markdown:
Trong một phân đoạn video mới được công bố, cựu nhân viên hợp đồng của tình báo Mỹ Edward Snowden giải thích về quyết định công khai những chương trình giám sát bí mật của Mỹ.
Tờ Guardian của Anh công bố phân đoạn video này hôm thứ Ba, một phần trong video phỏng vấn ngày 6 tháng 6 thực hiện tại Hồng Kông, nơi ông Snowden đang lẩn trốn hồi tháng trước. Sau đó ông đã bay sang Nga và đang tá túc tại khu vực quá cảnh của một sân bay ở Moscow trong lúc đang tìm một nước cho phép tị nạn.
Ông Snowden nói rằng ông biết Mỹ sẽ buộc ông tội hoạt động gián điệp vì báo động cho kẻ thù của đất nước biết về việc theo dõi. Nhưng ông nói Mỹ cũng có lỗi vì theo dõi dữ liệu điện thoại của người dân và liên lạc Internet với những kẻ có thể là khủng bố.
Snowden nói rằng ông không "muốn sống trong một thế giới mà tất cả mọi thứ tôi nói, tất cả mọi thứ tôi làm, tất cả mọi người mà tôi nói chuyện, mọi sự thể hiện tính sáng tạo hay tình yêu hay tình bạn đều bị ghi lại."
Ông nói rằng ông công bố những chi tiết về hoạt động theo dõi được Cơ quan An ninh Quốc gia bí mật thực hiện bởi vì ông cảm thấy giới chức chính phủ không tự hạn chế lại tầm mức hoạt động do thám.
Mỹ đang tìm cách dẫn độ Snowden về tội gián điệp, nhưng Nga đã từ chối trao trả và hối thúc ông rời đi nước khác.
Tổng thống Venezuela Nicolas Maduro cho biết nước ông đã nhận được thỉnh cầu xin tị nạn chính thức từ Snowden, và Nicaragua cũng vậy. Ông Maduro cho biết ông Snowden sẽ phải tự quyết định ông có muốn bay tới Venezuela hay không, và nếu có thì khi nào.
Nhưng việc ông Snowden rời khỏi Moscow là một vấn đề phức tạp vì hộ chiếu của ông đã bị Mỹ hủy bỏ.
Cơ quan An ninh Quốc gia cho biết những thông tin mà họ thu thập được đã giúp phá vỡ những cuộc tấn công khủng bố.
Tờ Guardian của Anh công bố phân đoạn video này hôm thứ Ba, một phần trong video phỏng vấn ngày 6 tháng 6 thực hiện tại Hồng Kông, nơi ông Snowden đang lẩn trốn hồi tháng trước. Sau đó ông đã bay sang Nga và đang tá túc tại khu vực quá cảnh của một sân bay ở Moscow trong lúc đang tìm một nước cho phép tị nạn.
Ông Snowden nói rằng ông biết Mỹ sẽ buộc ông tội hoạt động gián điệp vì báo động cho kẻ thù của đất nước biết về việc theo dõi. Nhưng ông nói Mỹ cũng có lỗi vì theo dõi dữ liệu điện thoại của người dân và liên lạc Internet với những kẻ có thể là khủng bố.
Snowden nói rằng ông không "muốn sống trong một thế giới mà tất cả mọi thứ tôi nói, tất cả mọi thứ tôi làm, tất cả mọi người mà tôi nói chuyện, mọi sự thể hiện tính sáng tạo hay tình yêu hay tình bạn đều bị ghi lại."
Ông nói rằng ông công bố những chi tiết về hoạt động theo dõi được Cơ quan An ninh Quốc gia bí mật thực hiện bởi vì ông cảm thấy giới chức chính phủ không tự hạn chế lại tầm mức hoạt động do thám.
Mỹ đang tìm cách dẫn độ Snowden về tội gián điệp, nhưng Nga đã từ chối trao trả và hối thúc ông rời đi nước khác.
Tổng thống Venezuela Nicolas Maduro cho biết nước ông đã nhận được thỉnh cầu xin tị nạn chính thức từ Snowden, và Nicaragua cũng vậy. Ông Maduro cho biết ông Snowden sẽ phải tự quyết định ông có muốn bay tới Venezuela hay không, và nếu có thì khi nào.
Nhưng việc ông Snowden rời khỏi Moscow là một vấn đề phức tạp vì hộ chiếu của ông đã bị Mỹ hủy bỏ.
Cơ quan An ninh Quốc gia cho biết những thông tin mà họ thu thập được đã giúp phá vỡ những cuộc tấn công khủng bố.

