Kế hoạch ‘Going Dark’ hay ‘ProtectEU’ của Liên minh châu Âu là nỗ lực Chat Control 3.0 nhằm truy cập dữ liệu được mã hóa

• Sau khi Ủy ban châu Âu thất bại trong việc thúc đẩy Chat Control 2.0 để truy cập dữ liệu mã hóa đầu cuối , cơ quan này đang chuẩn bị một nỗ lực mới mang tên ‘Going Dark’(ProtectEU) cho tới mùa hè năm 2026
• Kế hoạch này nhằm mục tiêu cho phép các cơ quan thực thi pháp luật “truy cập hợp pháp” vào dữ liệu được mã hóa, và một số quốc gia thành viên còn muốn bao gồm cả dịch vụ VPN
• Trong một ‘Presidency outcome paper’ riêng, các quốc gia thành viên đang thảo luận về quy định lưu giữ siêu dữ liệu, hướng tới phạm vi lưu giữ dữ liệu rộng bao gồm website đã truy cập, đối tượng liên lạc, tần suất liên lạc, v.v.
• Mullvad VPN đã phản đối Chat Control 2.0 trong 3 năm qua và tuyên bố sẽ tuyệt đối không giám sát khách hàng ngay cả khi VPN bị đưa vào diện điều chỉnh
• Cuộc thảo luận lần này đang nổi lên như một vấn đề trọng tâm xoay quanh giới hạn bảo vệ pháp lý đối với quyền riêng tư số và công nghệ mã hóa tại châu Âu

---

Thất bại của Chat Control 2.0 và nỗ lực mới ‘Going Dark’

• Ủy ban châu Âu đã thất bại trong việc thúc đẩy Chat Control 2.0 nhằm giành quyền truy cập dữ liệu mã hóa đầu cuối
  • Mullvad VPN mô tả điều này là “Ủy ban châu Âu đã thất bại trong cuộc chiến Chat Control 2.0”
• Ủy ban dự kiến sẽ thúc đẩy một kế hoạch mới mang tên ‘Going Dark’ hoặc ‘ProtectEU’ cho tới mùa hè năm 2026
  • Mục tiêu là “cho phép các cơ quan thực thi pháp luật truy cập hợp pháp vào dữ liệu được mã hóa”
  • Mullvad VPN xem đây là một “nỗ lực Chat Control 3.0”

Khả năng bao gồm VPN và tranh luận về lưu giữ dữ liệu

• Một số quốc gia thành viên EU đã bày tỏ ý định đưa cả dịch vụ VPN vào phạm vi điều chỉnh
• Trong ‘Presidency outcome paper’ mới, việc sửa đổi các quy tắc lưu giữ dữ liệu (data retention) đang được thảo luận
  • Đối tượng lưu giữ bao gồm siêu dữ liệu như website đã truy cập, đối tượng liên lạc, thời điểm, tần suất
  • Theo tài liệu, mục tiêu là “phạm vi áp dụng rộng nhất có thể”

Lập trường của Mullvad VPN

• Mullvad VPN đã liên tục phản đối Chat Control 2.0 trong 3 năm qua
  • Dù dự luật đó có thể mang lại tác động tích cực cho hoạt động kinh doanh của mình, công ty vẫn giữ lập trường phản đối
• Công ty nêu rõ rằng ngay cả khi dự luật Going Dark được thông qua, họ cũng sẽ tuyệt đối không giám sát khách hàng
  • Họ cho biết: “Dù VPN có bị đưa vào hay không, chúng tôi sẽ chiến đấu chống lại Going Dark bằng toàn bộ sức lực”

Phản ứng của cộng đồng Mastodon

• Nhiều người dùng bày tỏ sự mệt mỏi và chỉ trích trước các nỗ lực giám sát lặp đi lặp lại của EU
  • Xuất hiện phản ứng châm biếm như: “Đến năm 2030 lại phải chiến đấu với Chat Control 8.0 sao?”
  • Cũng có ý kiến chỉ trích rằng: “Nói sẽ cho phép truy cập hợp pháp nghĩa là hiện tại việc đó là bất hợp pháp”
• Một số người đề cập đến xu hướng tập trung hóa của EU và lo ngại xâm phạm tự do cá nhân
  • Có ý kiến cho rằng: “Chỉ có phi tập trung hóa cực độ mới có thể ngăn được kiểu bóp méo này”

