Lo hong (tieng Anh: vulnerabilities) la nhung sai sot hoac điem yeu trong thiet ke, trien khai hoac quan ly cua mot he thong, co the bi tac nhan đoc hai khai thac đe xam pham tinh bao mat cua he thong.
Du quan tri vien he thong co no luc đen đau nham đat đuoc su chinh xac tuyet đoi, hau nhu moi phan cung va phan mem đeu chua loi khien he thong khong hoat đong nhu mong đoi. Neu loi đo co the cho phep ke tan cong lam anh huong đen tinh bao mat, tinh toan ven hoac tinh kha dung cua tai nguyen he thong, thi loi đo đuoc xem la mot lo hong. Nhung thoi quen phat trien phan mem khong an toan cung nhu cac yeu to thiet ke nhu đo phuc tap co the lam gia tang so luong va muc đo nghiem trong cua cac lo hong.
Quan ly lo hong la mot quy trinh bao gom viec xac đinh cac he thong, uu tien nhung he thong quan trong nhat, quet đe phat hien lo hong va thuc hien cac bien phap nham bao ve he thong. Quan ly lo hong thuong bao gom ket hop cac hanh đong nhu khac phuc, giam thieu rui ro va chap nhan rui ro.
Muc đo nghiem trong cua cac lo hong co the đuoc cham điem theo He thong Cham điem Lo hong Chung (CVSS) va đuoc đua vao cac co so du lieu lo hong, chang han nhu co so du lieu Common Vulnerabilities and Exposures (CVE). Tinh đen thang 11 nam 2024, đa co hon 240.000 lo hong đuoc ghi nhan trong co so du lieu CVE.
Lo hong xuat hien ngay tu khi đuoc đua vao phan mem hoac phan cung. No tro nen co the khai thac khi he thong chua lo hong đo đang hoat đong. Viec phat hien lo hong co the đen tu quan tri vien, nha cung cap hoac mot ben thu ba. Khi lo hong đuoc cong khai (du thong qua ban va hay cach khac), nguy co bi tan cong thuong tang len vi ke xau co the loi dung thong tin nay đe nham vao cac he thong chua đuoc cap nhat. Mot lo hong se cham dut khi he thong đuoc va hoac bi ngung su dung.


Nguyen nhan Du quan tri vien he thong co no luc đen đau, hau nhu moi phan cung va phan mem đeu ton tai loi. Neu loi đo gay ra rui ro bao mat, no se đuoc goi la lo hong. Cac ban va phan mem thuong đuoc phat hanh đe khac phuc cac lo hong đa đuoc phat hien, nhung cac lo hong zero-day van co nguy co bi khai thac. Muc đo lo hong co the bi khai thac boi cac tac nhan đoc hai la khac nhau, va rui ro thuc te phu thuoc vao ban chat cua lo hong cung nhu gia tri cua he thong lien quan. Mac du mot so lo hong chi co the đuoc khai thac đe thuc hien cac cuoc tan cong tu choi dich vu, nhung nhung lo hong nguy hiem hon cho phep ke tan cong thuc hien chen ma đoc ma nguoi dung khong he hay biet. Chi mot so it lo hong cho phep leo thang đac quyen, thuong la đieu kien can cho cac cuoc tan cong nghiem trong hon. Neu khong co lo hong, mot ma khai thac thuong se khong the xam nhap vao he thong. Phan mem đoc hai cung co the đuoc cai đat truc tiep ma khong can đen ma khai thac, thong qua ky thuat xa hoi hoac do an ninh vat ly kem, chang han nhu đe cua phong may chu khong khoa.


= Yeu to thiet ke =
Lo hong co the tro nen nghiem trong hon do cac yeu to thiet ke kem, chang han nhu:

Đo phuc tap: Cac he thong lon va phuc tap lam tang kha nang ton tai cac loi va điem truy cap khong mong muon.
Tinh pho bien: Viec su dung ma nguon, phan mem, he đieu hanh hoac phan cung pho bien va quen thuoc lam tang kha nang ke tan cong đa co hoac co the de dang tim ra kien thuc va cong cu đe khai thac lo hong. Tuy nhien, viec su dung phan mem pho bien, đac biet la phan mem mien phi va ma nguon mo, cung đem lai loi the la thuong nhan đuoc cac ban va bao mat nhanh chong va đang tin cay hon.
Kha nang ket noi: Bat ky he thong nao ket noi voi Internet đeu co the bi truy cap va xam nhap. Ngat ket noi khoi Internet co the la mot bien phap cuc ky hieu qua đe ngan chan tan cong, nhung khong phai luc nao cung kha thi.
Phan mem va phan cung loi thoi: Cac he thong cu co nguy co bi tan cong cao hon do đac điem cua chung. Quan tri vien nen can nhac nang cap cac he thong nay, du đieu đo co the kho khan do chi phi cao va yeu cau ngung hoat đong trong qua trinh chuyen đoi.


