Link xem trực tiếp Shimizu S

Mục đích nghiên cứu của nhóm là khám phá các cơ chế bảo mật để ngăn chặn truy cập trái phép vào dữ liệu trong thiết bị di động, các cách truy cập dữ liệu không được phép và cách cải thiện để ngăn chặn truy cập trái phép. Đối tượng nghiên cứu là iOS và nền tảng Android. Nhà nghiên cứu chính của iOS Maximilian Zinkus cho biết: “Đặc biệt là trên iOS, cơ sở hạ tầng mã hóa nhiều lớp này đã được sử dụng và nó thực sự tốt. Nhưng tôi thực sự ngạc nhiên khi thấy nó chưa được tận dụng vào thời điểm đó”.

Khi iPhone khởi động, tất cả dữ liệu được lưu trữ ở trạng thái “được bảo vệ hoàn toàn”, và người dùng phải mở khóa thiết bị trước khi giải mã bất cứ thứ gì. Mặc dù làm như vậy rất an toàn nhưng nhiều nhà nghiên cứu nhấn mạnh rằng khi thiết bị được mở khóa lần đầu tiên sau khi khởi động lại, một lượng lớn dữ liệu sẽ đi vào trạng thái mà Apple gọi là “được bảo vệ trước trạng thái xác thực người dùng đầu tiên”.

Vì thiết bị hiếm khi khởi động lại nên hầu hết dữ liệu đều ở trạng thái “được bảo vệ với xác thực người dùng đầu tiên”, chứ không phải “được bảo vệ hoàn toàn”. Ưu điểm của trạng thái kém an toàn này là khóa giải mã được lưu trữ trong bộ nhớ truy cập nhanh và có thể được các ứng dụng truy cập nhanh.

Về lý thuyết, tin tặc có thể tìm và sử dụng một số loại lỗ hổng bảo mật nhất định trong hệ thống iOS để nhanh chóng truy cập vào khóa mã hóa trong bộ nhớ, giúp nó giải mã một lượng lớn dữ liệu trong thiết bị. Đây cũng là nguyên lý hoạt động của nhiều công cụ truy cập điện thoại thông minh, chẳng hạn như công cụ truy cập pháp y số Grayshift.

Ngoài bản thân hệ thống iOS, iCloud chuyển một lượng lớn dữ liệu người dùng đến các máy chủ của Apple, những dữ liệu này cũng có thể bị truy cập từ xa bởi tin tặc hoặc cơ quan thực thi pháp luật trái phép. Apple sử dụng bộ xử lý bảo mật SEP để hạn chế nghiêm ngặt những cuộc tấn công đoán mật khẩu, nhưng có bằng chứng cho thấy ít nhất trong năm 2018, tin tặc đã sử dụng công cụ GrayKey để bẻ khóa SEP.

Những kẻ tấn công cần lỗ hổng hệ điều hành cụ thể để lấy dữ liệu và Apple, Google sẽ áp dụng nhiều bản vá khi họ phát hiện ra các lỗ hổng đó, nhưng điều này có thể tránh được bằng cách ẩn các khóa mã hóa sâu hơn.

Matthew Green, một nhà mật mã học tại Đại học Johns Hopkins cho biết: “Điều này thực sự khiến tôi bị sốc vì khi bước vào dự án này, tôi nghĩ rằng những chiếc điện thoại sẽ thực sự bảo vệ được dữ liệu của người dùng, nhưng thực tế lại khác. Cơ chế bảo mật của iOS đang vô tình tạo ra cửa hậu cho tin tặc”. Các nhà nghiên cứu cũng trực tiếp chia sẻ phát hiện của họ và một số lời khuyên kỹ thuật với Apple.

Người phát ngôn của Apple đưa ra tuyên bố công khai: “Các thiết bị của Apple được thiết kế với nhiều lớp biện pháp bảo vệ an ninh để chống lại nhiều mối đe dọa tiềm ẩn khác nhau. Chúng tôi không ngừng nỗ lực để bổ sung những biện pháp mới cho người dùng. Khi lượng thông tin nhạy cảm được lưu trữ trên thiết bị tiếp tục tăng lên, chúng tôi sẽ tiếp tục phát triển thêm một số biện pháp bảo vệ trên phần cứng và phần mềm để bảo vệ dữ liệu của người dùng”.

Ngoài ra, mặc dù nhiều dịch vụ đám mây của Apple quảng cáo việc sử dụng công nghệ mã hóa đầu cuối, nhấn mạnh rằng chỉ người dùng mới có thể truy cập dữ liệu đám mây, nhưng các nhà nghiên cứu phát hiện ra rằng khi sử dụng dịch vụ sao lưu iCloud, tính bảo mật của một số dịch vụ mã hóa nhất định sẽ bị xâm phạm.

Thực tế, nỗ lực bảo mật của Apple chủ yếu tập trung vào việc bảo vệ người dùng khỏi tin tặc, kẻ trộm và tội phạm muốn đánh cắp thông tin cá nhân. Họ cũng chỉ ra rằng những kiểu tấn công được các nhà nghiên cứu nhấn mạnh là rất tốn kém để phát triển, yêu cầu quyền truy cập vật lý vào thiết bị mục tiêu và chỉ có thể hoạt động trước khi Apple phát hành bản vá. Apple cũng nhấn mạnh mục tiêu của họ đối với iOS là cân bằng giữa an toàn và tiện lợi.

Ngược lại, tình hình của nền tảng Android có vẻ phức tạp hơn. Các nhà nghiên cứu phát hiện ra rằng các mẫu Android hàng đầu mới nhất có thể cung cấp cơ chế bảo vệ mạnh mẽ, nhưng sự mất kết nối giữa Google và các nhà sản xuất thiết bị Android dẫn đến tiến độ cập nhật phần mềm không đồng đều, khiến cơ chế kiểm soát bảo mật và quyền riêng tư của hầu hết điện thoại Android không nhất quán.

