Ng&agrave;y nay, c&aacute;c tr&igrave;nh duyệt Web như Firefox, Chrome, IE,...l&agrave; một phần kh&ocirc;ng thể thiếu trong c&aacute;c hoạt động của con người. C&aacute;c tr&igrave;nh duyệt l&agrave; c&aacute;c c&ocirc;ng cụ kết nối với thế giới, t&igrave;m kiếm th&ocirc;ng tin v&agrave; thậm ch&iacute; thao t&aacute;c c&ocirc;ng việc h&agrave;ng ng&agrave;y. Mỗi tr&igrave;nh duyệt đều c&oacute; c&aacute;c cơ chế&nbsp;sử dụng c&aacute;c tr&igrave;nh tiện &iacute;ch mở rộng (extension) để bổ sung th&ecirc;m c&aacute;c t&iacute;nh năng thực thi nhằm gi&uacute;p người d&ugrave;ng tiện lợi hơn khi sử dụng. C&aacute;c tr&igrave;nh mở rộng n&agrave;y c&oacute; thể l&agrave; c&aacute;c tiện &iacute;ch xem video, che dấu địa chỉ IP, chặn quảng c&aacute;o, th&ocirc;ng b&aacute;o tin tức cập nhật... C&oacute; h&agrave;ng ng&agrave;n c&aacute;c loại tiện &iacute;ch mở rộng cho mọi mục đ&iacute;ch sử dụng. Tuy nhi&ecirc;n ch&iacute;nh c&aacute;c phần mở rộng n&agrave;y đang l&agrave; những mắt x&iacute;ch yếu cho vấn đề an to&agrave;n người d&ugrave;ng tr&ecirc;n tr&igrave;nh duyệt, rất nhiều tiện &iacute;ch mở rộng của tr&igrave;nh duyệt l&agrave; c&aacute;c trạm hấp thu tấn c&ocirc;ng với đầy những lỗ hổng v&agrave; điểm yếu an to&agrave;n, một số kh&aacute;c thậm ch&iacute; bản th&acirc;n n&oacute; đ&atilde; l&agrave; c&aacute;c m&atilde; độc được c&agrave;i đặt bởi ch&iacute;nh người d&ugrave;ng.
<div class="entry">
Trang web chia sẻ file trực tuyến phổ biến Mega.nz cảnh b&aacute;o người d&ugrave;ng về dạng tấn c&ocirc;ng được tội phạm mạng sử dụng bằng c&aacute;ch d&ugrave;ng một phần mở rộng của h&atilde;ng n&agrave;y tr&ecirc;n tr&igrave;nh duyệt Google Chrome. Tiện &iacute;ch mở rộng n&agrave;y sao ch&eacute;p t&ecirc;n v&agrave; mật khẩu m&agrave; người d&ugrave;ng gửi qua tr&igrave;nh duyệt sau đ&oacute; chuyển tiếp đến m&aacute;y chủ lừa đảo ở Ukraina.&nbsp;
</div>
Phần mở rộng n&agrave;y của Chrome bị khai th&aacute;c sau khi t&agrave;i khoản chợ ứng dụng Chrome Web của nh&agrave; ph&aacute;t triển bị tấn c&ocirc;ng:
<blockquote>
&ldquo;V&agrave;o&nbsp;14:30 ng&agrave;y 4/9/2018, một phi&ecirc;n bản trojan của tiện &iacute;ch mở rộng MEGA&rsquo;s Chrome, phi&ecirc;n bản 3.39.4 được tải l&ecirc;n chợ ứng dụng Google Chrome. Khi c&agrave;i đặt hoặc sử dụng chế độ tự động cập nhật, trojan n&agrave;y sẽ đ&ograve;i hỏi c&aacute;c quyền n&acirc;ng cao như đọc v&agrave; thay đổi to&agrave;n bộ dữ liệu tr&ecirc;n website m&agrave; người