= Yeu to phat trien =
Mot so thoi quen trong qua trinh phat trien phan mem co the lam tang nguy co xuat hien lo hong trong ma nguon. Thieu kien thuc ve lap trinh an toan hoac bi ap luc phai ra mat tinh nang nhanh co the khien nhung lo hong đang le co the tranh đuoc lai xuat hien trong phien ban chinh thuc – đac biet khi bao mat khong phai la uu tien trong van hoa cong ty. Đieu nay de dan đen cac lo hong ngoai y muon. He thong cang phuc tap thi lo hong cang de bi bo sot. Mot so lo hong khong phai do vo tinh, ma đuoc cai cam co chu đich – co the xuat phat tu nhieu ly do, chang han nhu viec nhan vien bat man ban quyen truy cap cho toi pham mang, hoac cac chien dich tinh vi do nha nuoc hau thuan nham cai lo hong vao phan mem.
Cac thuc tien phat trien phan mem khong đam bao co the lam gia tang kha nang xuat hien lo hong trong ma nguon. Viec thieu kien thuc chuyen mon hoac đao tao bai ban ve phat trien phan mem an toan, ap luc thoi gian trong qua trinh trien khai, hoac su phuc tap qua muc cua he thong đeu co the tao đieu kien cho cac lo hong bao mat phat sinh va bi bo sot. Nhung yeu to nay cang tro nen tram trong hon khi bao mat khong đuoc xem la uu tien trong van hoa to chuc. Ben canh đo, quy trinh đanh gia ma nguon khong đay đu cung co the dan đen viec bo qua cac loi nghiem trong; tuy nhien, viec ung dung cac cong cu phan tich ma tinh trong qua trinh đanh gia ma co the ho tro phat hien mot so lo hong tiem an.
DevOps, mot quy trinh phat trien nhan manh viec tu đong hoa kiem thu va trien khai nham tang toc đo ra mat tinh nang moi – thuong đoi hoi nhieu lap trinh vien đuoc cap quyen thay đoi cau hinh he thong. Đieu nay co the dan đen viec cac lo hong bi đua vao he thong, du la vo tinh hay co y. Viec tach biet cac thanh phan phu thuoc, thuong la mot phan trong quy trinh DevOps, giup thu hep "be mat tan cong" bang cach chi giu lai nhung gi that su can thiet. Neu su dung phan mem dang dich vu thay vi ha tang phan cung va phan mem rieng cua to chuc, thi to chuc se phu thuoc vao nha cung cap dich vu đam may trong viec ngan chan cac lo hong bao mat.


Lo hong theo thanh phan = Phan cung =

Cac loi bao mat co chu đich co the đuoc cai cam trong hoac sau qua trinh san xuat, khien vi mach tich hop khong hoat đong đung nhu mong đoi trong mot so đieu kien cu the. Viec kiem tra loi bao mat tren phan cung la mot thach thuc lon do thoi gian han che va đo phuc tap cua cac chip hien đai trong the ky 21. Ben canh đo, qua trinh toan cau hoa trong thiet ke va san xuat cung lam gia tang nguy co cac loi nay bi co y đua vao boi cac tac nhan đoc hai.


= He đieu hanh =

Mac du cac lo hong cua he đieu hanh co the khac nhau tuy theo he đieu hanh đuoc su dung, mot van đe pho bien la cac loi leo thang đac quyen, cho phep ke tan cong chiem quyen truy cap cao hon muc đuoc phep. Cac (ho) he đieu hanh ma nguon mo nhu Linux va Android co ma nguon cong khai va cho phep bat ky ai đong gop, đieu nay co the tao đieu kien cho viec cai cam lo hong. Tuy nhien, nhung lo hong tuong tu cung ton tai o cac he đieu hanh ma nguon đong nhu Microsoft Windows va he đieu hanh Apple. Tat ca cac nha cung cap he đieu hanh uy tin đeu phat hanh cac ban va bao mat đinh ky.


