Gọi video trực tuyến: Có đảm bảo bí mật dữ liệu cho người dùng?

Do dịch COVID-19, học và làm việc online trở nên phổ biến và bắt buộc ở một số nơi, mở ra cơ hội sử dụng một loạt ứng dụng công nghệ để họp nhóm trực tuyến từ hàng chục đến hàng trăm người. Điều này hỗ trợ không nhỏ trong việc vận hành doanh nghiệp và tổ chức hoạt động trong nhiều lĩnh vực như giáo dục, y tế…. Tuy nhiên cùng với đó, thế giới cũng dấy lên một số nghi ngại về tính bảo mật và đảm bảo quyền riêng tư.

Nguy cơ tổn thương người dùng

Sự việc đình đám nhất liên quan đến gọi họp trực tuyến gần đây là làn sóng cấm/hạn chế sử dụng ứng dụng Zoom Cloud Meetings (gọi tắt là Zoom).

Cuối tháng 3, tạp chí MotherBoard đã công bố một bản báo cáo cho thấy ứng dụng Zoom trên nền tảng iOS đã chia sẻ dữ liệu người dùng với Facebook ngay cả khi người dùng không có tài khoản Facebook. Không lâu sau đó, Cục điều tra liên bang Mỹ FBI đăng cảnh báo về điểm yếu của phần mềm và đưa ra 5 khuyến cáo với người dùng về các cài đặt cuộc họp công khai. Vài ngày sau, phòng nghiên cứu Citizen Lab của ĐH Toronto cũng công bố phân tích cho thấy một số cuộc gọi của người dùng Zoom ở Bắc Mỹ được chuyển hướng tới Trung Quốc.

Trước những khuyến cáo như vậy, nhiều cơ quan chính phủ (Mỹ, Đức, Đài Loan,..) và tập đoàn lớn (Google, Tesla, NASA, SpaceX,…) đã cấm nhân viên, công chức sử dụng ứng dụng này trong công việc. Nhưng những hậu quả đáng tiếc đã xảy ra. Đầu tháng 4, Bộ giáo dục Singapore đã yêu cầu giáo viên ngừng sử dụng Zoom để giảng dạy tại nhà sau sự kiện tin tặc chiếm quyền phát trực tuyến bài học để hiển thị hình ảnh tục tĩu lên màn hình một số học sinh. Một học sinh 13 tuổi kể lại với mẹ mình rằng trên màn hình lớp học của em tự nhiên xuất hiện hai người lạ nói với các bạn nữ rằng “hãy khoe ngực ra đây”.

Tại Việt Nam, đã có nhiều vụ việc học sinh lập nhóm chia sẻ thông tin ID, mật khẩu, giờ học và rủ nhau vào quấy phá các lớp học Zoom trực tuyến với lý do “không thích học”. Rõ ràng, những điểm yếu trong tính năng và bảo mật của một ứng dụng phổ biến (và miễn phí) có thể tạo ra cơ hội khiến người dùng lâm vào thế bất lợi hoặc tổn thương trước những can thiệp chủ đích từ bên ngoài.

Ứng dụng nào mã hóa đầu cuối

Nhưng không phải chỉ Zoom mới có vấn đề về bảo mật. Các nhà nghiên cứu thuộc mạng lưới chuyên gia Việt Nam tại Nhật Bản (VANJ) vừa công bố báo cáo xem xét tính năng và bảo mật* của 9 ứng dụng họp nhóm video phổ biến hiện nay là Zoom, Microsoft Teams, Cisco Webex, Google Hangouts, Skype, Facebook, Line, Jitsi, Mozilla Hubs và thấy rằng tính đến thời điểm báo cáo 13/4, nhiều ứng dụng có điểm yếu về mã hóa đầu cuối (end-to-end encryption – E2E). Nghĩa là bên thứ 3 có thể tiếp cận thông tin.

