Trong thế giới bảo mật di động, một mối đe dọa mới đã xuất hiện, thách thức những giả định cơ bản về mô hình bảo mật của Android. Pixnapping, một kỹ thuật tấn công tinh vi cho phép các ứng dụng độc hại đánh cắp thông tin nhạy cảm từng pixel một từ các ứng dụng khác, đã châm ngòi cho cuộc tranh luận gay gắt giữa các nhà nghiên cứu bảo mật và nhà phát triển. Điều khiến lỗ hổng này đặc biệt đáng lo ngại là bất chấp những nỗ lực vá lỗi của Google, các nhà nghiên cứu đã nhanh chóng tìm ra các phương án vượt qua, làm dấy lên câu hỏi liệu lỗ hổng bảo mật này có bao giờ có thể được khắc phục hoàn toàn hay không.
Thách thức kỹ thuật của các cửa sổ thực sự an toàn
Cốt lõi của lỗ hổng Pixnapping nằm ở cách thức Android xử lý các vùng màn hình lẽ ra phải được bảo mật. Các ứng dụng có ý thức bảo mật cao như Google Authenticator và Signal sử dụng tính năng cửa sổ an toàn của Android để ngăn các ứng dụng khác chụp nội dung của chúng thông qua các phương pháp chụp màn hình truyền thống. Tuy nhiên, Pixnapping bỏ qua các biện pháp bảo vệ này bằng cách khai thác các thao tác đồ họa và các kênh bên phần cứng.
Các nhà phát triển ứng dụng vốn đã có thể đánh dấu động cửa sổ của họ là an toàn, điều này lẽ ra phải ngăn bất kỳ ứng dụng nào khác đọc các pixel mà nó hiển thị. Bộ tổng hợp (compositor) kết hợp tất cả các cửa sổ, bao gồm cả cửa sổ an toàn và áp dụng bất kỳ hiệu ứng nào như làm mờ. Không ứng dụng nào được cho phép nhìn thấy hình ảnh tổng hợp cuối cùng này, nhưng cuộc tấn công này sử dụng một kênh bên mà họ tìm thấy, cho phép các ứng dụng trên hệ thống tìm hiểu thông tin về các pixel trong bản tổng hợp cuối cùng.
Thông tin này làm nổi bật sự căng thẳng cơ bản trong các hệ điều hành di động hiện đại giữa chức năng và bảo mật. Các tính năng như chế độ ban đêm, làm mờ màn hình và hiệu ứng hình ảnh đòi hỏi hệ thống phải xử lý pixel từ các cửa sổ an toàn, tạo ra cơ hội cho việc khai thác. Cuộc tấn công sử dụng một cách khéo léo API làm mờ cửa sổ của Android để thao túng các pixel này và sau đó đo lường sự khác biệt về thời gian phụ thuộc vào màu sắc thông qua kênh bên phần cứng GPU.zip.
Các Thành Phần Kỹ Thuật Bị Khai Thác:
- API làm mờ cửa sổ của Android
- Callback VSync để đo lường thời gian
- Kênh phụ phần cứng GPU.zip
- Intent của Android để phủ lớp activity
Bản vá không đủ
Phản hồi của Google trước việc tiết lộ về Pixnapping cho thấy sự phức tạp của vấn đề. Công ty đã phát hành một bản vá ban đầu vào tháng 9 năm 2025 nhằm cố gắng giới hạn số lượng hoạt động mà một ứng dụng có thể kích hoạt hiệu ứng làm mờ. Tuy nhiên, nhóm nghiên cứu nhanh chóng phát hiện ra một phương án vượt qua đã khôi phục hiệu quả của cuộc tấn công. Trò mèo vờn chuột này cho thấy thách thức trong việc sửa chữa các lỗ hổng trải dài trên cả API phần mềm và đặc điểm phần cứng.
Tình hình càng trở nên phức tạp hơn do sự tham gia của nhiều nhà cung cấp. Trong khi Google phát triển Android, kênh bên GPU.zip ảnh hưởng đến phần cứng từ nhiều nhà sản xuất khác nhau, và tính đến tháng 10 năm 2025, không ai trong số họ cam kết vá lỗi phần cứng cơ bản. Sự phân mảnh này tạo ra một cơn bão hoàn hảo, nơi các bản vá phần mềm chỉ có thể giải quyết vấn đề một phần.
