- Các cơ quan điều tra liên bang Mỹ, thông qua hai lệnh của tòa án, đã yêu cầu Google cung cấp thông tin người xem các video và livestream YouTube cụ thể, làm dấy lên lo ngại rằng ngay cả người xem vô tội cũng có thể bị đưa vào diện điều tra
- Trong vụ việc tại Kentucky, để tìm người dùng “elonmuskwhm”, cơ quan điều tra đã yêu cầu thông tin tài khoản Google của những người xem các video hướng dẫn trên YouTube đã được gửi đi, cùng địa chỉ IP của những người xem không đăng nhập
- Trong vụ việc tại New Hampshire, sau một lời đe dọa đánh bom, cảnh sát cho rằng họ đã bị theo dõi qua các livestream YouTube và yêu cầu danh sách các tài khoản đã xem hoặc tương tác với 8 luồng phát trong một khung thời gian cụ thể
- Google cho biết họ xem xét tính hợp pháp và quyền riêng tư người dùng đối với mọi yêu cầu từ cơ quan thực thi pháp luật, đồng thời phản đối các yêu cầu dữ liệu quá mức hoặc không phù hợp
- Lịch sử xem trực tuyến có thể tiết lộ thông tin nhạy cảm như khuynh hướng chính trị, mối quan tâm và niềm tin tôn giáo, nên các lệnh của tòa có nguy cơ mở rộng thành điều tra kiểu lưới quét kỹ thuật số
Hai lệnh của tòa án yêu cầu thông tin về người xem YouTube cụ thể
- Các cơ quan điều tra liên bang Mỹ đã yêu cầu Google nộp thông tin về những người đã xem một số video và livestream YouTube cụ thể thông qua lệnh của tòa án
- Các chuyên gia về quyền riêng tư thuộc các tổ chức dân quyền lo ngại cách làm này có thể đối xử với những người xem YouTube vô tội như nghi phạm hình sự, đến mức gần với điều tra quá mức vi hiến
- Chỉ dựa trên hồ sơ tòa án thì chưa thể xác nhận liệu Google đã thực sự cung cấp dữ liệu hay chưa
Vụ Kentucky: yêu cầu thông tin người xem để truy tìm “elonmuskwhm”
- Trong vụ việc tại Kentucky đã được công khai, các điều tra viên chìm tìm cách xác định danh tính một người dùng sử dụng bí danh trực tuyến “elonmuskwhm”
- Các điều tra viên cho rằng người dùng này đã mua bitcoin bằng tiền mặt và có thể đã vi phạm luật chống rửa tiền cùng các quy định liên quan đến chuyển tiền không giấy phép
- Trong một cuộc trò chuyện vào đầu tháng 1, các điều tra viên chìm đã gửi cho người dùng các liên kết YouTube hướng dẫn liên quan đến lập bản đồ bằng drone và phần mềm thực tế tăng cường
- Sau đó, cơ quan điều tra đã yêu cầu Google cung cấp thông tin về những người đã xem các video đó
- Tổng số lượt xem của các video này vượt 30.000 lượt
- Khoảng thời gian bị yêu cầu là từ ngày 1/1/2023 đến ngày 8/1
- Đối với người dùng tài khoản Google, họ yêu cầu tên, địa chỉ, số điện thoại và hoạt động của người dùng
- Đối với người xem không đăng nhập, họ yêu cầu địa chỉ IP
- Cơ quan điều tra cho rằng những hồ sơ này sẽ giúp xác định thủ phạm trong một cuộc điều tra hình sự đang diễn ra
Vụ New Hampshire: lời đe dọa đánh bom và livestream YouTube
- Cảnh sát Portsmouth, bang New Hampshire, nhận được lời đe dọa từ một người đàn ông rằng chất nổ đã được đặt trong thùng rác ở nơi công cộng
- Sau khi khám xét hiện trường, cảnh sát phát hiện họ đã bị theo dõi thông qua camera livestream YouTube liên quan đến một doanh nghiệp địa phương
