Có một biển Đông trên không gian mạng (Phần 3 – Kết)

Tiến tới một chiến lược an ninh mạng quốc gia

An ninh mạng từ lâu đã trở thành một phần không thể thiếu trong chiến lược an ninh của nhiều quốc gia. Theo báo cáo của Trung Tâm Hiệp Đồng Phòng Thủ An Ninh Mạng NATO, từ năm 2003 Hoa Kỳ đã phát hành chiến lược quốc gia về an ninh mạng xác lập 3 mục tiêu chiến lược và 5 vấn đề cần được ưu tiên giải quyết sớm.

Cụ thể, Hoa Kỳ đặt mục tiêu ngăn chặn tấn công vào hạ tầng trọng yếu quốc gia, giảm thiểu các điểm yếu trong an ninh mạng quốc gia và giảm thiểu thiệt hại và thời gian hồi phục khi bị tấn công. Để đạt được những mục tiêu này, Hoa Kỳ sẽ tập trung kiện toàn hệ thống mạng máy tính của chính phủ liên bang, phát triển một hệ thống phản ứng nhanh khi bị tấn công, xác lập một chương trình giảm thiểu rủi ro và điểm yếu, bắt đầu một chương trình đào tạo nâng cao nhận thức về an ninh mạng và phát triển một hệ thống hợp tác quốc tế để xây dựng một không gian mạng mở, an toàn và đáng tin cậy. Các nhà làm luật Hoa Kỳ cũng đã đưa ra hơn 50 đạo luật nhằm giải quyết các vấn đề khác nhau của an ninh mạng. Nhà Trắng và tổng thống Obama cũng đã nhiều lần công bố các văn kiện và sắc lệnh về an ninh mạng. Bất kể nhận được sự quan tâm từ cấp cao nhất Hoa Kỳ vẫn liên tục bị tấn công.

Gần đây nhất, ngày 22 tháng 7 năm 2016 hacker công bố một danh sách lớn thư điện tử đánh cắp từ máy chủ của Trung ương Đảng Dân Chủ. Sự kiện này ngay lập tức đã ảnh hưởng đến cuộc bầu cử tổng thống đang ở trong giai đoạn quyết định. Nội bộ Đảng Dân Chủ chia rẻ vì nội dung của các lá thư điện tử và dân biểu Debbie Wasserman Schultz, chủ tịch Trung ương Đảng Dân Chủ, đã phải từ chức. Nhiều nhà quan sát cho rằng vụ tấn công này được thực hiện bởi nhóm hacker thuộc Cơ Quan Tình Báo Quân Đội Quốc Gia Liêng Bang Nga (GRU), nhằm “ủng hộ” ứng cử viên Donald Trump, người đã có những phát ngôn khá thân thiện với Kremlin.

Hay như tháng 6 năm 2015, Văn Phòng Quản Lý Nhân Sự Hoa Kỳ thông báo rằng họ đã bị xâm nhập và hơn 18 triệu hồ sơ bao gồm tên tuổi, nơi sinh, ngày sinh và địa chỉ của những ai đã từng, đang hoặc có triển vọng trở thành nhân viên chính phủ Hoa Kỳ, bao gồm cả các sĩ quan quân đội, đã bị đánh cắp. Cho đến nay vẫn chưa rõ ai đứng đằng sau vụ tấn công này, nhưng các quan chức chính phủ Hoa Kỳ cho rằng có cơ sở để tin rằng đó là chính phủ Trung Quốc. Còn rất nhiều vụ tấn công khác, mà chúng tôi không thể liệt kê hết ở đây. Hacker Trung Quốc tấn công Hoa Kỳ nhiều đến nỗi Cục Cảnh Sát Điều Tra Liên Bang Hoa Kỳ (FBI) đã phải ra lệnh truy nã toàn cầu 5 hacker thuộc biên chế quân đội Trung Quốc.

FBI phát lệnh truy nã đại úy Sun Kai Liang và 4 sĩ quan khác của quân đội Trung Quốc, cáo buộc họ đã xâm nhập vào hệ thống máy tính của 6 doanh nghiệp Hoa Kỳ để đánh cắp bí mật công nghiệp. Nguồn: https://www.fbi.gov/wanted/cyber/sun-kailiang.

