Từ nỗi lo thường trực về bảo mật

Sự việc Vietnam Airlines bị tấn công buộc một số ngân hàng phải khoá thanh toán online của chủ thẻ tín dụng có giao dịch với Vietnam Airlines năm 2016 hay các vụ tài khoản thẻ ngân hàng của một số ngân hàng “bỗng dưng bốc hơi” đang là mối lo an ninh bảo mật thường trực trong ngành ngân hàng, thanh toán điện tử.

Mới đây nhất, hãng bảo mật Kaspersky Việt Nam đã lên tiếng cảnh báo về những nhóm hacker chuyên thực hiện những cuộc tấn công có chủ đích (APT) đã tấn công thành công các ngân hàng, tổ chức tài chính ở Châu Á Thái Bình Dương, trong đó có Việt Nam. Đó là các cuộc tấn công chống lại cơ sở hạ tầng ATM, máy chủ SWIFT hoặc cơ sở dữ liệu với các giao dịch và thông tin thẻ ghi nợ, thẻ tín dụng. Tổn thất chính xác về tài chính hiện chưa thể tính toán được.

Còn theo Cục An toàn thông tin (Bộ TT&TT), từ đầu năm 2017 đến nay, đã phát hiện và ghi nhận nhiều chiến dịch tấn công nhằm vào ứng dụng trên nền tảng Android, đặc biệt là ứng dụng ngân hàng trực tuyến. Các chuyên gia về an toàn thông tin và nhiều tổ chức đã phát hiện, ghi nhận nhiều biến thể nguy hiểm của các dòng mã độc ngân hàng trên nền tảng Android: Faketoken, Svpeng, BankBot, AceCard… những dòng mã độc này có khả năng đe dọa rất lớn đối với người dùng sử dụng ứng dụng ngân hàng trực tuyến.

Ông Nguyễn Thành Hưng, Thứ trưởng Bộ TT&TT đánh giá: “Vài năm trước đây, các cuộc tấn công mạng nhằm vào thanh toán điện tử mới gây thiệt hại nhỏ thì nay đã lên tới hàng trăm triệu, thậm chí hàng tỉ đồng, Đây thực sự là nguy cơ đe dọa đối với sự phát triển lành mạnh và ổn định của thị trường thanh toán điện tử nói riêng và cả lĩnh vực ngân hàng nói chung”.

Ông Hà Thế Phương, Phó Tổng giám đốc CMC InfoSec cũng khuyến cáo, các ngân hàng, tổ chức tài chính, thanh toán Việt Nam phải có chứng chỉ bảo mật thẻ theo tiêu chuẩn thế giới PCI DSS. Đây là tiêu chuẩn an ninh thông tin bắt buộc dành cho các doanh nghiệp lưu trữ, truyền tải và xử lý thẻ thanh toán quản lý bởi 5 tổ chức thanh toán quốc tế như Visa, MasterCard, American Express, Discover và JCB.

Thiết lập “tường thành” Data Center

Tiêu chuẩn PCI DSS được coi như là một “công cụ” giúp các ngân hàng, hệ thống thanh toán điện tử, thương mại điện tử… chống chọi lại với nguy cơ bị tấn công. Tiêu chuẩn PCI DSS được phát triển nhằm hỗ trợ các tổ chức thanh toán thẻ bảo vệ dữ liệu của khách hàng, chống lại việc xâm nhập và sử dụng dữ liệu khi chưa được phép. PCI DSS sẽ giúp cho các doanh nghiệp hạn chế các lỗ hổng bảo mật và rủi ro bị đánh cắp thông tin; đồng thời tăng cường bảo vệ dữ liệu lưu trên thẻ.

Nguồn tin của Bloomberg cho hay loa thông minh của Samsung tập trung vào chất lượng âm thanh cũng như khả năng quản lý nhà thông minh như hệ thống đèn, khóa. Thiết bị chạy Bixby, trợ lý ảo do Samsung phát triển, tương tự Alexa, Siri và Google Assistant. Nó có thể đồng bộ với tivi, smartphone Galaxy và các sản phẩm Samsung khác.

Vai trò của loa Samsung cũng giống với HomePod của Apple trong hệ sinh thái dịch vụ và thiết bị, bao gồm SmartThings. Hãng điện tử Hàn Quốc dự kiến phát hành thiết bị trên nhiều thị trường và cân nhắc bán giá khoảng 200 USD. Để so sánh, giá niêm yết loa Amazon Echo là 100 USD, còn Apple HomePod là 349 USD. Dù vậy, kế hoạch bán và định giá vẫn có thể thay đổi. Công ty đang tìm cách nâng cao khả năng thực hiện các lệnh tìm kiếm giọng nói.

Công nghệ mới này sẽ được giới thiệu vào tháng Hai tới tại Hội nghị bảo mật mạng lưới 2018 ở California và hiện vẫn chưa được công bố. Tuy nhiên, nó có thể trở thành một phần của quá trình xác thực – như mã PIN và mật khẩu – mà người dùng sử dụng tại các máy ATM và các giao dịch online. Với những người bị đánh cắp nhận dạng cá nhân, nó có thể giúp ngăn tội phạm mạng dùng thông tin đó để mua sắm.