Nhìn rõ nguy cơ này từ lâu, nhiều quốc gia đã luật hoá việc xây dựng hệ thống bảo mật cũng như bảo vệ thông tin riêng tư của người dùng. Chẳng hạn, từ 2017, luật APPI (Act on the Protection of Personal Information) của Nhật Bản yêu cầu tất cả các doanh nghiệp phải bảo vệ dữ liệu người dùng (thay vì trước đó chỉ yêu cầu doanh nghiệp có quy mô từ từ 5,000 người)

“Các doanh nghiệp Nhật Bản cũng ý thức rằng bảo mật hệ thống cũng chính là bảo vệ con đường kinh doanh của họ vì trong thế giới số hiện nay, mối nguy hiểm từ tin tặc không những ngày càng nhiều hơn mà còn tinh vi hơn. Ngay cả doanh nghiệp nhỏ, startup, nếu không may gặp phải sự cố về bảo mật thì rất khó để lấy lại uy tín và thậm chí con đường phát triển gần như đóng lại trong thời buổi có nhiều cạnh tranh như hiện nay”, TS. Trần Phương Thảo, nghiên cứu viên chuyên ngành Công nghệ thông tin và Bảo mật tại Đại học Tokyo, đồng tác giả trong báo cáo của VANJ cho biết.

Mã hóa đầu cuối E2E được chọn là một tiêu chí đánh giá độ bảo mật nổi bật trong báo cáo, bởi nó thiết lập một giao thức truyền tin riêng tư tốt nhất trên Internet có khả năng ngăn chặn dữ liệu bị đọc được hoặc sửa đổi một cách bí mật. Về nguyên tắc, các gói tin được mã hóa bởi người gửi và chỉ có người nhận mới có thể giải mã được, ngoài ra không ai có thể giải mã.

Nhưng trên thực tế, có những ứng dụng không hỗ trợ phương thức này dẫn đến việc tin tặc, các công ty viễn thông, cơ quan chính phủ, thậm chí bên cung cấp dịch vụ/server cũng có khả năng can thiệp vào nội dung và đường truyền dữ liệu.

Sau sự “thất sủng” của Zoom, Microsoft Teams hiện thu hút được một lượng đông đảo người dùng, nhưng họ cũng có điểm yếu tương tự như Zoom là không hỗ trợ mã hoá E2E. Microsoft Teams cho biết dữ liệu của họ mã hoá khi đang truyền đi và khi nằm trên thiết bị lưu trữ (“in transit and at rest”) – điều này không đồng nghĩa với E2E, do vậy vẫn có những rủi ro nhất định về bảo mật. Tương tự, Google Hangouts cũng chỉ mã hóa dữ liệu khi truyền (“in transit”). Nếu dữ liệu người dùng tới được máy chủ thì Google có quyền truy cập hoàn toàn vào nội dung.

Ứng dụng Line chỉ mã hóa ở tầng vận chuyển (“Transport-level”, dùng LEGY encryption hoặc HTTPS) với cuộc gọi nhóm, nhưng có thực hiện mã hóa E2E khi gọi video 1-1 hoặc khi trò chuyện bằng tin nhắn văn bản, không phải video.

Trong khi đó, Facebook, thương hiệu mang nhiều tai tiếng về vấn đề quyền riêng tư và bảo mật dữ liệu người dùng trong mấy năm gần đây, vì nhiều lý do đã quyết tâm chuyển sang hướng đi “khóa” hết cửa tiếp cận dữ liệu người dùng. Ứng dụng Facebook Messenger đang hỗ trợ mã hóa E2E với cuộc gọi có hình. Tuy vậy, điều này chỉ diễn ra khi người dùng bật chế độ đối thoại ẩn (“Secret Conversation mode”). Facebook cho biết việc mã hoá E2E ở chế độ mặc định sẽ mất nhiều năm nữa mới có thể thực hiện được.

