Đánh giá ban đầu về bảo mật ví máy tính để bàn Web3
Tuyển chọn TechFlowTuyển chọn TechFlow
Đánh giá ban đầu về bảo mật ví máy tính để bàn Web3
Báo cáo này trình bày chi tiết và kết luận của phân tích kỹ thuật nhằm nâng cao nhận thức an toàn cho mọi thành viên Web3.
Chuyên sâu báo cáo Web3Tác giả: CertiK
Ví máy tính để bàn đóng vai trò then chốt trong hệ sinh thái Web3.0, cung cấp giải pháp đáng tin cậy giúp người dùng quản lý tài sản kỹ thuật số một cách an toàn trong mạng phi tập trung. Báo cáo từ Cointelegraph[1] cho biết, theo quan sát của các nhà phân tích sàn giao dịch Bitfinex, đến ngày 1 tháng 12 năm 2023, số lượng người sở hữu tiền kỹ thuật số trên toàn cầu đã tăng mạnh, từ 432 triệu vào đầu năm lên 575 triệu. Trong thị trường mới nổi này, ví máy tính để bàn chiếm một phần quan trọng.
Cùng với sự phát triển nhanh chóng của ngành Web3.0, tầm quan trọng của ví máy tính để bàn trong việc bảo vệ tài sản người dùng ngày càng được nhấn mạnh. Tuy nhiên, sau khi phân tích kỹ thuật sâu rộng nhiều ví máy tính để bàn, đội ngũ an ninh CertiK đã phát hiện một số lỗ hổng an ninh tiềm tàng có thể khiến người dùng đối mặt với rủi ro cao hơn trong quá trình sử dụng. Báo cáo này trình bày chi tiết và kết luận của phân tích kỹ thuật nhằm nâng cao nhận thức về an ninh cho tất cả thành viên Web3.0. Chúng tôi mong muốn qua báo cáo này nhắc nhở người dùng luôn cảnh giác cao độ khi sử dụng ví máy tính để bàn, bảo vệ tài sản kỹ thuật số của mình.
Những mối nguy từ chuỗi cung ứng
Ví máy tính để bàn là công cụ quan trọng giúp người dùng Web3.0 quản lý và bảo vệ tài sản kỹ thuật số. Tuy nhiên, trong bối cảnh tấn công chuỗi cung ứng[2], độ an toàn của chúng thường bị xem nhẹ. Tấn công chuỗi cung ứng ám chỉ hành vi tội phạm mạng nhắm mục tiêu vào các nhà cung cấp bên thứ ba, nhà cung cấp dịch vụ hoặc các khâu trong chuỗi cung ứng mà tổ chức mục tiêu phụ thuộc vào. Để ngăn ngừa các sự cố an ninh dạng này, người dùng nên xác minh giá trị băm (hash) của gói cài đặt, kể cả khi tải trực tiếp từ trang web chính thức cũng không nên bỏ qua bước xác minh. Chỉ những gói cài đặt đã qua xác minh như vậy mới được coi là phần mềm an toàn. Tuy nhiên, không phải người dùng nào cũng có khả năng thực hiện xác minh này, đặc biệt khi sử dụng một số ví máy tính để bàn, sự thiếu hụt khả năng tự bảo vệ của người dùng có thể làm tăng nguy cơ bị tấn công.
Cụ thể, một số ví máy tính để bàn vô tình sử dụng các mô-đun hoặc thuật toán tương tự phần mềm cửa hậu, dẫn đến một số phần mềm diệt virus đưa ra cảnh báo sai. Tuy nhiên, trang web chính thức thường giải thích hợp lý cho các cảnh báo sai này, người dùng thiếu khả năng xác minh hash có thể chấp nhận mà không nghi ngờ, coi cảnh báo diệt virus là bình thường. Sự tin tưởng sai lầm này tạo ra nguy cơ tiềm tàng cho phần mềm độc hại giả dạng gói cài đặt ví hợp pháp, khiến người dùng đối mặt với rủi ro lớn hơn.
Như hình dưới đây, 65 phần mềm diệt virus trên VirusTotal đã phân tích tệp tải xuống của một ví máy tính để bàn phổ biến, kết quả cho thấy 19 phần mềm đánh dấu mẫu này là tệp độc hại.
Phân tích này cho thấy tấn công chuỗi cung ứng không chỉ là mối đe dọa lý thuyết. Đối với người dùng, việc thiếu phương tiện kỹ thuật để xác minh tính xác thực của phần mềm có thể khiến họ vô tình tải và cài đặt phần mềm độc hại. Ngay cả gói cài đặt tải từ trang web chính thức cũng có thể kích hoạt cảnh báo phần mềm diệt virus, khiến người dùng khó xác định mức độ an toàn, tiềm ẩn nguy cơ an ninh.
