- Quét phía máy khách là phương thức kiểm tra tin nhắn hoặc tệp trên thiết bị trước khi được mã hóa
- Cách làm này được quảng bá với mục đích bảo vệ trẻ em, nhưng trên thực tế lại làm suy yếu cam kết cốt lõi của mã hóa
- Các công cụ phát hiện có khả năng cao gây ra dương tính giả và lỗ hổng bảo mật được sử dụng
- Một khi việc quét được cho phép, phạm vi đối tượng bị nhắm tới sẽ mở rộng, làm tăng nguy cơ xâm phạm quyền riêng tư
- Kết quả là, công nghệ này gây ra vấn đề làm suy yếu mức độ an toàn của mọi người
Quét phía máy khách (CSS) là gì
- Quét phía máy khách là cách kiểm tra tin nhắn, ảnh, tệp của người dùng ngay trên thiết bị trước khi mã hóa
- Cách làm này thường được quảng bá như một biện pháp an toàn cho trẻ em
Phá vỡ cam kết của mã hóa
- Trên thực tế, quét phía máy khách làm suy yếu các cam kết về bảo mật và quyền riêng tư mà mã hóa mang lại
- Các công cụ nhằm phát hiện nội dung "chưa được xác minh" có khả năng cao tạo ra dương tính giả, đồng thời có thể gây ra các lỗ hổng bảo mật mới
Rủi ro mở rộng phạm vi áp dụng
- Dù ban đầu chỉ bắt đầu với các mục đích hạn chế như bảo vệ trẻ em (ví dụ: CSAM), về sau phạm vi nội dung bị quét có thể dễ dàng bị mở rộng
- Khi mã hóa bị suy yếu, nhiều rủi ro sẽ gia tăng như tin tặc đánh cắp thông tin nhạy cảm, kẻ gây hại theo dõi người dễ bị tổn thương, và sự giám sát của các quốc gia độc tài
Sự suy yếu bảo mật trên thực tế
- Quét phía máy khách không cho thấy hiệu quả tăng cường bảo mật thực chất
- Kết cục là làm suy yếu mức độ an toàn của tất cả mọi người
1 bình luận
Ý kiến Hacker News
Tôi thích ví nó như việc lắp camera giám sát trong mọi ngôi nhà: đúng là như vậy sẽ dễ phát hiện hoặc điều tra tội phạm hơn, và chính phủ cũng có thể hứa ngoéo tay rằng họ sẽ tuyệt đối không xem nếu không có lệnh khám xét, thậm chí họ có thể thực sự giữ lời. Nhưng cái dốc trơn trượt nguy hiểm kiểu này mới chỉ là một phần của vấn đề. Nguy hiểm hơn là chừng nào hệ thống đó còn tồn tại, dù có thực sự được dùng hay không, nó sẽ trở thành mục tiêu hấp dẫn bậc nhất đối với tin tặc của các tổ chức tội phạm hoặc các quốc gia thù địch. Điều đó mở ra đủ kiểu lạm dụng như gián điệp, tống tiền, v.v. Quyền riêng tư và an ninh sẽ bị xói mòn nghiêm trọng.
Có lý do họ tự cài điều khoản miễn trừ cho mình. Tôi nghĩ либо là họ không thực sự tin nó an toàn, либо là họ muốn che giấu các vấn đề liên quan đến lạm dụng trẻ em trong giới nghị sĩ châu Âu. Giờ đã đến mức không cần phải giải thích từng chút một vì sao phải phản đối thứ này nữa. Cần phải buộc các nghị sĩ châu Âu chịu trách nhiệm, và nếu không làm được thì phải buộc toàn bộ EU chịu trách nhiệm. Nếu ngay cả thế cũng không được, thì EU không còn tính chính danh đối với kiểu luật như thế này. Cuối cùng rồi cũng sẽ phải quay lại với trách nhiệm ở cấp quốc gia.
Tôi không nghĩ việc so sánh với camera giám sát trong nhà là phù hợp. Nhà gần như là tài sản của riêng tôi, nên nếu ai đặt camera thì tôi có thể che lại hoặc tháo nó đi. Nếu làm vậy mà bị bỏ tù thì bản thân thế giới đó đã là phản địa đàng rồi. Điện thoại thì khác: về cơ bản người dùng không thực sự sở hữu hoàn toàn nó. Bootloader bị khóa, bạn không thể tự do chạy đoạn mã mình muốn, có app store quyết định bạn được cài gì. Cuối cùng Apple/Google hoàn toàn có thể chặn ứng dụng đó khỏi app store.
