Bảo mật bộ nhớ RAM máy tính tránh bị tấn công trích xuất dữ liệu

Bộ nhớ RAM không xóa sạch ngay khi máy tắt: trong vài giây đến vài phút, dữ liệu vẫn còn dấu vết, nhất là khi chip nhớ bị làm lạnh. Kẻ gian có quyền tiếp cận vật lý có thể lợi dụng khoảng thời gian này để đọc lại khóa mã hóa ổ đĩa, mật khẩu hay phiên đăng nhập. Cách phòng hiệu quả nhất là tắt máy hẳn thay vì để chế độ ngủ, bật mã hóa ổ đĩa kèm mã PIN khi khởi động, khóa thứ tự boot trong UEFI và giữ thiết bị trong tầm kiểm soát.

Bài viết này giải thích cơ chế ở mức khái niệm để bạn hiểu rủi ro, sau đó tập trung vào các bước phòng thủ mà người dùng cá nhân lẫn bộ phận IT văn phòng đều làm được.

Vì sao RAM lại giữ được dữ liệu sau khi tắt nguồn

RAM phổ biến trong máy tính là DRAM. Mỗi bit dữ liệu được lưu dưới dạng điện tích trong một tụ điện rất nhỏ. Khi đang chạy, bộ điều khiển nhớ liên tục "làm tươi" các tụ này để điện tích không bị rò mất. Khi mất điện, điện tích không biến mất tức thì mà suy giảm dần. Hiện tượng này gọi là hiệu ứng lưu dư (data remanence).

Ở nhiệt độ phòng, phần lớn dữ liệu sẽ mờ đi khá nhanh. Nhưng nhiệt độ càng thấp thì tốc độ rò điện tích càng chậm. Đây chính là nguồn gốc của tên gọi "cold boot attack": kẻ tấn công làm lạnh thanh RAM để kéo dài thời gian dữ liệu còn đọc được, sau đó khởi động lại máy bằng một hệ điều hành nhỏ hoặc chuyển thanh RAM sang máy khác để sao chép nội dung.

Điều quan trọng cần hiểu là RAM chứa những thứ mà ổ cứng mã hóa không bảo vệ được: khóa giải mã ổ đĩa đang dùng, nội dung tài liệu đang mở, mật khẩu trong trình quản lý mật khẩu đã mở khóa, token đăng nhập của trình duyệt. Một ổ đĩa mã hóa toàn phần vẫn có thể bị lộ nếu khóa của nó nằm sẵn trong RAM vào lúc máy rơi vào tay người khác.

Kịch bản nào khiến bạn thực sự gặp rủi ro

Tấn công cold boot đòi hỏi tiếp cận vật lý và thao tác nhanh, nên nó không phải mối đe dọa của mọi người dùng. Rủi ro tăng rõ rệt trong những tình huống sau:

• Laptop bị lấy cắp khi đang ở chế độ ngủ (Sleep). Ở chế độ này RAM vẫn được cấp điện, khóa mã hóa vẫn nằm trong bộ nhớ.
• Máy để lại phòng khách sạn, phòng họp hoặc sân bay mà chỉ khóa màn hình.
• Máy chủ hoặc máy trạm đặt ở nơi người ngoài ra vào được, như phòng kỹ thuật không khóa hoặc chi nhánh nhỏ.
• Thiết bị của người giữ dữ liệu nhạy cảm: kế toán, nhân sự, luật sư, nhà báo, người quản trị hệ thống.

Nếu máy đã tắt hẳn từ vài phút trước và ổ đĩa được mã hóa, cơ hội trích xuất dữ liệu từ RAM gần như không còn. Vì vậy phần lớn biện pháp phòng thủ xoay quanh việc rút ngắn thời gian khóa mã hóa tồn tại trong bộ nhớ khi bạn không ở cạnh máy.

Thói quen sử dụng: lớp phòng thủ rẻ nhất

Ưu tiên Shut down hoặc Hibernate thay vì Sleep

Khi rời máy lâu, đặc biệt khi mang laptop ra ngoài, hãy tắt hẳn. Chế độ Hibernate ghi nội dung RAM xuống ổ đĩa rồi ngắt điện; nếu ổ đĩa được mã hóa, bản ghi này cũng được mã hóa theo. Trên Windows, bạn có thể vào Power Options để thêm nút Hibernate vào menu nguồn và đặt hành động khi gập nắp máy là Hibernate thay cho Sleep.

Không để máy mở khóa ở nơi công cộng

Khóa màn hình (Windows + L) ngăn người khác dùng máy, nhưng không xóa khóa mã hóa khỏi RAM. Ở quán cà phê hay hội nghị, khi phải rời chỗ, cách an toàn là mang máy theo hoặc tắt máy.

