您现在的位置是：Thời sự >>正文

Năm 2016 rồi, tại sao vẫn dùng phương thức bảo mật lỗi thời như OTP?

Thời sự517人已围观

简介Hơn 25 năm nay,ămrồitạisaovẫndùngphươngthứcbảomậtlỗithờinhưngày mai bao nhiêu độ ngành dịch vụ tài c...

Hơn 25 năm nay,ămrồitạisaovẫndùngphươngthứcbảomậtlỗithờinhưngày mai bao nhiêu độ ngành dịch vụ tài chính vẫn phụ thuộc vào mật khẩu cấp 1 lần (OTP) cho bảo mật ngân hàng song với sự chuyển dịch về điện toán, sự tân tiến của Internet, di động và sự bùng nổ trong tội phạm mạng đã khiến OTP trở nên lạc hậu và nguy hiểm.

Các cuộc tấn công nhằm vào ngân hàng ngày càng tinh vi hơn và trở thành “chuyện cơm bữa”. Các lỗ hổng bảo mật tại những tổ chức uy tín xuất hiện hàng ngày trên các bản tin còn dữ liệu người dùng bị đánh cắp dường như là thứ tiền tệ mới của thế giới ngầm. Tổn thất về cả tài chính và uy tín là có thật nhưng các công ty, trong đó có dịch vụ tài chính khắp thế giới, vẫn tiếp tục mua và triển khai hệ thống xác minh giao dịch và người dùng lỗi thời, dễ bị xâm phạm.

Chẳng hạn, OTP (one-time password), loại mật khẩu cấp một lần để xác thực đăng nhập hoặc giao dịch rồi bị vô hiệu hóa. Ý tưởng về OTP được hình thành nhằm giải quyết những thiếu sót của mật khẩu tĩnh và bảo mật dựa trên OTP được xem là đỉnh cao của những năm 1980, tương tự như máy quay phim và Sony Walkman.

1/4 thế kỷ trôi qua, trong khi máy quay phim và Walkman trở nên xa lạ với đám trẻ hiện tại, vì sao OTP vẫn đóng vai trò quan trọng trong các kế hoạch tăng cường bảo mật của ngân hàng? Công nghệ đơn giản không còn phù hợp với phần lớn các kịch bản lừa đảo trực tuyến thông dụng ngày nay. Tội phạm mạng vô cùng thông minh, được trang bị đến tận răng và có động lực hấp dẫn. Chúng lợi dụng các công nghệ yếu kém như OTP. Đây là thời điểm ngành tài chính nên thoát khỏi công nghệ lỗi thời này.

Một thập kỷ thất bại

Các cuộc tấn công thành công nhằm vào hệ thống nền OTP được ghi nhận từ năm 2005. Một trong những vụ sớm nhất xảy ra vào tháng 10 năm đó khi ngân hàng Nordea của Thụy Sỹ là nạn nhân của lừa đảo khiến hệ thống bảo mật OTP bị xâm phạm. Trong cuộc tấn công, nhiều khách hàng trực tuyến của Nordea được dẫn đến website giả mạo, hỏi thông tin tài khoản cũng như OTP của họ. Sau đó, họ lại nhìn thấy một bảng tương tự bảng họ đang dùng có chứa các mã OTP. Tuy nhiên, dù nhập bao nhiêu mã để truy cập tài khoản, trang web giả cũng từ chối khiến họ liên tiếp nhập mã OTP mới. Bằng cách này, hacker thu thập được vô số mã OTP cho mục đích riêng.

Một năm sau, CitiBusiness Online của Citibank cũng bị xâm phạm. Để truy cập tài khoản online, khách hàng CitiBusiness phải nhập mã OTP được tạo ra bởi một thiết bị token ngoài tên người dùng và mật khẩu. Tháng 7/2006, nhiều người nhận được email thông báo ai đó đang cố đăng nhập tài khoản của họ và yêu cầu họ phải xác nhận thông tin tài khoản trên mạng. Khi bấm vào đường link trong email, họ đến một website trông giống hệt của CitiBusiness và nhập tên, mật khẩu, OTP mà không hề hay biết đang cung cấp mọi chìa khóa cho kẻ lừa đảo.

