Apple trả thưởng kỷ lục cho người tìm ra lỗ hổng bảo mật

Ryan Pickren, nghiên cứu sinh ngành bảo mật tại Học viện Công nghệ Georgia đã tìm ra cách hack webcam máy MacBook, tạo điều kiện cho tin tặc xâm nhập trái phép.

Thông qua chương trình Security Bounty Program, Apple đã chi 100.500 USD, nhiều hơn 500 USD so với kỷ lục trước đó, để trả cho Ryan Pickren.

Trước đó, anh cũng từng phát hiện lỗ hổng làm lộ webcam trên iPhone, iPad và MacBook và thông báo cho Apple vào tháng 12.2019. Đây được đánh giá là lỗi bảo mật nghiêm trọng, ảnh hưởng đến quyền riêng tư và thông tin cá nhân của người dùng.

Đây không phải là lần đầu tiên chàng sinh viên nhận thưởng vì phát hiện lỗi bảo mật trong hệ thống của Apple

Trên trang web cá nhân, Ryan Pickren tiết lộ lỗ hổng webcam lần này liên quan đến một loạt các vấn đề về Safari và iCloud mà hãng đã khắc phục trước đó. Các trang web độc hại sẽ tấn công người dùng thông qua các lỗi này.

Trong bản báo cáo tóm tắt, Pickren cho biết các hacker sẽ toàn quyền truy cập các tài khoản trực tuyến như iCloud, PayPal và thậm chí là quyền sử dụng microphone, máy ảnh và chia sẻ màn hình. Nhưng đèn thông báo màu xanh vẫn sẽ hiển thị khi camera bị chiếm quyền.

Anh cũng đề cập đến việc các tin tặc sẽ có thể tự do xâm nhập các tập tin hệ thống có trong thiết bị như tệp lưu trữ web của Safari - dùng để lưu các bản sao website trong máy.

“Chức năng của tập tin này là ghi nhớ các trang web nguồn để kết xuất dữ liệu. Điều này sẽ giúp Safari dễ dàng tạo lập lại các website cũ mà người dùng đã từng truy cập”, Pickren viết trong bản báo cáo.

Tuy nhiên, vào năm 2013, các tác giả của Metasploit - một dự án bảo mật máy tính - đã chỉ ra chỉ cần có quyền chỉnh sửa các tệp tin này, hacker hoàn toàn có thể chèn các đoạn script nguy hiểm vào trong source code ứng dụng web, Pickren bổ sung.

Do đó, theo anh, khi cho trình duyệt sử dụng tập tin này, Táo Khuyết đã không cân nhắc đến trường hợp hacker xâm nhập thiết bị của người dùng. “Nhưng đây cũng là điều dễ hiểu vì nhóm tệp này sẽ xuất hiện cả thập kỷ về trước, khi bảo mật máy tính chưa được tân tiến như hiện tại”, Pickren nhận định.

Hiện Apple chưa đưa ra bất cứ phản hồi về lỗ hổng bảo mật trên.

Chương trình Security Bounty Program là một phần mở rộng của dự án mà Apple thực hiện từ năm 2016 để khuyến khích mọi người thử bẻ khóa và tìm ra lỗ hổng bảo mật iPhone của Apple.

Giải thưởng 1 triệu USD sẽ trao cho các chuyên gia có thể kiểm soát thiết bị của người khác mà không cần chủ sở hữu nhấp vào liên kết độc hại.

Theo AppleInsider, giải thưởng cao nhất của chính sách trị giá 1 triệu USD. Các giải thưởng khác sẽ được trao tặng tùy thuộc vào lĩnh vực bảo mật. Đồng thời, hãng cũng không đưa ra giới hạn số tiền thưởng cho các chuyên gia bảo mật.

Apple hy vọng với chương trình này họ sẽ loại bỏ các nguy cơ mối đe dọa về bảo mật và an ninh mạng trước khi bị tấn công và tống tiền bởi các thành phần xấu.

Hiện hãng cũng không phải là ông lớn công nghệ duy nhất treo thưởng cho các hacker “mũ trắng” này. Google cũng cho những nhà nghiên cứu đã tìm thấy và báo cáo các lỗ hổng ảnh hưởng đến khả năng bảo mật của Android và Chrome, theo PhoneArena.

Theo Zing