d&ugrave;ng truy cập. Trong khi, tiện t&iacute;ch mở rộng MEGA&rsquo;s Chrome thực sự kh&ocirc;ng hề y&ecirc;u cầu c&aacute;c quyền n&agrave;y. Khi được cấp quyền, tiện &iacute;ch giả mạo n&agrave;y sẽ đ&aacute;nh cắp c&aacute;c th&ocirc;ng tin b&iacute; mật của người d&ugrave;ng tr&ecirc;n c&aacute;c trang như: amazon.com, live.com, github.com, google.com (cho c&aacute;c đăng nhập v&agrave;o chợ ứng dụng), myetherwallet.com, mymonero.com, idex.market v&agrave; c&aacute;c truy vấn HTTP POST tới c&aacute;c trang kh&aacute;c. Th&ocirc;ng tin n&agrave;y sẽ được gửi về một m&aacute;y chủ được đặt tại Ukraine.&rdquo;
</blockquote>
Cuộc tấn c&ocirc;ng n&agrave;y l&agrave; một lời cảnh tỉnh về t&iacute;nh an to&agrave;n của c&aacute;c tiện &iacute;ch mở rộng. C&aacute;c tiện &iacute;ch mở rộng của tr&igrave;nh duyệt ngay cả trong trường hợp l&agrave; hợp ph&aacute;p cũng c&oacute; thể rơi v&agrave;o tay kẻ xấu v&agrave; được sử dụng cho c&aacute;c mục đ&iacute;ch tấn c&ocirc;ng của tội phạm mạng. Để đảm bảo an to&agrave;n hơn khi sử dụng tr&igrave;nh duyệt người d&ugrave;ng cần hạn chế sự tiếp x&uacute;c với c&aacute;c cuộc tấn c&ocirc;ng như vậy bằng c&aacute;ch loại bỏ c&aacute;c phần mở rộng kh&ocirc;ng c&ograve;n hữu &iacute;ch.
C&aacute;c tiện &iacute;ch mở rộng của tr&igrave;nh duyệt c&oacute; thể v&ocirc; c&ugrave;ng tiện dụng v&agrave; hữu &iacute;ch, nhưng một khi bị x&acirc;m phạm - t&ugrave;y thuộc v&agrave;o cấp độ "quyền" hoặc quyền truy cập ban đầu được cấp - ch&uacute;ng cũng c&oacute; thể cho ph&eacute;p kẻ tấn c&ocirc;ng truy cập v&agrave;o tất cả dữ liệu tr&ecirc;n m&aacute;y t&iacute;nh v&agrave; c&aacute;c trang web được truy cập nhằm thu thập c&aacute;c th&ocirc;ng tin nhạy cảm của người d&ugrave;ng.
Về phần m&igrave;nh, Google cố gắng truyền đạt nguy cơ tiềm ẩn của c&aacute;c tiện &iacute;ch mở rộng bằng c&aacute;ch sử dụng ba cấp độ "cảnh b&aacute;o": Thấp, trung b&igrave;nh v&agrave; cao, như h&igrave;nh dưới đ&acirc;y. Tuy nhi&ecirc;n, trong thực tế, hầu hết c&aacute;c tiện &iacute;ch mở rộng đều c&oacute; mức cảnh b&aacute;o trung b&igrave;nh hoặc cao, điều đ&oacute; c&oacute; nghĩa l&agrave; nếu phần mở rộng bị x&acirc;m phạm một c&aacute;ch n&agrave;o đ&oacute; (hoặc bản th&acirc;n n&oacute; đ&atilde; độc hại) th&igrave; kẻ tấn c&ocirc;ng ho&agrave;n to&agrave;n c&oacute; thể kiểm so&aacute;t n&oacute; v&agrave; thu được quyền truy cập v&agrave;o h&agrave;ng tấn th&ocirc;ng tin nhạy cảm của người d&ugrave;ng.
