Phân tích đề xuất cấm bán TP-Link của chính phủ Mỹ

• Chính phủ Mỹ đang xem xét phương án cấm bán router không dây và thiết bị mạng của TP-Link Systems, với lý do chính được nêu ra là lo ngại về mối liên hệ với Trung Quốc
• Bộ Thương mại cho rằng sản phẩm TP-Link xử lý dữ liệu nhạy cảm tại Mỹ và có thể nằm dưới ảnh hưởng của chính phủ Trung Quốc
• TP-Link bác bỏ rủi ro an ninh, cho rằng họ đã tách biệt hoàn toàn với pháp nhân tại Trung Quốc, sản xuất tại Việt Nam, và có trụ sở tại California, đồng thời phản bác rằng thị phần của hãng đã bị thổi phồng
• Check Point Research và Microsoft đã báo cáo các trường hợp router TP-Link bị các tổ chức hacker Trung Quốc lợi dụng, trong đó có hoạt động của các nhóm được nhà nước hậu thuẫn như Camaro Dragon
• Từ góc nhìn người tiêu dùng, ngoài các lo ngại về bảo mật còn có khả năng bị hạn chế tiếp cận các sản phẩm giá rẻ nhưng hiệu năng cao, khiến cân bằng giữa bảo mật và khả năng tiếp cận công nghệ trở thành điểm tranh luận chính

---

Chính phủ Mỹ thúc đẩy lệnh cấm bán TP-Link

• Chính phủ Mỹ đang chuẩn bị cấm bán router và thiết bị mạng của TP-Link Systems, động thái này được đưa tin là nhắm vào một công ty đang nắm khoảng 50% thị phần ở mảng hộ gia đình và doanh nghiệp nhỏ

  • Các chuyên gia đánh giá rằng biện pháp này dựa nhiều hơn vào lo ngại về mối liên hệ với Trung Quốc hơn là mối đe dọa kỹ thuật cụ thể
  • Toàn ngành đều sử dụng linh kiện sản xuất tại Trung Quốc, nên lỗ hổng bảo mật không chỉ giới hạn ở TP-Link

• Washington Post đưa tin hơn 6 cơ quan liên bang ủng hộ phương án cấm này, và Bộ Thương mại đã kết luận rằng các sản phẩm TP-Link nằm trong vùng ảnh hưởng của chính phủ Trung Quốc

Phản bác của TP-Link và cấu trúc doanh nghiệp

• TP-Link khẳng định đã tách biệt hoàn toàn với TP-Link Technologies tại Trung Quốc, đồng thời cho biết họ đang vận hành trụ sở tại Mỹ (California), chi nhánh tại Singapore và cơ sở sản xuất ở Việt Nam
  • Công ty tự thực hiện phần lớn nghiên cứu, thiết kế và sản xuất, ngoại trừ chipset
  • Một số tài sản kỹ thuật tại Trung Quốc được vận hành độc lập và không chịu giám sát từ chính phủ Trung Quốc, theo tuyên bố của công ty
• Người phát ngôn Ricca Silverio nói rằng “TP-Link, với tư cách là một công ty Mỹ, cam kết cung cấp các sản phẩm chất lượng cao và an toàn”

Lo ngại bảo mật và các vụ việc bị khai thác

• Ủy ban đặc biệt của Hạ viện về cạnh tranh chiến lược Mỹ - Trung đã yêu cầu điều tra vào tháng 8/2024, cho biết thiết bị TP-Link đang được bán tại các căn cứ quân sự Mỹ và cửa hàng trao đổi quân nhu
  • Trong thư, ủy ban bày tỏ lo ngại về các lỗ hổng của TP-Link và nghĩa vụ tuân thủ luật pháp Trung Quốc, đồng thời cảnh báo rằng chính phủ Trung Quốc đã tiến hành các cuộc tấn công mạng dùng router SOHO
• Check Point Research (2023) báo cáo rằng nhóm hacker Trung Quốc Camaro Dragon đã sử dụng firmware độc hại dành cho router TP-Link để thực hiện các cuộc tấn công vào cơ quan ngoại giao châu Âu
  • Mã độc này chỉ được phát hiện trên thiết bị TP-Link, nhưng báo cáo cũng lưu ý rằng thiết bị của các nhà sản xuất khác cũng có thể đối mặt rủi ro tương tự
• Microsoft (2024) cho biết từ năm 2021, các nhóm hacker Trung Quốc đã lợi dụng router SOHO của TP-Link để thực hiện các cuộc tấn công password spraying