Cache-Control: public, max-age=291

Set-Cookie: SessionID=2947552172.20480.0000; path=/; Httponly; Secure


markdown:
Trân Văn là bút danh của một nhà báo có 28 năm làm việc ở nhiều vị trí khác nhau (Cộng tác viên, Phóng viên, Biên tập viên, Thư ký Tòa soạn) của một số đài truyền hình, đài phát thanh, nhật báo, tuần báo, báo điện tử tại Việt Nam và Hoa Kỳ.
[](/a/4357184.html)
Trân Văn là bút danh của một nhà báo có 28 năm làm việc ở nhiều vị trí khác nhau (Cộng tác viên, Phóng viên, Biên tập viên, Thư ký Tòa soạn) của một số đài truyền hình, đài phát thanh, nhật báo, tuần báo, báo điện tử tại Việt Nam và Hoa Kỳ.

WARC-Type: response

Content-Type: application/http; msgtype=response

WARC-Identified-Payload-Type: text/html

Connection: close

X-UA-Compatible: IE=edge

Cache-Control: public, max-age=300

Vary: Accept-Encoding

Set-Cookie: SessionID=2897220524.20480.0000; path=/; Httponly; Secure

X-XSS-Protection: 1; mode=block

Content-Language: vi

Content-Type: text/html; charset=utf-8


markdown:
Phòng ngủ là nơi bạn cảm thấy thư giãn nhất sau một ngày làm việc mệt mỏi và căng thẳng, làm thế nào để tạo cho không gian phòng ngủ được ấp cúng cũng như thoải mái nhất. Đây có lẽ là câu hỏi của rất nhiều người. Bạn hãy để thảm trải sàn phòng ngủ giúp đỡ việc này nhé.
Bạn hoàn toàn có thể thiết kế,
[ phòng ngủ theo gu thẩm mỹ cũng như sở thích của mình, không cần quá quan tâm đến người khác nghĩ gì vì họ sẽ chẳng bao giờ vào đó đâu nhé, vì đây là chốn riêng tư của bạn. Bạn có thể lựa chọn thảm trải sàn phù hợp với nội thất của căn phòng hoặc theo cá tính của bạn đều được nhé. thảm trang trí](http://thegioithamdep.com/tham-trang-tri)
Được cấu tạo với nhiều chất liệu khác nhau như: Nỉ, len, sợi bông tổng hợp, thảm trải sàn phòng ngủ mang lại cho bạn cảm giác êm ái, dễ chịu và ấm cúng nhất là với mùa đông lạnh giá.
Hiện nay, thảm trải sàn phòng ngủ hay
[ có rất nhiều màu sắc cũng như họa tiết khác nhau từ cổ điển đến hiện đại, do đó, người sử dụng có nhiều lựa chọn hơn. Bên cạnh đó, thảm có nhiều mức khác nhau từ thảm trải sàn giá rẻ đến thảm trải sàn cao cấp, bạn có thể thoải mái lựa chọn thảm theo túi tiền của mình nhé. thảm trải sàn phòng khách](http://thegioithamdep.com/tham-trai-san-phong-khach)
Thông số kỹ thuật của
[ C0038 thảm trải sàn phòng ngủ](http://thegioithamdep.com/tham-trai-san-phong-ngu)
Chất liệu : Sợi mềm tổng hợp.
Kích thước (cm): 140×190, 160×220, 200×290
Khối lượng sợi: 3500 kg/m2
Mật độ của sợi: 200,000 điểm /m2
Chiều cao của sợi: 30 mm
Xuất xứ: Thổ Nhĩ Kỳ

