Lỗi bảo mật ở một số website Việt Nam

Trong hai năm qua, những vụ tấn công vào các website Việt Nam ngày càng trở nên trầm trọng. Điển hìnhtrong số đó là các vụ tấn công như...
Nội dung trích xuất từ tài liệu:
Lỗi bảo mật ở một số website Việt NamLỗi bảo mật ở một số website Việt Namtrang này đã được đọc lầnTrong hai năm qua, những vụ tấn công vào các website Việt Nam ngày càng trở nên trầm trọng. Điển hìnhtrong số đó là các vụ tấn công như:Tháng 8/2001, 60 website có đuôi .com.vn và .saigonnet.vn bị tấn công ồ ạt, nội dung của những trang webnày đã bị kẻ xấu thay đổi hoàn toàn.Tháng 21/11/2001, 156 website đặt tại server của Công ty VDC bị làm biến dạng chỉ trong vòng chưa đầymột phút. Vụ tấn công này làm rất nhiều site phải ngừng hoạt động hơn mười tiếng đồng hồ vì kẻ tấncông đã xóa hết tất cả dữ liệu sao lưu (backup data) của VDC.Bước sang năm 2002, số vụ tấn công càng nhiều với mức độ ngày càng nghiêm trọng. Điển hình là trongliên tiếp trong hai ngày 16/3/2002 và 18/3/2002, www.vnn.vn, website được xem là bộ mặt của InternetViệt Nam bị “đánh sập” (deface).Ngày 4/6/2002, website www.vietcombank.com.vn của Ngân hàng Vietcombank bị tấn công và theo nhưchúng tôi biết, kẻ xấu đã đánh cắp được thông tin thẻ tín dụng hơn 30 khách hàng của Vietcombank.Cũng trong năm 2002, nổi lên sự kiện kẻ xấu tấn công vào máy chủ của Công ty FPT và đưa ra danh sáche-mail của hơn 28.000 khách hàng đăng ký sử dụng dịch vụ Internet của nhà cung cấp dịch vụ Internet(ISP) này.Đặc biệt, ngày 1/11/2002, những kẻ chuyên tấn công vào những website Việt Nam tập hợp lại với nhauđể trình diễn màn “liveshow” xâm nhập (hack) trực tiếp vào các server của các ISP như VDC, FPT,Vietel,...Cũng trong tháng 11/2002, website www.vnn.vn lại bị tấn công, kẻ xấu tuy không đạt được mục đích làdeface song vẫn làm cho website này phải ngưng trệ hoạt động trong hơn ba ngày.Tiếp theo sau đó, VnExpress, một trong các báo điện tử lớn nhất Việt Nam, bị deface liên tiếp nhiều lầntrong một thời gian ngắn.Bước sang năm 2003, tâm lý chung của mọi người là số vụ tấn công sẽ tiếp tục tăng. Tuy nhiên, khá bấtngờ là từ đầu năm 2003 đến nay, hầu như chưa có một vụ tấn công nghiêm trọng nào vào các websitecũng như server ở Việt Nam. Phải chăng các ISP, các doanh nghiệp có website/server riêng đã có ý thứchơn trong vấn đề bảo mật?Không! Nhận thức về vấn đề bảo mật của các ISP nói chung còn rất kém, lỗi bảo mật còn đầy rẫy ở cácwebsite có đuôi là .vn.Thậm chí, một người có kiến thức trung bình kém về bảo mật nói riêng và máy tính nói chung vẫn có thểdễ dàng hạ gục một website .vn trong vòng năm phút. Nguyên nhân chính của hiện tượng các vụ tấn côngtrong năm 2003 không rầm rộ như năm 2002: Nhữäng kẻ tấn công đã bắt đầu chuyển hướng, từ mụcđích tấn công để vui chơi, để chứng tỏ mình sang tấn công để trục lợi. Những kẻ tấn công âm thầm xâmnhập vào hệ thống của các ISP, các doanh nghiệp, các ngân hàng để đánh cấp và thay đổi thông tin nhằmmục đích đem lại “nguồn lợi” cho mình. Ví dụ như tấn công vào hệ thống lưu trữ cước phí Internet củacác ISP để sửa xóa cước phí, hoặc tấn công vào các website dự đoán trúng thưởng để sửa kết quả nhằmgiành lấy giải thưởng; thậm chí tấn công vào những website trọng yếu nhằm đánh cắp mã nguồn củanhững website này. Ngoài ra, một số kẻ xấu đang âm thầm xâm nhập vào các website của một số cơ quannhà nước nhằm mục đích tìm kiếm thông tin nhạy cảm hoặc để bôi nhọ, làm nguy hại đến thể diện, uytín của quốc gia.Nhận thức được mối nguy hiểm trong hoạt động của những người này, HVA đã bí mật tìm hiểu mức độbảo mật và những lổ hổng của một số website/server thuộc hệ thống các ISP như VDC,FPT, Vietel,NetNam,... cũng như những website/server thuộc các doanh nghiệp như VASC, Vietcombank, TRGInternational, Công viên Phần mềm Quang Trung, Netsoft... và các website của Nhà nước nhưwww.seagames22.com.vn, VNPT, VNNIC...Sau khi xem xét cẩn thận, HVA đã soạn thảo tài liệu liên quan đến từng lỗi bảo mật trong những websitetrên, mức độ nghiêm trọng của chúng, cũng như cách phòng chống hiệu quả nhất và xin trao lại hoàn toànmiễn phí cho các chủ sở hữu liên quan.