Camera số được làm giống nhau. Tuy nhiên, những thiếu sót trong sản xuất tạo ra những khác biệt nhỏ trong cảm biến của mỗi máy ảnh. Những khác biệt này có thể tạo ra sự khác biệt trong một số triệu pixel cảm biến, khiến các màu có thể hơi sáng hơn hoặc tối hơn mức bình thường.

Điều này không rõ ràng với mắt thường, và sự khác biệt này tạo ra những bóp méo trong bức ảnh, hay gọi là các dạng nhiễu. Khi sử dụng các bộ lọc đặc biệt, các mức độ nhiễu hoàn toàn khác nhau với mỗi chiếc camera.

Những phân tích trên thường được dùng trong các ứng dụng khoa học pháp lý, chẳng hạn như giúp xử lý các vụ kiện vi phạm bản quyền liên quan đến ảnh. Tuy nhiên, nó vẫn chưa được áp dụng với lĩnh vực an ninh mạng – dù smartphone đã có ở khắp mọi nơi – bởi vì để chiết xuất được như thế, cần phải phân tích 50 bức ảnh do một chiếc camera chụp, và các chuyên gia nghĩ rằng người dùng sẽ không sẵn sàng cung cấp nhiều ảnh như thế. Ngoài ra, tội phạm mạng chuyên nghiệp cũng có thể làm giả mẫu bằng cách phân tích hình ảnh được chụp bằng chiếc smartphone mà nạn nhân đăng lên các trang web không đảm bảo.

Nghiên cứu mới đã giải quyết được những thách thức này. So với máy ảnh kỹ thuật số thông thường, cảm biến hình ảnh của điện thoại thông minh nhỏ hơn nhiều. Giảm sự khuếch đại không đồng đều của điểm ảnh và tạo ra một PRNU mạnh hơn. Do đó, họ có thể khớp một bức ảnh với một chiếc điện thoại thông minh bằng cách sử dụng một bức ảnh thay vì 50 bức ảnh.

"Tôi nghĩ hầu hết mọi người cho rằng sẽ cần đến 50 bức ảnh để xác định camera của chiếc điện thoại thông minh. Nhưng nghiên cứu của chúng tôi cho thấy không phải như thế", Ren, một kỹ sư điện tử của IEEE (Viện kỹ sư điện và điện tử), đồng thời là nhà khoa học nổi tiếng của ACM (Hiệp hội các máy tính), cho biết.

Để ngăn chặn việc giả mạo, Ren đã thiết kế một giao thức như miêu tả dưới đây, nhằm dò ra và ngăn chặn hai kiểu tấn công.

Kui Ren, tác giả chính của nghiên cứu

Thứ nhất, khách hàng đăng ký với một doanh nghiệp - chẳng hạn như ngân hàng hoặc nhà bán lẻ - và cung cấp cho doanh nghiệp đó một bức ảnh làm tài liệu tham khảo.

Khi khách hàng bắt đầu giao dịch, nhà bán lẻ sẽ yêu cầu khách hàng (có thể thông qua một ứng dụng) chụp hai mã QR (một loại mã vạch có thông tin về giao dịch) có trên máy ATM, máy tính tiền hoặc màn hình khác.

Dùng ứng dụng, khách hàng gửi ảnh lại cho nhà bán lẻ, quét ảnh để đo PRNU của điện thoại. Nhà bán lẻ có thể phát hiện ra hành vi giả mạo vì PRNU của máy ảnh của kẻ tấn công sẽ làm thay đổi thành phần PRNU của bức ảnh.

Những tội phạm mạng chuyên nghiệp có thể sẽ loại bỏ PRNU khỏi thiết bị của họ. Nhưng giao thức của Ren có thể nhận ra điều này bởi vì mã QR bao gồm một tín hiệu cảm biến nhúng sẽ bị suy yếu do quá trình loại bỏ.

Giao dịch sẽ được chấp thuận hoặc bị từ chối dựa trên các thử nghiệm này.

Giao thức này đã đánh bại ba trong số các chiến thuật phổ biến nhất mà bọn tội phạm mạng thường dùng. Đó là các cuộc tấn công giả mạo dấu vân tay, tấn công trung gian, tấn công phát lại (replay attack). Mức độ chính xác lên đến 99,5% trong các thử nghiệm liên quan đến 16.000 hình ảnh và 30 điện thoại iPhone 6 và 10 điện thoại Galaxy Note 5.

Theo trang Buffalo.edu, Ren dự định sẽ thí nghiệm với những smartphone hai máy ảnh, điều này có thể khiến cho các cuộc tấn công giả mạo khó khăn hơn.

