Tấn công phát lại (Replay Attack) còn được gọi là Playback Attack, là một dạng tấn công mạng trong đó việc truyền dữ liệu hợp lệ được lặp lại hoặc trì hoãn một cách ác ý hoặc gian lận.  Nó thậm chí còn trở nên nguy hiểm khi kẻ tấn công có thể kiểm soát dữ liệu bằng cách hủy và giả mạo dữ liệu hợp lệ trong quá trình vận chuyển. Replay Attack được thực hiện bằng cách đánh cắp yêu cầu HTTP và yêu cầu lập lại yêu cầu tương tự từ máy tính của kẻ tấn công. Điều này cũng bao gồm đánh cắp dữ liệu bí mật như Username, Password và mật khẩu băm.

4 cơ chế phòng thủ cuộc tấn công Replay Attack: Cách thứ nhất là cách tiếp cận dựa trên dấu thời gian (timestamp), trong đó máy chủ chỉ chấp nhận tin nhắn nếu nó nằm trong phạm vi thời gian được chấp nhận, từ chối các tin nhắn phát lại sau phạm vi thời gian đó. Nó dễ bị tấn công trong khung thời gian cho phép đó. Số thứ tự là một cách bảo vệ khác, chỉ định số thứ tự cho mỗi yêu cầu để yêu cầu của một số thứ tự cũ hơn sẽ không được máy chủ chấp nhận. Phương pháp này cũng gặp phải vấn đề khi kẻ tấn công chặn yêu cầu hợp pháp và gửi một yêu cầu bất hợp pháp với cùng số thứ tự. Cách thứ ba là phản hồi thử thách, theo đó máy chủ gửi một thử thách mà chỉ cso máy khách hợp pháp mới có thể tính toán nó. Bằng cách này, tin nhắn sẽ được làm mới và không thể được sử dụng lại. Cách cuối cùng là ghi nhật ký tin nhắn, trong đó máy chủ lưu tất cả các tin nhắn và nó kiểm tra từng tin nhắn xem nó có đến trước hay không. Nếu nó ở đó trong các tin nhắn đã nhận, máy chủ sẽ từ chối nó. Nó chiếm nhiều bộ nhớ và không thể được sử dụng trong các tình huống thực tế.

Một số tiêu chí để kiểm tra xem liệu một giao thức có thể bảo vệ việc phát lại và các cuộc tấn công song song  được đề xuất. Sau đó, nó kiểm tra nhiều giao thức theo tiêu chí mà họ đưa ra. Tiêu chí dựa trên bốn lĩnh vực - tính mới của tin nhắn, tính đối xứng của tin nhắn, tin nhắn được ký không an toàn và bắt tay phản hồi thử thách. Nếu mỗi tin nhắn không có thành phần mới (fresh), Replay Attack có thể được thực hiện bằng cách khai thác ý tưởng rằng nó có thể được sử dụng lại. Tính đối xứng của các tin nhắn nằm ở khả năng tính toán của việc chuyển đổi mật mã tiếp theo từ một tin nhắn đã gửi. Nếu mã tin nhắn tiếp theo có thể được tính toán (đối xứng) hoặc buộc người dùng hợp pháp phải tính toán, thì kẻ tấn công có thể thực hiện một cuộc tấn công Replay Attack. Tin nhắn đã ký về bản chất là an toàn, nhưng nếu nó không có bất kỳ chức năng ràng buộc người dùng nào (chữ ký chung có thể được sử dụng bởi bất kỳ ai), kẻ tấn công có thể lấy chữ ký đó và mạo danh người dùng hợp pháp bằng cách sử dụng chữ ký bị đánh cắp này. Bắt tay phản hồi thử thách thường có một số bước và ít một bước phải dựa trên chuyển đổi mật mã liên quan đến danh tính của người dùng hợp pháp (người nhận), mà chỉ có người dùng hợp pháp mới có thể thực hiện. Nếu không đúng như vậy, kẻ tấn công có thể sử dụng các tin nhắn tương tự để xác thực một hệ thống mới sử dụng Cookie một lần của máy chủ trung gian đã được đề xuất để ngăn chặn việc chiếm quyền điều khiển phiên. Nhược điểm của hệ thống là nó cung cấp thêm chi phí cho máy chủ mới mà không thực sự bảo vệ khỏi bị chiếm quyền điều khiển phiên. Nếu kẻ tấn công có thể nắm giữ yêu cầu của người dùng hợp pháp (bằng các tiện ích mở rộng trình duyệt độc hại hoặc các cuộc tấn công cấp hệ thống), thì kẻ tấn công có thể sử dụng Cookie không sử dụng đó để chiếm quyền điều khiển phiên. Một giao thức bảo mật dựa trên Cookie, họ đề xuất một cách để tìm khóa cho mỗi Cookie, đó là băm của ID khách hàng, dữ liệu, ID phiên SSL và bí mật máy chủ. Nó đã được tuyên bố rằng nó cung cấp tính bảo mật tốt và phònh thủ chống lại cuộc tấn công Replay Attack, vì nó sử dụng ID phiên SSL để tìm khóa mã hóa. Mặc dù lược đồ này cung cấp tính bảo mật tốt và bảo vệ phát lại (cho phiên), nó không thể được sử dụng cho nhiều phiên. 