- Cơ quan điều tra liên bang cho rằng những vụ việc tương tự đã xảy ra trên khắp nước Mỹ, theo cách các lời đe dọa đánh bom được đưa ra và cảnh sát bị quan sát qua YouTube
- Cơ quan điều tra đã yêu cầu Google cung cấp danh sách các tài khoản đã “xem và/hoặc tương tác” với 8 livestream YouTube trong một khoảng thời gian cụ thể, cùng thông tin nhận dạng liên quan
- Trong đó có video do Boston and Maine Live, kênh có 130.000 người đăng ký, đăng tải
- Mike McCormack, người sáng lập IP Time Lapse, công ty đứng sau tài khoản này, cho biết ông biết về lệnh đó và nói rằng nó liên quan đến một vụ swatting nhắm vào màn hình camera thời điểm đó
Lập trường của Google và những phần chưa được công khai
- Matt Bryant, phát ngôn viên của Google, cho biết công ty có quy trình nghiêm ngặt để hỗ trợ công việc thực thi pháp luật đồng thời bảo vệ quyền riêng tư người dùng và các quyền hiến định
- Google cho biết họ xem xét tính hợp pháp của từng yêu cầu và đưa ra đánh giá phù hợp với án lệ đang phát triển
- Công ty phản đối các yêu cầu dữ liệu người dùng quá mức hoặc không phù hợp, và với một số yêu cầu thì phản đối toàn bộ
- Chỉ dựa trên hồ sơ tòa án thì chưa thể xác nhận liệu Google đã thực sự cung cấp dữ liệu trong hai vụ việc hay chưa
- Bộ Tư pháp Mỹ chưa phản hồi yêu cầu bình luận tính đến thời điểm bài báo được xuất bản
Lo ngại về tính vi hiến từ các chuyên gia quyền riêng tư
- Các chuyên gia quyền riêng tư cho rằng các lệnh này có thể làm suy yếu sự bảo vệ của Tu chính án thứ nhất và thứ tư đối với quyền tự do biểu đạt và quyền không bị khám xét vô lý
- Albert Fox-Cahn của Surveillance Technology Oversight Project cho rằng đang xuất hiện xu hướng các cơ quan chính phủ biến lệnh khám xét thành lưới quét kỹ thuật số, và điều đó vừa đáng sợ vừa vi hiến
- Fox-Cahn nói rằng không ai nên phải lo cảnh sát gõ cửa chỉ vì đã xem nội dung do thuật toán YouTube đề xuất
- Ông cho rằng các lệnh này có tác dụng làm người dùng e ngại tương đương với geofence warrant, vốn yêu cầu dữ liệu của những người ở gần hiện trường vụ án
- Trong bản cập nhật tháng 12, Google tuyên bố sẽ khiến việc phản hồi lệnh geofence bằng cách cung cấp dữ liệu vị trí trở nên bất khả thi về mặt kỹ thuật
- Trước đó, một tòa án California đã phán quyết rằng một geofence warrant bao trùm nhiều khu dân cư đông đúc ở Los Angeles là vi hiến
- John Davisson của Electronic Privacy Information Center cho biết việc một người xem gì trên mạng có thể tiết lộ thông tin nhạy cảm như chính trị, đam mê và niềm tin tôn giáo
- Davisson cho rằng việc kỳ vọng cơ quan thực thi pháp luật không thể tiếp cận những thông tin đó nếu không có lý do thỏa đáng là điều hợp lý, nhưng các lệnh lần này đã đảo ngược tiền đề đó
1 bình luận
Ý kiến Hacker News
Ở đây đang trộn lẫn các vụ việc khác nhau
Vụ đầu tiên, nơi cảnh sát đăng video rồi yêu cầu thông tin người xem, thực sự rất nghiêm trọng, và tôi thắc mắc làm sao tòa án có thể cho phép điều đó
Vụ tiếp theo thì tôi không hoàn toàn hiểu hết, nhưng có vẻ thủ phạm của một vụ swatting bị nghi là đã xem một buổi phát trực tiếp từ camera cụ thể, và cảnh sát đã đưa ra các điều kiện được thu hẹp khá đáng kể như khung thời gian hay các đặc điểm khác, nên có vẻ chính đáng hơn nhiều
