Giờ đây quyền riêng tư không còn nhiều ý nghĩa, điều quan trọng là tính ẩn danh

> "Quyền riêng tư là marketing, còn tính ẩn danh là kiến trúc."

• Trong ngành công nghệ, ‘quyền riêng tư’ đã bị hạ thấp thành một khẩu hiệu marketing, còn sự bảo vệ thực sự đến từ thiết kế hệ thống bảo đảm tính ẩn danh
• Phần lớn các dịch vụ ‘lấy quyền riêng tư làm trung tâm’ vẫn thu thập thông tin định danh người dùng như email, số điện thoại, giấy tờ tùy thân, nên trên thực tế không thể bảo vệ hoàn toàn
• Như trường hợp Mullvad VPN, chỉ những cấu trúc hoàn toàn không lưu dữ liệu người dùng mới có thể hiện thực hóa tính ẩn danh không bị lung lay ngay cả trước áp lực pháp lý
• Servury không lưu email, IP, thông tin thanh toán và vận hành tài khoản chỉ bằng chuỗi thông tin xác thực ngẫu nhiên 32 ký tự, chấp nhận việc không thể khôi phục tài khoản
• Khi Internet đang tách thành web có xác thực và web ẩn danh, các dịch vụ dựa trên tính ẩn danh là chìa khóa để duy trì một Internet tự do không bị giám sát

---

Ảo tưởng về quyền riêng tư và bản chất của tính ẩn danh

• Hầu hết doanh nghiệp đều nói rằng “chúng tôi coi trọng quyền riêng tư của bạn”, nhưng vẫn có thể định danh người dùng qua email đặt lại mật khẩu, log IP, xác thực bằng số điện thoại
  • Cấu trúc như vậy không phải bảo vệ mà chỉ là một kiểu ‘trình diễn hình thức’
• Đến năm 2025, ‘quyền riêng tư’ đã trở thành một thuật ngữ bị lạm dụng, được dùng làm câu chữ marketing ngay cả cho những dịch vụ có yêu cầu ID do chính phủ cấp, thu thập log, nguy cơ rò rỉ dữ liệu
• Tính ẩn danh thực sự là một quyết định cấu trúc không thể thỏa hiệp ngay từ giai đoạn thiết kế, theo đó ngay cả nhà vận hành cũng không thể định danh hay hợp tác cung cấp thông tin về người dùng

Cấu trúc điển hình của ‘vở kịch quyền riêng tư’

• Một dịch vụ ‘lấy quyền riêng tư làm trung tâm’ điển hình sẽ lần lượt yêu cầu email, số điện thoại, giấy tờ tùy thân và giữ lại toàn bộ thông tin, đồng thời ghi log
• Chính sách “chỉ thu thập thông tin cần thiết” thực chất chỉ là lời hứa sẽ cẩn thận trong khi vẫn nắm giữ toàn bộ dữ liệu
• Vấn đề cốt lõi không phải là ác ý, mà là bản thân việc lưu giữ dữ liệu đã là một điểm yếu
  • Nhấn mạnh nguyên tắc: “không có thì cũng không thể bị rò rỉ”

Trường hợp Mullvad VPN

• Năm 2023, cảnh sát Thụy Điển khám xét trụ sở Mullvad VPN, nhưng vì không có dữ liệu người dùng nên không thu được gì
• Mullvad xác thực chỉ bằng số tài khoản ngẫu nhiên 16 chữ số, và hoàn toàn không lưu email, tên hay log
• Nhờ cấu trúc này, ngay cả trước yêu cầu pháp lý, dịch vụ vẫn duy trì được mức ẩn danh gần như không thể hợp tác cung cấp thông tin

Thiết kế ẩn danh của Servury

• Sau khi xem xét lượng thông tin tối thiểu cần cho vận hành cloud hosting, Servury kết luận chỉ lưu ba loại dữ liệu
  • Chuỗi xác thực ngẫu nhiên 32 ký tự, số dư tài khoản, danh sách dịch vụ đang hoạt động
• Những mục không thu thập: email, tên, IP, thông tin thanh toán, mẫu sử dụng, dấu vân tay thiết bị, dữ liệu vị trí
• Không có khôi phục mật khẩu, xác minh email hay tính năng bảo mật bằng số điện thoại, vì tất cả đều đòi hỏi phải lưu danh tính
• Việc không thể khôi phục tài khoản là cái giá của tính ẩn danh; nếu làm mất thông tin xác thực thì quyền truy cập tài khoản sẽ bị chặn hoàn toàn