Tài liệu tham khảo

1. J. Joseph and S. Bhadauria, "Cookie Based Protocol to Defend Malicious Browser Extensions," 2019 International Carnahan Conference on Security Technology (ICCST), 2019, pp. 1-6, doi: 10.1109/CCST.2019.8888425.

Bảo mật truyền tải nghiêm ngặt HTTP (HTTP Strict Transport Security - HSTS) là một tiêu đề (header) phản hồi HTTP cho phép các trang Web thông báo cho trình duyệt Web chỉ nối qua HTTPS mà không dựa vào chuyển hướng HTTPS từ phía máy chủ. Khi trang Web HSTS được truy cập qua HTTP, trình duyệt biết rằng trang Web có HTTPS và chuyển hướng nội bộ đến HTTPS theo tiêu đề Strict-Transport-Security, điều này có nghĩa là không có HTTP nào được gửi đi. 

Nếu không có HSTS, khách truy cập có thể giao tiếp với phiên bản HTTP (không được mã hóa) của trang Web, Ví dụ: trước khi chuyển hướng HTTPS, các yêu cầu HTTP ẩn, chẳng hạn như yêu cầu HTTP từ nội dung hỗn hợp. Điều này tạo cơ hội cho các cuộc tấn công MITM, ví dụ: SSL Strip cũng như các cuộc tấn công chiếm quyền điều khiển phiên (Session Hijacking).

Một số nghiên cứu đã chứng minh các tình huống mà kẻ tấn công có thể vượt qua cơ chế HSTS. HSTS được kích hoạt qua cấu hình tiêu đề phản hồi HTTP. Tiêu đề phải được đặt bằng phản hồi HTTPS vì nó sẽ bị trình duyệt bro qua khi trang Web được truy cập bằng HTTP. Điều này là do kẻ tấn công có thể chặn các kết nối HTTP và đưa tiêu đề vào hoặc xóa nó. 

Cấu hình HSTS được đề xuất:

- Max-age: Thời gian tính bằng giây mà trình duyệt sẽ buộc trang Web chỉ được kết nối HTTPS. Đây phải là bất kỳ giá trị nguyên dương nào. Thời lượng này sẽ được cập nhật khi tiêu đề Strict-Transport-Security mới được gửi đến trình duyệt. Không có khuyến nghị chính thức nào cho khoảng thời gian của max-age. Tuy nhiên, thời lượng max-age dài hơn sẽ làm giảm số lượng kết nối HTTP. Thiết lập mặc định phổ biến nhất là trong khoảng thời gian một năm (max-age: 3156000).