Một vụ việc chấn động khác xảy ra năm 2012 khi tội phạm mạng truy cập được tài khoản cá nhân và doanh nghiệp tại gần 30 ngân hàng khắp châu Âu, trong đó có Ý, Đức, Hà Lan và Tây Ban Nha. Có tới 30.000 khách hàng online bị mất xấp xỉ 36 triệu Euro và mỗi người bị mất từ 500 Euro đến 250.000 Euro. Thủ phạm lừa nạn nhân tải Eurograbber, một phiên bản khác của trojan Zeus, vào máy tính và thiết bị di động. Như vậy, hacker có thể xem trộm các thông tin bằng phương thức tấn công man-in-the-middle (MITM). Để phá vỡ xác minh hai bước của ngân hàng, hacker can thiệp vào các tin nhắn văn bản chứa mã OTP.

Tội phạm mạng đặc biệt ưa thích Zeus vì khi các chuyên gia bảo mật dập tắt một phiên bản của nó, chúng đã có trong tay phiên bản khác. Theo Darrell Burkey, Giám đốc IPS tại Check Point thời điểm đó, cuộc tấn công nhằm vào xác thực hai bước phụ thuộc vào OTP qua SMS chứng minh hacker có hiểu biết sâu sắc về hoạt động của hệ thống ngân hàng trực tuyến.

Năm 2014, một nguy cơ mới có tên Operation Emmental tập trung vào ngân hàng dùng SMS OTP. Nạn nhân nhận được email lừa đảo dẫn tới trang web có thông tin về bảo mật trên di động. Nó lừa người dùng tải ứng dụng cam kết bảo vệ họ khỏi các nguy cơ lừa đảo ngân hàng online. Thực tế, một khi được cài đặt, ứng dụng can thiệp vào mọi tin nhắn chứa OTP và gửi ngay đến kẻ tấn công, sau đó dùng chúng để xác thực các giao dịch lừa đảo trên tài khoản nạn nhân.

Tất cả hệ thống OTP đều có một khiếm khuyết chung

Có rất nhiều hệ thống xác thực nền OTP, chủ yếu khác nhau về cách phân phối OTP đến khách hàng. Nó yêu cầu người dùng luôn phải mang theo thiết bị bên mình. Được sản xuất bởi các công ty như RSA, VASCO và SafeNet, các token này giống như một móc chìa khóa hay máy tính nhỏ với màn hình LCD hiển thị các con số.

Một số ngân hàng tạo và gửi OTP qua SMS đến khách hàng, có thể được gọi là mTAN (mobile Transaction Authorization Numbers). Tại một số nước, ngân hàng vẫn dùng bản cứng để cung cấp OTP.

Dù đa dạng như vậy, tất cả hệ thống OTP đều có chung nhược điểm. Đầu tiên, tất cả đều đối xứng vì ngân hàng cũng xem được một bí mật với khách hàng (và cả nhà mạng). Thứ hai, hệ thống OTP đều dựa trên trình duyệt để giao tiếp trở lại ngân hàng. Điều đó có nghĩa nếu một website lừa đảo bắt chước website thật của ngân hàng hay trình duyệt làm thế nào đó bị xâm phạm, thông tin đăng nhập và OTP có thể bị thu thập bởi những kẻ lừa đảo và ngay lập tức bị dùng để chiếm quyền truy cập, thực hiện các giao dịch lừa đảo.

Hàng ngày, tội phạm mạng khoe khoang về khả năng phá vỡ phương thức xác minh hai bước phụ thuộc vào trình duyệt. Theo Avivah Litan, Phó Chủ tịch và chuyên gia phân tích của Gartner, bất cứ thứ gì đi qua trình duyệt đều có thể bị một trojan xâm phạm. Các cuộc tấn công man-in-the-middle hoặc man-in-the-browser được kích hoạt bằng trojan có khả năng vượt mặt những lớp bảo mật tinh vi nhất từ OTP đến thẻ chip hay công nghệ sinh học vì đều dựa vào trình duyệt.

Trong đó, hacker can thiệp vào liên lạc giữa ngân hàng và khách hàng mà họ không hề nhận thức sự có mặt của chúng, cho phép kẻ lừa đảo hoạt động như một ủy nhiệm. Vài trường hợp, mã độc sao chép ID, mật khẩu và OTP rồi ngay lập tức dùng chúng.