Ý nghĩa của việc không thể khôi phục tài khoản

• Vì Servury không thể biết danh tính người dùng, đội ngũ hỗ trợ cũng không thể khôi phục tài khoản
  • Không lưu biên lai thanh toán, IP, thời điểm đăng ký hay bất kỳ thông tin nào tương tự
• Sự bất tiện này là một tính năng được chủ đích thiết kế, giúp vô hiệu hóa cả tấn công kỹ nghệ xã hội, phishing lẫn yêu cầu từ chính phủ
• Chính cấu trúc “chúng tôi không biết bạn là ai” mới là tuyến phòng thủ nền tảng của bảo mật

Cái bẫy của email

• Email bị chỉ ra là điểm yếu nền tảng của danh tính trên Internet hiện đại
  • Có thể bị truy vết vì gắn với số điện thoại, phương thức thanh toán và các dịch vụ khác
  • Các cơ chế như xác nhận đã đọc, theo dõi liên kết, phân tích metadata có thể phá vỡ hoàn toàn tính ẩn danh
  • Có rủi ro lưu trữ lâu dài, bị triệu xuất và bị rò rỉ
• Khoảnh khắc một dịch vụ yêu cầu email, nó đang thiết kế tính chịu trách nhiệm (accountability) thay vì tính ẩn danh
• Bài viết nêu rõ rằng dịch vụ ngân hàng hay chính phủ cần xác minh danh tính, nhưng với cloud, VPN, proxy thì điều đó là không cần thiết

Vai trò của thanh toán bằng tiền mã hóa

• Servury giải thích việc chấp nhận tiền mã hóa là để tránh mạng lưới thanh toán truyền thống như một hạ tầng giám sát
  • Giao dịch thẻ tín dụng để lại lịch sử giao dịch vĩnh viễn và được nhiều tổ chức lưu giữ
• Tiền mã hóa không hoàn hảo, nhưng làm suy yếu mối liên kết giữa thanh toán và danh tính
• Dịch vụ vẫn hỗ trợ thanh toán truyền thống như Stripe, nhưng thông báo rõ rằng cách đó không có tính ẩn danh

Tính ẩn danh không có nghĩa là gì

• Tính ẩn danh ≠ miễn trừ trách nhiệm: hành vi phạm pháp vẫn có thể bị điều tra, chỉ là không thể cung cấp thông tin chủ tài khoản
• Tính ẩn danh ≠ bảo mật: nếu không giữ thông tin xác thực an toàn, người dùng vẫn tự đặt mình vào rủi ro
• Tính ẩn danh ≠ thiếu minh bạch: IP máy chủ hay kết nối vẫn có thể bị lộ, chỉ là không gắn với danh tính cá nhân
• Tính ẩn danh ≠ không cần tin tưởng hoàn toàn: vẫn cần mã nguồn mở, kiểm toán, báo cáo minh bạch, nhưng không thể đạt trạng thái hoàn toàn không cần niềm tin
• Cốt lõi là thiết kế cấu trúc sao cho ngay cả khi niềm tin bị phá vỡ thì thiệt hại vẫn được giảm thiểu

Hai ngả của Internet

• Internet đang tách thành web có xác thực (authenticated web) và web ẩn danh (anonymous web)
  • Web có xác thực: tên thật, danh tính đã được xác minh, thanh toán có thể truy vết, hành vi bị ghi log
  • Web ẩn danh: dữ liệu không bị thu thập nên là không gian tự do không thể bị giám sát
• Những dịch vụ đòi hỏi danh tính một cách không cần thiết đang đẩy người dùng vào web có xác thực, còn
  các dịch vụ không email và dựa trên tiền mã hóa đang duy trì web ẩn danh
• Đây không phải là để “che giấu điều gì”, mà là một lựa chọn nhằm không coi giám sát là mặc định

Kết luận

• “Quyền riêng tư là lời hứa sẽ bảo vệ dữ liệu, còn tính ẩn danh là trạng thái ngay từ đầu đã không nắm giữ dữ liệu”
• Servury hiện thực hóa điều đó bằng chuỗi 32 ký tự, không email, không danh tính
• Mọi tuyên bố ‘quyền riêng tư’ còn lại, rốt cuộc, chỉ là marketing

[youknowone]

Quảng cáo

[GN⁺]