WARC-Truncated: length

Server: nginx

Content-Type: text/html; charset=UTF-8

X-Proxy-Cache: MISS


markdown:
Giày xăng đan nữ: 4 mẫu
Giày Sandal tại ZSTYLE luôn cập nhật những mẫu mã mới nhất hiện nay với kiểu dáng đơn giản nhưng vô cùng thu hút. Một đôi giày Xăng-đan là vật dụng không thể thiếu trong tủ giày của bất kỳ cô gái nào!
Giày xăng đan là mẫu giày rất được nhiều người ưa chuộng bởi sự đơn giản nhưng bắt mắt, tiện dụng. Giày xăng đan thoáng mát, dễ khoe khóe léo làn da chân, các ngón chân xinh xắn. Mẫu này cực kỳ thích hợp để mang trong những ngày thời tiết nóng bức. Mang giày xăng đan, người mang sẽ ít bị ẩm chân, nấm chân hơn so với các mẫu giày bít kín khác.
Giày xăng đan tại ZSTYLE được làm bằng chất liệu cao cấp, với nhiều kiểu dáng độc đáo, ấn tượng. Có nhiều mẫu thiết kế xăng đan cho các cô nàng lựa chọn như là: giày xăng đan dạng dây, giày xăng đan kiểu Ai Cập, giày xăng đan đế vuông, đế hình chữ nhật, đế bằng thấp để đi dạo chơi, đến công sở, tham dự các bữa tiệc v.v.
![Giày Xăng Đan trẻ trung, tiện lợi với ZSTYLE Giày Xăng Đan trẻ trung, tiện lợi với ZSTYLE](/hoanghung/5/images/giay-xang-dan-nu.jpg)
Với đa dạng mẫu mã, thiết kế sáng tạo, chất liệu giày tốt, ZSTYLE sẽ mang đến các sản phẩm giày xăng đan khiến các cô nàng luôn tự tin sải bước khắp mọi nơi.
ZSTYLE
**không những mang đến cho khách hàng các mẫu giày sandal tốt, mà còn đưa ra những mẫu mã** [hay giày boot hiện đại kèm với những tư vấn thời trang, bí quyết phối giày với trang phục cho mỗi dịp khác nhau, sao cho phù hợp, tôn dáng nhất.](https://www.zstyle.vn/giay-bup-be-nu/) **giày búp bê**
Giày nữ ZSTYLE - thế giới của giày và phong cách thời trang thanh lịch, hiện đại.