Rủi ro an toàn trong lưu trữ tập tin cục bộ
Trong khảo sát chuyên sâu, chúng tôi phát hiện một số ví máy tính để bàn cho phép người dùng lưu trữ khóa riêng dưới dạng văn bản rõ vì một số mục đích nghiệp vụ nhất định. Hành động này làm tăng đáng kể rủi ro an toàn tài sản kỹ thuật số của người dùng, bởi nếu máy tính bị nhiễm virus hoặc phần mềm độc hại, khóa riêng dạng văn bản rõ sẽ lộ trực tiếp cho kẻ tấn công, gây nguy hiểm cho tài sản kỹ thuật số của họ.
Tập tin cục bộ chưa mã hóa:
Tập tin cục bộ đã mã hóa:
Kể cả khi người dùng sử dụng mã PIN để mã hóa tập tin cục bộ, độ an toàn của khóa vẫn không được đảm bảo đầy đủ trước mối đe dọa phần mềm độc hại. Các ví này dù chạy như ứng dụng máy tính độc lập hay chạy dưới dạng tiện ích mở rộng trình duyệt đều có thể trở thành mục tiêu của phần mềm độc hại. Nhưng người dùng thường tin tưởng chúng do tính tiện lợi và chức năng của ví máy tính để bàn, mà bỏ qua các lỗ hổng an ninh tiềm tàng. So với việc kiểm soát quyền chặt chẽ và cô lập dữ liệu nghiêm ngặt trên thiết bị di động, ví máy tính để bàn tỏ ra tương đối yếu kém trong việc bảo vệ khóa riêng của người dùng. Do đó, người dùng khi sử dụng ví máy tính để bàn phải luôn cảnh giác với tính an toàn của môi trường vận hành, tránh mất mát do lưu trữ không đúng cách hoặc thiết lập không an toàn.
Độ an toàn của thuật toán mã hóa mã PIN
Một vấn đề an ninh khác có hệ số rủi ro cao là nhiều ví máy tính để bàn sử dụng phương thức mã hóa tập tin có lỗ hổng, khiến kẻ tấn công dễ dàng truy cập và giải mã dữ liệu mã hóa của người dùng. Phương thức mã hóa này ám chỉ ví không liên kết việc mã hóa tập tin với thông tin phần cứng của thiết bị. Điều này có nghĩa là dù tập tin đã được mã hóa, kẻ tấn công vẫn có thể chuyển tập tin sang thiết bị khác để giải mã ngoại tuyến, qua đó né tránh các biện pháp bảo vệ an ninh vốn có của thiết bị.
Phân tích sâu hơn cho thấy, một số ví có điểm yếu trong thuật toán chống bẻ khóa bằng lực lượng (brute-force) khi sử dụng mã PIN. Nhiều ví sử dụng số lần lặp băm (hash iteration) trong thuật toán mã hóa thấp hơn nhiều so với tiêu chuẩn ngành. Ví dụ, OWASP[3] khuyến nghị sử dụng 600.000 lần lặp để bảo vệ mật khẩu, Apple đặt 10.000.000 lần lặp cho chuỗi khóa sao lưu, 1Password và LastPass lần lượt sử dụng 650.000 và 600.000 lần lặp. Tuy nhiên, một số ví máy tính để bàn chỉ đặt số lần lặp băm ở mức 5.000, thấp xa các mốc an ninh tiêu chuẩn ngành. Trong trường hợp này, kẻ tấn công có thể lấy được mã PIN của người dùng bằng kỹ thuật bẻ khóa brute-force, ngay cả mật khẩu phức tạp cũng có thể bị phá dễ dàng.
Hơn nữa, trong quá trình kiểm toán, chúng tôi còn phát hiện cơ chế bảo vệ mật khẩu của một số phần mềm ví chưa đủ sức chống lại các cuộc tấn công phức tạp. Kẻ tấn công độc hại thường sẽ đánh cắp dữ liệu mã hóa của người dùng trước, sau đó sử dụng nguồn lực tính toán mạnh mẽ để giải mã trong môi trường ngoại tuyến. Do một số ví máy tính để bàn có lỗ hổng trong lựa chọn thuật toán mã hóa, dữ liệu mã hóa của chúng dễ bị giải mã hơn. Điều này không chỉ khiến tài sản kỹ thuật số của người dùng gặp rủi ro mà còn đặt ra thách thức mới cho an ninh tổng thể hệ sinh thái Web3.0.
