Mối cạnh tranh giữa Apple và Facebook đã chuyển sang diễn biến mới. Ngay khi Apple ra mắt phiên bản iOS 15 hứa hẹn cải tiến tính năng bảo mật, đối thủ WhatsApp (công ty thuộc Facebook) cũng bất ngờ tung ra bản cập nhật mới, để lộ lỗ hổng trong công nghệ của Apple khiến hàng trăm triệu người dùng iMessage có thể gặp nguy cơ rò rỉ thông tin bảo mật và quyền riêng tư.
Sự khác biệt trong mã hóa (encryption) dữ liệu được sao lưu (backup)
Trước đây, khi các dữ liệu trao đổi qua WhatsApp được sao lưu từ iPhone lên iCloud, người sử dụng Apple có thể truy cập vào bản sao lưu đó. Điều này cũng tương tự với các thiết bị Android và Google Cloud. Bây giờ, WhatsApp đang cắt quyền truy cập của Apple. Bản cập nhật WhatsApp đã được Mark Zuckerberg công bố trên Facebook vào thời điểm iPhone ra mắt phiên bản mới. Không biết vô tình hay hữu ý, Mark Zuckerberg đã chỉ ra lỗ hổng bảo mật của iMessage trong quá khứ. “Apple và các chính phủ có khả năng truy cập tin nhắn của hầu hết mọi người”, Mark cảnh báo khi cuộc chiến tập trung vào quyền riêng tư giữa Facebook và Apple ngày càng gay gắt vào đầu năm nay.
Kho dữ liệu của WhatsApp được thiết kế thông minh và có sự cải tiến hơn so với “đám mây” hỗn độn của Apple. Theo đó, bản sao lưu (Backup) của người dùng WhatsApp được bảo vệ bởi khóa mã dài 64 ký tự. Người dùng có thể tạo và lưu trữ tài khoản của riêng mình, theo cách thủ công hoặc bảo vệ tài khoản trực tuyến bằng mật khẩu dễ nhớ.
Hệ thống sao lưu tin nhắn iMessage trên đám mây iCloud của Apple cũng được thiết kế rất tinh vi. Đó là hệ thống đa phương tiện và được mã hóa toàn bộ, thậm chí còn đánh bại tính năng đa thiết bị mới được cập nhật ở WhatsApp, ở chỗ Apple tạo ra vòng tròn kết nối các thiết bị tin cậy.
Apple sử dụng mã hóa đầu cuối (end-to-end encryption) để đảm bảo các tin nhắn được gửi đến và đi từ thiết bị của người dùng không bị rò rỉ cho bên thứ ba (ngoài người dùng và các đối tác của họ). Nhưng bản sao của khóa mã được lưu trong Sao lưu iCloud (iCloud backup) mà dữ liệu trong Sao lưu iCloud lại không được mã hóa đầu cuối. Nghĩa là Apple có thể truy cập vào phần Sao lưu này, lấy khóa và sau đó truy cập tất cả tin nhắn trong iCloud của người dùng.
“Người dùng iMessage tưởng rằng thông tin liên lạc của họ được giữ riêng tư,” chuyên gia bảo mật Jake Moore của công ty chuyên bán sản phẩm chống virus và tường lửa ESET cảnh báo, “nhưng với quyền truy cập từ Sao lưu được tạo, thông tin không còn được bảo vệ nữa.”
Như Apple thừa nhận: “Apple giữ lại chìa khóa giải mã trong các trung tâm dữ liệu tại Hoa Kỳ. Các nội dung trên iCloud, vì nó tồn tại trong tài khoản của khách hàng, có thể được truy cập theo lệnh khám xét hoặc sự đồng ý của khách hàng. ”
Nếu người dùng bật tính năng Messages in iCloud và cũng bật Sao lưu iCloud (iCloud Backup), thì khóa mã hóa iMessage sẽ được lưu. Như vậy, người dùng có thể tắt tính năng Sao lưu iCloud để đảm bảo khóa mã hóa không bị lưu lại.
Lỗ hổng bảo mật trên iMessage và cách hạn chế
Ứng dụng nhắn tin iMessage của Apple đã nhiều lần lộ rõ lỗ hổng trong bảo mật, tạo sơ hở cho các phần mềm và chương trình đánh cắp thông tin “lọt lưới”. Nguồn ảnh (Pixabay)
Đây không phải lần đầu tiên iMessage lộ rõ sơ suất trong bảo mật. Vào năm 2011, Apple từng bị khiếu nại lên tòa án New York. Những iPhone bị đánh cắp dữ liệu đều nhận được iMessages từ chủ sở hữu ban đầu của thiết bị.
Cụ thể, khi người dùng iPhone ngừng sử dụng số điện thoại cũ, số điện thoại đó được nhà mạng bán lại. Nhưng chủ cũ của số điện thoại vẫn nhận được các cuộc gọi iMessages và FaceTime mà lẽ ra phải được gửi đến chủ nhân mới của số điện thoại.
