Theo nghiên cứu của Positive Technologies, hầu hết các mạng 4G, 5G đều tồn tại rủi ro bị tấn công bởi các phương thức: tiết lộ thông tin thuê bao qua định danh điểm cuối “đường hầm” và dữ liệu vị trí; Giả mạo thông tin; Tấn công từ chối dịch vụ...
Mạng 5G trong thời gian tới sẽ phát triển dựa trên mạng 4G thay vì đứng một mình “thuần túy”. Do đó, các nhà mạng viễn thông (Mobile network operatar - MNO) cần có kế hoạch kết nối mạng 4G (không an toàn) ở hiện tại với mạng 5G mới (an toàn). Việc đặt 5G bên trong mạng chuyển vùng 4G hiện tại khiến mạng thế hệ tiếp theo đối diện với nhiều mối đe dọa. Đảm bảo an toàn mạng 5G bắt đầu bằng việc đảm bảo an toàn mạng 4G. Tất cả các giao thức thế hệ trước phải được đảm bảo an toàn. Hệ thống mạng phải được rà soát toàn bộ cách thức cấu hình, yêu cầu đánh giá thường xuyên về tình trạng của cơ sở hạ tầng đảm bảo an toàn.
An toàn phải là yếu tố ưu tiên trong quá trình thiết kế mạng. Điều này hiện đang đúng hơn bao giờ hết khi MNO bắt đầu lên kế hoạch cho việc xây dựng và phổ biến mạng 5G. Những nỗ lực để triển khai đảm bảo an toàn ở giai đoạn sau có thể sẽ gây tốn kém chi phí hơn rất nhiều: Ở tình huống tích cực nhất là MNO sẽ chỉ cần mua thêm thiết bị, nhưng tệ hơn, MNO có thể bị mắc kẹt với các lỗ hổng bảo mật mà không thể sửa chữa được.
MNO nên triển khai tính năng cảnh báo người dùng cùng với các tính năng kiểm tra an toàn bổ sung khác. Chẳng hạn như khi một thẻ SIM được cấp lại, MNO nên thực hiện và tuân thủ nghiêm ngặt các khuyến nghị bảo mật của Hiệp hội Hệ thống thông tin di động toàn cầu (Global system for mobile communication - GSMA); thiết lập thiết bị với cấu hình phù hợp và giữ cho hệ thống luôn được cập nhật. Với những giải pháp này, MNO có thể giúp bảo vệ khách hàng khỏi thanh toán gian lận, hoán đổi SIM và bị tin tặc nghe lén tin nhắn, cuộc gọi.
Các nền tảng trực tuyến phải đáp ứng tất cả các tiêu chuẩn an ninh mạng. Trong quá trình nghiên cứu, tôi phát hiện ra trang web của một số ngân hàng Việt Nam không cung cấp hướng dẫn cơ bản về an ninh mạng cho khách hàng hoặc rất khó tìm kiếm hướng dẫn này. Việc các ngân hàng cung cấp hướng dẫn dễ hiểu và dễ tìm là một điều bắt buộc, giúp bảo vệ tài khoản trực tuyến, thông tin nhạy cảm và danh tính của khách hàng.
Các ngân hàng, MNO và các nền tảng trực tuyến cần có tính năng bảo mật như Cảnh báo “Mất tín hiệu” (Signal Loss Alert) cho khách hàng, để biết khi nào tín hiệu sử dụng mạng 2G/3G và luôn khuyến khích khách hàng sử dụng VPN. Bên cạnh đó, các tổ chức này cần theo dõi các hoạt động bất thường trên tài khoản của khách hàng, nhật ký, dữ liệu vị trí, dữ liệu thời gian và siêu dữ liệu của thiết bị để có thể kịp thời phát hiện được dấu hiệu sự xâm phạm.
Các ngân hàng, MNO và các nền tảng trực tuyến nên thay mã OTP qua tin nhắn văn bản/thoại bằng một phương pháp MFA mạnh hơn, như xác thực dựa trên phần mềm, ví dụ: Google Authenticator hoặc ứng dụng xác thực của chính ngân hàng. Đôi khi, việc bảo vệ yếu còn tồi tệ hơn không bảo vệ. Bởi nó tạo ra một cảm giác an toàn giả tạo. MNO cũng nên xem xét việc tích hợp vào nền tảng của mình những phương pháp MFA mạnh mẽ hơn như thông báo đẩy, sinh trắc học, khóa cứng bảo mật và phân tích hành vi khách hàng.
Nếu có thể, MNO nên chặn hoàn toàn tất cả mã OTP qua tin nhắn văn bản, thoại, qua đó các chủ doanh nghiệp sẽ phải tìm kiếm một lựa chọn phương thức MFA khác mạnh mẽ hơn. Các ngân hàng và nền tảng trực tuyến cũng có thể tìm hiểu về việc sử dụng Telegram như một phương thức để nhận mã OTP, đây là một nền tảng miễn phí và có tính bảo mật cao.