Chúng tôi nói về Hoa Kỳ để cho thấy đảm bảo an ninh mạng quốc gia khó khăn như thế nào. Nếu như cường quốc số một thế giới, nơi tạo ra mạng Internet, nơi sản sinh ra những Apple, Microsoft, Facebook hay Google, nơi có những lập trình sư, những hacker, những chuyên gia bảo mật đứng đầu thế giới còn không thể chống đỡ nỗi thì Việt Nam phải làm sao đây? Thú thật chúng tôi không có câu trả lời. Dẫu vậy, trong phạm vi hiểu biết hạn hẹp của mình, trong phần tiếp theo, chúng tôi bàn về những việc Việt Nam nên làm ngay. Chúng tôi không có tham vọng chỉ ra được toàn bộ chiến lược an ninh mạng quốc gia mà Việt Nam nên theo đuổi nhưng chúng tôi hi vọng những gì mà chúng tôi trình bày ở đây phần nào phác họa được những nét chính. Chúng tôi kết thúc bằng một ví dụ cụ thể về những thử thách và giải pháp trong việc đảm bảo an toàn thông tin liên lạc cho các cơ quan chính phủ.

Trước tiên Việt Nam cần thành lập một đội đặc nhiệm, báo cáo trực tiếp cho văn phòng chính phủ hoặc chủ tịch nước, bao gồm những chuyên gia Việt Nam giỏi nhất mà Việt Nam hiện có. Đây không phải là những chuyên gia thường xuyên lên mặt báo, cũng không phải là những chuyên gia nổi tiếng trên mạng xã hội. Khi có sự cố xảy ra, những chuyên gia có nhiều thời gian phát biểu với báo chí thường là những người chẳng ai dám mời đi khắc phục sự cố. Chúng tôi xin giới thiệu VNSECURITY, một nhóm nghiên cứu lâu năm ở Việt Nam và đã có nhiều công trình được thế giới ghi nhận (người viết bài là một thành viên của VNSECURITY, nhưng chúng tôi không có bất kỳ ràng buộc về tài chính hay quyền lợi; nhóm VNSECURITY là một nhóm hoạt động phi lợi nhuận). Theo chúng tôi được biết, một số thành viên của VNSECURITY đã trực tiếp tham gia xử lý sự cố ở các sân bay vào cuối tháng 7 năm 2016. Đây là những chuyên gia mà chính phủ Việt Nam nên hỏi ý kiến trước khi ra quyết định về an toàn thông tin. Nhóm chuyên gia này sẽ là hạt nhân của chiến lược an ninh mạng quốc gia. Họ sẽ tư vấn cho chính phủ Việt Nam về chiến lược an ninh mạng quốc gia; chính sách và luật an toàn thông tin; chuẩn quốc gia về an toàn thông tin bao gồm chuẩn công nghệ, chuẩn cho sản phẩm, dịch vụ an toàn thông tin; tìm kiếm và phát triển tài năng an toàn thông tin; tạo cầu nối giữa chính phủ và các chuyên gia khác trong ngành; và kiện toàn hệ thống mạng máy tính của các cơ quan chính phủ cũng như các doanh nghiệp nắm giữ các hệ thống trọng yếu quốc gia.

Để giải quyết tình trạng đầu tư chệch hướng, chỉ lo mua sắm thiết bị, giải pháp có sẵn mà lơ là việc đầu tư đào tạo, tuyển dụng để có được đội ngũ kỹ sư chất lượng cao, chính phủ Việt Nam nên giao cho nhóm chuyên gia đánh giá hệ thống mạng của các cơ quan và dựa vào kết quả đánh giá để ra quyết định nên đầu tư như thế nào, bao gồm mua sắm thiết bị gì và đào tạo, tuyển dụng người như thế nào. Chính phủ Việt Nam đưa ra những quy định về nghề nghiệp an toàn thông tin, với những tiêu chuẩn do nhóm chuyên gia cùng với các bộ ban ngành khác của chính phủ biên soạn, và yêu cầu mỗi cơ quan chính phủ phải có ít nhất một vài kỹ sư đạt được những tiêu chuẩn này hoặc có trình độ tương đương (thông qua giới thiệu hoặc phỏng vấn bởi nhóm chuyên gia). Nhóm tiêu chuẩn này cũng sẽ trở thành tiêu chuẩn đào tạo cho các sinh viên an toàn thông tin ở các trường đại học tại Việt Nam.