Tại Việt Nam, Visa tổ chức chương trình nâng cao kĩ năng quản lý tài chính với quy mô toàn quốc, phối hợp cùng Trung ương Hội Sinh viên Việt Nam. Ở mùa thứ 6, chương trình tiếp cận hàng triệu sinh viên ở 87 trường đại học trên khắp cả nước, giúp họ nhận thức tầm quan trọng của những khái niệm về quản lý tài chính ví dụ như lên ngân sách, lập kế hoạch tiết kiệm và chi tiêu có trách nhiệm.

Cơ chế một cửa quốc gia được triển khai chính thức tại các cảng hàng không quốc tế theo Quyết định số 43/2017/QĐ-TTg của Thủ tướng Chính phủ. Tuy nhiên, thời gian qua Tổng cục Hải quan nhận được một số đề nghị từ các hãng hàng không về gia hạn triển khai.

Cụ thể, theo thông tin từ Tổng cục Hải quan, một số hãng hàng không đề nghị gia hạn thời gian gửi thông tin liên quan đến tàu bay xuất cảnh, nhập cảnh, quá cảnh tới Cổng thông tin quốc gia.

Về vấn đề này, Tổng cục Hải quan có công văn đề nghị các hãng hàng không, đại lý hàng không, công ty giao nhận nghiêm túc thực hiện việc khai báo các thông tin quy định tại Quyết định 43/2017/QĐ-TTg tới Cổng thông tin một cửa quốc gia theo đúng thời hạn đã quy định.

Riêng thông tin về đặt chỗ hành khách (PNR), Tổng cục Hải quan cho biết sẽ thông báo thời điểm và kế hoạch triển khai cụ thể trong thời gian tới.

Đối với các đơn vị chưa có hệ thống hoặc chưa kết nối với hệ thống để khai báo thông tin tới Cổng thông tin một cửa quốc gia thì có thể đăng ký tài khoản và khai báo trực tiếp tại các chức năng có sẵn trên Cổng thông tin một cửa quốc gia.

Để phục vụ triển khai Cơ chế một cửa quốc gia đường hàng không, Hải quan Việt Nam đã tổ chức thí điểm tại Cảng hàng không quốc tế Nội Bài, đồng thời tổ chức các lớp tập huấn trên cả nước dành cho cả cán bộ hải quan và doanh nghiệp.

Tổng cục Hải quan cũng cho hay: Hiện tại, bộ phận hỗ trợ của Tổng cục Hải quan cũng làm việc 24 giờ/7 ngày để giải đáp, hướng dẫn chi tiết việc khai báo và vướng mắc thông qua các đường dây nóng trực tiếp đã được thông báo và đăng tải trên trang web của Tổng cục.

Ngày 15/11/2017 theo Nghị định 43/2017/NĐ-CP, cơ chế một cửa quốc gia đường hàng không tại tất cả các cảng hàng không quốc tế trên cả nước. Trước đó, hệ thống một cửa hàng không được vận hành thí điểm tại Cảng hàng không quốc tế Nội Bài từ ngày 1/1/2017. Tính đến nay, 100% hãng hàng không có văn bản xác nhận đăng ký tham gia thực hiện Cơ chế một cửa quốc gia đường hàng không.

Do đó, thực hiện Quyết định số 43/2017/NĐ-CP của Thủ tướng Chính phủ, từ ngày 15/11/2017, cơ quan hải quan sẽ đồng loạt triển khai Cơ chế một cửa quốc gia đối với tàu bay xuất cảnh, nhập cảnh, quá cảnh tại tất cả các cảng hàng không quốc tế trên cả nước.

Ngày mua sắm trực tuyến - Online Friday là sự kiện thường niên được Chính phủ giao Bộ Công Thương chủ trì, phối hợp với các đối tác, doanh nghiệp đồng hành tổ chức nhằm tạo thói quen mua sắm trực tuyến và khuyến khích các hoạt động mua sắm uy tín, tiện lợi, đẩy mạnh thanh toán không dùng tiền mặt tại Việt Nam.

Online Friday 2017 sẽ diễn ra trong 24 giờ, từ 0h đến 24h ngày 1/12/2017, trên website chính thức của chương trình tại địa chỉ www.onlinefriday.vn. Bên cạnh sự kiện trực tuyến, trong các ngày từ 1 - 3/12/2017, tại TP.HCM sẽ diễn ra sự kiện BigOFF-Trải nghiệm mua sắm và thương mại điện tử. Hiện đã có 46 doanh nghiệp đăng ký tham gia sự kiện BigOFF.

Trong thông tin chia sẻ với báo chí vào chiều nay, 27/11/2017, bà Lại Việt Anh - Phó Cục trưởng phụ trách Cục Thương mại điện tử và Kinh tế số (Bộ Công Thương) cho biết, mục tiêu của Online Friday năm nay là thu hút sự tham gia của 3.000 doanh nghiệp; mang tới cho người tiêu dùng 5.000 sản phẩm giảm giá siêu hấp dẫn; đạt tổng doanh số trên 1.500 tỷ đồng, 1 triệu đơn hàng thành công với trên 3 triệu lượt truy cập và 20 triệu lượt tương tác, tìm kiếm thông tin, sản phẩm của người tiêu dùng trong sự kiện trực tuyến.