Thực tế bảo mật của router tiêu dùng

• Phần lớn router dành cho người tiêu dùng có cấu hình mặc định yếu khi xuất xưởng, và nếu không thay đổi tài khoản, mật khẩu mặc định thì chỉ trong vài phút chúng có thể trở thành mục tiêu của các cuộc tấn công botnet IoT
  • Ngay cả sản phẩm mới cũng thường có firmware đã cũ ngay từ thời điểm bán ra
• Trong vài năm gần đây, các nhà sản xuất lớn đã chuyển sang hướng bắt buộc các bước bảo mật cơ bản như đổi mật khẩu và cập nhật firmware
  • Các router mesh như Eero, Orbi, ZenWifi hỗ trợ cập nhật tự động thông qua đăng ký trực tuyến
  • Belkin, Linksys và một số hãng khác thúc đẩy cài đặt qua ứng dụng di động, nhưng trong nhiều trường hợp người dùng vẫn phải tự cập nhật thủ công

Firmware mã nguồn mở và các lựa chọn thay thế

• Các firmware mã nguồn mở như OpenWrt, DD-WRT có thể dùng trên nhiều loại router, giúp mở rộng tính năng và kéo dài tuổi thọ thiết bị
  • Khá nhiều router TP-Link cũng tương thích với OpenWrt
  • Dù không thể khắc phục lỗi ở cấp độ phần cứng, chúng có thể giảm nhẹ các vấn đề bảo mật đặc thù của từng hãng như tài khoản hardcode hay lỗ hổng bỏ qua xác thực
• Nếu router đã trên 4~5 năm tuổi, nên thay thế vì lý do hiệu năng và bảo mật

Lưu ý về thiết bị do ISP quản lý

• Nhiều router của TP-Link và các đối thủ được cho thuê và quản lý thông qua ISP, đi kèm cập nhật từ xa và hồ sơ xác thực
  • Trong trường hợp này, người dùng không nên tự ý thay hoặc chỉnh sửa firmware mà cần trao đổi trước với ISP

Ý kiến độc giả và tranh luận

• Một số độc giả chỉ trích việc thổi phồng nỗi sợ với sản phẩm Trung Quốc, cho rằng các nhà sản xuất khác cũng có những lỗ hổng tương tự
• Ngược lại, một số ý kiến khác nhấn mạnh rủi ro bảo mật của sản phẩm TP-Link vì khả năng có liên hệ với chính phủ Trung Quốc
• Nhiều bình luận cũng bàn về sự bất tiện của cấu hình dựa trên ứng dụng, lo ngại rò rỉ dữ liệu cá nhân, và thiếu sản phẩm thay thế tại thị trường Mỹ
• Một số người dùng cho biết dù thừa nhận ưu thế giá rẻ và hiệu năng cao của TP-Link, họ vẫn đang thay thiết bị vì rủi ro bảo mật dài hạn

Bối cảnh mang tính kết luận

• Đề xuất cấm TP-Link là một ví dụ cho thấy xung đột giữa an ninh quốc gia và khả năng tiếp cận công nghệ
• Cần có công bố thông tin rõ ràng hơn về bản chất và phạm vi của các mối đe dọa bảo mật, đồng thời
  phân chia trách nhiệm giữa người tiêu dùng, ISP và chính phủ đang nổi lên như điểm then chốt của các cuộc thảo luận sắp tới

[GN⁺]

Ý kiến trên Hacker News

• Tôi không hiểu vì sao mọi người lại nói rằng TP-Link không có cập nhật firmware
  Nhà tôi, nhà bố mẹ tôi và cả nhà bố mẹ bạn gái tôi đang dùng tổng cộng 4 loại router TP-Link, và dù đã ra mắt nhiều năm vẫn đều đặn nhận cập nhật. Thậm chí một số mẫu còn được cập nhật ngay trong tháng trước
  Xét về giá trên hiệu năng thì rất tốt, lại có cả các tính năng bảo mật cơ bản, nên tôi nghĩ là quá đủ cho dùng trong gia đình
  Không hoàn hảo, nhưng ở tầm giá này thì còn đòi hỏi gì hơn

  • Đồng ý. TP-Link không phải biểu tượng của bảo mật tối tân hay các tính năng hướng tương lai, nhưng vẫn thực hiện ổn định những chức năng cơ bản
    Giờ ngay cả các sản phẩm đắt tiền cũng khó mà tin tưởng, nên TP-Link là một lựa chọn rất đáng giá so với số tiền bỏ ra
    Việc được hỗ trợ và cập nhật lâu hơn hẳn đối thủ cũng là một ưu điểm lớn
  • Router m4R của tôi đã hơn 15 năm tuổi mà tháng trước vẫn nhận được bản cập nhật firmware
  • Tôi cũng đang vận hành nhiều thiết bị TP-Link ở ba ngôi nhà, và tất cả đều nhận cập nhật định kỳ
  • Tôi không biết là có sự “ghét bỏ” nhắm vào TP-Link. Với thiết bị mạng tiêu dùng thì tôi thấy đây là một thương hiệu khá đáng tin cậy
    Trước đây nó có hình ảnh “thương hiệu giá rẻ của Trung Quốc”, nhưng giờ thì có cảm giác đã trở thành một thương hiệu tầm trung vững vàng như Anker
    Cá nhân tôi thấy nó giống như đang thay thế vị trí mà D-Link từng có
  • Kiểu “ghét bỏ” này giống vụ Huawei trước đây, tức là nghi ngờ có cửa hậu của chính phủ Trung Quốc
    Nhưng đến nay vẫn chưa tìm thấy bằng chứng thực tế nào. Chuyên gia bảo mật và hacker ở nhiều nước hẳn đã mổ xẻ thiết bị này rất kỹ rồi, nếu có gì thì chắc đã lộ ra từ lâu
    Tôi tin rằng nếu thật sự có cửa hậu thì cuối cùng nó cũng sẽ bị phơi bày