Tags：

上一篇：Nhận định, soi kèo Ayeyawady United vs Thitsar Arman, 16h00 ngày 20/1: Những kẻ khốn cùng

下一篇：Soi kèo phạt góc Chelsea vs Wolves, 3h00 ngày 21/1

Nhận định, soi kèo Ninh Bình vs Hòa Bình, 18h00 ngày 23/1: Nhọc nhằn sân nhà
Thời sự
Hồng Quân - 22/01/2025 20:21 Việt Nam ...

2025-01-24 20:16【Thời sự】
阅读更多

Bức ảnh 'nặng' hơn cả ngàn dữ liệu

Thời sự

- Hội thảo "Ký ức và Lịch sử" do Trung tâm Văn hóa Pháp - L’Espace và Nhà xuất bản Tri Thức tổ chức, với diễn giả Alain J. Lemaître - giáo sư sử học hiện đại (Trường Đại học Haute Alsace, Mulhouse) và nhà sử học Dương Trung Quốc - Tổng thư ký Hội khoa học Lịch sử Việt Nam.

Các diễn giả đã dành một phần thời gian để nói về việc dạy và học sử trong nhà trường.

Bức ảnh "Vietnam Napalm Girl" gây chấn động trên toàn thế giới.

Sử là môn thi bắt buộc ở Pháp

Giáo sư Alain J. Lemaître cho biết, ở Pháp, lịch sử đã góp phần xây dựng bản sắc dân tộc. Khi ông Nicolas Sarkozy lên làm tổng thống đã nhất quyết đưa lịch sử vào kỳ thi tú tài. Hiện nay dưới thời tổng thống François Hollande, về mặt chính sách vẫn quy định lịch sử là môn bắt buộc trong kỳ thi tú tài.

Hiện nay cứ 4 người Pháp có một người có gốc nước ngoài. Điều này dẫn đến một điều đương nhiên là trong SGK ngoài lịch sử nước Pháp còn có lịch sử thế giới.

Trong SGK lịch sử Pháp, lịch sử đương đại thường xuyên được bổ sung rất nhiều tài liệu. Đặc biệt có sử dụng tư liệu không chỉ của các sử gia Pháp.

Theo ông Alain J. Lemaître, việc giảng dạy môn lịch sử còn gặp thách thức khác là làm thế nào giúp cho học sinh sinh viên nhận thấy vai trò của mình trong nền văn minh toàn cầu. “Làm thế nào để giúp dạy lịch sử cho học sinh đến Pháp từ mọi nơi trên thế giới những giá trị lịch sử chung, vì chúng ta sống trong xã hội toàn cầu hoá rồi, các biên giới đã được xoá nhoà.

Dạy lịch sử là sự tiếp nối ký ức, để giúp học sinh lứa tuổi từ 15 – 18 hiểu rõ hơn những gì đã xảy ra trong bối cảnh hiện tại, không nhất thiết chỉ là điều tốt mà cả những khía cạnh khác nữa”.

Trước những dư luận trái chiều về việc lịch sử không phải là môn thi bắt buộc trong kỳ thi tốt nghiệp THPT tại Việt Nam, nhà sử học Dương Trung Quốc bày tỏ quan điểm: “Dạy sử học sử có điều tiếng là lỗi của người lớn chứ không phải của trẻ con. Tôi thấy rằng giữa hơn chục môn học, sự lựa chọn không có môn sử là điều dễ hiểu. Có thể đứng ở góc độ của người làm sử như tôi không tán thành điều đó, nhưng lớp trẻ hiện nay vẫn đang sống một ngày 24 giờ như cha anh, họ phải chọn học gì, làm gì, và sẽ kiếm sống như thế nào. Nếu đến một ngày nào đó, người viết sử được trả lương cao, chắc chắn sẽ có nhiều người học sử”.

Về lo ngại giới trẻ “quay lưng” với môn sử, ông Dương Trung Quốc cũng cho rằng đừng vội trách con trẻ và cả các thầy cô. “Trước đây, chúng tôi say mê môn sử là do thầy. Nhưng về đại trà các thầy khó khăn và chúng ta phải chia sẻ”.

