình duyệt, thì hàng ngàn ứng dụng Android và iOS mà nhiều trong số đó liên quan đến tài chính, mua sắm và dịch vụ sức khỏe có thể bị khai thác qua FREAK.

Kết quả kiểm tra các ứng dụng phổ biến nhất trên Google Play và App Store (Apple) của các chuyên gia an ninh mạng cho thấy 1.999 ứng dụng có thể khiến người dùng bị tấn công hạ cấp mã hóa. Cụ thể, 1.228 ứng dụng Android có không dưới một triệu lượt tải về tồn tại lỗ hổng. Con số ứng dụng có lỗ hổng trên iOS là 771/14.079 ứng dụng phổ biến nhất.

Trong khi Apple vừa vá lỗ hổng FREAK cho iOS 8.2 thì 711 ứng dụng tồn tại lỗ hổng trên App Store vẫn là nguy cơ đối với các thiết bị iPhone và iPad chạy các phiên bản iOS cũ hơn.

Nguồn: Arstechnica ​

Cập nhật ngày 10/03/2015: Apple vừa đưa ra bản vá an ninh cho các sản phẩm của mình, trong đó đáng chú ý là bản vá cho lỗ hổng FREAK trên cả iOS và OS X. Ngoài ra, 4 lỗ hổng khác trên iOS và các lỗ hổng iCloud, IOSurface, IOAcceleratorFamily, kernel trên OS X cũng được cập nhật.

Các máy tính chạy các phiên bản Windows của Microsoft cũng bị ảnh hưởng bởi FREAK, lỗ hổng tồn tại hàng thập kỷ, đe dọa người dùng khi sử dụng thiết bị truy cập vào hàng trăm nghìn website, trong đó có 255 website Việt Nam.

Lỗ hổng trước đó được cho rằng chỉ ảnh hưởng đến các trình duyệt Safari của Apple và trình duyệt mặc định của Android. Tuy nhiên, Microsoft vừa đưa ra cảnh báo, giao thức mã hóa được sử dụng trên Windows là Secure Sockets Layer và phiên bản tiếp theo Transport Layer Security cũng bị ảnh hưởng bởi lỗ hổng.

Cảnh báo an ninh của Microsoft cho biết: “Theo kết quả điều tra của chúng tôi, lỗ hổng có thể cho phép tin tặc buộc hạ cấp đường truyền mã hóa được sử dụng trong giao thức SSL/TLS trên hệ thống máy khách Windows”.

Microsoft cho biết, hãng có thể sẽ đưa ra bản vá lỗ hổng vào ngày bản vá định kỳ (thứ 3) hoặc bản vá không theo định kỳ. Thời điểm hiện tại, Microsoft khuyến cáo người dùng vô hiệu hóa (disable) chức năng export trong RSA.

Ngày 5/3, Google cũng đưa ra bản vá cho trình duyệt Chrome trên Mac, các phiên bản Chrome cho Android hiện vẫn chưa có bản vá. Apple cũng cho biết sẽ đưa ra bản vá cho OS X và iOS vào tuần tới.

Lỗ hổng FREAK được phát hiện khi một nhóm nghiên cứu nhận thấy họ có thể buộc các trang web sử dụng mã hóa yếu một cách có chủ đích, từ đó bẻ khóa mã hóa chỉ trong vài giờ. Sau khi bẻ khóa, tin tặc có thể lấy cắp các dữ liệu như mật khẩu, và tấn công một số thành phần trên trang.

Các chuyên gia cho biết, chưa có bằng chứng cho thấy tin tặc đã khai thác lỗ hổng này, và đổ lỗi do chính sách cũ của Mỹ khi cấm các công ty Mỹ sử dụng tiêu chuẩn mã hóa mạnh nhất. Giới hạn này đã được xóa bỏ từ cuối những năm 1990, tuy nhiên các mã hóa yếu vẫn tồn tại trong phần mềm được sử dụng rộng rãi trên toàn thế giới bao gồm cả thiết bị Windows và các trình duyệt web.

Nguồn: CNET, Arstechnica​