Đề xuất Chat Control lại thất bại giữa làn sóng phản đối của công chúng

• Hội đồng Liên minh châu Âu đã một lần nữa rút lại đề xuất Chat Control vốn nhằm bắt buộc giám sát tin nhắn được mã hóa, và động thái này được xem là chiến thắng của các tổ chức bảo vệ quyền số
• Đề xuất này tìm cách kiểm tra tin nhắn trước hoặc sau khi mã hóa thông qua quét phía máy khách (client-side scanning), nhưng bị chỉ trích vì làm suy yếu chính hệ thống mã hóa
• Các nhà nghiên cứu bảo mật và tổ chức xã hội dân sự chỉ ra rằng “không tồn tại backdoor an toàn”, đồng thời cảnh báo về rủi ro dựa trên trường hợp của Apple năm 2021
• Việc rút lại lần này được đánh giá là ví dụ cho thấy áp lực liên tục từ xã hội và sự liên kết của các chuyên gia công nghệ có thể tạo ảnh hưởng thực chất lên quá trình hoạch định chính sách
• Tuy nhiên, áp lực chính trị và những hiểu lầm về công nghệ vẫn còn tồn tại, nên vẫn cần ứng phó dài hạn và xây dựng các giải pháp thay thế để bảo vệ mã hóa

---

Đề xuất Chat Control liên tiếp thất bại và những tranh cãi xung quanh

• Đề xuất Chat Control của Liên minh châu Âu là kế hoạch quét trên diện rộng các tin nhắn được mã hóa, và lần này đã tiếp tục bị nước chủ tịch Đan Mạch rút lại
  • Đây là một phần trong tiến trình xung đột kéo dài giữa những người bảo vệ quyền riêng tư và các nhà lập pháp muốn làm suy yếu mã hóa với lý do an toàn công cộng
• Kể từ khi được đưa ra vào năm 2022, đề xuất này liên tục được hồi sinh và tái trình, bất chấp sự phản đối từ xã hội dân sự, giới chuyên gia công nghệ và công chúng
• Electronic Frontier Foundation (EFF) cùng hơn 80 tổ chức dân sự đã mạnh mẽ phản đối việc bắt buộc quét phía máy khách dưới danh nghĩa chống nội dung lạm dụng tình dục trẻ em
• Dù đề xuất liên tục khẳng định có kèm theo “các biện pháp bảo vệ quyền riêng tư”, các chuyên gia vẫn đánh giá đó chỉ là những cơ chế an toàn mang tính ảo tưởng
• Việc tạo quyền truy cập backdoor vào tin nhắn mã hóa sẽ khiến toàn bộ hệ thống trở nên dễ tổn thương hơn, và có nguy cơ bị cả các tác nhân độc hại lợi dụng

Tính bất khả thi về mặt kỹ thuật của “quét an toàn”

• Mã hóa đầu cuối (E2EE) là mô hình trong đó chỉ người gửi và người nhận giữ khóa giải mã, nên bên thứ ba không thể đọc nội dung tin nhắn
  • Đây là một cấu trúc bảo mật dựa trên tính chắc chắn của toán học, chứ không chỉ là lựa chọn trong thiết kế
• Quét phía máy khách là nỗ lực phân tích tin nhắn ở giai đoạn trước hoặc sau mã hóa, từ đó làm tổn hại tận gốc mô hình mã hóa
  • Nếu thiết bị của người dùng có thể quét tin nhắn, thì mã độc hoặc chương trình giám sát của chính phủ cũng có thể có cùng quyền truy cập
• Kế hoạch quét hình ảnh trẻ em trên iCloud của Apple năm 2021 được nhắc đến như một trường hợp đã bị rút lại sau làn sóng phản đối mạnh mẽ từ giới chuyên gia
• Những hệ thống như vậy không thể chỉ phục vụ cho mục đích “tốt đẹp”, và rủi ro bị khai thác lỗ hổng bảo mật là điều tất yếu
• Công nghệ giám sát rất dễ bị mở rộng vượt ra ngoài mục đích ban đầu, sang giám sát đối lập chính trị hoặc kiểm soát biểu đạt, và điều này có thể trở thành tiền lệ để các chế độ độc đoán lạm dụng

Áp lực từ công chúng và ảnh hưởng của xã hội dân sự

• Việc rút lại lần này được xem là một ví dụ cho thấy tầm quan trọng của sự tham gia bền bỉ từ công chúng và giám sát chính sách công nghệ
• Khác với trước đây, trong lần tranh luận này đã có sự tham gia quy mô lớn của các tổ chức dân sự, công ty công nghệ, nhà nghiên cứu bảo mật và người dân bình thường
• Các tổ chức như EFF, European Digital Rights đã dùng giải thích kỹ thuật, phân tích pháp lý và chiến dịch công chúng để cảnh báo hàng triệu người về các rủi ro
• Chính làn sóng phản đối này đã tạo ra một môi trường khiến các chính trị gia khó công khai ủng hộ đề xuất
• Lập trường nhất quán của giới chuyên gia công nghệ, sự liên kết liên ngành và áp lực bền bỉ được nêu là những yếu tố then chốt giúp ngăn chặn chính sách này