Đóng ứng dụng nhạy cảm sau khi dùng

Trình quản lý mật khẩu, ví tiền số, phần mềm kế toán nên đặt tự khóa sau một khoảng thời gian không hoạt động. Khi ứng dụng khóa lại, phần lớn bí mật được xóa khỏi bộ nhớ của tiến trình đó.

Thiết lập kỹ thuật nên bật trên máy tính

Mã hóa ổ đĩa là nền tảng, nhưng cách cấu hình mới quyết định độ an toàn. BitLocker chỉ dùng TPM sẽ tự mở khóa khi máy khởi động, nghĩa là kẻ gian bật máy lên là khóa đã nằm trong RAM. Thêm PIN tiền khởi động buộc phải có người biết mã mới nạp khóa. Nếu bạn dùng ổ cứng ngoài, hướng dẫn thiết lập BitLocker cho ổ cứng di động giúp bảo vệ cả dữ liệu mang theo người.

Phần cứng đời mới giúp gì

Một số thế hệ RAM và nền tảng máy tính hiện nay có thêm các cơ chế giảm rủi ro. Bộ nhớ DDR4 và DDR5 sử dụng kỹ thuật xáo trộn dữ liệu (scrambling) khi ghi vào chip, khiến việc đọc lại thô khó hơn trước. Nhiều nền tảng doanh nghiệp hỗ trợ mã hóa toàn bộ bộ nhớ ở mức phần cứng, ví dụ các công nghệ mã hóa bộ nhớ của Intel và AMD trên dòng máy chuyên nghiệp hoặc máy chủ.

Ngoài ra, một số máy tính được thiết kế để RAM hàn chết trên bo mạch, khiến việc tháo thanh nhớ ra máy khác khó hơn. Tiêu chuẩn TCG còn mô tả cơ chế yêu cầu firmware xóa bộ nhớ khi khởi động lại nếu hệ điều hành không tắt đúng quy trình. Những tính năng này không thay thế thói quen tốt, nhưng là lý do nên ưu tiên dòng máy doanh nghiệp cho người giữ dữ liệu quan trọng.

Song song với RAM, các lỗ hổng ở cấp vi xử lý cũng có thể làm lộ dữ liệu trong bộ nhớ theo đường phần mềm. Bạn có thể đọc thêm về các lỗ hổng cấp chip như Meltdown và Spectre để thấy vì sao bản vá firmware và vi mã quan trọng không kém.

Áp dụng cho văn phòng và phòng máy chủ

Với doanh nghiệp, bảo vệ RAM là một phần của an ninh vật lý. Một số nguyên tắc đơn giản:

1. Áp chính sách nhóm để mọi laptop dùng mã hóa ổ đĩa có PIN và chuyển sang Hibernate khi gập nắp.
2. Khóa vỏ máy trạm và máy chủ, đặt máy chủ trong tủ rack có khóa, ghi nhật ký người ra vào phòng kỹ thuật.
3. Thiết lập mật khẩu firmware thống nhất, quản lý bằng công cụ của hãng thay vì để mỗi máy một kiểu.
4. Huấn luyện nhân viên về rủi ro khi để máy ở chế độ ngủ trong xe, khách sạn hoặc khi đi công tác.
5. Kiểm tra định kỳ cổng và thiết bị gắn vào máy chủ để phát hiện phần cứng lạ.

Điểm cuối cùng đặc biệt quan trọng vì kẻ tấn công vật lý thường cắm thêm thiết bị chứ không chỉ đánh cắp RAM. Quy trình phát hiện thiết bị phần cứng lạ trên máy chủ nên chạy song song với các biện pháp nêu trên.

Khi nghi máy đã bị can thiệp

Nếu laptop bị mất rồi tìm lại được, hoặc bạn thấy dấu hiệu vỏ máy bị mở, hãy coi các bí mật từng nằm trong RAM là có thể đã lộ. Cụ thể, đổi mật khẩu các tài khoản quan trọng đã đăng nhập trên máy, đăng xuất mọi phiên trình duyệt từ xa, thu hồi khóa khôi phục BitLocker cũ và tạo khóa mới, kiểm tra firmware có bị thay đổi không. Với máy công ty, hãy báo ngay cho bộ phận IT thay vì tự xử lý, vì họ cần ghi nhận sự cố và đánh giá phạm vi ảnh hưởng.

Tóm lại, tấn công cold boot không phải mối nguy hằng ngày, nhưng chi phí phòng ngừa rất thấp: tắt máy đúng cách, mã hóa có PIN, khóa firmware và giữ thiết bị trong tầm mắt. Ba thói quen đó đã loại bỏ phần lớn cơ hội của kẻ gian.