Phong Vũ

Lý do nhiều đối tác không dám nhắc tên Apple

Nhiều đối tác của Apple xem việc nhắc tên công ty này là điều cấm kị.

Bộ Xây dựng vừa ban hành Quyết định phê duyệt Kế hoạch ứng dụng công nghệ thông tin (CNTT) trong hoạt động của cơ quan Bộ Xây dựng giai đoạn 2021 - 2025. Trong đó, có phần đánh giá kết quả thực hiện kế hoạch ứng dụng CNTT trong hoạt động của Bộ giai đoạn 2016 – 2020.

Giai đoạn 2016 - 2020, Bộ Xây dựng đẩy mạnh ứng ứng dụng CNTT, phát triển Chính phủ điện tử. Đây cũng là giai đoạn mà Việt Nam nói chung và Bộ Xây dựng nói riêng phải đối mặt với những nguy cơ và diễn biến phức tạp của vấn đề mất an toàn thông tin, rất nhiều các cuộc tấn công với quy mô lớn đã làm ảnh hưởng đến các hệ thống thông tin, cơ sở dữ liệu (CSDL) của các cơ quan nhà nước.

Để đảm bảo an toàn thông tin trong công tác ứng dụng CNTT, xây dựng và phát triển Chính phủ điện tử trong giai đoạn 2016 - 2020, Bộ Xây dựng đã từng bước hoàn thiện hệ thống quy chế, quy định liên quan, đầu tư, trang bị nâng cấp hạ tầng an ninh, bảo mật; đào tạo, bồi dưỡng, nâng cao trình độ cho cán bộ chuyên trách về an toàn thông tin; phối hợp với các đơn vị có uy tín trong lĩnh vực an ninh bảo mật để kịp thời triển khai các giải pháp an toàn thông tin đối với các hệ thống thông tin, CSDL của Bộ Xây dựng.

Về công tác xây dựng, ban hành chính sách đảm bảo an toàn thông tin mạng trong hoạt động của cơ quan trong Bộ, Bộ thường xuyên cập nhật, triển khai thực hiện các quy chế, chính sách do Chính phủ, Thủ tướng Chính phủ, Bộ Thông tin và Truyền thông ban hành, hướng dẫn về công tác đảm bảo an toàn thông tin mạng. Định kỳ hàng quý, hàng năm, Bộ Xây dựng đều gửi báo cáo về công tác đảm bảo an ninh, an toàn mạng cho cơ quan chức năng theo quy định.

Ngày 23/3/2015, Bộ trưởng Bộ Xây dựng ký Quyết định số 319/QĐ-BXD ban hành Quy chế bảo đảm an toàn, an ninh mạng Bộ Xây dựng. Ngày 12/11/2018, Ban Cán sự đảng Bộ Xây dựng ban hành Quyết định số 108/QĐ-BCSĐ về Kế hoạch triển khai Chiến lược bảo vệ tổ quốc trên không gian mạng và Quyết định số 109/QĐ-BCS về Kế hoạch triển khai Chiến lược An ninh mạng quốc gia tại Bộ Xây dựng. Ngày 08/10/2019, Bộ trưởng Bộ Xây dựng ký ban hành Quyết định số 815/QĐ-BXD ban hành Quy chế bảo vệ bí mật nhà nước trên không gian mạng.

Về công tác triển khai áp dụng hệ thống quản lý an toàn thống tin mạng theo tiêu chuẩn, quy chuẩn kỹ thuật, năm 2016, Bộ Xây dựng đã xây dựng và đưa vào sử dụng sổ tay bảo mật theo tiêu chuẩn ISO 27001. Sổ tay bảo mật là cẩm nang nhằm xây dựng quy trình đánh giá hiện trạng quản trị, quản lý và vận hành CNTT nhằm đảm bảo an ninh thông tin theo các tiêu chuẩn quốc tế được công nhận rộng rãi; việc đảm bảo an ninh, an toàn thông tin luôn là yêu cầu bắt buộc trong công tác ứng dụng công nghệ thông tin và phát triển Chính phủ điện tử tại Bộ Xây dựng.

Về phân công lãnh đạo phụ trách và đơn đơn vị chịu trách nhiệm về an toàn thông tin, ngày 29/12/2017, Bộ trưởng Bộ Xây dựng đã ký Quyết định số 1375/QĐ- BXD về việc thành lập Ban chỉ đạo ứng dụng Công nghệ thông tin và an toàn thông tin mạng Bộ Xây dựng do đồng chí Thứ trưởng làm Trưởng ban và đồng chí Giám đốc Trung tâm Thông tin làm Phó Trưởng ban. Theo Quyết định, Ban Chỉ đạo có chức năng, nhiệm vụ: tham mưu giúp Bộ Trưởng trong việc xây dựng các chủ trương, chính sách về phát triển, ứng dụng công nghệ thông tin phục vụ công tác quản lý nhà nước ngành Xây dựng; chỉ đạo các nhiệm vụ bảo đảm an toàn thông tin mạng, ứng cứu khẩn cấp sự cố an toàn thông tin mạng của Bộ Xây dựng; làm đầu mối công tác với Ủy ban Quốc gia về ứng dụng công nghệ thông tin và Ban Chỉ đạo an toàn thông tin mạng Quốc gia.

Ngày 26/5/2020, Thủ tướng Chính phủ ký Quyết định số 701/QĐ-TTg kiện toàn Ủy ban Quốc gia về Chính phủ điện tử, trong đó phân công Bộ trưởng Bộ Xây dựng là Ủy viên.

Hải Lam