Đáp lại làn sóng các kẻ lừa đảo trên tuyến, Microsoft nói họ đang chữa khuyết điểm trong chương trình dạo Net rất thông dụng của họ là Internet Explorer. Khuyết điểm này làm cho việc che dấu địa chỉ thật của một trang web được thực hiện rất dễ dàng.
Microsoft sẽ sớm đưa ra nhu liệu cập nhật cho IE để chấm dứt khả năng chấp nhận những URL muốn dấu địa chỉ khỏi bị hiện ra bằng cách xử dụng dấu "@". Phần cập nhật sẽ loại bỏ khả năng mà kẻ lừa đảo lợi dụng để tạo các trang web ma rồi qua đó thu lượm thông tin cá nhân từ những người dùng Internet ít cảnh giác, Microsoft nói trong một thông báo trên trang nhà của họ ngày 27/01/2004.
Tuy chưa đưa ra nhu liệu cập nhật Microsoft vẫn cho người dùng và các nhà thiết kế thông báo cần thiết về sự thay đổi để họ có thể nhận xét và lưu ý đến các trang web có chứa các URL ở dạng này.
URL ma lanh
URL là địa chỉ của các file, như các trang web chẳng hạn, trên Intenet. Ví dụ: trang web của Microsoft là http://www.microsoft.com.
Vấn đề nằm ở các URL có chứa thông tin người dùng khi trình vào, thường là do khách viếng web đưa vào, dưới dạng http://tên:mậthiệu@địachỉweb. Ví dụ: Internet Explorer và các chương trình dạo web khác dịch URL dưới đây như là yêu cầu được vào trang www.microsoft.com và trình vào như khách1 dùng mật hiệu abc123: http://khách1:abc123@www.microsoft.com.
Trong cách lừa đảo gọi là "ma lanh" này, các tay ma mãnh lợi dụng cách mà Internet Explorer thường dịch những URL này, bằng cách thay cụm tên:mậthiệu trong URL tên các web hợp pháp, và dấu đi đía chỉ web của chúng đằng sau dấu "@", Nick Fitzgerald, một nhà nghiên cứu chống virus nói.
Môt tay ma cạo nhắm vào khách hàng của Paypal có thể tạo trang web giống như Paypal.com, với các ô đòi khách hàng Paypal điền vào tên và mật hiệu, rồi đưa tới trang có dùng URL giống như thể là đang ở trong web của Paypal.com. Thí dụ: http://www.paypal.com@malanh.com
Người dùng Internet khi thấy địa chỉ như vậy cứ ngỡ, một cách sai bét, rằng chương trình dạo Net đang đưa họ đến www.paypal.com, trong khi thật ra là đang đến www.malanh.com.
Người dùng bị thao túng
Hầu hết các trang web về buôn bán và tìm kiếm đều tạo trang HTML có nội dung động, khách dạo Net trở nên quen dần với các chuỗi ký tự dài ngoằng và tạp nham trong ô dành cho việc gõ địa chỉ web của chương trình dạo web, Fitzgerald nói. Rồi ông tiếp: "Cái mớ bòng bong đó hoàn toàn vô nghĩa đối với con người. Thét rồi người ta nghiệm ra rằng đó là kiểu nói chuyện kém trí tuệ của máy tính,"
Trong tình huống tệ hơn, một khuyết điểm mới được khám phá trong cách mà IE xét URL đã khiến những tên lừa đảo hoàn toàn thay thế được những URL xử dụng dạng tên:mậthiệu@ bằng URL do chúng chọn, bất kể là web nào, để hiện ra trên IE. Microsoft đã nhận khuyết điểm vài tuần mới đây về việc chưa vá kịp cái lỗ hổng này khi đưa ra những cập nhật về an toàn khác trong tháng Giêng này.
Những tiêu chuẩn hủy hoại
Microsoft, cũng giống như các hãng làm chương trình dạo Net khác, đã dựa vào cú pháp tên:mậthiệu@ trên Internet để định tiêu chuẩn các văn bản, như là những văn bản RFC 1738 về Internet Engineering Task Force, trong đó minh thị URL trên Internet phải được định dạng ra sao, và RFC 2616 minh thị URL về HTML nên được định dạng như thế nào, Fitzgerald nói.
Sự thay đổi được tuyên bố ngày 27/01/2004 sẽ vi phạm vào vài nghị định trên, nhưng có lợi cho người tiêu thụ, theo Russ Cooper, tổng quản trị hãng TruSecure Surgeon General và điều hành viên của nhóm hội thảo về an toàn NTBugtraq.
"Không khỏi có những kẻ sẽ khóc ròng... hoặc nức nở vì những tính năng mà họ cần đã tiêu và web của họ phải viết lại," Cooper đã viết một thông điệp đăng trên NTBugtraq hôm 28/01/2004. Đối với họ tôi nói "tệ lậu quá". Nạn nhân của đám ma lưa lừa đảo sẽ không bị mất những hoạt động của mình mà sẽ vui mừng chỉ vì đã mất đi những tên lừa đảo."