Ý kiến Hacker News

• Ban đầu tôi tưởng đây chỉ là một blog, nhưng thực ra lại là một công ty
  Xem trang quyền riêng tư của họ thì thấy có ghi là họ lưu địa chỉ IP, thời gian yêu cầu, tác nhân người dùng trong log máy chủ
  Dù họ nói là để phục vụ bảo mật và gỡ lỗi, nhưng so với chính sách không ghi log của Mullvad thì khác biệt là rất lớn
  • Hoàn toàn đồng ý. Tôi vừa tắt toàn bộ log Apache, và sẽ cập nhật trang quyền riêng tư trong vòng một giờ nữa
  • Ban đầu ý tưởng có vẻ hay, nhưng những gì thực sự được cung cấp thì không đáng tin
    Nếu đúng là đám mây riêng tư thực sự thì không thể bán theo kiểu thuê bao được, rốt cuộc phải là môi trường bare metal
  • So với khẳng định trong bài blog rằng chỉ có “3 điểm dữ liệu” thì lại càng kỳ lạ hơn
  • Về mặt kỹ thuật thì đúng, nhưng tôi nghĩ mức ghi log đó về cơ bản là vô hại
• Bạn đang nói dối. Trang trung tâm dữ liệu ghi rằng họ có chứng nhận ISO27001 và SOC2
  Nhưng tra cứu chứng nhận chính thức thì không tìm thấy bất kỳ chứng nhận nào
  Cần phải công khai ai đã cấp chứng nhận và số chứng nhận là gì
  • Có thể vì tôi đang dùng di động, nhưng hiện tại tôi không thấy nhắc đến ISO hay SOC2 trên trang đó
    Nếu trước đây từng có thì tức là họ đã đăng chứng nhận giả rồi xóa đi, đây là vấn đề cực kỳ nghiêm trọng
    @ybceo, nếu bạn là CEO của công ty thì cần phải giải thích chuyện này
• Có vẻ chúng ta đã vượt qua ngưỡng của xã hội giám sát rồi
  Giám sát bằng công nghệ giờ đã là chuyện thường ngày, còn các tập đoàn lớn thì dùng dữ liệu để sắp xếp lại nội dung và lạm dụng nó dưới cái tên “trải nghiệm cá nhân hóa”
  • “Điểm không thể quay lại” vốn dĩ chưa từng tồn tại
    Ngay từ đầu, ngành công nghiệp và chuỗi cung ứng chưa bao giờ được thiết kế theo hướng đặt bảo mật và quyền riêng tư làm trung tâm
    Rốt cuộc, giáo dục an toàn và quy định luôn chỉ xuất hiện sau khi tai nạn đã tích tụ đủ nhiều
    Chỉ là đến giờ vẫn chưa có đủ thảm họa về quyền riêng tư mà thôi
  • Rốt cuộc chính phủ sẽ đi theo hướng kiểm soát người dân
    Các tiêu chuẩn số trên toàn thế giới rất có thể sẽ trở thành mô hình giám sát kiểu Trung Quốc
  • Quá bi quan rồi. Việc ẩn danh hóa và làm rối dữ liệu không hề khó
    Vấn đề là mọi người sẵn sàng từ bỏ bảo mật để đổi lấy sự tiện lợi
    Cuối cùng, cái gọi là ‘điểm không thể quay lại’ chính là lựa chọn của từng cá nhân
• Nhân nói đến Mullvad, gần đây tôi mới biết đến Mullvad Browser
  Đây là phiên bản của Tor Browser bỏ phần kết nối mạng, và có khả năng chống lấy dấu vân tay cực tốt
  Không cần dùng mạng Tor, và cũng có thể dùng mà không cần Mullvad VPN
  Có thể tự kiểm tra bằng bài test dấu vân tay trình duyệt của EFF
  • Hầu hết mọi người chỉ quan tâm đến tính ẩn danh ở tầng mạng, và đánh giá thấp việc cấu hình trình duyệt có thể làm lộ danh tính đến mức nào
  • Nói thêm là Mullvad Browser được đồng phát triển với dự án Tor
• Tôi nghĩ công ty nào kém ẩn danh hơn Mullvad thì mô hình kinh doanh của họ đã bị thỏa hiệp từ đầu
  Trừ khi có lý do pháp lý thực sự cần thiết, chẳng có lý do gì để giữ dữ liệu cá nhân cả
  Rò rỉ dữ liệu đã nhiều như vậy rồi, không cần phải ôm thêm rủi ro làm gì
  • Cần có những giải thích trung thực kiểu như “chúng tôi lưu dữ liệu X vì tính năng Y, và rủi ro phát sinh từ đó là Z”
    Việc đa số dịch vụ mặc định đòi email, cookie và dữ liệu phân tích là không thẳng thắn
  • Lý do các công ty dám chấp nhận rủi ro như vậy là vì họ không phải chịu trách nhiệm
    Đã có vô số vụ rò rỉ, nhưng hầu như chẳng có lãnh đạo nào bị xử phạt