= Ung dung khach–chu =
Ung dung khach – chu đuoc cai đat truc tiep tren may tinh cua nguoi dung cuoi va thuong đuoc cap nhat it thuong xuyen hon so voi cac ung dung web. Khac voi ung dung web, chung tuong tac truc tiep voi he đieu hanh cua nguoi dung. Mot so lo hong pho bien trong cac ung dung nay bao gom:

Du lieu khong đuoc ma hoa, du đuoc luu tru lau dai hay truyen qua mang, đeu tuong đoi de bi ke tan cong đanh cap.
Chiem quyen tien trinh (process hijacking) xay ra khi ke tan cong kiem soat mot tien trinh đang chay tren may tinh.


= Ung dung web =
Ung dung web đuoc su dung rong rai tren nhieu trang web. Do ban chat kem an toan hon so voi cac loai ung dung khac, chung la mot trong nhung nguyen nhan hang đau gay ra ro ri du lieu va cac su co bao mat khac. Chung co the bao gom cac lo hong nhu:

Loi xac thuc va phan quyen cho phep ke tan cong truy cap vao du lieu le ra chi danh cho nguoi dung đang tin cay.
Lo hong logic nghiep vu: xay ra khi lap trinh vien khong luong truoc đuoc cac truong hop bat ngo phat sinh trong logic xu ly nghiep vu.
Cac hinh thuc tan cong thuong đuoc su dung đe khai thac lo hong trong ung dung web bao gom:

Cross-site scripting (XSS): cho phep ke tan cong chen va thuc thi ma đoc JavaScript khi đau vao khong đuoc kiem soat chat che. Co hai dang chinh la XSS luu tru (ma đoc đuoc luu lai va kich hoat khi nguoi dung truy cap) va XSS phan chieu (ma đoc đuoc chen thong qua lien ket va thuc thi ngay). Ngoai ra, con co XSS thong qua thao tac voi DOM.
SQL injection va cac bien the tuong tu: cho phep ke tan cong thao tung truy van co so du lieu đe truy cap, sua đoi hoac đanh cap thong tin.
Command injection: xay ra khi ke tan cong chen ma đoc vao du lieu đau vao hoac qua trinh xu ly, tu đo co the chiem quyen đieu khien may chu neu thanh cong.
Cross-site request forgery (CSRF): đanh lua trinh duyet nguoi dung đe gui cac yeu cau trai phep đen may chu, chang han nhu thay đoi mat khau hoac thong tin tai khoan.
Server-side request forgery (SSRF): tuong tu nhu CSRF nhung yeu cau đuoc gui tu phia may chu, thuong nham truy cap vao cac he thong noi bo ma nguoi dung ben ngoai khong the cham toi.
Loi logic nghiep vu: xay ra khi lap trinh vien khong luong truoc cac tinh huong bat thuong trong quy trinh xu ly nghiep vu, dan đen hanh vi sai lech ma ke tan cong co the loi dung.


Quan ly Hien co rat it bang chung ve muc đo hieu qua va hieu qua chi phi cua cac bien phap phong chong tan cong mang khac nhau. Mac du viec uoc luong rui ro cua mot cuoc tan cong khong he đon gian, nhung co the xem xet thoi gian trung binh đe bi xam nhap (mean time to breach) va chi phi thiet hai uoc tinh đe xac đinh muc đo uu tien trong viec khac phuc hoac giam thieu mot lo hong đa phat hien, cung nhu đanh gia lieu viec xu ly đo co hieu qua ve mat chi phi hay khong. Mac du viec chu trong đen bao mat co the giup giam nguy co bi tan cong, nhung khong the đat đuoc muc an toan tuyet đoi đoi voi mot he thong phuc tap. Nhieu bien phap bao mat cung đi kem voi chi phi cao hoac lam giam trai nghiem su dung đen muc khong chap nhan đuoc. Vi du, viec giam đo phuc tap va so luong chuc nang cua he thong la mot cach hieu qua đe thu hep be mat tan cong.


