Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đã bắt đầu một chương mới sau khi phát hiện và báo cáo cho Microsoft một lỗ hổng được theo dõi là CVE-2020-0601 và ảnh hưởng đến các hệ thống Windows 10 và Windows Server.
Trong một cuộc hội thảo qua điện thoại mà Bleeping Computer đã tham gia, Giám đốc An ninh mạng của NSA Anne Neuberger nói rằng đây là lần đầu tiên cơ quan này quyết định công khai lỗ hổng bảo mật cho nhà cung cấp phần mềm.
“Chúng tôi đã suy nghĩ rất kỹ về điều đó. Khi Microsoft hỏi chúng tôi, ‘Chúng ta có thể quy lỗ hổng này cho NSA không?’ chúng tôi đã cho nó rất nhiều suy nghĩ. Và sau đó chúng tôi đã chọn để làm như vậy và đây là lý do tại sao, “Neuberger giải thích.
Cô nói thêm rằng “một phần của việc xây dựng niềm tin đang hiển thị dữ liệu” và do đó, “thật khó để các thực thể tin rằng chúng tôi thực sự coi trọng điều này và đảm bảo rằng các lỗ hổng có thể được giảm thiểu là ưu tiên tuyệt đối.”
Neuberger cũng cho biết trong cuộc gọi truyền thông rằng cơ quan này sẽ nỗ lực trở thành đồng minh với cộng đồng an ninh mạng và các tổ chức khu vực tư nhân, và sẽ bắt đầu chia sẻ dữ liệu dễ bị tổn thương với các đối tác thay vì tích lũy và sử dụng nó trong các hoạt động tấn công trong tương lai.
“Các nguồn tin cho biết tiết lộ này từ NSA được lên kế hoạch là lần đầu tiên trong số một sáng kiến mới của NSA có tên là ‘Turn a New Leaf’, nhằm mục đích cung cấp thêm nghiên cứu về lỗ hổng của cơ quan cho các nhà cung cấp phần mềm lớn và cuối cùng cho công chúng , “Nhà báo Brian Krebs đưa tin.
NSA xác định lại chính nó
Mechele Gruhn, người quản lý chương trình bảo mật chính của MSRC, Mechele Gruhn, cho biết:
“Thông qua sự hợp tác giữa các nhà nghiên cứu bảo mật và nhà cung cấp, CVD đảm bảo các lỗ hổng được xử lý trước khi được công khai.”
Cách tiếp cận mới của NSA để xây dựng niềm tin với công chúng và các đối tác của mình xác định lại nhiệm vụ an ninh mạng của cơ quan như Tổng cục quân đội Hoa Kỳ và Giám đốc NSA Paul M. Nakasone tuyên bố vào tháng 7 năm 2019.
“Ban giám đốc an ninh mạng sẽ tái tạo sứ mệnh mũ trắng của chúng tôi mở ra cơ hội cho các đối tác và khách hàng trong nhiều nỗ lực an ninh mạng”, ông nói thêm vào thời điểm đó.
“Nó cũng sẽ dựa trên những thành công trong quá khứ của chúng tôi như Tập đoàn nhỏ Nga để vận hành trí thông minh đe dọa, đánh giá lỗ hổng và chuyên môn phòng thủ không gian mạng để đánh bại đối thủ của chúng tôi trong không gian ảo.”
Lỗ hổng do NSA báo cáo
Lỗ hổng giả mạo CVE-2020-0601 được NSA báo cáo ảnh hưởng đến Windows CryptoAPI và được gây ra bởi cách chứng nhận Elliptic Curve Cryptography (ECC) được xác thực.
“Lỗ hổng xác thực chứng chỉ cho phép kẻ tấn công phá hoại cách Windows xác minh niềm tin mật mã và có thể cho phép thực thi mã từ xa”, NSA nói.
CVE-2020-0601 chưa được khai thác ngoài tự nhiên theo tư vấn bảo mật của Microsoft và cơ quan Hoa Kỳ khuyên người dùng và các tổ chức nên cài đặt các bản vá được phát hành như một phần của Bản vá tháng 1 năm 2020 của Microsoft càng sớm càng tốt để ngăn chặn kẻ tấn công đánh bại “kết nối mạng đáng tin cậy và cung cấp mã thực thi trong khi xuất hiện dưới dạng các thực thể đáng tin cậy hợp pháp.”
#PatchTuesday này, bạn được khuyến khích triển khai bản vá CVE-2020-0601 được phát hành gần đây ngay lập tức. https://t.co/czVrSdMwCR
– NSA / CSS (@NSAGov), ngày 14/01/2020
“Lỗ hổng này là một ví dụ về sự hợp tác của chúng tôi với cộng đồng nghiên cứu bảo mật nơi lỗ hổng được tiết lộ riêng tư và một bản cập nhật được phát hành để đảm bảo khách hàng không gặp rủi ro”, Gruhn nói thêm.
Tư vấn bảo mật NSA cũng đi kèm với các biện pháp giảm thiểu cho các hệ thống mà việc cài đặt các bản vá do Microsoft phát hành ngày nay là không thể ngay lập tức.
“Các proxy kiểm tra TLS được cấu hình và quản lý phù hợp xác nhận độc lập các chứng chỉ TLS từ các thực thể bên ngoài và sẽ từ chối các chứng chỉ không hợp lệ hoặc không đáng tin cậy, bảo vệ các điểm cuối khỏi các chứng chỉ cố gắng khai thác các lỗ hổng”, cơ quan này tiết lộ.
“Đảm bảo rằng xác thực chứng chỉ được bật cho các proxy của TLS để hạn chế tiếp xúc với loại lỗ hổng này và xem xét nhật ký để tìm dấu hiệu khai thác.”