Tranh luận tiếp diễn về quyền riêng tư và mã hóa

• Nhiều bình luận bày tỏ lo ngại về việc chính phủ tăng cường giám sát và cố làm suy yếu công nghệ mã hóa
  • Xuất hiện những chỉ trích như: “Chính phủ sợ tự do của người dân hơn là sợ chính người dân”, “Họ không hiểu toán học của mã hóa nhưng lại đòi hỏi điều bất khả thi”
• Mullvad VPN nhấn mạnh rằng họ duy trì bảo vệ quyền riêng tư như một giá trị cốt lõi, đồng thời vận hành theo cấu trúc không truy vết danh tính khách hàng ngay cả khi có áp lực pháp lý
• Cuộc thảo luận này được đánh giá là sẽ có ảnh hưởng lớn tới định hướng tương lai của quyền số, mã hóa và chính sách lưu giữ dữ liệu trong EU

[GN⁺]

Ý kiến trên Hacker News

• Cách để ngăn điều này là ban hành một đạo luật theo hướng ngược lại. Tức là, liên lạc được mã hóa phải luôn được bảo vệ, và mọi hoạt động lập pháp làm suy yếu các bảo đảm kỹ thuật đó phải bị cấm. Khi đó sẽ cần một quy trình 2 bước để bãi bỏ lệnh cấm hiện có và đưa luật mới vào
• Vòng lặp hao mòn của việc liên tục đề xuất lại cùng một dự luật giám sát chỉ với tên gọi khác đang tiếp diễn. Chat Control, ProtectEU, Going Dark... chỉ khác tên, còn bản chất vẫn là cùng một đề xuất xâm phạm. Đặc biệt, phạm vi lưu giữ siêu dữ liệu là vấn đề lớn, vì nó bao gồm các trang web đã truy cập, đối tượng liên lạc, thời điểm và tần suất, thậm chí còn muốn áp dụng với cả dịch vụ VPN. Đây không còn là bảo vệ trẻ em hay ngăn chặn khủng bố nữa, mà là bình thường hóa giám sát đại chúng. Giải pháp duy nhất là ghi rõ quyền riêng tư trong hiến pháp và quy định hình phạt cho các hành vi vi phạm lặp lại
• Tôi không tìm thấy nguồn của “Presidency outcome paper” mà Mullvad nhắc đến nên đã tự tìm. Thực tế, phần lớn nội dung được trích dẫn nằm trong tài liệu ProtectEU do Ủy ban châu Âu gửi ngày 1 tháng 4. Ngoài ra còn có thêm báo cáo xác định vấn đề: HLG background document. Tài liệu này mô tả việc cơ quan thực thi pháp luật truy cập dữ liệu trên cơ sở có phê duyệt tư pháp, đồng thời nêu rõ phải tuân thủ bảo vệ dữ liệu và án lệ của CJEU
  • Có lẽ đây là tài liệu đang được nhắc tới. Số hiệu tài liệu này không được công khai nên có vẻ là tài liệu bị rò rỉ. Một tài liệu liên quan khác là tài liệu này, và tài liệu đầu tiên có vẻ là kết quả đầu ra của tài liệu thứ hai
• Chừng nào mọi người chưa vận động để quyền riêng tư được bảo đảm ở cấp độ hiến định bằng luật, thì vấn đề này sẽ còn tiếp diễn. Chỉ chặn một đạo luật tồi là không đủ
  • Những quyền như vậy cần được ghi thành luật, và cần một quy tắc thời gian chờ để không thể tái đệ trình các dự luật cùng mục đích trong một khoảng thời gian nhất định. Việc lặp đi lặp lại cùng một dự luật trong 4 năm qua là điều vô lý
  • Ngay cả hiến pháp Ý cũng ghi rõ rằng tự do và bí mật trong liên lạc không được bị xâm phạm, nhưng nếu chính phủ không có ý chí thực thi thì luật là vô nghĩa
  • EU và Đức vốn đã có rất nhiều luật bảo vệ dữ liệu cá nhân. Ví dụ, Tòa án Hiến pháp Đức từng phán quyết rằng việc ghi lại hàng loạt truy vấn DNS “rất có thể là bất hợp pháp nghiêm trọng”
  • Cần giải quyết chính vấn đề mà đề xuất này đang nhắm tới. Nếu không thì cùng một đề xuất sẽ cứ lặp lại mãi. Lạm dụng tình dục trẻ em là vấn đề có thật, và nếu bạn không thích đạo luật này thì hãy đưa ra một phương án thay thế tốt hơn
• Ở Lokroi của Hy Lạp cổ đại, khi đề xuất luật mới, người ta phải đeo dây thòng lọng quanh cổ lúc đưa ra đề xuất, và nếu bị bác bỏ thì sẽ bị treo cổ. Đây là một câu chuyện đáng để suy ngẫm