Dòng thời gian công bố:
- 2025-02-24: Công bố ban đầu cho Google
- 2025-07-25: CVE-2025-48561 được gán
- 2025-09-02: Google phát hành bản vá lỗi đầu tiên
- 2025-09-04: Các nhà nghiên cứu phát hiện cách khắc phục tạm thời
- 2025-10-13: Google công bố kế hoạch vá lỗi vào tháng 12
Mối quan ngại của cộng đồng về hệ quả thực tế
Phản ứng của cộng đồng bảo mật trước Pixnapping khá đa dạng, với một số ý kiến nghi ngờ về mức độ rủi ro trong thực tế so với sự chú ý mà lỗ hổng này nhận được. Một quan điểm cho rằng nếu kẻ tấn công có thể cài đặt một ứng dụng độc hại trên thiết bị của người dùng, chúng có thể có những cách dễ dàng hơn để đánh cắp thông tin so với kỹ thuật đánh cắp pixel tinh vi này.
Tuy nhiên, điều này đánh giá thấp bản chất hoạt động lén lút của Pixnapping. Không giống như các cuộc tấn công rõ ràng hơn, Pixnapping có thể hoạt động mà không cần bất kỳ quyền đặc biệt nào và hoàn toàn ẩn khỏi người dùng. Khả năng đánh cắp mã xác thực hai yếu tố từ Google Authenticator trong vòng 30 giây trong khi người dùng không hề hay biết đại diện cho một mối đe dọa đáng kể đối với bảo mật xác thực.
Các Ứng Dụng Dễ Bị Tấn Công Chính:
- Google Authenticator (mã 2FA bị đánh cắp trong vòng chưa đầy 30 giây)
- Signal (tin nhắn riêng tư)
- Gmail và Google Accounts
- Venmo (thông tin tài chính)
- Google Maps
Hệ quả rộng lớn hơn đối với bảo mật di động
Pixnapping phơi bày những vấn đề sâu xa hơn trong bảo mật hệ sinh thái di động. Lỗ hổng này ảnh hưởng đến thiết bị từ nhiều nhà sản xuất, bao gồm cả dòng Pixel của chính Google và dòng Galaxy series của Samsung, chạy các phiên bản Android từ 13 đến 16. Tác động rộng rãi này nhấn mạnh cách các mẫu kiến trúc phổ biến có thể tạo ra các lỗ hổng mang tính hệ thống.
Dòng thời gian từ các nhà nghiên cứu tiết lộ một khuôn mẫu đáng lo ngại trong quản lý lỗ hổng. Lỗ hổng danh sách ứng dụng vượt qua của họ, cho phép bất kỳ ứng dụng nào xác định những ứng dụng khác được cài đặt trên thiết bị mà không cần yêu cầu quyền, đã được Google đánh giá là Mức độ nghiêm trọng Thấp và đánh dấu là Sẽ không sửa (Không khả thi). Điều này cho thấy một số lỗ hổng bảo mật đang được chấp nhận như là điều vốn có của nền tảng hơn là được giải quyết.
Thiết bị và phiên bản Android bị ảnh hưởng:
- Google Pixel 6, 7, 8, 9 (Android 13-16)
- Samsung Galaxy S25 (Android 13-16)
- Có khả năng tất cả các thiết bị Android sử dụng kiến trúc kết xuất tương tự
Hướng tới tương lai: Cuộc tìm kiếm giải pháp
Cuộc chiến liên tục chống lại Pixnapping đặt ra những câu hỏi quan trọng về tương lai của bảo mật di động. Một số thành viên cộng đồng đã đề xuất các cách tiếp cận triệt để hơn, chẳng hạn như tạo ra các vùng hiển thị an toàn hoàn toàn riêng biệt, được cách ly hoàn toàn khỏi quy trình xử lý đồ họa thông thường. Tuy nhiên, như một bình luận đã lưu ý, điều này tạo ra sự đánh đổi về khả năng sử dụng, khiến các ứng dụng bảo mật trông không phù hợp khi các hiệu ứng hình ảnh toàn hệ thống được áp dụng.
Thách thức cơ bản vẫn còn đó: các thiết bị hiện đại là những hệ thống cực kỳ phức tạp, nơi bảo mật phải được cân bằng với chức năng và trải nghiệm người dùng. Như một thành viên cộng đồng nhận xét, các thiết bị hiện đại đơn giản là quá phức tạp để có thể hoàn toàn an toàn, gợi ý rằng có thể có một thị trường trong tương lai cho các hệ điều hành đơn giản hơn, an toàn hơn, ưu tiên bảo mật hơn các tính năng.
Câu chuyện về Pixnapping vẫn đang tiếp diễn, với kế hoạch Google sẽ thử nghiệm một bản vá khác vào tháng 12 năm 2025. Liệu điều này cuối cùng sẽ giải quyết được vấn đề hay chỉ đơn giản dẫn đến một vòng lặp khác của các phương án vượt qua vẫn còn chờ được trả lời. Điều rõ ràng là các lỗ hổng trải dài trên cả lớp phần mềm và phần cứng đại diện cho một trong những vấn đề khó khăn nhất trong an ninh mạng ngày nay.
Tham khảo: Cuộc tấn công Pixnapping