Vấn đề về quản lý mật khẩu trong IE và Firefox (Phần cuối)

Vấn đề về quản lý mật khẩu trong IE và Firefox (Phần cuối) 5.2 Bổ sung những thiếu sót về bộ quản lý password trong Firefox 2.0 Bộ quản lý password của Firefox 2.0 (tháng 11 năm 2006) có một lỗ hổng có thể cho phép thông tin người dùng (từ trang đang vào) có thể gửi đến bất kỳ URL nào nếu họ click vào một link nguy hiểm. Lỗ hổng này được gọi là Reverse Cross-Site Request (RCSR), nó bắt nguồn từ thực tế trình duyệt không kiểm soát URL để các thông tin này được gửi thông qua các web form. Người dùng đã ghé thăm trang từ trước và lưu lại các thông tin trên bộ quản lý password, do đó các tấn công có khả năng tấn công vào. Việc đánh cắp thông tin này đã được đưa ra trên MySpace.com và được CIS phát hiện ra. Các trang bình thường có cho phép người dùng gửi HTML nguyên bản hầu như rất dễ gặp phải tấn công kiểu này. RCSR nguy hiểm hơn kiểu tấn công mô tả trong phần 5.1 bởi vì XMLHttpRequest không cho phép các yêu cầu ngoài tên miền hiện hành. Thêm vào đó, link (cho phép đệ trình các form) có thể xuất hiện trong các dạng video, chương trình hay có thể là các trò chơi nhằm làm cho nó khó bị phát hiện. 5.3 Việc phát hiện ra các password Internet Explorer 5.3.1 Khôi phục lại password Nhiều công ty có phần mềm thương mại để khôi phục lại các password từ AutoComplete của Internet Explorer. ElcomSoft cung cấp một chương trình thực hiện công việc này có tên là Advanced Internet Explorer Password Recovery (AIEPR). Khi bắt đầu nó có thể khôi phục lại bất kỳ thông tin AutoComplete trên bất kỳ phiên bản Internet Explorer nào từ 3 đến 6 miễn là người dùng đã đăng nhập vào. Các chương trình phần mềm như là PassView làm việc trên Internet Explorer phiên bản 4 đến 6 và IEPassView cho phiên bản IE7 được cung cấp hoàn toàn miễn phí. 5.3.2 Malware Internet Explorer thường sử dụng một cách thức tốt để chống lại sự xâm hại của malware. Tuy nhiên vẫn còn những lổ hổng để các malware có thể xâm nhập vào thông tin AutoComplete. Các chương trình này tăng các thông tin mật sau đó gửi quay lại cho kẻ tấn công. BackDoor-AXJ là một chương trình Trojan lưu AutoComplete và các thông tin khác của nạn nhân sau đó gửi những thông tin này ngược trở lại người điều khiển. Srv.SSA- KeyLogger là một backdoor được cài đặt ngầm trên Internet Explorer và hành động như một bản ghi chính. Backdoor cũng ngầm khởi tạo AutoComplete và lấy cắp dữ liệu từ Protected Storage và sau đó gửi lại thông qua giao thức HTTP GET. 5.4 Phát hiện ra các password trong Firefox 5.4.1 Có thể truy cập một cách dễ dàng vào password văn bản. Với những người sử dụng Firefox Password Manager thì các thông tin được ghi vào có thể quan sát được các password dưới dạng văn bản rõ ràng khi như hướng dẫn dưới đây: Trên Windows XP: Firefox 1.5 Tools | Options | Privacy | Passwords | View Saved Passwords | View Passwords | Show Passwords Firefox 2.0 Tools | Options | Security | Show Passwords | Show Passwords 5.4.2 Các tấn công Master Password Gần đây các công cụ được phát triển để thực hiện các tấn công vào password trên Master Password trong Firefox. Các tấn công kiểu dưới đây vẫn đang rất nguy hiểm:  Brute force  Dictionary  Hybrid Firemaster là một công cụ bẻ khóa được thiết kế dành cho Master Password trong Firefox. Công cụ được viết bằng C++ bởi N. Y. Talekar vào tháng 1 năm 2006; mã nguồn của chương trình này hiện nay được tung lên mạng. Các công cụ khác được viết bằng C cho chức năng chính đang được phát triển tiếp. Khi các công cụ được cải thiện, cơ sở dữ liệu password hoàn toàn có thể tin tưởng vào Master Password để đối phó với các tấn công. Do vậy không thể nói rằng một password kém có thể được bẻ trong một vài giây. Hơn nữa việc không có password sẽ phơi bày cơ sở dữ liệu password ngay tức khắc. Điều này cơ bản tương đương với việc đánh dấu menu tùy chọn trong Firefox để hiện các password. 