Giải pháp ví máy tính để bàn tương đối an toàn
Khi sử dụng ví máy tính để bàn, nên ưu tiên chọn ví MPC (tính toán đa phương) hoặc ví phần cứng, bởi hệ thống máy tính để bàn (hệ PC) vốn có những lỗ hổng an ninh nội tại so với thiết bị di động. Dù ví máy tính để bàn dễ sử dụng và truy cập thuận tiện, nhưng việc kết nối internet liên tục khiến chúng đối mặt với mối đe dọa nghiêm trọng hơn từ hacker và phần mềm độc hại. Vì vậy, đối với người dùng yêu cầu độ an toàn cao hơn, lựa chọn các loại ví khác là quyết định sáng suốt.
Ví MPC có ưu thế nổi bật trong việc nâng cao an ninh tài sản kỹ thuật số và chức năng khôi phục. Sử dụng công nghệ Tính toán Đa phương An toàn (Secure Multi-Party Computation), ví chia khóa riêng thành nhiều đoạn và lưu trữ riêng biệt ở các bên tham gia hoặc nút khác nhau. Thiết kế này loại bỏ rủi ro điểm lỗi đơn lẻ, đảm bảo không một thực thể nào nắm giữ toàn bộ khóa riêng. Do đó, ngay cả khi hệ thống máy tính để bàn của người dùng bị xâm nhập, kẻ tấn công cũng không thể sử dụng bất kỳ đoạn khóa đơn lẻ nào để đánh cắp tài sản. Chỉ khi các đoạn khóa từ nhiều bên tham gia được ghép lại thì mới tạo được chữ ký giao dịch hợp lệ. Như vậy, miễn là không tất cả các đoạn khóa bị đánh cắp đồng thời, tài sản người dùng vẫn an toàn.
Bên cạnh đó, hệ thống quản lý khóa phân tán của ví MPC mang lại tính linh hoạt vận hành cao hơn và chi phí giao dịch thấp hơn. Nó hỗ trợ cơ chế ẩn chữ ký và truy cứu trách nhiệm ngoài chuỗi, tăng cường thêm quyền riêng tư và an ninh. Bằng cách này, ví MPC đảm bảo rằng ngay cả khi một phần hệ thống bị xâm nhập, an ninh tài sản kỹ thuật số vẫn không bị ảnh hưởng.
Một ưu điểm khác của ví MPC là chức năng khôi phục. Nếu thiết bị của người dùng bị mất hoặc hỏng, họ vẫn có thể khôi phục khóa thông qua dịch vụ bên thứ ba. Quá trình này yêu cầu người dùng sử dụng các đoạn khóa đã được phân bố trước ở các vị trí khác nhau để tái tạo khóa riêng. Ngoài ra, một số ví MPC còn cung cấp chức năng khôi phục xã hội (social recovery), cho phép người liên lạc khẩn cấp giúp người dùng truy cập lại ví trong trường hợp cực đoan.
Ví phần cứng máy tính để bàn cung cấp giải pháp cách ly vật lý, tức là lưu trữ khóa riêng bên trong thiết bị phần cứng. Thiết kế này đảm bảo mọi thao tác ký đều được hoàn tất ngoại tuyến trong thiết bị phần cứng, ngay cả khi hệ thống máy tính để bàn bị xâm nhập, kẻ tấn công cũng không thể truy cập khóa riêng đã lưu trữ. Cách cách ly vật lý này phần lớn tăng cường an ninh tài sản. Bởi khóa riêng tránh được việc phơi nhiễm trên internet, giảm thiểu nguy cơ bị tấn công và đánh cắp.
Ngày nay, phần lớn ví phần cứng cũng cung cấp chức năng khôi phục để ngăn mất tài sản do hư hỏng hoặc mất thiết bị phần cứng. Quy trình khôi phục thường bao gồm việc tạo cụm từ khôi phục (backup recovery phrase) hoặc các đoạn khóa riêng, và người dùng có thể lưu trữ an toàn ở các vị trí khác nhau. Nếu thiết bị phần cứng bị mất hoặc hỏng, người dùng có thể dùng các thông tin sao lưu này để truy cập lại ví và lấy lại tài sản.
Bên cạnh đó, một số ví phần cứng tích hợp công nghệ sinh trắc học để tăng cường an ninh. Điều này có nghĩa là ngay cả cá nhân không được ủy quyền có được các đoạn khóa, nếu không vượt qua xác thực sinh trắc học thì cũng không thể xâm nhập ví. Công nghệ sinh trắc học có thể bao gồm vân tay, nhận diện khuôn mặt hoặc nhận dạng giọng nói, bổ sung thêm lớp bảo vệ an ninh cho ví phần cứng.