Nguyên đơn trong vụ kiện là Tigran Ohanian và Regge Lopez. Theo mô tả trong hồ sơ, Ohanian đã mua một chiếc iPhone 6s khi đi nghỉ ở New York. Anh kích hoạt thiết bị trên mạng của T-Mobile (công ty cung cấp mạng viễn thông) và sử dụng nó trong khoảng một năm. T-Mobile sau đó đã tái sử dụng số của Ohanian vốn là sim mà Lopez sau đó dùng. Ohanian đã tháo SIM T-Mobile khỏi iPhone 6s của mình và nhận được “số lượng lớn” các liên lạc không mong muốn gửi đến Lopez. Những tin nhắn này bao gồm hình ảnh riêng tư và thư từ khác.
Apple đã không thể khắc phục vấn đề khi người dùng lên tiếng và công ty đã không giải quyết công khai vụ việc “vi phạm bảo mật dữ liệu”. Trong khi đó, T-Mobile lại vướng vào rắc rối trong cáo buộc làm SIM “lừa đảo”.
Việc truy cập dữ liệu không mong muốn bị giới hạn ở những chiếc iPhone thế hệ đầu tiên gắn với các số điện thoại được tái sử dụng. iOS 12 của Apple, được phát hành vào năm 2018, cuối cùng cũng đã đã khắc phục lỗi bằng cách yêu cầu xác thực hai yếu tố cho một số dịch vụ iCloud nhất định. Việc Apple có cố gắng khắc phục vấn đề thông qua can thiệp cập nhật phần mềm hay không vẫn là điều chưa chắc chắn.
Vào tháng 7 năm 2021, Tổ chức Ân xá Quốc tế cũng tiết lộ thông tin quan trọng liên quan đến vấn đề bảo mật của iPhone. Đó là tin tặc có thể truy cập và sao chép dữ liệu từ xa thông qua phần mềm Pegasus do NSO Group tạo ra. Phần mềm này hoạt động bằng cách lợi dụng lỗ hổng bảo mật trên iMessage của iPhone. Cụ thể, tin tặc sẽ dùng phần mềm Pegasus tiếp cận iPhone mà không cần chủ sở hữu tương tác với tin nhắn văn bản gửi đến, sau đó, ăn cắp dữ liệu từ xa.
Điều đáng lo là ngay cả cập nhật lên phần mềm và phần cứng mới nhất thì Pegasus vẫn có thể dễ dàng xâm nhập vào iPhone. Bản cập nhật iOS 14.6 chính thức cũng không làm khó được phần mềm này.
Tổ chức Ân xá Quốc tế đã kiểm tra trên 67 chiếc smartphone, trong đó có 34 chiếc iPhone. Kết quả là có tới 23 chiếc bị tấn công còn 11 chiếc thì có dấu hiệu bị xâm nhập nhưng chưa thành công.
Hai ứng dụng nhắn tin phổ biến là WhatsApp và Facebook Messenger đều có khả năng loại bỏ dữ liệu EXIF khi bạn gửi hình ảnh. Không có gì ngạc nhiên khi Telegram và Signal cũng có khả năng làm điều tương tự. Thật không may, iMessage thực sự không an toàn như những ứng dụng khác.
Có một số cách để chia sẻ ảnh qua iMessage. Người dùng có thể chọn biểu tượng Máy ảnh khi soạn tin nhắn mới. Bức ảnh được chụp sau đó không có dữ liệu vị trí và thực sự an toàn. Nhưng nếu bạn chọn gửi ảnh từ album trên máy, chúng sẽ được gửi với thông tin vị trí nhúng kèm. Tương tự, nếu bạn chọn ứng dụng ảnh từ trong iMessage, ảnh gửi đi vẫn lưu dữ liệu, ngay cả khi bạn tắt chức năng định vị trước khi gửi.
Trong bộ sưu tập, bạn có tùy chọn chia sẻ. Bạn có thể chọn một hoặc nhiều ảnh và sau đó nhấn nút “Tùy chọn” để xóa tất cả dữ liệu ảnh hoặc chỉ xóa dữ liệu về vị trí. Sau đó, bạn có thể chia sẻ ảnh bằng bất kỳ nền tảng nhắn tin hoặc mạng xã hội nào.
Nguy cơ lộ dữ liệu do người dùng iMessage thường chọn cách gửi ảnh ngay lập tức, thay vì vào bộ sưu tập và kiểm tra. Ngoài ra, iMessage cũng không cảnh báo về việc gửi ảnh có thể làm lộ thông tin cá nhân.
Nguyễn Hảo - NTD Việt Nam
Không có nhận xét nào:
Đăng nhận xét