  • Hoạt động lập pháp ở Mỹ có cấu trúc một chiều, trong đó việc tạo ra luật mới dễ hơn rất nhiều so với bãi bỏ luật cũ. Điều này có thể được giải quyết nếu mọi đạo luật đều có ngày hết hiệu lực mặc định
  • Zaleucus của Lokroi đã xây dựng hệ thống pháp luật đầu tiên vào thế kỷ thứ 7 trước Công nguyên. Ngày nay, Lokroi nằm ở vùng Calabria của Ý và trớ trêu thay lại nổi tiếng vì các tổ chức mafia (liên kết Wiki)
  • Nhưng nếu ngày nay đa số mọi người đã sống trong một thế giới mà họ sẵn sàng tự chọn treo cổ mình, thì có lẽ hệ thống đó sẽ không vận hành đúng như mong đợi
  • Nhìn vào thời kỳ đại dịch, khi có những công dân bị kích động bởi thông tin sai lệch, từ chối các biện pháp an toàn công cộng và phản ứng bằng bạo lực, thì kiểu cơ chế này lại có nguy cơ có lợi cho những kẻ cực đoan
  • Giống như câu “món ăn này đã ôi”, chúng ta cần một đề xuất tốt hơn
• Tôi hy vọng dự luật lần này cũng sẽ bị bác bỏ như trước. Dù có được thông qua thì ở một số quốc gia thành viên, nó cũng có khả năng không được thực thi hoặc sẽ bị bãi bỏ. Dẫu vậy, việc những cuộc tranh luận như thế này diễn ra công khai vẫn còn tốt hơn so với Trung Quốc, Nga, hay Patriot Act của Mỹ
  • Nhưng cũng khó nói liệu những cuộc thảo luận đó có thực sự mang ý nghĩa hay không. Mục tiêu của các thỏa thuận quốc tế là chuyển dữ liệu ra ngoài phạm vi tài phán để lách giám sát, và rất có thể EU đã tiến hành phân tích siêu dữ liệu rồi. Mullvad nói “chúng tôi sẽ không giám sát khách hàng”, nhưng nếu luật được thông qua thì cuối cùng họ либо phải lưu log hoặc rời khỏi EU
• VPN rốt cuộc là vấn đề niềm tin. Mullvad có thể không phải tốt nhất, nhưng cũng không phải tệ nhất
  • Tuy nhiên, họ không còn hỗ trợ port forwarding nữa, và chất lượng IP thấp nên thường bị đánh dấu là tài khoản đáng ngờ
• Tôi yêu Internet. Khi trưởng thành, tôi đã chứng kiến Internet thay đổi thế giới và rất ghét những nỗ lực nhằm kiểm soát nó. Trước đây, chiến tranh thông tin là hoạt động trực tiếp, nhưng Internet đã mang lại cho các quốc gia một phương tiện mới để gây ảnh hưởng ở nước ngoài. Tôi hiểu ham muốn giám sát của nhà nước, nhưng tôi cho rằng cách hiện nay là sai. Cần có sự cân bằng giữa Internet tự do và việc kiểm soát ảnh hưởng từ nước ngoài
  • Điều quan trọng hơn là sẽ kiểm soát “ảnh hưởng của ai”. Cần bảo đảm rằng các hệ thống như vậy không bị lạm dụng như công cụ duy trì quyền lực. Nếu mọi thứ diễn ra trong bí mật, thì EU cũng sẽ chẳng khác gì Nga hay Trung Quốc
• Ủy ban châu Âu và một số quốc gia thành viên đang thảo luận lại các quy tắc lưu giữ dữ liệu. Trong “Presidency outcome paper”, có nội dung lưu giữ siêu dữ liệu như các website đã truy cập, đối tượng liên lạc, tần suất..., và có động thái muốn áp dụng cả với dịch vụ VPN
• Dù có bị bác bỏ lần thứ ba đi nữa, họ vẫn sẽ thử lại. Cần có một cách để ngăn chặn việc này lặp đi lặp lại
  • Trừ khi EU đột ngột chuyển mạnh sang cánh tả, còn không thì tôi thấy thực tế rất khó ngăn được
  • Cần có biện pháp trừng phạt mang tính răn đe đối với thất bại. Các biện pháp bạo lực là điều xã hội không thể chấp nhận, và cũng nguy hiểm như các ví dụ về “chính trị ám sát” ở Nhật Bản. Thay vào đó, có thể có những phản ứng ôn hòa như tẩy chay xã hội (kiểu Amish shunning). Tuy vậy, với vấn đề ở mức như Chat Control thì khó có phản ứng cực đoan đến thế; có lẽ phải là chuyện như bãi bỏ chế độ lương hưu thì mới xảy ra nổi