Lấy được History của trình duyệt + mạng xã hội = mất danh tính

Chỉ cần tham gia vào vài nhóm trong mạng xã hội là đủ để tin tặc dò ra danh tính của bạn, theo một số báo cáo an ninh gần đây cho biết.

Một nhóm các học giả quốc tế đã mô tả cách họ giành quyền tham gia nhóm bằng cách dùng thông tin mà các trang mạng xã hội công bố rộng rãi, rồi sử dụng một kiểu tấn công có sẵn nhằm vào trình duyệt để biết danh tính cá nhân. Thông tin này có thể được kết hợp với các dữ liệu khác và gây ra các nguy cơ an ninh mới, ví dụ như nạn phishing có mục tiêu chẳng hạn.

Lỗ hổng trong các mạng xã hội là kết quả của việc cố cân bằng giữa độ an toàn và tính dễ sử dụng, dạng đầu tiên là cung cấp các thông tin nhận diện duy nhất cho các nhóm trên mạng xã hội. Nhiều trang mạng xã hội chỉ đơn giản theo dõi các nhóm (bằng ID dưới dạng các số nguyên). Các ID này sẽ được lưu vào History trình duyệt bởi chúng thường được đưa vào URL qua HTTP GET, gửi thông tin tới máy chủ qua các biến số gắn với URL.

Không thể tách thông tin này khỏi URL bằng cách dùng HTTP POST để chuyển riêng dữ liệu. Nhưng POST sẽ khiến cho không thể đánh dấu trang web của một nhóm bởi thông tin đó không còn được URL lưu lại. Vì thế từ góc độ người dùng thì việc dùng HTTP GET vẫn tốt hơn nhiều.

$\"\"$

Nếu ID của nhóm có trong URL thì nó cũng sẽ có trong History trình duyệt, và các nghiên cứu trước đó cho thấy History trình duyệt có khả năng bị các website độc theo dõi. Lại một lần nữa, đây là tác phẩm của một giao diện người dùng tốt, bởi các trang web có thể hiển thị các link đã được ghé thăm theo các màu riêng để tiện cho việc định hướng. Để làm điều này, chúng phải biết được người dùng đã ở đâu, và có rất nhiều cách để làm việc này qua công nghệ web chuẩn. “Cho đến giờ vẫn đề này vẫn chưa được giải quyết bởi nó vẫn bị coi là một vấn đề về thiết kế/tính năng sử dụng chứ không phải lỗ hổng trình duyệt,” các tác giả viết.

$\"\"$ Vì thế có thể nhận diện các URL ứng với các nhóm trong mạng xã hội, sau đó kiểm tra History người dùng xem họ có truy cập vào các URL đó không. Bước cuối trong việc dò ra người dùng là lấy danh sách các thành viên trong nhóm đó. Rất nhiều trang mạng xã hội công khai danh sách thành viên, các trang còn lại thì cho phép xem nếu tham gia vào nhóm đó. Ví dụ như LinkedIn sẽ hiển thị thông tin thành viên nhóm cho những người dùng khác trên trang profile của họ. Hay trang mạng xã hội Xing của Đức, thậm chí người dùng còn truy cập được thông tin cá nhân của thành viên nhóm bằng cách gửi yêu cầu từ một tài khoản ảo – khoảng 10% số nhóm chấp nhận tất cả các yêu cầu gia nhập nhóm.

Điều này buộc tin tặc phải dò tìm từng mạng xã hội, nhưng có toàn quyền lấy danh sách thành viên.

Các tác giả đã xây dựng danh sách thành viên đầy đủ trong các mạng xã hội họ truy cập trong Xing, rồi phân tích những thành viên thuộc nhiều nhóm để biết về những thành viên này. Với Xing, có 42% số thành viên nhóm cung cấp thông tin chính xác. Nói cách khác, khi biết một người tham gia vào những nhóm nào, bạn có thể biết được người đó là ai với tỉ lệ 50%.

$\"\"$ Họ cũng không phải bỏ nhiều công sức cho lắm. “Tổng cộng chúng tôi đã dò thành công hơn 43.2 triệu thành viên thuộc 31,853 nhóm trong thời gian 23 ngày chỉ với 2 chiếc máy tính,” các tác giả viết. Họ cũng đưa ra một phân tích với Facebook và chứng minh rằng Facebook cũng có thể bị tấn công, mặc dù số lượng thành viên khổng lồ của nó khiến việc dò tìm toàn diện vượt quá khả năng của nghiên cứu này.

Sau khi đã xây dựng được cơ sở dữ liệu thành viên nhóm, tất cả những gì còn lại là kiểm tra sự hiện diện của tranh thành viên trong cache trình duyệt. Các tác giả đã tạo một JavaScript để làm việc này, và kiểm tra nó bằng nhiều trình duyệt trên nhiều nền tảng. Kết quả là Safari và Chrome dẫn đầu, IE đứng khá xa phía sau (trong trường hợp này, đây là một tính năng an ninh). Nhưng vấn đề quan trọng là các con số: khi dùng Safari, họ có thể kiểm tra 90000 URL trong chưa đầy 20 giây với một chiếc laptop 2.8GHz Core 2 Duo.

Tùy vào mạng xã hội mà việc biết được danh tính người dùng sẽ gây các hậu quả khác nhau. Thông tin tài khoản ngân hàng không mấy xuất hiện trên các trang như thế này, nhưng việc nắm được Profile đầy đủ của một người có thể khiến họ dễ bị phishing và bị tấn công bởi các loại tấn công khác.

Nhiều thông tin có thể tìm ra bằng các cách khác, nhưng việc đưa mạng xã hội vào danh sách những nơi nguy hiểm sẽ khiến người dùng khó mà bảo vệ mình được toàn diện. Và do kiểu tấn công này dựa vào những tính năng vẫn được coi là không thể thiếu với một thiết kế giao diện tốt nên việc ngăn chặn nguy cơ này gần như là không thể.

$\"\"$