- Đặc vụ thuộc Bộ Thương mại Mỹ đang điều tra các cáo buộc từ những cựu nhân viên hợp đồng của Meta, những người cho rằng tin nhắn WhatsApp có thể bị truy cập
- Các cựu nhân viên hợp đồng khai rằng họ và một số nhân viên Meta đã có quyền “truy cập không hạn chế (unfettered access)”
- Cáo buộc này mâu thuẫn với lập trường chính thức của Meta rằng WhatsApp được mã hóa và mang tính riêng tư
- Nội dung tương tự cũng có trong một đơn tố giác nội bộ gửi lên Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) vào năm 2024
- Cuộc điều tra lần này và đơn tố giác là những sự việc trước đây chưa từng được công khai, có thể ảnh hưởng nghiêm trọng đến độ tin cậy về quyền riêng tư của nền tảng nhắn tin
Tổng quan cuộc điều tra của chính phủ Mỹ
- Cơ quan thực thi pháp luật Mỹ đang điều tra cáo buộc do các cựu nhân viên hợp đồng của Meta Platforms Inc. đưa ra về khả năng truy cập tin nhắn WhatsApp
- Theo báo cáo điều tra và các cuộc phỏng vấn mà Bloomberg News thu thập được, đã xuất hiện nghi vấn rằng nhân viên Meta có thể truy cập các cuộc trò chuyện trên WhatsApp
- Cơ quan điều tra được nêu rõ là các Đặc vụ thuộc Bộ Thương mại Mỹ (Special Agents with the US Department of Commerce)
- Nội dung điều tra liên quan trực tiếp đến độ tin cậy của những tuyên bố từ Meta về mã hóa đầu cuối và chính sách bảo vệ hội thoại riêng tư
Cáo buộc từ các cựu nhân viên hợp đồng
- Các cựu nhân viên hợp đồng cho biết họ và một số nhân viên Meta có thể “truy cập không hạn chế” vào tin nhắn WhatsApp
- Những lời khai này dựa trên hồ sơ thực thi pháp luật, nguồn tin am hiểu vụ việc, cùng lời chứng của chính các nhân viên hợp đồng
- Một trong các nhân viên hợp đồng đã phát biểu với điều kiện ẩn danh vì lo ngại khả năng bị trả đũa
Tố giác nội bộ và các cơ quan liên quan
- Cáo buộc tương tự cũng xuất hiện trong đơn tố giác nội bộ (whistleblower complaint) được gửi lên Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) vào năm 2024
- Bloomberg là đơn vị đầu tiên đưa tin rằng cả đơn tố giác này lẫn cuộc điều tra của Bộ Thương mại đều là những sự việc trước đó chưa từng được công khai
Mâu thuẫn với lập trường chính thức của Meta
- Meta từ lâu vẫn khẳng định WhatsApp là riêng tư và được mã hóa
- Tuy nhiên, cuộc điều tra và các lời khai lần này đặt ra khả năng trái ngược với cách Meta mô tả chính thức
Ý nghĩa của vụ việc
- Vụ việc đặt ra nghi vấn về độ tin cậy của cơ chế mã hóa trong dịch vụ nhắn tin và mức độ bảo vệ quyền riêng tư của người dùng
- Việc cơ quan chính phủ Mỹ trực tiếp vào cuộc điều tra cũng khiến vấn đề tính minh bạch bảo mật của các nền tảng nhắn tin toàn cầu một lần nữa trở thành tâm điểm chú ý
1 bình luận
Ý kiến trên Hacker News
Mã hóa đầu cuối (E2EE) của WhatsApp đã được điều tra độc lập
Không phải toàn bộ mã nguồn đều được rà soát, mà chỉ phân tích phần lõi mã hóa
Vấn đề chính là máy chủ WhatsApp quyết định người dùng nào sẽ được đưa vào nhóm chat
Dan Goodin đã đề cập nội dung này trong bài viết trên Ars Technica
Facebook từng vượt qua các biện pháp bảo mật di động để truyền dữ liệu qua localhost
Ứng dụng có thể gửi dữ liệu theo nhiều hướng, và cũng có thể đọc tin nhắn qua thông báo đẩy
Bài liên quan: Cybersecurity News
Nó được tải lặp lại ở mỗi cuộc trò chuyện, và có thể xác nhận bằng tường lửa MitM
Tôi thắc mắc vì sao các cuộc kiểm toán kiểu này lúc nào cũng chỉ nói về phần mã hóa
Nếu client gửi tin nhắn văn bản thuần sang máy chủ khác hoặc dịch vụ dịch thuật thì mã hóa khi truyền là vô nghĩa
Tuy nhiên, nếu client cũng bị xâm phạm cùng lúc thì dấu hiệu đó có thể bị che đi
Theo bài viết gần đây của Livemint, WhatsApp đang phát triển tính năng chia sẻ tin nhắn cũ cho thành viên mới, nên có khả năng làm suy yếu bảo mật
Tốc độ thay đổi chính sách rất nhanh, nên không ai có thể xem mình là ngoại lệ
Nếu không xác minh trực tiếp mặt đối mặt thì rất khó để tin tưởng
Tôi cho rằng client E2EE nguồn đóng không thể an toàn hoàn toàn
Việc phát hiện cửa hậu trên thực tế chỉ khả thi với mã nguồn mở, và reproducible builds là rất quan trọng
Ngay cả lỗ hổng thực thi mã từ xa tinh vi mà chỉ có thể bị khai thác từ phía máy chủ cũng có thể là một dạng cửa hậu
Không thể hiểu hoàn toàn hành vi của compiler để tìm cửa hậu ẩn trong mã nguồn
Mã nguồn mở có nhiều ưu điểm, nhưng không cần phải khẳng định nó có ưu thế bảo mật nếu không có căn cứ
Với tư cách là cựu kỹ sư WhatsApp, tôi tin chắc nhóm đã đổ ra rất nhiều công sức cho việc triển khai E2EE
Không thể đọc được các tin nhắn đã mã hóa
Về mặt kinh doanh, WhatsApp Business API cũng đã tạo ra doanh thu đủ lớn
và liệu client có thể trực tiếp so sánh khóa của đối phương hoặc xác minh nội dung gói tin hay không
Matthew Green gần đây viết trên Bluesky rằng
vụ kiện cho rằng WhatsApp có quyền truy cập vào văn bản thuần là một cáo buộc câu khách, thiếu cơ sở
Các phát biểu từ Meta, từ cựu nhân sự WhatsApp và các kết quả điều tra đều không mâu thuẫn với cáo buộc của người tố giác
Muốn thực sự tin tưởng thì cần có một tuyên bố trong tài liệu chính thức gửi SEC rằng “Meta chưa từng truy cập tin nhắn WhatsApp theo bất kỳ cách nào, và trong tương lai cũng không thể làm được”
Một số kịch bản giả định được nêu ra
Ví dụ, nếu tôi truy cập một trang nào đó rồi gửi liên kết cho bạn, sau đó bạn cũng vào đúng trang đó, thì có thể suy ra nội dung tin nhắn
Các công ty FAANG thường cẩu thả về mặt kỹ thuật hơn người ta nghĩ
Bên trong công ty, những dự án kiểu ‘Decryption at Scale’ nhiều khi chỉ kết thúc như tài liệu làm màu để ghi điểm thành tích
Không cần phải giải mã nội dung thật
Khác nào nói rằng vào năm 2016 họ đã có công nghệ ở trình độ năm 2026
Tham khảo liên quan: Utah Data Center
Khóa được giữ bởi máy chủ chứ không phải người dùng
Tôi tò mò không biết các cuộc điều tra kiểu này thực tế được tiến hành như thế nào
Họ chỉ đặt câu hỏi đơn thuần, hay cùng chuyên gia CNTT phân tích ứng dụng về mặt kỹ thuật,
và có yêu cầu xác minh mã nguồn đúng với đoạn mã đang chạy trên thiết bị người dùng hay không
Nhưng không thể loại trừ hoàn toàn
Tôi cho rằng cốt lõi của mọi hệ thống mã hóa là quản lý khóa
Nếu bạn không trực tiếp kiểm soát khóa thì cuối cùng sẽ có người khác kiểm soát nó
Việc WhatsApp tự động đồng bộ tin nhắn giữa các thiết bị là một sự đánh đổi giữa tiện lợi và bảo mật
Phần lớn người dùng không trực tiếp xác minh fingerprint của đối phương
Các công ty xâm phạm quyền riêng tư lớn nhất thế giới có đầy đủ động cơ để làm suy yếu quyền riêng tư của người dùng
Chính mô hình kinh doanh của họ dựa trên thu thập dữ liệu và thao túng hành vi
Vì vậy, ngay cả khi chưa có bằng chứng, không tin tưởng họ vẫn là lựa chọn hợp lý