- IncludeSubDomians: là một chỉ thị tiêu đề tùy chọn. HSTS được đặt dựa trên miền phụ và miền được tìm thấy trong URL của trang Web. Ví dụ: khi người dùng truy cập vào trang Web https://www.example.com/foo với HSTS được bật, HSTS được bật trên bất kỳ trang nào được truy cập qua www.example.com. Tuy nhiên, HSTS không được bật trên các trang tên miền cấp cao hơn (example.com) và các trang trên tên miền phụ, ví dụ: bar.www.example.com. Với chỉ thị includeSubdomains, trình duyệt sẽ bật HSTS trên tất cả các miền phụ bất kỳ trang nào trên *.www.example.com. IncludeSubdomains được khuyến nghị vì nó sẽ thực thi HTTPS bất kỳ trang nào trên miền phụ. Khi có thể, includeSubdomains nên được đặt ở cấp độ tên miền (ví dụ: example.com) để bảo vệ tất cả các trang trên tên miền. 

- Preload: là một chỉ thị tiêu đề tùy chọn khác. Chỉ thị này hiển thị được duy trì bởi Google. Với chỉ thị tải trước, HSTS được tải trước trong trình duyệt. Do đó, các trang Web tải trước HSTS sẽ không bao giờ được kết nối với HTTP. Để triển khai chỉ thị này một cách chính xác, trang Web cần phải nằm trong danh sách tải trước bằng cách đáp ứng tất cả các yêu cầu gửi bảo gồm có chứng chỉ hợp lệ, chuyển hướng HTTPS, tất cả các miền phụ qua HTTPS và tiêu đề HSTS có max-age ít nhất một năm, includeSubdomains và preload.

Tài liệu tham khảo

1. S. Sivakorn, P. Sirawongphatsara and N. Rujiratanapat, "Web Encryption Analysis of Internet Banking Websites in Thailand," 2020 17th International Joint Conference on Computer Science and Software Engineering (JCSSE), 2020, pp. 139-144, doi: 10.1109/JCSSE49651.2020.9268302.

Giao thức Bảo mật tầng vận chuyển (Transport Layer Security - TLS) là cơ chế bảo mật triển khai rộng rãi nhất cho các tin nhắn HTTP và bảo vệ Cookie riêng tư. Tuy nhiên, HTTPS (HTTP qua TLS) không thể đảm bảo hoàn toàn tính bảo mật của thông tin trong Cookie bởi vì các cơ chế Cookie độc lập với giao thức TLS. Cụ thể, các máy chủ Web kích hoạt có chọn lọc TLS khi yêu cầu xác thực lẫn nhau hoặc tính bảo mật dữ liệu cần đảm bảo vì hỗ trợ TLS khi cung cấp dịch vụ Web cho người dùng tùy chọn. Vì vậy, cần phải xem xét các cơ chế bổ sung để bảo vệ đầy đủ thông tin trong Cookie. Thông thường, Bảo mật truyền tải nghiêm ngặt HTTP (HSTS) và cờ Cookie là những phương pháp nổi tiếng nhất cho mục đích này. 

Tài liệu tham khảo

1. H. Kwon, H. Nam, S. Lee, C. Hahn and J. Hur, "(In-)Security of Cookies in HTTPS: Cookie Theft by Removing Cookie Flags," in IEEE Transactions on Information Forensics and Security, vol. 15, pp. 1204-1215, 2020, doi: 10.1109/TIFS.2019.2938416.

Sự xáo trộn (Obfuscation) là một kỹ thuật làm cho các chương trình khó hiểu hơn. Với mục đích như vậy, nó chuyển đổi một chương trình sang một phiên bản khác trong khi làm cho chúng giống về mặt chức năng với nhau . Ban đầu, công nghệ này nhằm mục đích bảo vệ tài sản trí tuệ của các nhà phát triển phần mềm, nhưng nó đã được các tác giả phần mềm độc hại sử dụng rộng rãi để tránh bị phát hiện. Có nghĩa là, để trốn tránh các trình quét Virus, phần mềm độc hại phát triển bộ phân thân của chúng thành các thế hệ mới thông qua kỹ thuật Obfuscation. 

