4mins - 25.01.22 TL;DR: *Một bug (lỗi) ở Safari (trên cả macOS, ipadOS và...

Tắt Quảng Cáo [X]

Đăng Nhập để ẩn Tất Cả Quảng Cáo

#j2team_security

4mins - 25.01.22

TL;DR: *Một bug (lỗi) ở Safari (trên cả macOS, ipadOS và iOS) khiến cho thông tin cá nhân của bạn có thể bị rò rỉ. Những thông tin bị rò rỉ tùy thuộc vào cách từng website bạn truy cập lưu trữ dữ liệu, phần nhiều có thể là tên, email, etc. Tuy nhiên, không nên chủ quan và hãy tạm ngưng dùng Safari một thời gian nếu bạn thấy quan ngại.*
# **SAME-ORIGIN POLICY VIOLATED in WEBKIT BROWSER**

Trong trình duyệt mà mỗi chúng ta sử dụng hằng ngày để lướt web, xem phim, làm việc, ngoài cookie, session hay localstorage, còn một nơi khác mà các websites lưu trữ thông tin, indexedDB. *IndexedDB tuân theo same-origin policy, được thiết kế để lưu dữ liệu, đặc biệt là dữ liệu phức tạp, vào trình duyệt người dùng đang sử dụng; dữ liệu này sẽ luôn tồn tại ở đó nếu không bị bản thân website đó hoặc người dùng xóa đi.*

Về same-origin policy, cái tên giải thích tất cả, policy (chính sách) này quy định rằng *chỉ những website có ‘cùng nguồn gốc’, hay nói cách khác, từ cùng domain, được phép truy cập vào các dữ liệu mà bản thân website đó lưu trữ.*

Ví dụ, xét trang bạn đang sử dụng, facebook.com. Same-origin policy tức là những thông tin mà Facebook lưu vào indexedDB ở trình duyệt của bạn, chỉ có những URL có domain ‘facebook’ (e.g. *facebook.com/something/something’)* được phép truy cập.

Vậy, điều gì đã xảy ra? Chính là policy này đã bị vi phạm ở các trình duyệt Webkit, như Safari, Chrome trên iOS, etc. Lấy ví dụ ở trên, sự vi phạm same-origin policy này đồng nghĩa với việc những gì Facebook lưu trong indexedDB, tất cả websites khác đều có thể thấy được.

Việc này ảnh hưởng đến bạn như thế nào? Trực tiếp mà nói, hầu như không. Tất cả thông tin quan trọng như mật khẩu, tài liệu hay tin nhắn của bạn đều được các websites mã hóa và lưu trữ trên server của họ. Những thứ được lưu trên indexedDB đa phần là thông tin cơ bản như tên hay user ID của bạn mà thôi. Từ những thông tin này, tất cả những gì mà kẻ tấn công tiềm năng có thể làm chỉ là.. ra oai với bạn (e.g. *‘Này, tôi đã hack được bạn. Bạn sống ở Việt Nam và tên bạn là Nguyễn Văn A.’, đại loại vậy)* hay phishing bạn mà thôi. Điều này rất dễ nhận ra và đề phòng, thậm chí bạn có thể sẽ bật cười khi nhìn thấy những thông tin như vậy, vì căn bản, những thông tin ấy đều có thể tìm kiếm được trên google nếu bỏ chút công sức đánh máy. Tuy nhiên, đừng quên là không phải ai cũng là member của J2Team như bạn. Bố mẹ, ông bà hay em gái bạn có thể sẽ là nạn nhân của những cuộc *social engineering attacks *này. Hãy cân nhắc về điều đó và cảnh báo gia đình bạn, tuy nhiên đừng làm vậy nếu họ sử dụng Samsung, vì bug này chỉ tồn tại trên các sản phẩm của Apple mà thôi

Tôi biết bạn nghĩ gì khi đọc đến đây. Câu trả lời là không. Không có cách nào để tự bảo vệ bản thân khỏi bug này nếu bạn dùng iPhone hay iPad. Nếu bạn có iMac, cách giải quyết khá đơn giản, chỉ cần sử dụng trình duyệt khác là được. Kém may thay, tất cả trình duyệt cho iPhone và iPad đều dùng Webkit, và do đó, đều bị dính bug.

Bạn có thể tự kiểm tra bug bằng cách truy cập vào trang *safarileaks.com.* Tại thời điểm bài post này được viết, bug này đã tồn tại vài tháng và vẫn chưa được vá. Và dù bạn có tin hay không, một lỗi khá giống đã từng xảy ra một thời gian trước, và tình trạng các hệ thống được mệnh danh là *‘cực bảo mật và an toàn’ * lại đang dần dần trở nên yếu đuối hơn khiến mỗi chúng ta khi là một phần của internet phải đối xử với nó như thế giới thực: bất ngờ, nguy hiểm đầy rẫy và luôn phải đề phòng và chuẩn bị cho trường hợp xấu nhất. Dù sao, bạn sẽ không bao giờ có thể ngờ được rằng người đàn ông mà bạn cho là đang để ý bạn thực ra chỉ đang cố làm thân để hỏi nơi mua que cay ngon ơi là ngon mà bạn lén ăn trong giờ làm nhưng không qua mắt được HR và bị trừ lương, hay cái email nhìn-khá-là-giống-được-gửi-từ-amazon thực ra là đang cố phishing bạn, đúng chứ?

Cuối cùng, mục đích cao to nhất của post này là nhắc bạn, hãy cẩn thận và chọn lọc hơn khi sử dụng internet. Chỉ nên sử dụng những websites uy tín và đọc kĩ URL trước khi click. Năm mới sắp đến, nhà nhà háo hức, tôi chúc bạn ăn vụng không bị HR bắt, và không bao giờ mất account facebook vì ấn vào link lạ.

Thân ái và chúc mừng năm mới.

 

Bài viết này đến từ tương lai ạ?