Các bài toán và giải pháp thay thế để cải thiện chính sách

• Việc Chat Control liên tục được hồi sinh cho thấy một vấn đề mang tính cấu trúc: các nhà hoạch định chính sách hiểu sai về công nghệ mã hóa
• Một số nhà lập pháp tin rằng có thể vừa duy trì mã hóa mạnh vừa cho chính phủ quyền truy cập, nhưng điều này mâu thuẫn với sự phản đối toàn diện từ giới mật mã học
• Để bảo đảm an toàn trực tuyến một cách thực chất, cần tăng cường năng lực điều tra mà không phá hoại mã hóa, cùng với hợp tác quốc tế và các chương trình phòng ngừa trong xã hội
• Các công ty công nghệ cần phát triển những tính năng an toàn thân thiện với quyền riêng tư như phân tích metadata, báo cáo từ người dùng và giới hạn tài khoản, thay vì quét nội dung
• Việc bảo vệ mã hóa không phải là một chiến thắng nhất thời mà là một nhiệm vụ dài hạn đòi hỏi giám sát liên tục, giáo dục và phát triển công nghệ thay thế song song

Triển vọng sắp tới và nhu cầu phải tiếp tục cảnh giác

• Việc Chat Control bị rút lại chỉ là một chiến thắng tạm thời, và vẫn có khả năng nó sẽ quay trở lại dưới hình thức sửa đổi khi EU có nước chủ tịch kế tiếp
• Áp lực chính trị và lý do bảo vệ trẻ em vẫn còn hiện hữu, nên nguy cơ các đề xuất tương tự quay lại là rất lớn
• Sự cảnh giác liên tục của cộng đồng bảo vệ quyền riêng tư, giáo dục công chúng và việc đưa ra các chính sách thay thế là điều thiết yếu
• Những nỗ lực làm suy yếu mã hóa sẽ gây ra các vấn đề còn lớn hơn cả lợi ích an ninh, và thuyết phục các nhà hoạch định chính sách về điều này là nhiệm vụ cốt lõi
• Chat Control, vốn bị gọi là một “đề xuất zombie”, có thể sống lại lần nữa và điều đó đòi hỏi sự ứng phó dài hạn từ những người bảo vệ quyền số

[GN⁺]

Ý kiến trên Hacker News

• Đây thật sự là tin rất đáng mừng
  Giờ cần xây dựng các cơ chế bảo vệ mang tính hiến định, và phát triển những hệ thống có thể lách được việc này nếu nó lại xảy ra
  Ngay cả ngày nay vẫn có những nơi chỉ liên lạc kiểu sneakernet mới bảo đảm được quyền riêng tư, nên cần có công cụ bảo vệ quyền riêng tư cho người không chuyên hoạt động cả khi không luôn kết nối

  • Cũng có những nước đã có sẵn các cơ chế bảo vệ như vậy, chẳng hạn Đức
    Chat Control có thể bị xem là một hành vi bạo lực ý thức hệ nhắm vào người dân Đức nên là bất hợp pháp
    Vấn đề là sự thờ ơ và thiếu ý chí hành động của mọi người

• Nếu dự luật này quay lại lần nữa, có lẽ nó sẽ mang tên kiểu như “Protecting Children and Countering Terrorism Act”

  • Nếu các chính trị gia đặt tên theo kiểu Mỹ thì có thể sẽ được gói ghém thành “PROTECT Act (Preventing Risks Online; Thwarting Exploitation of Children and Terrorism)”
  • Ghét ở chỗ dự đoán này nghe quá chính xác

• Mỗi khi có phiên bản mới của dự luật xuất hiện, điều đầu tiên cần kiểm tra là có điều khoản ngoại lệ cho chính phủ hay không
  Nếu chính phủ tự miễn áp dụng cho mình, thì ngay khoảnh khắc đó dự luật ấy phải đi thẳng vào thùng rác

• Tôi tò mò ai là người muốn thứ này, và ai là kẻ thúc đẩy nó đến mức ấy
  Những thế lực biết rằng thất bại chỉ là tạm thời sẽ tiếp tục làm nó sống lại

