Phát Hiện Chiêu Thức Giả Mạo Tên Miền Mới

Khoảng giữa tháng 04/2017, một nhà nghiên cứu bảo mật thông tin đã khám phá ra một phương pháp tấn công giả mạo được cho là “gần như không thể phát hiện ra”, có thể đánh lừa, ngay cả những người dùng cẩn thận nhất trên Internet.

Theo cảnh báo, hacker có thể sử dụng một lỗ hổng đã biết trên trình duyệt Chrome, Opera và Firefox để hiển thị các tên miền giả mạo cho các website dịch vụ hợp pháp, như Apple, Google hay Amazon để ăn cắp các thông tin hội nhập và tài khoản ngân hàng, hay các thông tin nhạy cảm khác của người dùng.

Đối với người dùng thông thường, trên các trình duyệt, lớp phòng thủ hữu hiệu nhất chống lại các cuộc tấn công lừa đảo là biểu tượng của giao thức kết nối HTTPS xuất hiện trên thanh địa chỉ mỗi lần sau khi trang web được tải xuống. Tuy nhiên, với phương thức tấn công mới, người dùng sẽ thậm chí không thể tin rằng đó lại là một trang web giả mạo. Gần như không thể xác định xác định trang web đó là giả mạo nếu không kiểm tra cẩn thận đường link URL hay chứng chỉ SSL của trang web.

Kỹ thuật tấn công đồng âm đã được biết đến từ năm 2001, nhưng các nhà cung cấp trình duyệt đã gặp nhiều khó khăn để khắc phục vấn đề. Nó là một loại tấn công giả mạo, khi địa chỉ website dù trông có vẻ hợp pháp nhưng thực ra không phải, vì một hay nhiều ký tự đã bị thay thế với các ký tự Unicode một cách lừa đảo. Nhiều ký tự Unicode, dùng để biểu diễn cho các bảng chữ cái của tiếng Hy Lạp, Cyrillic, và Armenian trong các tên miền quốc tế, khi nhìn bằng mắt thường sẽ trông không khác gì các chữ cái Latin, nhưng lại được máy tính xử lý như các ký tự khác nhau, cũng như xem chúng như các địa chỉ trang web hoàn toàn khác biệt.

Chẳng hạn như, chữ “а” trong bảng chữ cái Cyrillic (U+430) và chữ “a” trong bảng chữ cái Latin (U+0041) đều được trình duyệt xử lý hoàn toàn khác biệt dù đều hiển thị là chữ “a” trong thanh địa chỉ trình duyệt.

Ở chế độ mặc định, các trình duyệt web sử dụng bộ mã hóa “Punycode” để biểu diễn các ký tự Unicode trong địa chỉ URL để chống lại các cuộc tấn công giả mạo loại ký tự. Punycode là một bộ mã hóa đặc biệt được trình duyệt web sử dụng để chuyển các ký tự Unicode thành bộ ký tự giới hạn của ASCII (từ A đến Z, từ 0 đến 9), hỗ trợ bởi hệ thống tên miền quốc tế International Domain Name (IDNs).

Lỗ hổng dựa trên thực tế rằng các trình duyệt web dùng Punycode để biểu diễn các ký tự Unicode nếu các đường link URL chỉ sử dụng một ngôn ngữ duy nhất, nhưng các trình duyệt sẽ không thể biểu diễn được nếu tên miền chứa các ký tự từ nhiều loại ngôn ngữ khác nhau. Nó cho phép các nhà nghiên cứu ghi danh một tên miền và vượt qua được lớp bảo vệ, khi nó hiển thị dưới cái tên “apple.com” với tất cả các trình duyệt bị ảnh hưởng, kể cả Chrome, Firefox và Opera, trong khi đó Internet Explorer, Microsoft Edge, Apple Safari, Brave và Vivaldi lại không bị tổn thương.

Trong khi Mozilla Firefox hiện vẫn đang thảo luận để sửa chữa lỗi, Google đã vá được lỗ hổng trong bản thử nghiệm Chrome Canary 59 của hãng, và sẽ ra mắt một bản sửa lỗi vĩnh viễn với việc phát hành Chrome bản Stable 58, dự kiến sẽ ra mắt trong tháng 04/2017.

Trong khi đó, hàng triệu người dùng Internet, những người đang có nguy cơ trở thành nạn nhân của kỹ thuật tấn công giả mạo tinh vi, khó có thể phát hiện, được khuyến cáo nên tắt chức năng Punycode trong trình duyệt web để tạm thời giảm nhẹ loại tấn công này và xác định các tên miền giả mạo. Người dùng Firefox có thể gõ “about:config” vào thanh địa chỉ và ấn Enter. Gõ Punycode vào thanh tìm kiếm. Phần cài đặt của trình duyệt sẽ hiển thị thông số có tiêu đề: network.IDN_show_punycode, double click hoặc ấn chuột phải và chọn Toggle để thay đổi giá trị của thông số, từ false sang true.

Cách làm không thể áp dụng cho Chrome hay Opera do không có các thiết lập tương tự để vô hiệu hóa chức năng chuyển đổi Punycode đối với đường link URL theo cách thủ công, nên người dùng Chrome phải chờ thêm vài tuần nữa để nhận được bản vá khi bản Chrome Stable 58 phát hành.

Người dùng Internet luôn được khuyến khích nhập thủ công địa chỉ website, đặc biệt là các trang web quan trọng như Gmail, Facebook, Twitter, Yahoo hay các trang web ngân hàng, thay vì click vào bất kỳ đường link nào xuất hiện trên một số website hay email. Điều này cũng nhằm ngăn chặn các cuộc tấn công không thể phát hiện.