Họ yêu cầu thông tin về một video có 30.000 lượt xem, và ngay cả khi giả định mọi người đều xem video đó 10 lần và đối tượng thực sự là một trong các người xem — điều đó cũng chưa hề rõ — thì quyền của 2.999 người đã bị xâm phạm để tìm ra một người
Có lẽ Blackstone sẽ có điều gì đó để nói về chuyện này[0]. Theo đúng nghĩa đen, đây là gấp 30 lần tỷ lệ Blackstone vốn đã ảnh hưởng lớn tới các nhà lập quốc
Điều này không hề có vẻ chính đáng
Sửa: lỗi chính tả
[0] https://en.wikipedia.org/wiki/Blackstone%27s_ratio
Thay vào đó, họ có một kênh liên lạc mở với đối tượng và ở trong tình huống có thể gửi cho họ nhiều liên kết YouTube
Giả thuyết của cảnh sát là nếu tìm được người dùng đã nhấp vào tất cả hoặc hầu hết các liên kết đó thì rất có thể đó là đối tượng, vì khả năng một người dùng ngẫu nhiên tình cờ xem hết các video đó là thấp
Tuy vậy, việc yêu cầu toàn bộ danh sách người xem thô có vẻ là vi hiến. Nó quá rộng, và cung cấp cho cảnh sát quá nhiều thông tin ngay cả về những người chỉ xem một video
Nhưng nếu đó là một yêu cầu hẹp hơn nhiều, trong đó Google tự xác định người dùng mục tiêu rồi chỉ bàn giao thông tin của người đó, thì có lẽ vẫn có thể chấp nhận được về mặt hiến pháp
Mặt khác, cả lệnh khám xét hẹp nhưng làm lộ thông tin của nhiều người cũng đã từng được chấp nhận theo hiến pháp. Ví dụ điển hình là lệnh yêu cầu một nhà nghỉ cung cấp tên của mọi khách đã check-in hoặc đăng ký vào một ngày cụ thể, và kiểu lệnh này đã nhiều lần được giữ nguyên hiệu lực
Vụ đầu tiên trông khá kỳ lạ
Google có phản kháng dù chỉ một chút cũng là điều đáng mừng. Chỉ không rõ họ có làm vậy cho một người Anh thay vì người Mỹ hay không, chắc là không đâu
“Theo lệnh của tòa, chính phủ đã chỉ đạo Google cung cấp tên, địa chỉ, số điện thoại và hoạt động người dùng của tất cả người dùng tài khoản Google đã xem video YouTube đó”
Điều này phần nào làm rõ vì sao các công ty công nghệ lớn/mạng xã hội cứ khăng khăng đòi số điện thoại nhân danh “xác thực hai yếu tố để bảo mật”, dù các cuộc tấn công hoán đổi SIM diễn ra rất nhiều
Bạn có thể đang dùng VPN, địa chỉ hay tên có thể không có trong tài khoản Google, nhưng số điện thoại thì gần như chắc chắn là có. Nếu dùng Android thì còn tệ hơn, vì họ có thể còn lôi ra cả lịch sử ứng dụng/lướt web
Với các nhà cung cấp lớn, credential stuffing là một vấn đề lớn, và yêu cầu xác thực hai yếu tố là biện pháp giảm thiểu quan trọng. Nếu là tấn công có chủ đích thì người ta có thể dùng hoán đổi SIM, nhưng mức độ khó sẽ tăng lên đáng kể so với credential stuffing thông thường
Hiện cũng không có nghĩa vụ pháp lý nào buộc Google phải lưu số điện thoại của mọi người dùng YouTube, và Sundar cũng không vì thế mà phải vào tù
Nói kiểu như “10 năm trước, một quản lý sản phẩm nào đó ở Google đã quyết định lập cơ sở dữ liệu số điện thoại người dùng để chuẩn bị cho những yêu cầu giám sát hàng loạt từ cơ quan thực thi pháp luật có thể xuất hiện trong tương lai, rồi bảo với người dùng rằng đó là vì bảo mật” thì nghĩ kỹ sẽ thấy là một thuyết âm mưu khá vô lý
