Phát hiện lỗ hổng có thể lộ tất cả các mật khẩu trên iOS

 Suốt từ tháng 10 tới nay, Apple đã không thể vá được một lỗ hổng có thể khiến người dùng để mất tất cả các mật khẩu lưu trên Keychain, bao gồm cả mật khẩu iCloud lẫn các mật khẩu của ứng dụng iOS.

Suốt từ tháng 10 tới nay, Apple đã không thể vá được một lỗ hổng có thể khiến người dùng để mất tất cả các mật khẩu lưu trên Keychain, bao gồm cả mật khẩu iCloud lẫn các mật khẩu của ứng dụng iOS.

{keywords}

Các nhà nghiên cứu từ Đại học Indiana và Viện Công nghệ Georgia ở Mỹ đã tìm ra một lỗ hổng khổng lồ trên iOS và Mac OS X được cả Apple, Google và nhiều công ty khác xác nhận. Với mục tiêu là tính năng Keychain trên các hệ điều hành gắn mác Táo, các nhà nghiên cứu đã tạo ra một ứng dụng có thể đánh cắp dữ liệu đăng nhập iCloud cũng như của tất cả các ứng dụng độc lập trên iOS.

"Chúng tôi đã phá thành công dịch vụ Keychain, vốn được sử dụng để lưu mật khẩu và các thông tin định danh khác cho các ứng dụng Apple, và cả sandbox container (môi trường cho phép ứng dụng chạy hoàn toàn độc lập và cách biệt) trên OS X. Đồng thời, chúng tôi cũng đã phát hiện ra nhiều điểm yếu trong cơ chế liên lạc giữa Mac OS X và iOS, cho phép đánh cắp dữ liệu nhạy cảm từ Evernote, Facebook và nhiều ứng dụng nổi tiếng khác", đội nghiên cứu khẳng định.

Thông tin của tờ The Register cho biết Apple đã được thông báo về lỗ hổng này từ tháng 10 năm ngoái. Khi đó, công ty của Tim Cook khẳng định đã nắm được mức độ nguy hiểm của lỗ hổng này, đồng thời yêu cầu các nhà nghiên cứu cho thêm 6 tháng để sửa lỗi trước khi công bố. Đến tháng 2, Apple lại yêu cầu được cung cấp bản thảo của công trình nghiên cứu này, song đến tận bây giờ lỗ hổng nguy hiểm này vẫn chưa được vá.

Để có thể thực hiện đánh cắp mật khẩu, các nhà nghiên cứu đã lợi dụng các lỗ hổng của iOS và Mac OS X để mã độc có thể "ép" người dùng thực hiện đăng nhập vào các dịch vụ bị tấn công, sau đó đánh cắp thông tin vừa được nhập vào. Theo thiết kế, các ứng dụng chỉ được quyền thay đổi các thông tin keychain của một vài ứng dụng nhất định (thường chỉ bao gồm ứng dụng đó). Mã độc của các nhà nghiên cứu đã có thể xóa thông tin keychain của ứng dụng khác. Sau đó, mã độc sẽ tạo ra một bản ghi keychain mới, tự thêm chính mình cũng như ứng dụng nạn nhân vào danh sách được quyền truy cập thông tin keychain mới tạo này. Khi nạn nhân đã thực hiện đăng nhập, thông tin mật khẩu của họ sẽ được thêm vào keychain do mã độc tạo ra.

{keywords}
Ngay cả Google cũng phải bó tay và buộc phải loại bỏ tích hợp Keychain trên Chrome nền iOS/Mac OS X.

AgileBits, tác giả của ứng dụng quản lý mật khẩu nổi tiếng 1Password cho biết người dùng không có cách nào để tự bảo vệ mình trước lỗ hổng này. Các nhà nghiên cứu cũng đã đăng tải thành công các ứng dụng có chứa mã độc lên các chợ ứng dụng của iOS và Mac OS, vượt qua khâu kiểm thử của Apple. Sau khi tiến hành tấn công vào nhiều ứng dụng iOS và Mac OS X, các nhà nghiên cứu khẳng định 90% các ứng dụng bị thử nghiệm "bị sơ hở hoàn toàn", cho phép mã độc được quyền truy cập tất cả các thông tin nhạy cảm.

Để đối phó với lỗ hổng này, đội ngũ bảo mật của dự án Chromium trực thuộc Google đã loại bỏ tính năng tích hợp Keychain khỏi trình duyệt Chrome. Hiện tại, cách giải quyết duy nhất đối với người dùng là tránh tải về các ứng dụng đến từ các nhà phát triển ít danh tính (thậm chí là trên cả các chợ iOS App Store và Mac App Store). Đồng thời, người dùng cũng sẽ cần để ý tới các trường hợp yêu cầu đăng nhập bất thường. Để đảm bảo an toàn tối đa, hãy tránh lưu mật khẩu trên trình duyệt hoặc các ứng dụng quản lý mật khẩu.