Ví dụ, hệ thống MPC của Zengo sử dụng nhiều đoạn khóa riêng được lưu trữ trên các thiết bị khác nhau để tăng cường độ an toàn ví. Chức năng khôi phục trong hệ thống MPC rất quan trọng, giúp người dùng lấy lại ví khi thiết bị bị mất hoặc hỏng. Để đảm bảo an toàn tài sản, các đoạn khóa riêng được liên kết chặt chẽ với tài khoản, nghĩa là chỉ khi cả đoạn khóa và tài khoản cùng bị mất thì tài sản mới có nguy cơ bị thất lạc.
Bên cạnh đó, một số nhà sản xuất ví phần cứng (như Ledger) cũng cung cấp dịch vụ khôi phục khóa dựa trên danh tính. Ví dụ, dịch vụ «Ledger Recover[4]» của Ledger chia cụm từ khôi phục ví thành ba đoạn mã hóa và phân phối cho ba bên lưu giữ. Nếu người dùng mất cụm từ ghi nhớ, sau khi xác thực danh tính, hai đoạn có thể được kết hợp để truy cập lại số tiền bị khóa. Dịch vụ này nhằm cung cấp thêm lớp bảo vệ bổ sung cho rủi ro mất khóa tài sản kỹ thuật số, nhưng điều này cũng gây lo ngại cho một số người dùng, vì cách thức này yêu cầu lưu trữ cụm từ ghi nhớ liên kết với giấy tờ tùy thân do chính phủ cấp trên internet.
Tính toán Đa phương (MPC) trong ví máy tính để bàn an toàn
Khi so sánh độ an toàn giữa ví MPC và ví phần cứng, mỗi loại đều có những ưu và nhược điểm tinh tế.
Do những hạn chế cố hữu của ví phần cứng – chẳng hạn như hiệu suất CPU hạn chế, khả năng kết nối mạng bị giới hạn và giao diện người dùng sơ sài – nên việc hiển thị chi tiết giao dịch gặp khó khăn nhất định. Điều này khiến người dùng khó xác nhận hoàn toàn nội dung giao dịch khi cần kiểm tra sâu chi tiết. Vì vậy, trong trường hợp này, ví MPC trở thành lựa chọn tốt hơn tương đối. Ví MPC cho phép nhiều bên cùng tham gia tính toán và xác minh dữ liệu giao dịch mà không tiết lộ thông tin nhạy cảm, từ đó cung cấp khung làm việc vững chắc hơn để xác minh mục đích và tính toàn vẹn của giao dịch. Khác với ví phần cứng, các giải pháp dựa trên MPC[5] có thể tận dụng môi trường tính toán và mạng của thiết bị di động hoặc nền tảng khác, từ đó kết nối chặt chẽ hơn với hệ thống nền, giảm thiểu rủi ro liên quan đến xác minh giao dịch.
Nói chung, ví phần cứng máy tính để bàn cung cấp phương tiện bảo vệ tài sản an toàn và đáng tin cậy thông qua cách ly vật lý và chức năng khôi phục ví. Việc tích hợp công nghệ sinh trắc học càng tăng cường thêm lớp bảo vệ này, đảm bảo tài sản người dùng được an toàn ngay cả trong các trường hợp cực đoan.
So sánh các giải pháp ví máy tính để bàn
Dựa trên phân tích rủi ro và an ninh nêu trên, chúng tôi đã tiến hành đánh giá so sánh nhiều ví máy tính để bàn. Hình dưới đây tóm tắt các cơ chế an ninh của các ví này và các biện pháp phòng thủ trước các rủi ro an ninh. (S0 đại diện cho rủi ro cơ bản, cấp độ càng cao thì rủi ro càng phức tạp.)
Tổng kết
Là công cụ quan trọng để quản lý tài sản kỹ thuật số, ví máy tính để bàn đang đối mặt với nhiều thách thức an ninh: cảnh báo sai từ phần mềm diệt virus, thiếu bảo vệ hộp cát (sandbox), và thuật toán mã hóa không đủ mạnh... đều có thể dẫn đến nguy cơ bị đánh cắp tài sản. Điều này đặc biệt nguy hiểm với người dùng thiếu kinh nghiệm kỹ thuật, vì họ có thể khó nhận diện và xử lý các rủi ro này. Do đó, các nhà phát triển ví cần tăng cường các biện pháp an ninh để đảm bảo tính an toàn của phần mềm.
Đồng thời, người dùng cũng cần nâng cao nhận thức về rủi ro, áp dụng các thực hành tốt nhất để lưu trữ và quản lý tài sản kỹ thuật số. Thông qua việc kiểm toán nghiêm ngặt và cải tiến liên tục ví máy tính để bàn, chúng ta có thể bảo vệ tốt hơn an ninh tài sản kỹ thuật số của người dùng, thúc đẩy sự phát triển lành mạnh của toàn bộ hệ sinh thái Web3.0.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
CertiK
