Tài khoản quản trị, mối đe dọa và rủi ro
Dữ liệu được điều khiển thông qua tài khoản. Bài này xác định những tài khoản có quyền tác động lên website, vì sao email là mắt xích quan trọng, và cách phân biệt mối đe dọa, điểm yếu, tác động, rủi ro.
Các tài khoản có quyền trên website
Một website thường phụ thuộc vào nhiều tài khoản ở nhiều dịch vụ khác nhau. Mỗi tài khoản điều khiển một phần:
| Tài khoản | Quản lý gì | Nếu bị chiếm |
|---|---|---|
| Quản trị website (CMS) | Nội dung, danh sách thành viên theo vai trò | Đọc dữ liệu, sửa thông tin lệ phí |
| Máy chủ chạy website, file và cơ sở dữ liệu | Sửa hoặc xóa file, dữ liệu; làm website ngừng chạy | |
| và | Tên website và nơi tên đó dẫn tới | Chuyển người truy cập sang máy chủ giả |
là tên dễ nhớ như example.com. là hệ thống tra cứu tên đó ra địa chỉ máy chủ (bài 6 giải thích chi tiết). Quyền quản lý tên miền thường nằm ở nhà đăng ký tên miền, tách biệt với hosting.
Mỗi tài khoản cần được xét theo đúng quyền đã cấp: người chỉ đăng bài không nên có quyền đổi DNS hay xóa dữ liệu. Đây là nguyên tắc .
Email: điểm khôi phục của mọi tài khoản
Khi quên mật khẩu, hầu hết dịch vụ gửi liên kết đặt lại mật khẩu về email đăng ký. Nghĩa là ai kiểm soát được email thì có thể bắt đầu quy trình của mọi tài khoản dùng email đó.
Vì vậy, nếu quản trị viên dùng cùng một email cho website, hosting và nhà đăng ký tên miền, thì email là mắt xích trung tâm: chiếm được email có thể dẫn tới chiếm cả ba. Đây gọi là chiếm đoạt tài khoản (account takeover).
Không nên kết luận quá sớm: mất email chưa có nghĩa mất mọi dịch vụ, vì dịch vụ có thể còn yêu cầu hoặc xác minh bổ sung. Ngược lại, tài khoản có MFA mạnh nhưng email khôi phục yếu vẫn là điểm yếu. Phải kiểm tra thực tế từng dịch vụ.
Mối đe dọa, điểm yếu, tác động, rủi ro
Bốn khái niệm này hay bị gộp thành "bị hack". Tách ra thì mới biết cần làm gì.
| Khái niệm | Nghĩa | Ví dụ |
|---|---|---|
| Thứ cần bảo vệ | Email quản trị | |
| Tình huống hoặc tác nhân có thể gây hại | Kẻ thử đăng nhập bằng mật khẩu bị lộ | |
| Chỗ yếu cho phép mối đe dọa thành công | Mật khẩu email trùng mật khẩu diễn đàn | |
| Hậu quả nếu xảy ra | Mất quyền lấy lại tài khoản, lộ thư riêng | |
| Khả năng xảy ra kết hợp với tác động | Khả năng trung bình, tác động cao |
Ví dụ: nhồi thông tin đăng nhập
Diễn đàn mà quản trị viên đăng ký bị lộ cơ sở dữ liệu, gồm email và mật khẩu. Kẻ tấn công lấy cặp email và mật khẩu đó thử đăng nhập vào email, ngân hàng, hosting. Kỹ thuật này gọi là . Nó thành công khi người dùng dùng lại cùng một mật khẩu ở nhiều nơi.
Cần tách hai điều: mật khẩu trùng là điểm yếu đã biết; việc email thực sự đã bị chiếm là sự kiện chưa xác nhận, cần bằng chứng (nhật ký đăng nhập, thông báo thiết bị lạ) mới kết luận được.
Cũng cần phân biệt hai loại việc: sửa điều kiện (đổi mật khẩu, bật MFA, thu hồi quyền thừa) và xử lý hậu quả (khôi phục bài bị xóa). Thường phải làm cả hai.
Đánh giá và ưu tiên rủi ro
Không thể xử lý mọi vấn đề cùng lúc, nên cần xếp thứ tự. Cách đơn giản là chấm hai yếu tố: khả năng xảy ra và tác động, rồi nhân lại.
| Mức | Khả năng xảy ra | Tác động |
|---|---|---|
| 1 | Ít điều kiện thuận lợi, hoặc đã có biện pháp hiệu quả | Nhỏ, dễ khôi phục |
| 2 | Có điều kiện thuận lợi nhưng còn yếu tố chưa rõ | Đáng kể, cần công sức xử lý |
| 3 | Nhiều điều kiện thuận lợi đã được xác minh | Ảnh hưởng tài sản hoặc dịch vụ quan trọng |
MÔ PHỎNG ĐÁNH GIÁ
Email quản trị đang dùng lại mật khẩu
Điểm chỉ để so sánh, không phải phép đo chính xác. Hai lưu ý:
- Sự cố đang diễn ra (nội dung thanh toán sai) cần ngăn ngay, không chờ chấm điểm xong.
- Khả năng cao nhưng tác động nhỏ (ảnh trang trí không tải được) vẫn xếp sau nguy cơ có tác động lớn.
Biện pháp kiểm soát cho tình huống email dùng lại mật khẩu
- Đặt mật khẩu riêng cho email (bài 3).
- Bật và kiểm tra các phiên đang đăng nhập.
- Kiểm tra email và số điện thoại khôi phục còn thuộc quyền mình.
- Giảm quyền thừa trên hosting và DNS theo nguyên tắc quyền tối thiểu.
Các biện pháp này gọi chung là : việc làm giảm khả năng xảy ra, giảm tác động, hoặc giúp phát hiện và phục hồi.
Tóm tắt
- Website phụ thuộc nhiều tài khoản: quản trị, hosting, tên miền/DNS, và email dùng để khôi phục chúng.
- Ai kiểm soát email có thể bắt đầu các tài khoản khác. Bảo vệ email trước.
- Phân biệt (tác nhân), (chỗ yếu), (hậu quả), (khả năng nhân tác động).
- khai thác mật khẩu dùng lại. Mật khẩu trùng là điểm yếu; bị chiếm thật chỉ kết luận khi có bằng chứng.
- Ưu tiên theo rủi ro, nhưng sự cố đang diễn ra thì xử lý ngay.
Tự kiểm tra · 3 câu có giải thích +
Ghi chú cá nhân +
Tự lưu trên trình duyệt. Không nhập thông tin bí mật.