Ứng dụng công nghệ thông tin

“Người Việt nên chủ động phát hiện lỗ hổng chứ không chỉ thụ động nghe cảnh báo của các an ninh mạng thế giới” – ông Nguyễn Tử Quảng, Giám đốc BKIS nói.

Ngày 1/10, Trung tâm An ninh Mạng Bách Khoa (BKIS) cảnh báo lỗ hổng UserID Privilege Escalation mới được phát hiện của Hosting Controller 7 (HC7) có thể bị tin tặc (hacker) lợi dụng tấn công chiếm toàn bộ quyền kiểm soát của máy chủ. Theo đó, chỉ cần một tài khoản khách hàng bình thường, hacker có thể nâng quyền thành tài khoản quản trị của hệ thống. Trao đổi với báo BĐVN xung quanh vấn đề này, ông Nguyễn Tử Quảng, Giám đốc BKIS nói:

Tại Việt Nam, HC7 được nhiều công ty cung cấp dịch vụ hosting (lưu ký website) sử dụng, dùng để quản lý khách hàng thuê hosting, như việc cấp quyền cho khách hàng được truy cập vào những thư mục nhất định để đưa dữ liệu lên một website. Vì vậy, lỗ hổng UserID Privilege Escalation mới được phát hiện của HC7 có thể ảnh hưởng tới rất nhiều cơ quan, doanh nghiệp là khách hàng của các công ty hosting này. Điều đó có nghĩa là hacker có thể nâng quyền thành tài khoản quản trị của hệ thống.

Hiện BKIS đã có riêng một bộ phận chuyên nghiên cứu các lỗ hổng (thuộc phòng an ninh ứng dụng) của các phần mềm phổ biến. Khi phát hiện được những lỗ hổng này BKIS có nhiệm vụ cảnh báo tới nhà sản xuất để họ vá và sau đó sẽ cảnh báo tới người sử dụng. Việc này BKIS đã có dự định cách đây 4 năm, để Việt Nam được chủ động hơn trước các vấn đề về lỗ hổng chứ không phải thụ động nghe các công bố lỗ hổng của các an ninh mạng trên thế giới. Ngoài ra, người Việt mình trong lĩnh vực này rất có năng lực.

Ông có thể cho biết lỗ hổng của HC7 đã được các chuyên gia của Trung tâm An ninh Mạng BKIS phát hiện như thế nào?

Các chuyên gia bảo mật của BKIS được chia thành nhiều nhóm, nghiên cứu theo nhiều hướng khác nhau và đến ngày 24/8 nhóm nghiên cứu về ứng dụng web đã phát hiện ra lỗ hổng trong phần mềm của các nhà sản xuất mà họ sẽ không kiểm soát được. Ngoài ra, lỗ hổng này còn cho phép hacker nâng quyền và chiếm quyền. Sau phát hiện này, nhóm nghiên cứu đã cảnh báo tới nhà sản xuất theo một quy trình cảnh báo lỗ hổng.

Việc cảnh báo tới nhà sản xuất được xử lý ra sao, thưa ông?

Vậy nhà sản xuất mất bao lâu để khắc phục lỗ hổng này?

Sau khoảng một tháng trao đổi qua lại với các chuyên gia, ngày 24/9 Công ty Advanced Communications đã đưa ra phiên bản HC 7.00.0019 để vá lỗ hổng này.

BKIS đã có những khuyến cáo gì tới những tổ chức, đơn vị, các nhà cung cấp dịch vụ hosting có sử dụng Hosting Controller?

Ngay khi phát hiện ra lỗ hổng UserID Privilege Escalation của Hosting Controller 7, chúng tôi đã gửi thông báo cho các doanh nghiệp cung cấp hosting ở Việt Nam để họ đề phòng và nhanh chóng cập nhật khi có phiên bản vá mới nhất của nhà sản xuất.

Được biết, đây cũng là lần thứ ba trong tháng, một nhà sản xuất phần mềm quốc tế đưa ra bản vá lỗ hổng do các chuyên gia Việt Nam phát hiện. Liệu qua những sự kiện trên Việt Nam đã ghi dấu ấn trong lĩnh vực an ninh mạng thế giới?

Theo tôi, việc này chắc chắn đã để lại được những dấu ấn, đặc biệt là lỗ hổng của Google Chrome - trình duyệt Chrome được Google đưa ra hôm 1/9 - các sản phẩm của Google luôn được cộng đồng mạng đặc biệt quan tâm và có nhiều người sử dụng. Các tính năng của trình duyệt này, trong đó có tính năng bảo mật được Google quảng bá khá nhiều trước khi cho ra mắt. BKIS tìm ra lỗ hổng như vậy chỉ sau có một ngày và Google đã đưa ra bản vá với sự ghi nhận những đóng góp từ các chuyên gia Việt Nam. Tất cả những tờ báo, tạp chí lớn chuyên ngành về CNTT thế giới đều đưa tin về sự kiện này và điểm nhấn trong đó là các chuyên gia Việt Nam đã phát hiện ra lỗ hổng.

Giới chuyên môn cũng đánh giá cao việc các chuyên gia Việt Nam phát hiện ra lỗ hổng của Windows Media Encoder (do hai chuyên gia Nguyễn Minh Đức và Lê Mạnh Tùng của BKIS phát hiện). Lỗ hổng này được Microsoft đánh giá có mức độ nguy hiểm cao nhất (Critical). Trong bản vá của mình, Microsoft cũng đã ghi rất rõ là nhờ sự khắc phục của BKIS (Việt Nam). Qua đó họ sẽ định vị được rõ hơn và có được dấu ấn mạnh hơn về an ninh mạng của Việt Nam.

Chúng tôi cũng đã có lộ trình để đưa các sản phẩm an ninh mạng của Việt Nam ra thế giới, với mục tiêu năm 2010 những sản phẩm này sẽ có mặt trên thị trường.

Ông đánh giá như thế nào về hiện trạng an ninh mạng trong nước?

Chỉ khoảng hai năm trước, vấn đề an ninh mạng vẫn ít được các doanh nghiệp chú trọng. Còn giờ đây, những người sử dụng, ứng dụng CNTT và các cơ quan, doanh nghiệp đã hiểu và nhận thức được an ninh mạng là vấn đề quan trọng, là sự sống còn của doanh nghiệp, gắn với thương hiệu, trách nhiệm của họ…

Đối với (học sinh, sinh viên có ý định vi phạm) trong đầu họ cũng đã có nhận thức rõ hơn rằng những hành động đó là vi phạm pháp luật và sẽ bị xử lý. Hiện những nhóm sinh viên, học sinh có ý định vi phạm như vậy cũng đã giảm đi nhiều.

Tôi có thể khẳng định an ninh mạng trong nước hiện nay chúng ta đều chủ động được.

Xin cảm ơn ông!

                                                                            Theo ICTnews