5.4.3 Nhiều username/password trên một URL Firefox có một đặc tính thú vị sẽ cho phép nhiều sự thẩm định cho cùng một trang. Cho ví dụ hãy nói hai ký tự hư cấu là Alice và Bob sử dụng Firefox Password Manager trên cùng một tài khoản Windows XP nhưng có các tài khoản ngân hàng khác nhau trên cùng trang (www.pncbank.com). Password Manager sẽ cho phép nhiều cặp username và password. Password Manager sẽ nhận ra khi sử dụng mỗi tài khoản web dựa vào username và tự động điền trường password. Đặc tính này cung cấp khả năng quan sát thông tin người dùng sau: URL bob k9x763s alice n63ld23f Dựa vào các mô hình bảo mật, không có cặp riêng lẻ nào sẽ sử dụng cùng tài khoản; mặc dù vậy, vấn đề này vẫn có rủi ro bởi vì không phải tất cả các tổ chức đều làm việc tốt. Thêm vào đó, có một vấn đề liên quan nếu một cặp username/password được nhập không đúng cho một trang nào đó (như là một lỗi trong việc chuyển hai đăng nhập cho các trang mới khác nhau hoàn toàn). Thông tin này sẽ được lưu (thậm chí nó không được sử dụng) và có thể được thỏa hiệp một thời điểm nào đó trong tương lai mà không cần biết về người tham dự. 5.4.4 Các tấn công hạn chế dịch vụ Bất cứ người dùng hay chương trình nào vơi sự được phép có một profile cục bộ của người dùng trên hệ thống file cũng có khả năng tấn công vào bộ quản lý password. Nếu các file (keyN.db, certN.db, secmod.db,signons.txt) được xóa hay được thay đổi kết quả thì không thể lấy lại được các username và password. File quan trọng nhất trong các file này là KeyN.db và signons.txt, chúng giữ các chức năng riêng và dữ liệu được đã mã hóa một cách tương ứng. Để bảo đảm cho cơ sở dữ liệu password chúng ta nên copy các file keyN.db, certN.db, secmod.db, vàsignons.txt đến một địa chỉ an toàn. Như vậy nếu các file này bị thay đổi hay xóa và Password Manager không có thì nó vẫn có thể đảm bảo việc khôi phục lại được cơ sở dữ liệu password bằng cách copy các file này trở lại thư mục profile của Firefox. 6, Những sai lầm trong bảo mật Người dùng không hiểu một cách đầy đủ hay cũng không biết đến các rủi ro có thể gặp phải khi họ sử dụng các hệ thống quản lý password cho các trình duyệt. Sự nguy hiểm này gắn liền với sự thiếu quan tâm trong việc lưu giữ bất kỳ username hay password nào bất chấp cho cả việc truy cập vào một nhóm tin tức đơn giản hay một thứ gì đó bí mật hơn và nhậy cảm hơn như các thông tin về tài chính tại các phiên môi giới trực tuyến. Người dùng mong đợi ở các trình duyệt khả năng liên kết với hệ điều hành và sẽ bảo vệ thông tin của họ và trừu tượng hóa kỹ thuật bảo mật. Trong thực tế những rủi ro có thể xảy ra dễ dàng hơn những gì mà người dùng đang nghĩ. Các trình duyệt cũng nguy hiểm như những ứng dụng vì chúng được cài đặt trên hầu hết các hệ thống máy tính, được sử dụng bởi nhiều người và lưu tất cả username và password mà người dùng nhập vào. 7, Khả năng sử dụng Các đặc tính