Hướng dẫn An toàn: Làm thế nào để Phòng ngừa Lỗ hổng Ví Trình duyệt MetaMask?

原文標題：《了解如何避免 MetaMask 瀏覽器錢包安全漏洞的影響》

原文來源：DeFi 之道

註：北京時間 6 月 16 日凌晨，ConsenSys 開發者 Dan Finlay  披露了 MetaMask 瀏覽器擴展錢包存在的安全漏洞，這可能導致一小部分用戶的錢包資金面臨被盜風險，對此問題，他給出了一些安全建議。

Halborn 的研究人員發現了一種情況，即在極少數情況下可以在磁盤上發現未加密的用戶密鑰，該問題已經在 10.11.3 版本的 MetaMask 瀏覽器擴展錢包以及更高版本的錢包中得到了修復。

背景

Halborn 的安全研究人員披露了一個實例，在某種情況下，可以從被攻擊的計算機磁盤中提取 MetaMask 等 Web 錢包使用的助記詞短語。

以下內容不會影響 MetaMask 移動端錢包用戶，而只會影響一小部分 MetaMask 瀏覽器擴展用戶以及其他瀏覽器/擴展錢包用戶。我們已經針對這些問題實施了緩解措施，因此對於 10.11.3 版本以及更高版本的 MetaMask 瀏覽器擴展錢包用戶來說，這些不應該是問題。注意，如果以下三個條件都適用於你，那你的錢包可能會面臨風險，你應該閱讀以下內容了解後續步驟：

你的硬盤未加密；你已將助記詞短語導入到設備上的 MetaMask 瀏覽器擴展錢包中，而該設備由你不信任的人擁有，或者你的計算機已經被駭。在導入過程中，你使用了「顯示助記詞短語」（Show Secret Recovery Phrase）複選框在螢幕上查看你的助記詞。（如下圖所示）

影響

這會影響：

1. Tất cả các hệ điều hành máy tính để bàn và trình duyệt mà chúng tôi đã thử nghiệm;

2. Chúng tôi đã thử nghiệm trên trình duyệt Google Chrome, Chromium và Firefox trên Windows, macOS và Linux;

3. Tất cả các phiên bản của ứng dụng mở rộng MetaMask trên tất cả các phiên bản trình duyệt (trước v10.11.3).

Nhưng lỗi này sẽ không ảnh hưởng đến ví MetaMask trên thiết bị di động.

Cụm từ ghi nhớ cuối cùng sẽ được xóa, nhưng hiện tại chúng tôi không thể đảm bảo thời điểm xóa sẽ diễn ra.

Lỗi này có thể ảnh hưởng nghiêm trọng nhất đối với người dùng bị tấn công hoặc mất thiết bị ngay sau khi nhập cụm từ ghi nhớ vào MetaMask.

Nếu bạn đáp ứng tất cả các điều kiện trên, những người có quyền truy cập vào máy tính của bạn có thể truy cập vào cụm từ ghi nhớ của bạn, vì vậy bạn có thể cần xem xét chuyển tiền khỏi các tài khoản này để đảm bảo an toàn. Chúng tôi đã chuẩn bị hướng dẫn chuyển tiền, việc sử dụng bất kỳ công cụ chuyển tiền bên thứ ba nào đều có rủi ro do người dùng tự chịu.

Lưu ý rằng những người hoặc phần mềm độc hại có thể truy cập vật lý vào máy tính của bạn có thể tận dụng lỗ hổng này để tấn công, và nếu thiết bị của bạn bị tấn công bởi phần mềm độc hại, một số cuộc tấn công sẽ không thể ngăn chặn (ví dụ: keylogger, truy cập bộ nhớ trực tiếp và kiểm soát chương trình).

Nếu bạn nghĩ rằng bạn có thể bị ảnh hưởng bởi cuộc tấn công này

Nếu máy tính của bạn có thể bị ảnh hưởng bởi những người mà bạn không tin tưởng, chúng tôi khuyên bạn nên kích hoạt "Mã hóa toàn bộ ổ" trên hệ điều hành của mình. Ngoài ra, nếu tài sản của bạn được quản lý bởi một ví cứng, bạn sẽ không bị ảnh hưởng bởi lỗ hổng này.

Người dùng bị ảnh hưởng nên xem xét chuyển tiền từ tài khoản ví cũ sang địa chỉ tài khoản ví mới.

Phần còn lại của tài liệu này sẽ cung cấp một số thông tin chi tiết thêm và đề xuất về cách bảo vệ ví của bạn một cách tốt nhất. Chúng tôi sẽ tiết lộ thêm chi tiết về bản chất của vấn đề sau này để các nhà phát triển phần mềm khác có thể tránh được các vấn đề này, nhưng hiện tại chúng tôi muốn cảnh báo người dùng để giảm thiểu nguy cơ mất cắp.