Pragma: no-cache

Cache-Control: no-store, no-cache, must-revalidate, post-check=0, pre-check=0

Vary: Accept-Encoding,User-Agent

Content-Type: text/html


markdown: Đăng tin

X-Cache: ZIP

Server: Chotot

Accept-Ranges: bytes

X-Frame-Options: ALLOW-FROM http://tuoitre.vn

Vary: User-Agent

X-Powered-By: Chotot


markdown:
###### Lời mở đầu
Tình trạng thiếu bảo mật, thiếu kiểm soát riêng tư của người dùng đang xảy ra trên rất nhiều doanh nghiệp ở Việt Nam và cả trên thế giới. Vấn đề này không mới, không phải khó khắc phục, nhưng đã và đang bị xem nhẹ. Và mục đích chính của bài viết này chính là cảnh báo những doanh nghiệp, tổ chức cũng như người dùng hãy chú ý nhiều hơn đến vấn đề
**An toàn thông tin** cấp bách hiện nay.
Vì tôn trọng và không muốn làm giảm uy tín của công ty/tổ chức này. Tôi xin giấu tên và gọi họ là
**X**.
###### Tôi đã tình cờ phát hiện lổ hổng này như thế nào?
Tôi là một người dùng của X, và một hôm khi sử dụng ứng dụng Android của
**X** trên điện thoại của mình, tôi phát hiện rằng mình có thể truy cập vào thông tin nhạy cảm của người dùng khác như **email, số điện thoại, địa chỉ,...** Đây là một tính năng của ứng dụng, cho phép người dùng liên lạc với nhau, có lẽ không ai chú ý đến. Tuy nhiên, theo phán đoán và kinh nghiệm, chức năng này nếu không được bảo mật một cách đúng đắn, **hacker** có thể làm giả các **request** hệt như ứng dụng tới server của **X** và từ đó lấy toàn bộ thông tin người dùng. **X** có số lượng người dùng rất lớn - **hàng TRIỆU**, nên nếu điều này là khả thi, đây thực sự là một lổ hổng bảo mật nghiêm trọng.
###### Từ phán đoán đến thực tế
Bắt đầu với suy nghĩ trên, tôi tiến hành phân tích các request mà ứng dụng của
**X**. Tôi sử dụng [ để chạy ứng dụng ARC Welder](https://developer.chrome.com/apps/getstarted_arc) **X**trên máy tính và [để capture tất cả request đi ra từ ứng dụng đó. Cấu hình xong xuôi, thử tiến hành mở ứng dụng lên và sử dụng một vài tính năng cơ bản, Fiddler lập tức bắt được nhiều thông tin đáng chú ý sau:](http://www.telerik.com/fiddler) **Fiddler** ![ Fiddler capture X android app request](/content/images/2017/02/fiddler.png)
**, thử copy url của những trang này này và truy cập bằng trình duyệt thử xem thì còn đáng kinh ngạc hơn:** [https://x-server-api/profile/id-người-dùng](https://x-server-api/profile/id-người-dùng) ![ Api get user public informations](/content/images/2017/02/api-get-user-information.png)
- Lấy thông tin người dùng chỉ cần ID, mà ID lại là ID tự tăng bởi Database (auto_increment) nên chỉ cần cho quét từ 1 đến max, hacker có thể lấy tất cả thông tin người dùng.
**API**này không hề có một phương thức xác minh nào, kể cả authorization token hay authorization header,... Thậm chí API truyền tham số qua phương thức **GET**chứ không phải **POST**.
Tới thời điểm này, thì phán đoán của tôi hoàn toàn chính xác. Thật nguy hiểm, những thông tin này nếu rơi vào tay kẻ xấu sẽ gây hậu quả nghiêm trọng.
###### Xác định bao nhiêu người dùng bị ảnh hưởng
Lổ hổng nghiêm trọng như vậy, nhưng câu hỏi đặt ra là đã có bao nhiêu người dùng thông qua
**X** mà bị lộ hết thông tin? Để trả lời câu hỏi này, tôi tiến hành xác định bằng phương thức **đoán mò** kinh điển.
Do ID trong API lấy thông tin trên là ID tự tăng bởi Database (cứ thêm 1 người dùng thì ID tăng lên 1), nên ta có thể dễ dàng xác định số lượng bị ảnh hưởng dễ dàng bằng cách tìm
**Min ID** và tìm **Max ID**.
Tìm
**Min ID** thì đơn giản, cho chạy từ 1 và tăng dần cho tới khi API trả về thông tin. Và ngay từ con số 1, API đã cho thấy có người dùng (có lẽ là người dùng đầu tiên của **X**).
Tiếp tục tìm
**Max ID**, **X** là công ty lớn nên tôi mạnh dạn thử ngay với con số 1 triệu (1000000), API vẫn không báo lỗi, tăng lên 2 triệu, vẫn không luôn, chà chà sao nhiều vậy nhỉ, và cuối cùng API chỉ báo lỗi với con số **5 TRIỆU**. Điều này có nghĩa hơn **4 TRIỆU** người dùng tại Việt Nam bị ảnh hưởng (con số chính xác hơn 4 triệu 100 ngàn). Một con số cực khủng, nếu so sánh với số lượng người dùng Internet tại Việt Nam [(nguồn)](http://bnews.vn/viet-nam-hien-co-gan-52-trieu-nguoi-dung-internet/16913.html) tính đến năm 06/2016 là 52 triệu người dùng thì cứ 13 người sử dụng Internet tại Việt Nam có 1 người đã bị lộ thông tin.
###### Truy tìm lổ hổng
Các ứng dụng trên Android có thể dễ dàng giải mã và xem code gốc, nên tôi tiến hành giải nén file