Các phần mền thương mại như Cisco WebEx, Skype đều có mã hóa E2E với cuộc gọi video nhóm, cho phép từ 50-100 người tham gia. Ứng dụng mã nguồn mở Jitsi hồi giữa tháng 4/2020 đã công bố hỗ trợ mã hoá E2E và đang trong giai đoạn kêu gọi người dùng giúp đỡ báo cáo các lỗi bảo mật để phát triển hoàn chỉnh tính năng này. Jitsi cho phép tối đa 75 người tham dự cuộc gọi cùng lúc và có thể hơn nếu máy chủ riêng của người dùng có năng lực tính toán cao hơn. Ứng dụng mã nguồn mở Mozilla Hubs mặc dù có thể hỗ trợ cuộc gọi tới 200 người nhưng chưa rõ về khả năng mã hóa đầu cuối.

Cuộc tranh luận chưa ngã ngũ

Bảo mật dữ liệu là điều mà phần lớn mọi người đều đồng thuận. Nhưng bảo mật đến mức sử dụng mã hóa đầu cuối lại là câu chuyện gây tranh cãi từ lâu trong giới công nghệ và các chính phủ. Những người ủng hộ E2E, đặc biệt phần lớn các chuyên gia bảo mật, đều đánh giá cao cách tiếp cận này vì nó bảo vệ dữ liệu người dùng tốt hơn khỏi tin tặc và các bên thứ ba có thể muốn theo dõi, và do đó đảm bảo quyền riêng tư và bảo mật. Điều này đồng nghĩa với việc không có điểm nào ngăn chặn thông tin ở giữa dòng, do vậy cá nhân có thể tự do trao đổi bất kì điều gì mà không lo sợ bị giám sát.

Đối đầu lại với ý kiến đó, các chính phủ thấy rằng mã hóa đầu cuối – một mặt đảm bảo an toàn cho các công dân lương thiện, cùng đồng thời đảm bảo một không gian an toàn cho các tội phạm liên lạc với nhau mà không ai tiếp cận được. Công nghệ cũng đồng thời bảo vệ sự bí mật của tội phạm. Nếu máy chủ có thể giải mã dữ liệu, có thể can thiệp vào việc truyền dữ liệu, thì các cơ quan thực thi pháp luật sẽ có một công cụ đắc lực giúp bắt giữ kẻ xấu hoặc lấy bằng chứng xét xử những vụ việc sai phạm. Chính phủ Hoa Kỳ, Anh và Úc là những bên đang đấu tranh mạnh mẽ để loại bỏ việc đóng sập những tùy chọn can thiệp này.

Nhìn những bằng chứng có sẵn cho đến nay thì dường như mã hóa có thể được sử dụng cho cả mục đích tốt và xấu. Ngay cả việc thiết lập những cửa hậu (Backdoor) để thỏa hiệp hai luồng tranh luận trên cũng có thể rơi vào thế tiến thoái lưỡng nam như mã hóa E2E nếu không biết chìa khóa mở cửa rơi vào tay người tốt hay kẻ xấu.

Các công ty cân nhắc sự đánh đổi

Vậy các công ty công nghệ thì sao? Rất khó để yêu cầu họ nên đi theo hướng nào – hỗ trợ hay không hỗ trợ E2E – bởi cả hai đều đem lại những lợi ích và chi phí nhất định với từng công ty khác nhau.

Nếu triển khai mã hóa đầu cuối, một công ty có thể thu được lòng tin của người dùng, tránh được những lệnh đòi hỏi can thiệp của chính quyền bởi chính bản thân họ cũng không thể can thiệp vào dữ liệu, và tiết kiện được một loạt thời gian, tiền bạc và rắc rối từ việc kiện tụng. Nhưng họ cũng phải bỏ ra lượng công việc khổng lồ để cải thiện công nghệ. Thậm chí có những công ty mà mô hình kinh doanh được xây dựng dựa trên nền tảng tiếp cận dữ liệu người dùng thì rõ ràng việc đảm bảo bảo mật cao như vậy sẽ ảnh hưởng toàn bộ đến hoạt động kinh doanh.

