Vấn đề về quản lý mật khẩu trong IE và Firefox (Phần cuối) ppt

5.2 Bổ sung những thiếu sót về bộ quản lý password trong Firefox 2.0 Bộ quản lý password của Firefox 2.0 tháng 11 năm 2006 có một lỗ hổng có thể cho phép thông tin người dùng từ trang

Vấn đề về quản lý mật khẩu trong IE và Firefox

(Phần cuối)

5.2 Bổ sung những thiếu sót về bộ quản lý password trong Firefox 2.0

Bộ quản lý password của Firefox 2.0 (tháng 11 năm 2006) có một lỗ hổng có thể cho phép thông tin người dùng (từ trang đang vào) có thể gửi đến bất kỳ URL nào nếu họ click vào một link nguy hiểm Lỗ hổng này được gọi là Reverse Cross-Site Request (RCSR), nó bắt nguồn từ thực tế trình duyệt không kiểm soát URL để các thông tin này được gửi thông qua các web form Người dùng đã ghé thăm trang từ trước và lưu lại các thông tin trên bộ quản lý password, do đó các tấn công có khả năng tấn công vào Việc đánh cắp thông tin này đã được đưa ra trên

MySpace.com và được CIS phát hiện ra Các trang bình thường

có cho phép người dùng gửi HTML nguyên bản hầu như rất dễ gặp phải tấn công kiểu này

RCSR nguy hiểm hơn kiểu tấn công mô tả trong phần 5.1 bởi

vì XMLHttpRequest không cho phép các yêu cầu ngoài tên miền hiện hành Thêm vào đó, link (cho phép đệ trình các form) có thể xuất hiện trong các dạng video, chương trình hay có thể là các trò chơi nhằm làm cho nó khó bị phát hiện

5.3 Việc phát hiện ra các password Internet Explorer

5.3.1 Khôi phục lại password

Nhiều công ty có phần mềm thương mại để khôi phục lại các password từ AutoComplete của Internet Explorer ElcomSoft cung cấp một chương trình thực hiện công việc này có tên là Advanced Internet Explorer Password Recovery (AIEPR) Khi bắt đầu nó có thể khôi phục lại bất kỳ thông tin AutoComplete trên bất kỳ phiên bản Internet Explorer nào từ 3 đến 6 miễn là người dùng đã đăng nhập vào Các chương trình phần mềm như

là PassView làm việc trên Internet Explorer phiên bản 4 đến 6 và

IEPassView cho phiên bản IE7 được cung cấp hoàn toàn miễn phí

5.3.2 Malware

Internet Explorer thường sử dụng một cách thức tốt để chống lại

sự xâm hại của malware Tuy nhiên vẫn còn những lổ hổng để các malware có thể xâm nhập vào thông tin AutoComplete Các chương trình này tăng các thông tin mật sau đó gửi quay lại cho

kẻ tấn công BackDoor-AXJ là một chương trình Trojan lưu AutoComplete và các thông tin khác của nạn nhân sau đó gửi những thông tin này ngược trở lại người điều khiển Srv.SSA-KeyLogger là một backdoor được cài đặt ngầm trên Internet Explorer và hành động như một bản ghi chính Backdoor cũng ngầm khởi tạo AutoComplete và lấy cắp dữ liệu từ Protected Storage và sau đó gửi lại thông qua giao thức HTTP GET

5.4 Phát hiện ra các password trong Firefox

5.4.1 Có thể truy cập một cách dễ dàng vào password văn bản

Với những người sử dụng Firefox Password Manager thì các thông tin được ghi vào có thể quan sát được các password dưới dạng văn bản rõ ràng khi như hướng dẫn dưới đây:

Trên Windows XP:

Firefox 1.5

Tools | Options | Privacy | Passwords | View Saved Passwords

| View Passwords | Show Passwords

Firefox 2.0

Tools | Options | Security | Show Passwords | Show

Passwords

5.4.2 Các tấn công Master Password

Gần đây các công cụ được phát triển để thực hiện các tấn công vào password trên Master Password trong Firefox Các tấn công kiểu dưới đây vẫn đang rất nguy hiểm:

