Một lỗ hổng zero-day mới được báo cáo trên Google Chrome đã thu hút sự chú ý của cộng đồng công nghệ. Bài viết nguồn mô tả về nó khá sơ lược về chi tiết kỹ thuật: bài viết gọi đây là lỗ hổng nghiêm trọng và cho rằng nó đặt ra những câu hỏi rộng hơn về bảo mật trình duyệt, nhưng không nêu tên CVE, phiên bản vá hay ngày tháng. Điều đó giới hạn những gì chúng ta có thể nói một cách có trách nhiệm về bản thân lỗi. Nhưng nó không giới hạn những gì bạn có thể làm về nó. Cài đặt bản cập nhật lỗ hổng zero-day mới nhất của Chrome là bước hữu ích nhất, và nó quan trọng hơn bất kỳ công cụ quyền riêng tư nào bạn có thể đang chạy song song.
Những gì chúng ta biết về lỗ hổng zero-day trên Chrome
Zero-day là một lỗi phần mềm mà kẻ tấn công có thể khai thác trước khi nhà cung cấp phát hành bản vá, hoặc trong khi bản vá vẫn đang đến tay người dùng. Cái tên bắt nguồn từ việc các nhà phát triển đã có zero ngày để phản ứng. Bởi vì Chrome là một trong những trình duyệt được sử dụng rộng rãi nhất, một lỗi trong đó rất hấp dẫn đối với kẻ tấn công và quan trọng để mọi người khác xem xét nghiêm túc.
Bài viết chúng tôi đã xem xét chỉ nêu rằng một lỗ hổng zero-day gần đây đã được phát hiện trên Chrome và đây là một lỗi nghiêm trọng. Bài viết không cung cấp chi tiết kỹ thuật cụ thể, vì vậy chúng tôi sẽ không đoán mò về chúng. Nếu bạn muốn biết chi tiết như thành phần bị ảnh hưởng hoặc phiên bản đã vá chính xác, hãy kiểm tra ghi chú phát hành chính thức của Google Chrome và lời nhắc cập nhật bên trong chính trình duyệt. Cho đến khi những chi tiết đó được xác nhận, giả định an toàn rất đơn giản: nếu trình duyệt của bạn không ở phiên bản mới nhất, hãy cập nhật nó.
Cách kiểm tra phiên bản Chrome và cập nhật
Chrome thường tự cập nhật trong nền, nhưng bản cập nhật chỉ có hiệu lực sau khi bạn khởi động lại trình duyệt. Nhiều người để Chrome mở trong nhiều ngày hoặc nhiều tuần, nghĩa là một bản vá đã tải xuống có thể đang nằm không được sử dụng. Đây là một bước kiểm tra nhanh:
- Mở Chrome và nhấp vào menu ba chấm ở góc trên bên phải.
- Đi tới Trợ giúp, sau đó Giới thiệu về Google Chrome.
- Chrome sẽ kiểm tra cập nhật và hiển thị phiên bản hiện tại của bạn. Nếu có bản cập nhật, nó sẽ tự động tải xuống.
- Nhấp vào Khởi động lại để hoàn tất cài đặt.
Trên Android và iOS, hãy mở cửa hàng ứng dụng của bạn, tìm Chrome và cài đặt bất kỳ bản cập nhật nào đang chờ. Nếu bạn sử dụng các trình duyệt khác được xây dựng trên cùng một engine, chẳng hạn như Edge, Brave hoặc Opera, hãy kiểm tra chúng luôn. Các trình duyệt chia sẻ cùng một cơ sở mã thường cần bản vá riêng, và nó có thể đến theo lịch trình khác nhau.
Nếu bạn quản lý thiết bị cho một nhóm, hãy xác nhận rằng cập nhật tự động không bị chặn bởi chính sách và mọi người thực sự đang khởi động lại trình duyệt của họ.
Cách lỗ hổng zero-day trên trình duyệt phơi bày dữ liệu của bạn
Trình duyệt là nơi diễn ra phần lớn cuộc sống kỹ thuật số của bạn: email, ngân hàng, công cụ làm việc và mật khẩu đã lưu. Một cuộc khai thác trình duyệt thành công có thể cho phép kẻ tấn công chạy mã trên thiết bị của bạn, thường chỉ bằng cách khiến bạn truy cập một trang web độc hại hoặc bị xâm phạm. Tùy thuộc vào lỗ hổng, điều đó có thể mở đường cho cookie phiên bị đánh cắp, thông tin đăng nhập đã lưu hoặc phần mềm độc hại tiếp theo.
