- Một sĩ quan hải quân Pháp đã tải lịch sử tập luyện lên ứng dụng thể dục Strava bằng hồ sơ công khai, khiến vị trí chính xác của tàu sân bay Charles de Gaulle đang hoạt động tại Địa Trung Hải bị lộ gần như theo thời gian thực
- Le Monde đã đối chiếu dữ liệu này với ảnh vệ tinh và xác nhận vị trí của tàu sân bay ở phía tây bắc Cyprus, cách bờ biển Thổ Nhĩ Kỳ khoảng 100 km
- Trong bối cảnh chiến sự Trung Đông, các lực lượng có liên hệ với Iran đã từng tấn công 2 căn cứ quân sự của Pháp, nên việc công khai dữ liệu vị trí như vậy là một mối đe dọa an ninh nghiêm trọng
- Cùng một lỗ hổng an ninh đã lặp đi lặp lại, từ vấn đề các cận vệ tổng thống dùng Strava vào mùa thu năm 2024 đến việc lịch tuần tra của tàu ngầm hạt nhân bị lộ vào tháng 1/2025
- Bộ Tổng tham mưu quân đội Pháp thừa nhận đây là hành vi vi phạm chỉ thị hiện hành, nhưng nếu không cải thiện mang tính cấu trúc đối với hệ thống an ninh số, khả năng vấn đề tương tự tái diễn trên tàu sân bay thế hệ tiếp theo vẫn hiện hữu
Tổng quan vụ việc: lộ vị trí tàu sân bay qua Strava
- Vào 10 giờ 35 sáng ngày 13/3, một sĩ quan hải quân Pháp có tên "Arthur" (bí danh) đã chạy khoảng 7 km trong 35 phút trên boong tàu và dữ liệu được ghi lại bằng đồng hồ thông minh rồi tải công khai lên Strava
- Do hồ sơ Strava được đặt ở chế độ "công khai (public)", bất kỳ ai cũng có thể xác định gần như theo thời gian thực vị trí chính xác của tàu sân bay qua bản ghi luyện tập đó
- Qua đó, Le Monde xác nhận Charles de Gaulle đang ở vùng biển Địa Trung Hải phía tây bắc Cyprus, cách bờ biển Thổ Nhĩ Kỳ khoảng 100 km
- Cụm tác chiến hải quân Pháp ngoài tàu sân bay còn bao gồm ít nhất 3 tàu frigate và 1 tàu hỗ trợ
Bối cảnh: triển khai tại Trung Đông và rủi ro an ninh
- Ngày 3/3, Tổng thống Macron ra lệnh triển khai đến Trung Đông, quyết định được đưa ra ngay sau đòn tấn công của Israel và Mỹ nhằm vào Iran
- Charles de Gaulle ban đầu dự kiến hoạt động tại Baltic đến tháng 5 trong khuôn khổ huấn luyện NATO, nhưng đã được điều hướng khẩn cấp
- Ngày 6/3, giới chức Pháp chính thức công bố việc đi qua eo biển Gibraltar
- Ít nhất 2 căn cứ quân sự của Pháp ở Trung Đông đã bị các lực lượng liên hệ với Iran tấn công; trong một vụ tấn công bằng drone ở miền bắc Iraq, 1 binh sĩ Pháp thiệt mạng, 6 người bị thương
- Trong tình huống như vậy, việc tải dữ liệu vị trí chính xác của tàu sân bay lên một website công khai là sự bất cẩn ở mức độ nguy hiểm
Đối chiếu dữ liệu: xác nhận bằng ảnh vệ tinh
- Le Monde đã lần theo hành trình của Charles de Gaulle thông qua dữ liệu Strava của Arthur
- Ngày 14/2: có bản ghi tập luyện gần bờ biển bán đảo Cotentin của Pháp
- Ngày 26~27/2: khi tàu sân bay neo tại Malmö, Thụy Điển, Arthur ghi nhận hoạt động trên bộ ở Copenhagen, Đan Mạch
- Ngày 13/3: hoạt động tại Địa Trung Hải phía tây bắc Cyprus
- Trong ảnh vệ tinh chụp khoảng 1 giờ sau lần chạy của Arthur, có thể nhận diện rõ bóng dáng của tàu sân bay dài 262 m
- Lộ trình chạy mang dạng chạy vòng tròn trên một con tàu đang di chuyển, và nằm cách vị trí chụp vệ tinh khoảng 6 km
- Có hai khả năng: Arthur chạy trên tàu sân bay rồi con tàu tiếp tục di chuyển, hoặc anh ta đang ở trên một trong các tàu hộ tống
Phát hiện thêm: lộ nhiều hồ sơ Strava
- Ngoài Arthur, còn có ít nhất 1 hồ sơ Strava công khai khác đã đăng bản ghi luyện tập có thông tin vị trí từ các tàu đang làm nhiệm vụ
- Một số hồ sơ công khai còn có ảnh boong tàu, ảnh các quân nhân khác, thậm chí cả ảnh thiết bị tập thể dục lắp bên trong tàu
Phản ứng của Bộ Tổng tham mưu quân đội Pháp
- Bộ Tổng tham mưu quân đội Pháp cho biết việc công khai tải lộ trình chạy lên Strava là hành vi "không tuân thủ chỉ thị hiện hành"
- Họ nói các thủy thủ "thường xuyên được phổ biến các chỉ thị liên quan"
