Theo nghiên cứu của Positive Technologies, hầu hết các mạng 4G, 5G đều tồn tại rủi ro bị tấn công bởi các phương thức: tiết lộ thông tin thuê bao qua định danh điểm cuối “đường hầm” và dữ liệu vị trí; Giả mạo thông tin; Tấn công từ chối dịch vụ...
Mạng 5G trong thời gian tới sẽ phát triển dựa trên mạng 4G thay vì đứng một mình “thuần túy”. Do đó, các nhà mạng viễn thông (Mobile network operatar - MNO) cần có kế hoạch kết nối mạng 4G (không an toàn) ở hiện tại với mạng 5G mới (an toàn). Việc đặt 5G bên trong mạng chuyển vùng 4G hiện tại khiến mạng thế hệ tiếp theo đối diện với nhiều mối đe dọa. Đảm bảo an toàn mạng 5G bắt đầu bằng việc đảm bảo an toàn mạng 4G. Tất cả các giao thức thế hệ trước phải được đảm bảo an toàn. Hệ thống mạng phải được rà soát toàn bộ cách thức cấu hình, yêu cầu đánh giá thường xuyên về tình trạng của cơ sở hạ tầng đảm bảo an toàn.
An toàn phải là yếu tố ưu tiên trong quá trình thiết kế mạng. Điều này hiện đang đúng hơn bao giờ hết khi MNO bắt đầu lên kế hoạch cho việc xây dựng và phổ biến mạng 5G. Những nỗ lực để triển khai đảm bảo an toàn ở giai đoạn sau có thể sẽ gây tốn kém chi phí hơn rất nhiều: Ở tình huống tích cực nhất là MNO sẽ chỉ cần mua thêm thiết bị, nhưng tệ hơn, MNO có thể bị mắc kẹt với các lỗ hổng bảo mật mà không thể sửa chữa được.
MNO nên triển khai tính năng cảnh báo người dùng cùng với các tính năng kiểm tra an toàn bổ sung khác. Chẳng hạn như khi một thẻ SIM được cấp lại, MNO nên thực hiện và tuân thủ nghiêm ngặt các khuyến nghị bảo mật của Hiệp hội Hệ thống thông tin di động toàn cầu (Global system for mobile communication - GSMA); thiết lập thiết bị với cấu hình phù hợp và giữ cho hệ thống luôn được cập nhật. Với những giải pháp này, MNO có thể giúp bảo vệ khách hàng khỏi thanh toán gian lận, hoán đổi SIM và bị tin tặc nghe lén tin nhắn, cuộc gọi.
Các nền tảng trực tuyến phải đáp ứng tất cả các tiêu chuẩn an ninh mạng. Trong quá trình nghiên cứu, tôi phát hiện ra trang web của một số ngân hàng Việt Nam không cung cấp hướng dẫn cơ bản về an ninh mạng cho khách hàng hoặc rất khó tìm kiếm hướng dẫn này. Việc các ngân hàng cung cấp hướng dẫn dễ hiểu và dễ tìm là một điều bắt buộc, giúp bảo vệ tài khoản trực tuyến, thông tin nhạy cảm và danh tính của khách hàng.
Các ngân hàng, MNO và các nền tảng trực tuyến cần có tính năng bảo mật như Cảnh báo “Mất tín hiệu” (Signal Loss Alert) cho khách hàng, để biết khi nào tín hiệu sử dụng mạng 2G/3G và luôn khuyến khích khách hàng sử dụng VPN. Bên cạnh đó, các tổ chức này cần theo dõi các hoạt động bất thường trên tài khoản của khách hàng, nhật ký, dữ liệu vị trí, dữ liệu thời gian và siêu dữ liệu của thiết bị để có thể kịp thời phát hiện được dấu hiệu sự xâm phạm.
Các ngân hàng, MNO và các nền tảng trực tuyến nên thay mã OTP qua tin nhắn văn bản/thoại bằng một phương pháp MFA mạnh hơn, như xác thực dựa trên phần mềm, ví dụ: Google Authenticator hoặc ứng dụng xác thực của chính ngân hàng. Đôi khi, việc bảo vệ yếu còn tồi tệ hơn không bảo vệ. Bởi nó tạo ra một cảm giác an toàn giả tạo. MNO cũng nên xem xét việc tích hợp vào nền tảng của mình những phương pháp MFA mạnh mẽ hơn như thông báo đẩy, sinh trắc học, khóa cứng bảo mật và phân tích hành vi khách hàng.
Nếu có thể, MNO nên chặn hoàn toàn tất cả mã OTP qua tin nhắn văn bản, thoại, qua đó các chủ doanh nghiệp sẽ phải tìm kiếm một lựa chọn phương thức MFA khác mạnh mẽ hơn. Các ngân hàng và nền tảng trực tuyến cũng có thể tìm hiểu về việc sử dụng Telegram như một phương thức để nhận mã OTP, đây là một nền tảng miễn phí và có tính bảo mật cao.