= Khac phuc =
Khac phuc la qua trinh sua chua cac lo hong, chang han nhu bang cach tai va cai đat ban va phan mem. Cac cong cu quet lo hong thuong khong the phat hien cac lo hong zero-day, nhung lai hieu qua hon trong viec tim ra cac lo hong đa biet dua tren co so du lieu. Nhung he thong nay co the phat hien mot so lo hong đa biet va đe xuat cach khac phuc, chang han nhu ap dung ban va. Tuy nhien, cac cong cu nay cung co nhung han che, bao gom ca viec đua ra canh bao sai (false positives).
Lo hong chi co the bi khai thac khi chung đang hoat đong, tuc la khi phan mem chua lo hong đo đang chay tren he thong. Truoc khi đoan ma chua lo hong đuoc cau hinh đe chay tren he thong, no đuoc xem nhu mot thanh phan mang lo hong. Cac lo hong tiem an co kha nang hoat đong, nhung hien chua đuoc kich hoat. Phan mem chua lo hong tiem an hoac lo hong dang "mang" đoi khi co the đuoc go bo hoac vo hieu hoa, tu đo loai bo rui ro. Trong khi đo, cac lo hong đang hoat đong, neu đuoc phan biet ro voi cac loai con lai, co the đuoc uu tien va truoc.
Giam thieu lo hong la cac bien phap khong khac phuc hoan toan lo hong, nhung lam cho viec khai thac tro nen kho khan hon hoac giam thieu hau qua neu bi tan cong. Mot chien luoc pho bien la thu hep be mat tan cong, đac biet đoi voi cac phan cua he thong co quyen truy cap root (hoac quyen quan tri), va ngan chan kha nang khai thac đe leo thang đac quyen. Neu ban va cho phan mem ben thu ba chua co san, co kha nang phai tam thoi vo hieu hoa phan mem đo đe giam rui ro.


= Kiem thu =
Kiem thu xam nhap (penetration test) la qua trinh co gang xam nhap vao he thong thong qua cac lo hong khai thac nham kiem tra xem he thong co điem yeu bao mat hay khong. Tuy nhien, neu mot bai kiem thu xam nhap that bai khong nhat thiet co nghia la he thong an toan tuyet đoi. Mot so bai kiem thu co the đuoc thuc hien bang phan mem tu đong, su dung cac ma khai thac co san đe kiem tra cac lo hong đa biet. Nhung bai kiem thu khac đuoc tien hanh boi cac chuyen gia an ninh co ky nang nhu hacker mu trang. Nhieu cong ty lua chon thue ngoai dich vu nay vi chung mo phong tot kich ban tan cong tu ben ngoai.


Chu trinh lo hong Chu trinh cua lo hong bat đau khi lo hong đuoc đua vao phan cung hoac phan mem. Viec phat hien lo hong co the do chinh nha cung cap phan mem thuc hien, hoac do mot ben thu ba. Trong truong hop do ben thu ba phat hien, hanh đong đuoc coi la đao đuc nhat la thong bao ngay cho nha cung cap đe ho co the khac phuc kip thoi. Cac co quan chinh phu hoac tinh bao co the mua cac lo hong chua đuoc cong bo rong rai va su dung chung cho cac muc đich tan cong, tich tru đe dung sau, hoac thong bao cho nha cung cap phan mem. Tinh đen nam 2013, lien minh Ngu Nhan (gom Hoa Ky, Vuong quoc Anh, Canada, Uc va New Zealand) chiem phan lon thi phan mua ban lo hong bao mat. Cac ben mua đang ke khac bao gom Nga, An Đo, Brasil, Malaysia, Singapore, Trieu Tien va Iran. Cac to chuc toi pham co to chuc cung tham gia mua lo hong, mac du ho thuong ua chuong cac bo cong cu khai thac hon.
Ngay ca nhung lo hong đa đuoc cong khai hoac đa co ban va cung thuong van co the bi khai thac trong mot khoang thoi gian dai. Cac ban va bao mat co the mat hang thang đe phat trien, hoac tham chi co the la khong bao gio. Mot ban va co the gay anh huong tieu cuc đen chuc nang cua phan mem, va nguoi dung co the can kiem thu ban va đe đam bao phan mem van hoat đong binh thuong va tuong thich. Cac to chuc lon co the khong xac đinh va va đuoc toan bo cac thanh phan phu thuoc, trong khi cac doanh nghiep nho va nguoi dung ca nhan lai thuong khong cai đat cac ban va. Nghien cuu cho thay nguy co bi tan cong mang tang len neu lo hong đuoc cong khai hoac khi ban va đuoc phat hanh. Toi pham mang co the phan tich nguoc ban va đe tim ra lo hong goc va phat trien ma khai thac, thuong nhanh hon toc đo nguoi dung cai đat ban va.
Lo hong tro nen loi thoi khi phan mem hoac cac phien ban de bi tan cong khong con đuoc su dung. Tuy nhien, qua trinh nay co the keo dai kha lau; đac biet, phan mem cong nghiep thuong rat kho thay the, ngay ca khi nha san xuat đa ngung ho tro.


