Lỗi bảo mật lộ thư mã hóa trong ứng dụng Mail của macOS

Một lỗ hổng mới lại được phát hiện trong ứng dụng quản lý thư điện tử Mail trên macOS, khiến các bức thư lẽ phải được mã hóa tuyệt đối theo yêu cầu của người dùng, nhưng lại có thể được đọc dễ dàng (như không hề mã hóa). “Táo” đã xác nhận sự tồn tại của lỗ hổng này, nhưng sau nhiều tháng vẫn chưa có động thái khắc phục.

Được biết, lỗ hổng nói trên được phát hiện bởi chuyên gia bảo mật Bob Gendler trong khi cố gắng tìm hiểu cách macOS và trợ lý ảo Siri gợi ý thông tin tới người dùng. Khi đó, chuyên gia này đã nhận thấy rằng, cơ sở dữ liệu tập tin của macOS có lưu thông tin từ nhiều ứng dụng (trong đó có Mail) để Siri có thể sử dụng nhanh chóng. Trong kho lưu trữ này, tập tin snippets.db chứa nội dung các bức thư không hề được mã hóa.

Chuyên gia bảo mật Bob Gendler cũng cho biết đã kiểm tra toàn bộ các phiên bản macOS mới gần đây như Catalina, Mojave, High Sierra, Sierra… và đều có thể đọc nội dung thư tưởng chừng đã mã hóa trong tập tin snippets.db. Sau khi phát hiện lỗi, chuyên gia này đã liên hệ với Apple lần đầu tiên vào ngày 29-7, nhưng phải tới 5-11 mới nhận được phản hồi từ phía Apple. Kể từ đó tới nay, “Táo” chưa có động thái khắc phục tạm thời nào.

Về phía người dùng, để tránh thư điện tử bị lưu trong snippets.db, việc cần làm là mở System Preferences > Siri > Siri Suggestions & Privacy > Mail và tắt chức năng “Learn from this App”. Tuy nhiên, thao tác này sẽ chỉ có tác dụng với các thư mới đến, chứ không bảo vệ được thư cũ. Để đảm bảo không ai có thể truy cập nội dung thư điện tử mã hóa trên hệ thống của mình, người dùng tốt nhất nên xóa tập tin snippets.db đi. Ngoài ra, việc kích hoạt cơ chế FileVault để dữ liệu trên ổ đĩa được mã hóa toàn bộ ở cấp hệ điều hành cũng là điều nên xem xét thực hiện.