Điểm mấu chốt là cuộc tấn công xảy ra trên thiết bị của bạn, bên trong trình duyệt, sau khi trang web đã được gửi đến bạn. Mã hóa lưu lượng không thay đổi những gì trình duyệt làm với nội dung nó nhận được. Đó là lý do tại sao một lỗi trong chính trình duyệt là một loại vấn đề khác với việc nghe lén mạng, và tại sao vá lỗi là biện pháp phòng vệ chính.
Khía cạnh kinh doanh của vấn đề này cũng đáng để hiểu. Các cuộc khai thác chưa được vá có thể gây tốn kém cho các tổ chức, một chủ đề chúng tôi đã đề cập trong bài viết của mình về khả năng phục hồi an ninh mạng của doanh nghiệp vừa và nhỏ sau các cuộc tấn công zero-day.
Bảo vệ theo lớp: VPN làm được gì và không làm được gì
VPN mã hóa kết nối giữa thiết bị của bạn và máy chủ VPN, và nó ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Điều đó hữu ích trên Wi-Fi công cộng và để hạn chế một số loại theo dõi. Nó không phải là lá chắn chống lại các cuộc khai thác trình duyệt. Nếu một trang độc hại sử dụng lỗ hổng Chrome, cuộc khai thác diễn ra theo cùng một cách dù lưu lượng của bạn có được đường hầm hóa hay không.
Hãy nghĩ về bảo mật như các lớp, với mỗi lớp bao phủ một rủi ro khác nhau:
- Cập nhật: Sửa chính lỗ hổng. Đây là lớp đầu tiên và quan trọng nhất.
- Xem xét tiện ích mở rộng: Ít tiện ích mở rộng hơn nghĩa là bề mặt tấn công nhỏ hơn.
- Thói quen duyệt web an toàn: Tránh các liên kết và tải xuống bất ngờ.
- Xác thực mạnh: Sử dụng mật khẩu duy nhất và xác thực hai yếu tố để thông tin đăng nhập bị đánh cắp ít hữu ích hơn.
- VPN: Bảo vệ lưu lượng của bạn khi truyền tải và che giấu địa chỉ IP của bạn. Nó bổ sung cho những lớp khác nhưng không thay thế chúng.
Điều này có nghĩa gì với bạn
Đối với hầu hết mọi người, tác động thực tế là nhỏ nếu bạn hành động kịp thời. Việc cập nhật mất vài phút. Rủi ro thực sự đến từ sự chậm trễ, vì kẻ tấn công di chuyển nhanh chóng khi một lỗ hổng được công khai. Nếu bạn đã trì hoãn việc khởi động lại trình duyệt, thì bây giờ là lúc. Nếu bạn dựa vào VPN và cho rằng nó đã bảo vệ bạn trong trường hợp này, hãy điều chỉnh kỳ vọng đó: nó xử lý quyền riêng tư mạng, không phải lỗi trình duyệt.
Những điểm chính
- Cập nhật Chrome ngay bây giờ và nhấp vào Khởi động lại để bản vá thực sự có hiệu lực.
- Kiểm tra các trình duyệt dựa trên Chromium khác và ứng dụng di động của bạn luôn.
- Xem xét lại các tiện ích mở rộng của bạn và xóa bất kỳ tiện ích nào bạn không còn sử dụng hoặc không nhận ra.
- Hãy coi VPN là một lớp trong số nhiều lớp, không phải là giải pháp cho bản cập nhật lỗ hổng zero-day trên Chrome.
- Xác nhận chi tiết kỹ thuật thông qua ghi chú phát hành chính thức của Google thay vì dựa vào các báo cáo mơ hồ.
Để có bối cảnh rộng hơn về những gì các cuộc khai thác chưa được vá có thể gây tốn kém cho các tổ chức, hãy đọc bài viết của chúng tôi về khả năng phục hồi an ninh mạng của doanh nghiệp vừa và nhỏ sau các cuộc tấn công zero-day.