 Brute force

 Dictionary

 Hybrid

Firemaster là một công cụ bẻ khóa được thiết kế dành cho

Master Password trong Firefox Công cụ được viết bằng C++ bởi

N Y Talekar vào tháng 1 năm 2006; mã nguồn của chương trình này hiện nay được tung lên mạng Các công cụ khác được viết bằng C cho chức năng chính đang được phát triển tiếp Khi các công cụ được cải thiện, cơ sở dữ liệu password hoàn toàn có thể tin tưởng vào Master Password để đối phó với các tấn công

Do vậy không thể nói rằng một password kém có thể được bẻ

trong một vài giây Hơn nữa việc không có password sẽ phơi bày

cơ sở dữ liệu password ngay tức khắc Điều này cơ bản tương đương với việc đánh dấu menu tùy chọn trong Firefox để hiện các password

5.4.3 Nhiều username/password trên một URL

Firefox có một đặc tính thú vị sẽ cho phép nhiều sự thẩm định cho cùng một trang Cho ví dụ hãy nói hai ký tự hư cấu là Alice

và Bob sử dụng Firefox Password Manager trên cùng một tài khoản Windows XP nhưng có các tài khoản ngân hàng khác

nhau trên cùng trang (www.pncbank.com) Password Manager sẽ

cho phép nhiều cặp username và password Password Manager

sẽ nhận ra khi sử dụng mỗi tài khoản web dựa vào username và

tự động điền trường password Đặc tính này cung cấp khả năng quan sát thông tin người dùng sau:

URL

bob

k9x763s

alice

n63ld23f

Dựa vào các mô hình bảo mật, không có cặp riêng lẻ nào sẽ sử dụng cùng tài khoản; mặc dù vậy, vấn đề này vẫn có rủi ro bởi vì không phải tất cả các tổ chức đều làm việc tốt Thêm vào đó, có một vấn đề liên quan nếu một cặp username/password được nhập không đúng cho một trang nào đó (như là một lỗi trong việc

chuyển hai đăng nhập cho các trang mới khác nhau hoàn toàn) Thông tin này sẽ được lưu (thậm chí nó không được sử dụng) và

có thể được thỏa hiệp một thời điểm nào đó trong tương lai mà không cần biết về người tham dự

5.4.4 Các tấn công hạn chế dịch vụ

Bất cứ người dùng hay chương trình nào vơi sự được phép có

một profile cục bộ của người dùng trên hệ thống file cũng có khả năng tấn công vào bộ quản lý password Nếu các file

(keyN.db, certN.db, secmod.db,signons.txt) được xóa hay được

thay đổi kết quả thì không thể lấy lại được các username và

password File quan trọng nhất trong các file này

là KeyN.db và signons.txt, chúng giữ các chức năng riêng và dữ

liệu được đã mã hóa một cách tương ứng

Để bảo đảm cho cơ sở dữ liệu password chúng ta nên copy các

file keyN.db, certN.db, secmod.db, vàsignons.txt đến một địa chỉ

an toàn Như vậy nếu các file này bị thay đổi hay xóa và

Password Manager không có thì nó vẫn có thể đảm bảo việc khôi phục lại được cơ sở dữ liệu password bằng cách copy các file này trở lại thư mục profile của Firefox

6, Những sai lầm trong bảo mật

Người dùng không hiểu một cách đầy đủ hay cũng không biết

đến các rủi ro có thể gặp phải khi họ sử dụng các hệ thống quản

lý password cho các trình duyệt Sự nguy hiểm này gắn liền với

sự thiếu quan tâm trong việc lưu giữ bất kỳ username hay

password nào bất chấp cho cả việc truy cập vào một nhóm tin tức đơn giản hay một thứ gì đó bí mật hơn và nhậy cảm hơn như các thông tin về tài chính tại các phiên môi giới trực tuyến Người dùng mong đợi ở các trình duyệt khả năng liên kết với hệ điều hành và sẽ bảo vệ thông tin của họ và trừu tượng hóa kỹ thuật bảo mật Trong thực tế những rủi ro có thể xảy ra dễ dàng hơn những gì mà người dùng đang nghĩ Các trình duyệt cũng nguy hiểm như những ứng dụng vì chúng được cài đặt trên hầu hết các

hệ thống máy tính, được sử dụng bởi nhiều người và lưu tất cả username và password mà người dùng nhập vào