Tài liệu tham khảo

1. I. You and K. Yim, "Malware Obfuscation Techniques: A Brief Survey," 2010 International Conference on Broadband, Wireless Computing, Communication and Applications, 2010, pp. 297-300, doi: 10.1109/BWCCA.2010.85.

Các cuộc tấn công cửa hậu (Backdoor) rất phổ biến và chúng có thể được thực hiện bằng cách sử dụng framework Metasploit. Kẻ tấn công có thể tạo ra một backdoor để ứng dụng truy cập vào dịch vụ mà người quản trị không hề hay biết. Kẻ tấn công sẽ tạo một liên kết howajc ứng dụng độc hại sẽ được chuyển hướng đến nạn nhân thông qua một tài liệu giả mạo khi nạn nhân mở tài liệu đó, kẻ tấn công sẽ có thể tạo một backdoor bằng cách sử dụng tập lệnh độc hại đó.

Đây là sự phân chia của phần mềm độc hại tạo ra một Backdoor để ứng dụng truy cập vào hệ thống mà quản trị không hề hay biết. Cuộc tấn công này cho phép những kẻ tấn công kết nối từ xa với bản ghi hồ sơ, máy chủ của tổ chức, lệnh phân loại đối tượng và cập nhật phần mềm độc hại. Hầu hết tường lửa ứng dụng Web (WAF) có thể chặn các loại hoạt động này nhưng những kẻ tấn công sẽ vượt qua WAF để đưa các tập lệnh Backdoor vào để tấn công hệ thống. Các tải trọng này có thể dễ dàng vượt qua phần mềm chống virus và ẩn dưới thư mục gốc. Việc xác định các tải trọng của Backdoor thực sự rất khó và đôi khi là không thể. Cập nhật hệ điều hành và phần mềm chống virus có thể giúp xóa các tải trọng này. Biện pháp chính chống lại các cuộc tấn công này là có một firewall mạnh hoạt động trên mạng. Nó bảo vệ điểm truy cập khỏi bị truy cập bất hợp pháp. Các công cụ giám sát mạng mạnh mẽ được yêu cầu đặc biệt đối với các chương trình nguồn bị lộ có nguồn gốc từ chương trình nguồn đáng tin cậy. Tăng cường lớp an toàn bổ sung trong mạng là rất quan trọng để bảo vệ các cuộc tấn công Backdoor. Việc sử dụng các tập lệnh chống phần mềm độc hại để nhắm mục tiêu cụ thể đến các cuộc tấn công Backdoor có thể giúp phát hiện phần mềm độc hại và chặn Backdoor đó có thể hiện diện và bảo mật mạng.

Tài liệu tham khảo

1. Y. Ji, X. Zhang and T. Wang, "Backdoor attacks against learning systems," 2017 IEEE Conference on Communications and Network Security (CNS), 2017, pp. 1-9, doi: 10.1109/CNS.2017.8228656.

2. X. T. Ng, Z. Naj, S. Bhasin, D. B. Roy, J. -L. Danger and S. Guilley, "Integrated Sensor: A Backdoor for Hardware Trojan Insertions?," 2015 Euromicro Conference on Digital System Design, 2015, pp. 415-422, doi: 10.1109/DSD.2015.119.

3. A. M. Kandan, G. JaspherWillsie Kathrine and A. R. Melvin, "Network Attacks and Prevention techniques - A Study," 2019 IEEE International Conference on Electrical, Computer and Communication Technologies (ICECCT), 2019, pp. 1-6, doi: 10.1109/ICECCT.2019.8869077.

Máy chủ tên miền (DNS) lưu giữ bản ghi các miền và địa chỉ IP tương xứng. Tấn công giả mạo DNS thay đổi địa chỉ IP của các miền trên máy chủ DNS. Trước đây kẻ tấn công có thể chuyển hướng tất cả lưu lượng truy cập cho miền đến địa chỉ IP của kẻ tấn công. Kẻ tấn công cũng có thể sao chép một miền hợp lệ và thay thế nó bằng địa chỉ IP của chúng để tạo cảm giác như đó là trang gốc.