Hình 8. Giải pháp SmartOTP của Vietcombank
Là một cựu tin tặc, tôi lựa chọn sử dụng MFA với thái độ thận trọng. Đầu tiên, tôi cố gắng sử dụng một phương thức MFA mạnh mẽ hơn, như xác thực dựa trên phần mềm thay vì xác thực qua tin nhắn văn bản, thoại. Chẳng hạn như mã Google Authenticator được tạo và lưu trữ cục bộ trên điện thoại, hay các tài khoản trực tuyến được coi là an toàn hơn khi được bảo vệ bằng xác thực dựa trên phần mềm, so với xác thực sử dụng mã OTP qua tin nhắn văn bản, thoại. Nếu người dùng sử dụng trang web cung cấp tính năng bảo mật như xác thực dựa trên phần mềm hoặc khóa cứng bảo mật, hãy cố gắng tận dụng thế mạnh của nó. Bạn có thể truy cập tại đây để xem các trang web yêu thích có hỗ trợ MFA hay không.
Tôi luôn cố gắng sử dụng nhiều tính năng bảo mật nhất có thể để bảo vệ Windows, dữ liệu cá nhân, tài khoản ngân hàng, Facebook, Gmail và các tài khoản trực tuyến khác. Dưới đây là các bước mà tôi đã thực hiện:
Đối với Windows và dữ liệu của tôi:
Mã hóa hệ thống và dữ liệu cá nhân bằng Bitlocker, để mã hóa một tệp hoặc thư mục, tôi sử dụng AxCrypt.
Cho phép bật tất cả cài đặt về bảo mật hoạt động, quyền riêng tư trên hệ điều hành Windows và tài khoản Microsoft trực tuyến với MFA được kích hoạt, để tránh việc Windows thu thập dữ liệu và giữ an toàn trước tội phạm mạng.
Thiết lập máy ảo (Virtual Machine) bằng cách sử dụng Vmware. Một máy ảo tôi dùng để nghiên cứu bảo mật và một máy ảo khác sử dụng cho việc giả lập điện thoại ảo (Phone Emulator) để sử dụng các ứng dụng di động. Tất cả vì mục đích bảo đảm an toàn và nghiên cứu an ninh mạng.
Cấu hình tường lửa của Windows Defender Firewall, cho phép chặn các cổng kết nối không sử dụng và tôi cũng tiến hành điều chỉnh quyền của các chương trình phần mềm.
Hình 9. Sử dụng ứng dụng nhắn tin Telegram để nhận mã OTP đăng nhập Windows
Đối với tài khoản ngân hàng, Facebook, Gmail và các tài khoản trực tuyến khác:
Có thể nói rằng chỉ với một mật khẩu mạnh, người dùng có thể ngăn chặn việc bị tấn công tới 50% và với một lớp bảo vệ MFA bổ sung, người dùng có thể tránh bị tin tặc tấn công lên đến 90%. Tuy nhiên, dù người dùng có thể ngăn chặn được một kiểu tấn công, thì một kiểu tấn công khác sẽ xuất hiện. Vì vậy người dùng phải liên tục học hỏi những kiến thức cơ bản về an toàn, an ninh thông tin mạng để bắt kịp với việc thay đổi nhanh chóng của công nghệ.
Thực tế, ai cũng đều có thể là nạn nhân của tội phạm mạng ngay tại thời điểm truy cập mạng internet và người dùng phải học cách tự bảo vệ mình khỏi những kẻ xấu. Nhưng rất nhiều người không quan tâm nhiều đến những điều này, họ không thể hiểu tại sao phải có nhu cầu bảo vệ quyền riêng tư hoặc tài khoản trực tuyến của mình, họ cũng chia sẻ không có nhiều tiền trong tài khoản ngân hàng, không làm bất cứ điều gì sai và không nghĩ rằng họ sẽ là nạn nhân của tin tặc. Đó là một suy nghĩ rất sai lầm, đặc biệt là đối với thế giới hiện đại ngày nay.
Người dùng bắt buộc phải bỏ đi những tư duy cũ kỹ, vì như vậy mới có thể bắt đầu học những điều mới về kiến thức cơ bản của an ninh mạng để áp dụng vào cuộc sống hàng ngày. Qua đó, người dùng mới có thể bảo vệ tài khoản ngân hàng, Facebook, Google và các nền tảng trực tuyến khác của chính mình. Điều quan trọng là phải bảo vệ quyền riêng tư, danh tính, tài khoản trực tuyến của mình vì một khi từ bỏ những điều này, người dùng sẽ khó có thể lấy lại được.