Đanh gia, cong bo va kiem ke = Đanh gia =
Mot thang điem pho bien đuoc su dung đe đanh gia muc đo nghiem trong cua lo hong la he thong ma nguon mo co ten Common Vulnerability Scoring System (CVSS). CVSS đanh gia kha nang khai thac lo hong va muc đo anh huong đen tinh bao mat, tinh san sang va tinh toan ven cua du lieu. He thong nay cung xem xet cach thuc lo hong co the bi khai thac va muc đo phuc tap cua viec thuc hien mot cuoc tan cong. Ngoai ra, CVSS tinh đen quyen truy cap can thiet đe khai thac lo hong va lieu viec khai thac co the xay ra ma khong can su tuong tac tu nguoi dung hay khong. Tat ca cac yeu to nay đeu đuoc đua vao đe tinh điem tong the.


= Cong bo =
Nguoi phat hien ra mot lo hong co the cong bo no ngay lap tuc (cong bo toan phan) hoac cho đen khi co ban va roi moi cong bo (cong bo co trach nhiem hoac cong bo phoi hop). Cach tiep can cong bo toan phan đuoc đanh gia cao ve tinh minh bach, nhung nhuoc điem la nguy co bi tan cong co the tang len neu lo hong đuoc cong khai ma chua co ban va. Mot so nha cung cap phan mem co chinh sach thuong phat hien loi (bug bounty) bang viec tra tien cho nhung nguoi bao cao lo hong bao mat cho ho. Khong phai cong ty nao cung phan ung tich cuc truoc viec cong bo lo hong, vi đieu nay co the keo theo trach nhiem phap ly va gia tang ganh nang van hanh. Hien tai, khong co luat nao bat buoc phai cong bo lo hong bao mat. Neu mot lo hong đuoc phat hien boi ben thu ba nhung khong đuoc tiet lo cho nha cung cap hoac cong chung, thi đo đuoc goi la lo hong zero-day. Đay thuong đuoc xem la loai lo hong nguy hiem nhat vi gan nhu khong co bien phap phong ve nao ton tai vao thoi điem đo. 


= Kiem ke =
Bo du lieu lo hong đuoc su dung pho bien nhat la Common Vulnerabilities and Exposures (CVE), do Mitre Corporation quan ly. Tinh đen thang 11 nam 2024, co so du lieu Common Vulnerabilities and Exposures (CVE) đa co hon 240.000 muc. Thong tin nay đuoc chia se voi cac co so du lieu khac, bao gom National Vulnerability Database (NVD) cua Hoa Ky, noi moi lo hong đuoc gan điem rui ro bang cach su dung Common Vulnerability Scoring System (CVSS), Common Platform Enumeration (CPE) va Common Weakness Enumeration (CWE). CVE va cac co so du lieu tuong tu thuong khong theo doi cac lo hong trong cac san pham phan mem dang dich vu. Viec gui thong tin lo hong len CVE la hoan toan tu nguyen đoi voi cac cong ty phat hien ra lo hong đo.


Trach nhiem phap ly Nha cung cap phan mem thuong khong phai chiu trach nhiem phap ly ve thiet hai neu mot lo hong bi khai thac trong mot cuoc tan cong, đieu nay tao ra đong luc đe ho phat trien phan mem voi chi phi thap hon nhung kem an toan hon. Mot so cong ty chiu su đieu chinh cua cac đao luat nhu PCI, HIPAA va Sarbanes-Oxley, von đat ra cac yeu cau phap ly cu the đoi voi viec quan ly lo hong bao mat.


Tham khao Nguon Lien ket ngoai Tu lieu lien quan toi Vulnerability (computing) tai Wikimedia Commons