Sự nở rộ của những dịch vụ nền đám mây mang đến cho mỗi người những tiện ích, nhưng kèm theo đó là những mặt tối mà người dùng buộc phải chấp nhận và trông mong vào sự ban ơn của nhà cung cấp dịch vụ.
Mất sạch vì những đám mây Là một trong những dịch vụ mới được Apple cung cấp trong vài năm gần đây nhằm thay thế cho MobileMe, iCloud được coi như câu trả lời cho nhiệm vụ giữ cho mọi thiết bị của người dùng được cập nhật đồng thời với nhiều loại nội dung thông qua đám mây. Từ danh bạ, lịch đến bản sao lưu, dữ liệu ứng dụng đều có mặt ở bất cứ đâu và bất cứ khi nào bạn cần. Không còn lo lắng về việc phải luân chuyển, chỉnh sửa dữ liệu thông qua những chiếc USB, khi cần phải chuyển sang sử dụng một thiết bị mới hay tìm lại thiết bị bị thất lạc.
Mat Honan, một phóng viên của trang tin công nghệ Gizmondo đã tận hưởng những tiện ích này trong nhiều năm qua cho đến một ngày chính dịch vụ này lại khiến ông gần như mất tất cả. Trước khi tin tặc chiếm được quyền truy cập vào tài khoản Twitter của ông, chúng đã làm điều tương tự với tài khoản iCloud và kéo theo một chuỗi rắc rối.
Dữ liệu của Honan tích lũy được trong một thời gian dài gồm ảnh, tài liệu, email và nhiều thứ khác đã bị xóa mất và không thể khôi phục do ông không sao lưu dữ liệu ra bộ nhớ ngoài. Để gây được một thiệt hại lớn như vậy, tin tặc chỉ cần duy nhất một tên đăng nhập và mật khẩu (liên quan đến tài khoản của Apple) và được liên kết làm địa chỉ xác thực cho tài khoản khác như Google. Theo như suy nghĩ ban đầu của Honan, cách tấn công vét cạn tiêu tốn thời gian đã gặp may mắn, nhất là đối với mật khẩu ngắn hoặc đơn giản chỉ gồm chữ hoặc số. Hơn 20 năm sau khi World Wide Web được phát minh, nhiều người vẫn sử dụng những cụm ký tự đơn giản như ngày sinh, “123456”, “asdfg” để làm “một chìa khóa mở nhiều cửa” vào cuộc sống trực tuyến của họ. Điều này tạo cơ hội cho tin tặc dự đoán được thông tin truy cập nhanh hơn và người dùng chỉ còn biết tự trách mình khi tài khoản của họ bị tấn công. Mật khẩu dễ đoán cũng tệ như khi không có mật khẩu hay thậm chí là tệ hơn vì chúng ru bạn ngủ trong một cảm giác an toàn về bảo mật. Hơn nữa cho dù dữ liệu đã được mã hóa thì tổn thất cũng không hề giảm bớt nếu kẻ xấu cố tình xóa hoặc đánh cắp nó.
Lỗi con người, lỗi hệ thống “Tôi đã biết vụ việc xảy ra như thế nào. Cả tin tặc và Apple đều đã xác nhận. Đó không phải là cuộc tấn công dự đoán mật khẩu. Tin tặc truy cập được vào tài khoản của tôi không qua hỗ trợ kỹ thuật của Apple và một số kỹ thuật xã hội – social engineering khá thông minh”, Mat Honan nói.
Không quá cao siêu, phương pháp tấn công phi kỹ thuật này được tin tặc áp dụng bằng cách thu thập các thông tin liên quan về nạn nhân nhằm đưa ra những lời nói dối thuyết phục người khác cho phép truy cập vào tài khoản. Sự phổ biến của các dịch vụ web, dịch vụ lưu trữ trực tuyến kéo theo sự gia tăng của những cuộc điện thoại yêu cầu hỗ trợ lấy lại quyền truy cập do quên mật khẩu – một phần không nhỏ trong số đó không hoàn toàn là sơ ý. Tất nhiên có một số trường hợp dữ liệu bị xâm phạm trái phép mà không đến từ lỗi lầm của ai đó. Đơn giản là vì có sự can thiệp của các cấp hữu quyền.