  • Với tư cách là kỹ sư hạ tầng, tôi phải nói rằng log, metric và trace là thứ bắt buộc để gỡ lỗi
    Mà trong dữ liệu đó thì gần như không thể tránh chuyện có thông tin nhận diện người dùng
    Trừ khi là tầng khách hàng không trạng thái như Mullvad, còn không thì thực tế là bất khả thi
  • Nếu lấy mức ẩn danh của Mullvad làm chuẩn thì phần lớn công ty trên đời đều trượt
    Tôi cũng tò mò không biết có thể kể ra được bao nhiêu công ty đáp ứng nổi tiêu chuẩn đó
• Tính ẩn danh rốt cuộc cũng chỉ có ý nghĩa hạn chế
  Lấy ví dụ ví tiền mã hóa: địa chỉ thì ẩn danh, nhưng lịch sử giao dịch lại công khai hoàn toàn
  Ngay từ lúc thực hiện giao dịch đầu tiên thì quyền riêng tư đã biến mất
  • Thực ra dùng từ bí danh (pseudonymous) sẽ chính xác hơn là ‘ẩn danh’
    Địa chỉ tiền mã hóa hay tài khoản mạng xã hội có một danh tính nhất quán, nhưng không gắn trực tiếp với tên thật
    Giờ có lẽ chỉ cần phân tích văn phong hay dùng LLM viết thay là cũng dễ tìm ra tương quan giữa các bí danh
  • Vì thế nên đa số mọi người sẽ tạo nhiều ví và cố không tái sử dụng chúng
• Nhờ OP mà có vẻ cuộc thảo luận đã được sắp xếp lại rõ ràng hơn
  Điểm hay của Mastodon là mỗi máy chủ tồn tại như một đơn vị có thể xóa bỏ
  Khác với mạng xã hội tập trung kiểu “gom hết mọi thứ”, cấu trúc đó không tạo ra hồ sơ xã hội không thể xóa
  • Nhưng việc “không ai sở hữu dữ liệu của tôi” rốt cuộc cũng chẳng khác gì mọi người đều sở hữu nó
  • Mastodon cũng sao chép bài đăng sang nhiều máy chủ nên việc xóa hoàn toàn là rất khó
    Nó không khác việc đăng lên Internet là bao, và không phải lời giải cho vấn đề xóa bỏ
• Có một nghịch lý là càng cố giữ quyền riêng tư thì càng dễ bị lấy dấu vân tay
  Rốt cuộc, ‘quyền riêng tư’ có phải là hòa lẫn vào đám đông không?
  • Đó là câu chuyện về lấy dấu vân tay phía client
    Điều tôi nói là tính ẩn danh phía server
    Nếu ngay từ đầu không thu thập email, IP hay mẫu sử dụng thì sẽ không có gì để đối chiếu, và cũng không thể lấy dấu vân tay
    Tức là mấu chốt nằm ở thiết kế không tạo ra dữ liệu ngay từ đầu
  • Nguyên tắc cơ bản của Tor chính là “mọi người dùng đều trông giống nhau”
    Cũng như Moscow Rules, cốt lõi là “đi theo dòng chảy và đừng gây chú ý”
  • Nhưng hòa lẫn vào đám đông cũng không có nghĩa là an toàn
    Ví dụ, nhóm người dùng Chrome trên Windows thì lớn thật, nhưng đồng thời cũng là một nhóm đơn lẻ có thể nhận diện được
  • Chủ đề này còn được tiếp tục bàn ở bình luận này
  • Rốt cuộc sẽ có một điểm mà quyền riêng tư chuyển thành sự khác biệt quá mức
• @ybceo, nếu lưu lượng người dùng bị giải mã thông qua Cloudflare thì tuyên bố về tính ẩn danh sẽ kém thuyết phục
  Giao việc kết thúc TLS cho CDN bên ngoài sẽ làm tăng rủi ro lấy dấu vân tay
• Lời hứa “chúng tôi không lưu log” là thứ không thể kiểm chứng
  Giải pháp thật sự là giúp người dùng dễ dàng sử dụng các công cụ ẩn danh ở phía họ
  Cần có chống lấy dấu vân tay trình duyệt, VPN/Tor, email riêng cho từng tài khoản, và phương thức thanh toán ẩn danh
  • Tôi cũng đã nói điều đó suốt nhiều năm rồi
    Nếu có thẻ trả trước ẩn danh có thể nạp tiền mặt và email dùng một lần đi kèm
    Thì việc ủng hộ mã nguồn mở hay thanh toán số tiền nhỏ cũng sẽ dễ dàng hơn nhiều
    Nhưng rất có thể chính phủ sẽ cấm vì lo ngại rửa tiền
    Cuối cùng lý do tôi không thể quyên góp cũng là vì không có cách làm điều đó một cách ẩn danh
  • Tôi không hiểu vì sao người bán lại không nên biết danh tính người mua
    Ngoài đời thì chẳng phải như đeo mặt nạ trượt tuyết rồi trả tiền mặt sao?
  • Trong trường hợp đó thì tiền mã hóa có thể là một phương án thay thế