Microsoft nên ráng tìm ra cách an toàn để trợ thủ cho các URL có chứa mật hiệu, Cooper nói.
Microsoft sẽ sớm đưa ra nhu liệu cập nhật cho IE để chấm dứt khả năng chấp nhận những URL muốn dấu địa chỉ khỏi bị hiện ra bằng cách xử dụng dấu "@". Phần cập nhật sẽ loại bỏ khả năng mà kẻ lừa đảo lợi dụng để tạo các trang web ma rồi qua đó thu lượm thông tin cá nhân từ những người dùng Internet ít cảnh giác, Microsoft nói trong một thông báo trên trang nhà của họ ngày 27/01/2004.
Tuy chưa đưa ra nhu liệu cập nhật Microsoft vẫn cho người dùng và các nhà thiết kế thông báo cần thiết về sự thay đổi để họ có thể nhận xét và lưu ý đến các trang web có chứa các URL ở dạng này.
URL ma lanh
URL là địa chỉ của các file, như các trang web chẳng hạn, trên Intenet. Ví dụ: trang web của Microsoft là http://www.microsoft.com.
Vấn đề nằm ở các URL có chứa thông tin người dùng khi trình vào, thường là do khách viếng web đưa vào, dưới dạng http://tên:mậthiệu@địachỉweb. Ví dụ: Internet Explorer và các chương trình dạo web khác dịch URL dưới đây như là yêu cầu được vào trang www.microsoft.com và trình vào như khách1 dùng mật hiệu abc123: http://khách1:abc123@www.microsoft.com.
Trong cách lừa đảo gọi là "ma lanh" này, các tay ma mãnh lợi dụng cách mà Internet Explorer thường dịch những URL này, bằng cách thay cụm tên:mậthiệu trong URL tên các web hợp pháp, và dấu đi đía chỉ web của chúng đằng sau dấu "@", Nick Fitzgerald, một nhà nghiên cứu chống virus nói.
Môt tay ma cạo nhắm vào khách hàng của Paypal có thể tạo trang web giống như Paypal.com, với các ô đòi khách hàng Paypal điền vào tên và mật hiệu, rồi đưa tới trang có dùng URL giống như thể là đang ở trong web của Paypal.com. Thí dụ: http://www.paypal.com@malanh.com
Người dùng Internet khi thấy địa chỉ như vậy cứ ngỡ, một cách sai bét, rằng chương trình dạo Net đang đưa họ đến www.paypal.com, trong khi thật ra là đang đến www.malanh.com.
Người dùng bị thao túng
Hầu hết các trang web về buôn bán và tìm kiếm đều tạo trang HTML có nội dung động, khách dạo Net trở nên quen dần với các chuỗi ký tự dài ngoằng và tạp nham trong ô dành cho việc gõ địa chỉ web của chương trình dạo web, Fitzgerald nói. Rồi ông tiếp: "Cái mớ bòng bong đó hoàn toàn vô nghĩa đối với con người. Thét rồi người ta nghiệm ra rằng đó là kiểu nói chuyện kém trí tuệ của máy tính,"
Trong tình huống tệ hơn, một khuyết điểm mới được khám phá trong cách mà IE xét URL đã khiến những tên lừa đảo hoàn toàn thay thế được những URL xử dụng dạng tên:mậthiệu@ bằng URL do chúng chọn, bất kể là web nào, để hiện ra trên IE. Microsoft đã nhận khuyết điểm vài tuần mới đây về việc chưa vá kịp cái lỗ hổng này khi đưa ra những cập nhật về an toàn khác trong tháng Giêng này.
Những tiêu chuẩn hủy hoại
Microsoft, cũng giống như các hãng làm chương trình dạo Net khác, đã dựa vào cú pháp tên:mậthiệu@ trên Internet để định tiêu chuẩn các văn bản, như là những văn bản RFC 1738 về Internet Engineering Task Force, trong đó minh thị URL trên Internet phải được định dạng ra sao, và RFC 2616 minh thị URL về HTML nên được định dạng như thế nào, Fitzgerald nói.
Sự thay đổi được tuyên bố ngày 27/01/2004 sẽ vi phạm vào vài nghị định trên, nhưng có lợi cho người tiêu thụ, theo Russ Cooper, tổng quản trị hãng TruSecure Surgeon General và điều hành viên của nhóm hội thảo về an toàn NTBugtraq.
"Không khỏi có những kẻ sẽ khóc ròng... hoặc nức nở vì những tính năng mà họ cần đã tiêu và web của họ phải viết lại," Cooper đã viết một thông điệp đăng trên NTBugtraq hôm 28/01/2004. Đối với họ tôi nói "tệ lậu quá". Nạn nhân của đám ma lưa lừa đảo sẽ không bị mất những hoạt động của mình mà sẽ vui mừng chỉ vì đã mất đi những tên lừa đảo."
Microsoft nên ráng tìm ra cách an toàn để trợ thủ cho các URL có chứa mật hiệu, Cooper nói.
Gửi ý kiến của bạn
