Mới đầu năm, đã có tới hai lỗ hổng bảo mật lớn ảnh hưởng tới hầu hết các máy tính trên thế giới được công bố

Mới đây, các chuyên gia bảo mật đã phát hiện ra hai lỗ hổng bảo mật trong bộ vi xử lý của hầu hết tất cả các máy tính trên thế giới.

Hai lỗ hổng này có tên gọi là Meltdown và Spectre, cho phép hacker đánh cắp toàn bộ bộ nhớ trong thiết bị, bao gồm cả máy tính cá nhân, các thiết bị di động, cũng như trong máy trạm.

Đối với lỗ hổng Spectre, không tồn tại phương pháp nào có thể giải quyết nhanh gọn lỗ hổng này cả, bởi theo các nhà nghiên cứu thì đây là vấn đề đến từ "thiết kế cơ bản" của bộ vi xử lý. Vậy nên để xử lý triệt để lỗ hổng Spectre, nhiều khả năng các hãng sản xuất sẽ phải thiết kế lại bộ vi xử lý của mình từ đầu. Còn đối với lỗ hổng Meltdown, bản vá của phần mềm cũng như của hệ điều hành để xử lý lỗ hổng có thể khiến máy tính chậm đi tới 30%.

"Có 2 lỗ hổng nghiêm trọng được phát hiện, chúng là những lỗ hổng khác nhau và đòi hỏi các phương án giải quyết khác nhau" - nhà nghiên cứu Paul Kocher cho biết.

Những ảnh hưởng của lỗ hổng Meltdown tác động chủ yếu đến với nền tảng máy tính đám mây của các ông lớn công nghệ như Amazon, Google hay Microsoft. Chiều ngày 3/1 vừa rồi, đại điện Google và Microsoft cho biết họ đã cập nhật hệ thống của mình để giải quyết lỗ hổng trên.

Theo lời đại diện của Amazon, lỗ hổng này "đã tồn tại trong suốt hơn 20 năm vừa qua, trong nền tảng kiến trúc bộ vi xử lý hiện đại của Intel." Amazon cũng cho biết hãng đã thực hiện các biện pháp bảo vệ Amazon Web Service và khuyên khách hàng nên cập nhật phần mềm của mình để được an toàn hơn.

Để lợi dụng lỗ hổng Meltdown, hacker chỉ cần đăng ký thuê dịch vụ trên nền tảng đám mây như các khách hàng bình thường, và sau đó chúng có thể từ đấy tấn công các khách hàng khác cùng sử dụng dịch vụ. Điều này là một mối đe dọa lớn đối với các dịch vụ máy tính đám mây, khi mà lỗ hổng sẽ khiến cho kẻ gian có thể dễ dàng vượt qua các hàng rào bảo vệ được các nhà cung cấp dịch vụ đưa ra để bảo vệ dữ liệu cá nhân của người dùng. Máy tính cá nhân cũng có thể trở thành mục tiêu tấn công của kẻ gian thông qua lỗ hổng Meltdown, tuy nhiên bước đầu tiên thì hacker sẽ phải khởi động mã độc trên máy tính của nạn nhân trước khi thực hiện tấn công.

Theo các nhà nghiên cứu, lỗ hổng Meltdown ảnh hưởng tới hầu như tất cả các con chip do Intel sản xuất, và với việc hơn 90% máy trạm trên thế giới sử dụng chip Intel thì lỗ hổng này trở thành một mối đe dọa hết sức nghiêm trọng với nền tảng dịch vụ đám mây.

Microsoft cũng sẽ sớm tung ra một bản cập nhật để vá lỗ hổng này trên máy tính của những người sử dụng hệ điều hành Windows. Trong khi đó, hệ điều hành Linux cũng đã nhận được một bản cập nhật ngay sau khi lỗ hổng được phát hiện. Còn về phía Apple, họ đã tung ra một bản vá tạm thời và sẽ sớm đưa ra bản cập nhật hệ điều hành hoàn chỉnh cho các khách hàng của mình.

Tuy nhiên những bản cập nhật này có thể sẽ khiến hiệu năng của máy sụt giảm từ 20 đến 30% - đó là nhận định được Andres Freund đưa ra sau khi thử nghiệm mã nguồn cập nhật của hệ điều hành Linux. Vấn đề về hiệu năng như vậy sẽ gây ảnh hưởng không nhỏ đến với các hãng và dịch vụ kinh doanh dựa trên cơ sở nền tảng đám mây.