Hình 8. Giải pháp SmartOTP của Vietcombank
Là một cựu tin tặc, tôi lựa chọn sử dụng MFA với thái độ thận trọng. Đầu tiên, tôi cố gắng sử dụng một phương thức MFA mạnh mẽ hơn, như xác thực dựa trên phần mềm thay vì xác thực qua tin nhắn văn bản, thoại. Chẳng hạn như mã Google Authenticator được tạo và lưu trữ cục bộ trên điện thoại, hay các tài khoản trực tuyến được coi là an toàn hơn khi được bảo vệ bằng xác thực dựa trên phần mềm, so với xác thực sử dụng mã OTP qua tin nhắn văn bản, thoại. Nếu người dùng sử dụng trang web cung cấp tính năng bảo mật như xác thực dựa trên phần mềm hoặc khóa cứng bảo mật, hãy cố gắng tận dụng thế mạnh của nó. Bạn có thể truy cập tại đây để xem các trang web yêu thích có hỗ trợ MFA hay không.
Tôi luôn cố gắng sử dụng nhiều tính năng bảo mật nhất có thể để bảo vệ Windows, dữ liệu cá nhân, tài khoản ngân hàng, Facebook, Gmail và các tài khoản trực tuyến khác. Dưới đây là các bước mà tôi đã thực hiện:
Đối với Windows và dữ liệu của tôi:
Mã hóa hệ thống và dữ liệu cá nhân bằng Bitlocker, để mã hóa một tệp hoặc thư mục, tôi sử dụng AxCrypt.
Cho phép bật tất cả cài đặt về bảo mật hoạt động, quyền riêng tư trên hệ điều hành Windows và tài khoản Microsoft trực tuyến với MFA được kích hoạt, để tránh việc Windows thu thập dữ liệu và giữ an toàn trước tội phạm mạng.
Thiết lập máy ảo (Virtual Machine) bằng cách sử dụng Vmware. Một máy ảo tôi dùng để nghiên cứu bảo mật và một máy ảo khác sử dụng cho việc giả lập điện thoại ảo (Phone Emulator) để sử dụng các ứng dụng di động. Tất cả vì mục đích bảo đảm an toàn và nghiên cứu an ninh mạng.
Cấu hình tường lửa của Windows Defender Firewall, cho phép chặn các cổng kết nối không sử dụng và tôi cũng tiến hành điều chỉnh quyền của các chương trình phần mềm.
Hình 9. Sử dụng ứng dụng nhắn tin Telegram để nhận mã OTP đăng nhập Windows
Đối với tài khoản ngân hàng, Facebook, Gmail và các tài khoản trực tuyến khác:
Có thể nói rằng chỉ với một mật khẩu mạnh, người dùng có thể ngăn chặn việc bị tấn công tới 50% và với một lớp bảo vệ MFA bổ sung, người dùng có thể tránh bị tin tặc tấn công lên đến 90%. Tuy nhiên, dù người dùng có thể ngăn chặn được một kiểu tấn công, thì một kiểu tấn công khác sẽ xuất hiện. Vì vậy người dùng phải liên tục học hỏi những kiến thức cơ bản về an toàn, an ninh thông tin mạng để bắt kịp với việc thay đổi nhanh chóng của công nghệ.
Thực tế, ai cũng đều có thể là nạn nhân của tội phạm mạng ngay tại thời điểm truy cập mạng internet và người dùng phải học cách tự bảo vệ mình khỏi những kẻ xấu. Nhưng rất nhiều người không quan tâm nhiều đến những điều này, họ không thể hiểu tại sao phải có nhu cầu bảo vệ quyền riêng tư hoặc tài khoản trực tuyến của mình, họ cũng chia sẻ không có nhiều tiền trong tài khoản ngân hàng, không làm bất cứ điều gì sai và không nghĩ rằng họ sẽ là nạn nhân của tin tặc. Đó là một suy nghĩ rất sai lầm, đặc biệt là đối với thế giới hiện đại ngày nay.
Người dùng bắt buộc phải bỏ đi những tư duy cũ kỹ, vì như vậy mới có thể bắt đầu học những điều mới về kiến thức cơ bản của an ninh mạng để áp dụng vào cuộc sống hàng ngày. Qua đó, người dùng mới có thể bảo vệ tài khoản ngân hàng, Facebook, Google và các nền tảng trực tuyến khác của chính mình. Điều quan trọng là phải bảo vệ quyền riêng tư, danh tính, tài khoản trực tuyến của mình vì một khi từ bỏ những điều này, người dùng sẽ khó có thể lấy lại được.
Tư duy của một tội phạm mạng là tìm cách đột nhập dễ dàng nhất, giống như cách mà kẻ trộm đang tìm kiếm một ngôi nhà không có camera an ninh. Vì tội phạm mạng không muốn dành quá nhiều thời gian cho một việc. Vì vậy người dùng cần bảo vệ mình từ những gì đơn giản nhất để tránh rủi ro mất an toàn thông tin.
Đối với MFA, việc sử dụng tính năng này đơn lẻ là chưa đủ và chưa thực sự an toàn. Thứ nhất là cần sử dụng xác thực đa nhân tố MFA đúng đắn, đủ các yếu tố an toàn. Thứ hai là cần kết hợp xác thực đa nhân tố MFA cùng với các biện pháp an toàn an ninh khác kể cả các biện pháp phi kỹ thuật hay các biện pháp con người phối hợp.
Bất kỳ biện pháp bảo mật nào cũng có thể vượt qua nếu đủ nỗ lực, tin tặc không muốn thực hiện đầu tư trừ khi chúng có thể đạt được thứ gì đó có giá trị hơn. Mặc dù với tất cả những điều trên thì lỗ hổng lớn nhất vẫn là yếu tố con người. Do đó, người dùng hãy trang bị cho mình những kiến thức cơ bản về an ninh mạng. Kiến thức là sức mạnh, là giá trị vô giá để bảo vệ bản thân.
Ngô Minh Hiếu (Hieupc)
09:00 | 28/05/2020
14:00 | 16/01/2019
09:00 | 04/04/2024
Mạng riêng ảo (VPN) xác thực và mã hóa lưu lượng truy cập mạng để bảo vệ tính bí mật và quyền riêng tư của người dùng ngày càng được sử dụng phổ biến trong cả môi trường cá nhân và doanh nghiệp. Do đó, tính bảo mật của VPN luôn là chủ đề nghiên cứu nhận được nhiều sự quan tâm. Bài báo sẽ trình bày hai tấn công mới khiến máy khách VPN rò rỉ lưu lượng truy cập bên ngoài đường hầm VPN được bảo vệ thông qua khai thác lỗ hổng TunnelCrack. Hai tấn công này đã được xác nhận là có khả năng ảnh hưởng đến hầu hết các VPN của người dùng. Ngoài ra, nhóm tác giả cũng đưa ra các biện pháp đối phó để giảm thiểu các cuộc tấn công lợi dụng lỗ hổng này trong thực tế.
09:00 | 13/02/2024
Trong bối cảnh an ninh mạng ngày càng phát triển, các tổ chức liên tục phải đấu tranh với một loạt mối đe dọa trên môi trường mạng ngày càng phức tạp. Các phương pháp an toàn, an ninh mạng truyền thống thường sử dụng các biện pháp bảo vệ thống nhất trên các hệ thống đang tỏ ra kém hiệu quả trước các hình thái tấn công ngày càng đa dạng. Điều này đặt ra một bài toán cần có sự thay đổi mô hình bảo vệ theo hướng chiến lược, phù hợp và hiệu quả hơn thông qua việc Quản lý rủi ro bề mặt tấn công (Attack Surface Risk Management - ASRM).
10:00 | 13/12/2023
Meta đã chính thức triển khai hỗ trợ mã hóa đầu cuối - End-to-end encryption (E2EE) trong ứng dụng Messenger cho các cuộc gọi và tin nhắn cá nhân theo mặc định trong bản cập nhật mới lần này, bên cạnh một số bộ tính năng mới cho phép người dùng có thể kiểm soát và thao tác dễ dàng và hiệu quả hơn trong các cuộc trò chuyện.
09:00 | 28/02/2023
Hiện nay, việc nghiên cứu, ứng dụng các giải pháp trí tuệ nhân tạo để khai phá thông tin từ dữ liệu và hỗ trợ ra quyết định đang phát triển mạnh mẽ. Văn phòng Trung ương Đảng (TƯ Đảng) đã và đang triển khai hiệu quả hai hệ thống phần mềm tìm kiếm, tổng hợp thông tin dùng chung cho các cơ quan Đảng trong mạng thông tin diện rộng của Đảng và Phần mềm hệ thống thu thập, tổng hợp thông tin trên Internet hỗ trợ công tác tham mưu, thẩm định các đề án. Bài báo này sẽ mô tả các bước xây dựng, triển khai việc ứng dụng mô hình QAC (Query Auto Completion) cho việc tìm kiếm thông tin trong hai hệ thống nói trên, đồng thời đánh giá tính hiệu quả khi áp dụng hệ thống cho các phần mềm.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Lược đồ chữ ký số dựa trên hàm băm là một trong những lược đồ chữ ký số kháng lượng tử đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chuẩn hóa trong tiêu chuẩn đề cử FIPS 205 (Stateless Hash Based Digital Signature Standard) vào tháng 8/2023. Bài báo này sẽ trình bày tổng quan về sự phát triển của của lược đồ chữ ký số dựa trên hàm băm thông qua việc phân tích đặc trưng của các phiên bản điển hình của dòng lược đồ chữ ký số này.
09:00 | 01/04/2024
Mới đây, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phát hành phiên bản mới của hệ thống Malware Next-Gen có khả năng tự động phân tích các tệp độc hại tiềm ẩn, địa chỉ URL đáng ngờ và truy tìm mối đe dọa an ninh mạng. Phiên bản mới này cho phép người dùng gửi các mẫu phần mềm độc hại để CISA phân tích.
13:00 | 17/04/2024