7, Khả năng sử dụng

Các đặc tính thích hợp của quản lý password trong Internet

Explorer và Firefox được chỉ ra dưới bảng 2 Một vài nét khác nhau chính chính là khả năng nhìn thấy các password một cách

rõ ràng trong Firefox mà không có trong Internet Explorer Điều này được xem như là một đặc tính cũng như rủi ro bảo mật, nó phụ thuộc vào Master Password có được thiết lập hay không Thêm vào đó, Firefox có một đặc tính hữu ích cho phép các

username và password được ngăn chặn một cách rõ ràng trong một số trang (ví dụ những thông tin nhạy cảm cho các trang cụ thể không thể có nhiều rủi ro) Trong AutoComplete, sự lựa chọn này chỉ được một lần và không thể dễ dàng thay đổi trừ khi

không hiểu về các chức năng chính của registry Hơn nữa

AutoComplete còn có một thuận lợi nữa trong Password

Manager đó là người dùng có thể chọn lưu URL, username hay password mà không cần sự ủy nhiệm của cả ba như trong

Firefox

Explorer

7

2.0

Nhắc nhở lưu

giữ các

password

Khả năng dễ

dàng thay đổi

trên sở thích

"lưu" hay

"không lưu"

yes

Khả năng

không lưu bất

kỳ thông tin

nào trong các

form

Khả năng dễ

dàng truy cập

các password

dạng văn bản

đã mã hóa

(plaintext)

yes

Khả năng

chọn lưu

URL,

username hay

password

Bảng 2: So sánh giữa các đặc tính tiện ích của Internet Explorer

và Firefox

8, Các chiến lược phòng chống

8.1, Phòng chống dựa trên người dùng

8.1.1, Lẩn tránh

Một phương pháp để ngăn chặn việc thỏa hiệp password là hạn chế sử dụng bộ quản lý của cả Internet Explorer và Firefox Mặc

dù vậy điều này có thể làm cho người dùng có xu hướng chọn cùng một password cho nhiều trang, điều rất bất lợi cho việc bảo mật Như vậy, sự lé tránh nên được thực hiện nếu có một phương pháp luân phiên để thay thế cho nó Cũng có một cách cho người dùng có thể tình cờ lưu các password trong một quá trình duyệt thông thường

8.1.2, Vô hiệu hóa quản lý password

Điều này sẽ làm cho bộ quản lý password ngăn chặn được khả năng lưu username và password mặc dù có thể rơi vào trạng thái tương tự như biện pháp trên Chiến lược này khác với phương

pháp sẽ thảo luận trong 8.2

8.1.3, Luân phiên các bộ quản lý password “được xác nhận”

Một phương pháp chung mà người dùng lưu các password là

trong một ứng dụng gọi là Password Safe Ứng dụng được thiết

kế bởi Bruce Schneier đó là tiện ích Windows mã nguồn mở là một phương pháp phổ biến cho việc lưu và truy cập các

password Các password được mã hóa bằng khối chữ số 0

Schneier's Blowfish và được bảo vệ bằng Safe

Combination (password chủ)

Sự thận trọng và những bước đi ban đầu nên được thực hành trước khi sử dụng bất kỳ một chương trình mới nào Mặc dù vậy, một chương trình với mục đích để lưu các thông tin nhạy cảm sẽ tập trung sâu hơn bất kỳ trình duyệt nào nhất là trong tính năng lưu giữ password Tập trung vào bộ quản lý password mã nguồn

mở và được thiết kế bằng các mật mã nổi tiếng là những lý do khiến cho nó trở thành một tùy chọn có giá trị Cả

haiAutoComplete và Password Manager đều cung cấp sự đơn

giản và thuận tiện đến người dùng; không cần phải chuyển đến ứng dụng khác để tăng sự truy cập đến các username và

password

8.1.4, Phức hợp password

Như đã được đưa ra trong những phần trước, việc có một

password chủ vững chắc có thể cho phép ngăn chặn một cách hiệu quả các tấn công

Như những gì đã nói từ các phần trên, Internet Explorer không cho phép bạn chọn một password chủ cho AutoComplete; sự bảo mật thông tin được lưu với AutoComplete được liên hệ trực tiếp đến password tài khoản người dùng Windows Việc lựa chọn