**APK** của ứng dụng **X** ra xem xét.
Ta chỉ cần quan tâm 2 file là
classes.dex và
classes2.dex, đây là 2 file lưu code java dưới dạng binary. Tiếp tục tôi giải nén 2 file này bằng công cụ
[. Giải nén xong được một loạt rất nhiều các file code java, nếu xem hết tốn rất nhiều thời gian nên tôi quyết định sử dụng công cụ dex2jax](https://sourceforge.net/projects/dex2jar) **grep**để tìm file nào chứa đoạn code liên quan tới lổ hổng trên. ![ Grep find vulnerable files 1](/content/images/2017/02/grep.png)
![ Grep find vulnerable files 2](/content/images/2017/02/grep2.png)
Config.java,
ApiConfig.javavà
XService.java, thử mở 3 file này bằng
Sublime Textđể xem xét kĩ hơn.
Đầu tiên là file
Config.java, file này cấu hình về đường dẫn tới Server API cùng với các authorization key (không hiểu sao API gây lổ hổng trên lại không sử dụng cái này để tăng bảo mật?)
Tiếp theo là file
ApiConfig.java, đúng hệt như tên của nó, file này chứa những cấu hình liên quan tới API của
**X**.
Cuối cùng, file quan trọng nhất mà ta cần xem xét đó là file
XService.java, file này chứa hàng loạt các phương thức tương tác với
**API**. Và tôi dễ dàng tìm phương thức chúng ta quan tâm nhất ở đây:
Phương thức này được truyền vào ID của người dùng (
String str) và Request tới API (URL API được cấu hình ở 2 file trên). Đây chính là nơi gây ra sự thất thoát thông tin.
###### Giải pháp:
- Thay đổi việc sử dụng ID tự tăng bằng ID tạo ra ngẫu nhiên cho từng người dùng (trên server của
**X**đã có **hash_id**làm được điều này nhưng không hiểu sao không dùng?).
- Loại bỏ bớt các thông tin nhạy cảm của người dùng qua API, chỉ giữ lại những thứ cần thiết.
- Thêm tính năng chỉ gửi những thông tin nhạy cảm cho người khác nếu người dùng cho phép.
- Thêm các
**authorization key, authorization header**cần thiết cho API.
- Giới hạn số lần gọi API này đối với mỗi IP.
**Obfuscate code**để khiến hacker khó đọc code.
###### Những câu hỏi trăn trở về An ninh mạng tại Việt Nam qua vụ việc này
**Câu hỏi 1: Liệu thông tin của chúng ta có được an toàn?**
Tôi là một người nghiên cứu về bảo mật, áp dụng nhiều phương pháp và thói quen để có thể bảo mật thông tin cho chính mình. Nhưng chỉ cần một trang web, một ứng dụng mà tôi sử dụng bị tấn công, thì kẻ xấu có thể dễ dàng có được những thông tin này và tiến hành tấn công tôi dù tôi đã áp dụng nhiều phương pháp bảo mật đi chăng nữa. Vậy, còn bạn thì sao? Bạn có phải là người may mắn không có trong danh sách 4 triệu người dùng kia và vô vàn những vụ lộ thông tin khác?
**Câu hỏi 2: Liệu doanh nghiệp, tổ chức ở Việt Nam có chú ý tới An ninh mạng?**
Vấn đề lộ thông tin người dùng qua API không phải là lần đầu xảy ra. Những vụ như Lozi lộ
**2 triệu** người dùng do anh [ phát hiện hay tương tự với con số Phạm Huy Hoàng](https://toidicodedao.com/2016/12/06/lozi-vn-lo-du-lieu-2-trieu-nguoi-dung/) **3 triệu**do Blogger [tìm ra và bây giờ đã lên tới con số](https://junookyo.blogspot.com/2016/10/ro-ri-3-trieu-thong-tin-ca-nhan.html) **Juno_Okyo** **4 triệu**cho thấy thực trạng đáng báo động về sự kém quan tâm của doanh nghiệp, tổ chức với vấn đề An toàn, bảo mật thông tin. **Câu hỏi 3: Câu hỏi dành cho mọi người**
Ở đâu đó ngoài kia, trên đà phát triển mạnh của công nghệ thông tin hiện nay, còn bao nhiêu những lổ hổng tương tự như vậy vẫn đang còn tồn tại?
###### POC (Proof of Concept)
###### Timeline
**15:11 19/02/2017:**Gửi mail báo cáo lổ hổng tới X. **11:01 20/02/2017:**X liên hệ qua điện thoại, trao đổi rằng lổ hổng đang được kĩ thuật xem xét và vá lỗi. **17:05 23/02/2017:**Sau hơn 3 ngày, lổ hổng nghiêm trọng này vẫn chưa được X vá. Hành động duy nhất của X là obfuscate code ứng dụng android và cập nhật (thậm chí không hề chỉnh lại code). Tuy nhiên phần chính gây nên lổ hổng là **API**vẫn chưa được áp dụng bất kì phương pháp bảo mật nào. Vì lí do đó tôi quyết định đăng tải bài viết này để cảnh báo người dùng đang bị đe dọa bởi lổ hổng. **16:30 24/02/2017:**Gặp trực tiếp đại diện của **X**trên văn phòng của **X**và trao đổi một số thông tin liên quan.

Server: cloudflare

Cache-Control: public, max-age=0

X-Powered-By: Express