Phát hiện 12 lỗ hổng bảo mật, cựu sinh viên ĐH FPT được Microsoft trả thưởng hơn 100.000 USD

Tính đến cuối năm 2021, Đào Trọng Nghĩa đã phát hiện 12 lỗ hổng bảo mật quan trọng ở mức nhân của hệ điều hành Windows, kể cả lỗi trên các phiên bản mới nhất (Windows 10, Windows 11).

3 năm cho lỗ hổng đầu tiên

Năm 2018, Trọng Nghĩa gia nhập VCS sau khi chiến thắng cuộc thi "Sinh viên với an toàn thông tin". Chàng sinh viên năm 3 Đại học FPT mang khát vọng tìm hiểu tận cùng về máy móc. Nghĩa chọn hệ điều hành Windows - phần mềm lâu đời nhất tính đến nay - là mục tiêu nghiên cứu.

Tuy nhiên, Nghĩa không ngờ phải mất hơn 3 năm, cậu mới phát hiện lỗ hổng đầu tiên. "Làm mãi một công việc mà chưa có thành quả, nhiều lúc mình muốn trầm cảm, thấy bản thân không đủ năng lực để đi tiếp", 9X chia sẻ.

Nghĩa có hơn 10 người bạn cũng theo đuổi mục tiêu như vậy, nhưng đến nay phần lớn đều từ bỏ. May mắn đến với Nghĩa vào lúc tuyệt vọng nhất, khi một đàn anh ở VCS gửi tới cậu lời động viên. "Anh Ngô Anh Huy,người đã báo cáo rất nhiều lỗ hổng cho Google, Oracle,... nói với mình rằng Cái này là hên xui, nhưng kiểu gì cũng còn lỗi nên em cứ làm đi”, Nghĩa kể lại.

Câu nói đơn giản khiến Nghĩa như bừng tỉnh. Nhìn lại báo cáo hàng tháng của Microsoft, 9X nhận ra nhiều lỗi lớn, nhỏ được các cá nhân, công ty bảo mật trên toàn cầu phát hiện.

Trong một ngày nghỉ phép năm 2021, Nghĩa tình cờ phát hiện lỗ hổng quan trọng của Windows. Thực tế, lỗi này còn lớn hơn một lỗ hổng đơn lẻ. Chuyên gia trẻ của VCS đã tìm ra một số cơ chế hoạt động của Windows có thể dẫn đến hàng loạt lỗi bảo mật. Sau đó, Nghĩa liên tiếp phát hiện nhiều lỗi bảo mật lớn, nhỏ ở mức sâu nhất của hệ điều hành này.

Bệ phóng Viettel

Khi mới vào Viettel, Nghĩa có 50% thời gian để nghiên cứu và phát hiện lỗ hổng, song song với thực hiện các dự án của VCS. Với chuyên gia 9X, không nơi nào hết lòng để nhân viên được tự do làm việc theo sở thích như VCS.

Các dự án Nghĩa tham gia đều là công việc phân tích những lỗi được Microsoft công bố hàng tháng. Sau đó, cậu tái lập lỗi trên phiên bản cũ với mục đích học hỏi. Qua những nhiệm vụ như vậy, tay nghề và kỹ năng của Nghĩa dần cải thiện.

Tất cả lỗ hổng đều rất khó phát hiện bởi Nghĩa phải "tự lực cánh sinh" và không có tài liệu tham khảo. Công việc khó, song môi trường làm việc tại VCS tạo cho cậu sự thoải mái. Lãnh đạo đồng ý cho nhân viên san sẻ công việc với đồng nghiệp để toàn tâm toàn ý nghiên cứu.

Bên cạnh đó, VCS cũng thường xuyên kết nối nhân viên với các tổ chức, chuyên gia uy tín về bảo mật trên thế giới để chia sẻ tri thức, trau dồi kỹ năng. Thậm chí, khi các bạn có nhu cầu nghiên cứu các thiết bị công nghệ tiên tiến, công ty cũng đảm bảo đầy đủ cơ sở vật chất.

"Chính sự thoải mái đã tạo động lực sáng tạo cho nhân viên. Nếu không làm ở Viettel, có thể mình sẽ không phát hiện ra bất cứ lỗ hổng nào", Nghĩa chia sẻ.

Dấu ấn người Việt trên trường quốc tế

Những người làm trong ngành công nghệ, đặc biệt là lĩnh vực an ninh mạng, chắc hẳn biết đến “Pwn2Own Vancouver” - cuộc thi uy tín hàng đầu thế giới. Tại đây, những ông lớn công nghệ như Microsoft, Google, VMWare,... sẽ mang tới loạt sản phẩm hiện đại nhất, thách thức các nhà nghiên cứu bảo mật hàng đầu thế giới tấn công.

Bên cạnh xâm nhập thành công, các chuyên gia còn phải khai thác lỗ hổng, chỉ ra sai sót của các thương hiệu lớn này. Lỗi sai càng lớn, điểm và phần thưởng càng cao.

Năm 2021, VCS có 2 đại diện tham dự cuộc thi là Đào Trọng Nghĩa và Phạm Văn Khánh. Cả hai đã vào top 100 cao thủ bảo mật thế giới năm 2021 do Microsoft công bố.

Vượt qua hàng nghìn đối thủ đến từ nhiều quốc gia, gồm cả các nước đứng đầu về an ninh mạng như Trung Quốc, Mỹ, Nga, Anh, Pháp,... Nghĩa chiến thắng 2 hạng mục Windows Kernel. 2 chuyên gia trẻ cũng góp sức giúp VCS xếp hạng 5 thế giới.

Đây là lần đầu tiên một công ty Việt Nam được xướng tên ở vị trí cao như vậy. VCS một lần nữa khẳng định vị thế dẫn đầu Việt Nam trong chuyên môn sâu về bảo mật, củng cố niềm tin của những người dùng lựa chọn sản phẩm, dịch vụ đến từ thương hiệu này.

Đạt nhiều thành tích nổi bật ở tuổi 24, được bạn bè, đồng nghiệp cùng giới chuyên môn trong và ngoài nước đánh giá cao, song khi nhìn lại những cột mốc đã qua, Nghĩa khiêm tốn: "Chiến thắng hay đoạt thứ hạng cao trong một cuộc thi chưa đủ để khẳng định mình giỏi. So với đồng nghiệp ở các nước hàng đầu về công nghệ, mình thấy bản thân vẫn còn phải học hỏi nhiều".

Theo Zing.vn