<img class=" wp-image-415 aligncenter" src="https://tek4.vn/public_files/65096a98-92ab-432a-8c14-c24f6a38278b" alt="C&aacute;c mức độ quyền của tr&igrave;nh mở rộng" width="484" height="538" />
Trong nhiều trường hợp - như trong v&iacute; dụ tr&ecirc;n với Mega.nz - một tiện &iacute;ch c&oacute; thể bị x&acirc;m phạm sau khi kẻ tấn c&ocirc;ng c&oacute; quyền hợp ph&aacute;p để thay đổi m&atilde; nguồn của n&oacute; v&agrave; sử dụng m&atilde; nguồn thay đổi n&agrave;y cho mục đ&iacute;ch lừa đảo hoặc tấn c&ocirc;ng người d&ugrave;ng. Trong c&aacute;c trường hợp kh&aacute;c, việc kiểm so&aacute;t v&agrave; sở hữu một phần mở rộng đ&atilde; được thiết lập cho mục đ&iacute;ch tấn c&ocirc;ng c&oacute; thể chỉ đơn giản l&agrave; khi phần mở rộng n&agrave;y bị bỏ rơi kh&ocirc;ng được tiếp tục ph&aacute;t triển hoặc thậm ch&iacute; được b&aacute;n cho c&aacute;c nh&agrave; ph&aacute;t triển sử dụng cho mục đ&iacute;ch kh&aacute;c. Trong cả hai trường hợp, c&aacute;c tiện &iacute;ch mở rộng bị tấn c&ocirc;ng hoặc bị biến th&agrave;nh c&aacute;c backdoor đều c&oacute; thể g&acirc;y ra những hiểm họa kh&ocirc;n lường cho người d&ugrave;ng.
Một nguy&ecirc;n l&yacute; cơ bản của an to&agrave;n th&ocirc;ng tin cho rằng c&aacute;c c&aacute; nh&acirc;n v&agrave; tổ chức c&oacute; thể giảm thiểu nguy cơ bị tấn c&ocirc;ng ở mức độ n&agrave;o đ&oacute; bằng c&aacute;ch giảm "bề mặt tấn c&ocirc;ng" tổng thể - tức l&agrave; số lượng phần mềm v&agrave; dịch vụ c&oacute; khả năng dễ bị tổn thương. Điều n&agrave;y cũng c&oacute; thể được &aacute;p dụng khi sử dụng c&aacute;c tr&igrave;nh duyệt, khi hạn chế sự phụ thuộc v&agrave;o tiện &iacute;ch mở rộng của b&ecirc;n thứ ba th&igrave; người d&ugrave;ng c&oacute; thể l&agrave;m giảm đ&aacute;ng kể rủi ro an to&agrave;n trong qu&aacute; tr&igrave;nh sử dụng. H&atilde;y hạn chế việc sử dụng nhiều tiện &iacute;ch mở rộng của tr&igrave;nh duyệt. Trong hầu hết mọi trường hợp, h&atilde;y xem x&eacute;t việc c&agrave;i đặt tiện &iacute;ch mở rộng một c&aacute;ch kỹ lưỡng v&agrave; đảm bảo ph&aacute;t hiện đầy đủ c&aacute;c quyền được y&ecirc;u cầu của c&aacute;c tiện &iacute;ch nhằm quyết định xem c&oacute; n&ecirc;n mạo hiểm hay kh&ocirc;ng. Chỉ n&ecirc;n sử dụng những tiện &iacute;ch mở rộng tin cậy đặc biệt l&agrave; c&aacute;c tiện &iacute;ch của ch&iacute;nh h&atilde;ng ph&aacute;t triển, v&agrave; hạn chế c&aacute;c tiện &iacute;ch của b&ecirc;n thứ ba, đặc biệt l&agrave; tiện &iacute;ch của b&ecirc;n thứ ba k&eacute;m t&ecirc;n tuổi. Kh&ocirc;ng n&ecirc;n sử dụng c&aacute;c tiện &iacute;ch c&oacute; mức cảnh b&aacute;o rủi ro &ldquo;cao&rdquo;. Việc sử dụng c&aacute;c tiện &iacute;ch rủi ro cao mang t&iacute;nh đ&aacute;nh cược rất lớn, khi đ&oacute; người d&ugrave;ng đ&aacute;nh cược v&agrave;o sự tin cậy của nh&agrave; ph&aacute;t triển. Khi cần thiết phải sử dụng một tiện &iacute;ch mở rộng c&oacute; mức rủi ro cao, h&atilde;y c&acirc;n nhắc kỹ xem việc sử dụng n&oacute; c&oacute; thực sự đ&aacute;ng gi&aacute; kh&ocirc;ng. Điều n&agrave;y cũng đ&uacute;ng cho việc sử dụng c&aacute;c tr&igrave;nh cắm th&ecirc;m được thiết kế cho c&aacute;c hệ thống quản l&yacute; nội dung trang web như WordPress v&agrave; Joomla.