Một so sánh thực tế hơn là hệ thống ECHELON. Từ năm 1971, các nước 5 Eyes đã tiến hành giám sát hàng loạt và quét thông tin liên lạc. Tôi nghĩ lý do bạn không thích so sánh như vậy là vì bạn muốn tạo cảm giác khủng hoảng như thể đây là hiện tượng mới. Mọi điều bạn đang lo ngại đều đã được chứng minh là hiện thực từ trước rồi.
Nếu EU, nơi vẫn được gọi là pháo đài của nhân quyền, lại thúc đẩy kiểu luật này, thì tôi không hiểu chúng ta sẽ dùng lý lẽ gì để phản đối khi các quốc gia độc đoán hơn yêu cầu Apple, Google, Meta làm y hệt.
Tôi không nghĩ chỉ vì EU đỡ tệ hơn những nơi khác thì nó trở thành pháo đài nhân quyền. Cũng như mọi nơi ở phương Tây, đấu đá quyền lực luôn luôn tồn tại.
Người ta đặt câu hỏi rằng chẳng phải bạn thấy kỳ lạ khi họ tự định vị mình như một biểu tượng nhân quyền sao? Tôi nghĩ là vì họ lặp đi lặp lại điều đó quá nhiều đến mức giờ ai cũng tin.
Tôi muốn hỏi tại sao họ không thử áp dụng thí điểm trước. Hay là công khai hoàn toàn mọi liên lạc giữa các nghị sĩ EU đi, với tinh thần là tất cả chúng ta cùng phá lớp mã hóa đó thử xem.
Tôi nghĩ nhiều người ngoài EU xem đây đơn thuần là vấn đề nội bộ của EU.
Ylva Johansson, người khởi xướng dự luật này, không phải sang EU vì nổi tiếng ở Thụy Điển, mà được chính phủ Dân chủ Xã hội đề cử vào năm 2019. Các ủy viên vốn dĩ cũng không phải do bầu cử mà ra. Điều quan trọng ở Brussels là lòng trung thành với đảng, hàng chục năm kinh nghiệm làm bộ trưởng, cân bằng giới tính, v.v. Trên thực tế, các chính phủ quốc gia dùng EU như một “bãi đỗ” cho những chính trị gia đã mất độ nổi tiếng trong nước. Giờ bà ấy chủ yếu được biết đến vì dự luật ‘kiểm soát chat’. Cuối cùng điều đó chỉ càng phơi bày nghịch lý là một chính trị gia không được lòng dân trong nước lại dẫn dắt một chính sách gây tranh cãi của EU.
Mỗi lần nhìn thấy những dự luật thế này, tôi lại tự hỏi liệu những người làm luật không biết, không quan tâm, hay ngay từ đầu đó chính là mục đích: rằng muốn nghe lén dù chỉ một người thì cuối cùng cũng sẽ phải tạo khả năng giám sát tất cả mọi người một cách dễ dàng.
Trước đây từng có đề xuất buộc chính phủ phải mặc nhiên tham gia mọi phòng chat, nên xét ra thứ này có vẻ hợp lý hơn một chút.
Tôi thấy thật mỉa mai khi người ta áp dụng nguyên tắc “đừng gán cho ác ý điều có thể giải thích bằng sự bất tài” cho cả giới chính trị. Chính trị gia có thể dùng ngân sách và nhân lực gần như tùy ý, lại còn được hỗ trợ bởi phân tích từ chuyên gia trong từng lĩnh vực. Trong môi trường như vậy, tôi nghĩ gần như không thực tế để một người vẫn bất tài theo kiểu đó. Cuối cùng điều chúng ta thấy không phải là bất tài mà là xung đột lợi ích, và là màn giằng co giữa điều họ muốn với việc cố giành được sự đồng thuận của công dân.
Chính trị gia không trực tiếp giải bài toán kỹ thuật, mà ở vị trí quyết định điều gì là tốt nhất cho toàn xã hội. Nghĩ rằng “nếu chỉ phá mã của tội phạm thì mọi người sẽ an toàn hơn” về mặt nền tảng không phải là phi lý. Vấn đề là điều đó là bất khả thi. Nhưng với các chính trị gia, mật mã học gần như là “phép thuật”, vì họ không biết ngay cả khi nó bất khả thi trong thực tế. Với biến đổi khí hậu cũng vậy: họ nghĩ kiểu như “các nhà khoa học cứ loại bỏ CO2 trong khí quyển là được”. Họ không hiểu quá trình giải quyết, nhưng vẫn cho rằng nó làm được, như thể chỉ là niệm thần chú.