thích hợp của quản lý password trong Internet Explorer và Firefox được chỉ ra dưới bảng 2. Một vài nét khác nhau chính chính là khả năng nhìn thấy các password một cách rõ ràng trong Firefox mà không có trong Internet Explorer. Điều này được xem như là một đặc tính cũng như rủi ro bảo mật, nó phụ thuộc vào Master Password có được thiết lập hay không. Thêm vào đó, Firefox có một đặc tính hữu ích cho phép các username và password được ngăn chặn một cách rõ ràng trong một số trang (ví dụ những thông tin nhạy cảm cho các trang cụ thể không thể có nhiều rủi ro). Trong AutoComplete, sự lựa chọn này chỉ được một lần và không thể dễ dàng thay đổi trừ khi không hiểu về các chức năng chính của registry. Hơn nữa AutoComplete còn có một thuận lợi nữa trong Password Manager đó là người dùng có thể chọn lưu URL, username hay password mà không cần sự ủy nhiệm của cả ba như trong Firefox. Đặc tính Internet Firefox Explorer 7 2.0 Nhắc nhở lưu giữ các password yes yes Khả năng dễ dàng thay đổi trên sở thích "lưu" hay "không lưu" yes Khả năng không lưu bất kỳ thông tin nào trong các form yes yes Khả năng dễ dàng truy cập các password dạng văn bản đã mã hóa (plaintext) yes Khả năng chọn lưu URL, username hay password yes Bảng 2: So sánh giữa các đặc tính tiện ích của Internet Explorer và Firefox. 8, Các chiến lược phòng chống 8.1, Phòng chống dựa trên người dùng 8.1.1, Lẩn tránh Một phương pháp để ngăn chặn việc thỏa hiệp password là hạn chế sử dụng bộ quản lý của cả Internet Explorer và Firefox. Mặc dù vậy điều này có thể làm cho người dùng có xu hướng chọn cùng một password cho nhiều trang, điều rất bất lợi cho việc bảo mật. Như vậy, sự lé tránh nên được thực hiện nếu có một phương pháp luân phiên để thay thế cho nó. Cũng có một cách cho người dùng có thể tình cờ lưu các password trong một quá trình duyệt thông thường. 8.1.2, Vô hiệu hóa quản lý password Điều này sẽ làm cho bộ quản lý password ngăn chặn được khả năng lưu username và password mặc dù có thể rơi vào trạng thái tương tự như biện pháp trên. Chiến lược này khác với phương pháp sẽ thảo luận trong 8.2. 8.1.3, Luân phiên các bộ quản lý password “được xác nhận” Một phương pháp chung mà người dùng lưu các password là trong một ứng dụng gọi là Password Safe. Ứng dụng được thiết kế bởi Bruce Schneier đó là tiện ích Windows mã nguồn mở là một phương pháp phổ biến cho việc lưu và truy cập các password. Các password được mã hóa bằng khối chữ số 0 Schneier's Blowfish và được bảo vệ bằng Safe Combination (password chủ). Sự thận trọng và những bước đi ban đầu nên được thực hành trước khi sử dụng bất kỳ một chương trình mới nào. Mặc dù vậy, một chương trình với mục đích để lưu các thông tin nhạy cảm sẽ tập trung sâu hơn bất kỳ trình duyệt nào nhất là trong tính năng lưu giữ password. Tập trung vào bộ quản lý password mã nguồn mở và được thiết kế bằng các mật mã nổi tiếng là những lý do khiến cho nó trở thành một tùy chọn có giá trị. Cả haiAutoComplete và Password Manager đều cung cấp sự đơn giản và thuận tiện đến người dùng; không cần phải chuyển đến ứng dụng khác để tăng sự truy cập đến các username và password. 