Bài phỏng vấn Vladimir Palant về việc công bố lỗ hổng trong các ứng dụng bảo mật Hàn Quốc

Nội dung phỏng vấn bằng văn bản được thực hiện vào tháng 1 về việc Vladimir Palant công bố nhiều lỗ hổng trong các ứng dụng bảo mật của Hàn Quốc:

• "Trong email gửi cho The Readable, nhóm phân tích lỗ hổng của Cơ quan Internet và An ninh Hàn Quốc cho biết sau khi đánh giá các vấn đề bảo mật do nhà nghiên cứu an ninh mạng báo cáo, họ kết luận đây không phải là các lỗ hổng rủi ro cao có thể gây ra thiệt hại nghiêm trọng."
• Một quan chức của Viện An ninh Tài chính, đơn vị đang điều tra sát sao vấn đề này, cho biết: "Chúng tôi đánh giá khả năng lỗ hổng này bị kẻ tấn công khai thác ngoài thực tế là thấp." "Dù vậy, bất kể mức độ tác động ra sao, đây vẫn là lỗ hổng cần phải được xử lý."
• Palant cảnh báo: "Chỉ còn là vấn đề thời gian trước khi một số tội phạm phát hiện ra các ứng dụng này và bắt đầu khai thác chúng."
• Palant khẳng định: "Không thể kỳ vọng các doanh nghiệp sẽ hành xử có đạo đức và xây dựng phần mềm an toàn với thiện chí." Ông nhấn mạnh rằng điều quan trọng là các nhà nghiên cứu độc lập phải xem xét các lỗ hổng bảo mật trong những ứng dụng quan trọng.

Bản dịch tiếng Hàn: https://github.com/alanleedev/KoreaSecurityApps/…

[dodok8]

Ý là lỗ hổng đã được công khai rất rõ, nhưng xác suất thực sự bị khai thác trong thực tế lại thấp thì điều đó có nghĩa là gì?

[anonhacker]

Cụm "khả năng bị khai thác thực tế thấp" là câu trả lời thường thấy khi hỏi vì sao mức thưởng trong chương trình bug bounty của KISA lại thấp. Theo tiêu chuẩn của họ, chỉ khi có thể dẫn đến thực thi mã tùy ý do memory corruption thì mới là lỗ hổng rủi ro cao và có khả năng bị khai thác lớn.

Có lẽ vì ông Palant là người nước ngoài nên không thể nhận tiền thưởng báo cáo lỗ hổng, nhưng người Hàn Quốc nếu báo cáo những lỗ hổng bảo mật như vậy cho KISA thì có thể nhận tiền thông qua chương trình bug bounty.

Vậy thì người Hàn Quốc báo cáo lỗ hổng vừa được trả tiền (tất nhiên việc từng tồn tại lỗ hổng như vậy có lẽ cũng sẽ bị âm thầm chôn vùi thôi), thế tại sao một người nước ngoài lại công khai viết về vấn đề này (...)

[tesha001]

Xem qua liên kết bản dịch tiếng Hàn thì có câu: "Người liên quan này giải thích rằng trong trường hợp này cần nhiều điều kiện tiên quyết khác nhau, chẳng hạn như dụ người dùng vào một trang web phishing được dựng rất tinh vi. Ngoài ra, ngay cả khi exploit được triển khai thành công thì khả năng dẫn đến thiệt hại nghiêm trọng cũng thấp."

Suy ra cảm giác đại khái là

'Cửa không khóa, nhưng con đường để tới được cánh cửa đó rất gian nan'
Có vẻ đây không phải là một câu trả lời hay cho lắm.