Theo Vnreview/9to5Mac

tin nổi bật

Nga nỗ lực độc lập công nghệ, thoát khỏi lệ thuộc phương Tây

Bằng những phương thức “thô sơ”, Kremlin đã từng chút một hiện thực hóa mục tiêu từng bị xem là “không tưởng”: thoát khỏi sự lệ thuộc vào công nghệ phương Tây.

Cổ đông kiện Elon Musk và Twitter

Các cổ đông Twitter đang kiện CEO Tesla và SpaceX cùng chính nền tảng mạng xã hội này vì thương vụ mua lại gây tranh cãi, khiến giá cổ phiếu công ty biến động mạnh.

Nga tiếp tục triển khai kho ứng dụng độc lập, không phụ thuộc vào phương Tây

Sau NashStore, Nga tiếp tục phát hành cửa hàng ứng dụng tiếp theo mang tên RuStore.

Mỹ xem xét cấm các ứng dụng thanh toán bằng đồng kỹ thuật số của Trung Quốc

Các nghị sỹ Đảng Cộng hoà đang đề xuất dự luật yêu cầu các kho ứng dụng trên lãnh thổ Mỹ, gồm của Apple và Google, cấm các ứng dụng cho phép thanh toán bằng đồng NDT điện tử (e-CNY) do Trung Quốc phát hành.

Ukraine gửi thông điệp tới Cloudflare và SAP: Hãy rời khỏi Nga ngay lập tức

Ukraine bày tỏ mong muốn một số công ty công nghệ sẽ có động thái quyết liệt hơn với Nga.

iPhone 13 rơi xuống biển, nữ du khách nhờ đội thợ lặn cứu "dế cưng"

Đội thợ lặn đã được huy động để vớt chiếc iPhone 13 của một du khách, sau khi người này vô ý đánh rơi chiếc smartphone xuống biển.

Lãnh đạo cấp cao Microsoft xem “phim nóng” trước mặt nhân viên nữ

8 năm sau khi gã khổng lồ công nghệ Mỹ tuyên chiến với văn hoá độc hại trong công ty, một lãnh đạo cấp cao của hãng vừa xem “phim nóng” bằng kính thực tế ảo (VR) ngay trước mặt các nhân viên nữ.

Mỗi người lao động ngành TT&TT phải là một công dân số

Đây là nhiệm vụ vừa được Thứ trưởng Bộ TT&TT Phạm Anh Tuấn giao cho các cơ quan, đơn vị, người lao động trong ngành.

Ngắm mẫu iPhone 14 Pro màu lung linh, camera cực "khủng"

Mẫu iPhone 14 Pro xuất hiện trong video concept mới nhất cho thấy iPhone mới có nhiều thay đổi đáng để các iFan chờ đợi dịp ra mắt tháng 9 tới.

Người dân được miễn phí khi đăng ký tài khoản định danh điện tử

Theo Công an thành phố Hà Nội, công dân đăng ký tài khoản định danh điện tử không phải nộp lệ phí. Việc sử dụng tài khoản định danh điện tử sẽ mang lại nhiều lợi ích cho người dân.

Elon Musk và Jeff Bezos mất hàng trăm tỷ USD chỉ trong 5 tháng

Theo bảng xếp hạng tỉ phú Bloomberg Billionaires Index, khối tài sản ròng của 50 người giàu nhất thế giới đã “bốc hơi” 563 tỷ USD trong năm 2022. Trong đó, hai tỷ phú Elon Musk và Jeff Bezos chịu thiệt hại nặng nề nhất.

Viettel có thêm 2 sáng chế bảo hộ độc quyền ở Mỹ

Tháng 5/2022, Viện Hàng không Vũ trụ Viettel (VTX) được Văn phòng Sáng chế và Nhãn hiệu Hoa Kỳ (USPTO) cấp giấy chứng nhận bảo hộ độc quyền cho hai công trình thuộc lĩnh vực quang điện tử và công nghiệp vật liệu.

Nguyễn Thế Vinh - CoFounder Coin98 Finance vào top Forbes 30 Under 30 Châu Á

Từng có thời điểm, token C98 của startup Coin98 Finance do Nguyễn Thế Vinh đồng sáng lập có tổng giá trị vốn hóa vượt ngưỡng 1 tỷ USD.

iPhone 14 Pro lộ diện thiết kế đột phá

Những hình ảnh về iPhone 14 Pro với thiết kế màn hình vừa được chia sẻ, mang đến cái nhìn chính xác nhất về diện mạo của thiết bị khi ra mắt vào cuối năm nay.

Màn hình LED ngoài trời ‘siêu to’ tại công viên nước lớn nhất Việt Nam

Màn hình LED chuyên dụng ngoài trời 2.000 inch mang thương hiệu Samsung XAT vừa xác lập kỷ lục tại công viên nước The Amazing Bay, được kỳ vọng sẽ tạo nên những cảm xúc du lịch chân thực và sống động cho du khách tại KDL Sơn Tiên.