Tài liệu tham khảo

1. N. Tripathi, M. Swarnkar and N. Hubballi, "DNS spoofing in local networks made easy," 2017 IEEE International Conference on Advanced Networks and Telecommunications Systems (ANTS), 2017, pp. 1-6, doi: 10.1109/ANTS.2017.8384122.

Cuộc tấn công MITM cho phép kẻ tấn công theo dõi thông tin liên lạc qua mạng. Khi chuyển giao thông tin giữa hai điểm cuối (endpoint), kẻ tấn công có thể làm gián đoạn dữ liệu bằng các kỹ năng hoặc công cụ của mình. Trên thực tế, cả hai thiết bị đầu cuối đều tin tưởng rằng họ đang giao tiếp với nhau, nhưng thông tin liên lạc đi qua thiết bị của kẻ tấn công. Tấn công MITM còn được gọi là tấn công chiếm quyền điều khiển (Hijacking Attack).

Kẻ tấn công có thể làm gián đoạn dữ liệu trong quá trình truyền khi đường truyền giữa hai bên yếu và không được mã hóa. MITM xảy ra khi cả hai bên không sử dụng giấy phép hợp lệ cho giao tiếp. Kẻ tấn công có thể tạo chứng chỉ của riêng họ để xác minh chứng chỉ với cả hai bên, sau đó kẻ tấn công sẽ âm thầm chặn mọi giao tiếp mà người dùng không hề hay biết. Do đó, các cuộc tấn công MITM có thể được ngăn chặn bằng cách sử dụng giao tiếp được mã hóa mạnh. Mạng riêng ảo (VPN) và giao thức truyền siêu văn bản an toàn (HTTPS).

Cung cấp mã hóa mạnh mẽ qua giao tiếp là rất quan trọng để bảo mật dữ liệu khỏi kẻ tấn công. Sau khi giao tiếp của chúng ta được mã hóa, thì kẻ tấn công không thể đọc ra dữ liệu và khó giải mã nó. Ngay cả một số kẻ tấn công thông minh cũng có thể giải mã bằng kỹ năng của họ, vì vậy năng cao mức độ mã hóa là cách tốt nhất để bảo mật thông tin. Rò rỉ thông tin có thể dẫn đến thiệt hại nghiêm trọng và kẻ tấn công có thể từ chối dịch vụ bằng cách sử dụng những rò rỉ đó. Vì vậy cần bảo mật đường truyền thông tin bằng mã hóa mạnh. MITM chủ yếu xảy ra trên các kết nối HTTP không an toàn, cần tránh những loại kết nối đó.

Mạng riêng ảo (Virtual Private Network - VPN) chủ yếu được sử dụng cho thông tin riêng tư và nhạy cảm. Nó tạo đường hầm qua cả hai điểm cuối và nó truyền dữ liệu qua đường hầm đó với mã hóa. Khi khẻ tấn công phá được đường hầm, nó sẽ đóng cả hai đầu của đường hầm và bắt đầu tạo một đường hầm mới để liên lạc. Vì vậy, kẻ tấn công thậm chí không thể xem dữ liệu được mã hóa trên đó. Nó được các tổ chức tư nhân sử dụng rộng rãi để truyền tải an toàn và được nhiều công ty tài chính sử dụng để đảm bảo giao dịch kỹ thuật số của họ. Nó cũng được sử dụng để vượt qua dữ liệu bằng cách kết nối với máy chủ khác để truy cập.

Bằng phương pháp này, kẻ tấn công không thể chặn kết nối nhưngkhi các điểm cuối được định cấu hình yếu, thì rất dễ bị vượt qua các điểm cuối để chuyển thông tin cho nạn nhân. Vì vậy trước khi tạo mạng riêng cần xác minh quá trình mã hóa và kết nối điểm cuối.