Cuộc thảo luận về chính phương pháp phân tích văn bản vẫn đang tiếp diễn và chưa bị loại bỏ hoàn toàn.
Thực tế có rất nhiều dự luật được nộp vào nghị viện các bang gần như bê nguyên từ “dự luật mẫu” do các tổ chức kiểu ủy ban hành động chính trị đề xuất. Đó cũng là lý do nhiều bang ở Mỹ cùng lúc đưa ra những dự luật giống hệt nhau.
Trong nội bộ đảng, người ta quyết định sẽ bỏ phiếu cho dự luật nào. Đôi khi các dự luật nguy hiểm cũng bị chặn lại ở cấp ủy ban, ví dụ như lệnh cấm toàn bộ vaccine mRNA, hoặc luật chỉ cung cấp máu từ người không tiêm vaccine.
Tình trạng các dự luật ở nghị viện bang có thể xem tại đây, còn ở quốc hội liên bang thì tại đây.
Ví dụ, dự luật HR 22 chỉ dài 2 trang nhưng là kiểu dự luật cho thấy rõ ai đang muốn ngăn cản bỏ phiếu liên bang; trên thực tế người nước ngoài bỏ phiếu liên bang vốn đã là bất hợp pháp. Enhanced Driving License chỉ được cấp ở 5 bang. Kết luận là có nhiều nhóm có thể bị tước quyền bầu cử, như người chuyển giới, người không phải công dân, phụ nữ đổi sang họ chồng sau kết hôn, người đổi tên, những người không kham nổi chi phí làm hộ chiếu, v.v.
Lập luận rằng phải phá mã hóa để chấm dứt tội phạm và việc chia sẻ CSAM là không hiệu quả, và nó chỉ gây hại cho những công dân tuân thủ pháp luật. Tội phạm, dù điều đó có bị coi là bất hợp pháp, vẫn có vô số cách dùng các phương thức mã hóa thực sự hiệu quả. EU cũng thừa biết điều này. Họ luôn lấy “bảo vệ trẻ em” làm danh nghĩa, nhưng mục tiêu thật sự là giám sát.
Một điểm không thường được nhắc đến trong tranh luận về “Chat Control” của EU là luật này chỉ áp dụng cho những “nền tảng” cụ thể.
Nghĩa là các cuộc trò chuyện mã hóa không đi qua nền tảng bên thứ ba như Meta trên thực tế nằm ngoài phạm vi điều chỉnh của luật.
Nếu ai đó cảm thấy trò chuyện Internet mà không có bên thứ ba là điều bất khả thi, thì trên thực tế họ đang đối mặt với một rào cản quyền riêng tư còn nghiêm trọng hơn cả Chat Control của EU.
Tôi nghĩ bối cảnh lớn hơn ở đây không phải là những bình luận trên diễn đàn công kích trực diện chính sách của EU, mà là việc “EU cuối cùng đang siết Big Tech”.
Dự luật này có thể gây tổn hại cho Meta, và khi đó sẽ có một chiến dịch thông tin sai lệch nhắm vào công chúng.
Về thực chất, (a) việc sử dụng bên thứ ba như Meta tự thân đã tạo ra một lỗ hổng lớn để chính phủ có thể giám sát, và (b) chủ thể giám sát thực sự không phải chính phủ mà là Meta.
EU vẫn liên tục phạt Meta vì công ty này phớt lờ quyền riêng tư và kiếm lợi từ mô hình kinh doanh giám sát. Với các cuộc trò chuyện riêng tư, tôi nghĩ Meta gần như là lựa chọn tệ nhất có thể.
Dự luật Chat Control thật ra không nhắm vào những người quan tâm đến quyền riêng tư. Những người đó lúc nào cũng sẽ tìm được cách tiếp tục dùng mã hóa; nền tảng toán học không thể bị xóa sổ bằng luật, và các dự án mã nguồn mở cũng không biến mất.
Rốt cuộc, luật này sẽ thể chế hóa một thực tế nơi những người “chính thống”, bình thường, sống trong trạng thái tự kiểm duyệt vì biết rằng có thể đang bị ai đó nghe lén. Chỉ những người bình thường là mất công cụ, còn các workaround quen thuộc thì vẫn tiếp tục tồn tại.
Tôi thực sự mong lần này kiểu dự luật này bị chôn hẳn xuống mồ. Quá mệt mỏi với việc nó cứ như zombie, lúc nào cũng có thể sống dậy quay trở lại.