Lỗ hổng chảy máu là gì?

Một trong những lỗ hổng được biết đến nhiều nhất vào giữa năm 2010 được gọi là “Heartbleed”. Heartbleed đặc biệt nghiêm trọng vì phần mềm mà nó ảnh hưởng đến “OpenSSL”, thư viện mật mã chính cho các kết nối HTTPS, được sử dụng rất rộng rãi. Tệ hơn nữa, lỗ hổng bảo mật đã xuất hiện trong OpenSSL hơn hai năm trước khi nó được phát hiện, công khai và vá, điều đó có nghĩa là rất nhiều người đang sử dụng phiên bản dễ bị tấn công.

Heartbleed là một lỗ hổng rò rỉ dữ liệu trong phần mở rộng nhịp tim mà khi khai thác dữ liệu bị rò rỉ từ RAM từ máy chủ đến máy khách. Phần mở rộng nhịp tim được sử dụng để duy trì kết nối giữa máy chủ web và máy khách mà không cần thực hiện yêu cầu trang bình thường.

Trong trường hợp OpenSSL, máy khách gửi tin nhắn đến máy chủ và thông báo cho máy chủ thời lượng của tin nhắn, lên đến 64KB. Sau đó, máy chủ sẽ gửi lại cùng một thông báo. Tuy nhiên, điều quan trọng là máy chủ thực sự không kiểm tra xem thông báo có tồn tại lâu như khách hàng đã xác nhận. Điều này có nghĩa là khách hàng có thể gửi một tin nhắn 10KB, yêu cầu đó là 64KB và nhận được phản hồi 64KB, với 54KB bổ sung bao gồm 54KB RAM tiếp theo, bất kể dữ liệu nào được lưu trữ ở đó. Quá trình này được hình dung rõ ràng qua truyện tranh XKCD # 1354 .

Hình ảnh lịch sự của xkcd.com .

Bằng cách đưa ra nhiều yêu cầu nhịp tim nhỏ và cho rằng chúng là những yêu cầu lớn, kẻ tấn công có thể xây dựng bức tranh về phần lớn RAM của máy chủ bằng cách ghép các phản hồi lại với nhau. Dữ liệu được lưu trữ trong RAM có thể bị rò rỉ bao gồm khóa mã hóa, chứng chỉ HTTPS cũng như dữ liệu POST không được mã hóa như tên người dùng và mật khẩu.

Lưu ý: Nó ít được biết đến hơn nhưng giao thức nhịp tim và khai thác cũng hoạt động theo hướng khác. Một máy chủ độc hại có thể đã được cấu hình để đọc tới 64KB bộ nhớ người dùng cho mỗi yêu cầu nhịp tim.

Sự cố được nhiều nhà nghiên cứu bảo mật độc lập phát hiện vào ngày đầu tiên của tháng 4 năm 2014 và đã được tiết lộ riêng tư cho OpenSSL để có thể tạo một bản vá. Lỗi được công khai khi bản vá được phát hành vào ngày 7 tháng 4 năm 2014. Giải pháp tốt nhất để giải quyết vấn đề là áp dụng bản vá, nhưng cũng có thể khắc phục sự cố bằng cách tắt tiện ích mở rộng nhịp tim nếu bản vá ngay lập tức không phải là Lựa chọn.

Thật không may, mặc dù việc khai thác được công khai và thường được nhiều người biết đến, nhiều trang web vẫn không cập nhật ngay lập tức, với lỗ hổng bảo mật đôi khi vẫn được tìm thấy thậm chí nhiều năm sau đó. Điều này dẫn đến một số trường hợp khai thác được sử dụng để truy cập vào tài khoản hoặc làm rò rỉ dữ liệu.