một password Windows mạnh hơn sẽ cung cấp hơn nữa sự bảo

vệ Mặc dù như vậy nhưng các password của Windows không dễ dàng gì có thể thỏa hiệp trong một vài phút Việc tạo một

password vững chắc hơn trong Password Manager cho Firefox

có thể giảm đáng kể các rủi ro về sự thỏa hiệp Một password tốt phải có chiều dài hơn 8 kí tự ngẫu nhiên và phải trộn lẫn với các

kí tự chữ số, điều này sẽ làm tăng đáng kể khả năng bảo mật Các tấn công bẻ khóa password hoàn toàn có thể tiến hành với Firefox Password Manager nhưng đó không phải là xu thế chủ đạo và bằng việc sử dụng thận trọng hơn nữa có thể tranh được việc này Trong nhiều trường hợp, người dùng Firefox tăng lớp bảo vệ mở rộng bằng cách sử dụng một password tương tự như bên phía Internet Explorer

8.2, Dàn xếp lại dựa trên chuyên gia phát triển Web

Theo sự nhìn nhận của các chuyên gia phát triển Web, trang

thương mại và tổ chức tài chính có thể thực hiện việc bảo vệ người dùng chống lại sự thỏa hiệp password trong tương lai Cả Internet Explorer và Firefox đều có khả năng bảo vệ này nếu các thuộc tính của tag trong HTML được thiết lập một cách thích hợp Hãy xét một ví dụ được lấy đại diện từ MSDN và thể hiện dễ dàng như thế nào để có thể kết hợp chặt chẽ thay đổi này trong bất kỳ trang web nào Bằng sử dụng phương pháp này, các trung tâm phòng chống rủi ro có thể ngăn chặn việc lưu

password trong Internet Explorer và Firefox

Văn bản này sẽ được lưu:

Văn bản này không được lưu:

Các ngân hàng sử dụng đặc tính này gồm có Washington

Mutual, Chase Manhattan cũng như Fidelity, E*Trade,

Vanguard, Schwab,… Nhiều tổ chức không sử dụng như các kho

bạc PNC Bank Oppenheimer Nếu mỗi trang web đều trang bị vấn đề này thì sẽ không có bất kỳ một lợi ích nào từ việc sử dụng các bộ quản lý password trong trình duyệt Như vậy, phương pháp này chỉ ý nghĩa với mỗi một tổ chức riêng lẻ nếu nó thích hợp Sử dụng phương pháp này sẽ không bảo đảm an toàn cho máy khách (đã được chỉ ra trong phần 5.1) HTML và JavaScript

có thể bị thay đổi tại máy khách, chuyển từ “OFF” sang “ON” Dàn xếp bảo mật hoạt động kinh doanh của Windows

Hoàn toàn có thể vô hiệu hóa đặc tính AutoComplete của

Internet Explorer cho bảo mật doanh nghiệp Sử dụng Group Policy Objects (GPO) là một giải pháp dễ dàng để quản lý một

số lượng lớn các hệ thống máy tính bằng điều khiển các thiết lập người dùng và máy móc với các chính sách riêng Sử dụng

Windows Server 2003 trong môi trường Active Directory hoàn toàn cho phép vô hiệu hóa các thiết lập AutoComplete trong toàn

bộ một tổ chức hay công ty nào đó

Kết luận

Sự rủi ro trong kỹ thuật lưu password của các trình duyệt như Internet Explorer và Firefox cần phải được đánh giá hơn nữa Bất kỳ hệ thống nào điều khiển các chức năng chính trong nhiều lĩnh vực cũng cần phải xem xét hơn nữa người dùng cũng cần phải có hơn nữa những kiến thức về rủi ro và những lợi ích mang lại từ sử dụng hệ thống quản lý password Các phương pháp hiện nay nhằm giảm rủi ro hay tấn công như đã trình bày trong tài liệu cũng chỉ là các giải pháp nhất thời Người dùng luôn mong đợi một hệ thống bảo mật tốt nhất Như vậy, thế hệ kế tiếp của các

hệ thống quản lý password cần phải tập trung hơn nữa để đáp ứng được các nhu cầu người dùng