&Iacute;t nhất, kh&ocirc;ng đồng &yacute; cập nhật tiện &iacute;ch mở rộng nếu phi&ecirc;n bản mới y&ecirc;u cầu cập nhật của n&oacute; đột ngột y&ecirc;u cầu nhiều quyền hơn phi&ecirc;n bản trước. Đ&acirc;y sẽ l&agrave; một chỉ b&aacute;o r&otilde; r&agrave;ng cho một c&aacute;i g&igrave; đ&oacute; kh&ocirc;ng đ&uacute;ng xảy ra đối với tiện &iacute;ch mở rộng n&agrave;y.
Ngo&agrave;i ra, kh&ocirc;ng bao giờ tải xuống v&agrave; c&agrave;i đặt tiện &iacute;ch mở rộng chỉ v&igrave; một trang web y&ecirc;u cầu n&oacute; để xem một số loại nội dung n&agrave;o đ&oacute; tr&ecirc;n trang. Điều n&agrave;y lu&ocirc;n l&agrave; một h&agrave;nh vi c&oacute; nguy cơ cao. Ở đ&acirc;y, người d&ugrave;ng cần tu&acirc;n thủ nguy&ecirc;n tắc &ldquo;Nếu bạn kh&ocirc;ng t&igrave;m kiếm, đừng c&agrave;i đặt n&oacute;.&rdquo; Nghĩa l&agrave;, nếu người d&ugrave;ng cảm thấy kh&ocirc;ng cần thiết trước khi được y&ecirc;u cầu th&igrave; kh&ocirc;ng n&ecirc;n c&agrave;i đặt n&oacute;. Cuối c&ugrave;ng, trong trường hợp muốn c&agrave;i đặt thứ g&igrave; đ&oacute;, h&atilde;y đảm bảo n&oacute; được lấy trực tiếp từ nh&agrave; ph&aacute;t triển, đừng bao giờ lấy n&oacute; từ một b&ecirc;n trung gian thứ ba.
Người d&ugrave;ng Google Chrome c&oacute; thể quan s&aacute;t thấy bất kỳ tiện &iacute;ch mở rộng n&agrave;o đ&atilde; được c&agrave;i đặt bằng c&aacute;ch nhấp v&agrave;o ba dấu chấm ở b&ecirc;n phải thanh địa chỉ, chọn &ldquo;C&ocirc;ng cụ kh&aacute;c&rdquo; trong tr&igrave;nh đơn thả xuống, sau đ&oacute; l&agrave; &ldquo;Tiện &iacute;ch mở rộng.&rdquo; Trong Firefox, nhấp v&agrave;o ba thanh ngang tiếp theo v&agrave;o thanh địa chỉ v&agrave; chọn &ldquo;Tiện &iacute;ch bổ sung&rdquo;, sau đ&oacute; nhấp v&agrave;o li&ecirc;n kết &ldquo;Tiện &iacute;ch mở rộng&rdquo; tr&ecirc;n trang kết quả để xem mọi tiện &iacute;ch mở rộng đ&atilde; c&agrave;i đặt.
H&atilde;y quan s&aacute;t v&agrave; xem x&eacute;t kỹ c&aacute;c tiện &iacute;ch mở rộng n&agrave;y v&agrave; xem n&oacute; c&oacute; đảm bảo c&aacute;c nguy&ecirc;n tắc ở tr&ecirc;n hay kh&ocirc;ng. H&atilde;y loại bỏ những tiện &iacute;ch kh&ocirc;ng cần thiết v&agrave; nghi ngờ.

Admin

Tiện ích mở rộng của trình duyệt: Tiện ích hay nguồn gốc hiểm họa?

Cùng tác giả

Admin

Có liên quan