— Chẳng có ai như thế cả
Làm ơn suy nghĩ chút đi. Kể cả với một tổ chức nhỏ hơn vốn ban đầu chỉ có tên và email, tại sao họ lại muốn số điện thoại? Họ đâu quan tâm đến việc nhận diện danh tính. Mà kể cả có quan tâm, họ đã có email và tên rồi
Tốt nhất nên bỏ chiếc mũ giấy bạc xuống đi
“Theo lệnh của tòa, chính phủ đã chỉ đạo Google cung cấp tên, địa chỉ, số điện thoại và hoạt động người dùng của tất cả người dùng tài khoản Google đã xem video YouTube đó từ ngày 1 tháng 1 năm 2023 đến ngày 8 tháng 1”
Một chi tiết bên lề thú vị là Viacom cũng từng dùng một yêu cầu quá rộng tương tự vào năm 2008 trong vụ kiện suýt khiến YouTube thời kỳ đầu lao đao[1]
Lần này thì bên đưa ra yêu cầu là chính phủ, và Google có nhiều dữ liệu hơn rất nhiều để có thể cung cấp
[1]: https://web.archive.org/web/20100702111029/http://afp.google...
Ngày càng nghiêng về quan điểm rằng tính ẩn danh không còn được đảm bảo nữa. Có lẽ phải mặc định rằng ai cũng biết tôi làm gì và tôi là ai
Vì vậy, có khi cứ dùng tên thật và giảm hoạt động trực tuyến xuống thật nhiều lại tốt hơn
Tôi vẫn chưa hoàn toàn chấp nhận điều đó, nhưng cảm giác như không thể tránh khỏi
Theo tôi, lựa chọn duy nhất là khiến quyền riêng tư và tính ẩn danh trở nên cực kỳ dễ dàng. Không phải chỉ cho dân kỹ thuật, mà đến cả ông bà không rành công nghệ cũng dùng được
Cần đẩy mạnh những công cụ như Signal, nơi người dùng có được mã hóa mà không cần phải ý thức về việc mã hóa. Mọi người muốn có quyền riêng tư và bảo mật, nhưng họ không biết cách làm hoặc không hiểu điều gì đang làm dữ liệu bị rò rỉ
Điều mỉa mai là chính ngành công nghiệp tạo ra vấn đề này lại là lĩnh vực mà chúng ta tham gia cốt lõi
Tôi vẫn chưa sẵn sàng nuốt viên thuốc đó, và cũng chưa bị thuyết phục rằng nhất định phải như vậy. Rõ ràng chúng ta vẫn có thể làm gì đó. Chỉ cần không tạo ra những thứ ấy, hoặc tạo ra các biện pháp phòng vệ, cũng đã là cách
Sự thờ ơ chẳng khác nào ủng hộ kiểu xói mòn theo hướng độc đoán này. Vì đó đúng là điều đang xảy ra
Nếu tạo một tài khoản HN chỉ truy cập qua Tor trên trình duyệt tắt JavaScript, rồi cho bài viết đi qua một dịch vụ biên tập AI một lượt, thì sẽ khá khó lần ngược lại
Ngược lại, nếu bạn phát trực tiếp bản thân 16 tiếng mỗi ngày thì nickname cũng chẳng giúp được gì. Chỉ cần ai đó nói “ơ, tôi biết người này” là bí mật coi như hết
Rốt cuộc, như mọi thứ khác, đây là vấn đề cân bằng. Còn tùy ai đang nhắm vào bạn và bạn thích làm gì trên mạng đến mức nào
Đó là câu hỏi bạn nên tự hỏi mình trước khi vào ở hẳn trong một căn chòi giữa rừng và dành cả ngày để viết tiểu thuyết. Tất nhiên xuất bản thì phải dùng bút danh
Tức là bạn có thể lập kế hoạch cho tình huống xấu nhất, nhưng không nên từ bỏ phán đoán và giá trị xã hội rằng điều đó là quá phổ biến, sai trái và bất thường
Việc theo dõi và các công ty thực hiện nó rộng khắp đến khó tin và rất khó thắng. Ví dụ, chỉ một quảng cáo trên trình duyệt mà bạn lướt qua bằng thao tác cuộn thôi cũng có thể đủ để tạo dấu vân tay
“Nếu có việc gì bạn không muốn ai biết, có lẽ ngay từ đầu bạn đừng làm nó.”