Bạn có thể bị mất quyền kiểm soát bất cứ lúc nào với đủ thứ lý do, đây là câu nói mà bạn cần luôn giữ trong tâm trí khi sử dụng một
dịch vụ trực tuyến. Vấn đề không phải ở công nghệ bảo mật, mà là ở quá trình thực thi, chính sách và có lẽ là cả mô hình kinh doanh. Dịch vụ lưu trữ/đồng bộ nổi tiếng là DropBox cũng đã từng bị chỉ trích về vấn đề an ninh do chính sách có phần lỏng lẻo của công ty về việc quy định những ai được truy cập cơ sở thông tin người dùng. Gần đây nhất LinkedIn cũng gặp bê bối với việc để lộ mật khẩu của người dùng.
Quay trở lại với iCloud, vấn đề dường như nằm ở mô hình kinh doanh của nó: trói buộc phần cứng và phần mềm có thể là một công thức tạo ra thảm họa. Nếu ai đó đánh cắp được tài khoản Google hay Facebook của bạn, thiệt hại phần lớn là dành cho những sản phẩm trực tuyến được truy cập nhờ thông tin này. Còn khi có được tài khoản iCloud, không chỉ tài sản trực tuyến mà phần cứng của bạn như điện thoại, máy tính, máy tính bảng cũng rơi vào diện nguy hiểm nếu không phát hiện kịp thời. Với dịch vụ này của Apple, bạn chỉ cần có tên đăng nhập và mật khẩu để truy cập tài khoản trong khi những nhà cung cấp khác có tiến bộ hơn bằng việc cung cấp xác thực nhiều bước. Ví như với Google, bạn có thể thiết lập để Google xác nhận người dùng qua một mã số gửi tới số điện thoại đăng ký trước – gia tăng độ an toàn cho tài khoản.
Tin và tự bảo vệ Qua vụ việc đáng tiếc xảy ra với Mat Honan, Apple cần phải siết chặt bảo mật và giải thích rõ ràng tại sao mà bộ phận hỗ trợ kỹ thuật lại bị đánh lừa dễ dàng như vậy. Những gì diễn ra cho thấy lưc lượng lao động di động phụ thuộc vào web, vào các đám mây là rất nhiều và họ có thể bị tin tặc quét sạch mọi thứ có trên các thiết bị họ sở hữu. Và sự thật khắc nghiệt được đưa ra là nếu ai đó muốn là một phần của đám mây, thì việc tin tưởng vào các nhà cung cấp dịch vụ dường như là việc duy nhất chúng ta có thể làm. Trong nhiều trường hợp, họ đã cố gắng để bảo đảm an ninh nhưng sơ suất là không thể tránh khỏi. Và khi có chuyện không vui xảy ra, bạn sẽ được nghe rất nhiều người nói rằng:”Tôi đã nói với bạn rồi mà”.
Thế nên thay vì phải cuống cuồng liên hệ với nhà cung cấp dịch vụ để hỏi cho rõ ngọn ngành hoặc ngồi viết blog chia sẻ kinh nghiệm dại dột thì bạn vẫn có thể tăng cường an toàn cho tài sản của mình tối đa. Việc sao lưu nên thực hiện thường xuyên, không chỉ lên mây mà còn tới những địa điểm lưu trữ ngoài khác. Thay vì sử dụng tiện ích xóa dữ liệu tích hợp trong dịch vụ như iCloud, người dùng có thể chọn một giải pháp khác bên ngoài để giải quyết trong trường hợp thiết bị của họ bị mất hoặc bị đánh cắp – dù có bị cho là một bước thụt lùi đi chăng nữa.
“Vào lúc 16:50, một ai đó đã truy cập vào tải khoản iCloud của tôi, thiết lập lại mật khẩu và cho thông báo xác nhận vào thùng rác”. Mật khẩu của tôi là 7 chữ số mà tôi không sử dụng ở những nơi khác. Khi đặt mật khẩu này thì tại thời điểm đó mọi thứ khá an toàn. Nhưng qua nhiều năm, điều đó không còn đúng nữa và tôi đoán là chúng (tin tặc) đã sử dụng cách tấn công vét cạn và sử dụng thông tin truy cập được để gây thiệt hại cho các thiết bị của tôi.
Vào lúc 17:00, chúng xóa sạch từ xa dữ liệu trên iPhone của tôi.
Vào lúc 17:01, chúng xóa sạch từ xa dữ liệu trên iPad của tôi.
Vào lúc 17:05, chúng xóa sạch từ xa dữ liệu trên MacBook Air của tôi.”
Mat Honan |
Mạnh Tuấn
Thế Giới Số 164 – Ngày 15.4.2013