Để giải quyết đại dịch mã độc, chính phủ Việt Nam cần phải đưa giáo dục an toàn thông tin vào các trường học, tương tự như giáo dục an toàn giới tính và an toàn giao thông. Đối với người đã trưởng thành, chính phủ nên sử dụng các phương tiện truyền thông đại chúng và mạng xã hội để hướng dẫn người dân sử dụng mạng máy tính an toàn. Nội dung giảng dạy cụ thể sẽ được nhóm chuyên gia đã nói soạn thảo và thông qua, trước mắt cần phải tập trung vào những việc rất cụ thể như giới thiệu phần mềm an ninh tốt, loại bỏ thói quen cài đặt phần mềm không rõ nguồn gốc, tạo thói quen thường xuyên nâng cấp phần mềm, chọn và bảo vệ mật khẩu, sử dụng các tính năng tiên tiến như xác thực hai lớp, điều chỉnh cấu hình máy tính và điện thoại, điều chỉnh cấu hình các tài khoản như Facebook, Google, v.v. Tiếp theo, chính phủ phải lên danh sách các phần mềm phổ biến, đàm phán với các hãng sản xuất để mua giấy phép sử dụng và quyền cập nhật phần mềm giá rẻ cho các cơ quan chính phủ và đại bộ phận người dân. Các máy tính bán ở Việt Nam phải sử dụng phần mềm có nguồn gốc rõ ràng, dẹp bỏ tình trạng bán phầm mềm đã bẻ khóa hoặc không có giấy phép sử dụng hợp lệ. Cuối cùng, chính phủ phải thúc đẩy việc sử dụng các sản phẩm nguồn mở miễn phí, thay cho các sản phẩm thương mại. Ví dụ như thay thế Microsoft Windows chạy trên PC bằng ChromeOS chạy trên Chromebook (hoặc các máy tính giá rẻ khác), đưa Linux vào trường học và các cơ quan chính phủ, sử dụng OpenOffice, Google Docs thay cho Microsoft Word, v.v. Đây cũng là bước đầu tiên để giảm lệ thuộc vào công nghệ nước ngoài.

Một quan chức chính phủ ở Sài Gòn có lần nói với chúng tôi bây giờ cơ quan của họ không còn dám họp qua mạng vì không biết các công cụ liên lạc mà họ đang sử dụng có đáng tin cậy hay không. Vị này nói rằng mỗi lần họp họ phải bay ra Hà Nội, rất bất tiện nhưng không biết phải làm sao. Đây là nỗi lo có sơ sở, bởi lẽ thu thập thông tin tình báo bằng cách xâm nhập vào hệ thống thông tin liên lạc của các cơ quan chính phủ là công việc hàng ngày của hacker Trung Quốc và nhiều nước khác. Phần cứng, phần mềm, các thiết bị trung gian, v.v. đều có thể có những điểm yếu hoặc bị gài cửa hậu từ khâu sản xuất hoặc khâu vận chuyển từ nơi bán đến người mua. Với trình độ khoa học kỹ thuật hiện tại, Việt Nam không thể giải quyết vấn đề này một cách triệt để. Dẫu vậy Việt Nam có thể bắt đầu bằng cách xác lập một hệ thống Cơ Sở Điện Toán Được Tin Cậy (Trusted Computing Base, TCB). Mục tiêu dài hạn là giảm thiểu số thành phần trong TCB đồng thời kiểm tra tính toàn vẹn của các thành phần này, thông qua các công nghệ theo chuẩn của Trusted Computing Group. Ví dụ như đối với bài toán họp qua mạng, Việt Nam có thể đặt TCB là các máy tính sử dụng chip Intel, phần cứng HP và hệ điều hành Linux. Dựa trên TCB này, Việt Nam có thể tự phát triển giải pháp video conference sử dụng các phần mềm nguồn mở, hiện thực hóa các tiêu chuẩn mở về mã hóa đầu cuối (end-to-end encryption) để bảo vệ mật tính và toàn vẹn cho kênh thông tin liên lạc.

