Nguyên nhân tồn tại lỗ hổng này là do cách PuTTY tạo ra các giá trị ngẫu nhiên được sử dụng trong quy trình tạo chữ ký ECDSA. Trong cấu hình NIST P-251, tính ngẫu nhiên bị sai lệch nghiêm trọng khiến kẻ tấn công có thể lợi dụng để khôi phục lại khóa riêng tư sau khi thu thập khoảng 60 chữ ký được tạo ra từ khóa đã bị xâm nhập.
Qua đó, kẻ tấn công có thể mạo danh hoặc giành quyền truy cập vào bất kỳ máy chủ nào mà nạn nhân đang sử dụng khóa đó để xác thực, kể cả khi lỗ hổng đã được vá.
Tuy nhiên, lỗ hổng này không tiết lộ chữ ký thông qua việc nghe trộm mạng passively vì điều kiện cần là kẻ tấn công cần kiểm soát hoạt động của một máy chủ hoặc truy cập vào dữ liệu đã được ký. Cùng với đó, kích thước khóa ECDSA có một số lệch nhỏ nhưng khó có thể khai thác lỗ hổng trên thực tế.
Người dùng sử dụng các phiên bản PuTTY từ 0.68 đến 0.80 hoặc các sản phẩm liên quan như Filezilla để xác thực SSH bằng khóa ECDSA NIST P-521 đều dễ bị tấn công bởi lỗ hổng này.
Các công cụ khác cũng bị ảnh hưởng gồm: FileZilla (Phiên bản 3.24.1 – 3.66.5); WinSCP (Phiên bản 5.9.5 – 6.3.2); TortoiseGit (Phiên bản 2.4.0.2 – 2.15.0); TortoiseSVN (Phiên bản 1.10.0 – 1.14.6).
Để tránh rủi ro về an ninh mạng, người dùng cần cập nhật bản vá cho PuTTY lên phiên bản từ 0.81 trở lên, FileZilla phiên bản 3.67.0, WinSCP phiên bản 6.3.3, TortoiseGit phiên bản 2.15.0.1. Đối với TortoiseSVN, nếu không thể cập nhật, hãy chuyển sang sử dụng PuTTY Plink cho các kết nối SSH.
Cùng với đó, người dùng cần kiểm tra xem có sử dụng ECDSA NIST P-521 hay không. Trong PuTTYgen, cách nhận biết các khóa này là dấu vân tay bắt đầu bằng chuỗi "ecdsa-sha2-nistp521". Đồng thời, thu hồi khóa đã bị xâm nhập khỏi tất cả các tệp ủy quyền trên máy chủ và bất kỳ dịch vụ trực tuyến nào, chẳng hạn như GitHub. Tạo các cặp khóa mới, lý tưởng nhất là sử dụng Ed25519 để thay thế các cặp khóa đã bị xâm nhập.
M.H
08:00 | 11/01/2024
14:00 | 23/02/2024
13:00 | 18/09/2023
10:00 | 07/05/2024
Các chuyên gia bảo mật vừa phát hiện 3 ứng dụng có chứa mã độc trên ứng dụng Google Play dành cho Android. Nếu đã cài đặt một trong 3 ứng dụng này, người dùng nên gỡ bỏ ngay để tránh các rủi ro đáng tiếc.
09:00 | 19/04/2024
Theo nhận định của Cục An toàn thông tin (Bộ Thông tin và Truyền thông), trong thời gian gần đây các chiêu trò lừa đảo trực tuyến ngày càng gia tăng với các hình thức tinh vi hơn. Điều này khiến cho nhiều người dân khó nhận biết để phòng tránh nguy cơ mất an toàn thông tin.
09:00 | 17/04/2024
Một nhà nghiên cứu bảo mật có biệt danh Marco Croc từ Kupia Security đã được thưởng 250,000 USD vì phát hiện ra một lỗ hổng mà trong lịch sử đã cho phép tin tặc rút hàng triệu USD từ các giao thức tiền điện tử. Lỗ hổng này tái xuất hiện trong giao thức tài chính phi tập trung (DeFi) Curve Finance.
14:00 | 01/03/2024
Các nhà nghiên cứu của hãng bảo mật Trend Micro phát hiện các tác nhân đe dọa Water Curupira (một nhánh của nhóm tin tặc Black Basta) đang triển khai chiến dịch phân phối phần mềm độc hại PikaBot như một phần của chiến dịch email spam trong suốt năm 2023 vừa qua. Bài viết này sẽ phân tích hoạt động tấn công trong chiến dịch PikaBot cùng khuyến nghị về các biện pháp phòng tránh trước các mối đe dọa lừa đảo này.
08:00 | 11/01/2024 | Chính sách - Chiến lược
09:00 | 10/01/2024 | Giải pháp khác
09:00 | 05/01/2024|Chính sách - Chiến lược
09:00 | 05/01/2024|An ninh – Quốc Phòng
Năm 2024, các tác nhân đe dọa được dự báo sẽ tận dụng sức mạnh của trí tuệ nhân tạo (AI) để thực hiện các hoạt động lừa đảo một cách thông minh hơn. Bằng việc sử dụng công nghệ AI tạo sinh, chúng có thể tạo ra các chiến thuật tấn công mới, khó phát hiện và kiểm soát.
16:00 | 18/05/2024