- Đồng thời nhấn mạnh "vệ sinh số (digital hygiene)" nằm trong mọi điều kiện tiên quyết trước khi triển khai lực lượng
- Cơ quan này trả lời rằng "bộ chỉ huy sẽ có biện pháp thích hợp"
Các lỗ hổng StravaLeaks trước đây
- Vào mùa thu năm 2024, loạt bài "StravaLeaks" của Le Monde đã phơi bày lỗ hổng an ninh do các cận vệ của tổng thống Pháp, Mỹ và Nga sử dụng Strava
- Có thể xác định danh tính của cận vệ và gia đình họ, theo dõi di chuyển, thậm chí dự đoán trước lộ trình của tổng thống
- Tháng 1/2025, các thủy thủ đoàn trên tàu ngầm hạt nhân mang tên lửa đạn đạo (SSBN) của hải quân Pháp cũng để lộ lịch tuần tra tàu ngầm qua Strava
- Khi đó hải quân trả lời đây là "sự bất cẩn của một số cá nhân", và không phải vi phạm ảnh hưởng đến hoạt động của căn cứ tác chiến Ile Longue
Tàu sân bay kế tiếp và bài toán còn lại
- Tàu sân bay tiếp theo của Pháp là France Libre ("Nước Pháp Tự do") dự kiến sẽ thay thế Charles de Gaulle vào khoảng năm 2038
- Tàu có thể mang tối đa 40 máy bay, được trang bị 3 máy phóng máy bay cùng thiết bị cho drone
- Tổng thống Macron nói rằng việc đóng tàu sẽ huy động "những tài năng tốt nhất của quốc gia, chuyên môn hiếm có nhất và sứ mệnh khắt khe nhất"
- Việc trong tương lai các thủy thủ có tiếp tục chia sẻ dữ liệu tập luyện trên tài khoản công khai hay sẽ chuyển sang chế độ riêng tư vẫn là bài toán chưa được giải quyết
1 bình luận
Ý kiến trên Hacker News
Có tin cho rằng lộ trình di chuyển của ông ta đã bị theo dõi qua Strava
Bài liên quan: CNN đưa tin, ví dụ điều tra của GIJN sử dụng Strava
Rất khó cấm hoàn toàn binh sĩ dùng điện thoại và internet, và phần lớn bắt nguồn từ sự ngây thơ cùng tâm lý muốn tránh bất tiện
Ở Ukraine, chuyện này vẫn đang tiếp diễn
Họ dùng thông tin vị trí theo đơn vị 1 dặm của Tinder để mô phỏng pháo kích, và lữ đoàn trưởng rất khó chịu
Trên bản đồ Iraq xuất hiện những tuyến đường hình chữ nhật, đó là dấu vết lính Mỹ chạy bộ bên trong căn cứ
Không phải bí mật tuyệt đối, nhưng là ví dụ cho thấy dữ liệu vị trí dễ bị rò rỉ đến mức nào
Gần đây, Bộ Quốc phòng Nga đang áp dụng kỷ luật rất nặng với những binh sĩ dùng Telegram hoặc mạng viễn thông Ukraine gần tiền tuyến
Tôi nghĩ rất khó giấu được trước vệ tinh
Ngay cả không cần vệ tinh vẫn có thể thu được rất nhiều thông tin
Nên xem đó là một trong nhiều biện pháp phòng thủ, chứ không phải khả năng che giấu hoàn toàn
Đó không phải kiểu cấu trúc có thể che giấu được; vai trò ẩn mình thuộc về tàu ngầm
Trong khi đó, dữ liệu GPS thời gian thực có lợi hơn nhiều cho việc dẫn đường tên lửa
(bài báo của The Guardian)
Tôi tò mò không biết tàu sân bay có dùng internet vệ tinh hay chỉ đồng bộ khi ở gần bờ
Nếu là trường hợp đầu, cần hạn chế quyền truy cập ứng dụng theo kiểu whitelist
Podcast giới thiệu 100 cách để giảm dấu vết số khi đi lại, và coi ứng dụng thể dục và ứng dụng hẹn hò là mối đe dọa lớn nhất
Vì đó không phải tàu tàng hình
Vì vệ tinh khó có thể giám sát theo thời gian thực mọi vùng biển
Việc phát hiện tàu thuyền trên biển hoàn toàn không hề đơn giản
Phần lớn các quốc gia không sở hữu vệ tinh trinh sát
Bộ phận IT của hải quân Pháp cần quản lý các ứng dụng nguy hiểm bằng chính sách chặn
Tình huống này cho thấy quân đội còn thiếu nhận thức về bảo mật
Thống kê Strava có thể bị méo mó đáng kể
Có lẽ lúc đó tàu sân bay đang chạy chậm
Có thể đó là chủ đích để trì hoãn việc tiếp cận khu vực gần Lebanon
Có trường hợp dùng một số loại thuốc khiến lượng calo tiêu hao mỗi ngày hiện lên cao bất thường
Có lẽ có thể quan sát được từ phần lớn bờ biển Địa Trung Hải
Hoặc cũng có thể vụ này chính là ví dụ cho kiểu hành vi rủi ro đó
Rất nhiều người chạy bộ trên tàu du lịch, nên dữ liệu có thể bị méo so với thực tế