Kết

Từ năm 2011 bàn về rủi ro mà các doanh nghiệp Việt Nam gặp phải khi đối diện với các tấn công có chủ đích đến từ Trung Quốc, chúng tôi đã cảnh báo như sau:

“Một sự thật là đa số doanh nghiệp Việt Nam tập trung vào các giải pháp “sản xuất hàng loạt” để hòng ngăn chặn nhóm đối tượng tấn công không có chủ đích. Họ mua tường lửa, phần mềm chống virus, thiết bị phát hiện và phòng chống xâm nhập. Họ dành nhiều tiền để đạt các chứng chỉ PCI DSS, ISO 27001. Đã có rất rất nhiều vụ tấn công trong quá khứ và trong một năm vừa qua nhắm vào các công ty đã đầu tư hàng triệu đô la thậm chí là nhà sáng chế của các giải pháp này. Rất nhiều công ty công nghệ lớn của thế giới đã gục ngã khi bị chọn làm đích ngắm. Một khi kẻ tấn công đã chọn bạn làm mục tiêu, thì tất cả những giải pháp “sản xuất hàng loạt” kể trên đều dễ dàng bị vô hiệu hóa. Một phương thức phòng thủ hiệu quả phải là một phương thức có thể phát hiện và ngăn chặn được nhóm đối tượng tấn công có chủ đích. Chỉ có một cách duy nhất là đầu tư vào con người, xây dựng hệ thống chuyên biệt giám sát tất cả các hoạt động của hệ thống thông tin.”

Sau hơn 5 năm, chúng tôi nhận thấy tình hình hầu như không có gì thay đổi. Hồi tháng 3 năm 2016, trên một bài viết đăng trên tờ Tuổi Trẻ chúng tôi tiếp tục cảnh báo rằng Việt Nam đang ở khoảng lặng trước cơn bão các vụ tấn công mạng:

“Cả thế giới đang bị phần mềm nuốt chửng, nhưng phần mềm lúc nào cũng có nhiều lỗ hổng bảo mật. Mấy năm vừa rồi, bao nhiêu công ty trên thế giới bị xâm nhập, mỗi lần gây thiệt hại có khi lên đến hàng chục tỉ USD. Vậy mà ở Việt Nam khá yên ắng. Phải chăng Việt Nam là một ngoại lệ? Chúng tôi không nghĩ như vậy.”

Chuyện gì đến đã đến. Hồi giữa tháng 5 năm 2016, ngân hàng Tiên Phong thông báo họ là nạn nhân của một vụ tấn công mạng, nhưng may mắn đã kịp thời phát hiện và ngăn chặn kẻ xấu đánh cắp hơn 1 triệu USD. Chúng tôi bắt đầu viết bài báo này vài tuần trước khi xảy ra vụ tấn công vào các sân bay vào cuối tháng 7 năm 2016. Như vậy chỉ trong một thời gian ngắn, Việt Nam đã chứng kiến hai vụ tấn công có thể gây ra thiệt hại lớn.

Chúng tôi nhắc nhiều đến các nhóm hacker có sự bảo trợ của chính phủ, nhưng kỳ thực hai vụ vừa rồi có thể được thực hiện bởi các nhóm hacker hoàn toàn tự phát. Thực tế là không cần phải được chính phủ hỗ trợ, không cần phải có trang thiết bị dụng cụ hiện đại, chỉ cần một máy tính kết nối Internet và một ít thời gian, một vài sinh viên chán đến trường hoàn toàn có thể thực hiện những vụ tấn công này.

Với tình trạng hiện tại, thời gian sắp tới Việt Nam sẽ còn chứng kiến nhiều vụ tấn công mạng có thể gây ra thiệt hại về người và của. Nhưng những tấn công này không đáng lo ngại bằng các vụ xâm nhập của các nhóm hacker “lạ”. Chúng tôi đánh giá phần lớn hệ thống trọng yếu ở Việt Nam đã bị xâm nhập từ rất lâu. Các nhóm hacker “lạ” này không ồn ào, không tạo tiếng vang, không có nhu cầu trộm tiền, rất khó phát hiện, nhất là khi chúng đã chui sâu vào hệ thống. Họ xâm nhập để thu thập thông tin, kiểm soát các hệ thống quan trọng, nhằm tạo ra và duy trì lợi thế quân sự khi có xung đột lợi ích với Việt Nam.

Chúng tôi không có câu trả lời trọn vẹn cho câu hỏi Việt Nam nên làm gì để tự bảo vệ. Dựa vào kinh nghiệm hạn chế đảm bảo an toàn thông tin cho các tập đoàn đa quốc gia, chúng tôi tin rằng Việt Nam chỉ có thể giải quyết được tình trạng hiện tại bằng cách xây dựng và đào tạo được một đội ngũ kỹ sư và chuyên gia an toàn thông tin có trình độ chuyên môn cao, được thế giới thừa nhận.

Blog Dương Văn Thái

Xem thêm: