Hệ thống nhận diện VPN của ĐCSTQ bị nghi rò rỉ, hé lộ công nghệ giám sát mạng

Một loạt tập tin firmware của công ty an ninh mạng Trung Quốc Nhậm Tử Hành (Surfilter) gần đây bị nghi rò rỉ. Theo thông tin do một tài khoản chuyên về an ninh mạng công bố, hệ thống liên quan có thể nhận diện hàng chục công cụ VPN và proxy như Clash, V2Ray, ProtonVPN… Tài liệu công khai của Nhậm Tử Hành cho thấy các sản phẩm của công ty đã được triển khai tại các nút mạng như nhà mạng viễn thông, trung tâm dữ liệu, hệ thống tên miền và dịch vụ đám mây, đồng thời tham gia vào việc xây dựng hệ thống kiểm soát internet của chính quyền  Đảng Cộng sản Trung Quốc (ĐCSTQ).

Ngày 11/7, tài khoản an ninh mạng NetAskari đăng bài cho biết một kho lưu trữ trực tuyến dùng để chứa chương trình firmware của Nhậm Tử Hành có dấu hiệu bị lộ. Bài đăng liệt kê danh sách các phần mềm bị nhận diện, trong đó có Clash, V2Ray, ProtonVPN, Windscribe, TunnelBear, Kuailian VPN (快连VPN)… Hiện trên mạng chưa xuất hiện đầy đủ các tệp gốc, cũng chưa có kỹ sư độc lập nào công bố kết quả phân tích, giải mã để xác thực.

Một kỹ sư mạng ở Quảng Đông, dùng tên giả Trần Thành, cho biết những hệ thống kiểu này không nhất thiết phải giải mã nội dung VPN, mà chủ yếu nhận diện đặc trưng lưu lượng. Anh nói: “Mỗi loại VPN có cách kết nối mạng khác nhau, chẳng hạn cách thiết lập kết nối, kích thước gói dữ liệu, tần suất kết nối, liên lạc với những máy chủ nào… Tất cả đều để lại dấu vết. Thiết bị gom các đặc trưng đó lại, giống như lập một ‘kho vân tay’, từ đó có thể đoán được người dùng đang sử dụng công cụ vượt tường lửa nào.”

Trần Thành cho biết thêm, sau khi hệ thống nhận diện được người dùng đang dùng VPN, nó có thể giới hạn tốc độ truy cập, cắt kết nối, chặn các nút máy chủ, hoặc chuyển nhật ký kết nối của người dùng cho cơ quan giám sát. Anh nói: “Công an có thể tìm đến hỏi anh đã truy cập những trang web nước ngoài nào.”

Báo cáo thường niên năm 2025 của Nhậm Tử Hành cho biết công ty sở hữu một bằng sáng chế phát minh về “phương pháp và hệ thống nhận diện lưu lượng VPN dựa trên sự kết hợp đa mô hình”. Hướng kỹ thuật liên quan tới tài liệu nghi bị rò rỉ lần này trùng khớp với bằng sáng chế đó. Báo cáo cũng nêu, công ty đã tham gia xây dựng các nền tảng giám sát an ninh công nghiệp internet cho Bộ Công nghiệp – Công nghệ thông tin Trung Quốc và hơn 20 đơn vị cấp tỉnh.

Thiết bị giám sát của Bắc Kinh cắm sâu vào các nút mạng

Tài liệu công khai cho thấy công ty Nhậm Tử Hành tham gia xây dựng hệ thống hỗ trợ kỹ thuật ba tầng “quốc gia – tỉnh – doanh nghiệp” cho các lĩnh vực như trung tâm dữ liệu internet, dịch vụ truy cập internet, an ninh tên miền, an ninh mạng và an ninh dữ liệu. Sản phẩm của công ty được triển khai tại các nhà mạng, trung tâm dữ liệu internet, nền tảng đám mây và mạng thuê riêng.

Anh Phong Hòa, từng làm việc trong ngành viễn thông tại Thiên Tân, nói với phóng viên rằng nhà mạng nắm thông tin đăng ký thật và lịch sử truy cập của người dùng, các công ty an ninh mạng phụ trách nhận diện lưu lượng, còn cơ quan quản lý quyết định cách xử lý; khi ba bên kết nối với nhau thì có thể truy vết người dùng “vượt tường lửa”. Anh nói: “Các công ty công nghệ nói rằng họ chỉ cung cấp công cụ, nhưng nếu thiếu những thiết bị này, chính quyền khó sàng lọc người dùng vượt tường trên quy mô lớn. Các công ty nhận dự án của nhà nước, trong khi người dùng bình thường có thể bị ghi lại, bị bóp băng thông, cắt mạng, thậm chí bị công an điều tra.”

Người dùng vượt tường trở thành mục tiêu sàng lọc

Danh sách phần mềm trong bài đăng lần này bao gồm công cụ proxy mã nguồn mở, dịch vụ VPN thương mại và các sản phẩm giúp người dùng Trung Quốc vượt tường lửa. Một số công cụ cho phép người dùng tự dựng máy chủ, nên việc chỉ chặn tên miền hoặc địa chỉ IP đơn lẻ sẽ khó mang lại hiệu quả lâu dài. Hệ thống liên quan không cần đọc nội dung liên lạc mà vẫn có thể dựa vào kích thước gói dữ liệu, tần suất kết nối, phương thức bắt tay (handshake), từ đó nhận diện lưu lượng mã hóa.

Ông Lưu, một nhà nghiên cứu công nghệ internet tại một trường đại học ở Hàng Châu, cho biết công ty niêm yết trên sàn ChiNext ở Thâm Quyến này lâu nay cung cấp công nghệ giám sát mạng cho chính quyền Trung Quốc, khách hàng gồm cả công an và các nhà mạng, thuộc loại doanh nghiệp phụ thuộc vào các dự án của nhà nước. Ông nói: “Sản phẩm của họ được lắp ở cổng vào internet và các trung tâm dữ liệu, thay mặt nhà cầm quyền kiểm soát mạng. Người bình thường dùng VPN có thể chỉ để xem tin tức bị chặn hoặc liên lạc với người ở nước ngoài, nhưng lại bị hệ thống đánh dấu thành đối tượng bị kiểm duyệt. Điều mà họ (chính quyền Trung Quốc) thực sự lo sợ là người dân vượt tường, chứ không phải tấn công mạng. Chính họ (chính quyền Trung Quốc) mới là bên tấn công.”

Nhậm Tử Hành được thành lập năm 2000, trụ sở tại Thâm Quyến, niêm yết trên sàn khởi nghiệp Thâm Quyến (ChiNext) từ năm 2012, chủ yếu cung cấp cho các cơ quan chính quyền và nhà mạng Trung Quốc những hệ thống an ninh mạng, giám sát lưu lượng và nhận diện nội dung. Tài liệu công khai cho thấy công ty từng cung cấp dịch vụ an ninh mạng cho các sự kiện chính trị như Đại hội 19 và Đại hội 20 của Đảng Cộng sản Trung Quốc.

Hiện vụ rò rỉ nói trên vẫn thiếu các báo cáo kỹ thuật hoàn chỉnh, vì vậy chưa thể kết luận rằng tất cả các VPN được nêu trong bài đăng đều đã bị cơ quan chức năng của ĐCSTQ tìm ra cách nhận diện hoặc vô hiệu hóa. Ông Lưu cho rằng những tài liệu này cho thấy cơ chế phối hợp giữa các công ty an ninh mạng thương mại, nhà mạng và cơ quan quản lý trong hoạt động giám sát internet.