HTTPS giúp cho người dùng giao tiếp an toàn qua HTTP với phương thức trao đỗi khóa. Các trang Web chỉ sử dụng HTTPS cho giao tiếp an toàn cao như xác thực và ngân hàng. Nó tạo ra một giấy phép kỹ thuật số hợp pháp và nó được xác minh ở mỗi điểm cuối trước khi truyền. Khi một điểm cuối không có chứng chỉ thích hợp, thì kết nối sẽ tự động ngắt. Vì vậy, nó rất phổ biến được sử dụng để bảo mật kết nối.

Tài liệu tham khảo

1. P. Patni, K. Iyer, R. Sarode, A. Mali and A. Nimkar, "Man-in-the-middle attack in HTTP/2," 2017 International Conference on Intelligent Computing and Control (I2C2), 2017, pp. 1-6, doi: 10.1109/I2C2.2017.8321787.

2. S. Stricot-Tarboton, S. Chaisiri and R. K. L. Ko, "Taxonomy of Man-in-the-Middle Attacks on HTTPS," 2016 IEEE Trustcom/BigDataSE/ISPA, 2016, pp. 527-534, doi: 10.1109/TrustCom.2016.0106.

3. V. Radhakishan and S. Selvakumar, "Prevention of Man-in-the-Middle Attacks Using ID Based Signatures," 2011 Second International Conference on Networking and Distributed Computing, 2011, pp. 165-169, doi: 10.1109/ICNDC.2011.40.

Trình thám thính (sniffer) là một ứng dụng có thể đánh hơi thông tin mạng, danh bạ, sau đó đọc các gói mạng. Một trình thám thính cung cấp một cái nhìn tổng hợp về thông tin và bí mật thông tin gói tin. Nếu các gói tin không được mã hóa đúng cách, thì chúng có thể bị bẻ khóa để mở và đọc. Các gói được mở hóa sẽ không thể mở được trừ khi kẻ tấn công tìm thấy khóa. Bằng cách sử dụng cuộc tấn công này, kẻ tấn công có thể làm gián đoạn mục tiêu được kết nối và kẻ tấn công có thể sửa đổi quyền truy cập bằng bắt kỳ dữ liệu nào mà kẻ tấn công cần dùng.

Tài liệu tham khảo

1. P. Anu and S. Vimala, "A survey on sniffing attacks on computer networks," 2017 International Conference on Intelligent Computing and Control (I2C2), 2017, pp. 1-5, doi: 10.1109/I2C2.2017.8321914.

Những kẻ tấn công có thể tạo các trang Web có chứa các mã độc hại được lên kế hoạch để tìm kiếm điểm yếu trong hệ thống của khách truy cập Web và thực thi chúng để đưa phần mềm độc hại vào hệ thống của họ. Các trang Web cũng có thể được giả mạo thành các trang Web chính hãng để che phần mềm độc hại dưới dạng tải xuống.

Tài liệu tham khảo

1. K. Muthumanickam and E. Ilavarasan, "Optimizing Detection of Malware Attacks through Graph-Based Approach," 2017 International Conference on Technical Advancements in Computers and Communications (ICTACC), 2017, pp. 87-91, doi: 10.1109/ICTACC.2017.31.

Các cuộc tấn công mạng dựa trên trình duyệt là loại tấn công rất thường xuyên và phổ biến. Tấn công dựa trên trình duyệt cố gắng bẻ khóa (crack) máy qua trình duyệt Web. Các cuộc tấn công trình duyệt thường bắt đầu như xác thực, những ảnh hưởng đến trang Web. Những kẻ tấn công phá trang Web và gây nhiễm phần mềm độc hại (malware). Khi những người mới truy cập Web (thông qua bắt kỳ trình duyệt Web), trang Web bị nhiễm sẽ cố gắng đưa phần mềm độc hại vào hệ thống của họ bằng cách thao túng các điểm yếu trong trình duyệt của họ.

Tài liệu tham khảo

1. Sruthi Bandhakavi, Nandit Tiku, Wyatt Pittman, Samuel T. King, P. Madhusudan, and Marianne Winslett. 2011. Vetting browser extensions for security vulnerabilities with VEX. Commun. ACM 54, 9 (September 2011), 91–99. https://doi.org/10.1145/1995376.1995398