Lịch sử do chính đời sống quyết định

Bức ảnh Tướng cảnh sát miền Nam Nguyễn Ngọc Loan bắn tù binh ngay trên đường phố Sài Gòn

Giáo sư Alain J. Lemaître cũng chia sẻ kinh nghiệm: “Cho sinh viên xem quá nhiều hình ảnh, cung cấp quá nhiều dữ liệu, sinh viên sẽ bị quá tải, không tiếp thu hết được.

Ví dụ, với cuộc chiến Mỹ gây ra cho Việt Nam, tôi sẽ cần cho sinh viên xem 3 hình ảnh. Thứ nhất là bức ảnh Em bé napalm, thứ hai là bức ảnh tướng cảnh sát miền Nam bắn tù binh ngay trên đường phố Sài Gòn, và thứ ba là bức ảnh một khu phố bị bom tàn phá ở Hà Nội. Theo tôi, hàng nghìn bức ảnh chùa chiền, làng mạc bị phá huỷ không ấn tượng bằng những gì đã được khu biệt ở những bức ảnh dó. Ba bức ảnh kể trên đã cho thấy sự tàn ác cực độ của chiến tranh Việt Nam”.

Ông Dương Trung Quốc thì nhấn mạnh tới vai trò của nghệ thuật đối với lịch sử. “Lịch sử không chỉ là ông việc của người làm sử mà còn yếu tố tác động rất mạnh là nghệ thuật. Chính nghệ thuật góp phần tạo nên những huyền thoại trong lịch sử mà không ai có thể xoá nhoà, cho dù những huyền thoại đó có thể không có thật.

“Lịch sử đi bằng nhiều kênh khác nhau, quan trọng là người dân đón nhận như thế nào”. Ông Dương Trung Quốc nhấn mạnh, “Lịch sử do chính đời sống quyết định. Trao chuyền cho thế hệ trẻ không chỉ là việc của người làm sử, mà còn phụ thuộc vào tâm thức của người nhận”.

TIN BÀI LIÊN QUAN:Thiếu Lịch Sử, chúng ta mãi là Mít Đặc">

...

2025-01-24 19:41【Thời sự】

Miranda Kerr mang thai lần 2 với chồng trẻ tỷ phú

Thời sự

Siêu mẫu Úc Miranda Kerr vừa xác nhận thông tin cô mang thai lần 2 với chồng kém 7 tuổi Evan Spiegel.

Tỷ phú công nghệ Evan Spiegel, 29 tuổi và siêu mẫu 36 tuổi Miranda Kerr kết hôn hồi năm 2017 sau 2 năm hẹn hò.

Cặp đôi có với nhau một con trai nhỏ tên là Hart Spiegel hiện được hơn 10 tháng tuổi, ngoài ra người đẹp có 1 con trai riêng Flynn, 8 tuổi.

Đôi vợ chồng hạnh phúc nói, họ đang hồi hộp chờ em bé chào đời nhưng không tiết lộ Kerr hiện mang thai mấy tháng.

Evan Spiegel - chồng của Miranda sở hữu ngoại hình điển trai và khối tài sản khủng 2,1 tỷ USD.

Miranda Kerr từng là cựu thiên thần của Victoria's Secret và nhiều lần lọt Top những siêu mẫu có thu nhập cao nhất thế giới.

Chân dài người Úc hiện lấn sân kinh doanh mỹ phẩm, thời trang, đồ gia dụng khá thành công.

Miranda Kerr từng kết hôn với sao phim Cướp biển vùng Caribe Orlando Bloom vào năm 2010, cặp đôi chia tay vào năm 2013 sau khi có với nhau 1 con trai.

Theo Dân Trí

NSƯT Kim Tử Long: 'Vợ kém 11 tuổi ủng hộ tôi giữ quan hệ tốt với hai vợ cũ'

- NSƯT Kim Tử Long cho biết, Trinh Trinh - người vợ hiện tại hiền và ủng hộ việc chồng chăm sóc và quan tâm đến những người con riêng cũng như có mối quan hệ tốt với hai vợ cũ.

...

2025-01-24 19:25【Thời sự】