Chẳng hạn như gã khổng lồ Facebook. Facebook bắt đầu triển khai mã hóa E2E trên ứng dụng WhatsApp khi công ty này mua lại nó vào năm 2016 nhưng quá trình chuyển đổi cũng kéo dài kéo dài mấy năm và rất vất vả, tốn kém. WhatsApp lúc đó đơn giản hơn rất nhiều so với ứng dụng tin nhắn của Facebook là Messeger hiện nay, cho nên chuyển đổi Messeger và nhiều nền tảng như Instagram sẽ mất nhiều năm nữa mới có thể trở thành hiện thực.

Lý do, không chỉ bởi những rào cản của việc thực thi luật chống mã hóa ở Mỹ hay phải dịch chuyển mô hình kinh doanh của công ty, mà về mặt kỹ thuật, kỹ sư của Facebook thú nhận họ cần “xem xét lại hầu hết toàn bộ nền tảng”. Facebook đang kêu gọi sáng kiến từ cộng đồng cho bài toán khổng lồ này.

Facebook Messenger hỗ trợ mã hóa E2E chỉ khi người dùng bật chế độ đối thoại ẩn

Với ứng dụng Zoom, giáo sư mật mã học Matthew Green, ĐH Johns Hopkins cũng chỉ ra rằng Zoom rất khó để mã hóa E2E, vì ứng dụng này cần phát hiện ra người dùng nào đang nói để chọn videostream ở độ phân giải cao từ người đang nói và chỉ chọn videostream ở độ phân giải thấp cho những người còn lại. Điều này khiến Zoom cần thấy những bản ghi rõ, hay còn gọi là nội dung không được mã hoá.

Nếu tương lai, Zoom chọn mã hoá E2E thì họ sẽ phải thêm các cơ chế bổ sung để đảm bảo việc chọn video của người đang nói để truyền đi mà không làm rò rỉ thông tin. “Đây là một sự đánh đổi [trade-off] nhưng khả thi”, GS. Green cho biết. Apple đã áp dụng tương tự cho dịch vụ FaceTime của mình.

Việc thiết lập mã hóa E2E cũng có thể khiến ứng dụng ít tiện lợi và có thể kém hấp dẫn hơn với người dùng phổ thông. Ví dụ, Cisco WebEx mặc dù có độ an toàn của E2E nhưng đặc điểm mã hóa đó khiến nó không thể hỗ trợ việc bảo mật khi phát trực tiếp media streams (tức gửi các file đã được chia nhỏ và hiển thị ngay cả khi nó vẫn đang trong quá trình tải), lưu lại các bản ghi, biên bản cuộc họp, tải lên tài liệu vào cuối cuộc họp,…

Chúng ta không chắc các công ty sẽ thay đổi bảo mật mã hóa E2E đến đâu. Người dùng đại chúng cũng ít khi nắm rõ được ứng dụng mình đang sử dụng an toàn đến mức nào và họ cần nhớ thực hiện những thao tác gì để bảo vệ bản thân. Họ luôn đứng trước lựa chọn giữa việc đánh đối sự riêng tư và bảo mật của mình lấy sự tiện lợi, dễ dàng và miễn phí.

Hơn bao giờ hết, người dùng cần sự minh bạch của các công ty công nghệ và khuyến cáo kịp thời từ các mạng lưới, nghiên cứu và tổ chức an ninh trên không gian số./.

_______________________________

Xin cảm ơn nhóm tác giả VANJ đã hỗ trợ thông tin hữu ích cho bài viết này.

Quý độc giả có thể theo dõi báo cáo đầy đủ về “Tính Năng và Bảo Mật của Một Số Ứng Dụng Video Conference Phổ Biến”, Trần Phương Thảo, Tạ Đức Tùng, và Lê Đức Anh, Vietnamese Academic Network in Japan (VANJ), Tokyo, Nhật Bản. Cập nhật 13/04/2020. Nguồn: https://vanj.jp/2020/04/22/tinh-nang-va-bao-mat-cua-mot-so-ung-dung-video-conference-pho-bien/

_______________________________

Nguồn: Ngô Hà/Báo KH&PT