Tôi an toàn như thế nào?

Như đã đề cập ở trên, nếu máy tính của bạn đã bị đe dọa (dù là về mặt vật lý hay phần mềm độc hại), bạn không thể đảm bảo tính an toàn của bất kỳ chương trình nào đang chạy trên máy tính đó.

Đây là vấn đề mà nhóm phát triển của Trình quản lý mật khẩu phổ biến 1 Password đã công nhận và thảo luận, Giám đốc Kiến trúc An ninh hàng đầu của 1 Password, Jeffrey Goldberg, đã giải thích sự khó khăn trong việc giải quyết vấn đề này, ông nói:

「Đây là một vấn đề được biết đến rộng rãi, trước đây vấn đề này đã được thảo luận công khai nhiều lần, nhưng bất kỳ giải pháp nào dường như hợp lý cũng có thể tệ hơn vấn đề ban đầu.」

Nếu bạn đang sử dụng trình quản lý mật khẩu, bạn có thể an toàn hơn một chút so với người không sử dụng trình quản lý mật khẩu, nhưng ngay cả khi bạn sử dụng trình quản lý mật khẩu, bạn cũng không thể tránh khỏi vấn đề lỗ hổng.

Kết luận

Cuối cùng, chúng tôi nhận thấy rằng tính bảo mật của tính năng mã hóa mật khẩu của chúng tôi sẽ bị ảnh hưởng một phần do hành vi của trình duyệt. Vì trình duyệt chính nó xem xét rằng cuộc tấn công truy cập vật lý vượt ra ngoài mô hình đe dọa của mình, và ví tiền của chúng tôi hiện tại được xây dựng trên trình duyệt, nên thực tế chứng minh rằng việc giảm thiểu quy mô cuộc tấn công này đòi hỏi chi phí nhân lực lớn và có thể không hoàn toàn loại bỏ cuộc tấn công này. Cuối cùng, có vẻ như chỉ có "Mã hóa toàn bộ ổ đĩa" mới có thể cung cấp cho máy tính của bạn tính an toàn truy cập vật lý mạnh mẽ.

Nói chung, máy tính/trình duyệt v.v. nên lưu trữ dữ liệu văn bản tạm thời hoặc vĩnh viễn ở mức độ nào đó. Tuy nhiên, vì tầm quan trọng của việc bảo vệ cụm từ lưu ý của bạn, vì vậy cần chú ý đến tình huống cụ thể này để người dùng có thể thực hiện hành động tương ứng.

May mắn thay, dường như mật khẩu vẫn cung cấp một mức độ đáng kể của tính bảo mật. Chúng tôi đã phát hiện ra rằng chỉ trong những tình huống rất cụ thể thì mới có thể trích xuất cụm từ lưu ý, và chúng tôi đã có thể giới thiệu các biện pháp bảo vệ mới trong khoảng thời gian chờ đợi của Halborn và chúng tôi kế hoạch triển khai thêm biện pháp bảo vệ để giảm thiểu rủi ro này hơn nữa. Điều này có nghĩa là nếu bạn không sử dụng ví tiền của riêng mình (hoặc đặt máy tính của bạn vào tay người khác), thì việc khóa ví vẫn là một thói quen tốt.

Một số điều quan trọng:

1. Hãy dành thời gian kích hoạt mã hóa toàn bộ ổ đĩa trên máy tính của bạn. Điều này là cách duy nhất để đảm bảo máy tính của bạn không thể bị trích xuất tất cả nội dung bởi người có quyền truy cập vật lý. Chúng tôi cũng khuyên người dùng sử dụng ví tiền phần cứng như một biện pháp an ninh bổ sung.

2. Xóa dữ liệu cache trình duyệt của bạn (nghiên cứu của chúng tôi chỉ ra rằng điều này có thể hữu ích đối với một số người dùng trong một số tình huống)

3. Hãy nhớ rằng đảm bảo an toàn cho máy tính là trách nhiệm của bạn, nếu hệ thống mà nó đang chạy bị đe dọa, không có ví tiền hay phần mềm nào có thể đảm bảo an toàn cho chính nó, hãy dành thời gian học cách ngăn chặn phần mềm độc hại khỏi máy tính.

Dưới đây là một số hướng dẫn để đảm bảo an toàn cho các hệ điều hành khác nhau:

Windows

‌Mac

‌iOS‌

Linux‌

Cuối cùng, chúng tôi muốn cảm ơn nhóm của Halborn đã tiết lộ vấn đề này một cách có trách nhiệm, và cảm ơn họ vì tất cả công việc khó khăn mà họ đã làm để bảo vệ ngành này, chúng tôi trao cho Halborn một phần thưởng trị giá 50,000 USD cho sự phát hiện của họ.

Liên kết đến bài gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia