AT&T và Verizon chặn công bố báo cáo đánh giá bảo mật về Salt Typhoon

• Các nhà mạng Mỹ AT&T và Verizon đang ngăn việc công bố báo cáo đánh giá bảo mật liên quan đến Salt Typhoon
• Một thượng nghị sĩ Mỹ chỉ ra rằng hai công ty đang cản trở việc công bố kết quả điều tra an ninh mạng của chính phủ
• Báo cáo này được cho là đề cập đến đánh giá hoạt động của Salt Typhoon, một nhóm hacker có liên hệ với Trung Quốc
• Hai nhà mạng được cho là đã từ chối công bố báo cáo với lý do bảo mật và an ninh
• Vụ việc này đã dẫn đến tranh cãi xoay quanh an ninh quốc gia và vấn đề minh bạch của hạ tầng viễn thông tư nhân

---

Tranh cãi về việc công bố báo cáo đánh giá bảo mật Salt Typhoon

• AT&T và Verizon đang chặn việc công bố báo cáo đánh giá bảo mật liên quan đến Salt Typhoon
  • Báo cáo bao gồm đánh giá về các mối đe dọa mạng đối với hạ tầng viễn thông tại Mỹ
  • Đây là tài liệu được soạn dựa trên kết quả điều tra của các cơ quan chính phủ
• Một thượng nghị sĩ Mỹ chỉ trích hai công ty vì làm suy giảm quyền được biết của công chúng và tính minh bạch về an ninh mạng
  • Báo cáo được cho là có bao gồm phân tích hoạt động của Salt Typhoon, một nhóm hacker có liên hệ với Trung Quốc
• Hai công ty từ chối công bố với lý do an ninh và nghĩa vụ bảo mật
  • Chưa công bố căn cứ pháp lý cụ thể hay các chi tiết liên quan

Tác động chính trị và công nghiệp

• Vụ việc này đang lan rộng thành tranh luận xoay quanh an ninh quốc gia và phạm vi trách nhiệm của các nhà mạng tư nhân
  • Đã xuất hiện các vấn đề được nêu ra về cơ chế chia sẻ thông tin giữa chính phủ và khu vực tư nhân
• Dấy lên nghi vấn liệu hệ thống ứng phó với các mối đe dọa mạng đối với hạ tầng viễn thông có đủ hiệu quả hay không
  • Việc không công khai kết quả đánh giá bảo mật có thể ảnh hưởng đến các cuộc thảo luận chính sách trong tương lai
• Cho đến nay, nội dung cụ thể của báo cáo hoặc lịch công bố vẫn chưa được xác nhận

[GN⁺]

Ý kiến trên Hacker News

• Trước đây tôi từng viết đặc tả cho tính năng nghe lén hợp pháp (lawful intercept) của một nút dữ liệu 3G
  Nguyên tắc thiết kế cốt lõi là xây dựng theo kiểu không tin cậy công ty vận hành mạng. Làm vậy mới có thể bảo vệ nhân viên khỏi ảnh hưởng của tội phạm có tổ chức
  Việc nghe lén được khởi tạo từ bảng điều khiển LI của cơ quan thực thi pháp luật, và nhà vận hành mạng không hề biết. Hệ thống được thiết kế để có thể nghe lén tới khoảng 3% lưu lượng, đồng thời không hiển thị trong log hay công cụ quản trị
  Nhưng nếu hacker xâm nhập được vào bảng điều khiển LI, thì theo đúng thiết kế họ có thể âm thầm đánh cắp chính xác một phần lưu lượng mục tiêu mà không bị phát hiện
  Vì nhiều nhà cung cấp bán phần mềm bảng điều khiển LI và đều dùng giao thức tiêu chuẩn hóa, nên ngay cả khi có sự cố cũng rất khó quy trách nhiệm cho một bên cụ thể
  • Tôi từng làm trong đội vận hành mạng của một nhà mạng lớn tại Mỹ, và một số kỹ sư vẫn có thể đoán được đại khái nút nào đang bị nghe lén thông qua phân tích call flow. Nó không hoàn toàn bị che giấu
  • Tôi tò mò bảng điều khiển LI chính xác là gì và được cài ở đâu
  • Tôi tự hỏi liệu có phải đang nói đến hệ thống RAVEN hay không
• Chính phủ buộc các nhà mạng phải có tính năng nghe lén hợp pháp, rồi tác nhân xấu lại lạm dụng chính cửa hậu do chính phủ yêu cầu đó. Vậy mà chính phủ vẫn nói về bảo mật và quyền riêng tư thì thật đạo đức giả. Cuối cùng vẫn phải bầu ra những chính trị gia tốt hơn
  • Trước đây khi làm tư vấn bảo mật, tôi từng phụ trách một công ty sản xuất thiết bị phần cứng phục vụ nghe lén. Thiết bị này là hộp đen mà nhà mạng chỉ cần lắp vào là đáp ứng yêu cầu của chính phủ
    Nhưng bài kiểm thử bảo mật chỉ cho phép kiểm tra mạng người dùng, còn bản thân sản phẩm thì tuyệt đối không được đụng vào. Nhìn vào mức độ bảo mật nội bộ, rất có thể thiết bị đó đã bị xâm nhập từ lâu rồi
  • Thay chính trị gia là quan trọng, nhưng về gốc rễ thì đây là vấn đề cấu trúc của chính phủ
    1. Đề xuất luật khi chưa hiểu đúng vấn đề → 2) Luật được thông qua nhưng phát sinh hàng loạt vấn đề mới → 3) Lại ra tranh cử với lời hứa sẽ giải quyết các vấn đề đó → 4) Vòng lặp vô hạn
  • Bản chất vấn đề không phải là cửa hậu, mà là bảo mật yếu kém của telco. Hệ thống nghe lén bắt buộc phải tồn tại về mặt pháp lý, nhưng các nhà mạng lớn thì quá phức tạp và kiểm soát bảo mật lại lỏng lẻo
    Môi trường như vậy trở thành mục tiêu ưu tiên của hacker cấp quốc gia, và vụ Salt Typhoon cho thấy điều đó. Ngay cả khi hệ thống nghe lén không bị hack, nếu hệ thống định tuyến cuộc gọi hay hệ thống tính cước bị chiếm quyền thì cũng cực kỳ nguy hiểm
  • Tôi không đồng ý với nhận định rằng chính phủ đang giương cao ngọn cờ quyền riêng tư. Thực tế là AT&T và Verizon đang ngăn việc công bố báo cáo đánh giá bảo mật của Mandiant
  • Tôi muốn biết toàn bộ chuyện này là suy đoán hay là sự thật đã được xác nhận
• Tất cả chuyện này có thể xảy ra là nhờ CALEA (Đạo luật Hỗ trợ Truyền thông cho Cơ quan Thực thi Pháp luật) được ban hành năm 1994. Cuối cùng thì chính phủ đang phải gánh hậu quả từ con đường xâm nhập do chính mình tạo ra. Giờ cần loại bỏ những cửa hậu bắt buộc bởi chính phủ kiểu này
• Khi làm ở Verizon cách đây 10 năm, có một đội bảo mật bên ngoài đến kiểm tra và đã chiếm toàn bộ mạng chỉ trong 3–4 giờ bằng một bảng điều khiển Jenkins chạy trên Windows. Bảo mật nội bộ lúc đó lỏng lẻo đến mức đó
• Giờ đây Trung Quốc cùng nhiều quốc gia và cá nhân khác đều có thể tiếp cận các hệ thống nghe lén viễn thông
  Người duy nhất không tiếp cận được lại là người dùng bình thường
  Những hệ thống như vậy rốt cuộc chỉ được dùng để thu thập tư liệu tống tiền hoặc thao túng tư pháp vì mục đích chính trị. Trong khi nhắn tin mã hóa đã được dùng rất rộng rãi, kiểu giám sát này là không cần thiết
• Việc chặn công bố các báo cáo kiểu này là một đòn giáng mạnh vào quản trị rủi ro hệ thống
  Nếu đường xâm nhập không được công khai, các ngành hạ tầng khác sẽ hoàn toàn ở trong tình trạng mù thông tin. Bảo vệ danh tiếng doanh nghiệp mà phải hy sinh an ninh chung
  • Có bài phỏng vấn của Cybersecurity Dive nói về các vector tấn công liên quan
• Chia sẻ liên kết bài MSN không có script Datadome và liên kết bản văn bản
  (Điều đáng ngạc nhiên là Microsoft đang phục vụ qua HTTP)
  • Tôi thắc mắc vì sao lại thoái lui từ HTTPS sang HTTP
• Các nhà mạng không muốn chuyện cửa hậu do chính họ tạo ra và việc quản trị yếu kém bị lộ ra ngoài
  Không chỉ nhà mạng di động, mà cả các ISP gia đình như Comcast, Cox, Charter còn bất tài hơn nhiều. Tôi đã trực tiếp trải nghiệm điều đó khi đi qua nhiều công ty
• Vụ việc này là một ví dụ thất bại khi Mỹ cố bắt chước các chính sách mang tính chuyên chế
  Họ không theo kịp Trung Quốc về bảo mật, giám sát lẫn năng lực công nghệ, mà ngược lại còn làm suy yếu nội bộ của mình
  Tình trạng kinh tế khó khăn và các đợt sa thải quy mô lớn đang đẩy nhanh chảy máu chất xám, tạo thành một vòng luẩn quẩn càng củng cố ưu thế công nghệ của Trung Quốc
  • Tình hình hiện giờ có cảm giác như thế đối đầu Mỹ–Liên Xô thời Chiến tranh Lạnh đã bị đảo ngược