  • Có liên quan đến NGO Thorn.org do Ashton Kutcher, Demi Moore và những người khác lập ra
    Tổ chức này bán một công cụ tên Safer.io, cho phép kiểm tra hash CSAM trên website
    Họ cũng từng thuê các cựu quan chức Europol
    Xem thêm trong phóng sự điều tra của Balkan Insight
  • Thực ra đây gần như chỉ là tiếng ồn phát sinh từ quy trình lập pháp dài dòng của EU
    Từ khoảng năm 2021, một gói đề xuất có chứa Chat Control đã được đưa ra và tiếp tục được thảo luận cho tới nay
    Giờ thì đã quá muộn để đảo ngược
  • Mục tiêu cuối cùng là khiến phát ngôn ẩn danh trở nên đáng ngờ
    Các chính trị gia đã mệt mỏi với những người chế giễu họ một cách ẩn danh, và luật này là một mảnh ghép trong bức tranh đó
    Chủ yếu do các lực lượng chính trị trung dung ở châu Âu thúc đẩy để bảo vệ vị thế của mình

• Tôi không hiểu vì sao kiểu thảo luận này cứ lặp đi lặp lại
  Chẳng phải việc thúc ép cài backdoor cho mã hóa nên tạo ra động lực thua cử hay sao

  • Thực ra vấn đề nằm ở quy trình lập pháp phức tạp của EU
    Ủy ban, Nghị viện và Hội đồng đều đưa ra các lập trường khác nhau, và quá trình đó dài và lặp lại nên chỉ là liên tục có tin tức mà thôi
  • Cử tri cần quan tâm nhiều hơn thì những nỗ lực như thế này mới bị chặn lại
  • Họ chỉ cần thành công một lần, còn chúng ta phải chặn được ở mọi lần
    Các chính trị gia nhận lobby không hề nghĩ đó là lãng phí thời gian
    Hơn nữa lần này ngay cả danh tính người thúc đẩy cũng đang được bảo vệ ẩn danh
  • Vì vậy họ luôn thúc đẩy một cách âm thầm
    Dùng danh nghĩa như “bảo vệ trẻ em” để gián tiếp vô hiệu hóa mã hóa
    Công chúng nói chung thậm chí còn không hiểu mã hóa hay backdoor là gì, nên không cảm thấy đây là vấn đề

• Đây không chỉ là chuyện xảy ra vì 10% nhóm quan tâm công nghệ gây áp lực
  Chính các chính trị gia cũng dùng cùng loại công nghệ đó, và họ còn có nhiều thứ để mất hơn nhiều nếu bị rò rỉ thông tin

  • Nhưng họ đã tự trao cho mình ngoại lệ không bị quét
    Có một điều khoản nói rằng “các chính trị gia EU có thể được miễn trừ do nghĩa vụ giữ bí mật nghề nghiệp”
    Xem bài blog của Nextcloud
  • Cũng từng có trường hợp điện thoại của Von der Leyen bị xóa đi một cách rất tiện lợi trước khi được dùng làm chứng cứ trước tòa
    Ngay cả khi rò rỉ xảy ra cũng không có văn hóa chịu trách nhiệm

• Nếu so sánh chat điện tử với kiểm duyệt thư tín thời xưa, liệu người ta có ngồi yên nếu chính phủ quét mọi lá thư để tìm từ ngữ bất hợp pháp không?
  Không có lý do gì chat lại phải khác

  • Điều 15 Hiến pháp Ý bảo đảm tự do và tính bí mật của mọi hình thức liên lạc
    Không thể bị hạn chế nếu không có quyết định tư pháp
    Liên kết bản gốc hiến pháp
  • Hiến pháp của nhiều nước châu Âu và Điều 8 ECHR cũng cấm nghe lén tùy tiện
    Điều này cũng được nêu rõ trong điều khoản hiến pháp Thụy Điển
  • Không thể phá mã hóa một phần
  • Hội thoại số là một hình thức giao tiếp trực tiếp gần với lời thì thầm hơn là thư từ
    Chính phủ tuyệt đối không được đọc mọi lời nói
  • Nó chẳng khác gì việc đọc toàn bộ thư từ mà không có lệnh của tòa
    Chỉ riêng thu thập metadata thôi cũng đã xâm phạm đủ nghiêm trọng rồi

• Câu hỏi thực sự là “khi nào, và dưới hình thức nào nó sẽ quay lại”

  • Họ chỉ cần thắng một lần, còn chúng ta phải thắng mọi lần
  • Có lẽ họ sẽ nhét nó vào một dự luật không liên quan, hoặc tìm cách thông qua trong im lặng
  • Hoặc cũng có thể nó đã được xúc tiến trong bí mật rồi

• Tôi có cảm giác mỉa mai kiểu “biết đâu đến lần thử thứ 25 thì sẽ thành công”

  • Nó giống hệt một vòng lặp vô hạn kiểu while True: ProposeChatControl()

• Tôi cũng tò mò không biết lần tới khi dự luật này quay lại, liệu sẽ lại xuất hiện thêm những tên miền mới phục vụ cho chiến dịch phản đối hay không