Google chuẩn bị tung ra bản vá cho một lỗ hổng bảo mật cơ bản nhưng tiềm ẩn nguy cơ lớn, đã tồn tại hơn hai thập kỷ trên hầu hết các trình duyệt web, trong đó có cả Google Chrome. Lỗ hổng này có thể bị tin tặc lợi dụng để âm thầm theo dõi và suy đoán lịch sử duyệt web của người dùng.
Vấn đề bắt nguồn từ một tính năng được thiết kế nhằm cải thiện trải nghiệm người dùng, thông qua việc các đường link mà bạn đã truy cập sẽ được thay đổi màu sắc (thường từ màu xanh dương sang màu tím). Tính năng này được điều khiển bởi CSS (thuộc tính :visited) và giúp người dùng dễ dàng nhận biết họ đã xem những trang nào.
Lỗ hổng 20 năm trên Chrome sắp được vá.
Tuy nhiên, các chuyên gia bảo mật và cả những kẻ xấu từ lâu đã nhận ra cách lạm dụng tính năng này. Một trang web độc hại có thể chèn hàng ngàn liên kết ẩn đến các trang web phổ biến khác (như Facebook, Google, các trang báo lớn...). Sau đó, bằng cách sử dụng mã CSS hoặc JavaScript, trang web này có thể kiểm tra xem liên kết nào trong số đó hiển thị màu tím (màu của link đã truy cập) trên trình duyệt của người dùng. Từ đó, kẻ tấn công có thể suy ra được một phần lịch sử duyệt web của nạn nhân mà họ không hề hay biết.
Theo bà Kyra Seevers từ Google, vấn đề bảo mật này đã "ám ảnh" cộng đồng web hơn 20 năm, tức là có trước cả khi Chrome ra đời (năm 2008). Dù các trình duyệt trước đây đã triển khai nhiều biện pháp tạm thời để hạn chế, chúng không thể loại bỏ hoàn toàn nguy cơ bị theo dõi lịch sử kiểu này.
Tin vui là phiên bản Chrome 136, dự kiến phát hành vào cuối tháng 4 này, sẽ chính thức vô hiệu hóa hoàn toàn phương thức tấn công dựa trên lỗ hổng ":visited" này. Google sẽ áp dụng một kỹ thuật mới gọi là "partitioning :visited link history". Về cơ bản, kỹ thuật này sẽ ngăn chặn các trang web khác nhau "nhìn" và kiểm tra trạng thái "đã truy cập" của cùng một liên kết, từ đó bảo vệ quyền riêng tư tốt hơn cho người dùng.
Do đây là một lỗ hổng cố hữu và tồn tại rất lâu, người dùng được khuyến cáo nên cập nhật trình duyệt Chrome của mình lên phiên bản 136 ngay khi nó được phát hành vào cuối tháng này để đảm bảo an toàn và bảo vệ lịch sử duyệt web cá nhân.
