Theo chia sẻ của kỹ sư phần mềm Will Harris, Chrome hiện đang sử dụng các kỹ thuật bảo mật tốt nhất do mỗi hệ điều hành cung cấp để bảo vệ dữ liệu nhạy cảm như cookie và mật khẩu, như: Dịch vụ Keychain trên macOS, kwallet hoặc gnome-libsecret trên Linux và Data Protection API (DPAPI) trên Windows.
Mặc dù DPAPI có thể bảo vệ dữ liệu ở trạng thái không hoạt động khỏi các cuộc tấn công Cold Boot (một kiểu tấn công kênh kề) hoặc từ những người dùng khác trên máy tính Windows, nhưng DPAPI không bảo vệ khỏi các công cụ hoặc tập lệnh độc hại được thiết kế để thực thi mã với tư cách là người dùng đã đăng nhập, đây chính là điểm yếu mà các phần mềm đánh cắp thông tin có thể khai thác.
Harris cho biết: “Trong phiên bản Chrome 127, chúng tôi giới thiệu một biện pháp cải thiện khả năng bảo mật của DPAPI bằng cách cung cấp tính năng App-Bound Encryption. Thay vì cho phép bất kỳ ứng dụng nào chạy dưới dạng người dùng đã đăng nhập truy cập vào dữ liệu này, Chrome hiện có thể mã hóa dữ liệu được liên kết với định danh của ứng dụng, tương tự như cách Keychain hoạt động trên macOS”.
App-Bound Encryption dựa vào một dịch vụ đặc quyền trên Windows để xác minh danh tính của ứng dụng yêu cầu, nó sẽ mã hóa định danh ứng dụng vào dữ liệu đã được mã hóa, sau đó xác minh rằng dữ liệu này hợp lệ khi giải mã. Nếu một ứng dụng khác trên hệ thống cố gắng giải mã cùng một dữ liệu, ứng dụng đó sẽ không thành công.
Vì dịch vụ này thực thi với đặc quyền hệ thống, nên kẻ tấn công cũng cần phải có được quyền SYSTEM hoặc đưa mã vào một ứng dụng như Chrome, đây không phải là hành động thông thường hoặc hợp pháp. Điều này khiến hành động của chúng trở nên đáng ngờ hơn đối với chương trình anti-virus và có nhiều khả năng bị phát hiện hơn.
Tính năng App-Bound Encryption trên Google Chrome
Google cho biết, tính năng mới sẽ được mở rộng sang dữ liệu thanh toán, mật khẩu và các mã thông báo xác thực khác để bảo vệ tốt hơn dữ liệu nhạy cảm của người dùng trước các cuộc tấn công phần mềm độc hại đánh cắp thông tin.
App-Bound Encryption là một trong những tính năng gần đây được Google phát triển để tăng cường khả năng bảo vệ dữ liệu người dùng, chẳng hạn như Device Bound Session Credentials (DBSC) - một tính năng giúp bảo vệ người dùng Chrome khỏi nguy cơ bị đánh cắp cookie. DBSC liên kết các phiên xác thực với thiết bị cụ thể, khiến cho việc sử dụng cookie bị đánh cắp trở nên vô nghĩa.
Trong bối cảnh phần mềm độc hại liên tục phát triển cả về quy mô lẫn mức độ tinh vi, chúng tôi mong muốn tiếp tục hợp tác với những các chuyên gia trong cộng đồng bảo mật để cải thiện khả năng phát hiện và tăng cường bảo vệ hệ điều hành”, Harris chia sẻ.
Hồng Đạt
(Tổng hợp)
14:00 | 23/05/2024
10:00 | 19/08/2024
10:00 | 10/11/2023
15:00 | 24/10/2023
13:00 | 21/08/2024
Microsoft thông báo rằng ứng dụng đồ họa Paint 3D sẽ ngừng hoạt động vào cuối năm nay và sẽ bị xóa khỏi Microsoft Store vào tháng 11.
14:00 | 29/07/2024
Ra mắt vào tháng 3/2024, Hamster Kombat là một trò chơi di động trên Android yêu cầu người chơi tham gia kênh Telegram, quét mã QR và chơi trên ứng dụng web.
14:00 | 10/07/2024
Mới đây, các chuyên gia đã phát hiện năm lỗ hổng trong Bludit - một hệ thống quản lý nội dung mã nguồn mở được sử dụng rộng rãi bởi nhiều trang web và blog. Trong số đó, hai lỗ hổng nghiêm trọng, cho phép thực thi mã từ xa (RCE), có khả năng cho phép kẻ tấn công kiểm soát hoàn toàn các trang web bị ảnh hưởng.
15:00 | 07/06/2024
DataTrust - Nền tảng tuân thủ bảo vệ dữ liệu cá nhân đầu tiên tại Việt Nam vừa được giới thiệu tại hội thảo“Xây dựng chính sách bảo vệ dữ liệu cá nhân”do Bộ Công an tổ chức. Nền tảng DataTrust được phát triển bởi Công ty cổ phần An ninh dữ liệu Việt Nam (VNDS), đơn vị phát triển và cung cấp các dịch vụ - giải pháp tổng thể, toàn diện về bảo vệ dữ liệu cá nhân.
Ngày 23/8, Sở Thông tin & Truyền thông TP.HCM phối hợp cùng Hiệp hội An toàn thông tin (VNISA HCM) đã tổ chức thành công sự kiện Hội thảo và Triển lãm an toàn thông tin khu vực phía Nam 2024. Mi2 vinh dự được đồng hành cùng chương trình với cương vị là Nhà tài trợ Bạc cùng Trellix và Đồng tài trợ cùng Rapid7 mang đến những giải pháp bảo mật toàn diện trước tình hình tấn công phức tạp của Ransomware hiện đang là mối quan tâm cho các tổ chức, doanh nghiệp Việt Nam.
09:00 | 29/08/2024