Với đam mê tìm hiểu trào lưu mạng xã hội trên thế giới và Việt Nam thì mình quan sát thấy xu hướng dạo gần đây chính là Privacy, tạm dịch là chính sách bảo mật người dùng. Hầu hết các website lớn về truyền thông xã hội (social media) đều có nhiều bài viết, nhận xét về xu thế này và thông tin người dùng đang bị đe dọa.

Được đề cập đến nhiều nhất có lẽ là Facebook và một số mạng xã hội khác chính là việc nới lỏng các thiết lập mặc định về bảo mật cho tài khoản mới tạo. Bây giờ, một tài khoản mới tạo thì các thông tin được bạn gởi lên hầu như được xem bởi đa số người dùng trên Internet, trừ khi bạn biết chỗ cấu hình để chặn kịp thời (mà mình nghĩ user bình dân còn không biết tùy chỉnh là gì nói chi mò vô mấy chức năng đó mà chỉnh :D).

Việc nới lỏng các thiết lập an toàn mặc định này với lý do là đem đến cho mạng xã hội mở hơn, kết nối hơn nhưng đầy rẫy nguy hiểm. Hãy tưởng tượng thành phố Hồ Chí Minh tất cả mọi nhà ngủ đều mở cửa, chỉ có 1 số nhà biết cách đóng cửa thôi thì sau 1 tuần chuyện gì sẽ xảy ra chắc mọi người cũng đoán được và, tình trạng mạng xã hội bây giờ chính là vậy, thông tin cá nhân như tên, địa chỉ, sở thích, giới tính hầu như đang được thu thập từ các công cụ tự động mỗi phút trên thế giới.

Khoảng 10 ngày gần đây có một sự kiện làm chấn động các ông lớn mạng xã hội đó là việc 1 coder người Mỹ đưa ra 1 Extension cho Firefox tên là Firesheep cho phép Hacker có thể đột nhập vào tài khoản mạng xã hội của bạn mà không phải tốn nhiều công sức. Và quả thật là không tốn nhiều công sức đâu :D. Vậy chuyện gì đã xảy ra?

Do cơ chế hoạt động cần tốc độ và hiệu suất của mạng xã hội nên họ không triển khai giao thức HTTPS(HTTP Secure) trong các phiên hoạt động của thành viên, chỉ trừ có lúc đăng nhập. Mà khi không có HTTPS thì các hoạt động của bạn đều bị người cùng mạng thấy được, nếu sử dụng 1 số phần mềm nghe lén. Chuyện này….bình thường. Tuy nhiên, với sự ra đời của Firesheep, cho phép kẻ tấn công nhắm vào những người truy cập mạng xã hội thông qua đường wifi như ở Việt Nam chúng ta là vô quán cafe, ngồi truy cập là chết chắc.

Kỹ thuật này nôm na là Session Hijacking, thông qua đường wifi, firesheep sẽ thu thập các cookie trên trình duyệt chứa session của bạn trên các website, thế là xong. Một số cookie được quét và lấy tự động khi sử dụng firesheep là Amazon.com, Basecamp, bit.ly, Cisco, CNET, Dropbox, Enom, Evernote, Facebook, Flickr, Github, Google, HackerNews, Harvest, Windows Live, NY Times, Pivotal Tracker, Slicehost, tumblr, Twitter, WordPress, Yahoo và Yelp. Tuy nhiên, kẻ tấn công vẫn có thể thêm cho các website khác bằng công cụ tùy chỉnh.

Làm thế nào? Người đó chỉ cần ngồi vô cùng quán với bạn tức là cùng mạng wifi, bật firesheep lên, ngồi chờ xíu là họ đã có thể nghiễm nhiên truy cập facebook, twitter, flickr với tài khoản của bạn :D. Tuy nhiên, họ có thể sẽ không lấy được tài khoản luôn bởi cơ chế bảo mật khi muốn thay đổi mật khẩu tài khoản mạng xã hội thì phải biết mật khẩu cũ nên bạn không lo bị mất tài khoản đâu!

Tuy nhiên, khi họ đã vào với tài khoản của bạn thì họ có thể phá nhiều thứ lắm, xóa cái này, xóa cái kia, gởi cái này, gởi cái kia tùy theo khả năng “đạo diễn” của người đó. Nếu bây giờ bạn đang ngồi cafe, lướt wifi vào facebook, twitter mà thấy có dấu hiệu bất thường thì hãy cảnh giác, coi chừng bạn đang bị người khác vào tài khoản của mình “quậy” đó. Giải pháp đơn giản nhất là Logout khỏi tài khoản là xong.

Hiện chưa có giải pháp tuyệt đối cho vấn đề này, Firefox có 1 addon tên là Force-TLS, nhưng cũng không giải quyết được gì nhiều, chỉ là giải pháp chấp vá, trừ khi các ông lớn xem xét lại cách mình gởi nhận dữ liệu và bảo mật đường truyền dùng HTTPS.

Như vậy, từ nay trở đi, ra cafe wifi, truy cập facebook, twitter hãy cẩn thận nhé. May mắn là hiện mình không có thường ra cafe hay sử dụng facebook hay twitter.