URL rút gọn có thể làm rò rỉ thông tin cá nhân

Theo SlashGear, hãy tưởng tượng rằng bạn có một tập tin trong tài khoản OneDrive và muốn chia sẻ với một ai đó. Nếu tạo ra một liên kết với tập tin đó, sau đó bạn có thể sử dụng một dịch vụ rút gọn URL mà Microsoft đưa vào là bit.ly để tạo ra liên kết ngắn hơn mà không cần phải nhớ địa chỉ URL dài thòng lọng của liên kết OneDrive. Thế nhưng, liên kết rút gọn đơn giản có thể giúp một người biết làm thế nào để truy cập các tập tin của bạn.

Google là một trong hai dịch vụ rút gọn URL có thể bị kẻ gian tấn công - Ảnh chụp màn hình

Martin Georgiev, một nhà nghiên cứu bảo mật độc lập, và Vitaly Shmatikov, giáo sư tại Trường Cornell Tech (Mỹ) đã phát hiện ra rằng các URL được tạo ra với một cấu trúc có thể dự đoán được. Cấu trúc này có thể được sử dụng để tìm ra URL đầy đủ, và cuối cùng duyệt qua các tập tin khác trên tài khoản của người sử dụng. Hơn nữa, khi nhóm nghiên cứu này tiến hành thử nghiệm, họ tìm thấy một số tập tin mà ở đó có thể truy cập. Điều này có nghĩa rằng họ có thể dễ dàng xóa chúng, hoặc nếu nguy hiểm hơn là đưa mã độc vào tập tin này.

Hãy tưởng tượng tải về một tập tin mà bạn đã lưu trên OneDrive và sau đó phát hiện ra rằng chính nó đã gây ra một số vấn đề nghiệm trong trên máy tính của bạn. Bạn sẽ không bao giờ nghĩ rằng một người nào đó đã có thể sửa đổi tập tin khi đang lưu trữ đám mây, và sẽ là một cú sốc khi phát hiện ra điều đó.

Microsoft OneDrive không phải là dịch vụ duy nhất mà các nhà nghiên cứu phát hiện ra vấn đề với URL rút gọn. Theo các nhà nghiên cứu thì liên kết Google Maps cũng dễ bị tấn công ở thời điểm nghiên cứu. Họ đã có thể quét 5 ký tự trong liên kết rút gọn và từ đó kiểm tra dữ liệu như tên người dùng, tuổi và con đường mà người dùng lên kế hoạch di chuyển.

Không nên quá tin tưởng vào các liên kết rút gọn - Ảnh: AFP

Google đã nhanh chóng phản ứng với phát hiện mới của nhóm nghiên cứu bằng cách tăng số ký tự lên từ 11-12 và thực hiện các biện pháp để ngăn chặn hoạt động quét URL của họ.

Đối với Microsoft, ngay sau khi được liên lạc về lỗ hổng xuất hiện trong dịch vụ của mình, họ đã nhanh chóng vô hiệu hóa liên kết rút gọn trong OneDrive. Công ty không tuyên bố rằng hoạt động này dựa vào báo cáo từ nhóm nghiên cứu, nhưng việc vô hiệu hóa liên kết trong OneDrive cho thấy Micrsoft cũng đã quan tâm đến báo cáo.

Trên đây là hai trong số các dịch vụ hỗ trợ rút gọn URL phổ biến bị dính lỗ hổng, vì vậy nó được xem như là một cảnh báo tốt về sự nguy hiểm tiềm tàng của URL rút gọn.