• Tôi nghĩ việc chính phủ Mỹ trực tiếp mua cổ phần Intel thì được, còn chỉ cần Đảng Cộng sản Trung Quốc có dính líu chút ít đến doanh nghiệp là lại không được, đó là tiêu chuẩn kép
  Nếu bảo mật mới là vấn đề thì hẳn phải có những giải pháp thực chất hơn, như buộc các nhà mạng gánh chi phí hỗ trợ firmware lâu dài
  Cách phản ứng mang tính chính trị như thế này cuối cùng sẽ quay lại đánh chính nước Mỹ sau 15 năm nữa

  • Kiểu thái độ “Mỹ thì được, Trung Quốc thì không”. Rốt cuộc chỉ là một trò chơi đạo đức giả
  • Việc chỉ mua cổ phiếu và việc nắm cổ phần chi phối là khác nhau
    Cách Trung Quốc kiểm soát doanh nghiệp hoàn toàn khác phương Tây, nên so sánh đơn giản như vậy là một sự đánh đồng sai lệch
  • Với câu “Mỹ thì được còn Trung Quốc thì không”, tôi chỉ muốn trả lời đơn giản là “đúng vậy”
  • Trung Quốc cũng đã hạn chế sản phẩm Mỹ suốt thời gian dài. Cả hai bên đều đang đánh nhau rất trẻ con
  • Tin rằng các quốc gia cạnh tranh với nhau sẽ chơi công bằng là ngây thơ. Cuối cùng cả hai bên đều chỉ đang tuyên truyền (propaganda) mà thôi

• Bài học thật sự từ vụ này là đừng cắt giảm đầu tư bảo mật chỉ vì đã thành công
  Nếu là TP-Link, hẳn họ phải nổi giận khi nghe tin hàng chục nghìn router của mình bị hack
  Họ đáng ra phải lập tức cải thiện chất lượng phần mềm và tăng cường quy trình rà soát lỗ hổng
  Nhưng thực tế có vẻ như họ chỉ quan tâm đến biên lợi nhuận

  • Có lẽ bài học thật sự là “đừng quên hối lộ tổng thống Mỹ”
  • Tôi nhớ AirPort. Nó có phần mềm đơn giản và hoàn hảo, lại còn triển khai mesh từ rất sớm
    Sản phẩm ngày nay vẫn đầy những thủ tục phiền toái như đăng ký tài khoản trực tuyến
  • Mỗi ngày nhìn cảnh giao thông tê liệt vào cùng một khung giờ, tôi từng nghĩ nếu đây là phần mềm thì đó phải là một lỗi đáng xấu hổ
    Nhưng có lẽ trong thực tế, nhiều ngành cứ mặc nhiên xem những vấn đề như vậy là “bình thường”, đó cũng là tâm lý con người
  • Nếu bảo mật thật sự là vấn đề thì Fortinet cũng phải bị cấm. Cuối cùng chỉ là dễ dãi với doanh nghiệp Mỹ
  • Microsoft hay Cisco cũng lơ là bảo mật, nên tôi không hiểu vì sao chỉ TP-Link bị lôi ra làm vấn đề

• Sản phẩm TP-Link bền bỉ, và nếu muốn thì phần lớn còn có thể thay firmware bằng OpenWRT
  Tôi đã lắp mesh Wi‑Fi cho nhà bố mẹ, và quá trình đó diễn ra rất mượt
  Chỉ tiếc là vẫn cần đăng ký tài khoản đám mây

  • Nhưng chỉ OpenWRT thôi thì chưa đủ
    Phần lớn chipset Wi‑Fi dùng firmware blob đóng và chạy một hệ điều hành riêng trên CPU của chính nó
    Nghĩa là OpenWRT không biết chuyện gì đang diễn ra ở tầng bên dưới. Đây không phải giải pháp hoàn chỉnh
  • Tôi điều hành một quán cà phê và đang dùng hệ thống Omada
    Nó có rất nhiều tính năng như tách nhiều mạng, tự động tắt Wi‑Fi cho khách, đặt ưu tiên băng thông v.v.
    Rẻ hơn Meraki rất nhiều mà hiệu năng vẫn khiến tôi hài lòng
    Môi trường của tôi có rủi ro bảo mật thấp nên đó là một lựa chọn hoàn toàn hợp lý
  • Cuối cùng thì kể cả có dùng OpenWRT, quyền kiểm soát ở cấp phần cứng vẫn còn đó
    Giống như dùng Linux nhưng các lớp firmware như Intel ME hay SGX vẫn tồn tại vậy
  • Trước đây tôi từng mua điện thoại TP-Link nhưng hết được hỗ trợ nên rất thất vọng
    Gần đây tôi mua router để cài OpenWRT, nhưng bản revision đã đổi và cấu hình bị hạ xuống nên không cài được
    Dù vậy, xét trên giá thành thì chất lượng vẫn ổn
  • Tôi cũng đang định lắp mạng mesh cho nhà bố mẹ
    Muốn xin gợi ý thiết bị ổn định và dễ quản lý từ xa

• Mối đe dọa thật sự với router tiêu dùng không phải là Trung Quốc mà là firmware cẩu thả
  Vô số mạng bị xâm nhập không phải bởi quốc gia mà bởi tội phạm
  Nếu thực sự muốn bảo mật, cần phải có tiêu chuẩn kiến trúc phần mềm
  Nhưng thực tế thì chuyện này chỉ là áp lực chính trị và một quân bài cho đàm phán thương mại

  • Cisco năm nào cũng dính lỗ hổng mật khẩu hard-code
    Chỉ cần nhìn thông báo bảo mật gần đây là đủ thấy cả ngành đang phát triển kiểu YOLO
  • Hy vọng nhân cơ hội này sẽ có luật như Cyber Resilience Act (CRA) để buộc doanh nghiệp phải chịu trách nhiệm về bảo mật

• TP-Link vẫn cung cấp cập nhật liên tục cho những sản phẩm chưa EOL
  Sản phẩm Mỹ nếu ngừng sản xuất thì cũng trở nên dễ tổn thương như nhau
  Tranh cãi lần này có vẻ gần với một chiến dịch vận động hành lang nhằm giành thị phần ở Mỹ hơn là vì bảo mật
  Hơn nữa, mã độc mà Checkpoint nhắc tới không phụ thuộc firmware, nên cũng có thể áp dụng với phần cứng khác

• Nếu sau DJI giờ lại cấm cả TP-Link, tôi thật sự tò mò thị trường Mỹ sẽ trông ra sao khi các sản phẩm Trung Quốc có tỷ lệ giá/hiệu năng tốt biến mất
  Thế hệ kỹ sư Mỹ tiếp theo lớn lên trong môi trường đó sẽ phải đối mặt với sự thiếu hụt về khả năng tiếp cận công nghệ

  • Vẫn còn rất nhiều sản phẩm Trung Quốc được phép bán tại Mỹ
    Lý do cấm không phải vì quốc tịch mà là vì rủi ro bảo mật thực tế
    TP-Link đã đánh mất niềm tin vì cài cửa hậu và tuyên bố từ bỏ vá lỗi bảo mật
    Nhiều cộng đồng kỹ thuật đã nêu vấn đề này từ một năm trước
  • Cũng đừng quên Huawei
  • Cuối cùng có lẽ sẽ giống ngành xe điện của Mỹ
    Công nghệ thì ổn, nhưng giá cao và thiếu đổi mới

• Tôi đang dùng TP-Link Deco đặt sau Firewalla Gold
  Đây là hệ thống mạng gia đình đơn giản và ổn định nhất mà tôi từng dùng
  Tôi không hẳn thích TP-Link, nhưng xét về mức độ phù hợp với mục đích so với giá tiền thì nó là lựa chọn tốt nhất
  Nếu bị cấm, tôi lo về bảo hành, cập nhật và sự hỗn loạn của thị trường ở Mỹ

  • Có lẽ chính phủ sẽ giải quyết bằng cách buộc bán lại mảng kinh doanh tại Mỹ
    Giống như trường hợp TikTok-Oracle

• Tôi nghĩ Mỹ mới là mối đe dọa lớn hơn
  Dạo này Mỹ trông như một quốc gia vận hành theo kiểu mafia. Nếu không thể cài cửa hậu của riêng mình thì họ sẽ phá hủy doanh nghiệp

  • Thực ra hầu hết các nước đều như vậy. Chỉ là Mỹ có ảnh hưởng chính trị lớn hơn mà thôi
    Online Safety Act của Anh hay dự luật cấm mã hóa của Australia là ví dụ
  • Cuối cùng thì chỉ khác tên gọi, còn bản chất vẫn là hành xử của đế chế