Tư duy của một tội phạm mạng là tìm cách đột nhập dễ dàng nhất, giống như cách mà kẻ trộm đang tìm kiếm một ngôi nhà không có camera an ninh. Vì tội phạm mạng không muốn dành quá nhiều thời gian cho một việc. Vì vậy người dùng cần bảo vệ mình từ những gì đơn giản nhất để tránh rủi ro mất an toàn thông tin.
Đối với MFA, việc sử dụng tính năng này đơn lẻ là chưa đủ và chưa thực sự an toàn. Thứ nhất là cần sử dụng xác thực đa nhân tố MFA đúng đắn, đủ các yếu tố an toàn. Thứ hai là cần kết hợp xác thực đa nhân tố MFA cùng với các biện pháp an toàn an ninh khác kể cả các biện pháp phi kỹ thuật hay các biện pháp con người phối hợp.
Bất kỳ biện pháp bảo mật nào cũng có thể vượt qua nếu đủ nỗ lực, tin tặc không muốn thực hiện đầu tư trừ khi chúng có thể đạt được thứ gì đó có giá trị hơn. Mặc dù với tất cả những điều trên thì lỗ hổng lớn nhất vẫn là yếu tố con người. Do đó, người dùng hãy trang bị cho mình những kiến thức cơ bản về an ninh mạng. Kiến thức là sức mạnh, là giá trị vô giá để bảo vệ bản thân.
Ngô Minh Hiếu (Hieupc)
09:00 | 28/05/2020
14:00 | 16/01/2019
16:00 | 13/01/2021
Tội phạm thường đánh lừa các nạn nhân truy cập vào các liên kết độc hại trong email hoặc lừa đảo về tài chính bằng cách sử dụng máy chủ email thỏa hiệp. Bài viết này tổng hợp 14 mẹo để ngăn chặn thỏa hiệp email của doanh nghiệp.
09:00 | 14/04/2020
Một trong những tấn công mạng để lại hậu quả nặng nề nhất về kinh tế đó là mã độc tống tiền. Khi bị lây nhiễm mã độc này, nạn nhân thường phải chi trả một khoản tiền lớn để lấy lại các dữ liệu quan trọng bị mã hóa.
08:00 | 25/02/2020
Trong môi trường điện toán đám mây, các máy ảo và hình ảnh máy ảo, phần cứng và các tài nguyên được chia sẻ (để hỗ trợ đa thuê ảo hóa), phần mềm giám sát ảo hóa và mạng ảo liên lạc nội bộ với nhau tạo thành môi trường ảo hóa. Tuy nhiên, tất cả các thành phần này có các lỗ hổng liên quan và nhà cung cấp dịch vụ đám mây cần triển khai các biện pháp đối phó để đảm bảo an toàn. Bài báo này trình bày tóm lược các giải pháp đảm bảo an toàn ảo hóa trong điện toán đám mây đang được nghiên cứu hiện nay.
08:00 | 17/02/2020
Công nghệ Internet of Things (IoT) hỗ trợ khả năng giao tiếp và kết nối hàng tỷ thiết bị cùng một lúc, đem lại nhiều lợi ích cho người dùng, làm thay đổi cách thức tương tác giữa người dùng với công nghệ. Thời gian gần đây, thế giới đã chứng kiến sự gia tăng nhanh chóng trong việc sử dụng các thiết bị thông minh, công nghệ IoT trong mọi lĩnh vực. Tuy nhiên, sự tăng trưởng với tốc độ cao kèm theo hạn chế về năng lực kiểm soát công nghệ cũng dẫn đến một số thách thức về pháp lý và kỹ thuật trong lĩnh vực điều tra số.
08:00 | 26/01/2021|An toàn thông tin
15:00 | 22/01/2021|Giải pháp khác
Bài viết dưới đây sẽ giới thiệu về một công trình nghiên cứu khoa học mật mã đã xuất hiện tại Pháp vào thế kỷ thứ XIX, đó là Nguyên lý Kerckhoffs. Nguyên lý này được trình bày trong cuốn Mật mã Quân sự (La Cryptographic militaire) vào năm 1883, được các chuyên gia trong lĩnh vực Mật mã đánh giá cao về tính thời sự, khoa học và nhân văn. Bài viết được kết cấu thành hai phần. Phần I dưới đây sẽ trình bày một số đánh giá về Nguyên lý Kerckhoffs, Cuốn sách và một số nét về Auguste Kerckhoffs.
08:00 | 22/02/2021
Mới đây, các chuyên gia bảo mật mạng tại Việt Nam (trong đó có HieuPC) đã cho ra mắt tiện ích mở rộng trên trình duyệt để giúp người dùng chống lại tấn công lừa đảo, sử dụng thuật toán học máy.
08:00 | 01/03/2021