8.1.4, Phức hợp password Như đã được đưa ra trong những phần trước, việc có một password chủ vững chắc có thể cho phép ngăn chặn một cách hiệu quả các tấn công. Như những gì đã nói từ các phần trên, Internet Explorer không cho phép bạn chọn một password chủ cho AutoComplete; sự bảo mật thông tin được lưu với AutoComplete được liên hệ trực tiếp đến password tài khoản người dùng Windows. Việc lựa chọn một password Windows mạnh hơn sẽ cung cấp hơn nữa sự bảo vệ. Mặc dù như vậy nhưng các password của Windows không dễ dàng gì có thể thỏa hiệp trong một vài phút. Việc tạo một password vững chắc hơn trong Password Manager cho Firefox có thể giảm đáng kể các rủi ro về sự thỏa hiệp. Một password tốt phải có chiều dài hơn 8 kí tự ngẫu nhiên và phải trộn lẫn với các kí tự chữ số, điều này sẽ làm tăng đáng kể khả năng bảo mật. Các tấn công bẻ khóa password hoàn toàn có thể tiến hành với Firefox Password Manager nhưng đó không phải là xu thế chủ đạo và bằng việc sử dụng thận trọng hơn nữa có thể tranh được việc này. Trong nhiều trường hợp, người dùng Firefox tăng lớp bảo vệ mở rộng bằng cách sử dụng một password tương tự như bên phía Internet Explorer. 8.2, Dàn xếp lại dựa trên chuyên gia phát triển Web Theo sự nhìn nhận của các chuyên gia phát triển Web, trang thương mại và tổ chức tài chính có thể thực hiện việc bảo vệ người dùng chống lại sự thỏa hiệp password trong tương lai. Cả Internet Explorer và Firefox đều có khả năng bảo vệ này nếu các thuộc tính của tag trong HTML được thiết lập một cách thích hợp. Hãy xét một ví dụ được lấy đại diện từ MSDN và thể hiện dễ dàng như thế nào để có thể kết hợp chặt chẽ thay đổi này trong bất kỳ trang web nào. Bằng sử dụng phương pháp này, các trung tâm phòng chống rủi ro có thể ngăn chặn việc lưu password trong Internet Explorer và Firefox. Văn bản này sẽ được lưu: Văn bản này không được lưu: Các ngân hàng sử dụng đặc tính này gồm có Washington Mutual, Chase Manhattan cũng như Fidelity, E*Trade, Vanguard, Schwab,… Nhiều tổ chức không sử dụng như các kho bạc PNC Bank Oppenheimer. Nếu mỗi trang web đều trang bị vấn đề này thì sẽ không có bất kỳ một lợi ích nào từ việc sử dụng các bộ quản lý password trong trình duyệt. Như vậy, phương pháp này chỉ ý nghĩa với mỗi một tổ chức riêng lẻ nếu nó thích hợp. Sử dụng phương pháp này sẽ không bảo đảm an toàn cho máy khách (đã được chỉ ra trong phần 5.1). HTML và JavaScript có thể bị thay đổi tại máy khách, chuyển từ “OFF” sang “ON”. Dàn xếp bảo mật hoạt động kinh doanh của Windows Hoàn toàn có thể vô hiệu hóa đặc tính AutoComplete của Internet Explorer cho bảo mật doanh nghiệp. Sử dụng Group Policy Objects (GPO) là một giải pháp dễ dàng để quản lý một số lượng lớn các hệ thống máy tính bằng điều khiển các thiết lập người dùng và máy móc với các chính sách riêng. Sử dụng Windows Server 2003 trong môi trường Active Directory hoàn toàn cho phép vô hiệu hóa các thiết lập AutoComplete trong toàn bộ một tổ chức hay công ty nào đó. Kết luận Sự rủi ro trong kỹ thuật lưu password của các trình duyệt như Internet Explorer và Firefox cần phải được đánh giá hơn nữa. Bất kỳ hệ thống nào điều khiển các chức năng chính trong nhiều lĩnh vực cũng cần phải xem xét hơn nữa. người dùng cũng cần phải có hơn nữa những kiến thức về rủi ro và những lợi ích mang lại từ sử dụng hệ thống quản lý password. Các phương pháp hiện nay nhằm giảm rủi ro hay tấn công như đã trình bày trong tài liệu cũng chỉ là các giải pháp nhất thời. Người dùng luôn mong đợi một hệ thống bảo mật tốt nhất. Như vậy, thế hệ kế tiếp của các hệ thống quản lý password cần phải tập trung hơn nữa để đáp ứng được các nhu cầu người dùng.