Lỗ hổng thứ hai, mang tên Spectre, ảnh hưởng tới hầu hết các bộ vi xử lý đang được sử dụng ở thời điểm hiện tại. May mắn thay, theo lời các nhà nghiên cứu thì lỗ hổng này khó khai thác hơn rất nhiều. Hiện tại vẫn chưa có biện pháp giải quyết triệt để lỗ hổng này, và các nhà sản xuất chip như Intel vẫn chưa tiết lộ kế hoạch cụ thể để xử lý Spectre.

Nhóm nghiên cứu sau khi phát hiện ra lỗ hổng này đã ngay lập tức thông báo tới các tập đoàn bị ảnh hưởng, và họ tìm cách giữ bí mật chuyện này trước công chúng trước khi các bản vá được hoàn thiện, nhằm tránh tình trạng hacker nhân cơ hội lỗ hổng chưa được vá mà khai thác chúng để tấn công người sử dụng.

Tuy nhiên, vào ngày mùng 2/1 vừa rồi, thông tin về lỗ hổng Meltdown bất ngờ bị rò rỉ và được đăng tải trên rất nhiều trang tin lớn trên thế giới, dẫn đến việc nhóm nghiên cứu buộc phải tung ra báo cáo cụ thể về lỗ hổng này vào ngày 3/1, sớm hơn nhiều so với dự tính của họ. Ở thời điểm hiện tại, các chuyên gia bảo mật máy tính trên thế giới đang sử dụng một bản vá có tên Kaiser, được tạo ra bởi các nhà nghiên cứu thuộc Trường Đại học Công nghệ Graz, Áo, như một biện pháp tạm thời để đối phó với lỗ hổng Spectre.

Nếu như lỗ hổng Meltdown là vấn đề của riêng Intel, thì Spectre lại là vấn đề đã tồn tại từ khoảng hai thập kỷ vừa qua đối với nhiều nhà sản xuất CPU trên thế giới. Theo lời ông Kocher, chủ tịch của Cryptography Research, thì Spectre là "vấn đề nằm ở trong nền tảng thiết kế của mọi bộ vi xử lý, và mối đe dọa từ lỗ hổng Spectre sẽ còn tồn tại trong một thời gian dài nữa". Nhất là trong tình trạng các hãng sản xuất CPU đang ở trong một cuộc chạy đua tốc độ, với những thiết kế hướng đến tốc độ xử lý càng cao càng tốt, và điều này mở ra những vấn đề nghiêm trọng hơn về bảo mật.

"Tham gia vào ngành công nghiệp này, tất cả mọi người đều có mong muốn CPU của mình càng nhanh càng tốt, nhưng đồng thời cũng phải vô cùng bảo mật. Và lỗ hổng Spectre cho thấy rằng, bạn sẽ không thể có cả hai." - ông Kocher bổ sung thêm.

Lỗ hổng Meltdown được phát hện bởi Jann Horn, một nhà phân tích bảo mật đến từ nhóm nghiên cứu Project Zero của Google vào hồi tháng 6 năm ngoái. Lỗ hổng này được các nhà nghiên cứu tập trung giải quyết vào kỳ nghỉ lễ Giáng sinh vừa qua, với sự hỗ trợ của nhiều ông lớn phần mềm trong ngành như Amazon hay Microsoft để có thể kịp thời tung ra bản vá lỗi.

Jann Horn cùng các đồng sự tại Project Zero cũng đồng thời là người phát hiện ra lỗ hổng Spectre. Bên cạnh đó, lỗ hổng này cũng được một nhóm nghiên cứu độc lập khác với các thành viên là ông Kocher, Mike Hamburg đến từ Rambus, ông Lipp đến từ trường Đại học Graz và Yuval Yarom, đến từ trường Đại học Adelaide phát hiện ra.

Rất có thể, vấn đề của lỗ hổng Spectre sẽ không được giải quyết triệt để cho đến khi một thế hệ CPU mới được các hãng sản xuất tung ra thị trường.

"Lỗ hổng Spectre sẽ là vấn đề kéo dài suốt vòng đời của một thế hệ CPU. Vấn đề này không thể giải quyết trong một sớm một chiều được, mà sẽ tốn nhiều thời gian hơn thế." - ông Kocher cho biết thêm.

Tham khảo nytimes