Câu này có thể được đọc như một kiểu nói khủng khiếp theo kiểu “không có gì để giấu thì không có gì phải sợ”, hoặc như một lời cảnh báo khá ổn về thực trạng hiện nay
Nếu ai chưa biết thì Invidious đáng để xem thử: https://invidious.io/
Nếu lo bị nhận diện, có lẽ bạn sẽ muốn dùng một public instance; danh sách ở đây: https://docs.invidious.io/instances/
Một bài viết khá liên quan từ vài năm trước:
Justice Department withdraws FBI subpoena for USA Today records ID'ing readers - https://news.ycombinator.com/item?id=27408647 - tháng 6 năm 2021, 174 bình luận
Cảnh sát đã rà qua các tìm kiếm trên Google để tìm nghi phạm, và đối mặt với thách thức pháp lý đầu tiên
2022-06-30 https://news.ycombinator.com/item?id=31938350
Lệnh đó gần như chỉ mang tính lịch sự. Khi chính phủ liên bang Mỹ thực sự muốn thứ gì đó, rất khó tưởng tượng có công ty nào chống lại mà thành công được
Các quốc gia-dân tộc lớn khác có lẽ cũng tương tự. Chính phủ Trung Quốc hẳn cũng sẽ lôi được sự hợp tác từ Google bằng cách cho thấy họ có thể truy cập mọi dữ liệu bất cứ lúc nào, còn Mỹ thì theo tôi cũng sẽ có được quyền truy cập toàn bộ bất kỳ lúc nào vì lý do nào đó
Dù vậy, vẫn phải ghi nhận công bằng ở chỗ này: https://en.wikipedia.org/wiki/Apple%E2%80%93FBI_encryption_d...
Về cơ bản, Google liên tục bảo NSA tránh xa, nên NSA đã đào bới để nghe lén cáp quang và lấy trộm lưu lượng dạng văn bản thuần giữa các trung tâm dữ liệu. Khi đó dường như trong đó có khá nhiều nội dung quan trọng
Chỉ trong vài tuần sau vụ rò rỉ MUSCULAR, mọi trung tâm dữ liệu của Google đã giao tiếp với nhau thông qua cơ chế kết thúc SSL đúng chuẩn
Bạn cũng biết Aurora chứ? Đó là vụ năm 2009 khi một tổ chức quân sự Trung Quốc đột nhập vào Google để lục tìm thông tin về các nhà bất đồng chính kiến đã được biết đến. Họ bị đẩy ra rất nhanh, và sau đó mức độ Google nâng cấp bảo mật là điều gần như chưa từng có trong lịch sử an toàn thông tin
NSA hay nhiều cơ quan thực thi pháp luật có thể nhận được thông tin từ Google nếu đi qua đúng thủ tục pháp lý, và có thể cũng có một số ít người nội bộ trong giới tình báo đôi khi nhận dữ liệu được chuyển từ bên trong Google như một phần của các thỏa thuận chia sẻ thông tin
Nhưng ý tưởng rằng NSA có thể tự do truy cập bất cứ thứ gì họ muốn ở Google thì thật vô lý
Sửa lại: hơn nữa đây còn không phải chính phủ liên bang, mà chính quyền bang và địa phương còn yếu hơn cả chút ảnh hưởng ít ỏi mà chính phủ liên bang có
Thành thật mà nói, nếu những điều trên là thật thì tôi có thể còn thấy vui. Tôi thừa nhận mình có thiên kiến vì thực sự ghét bọn trộm cắp và kẻ tống tiền