Tài liệu tường lửa của ĐCSTQ bị rò rỉ (P2): Mạng lưới kiểm soát internet toàn diện đang hình thành

Gần đây, các tài liệu tuyệt mật về công nghệ cốt lõi của “Vạn Lý Tường Lửa” (Great Firewall) của Đảng Cộng sản Trung Quốc (ĐCSTQ) đã bị rò rỉ trên quy mô lớn, cho thấy các công ty Trung Quốc đã xây dựng một hệ thống giám sát mạng hoàn chỉnh tại nhiều quốc gia ở Nam Á, Tây Á và châu Phi, đồng thời tham gia vào việc thiết lập các tường lửa khu vực trong nội địa Trung Quốc. Một mạng lưới kiểm soát internet toàn diện đang hình thành, trải dài từ cấp tỉnh đến cấp quốc gia, từ trong nước ra nước ngoài, với quy mô triển khai và mức độ giám sát sâu rộng khiến cộng đồng quốc tế chấn động.

Xem phần 1: Tài liệu tường lửa của ĐCSTQ bị rò rỉ (P1): Hé lộ cơ chế kiểm duyệt mạng

Nguồn rò rỉ lần này xuất phát từ lực lượng kỹ thuật quan trọng đứng sau Vạn Lý Tường Lửa — Công ty Công nghệ Thông tin Jizhi Hải Nam (Geedge Networks Ltd.) cùng Phòng Thí nghiệm MESA thuộc Nhóm Kiến trúc Xử lý của Phòng Nghiên cứu số 2, Viện Kỹ thuật Thông tin, Viện Hàn lâm Khoa học Trung Quốc.

Phân tích sâu hơn về vụ rò rỉ tài liệu lớn nhất trong lịch sử Vạn Lý Tường Lửa này cho thấy chi tiết việc Geedge Networks triển khai công nghệ ở nước ngoài, cũng như vai trò then chốt của công ty trong việc xây dựng các tường lửa mang tính khu vực trong lãnh thổ Trung Quốc.

Kiến giải về việc ĐCSTQ triển khai giám sát mạng ở nước ngoài: Bốn mô hình khác nhau

Theo các tài liệu bị rò rỉ, Geedge Networks đã cung cấp dịch vụ kỹ thuật cho ít nhất 5 quốc gia: Myanmar, Pakistan, Ethiopia, Kazakhstan, và một quốc gia chưa công bố chỉ xuất hiện với mật danh A24. Trong các tài liệu rò rỉ, những quốc gia này đều được đánh dấu bằng mật mã, phần lớn là chữ cái đầu của tên quốc gia kèm theo hai chữ số biểu thị năm.

(1) Tại Myanmar: Kiểm soát toàn bộ nhà mạng, đạt mức thâm nhập mạng toàn diện

Ở Myanmar, nơi Công ty Geedge Networks do “cha đẻ Vạn Lý Tường Lửa” Phương Tân Hưng sáng lập, việc triển khai là toàn diện nhất.

Tài liệu cho thấy phần cứng của công ty đã được lắp đặt trong phòng máy của mọi nhà cung cấp dịch vụ Internet (ISP) tại Myanmar, gồm bốn “ông lớn” MyTel, Ooredoo, MPT, ATOM, cùng các nhà mạng nhỏ hơn như Frontiir, Global Technology Group, Golden TMH Telecom.

Đáng chú ý, Frontiir từng phủ nhận tham gia bất kỳ dự án giám sát nào, nhưng tài liệu rò rỉ chứng minh thiết bị của Geedge Networks thực sự được triển khai trong cơ sở của tất cả ISP Myanmar, bao gồm cả Frontiir. Các tài liệu còn ghi rõ báo cáo thử nghiệm đường truyền của mọi ISP, cho thấy thông tin kiểm tra kết nối website vào các thời điểm khác nhau năm 2024, nhằm đánh giá hiệu quả kiểm duyệt mạng.

Danh sách “ứng dụng VPN cần chặn” của Myanmar dài hơn hẳn các nước khác, ghi chép quá trình thiết lập quy tắc chặn cho 55 ứng dụng ưu tiên cao, trong đó có Signal và WhatsApp.

Geedge Networks còn phát triển công cụ đặc biệt Psiphon3-SLOK để quét các điểm cuối Psiphon, trùng khớp với những biến động kết nối Psiphon được ghi nhận tại Myanmar từ tháng 5/2024 khi công ty này hiện diện tại nước này.

(2) Tại Pakistan: Hỗ trợ nâng cấp hệ thống giám sát mạng

Tại Pakistan, công ty Geedge Networks vào năm 2023 đã thay thế công ty Canada Sandvine – đơn vị từng bị Mỹ trừng phạt vì “tiếp tay cho việc vi phạm nhân quyền”. Tài liệu bị rò rỉ cho thấy Geedge Networks không chỉ tận dụng các thiết bị Sandvine đã lắp đặt, mà còn cung cấp công nghệ mới để vận hành “Hệ thống Giám sát Mạng” (WMS 2.0) của Pakistan.

Tổ chức Ân xá Quốc tế (Amnesty International) gọi tường lửa do Geedge Networks vận hành là “WMS 2.0” để phân biệt với phiên bản trước đó là WMS. Một lãnh đạo cấp cao của nhà cung cấp dịch vụ Internet (ISP) tại Pakistan cho biết, đúng như tài liệu tiếp thị của Geedge Networks, hệ thống WMS mới không chỉ được triển khai tại cổng Internet quốc gia mà còn ở các trung tâm dữ liệu địa phương của các nhà cung cấp dịch vụ di động và ISP.

Thư mục Sanity của Geedge Networks có khả năng quy kết hành vi mạng đến từng thẻ SIM cụ thể. Tại Pakistan, chức năng này đặc biệt nhạy cảm vì từ năm 2015, mỗi thẻ SIM mới cấp cho người dùng di động đều phải đăng ký dưới tên cá nhân xác định và liên kết với dữ liệu sinh trắc học đã được cơ quan Cơ sở dữ liệu & Đăng ký Quốc gia ghi nhận.

(3) Tại Ethiopia: Trực tiếp tham gia vào việc phong tỏa mạng của chính phủ

Tại Ethiopia, công ty Geedge Networks hợp tác với nhà mạng địa phương Safaricom, triển khai thiết bị giám sát tại các trung tâm dữ liệu khu vực. Tài liệu bị rò rỉ hé lộ một chi tiết quan trọng: việc chuyển từ chế độ “mirroring” (sao chép lưu lượng) sang chế độ “online” (trực tuyến) có liên quan trực tiếp đến việc chính phủ chuẩn bị cắt đứt mạng Internet.

Tháng 2/2023, trong làn sóng biểu tình phản đối chính phủ trên toàn quốc, một phiếu công việc của Geedge Networks cho thấy các chuyên gia của công ty được triệu tập để xử lý các vấn đề liên quan đến các nền tảng mạng xã hội như YouTube, Twitter (nay gọi là X), trùng khớp hoàn toàn với thời điểm các nền tảng này bị chặn theo các báo cáo tin tức bên ngoài.

Nhật ký trong tài liệu rò rỉ cho thấy, trong số 18 lần chuyển sang chế độ trực tuyến tại Ethiopia, có 2 lần diễn ra ngay trước khi mạng Internet bị cắt vào tháng 2/2023.

(4) Tại Kazakhstan: Chính phủ ưa chuộng “tấn công kẻ trung gian” của Geedge Networks

Là khách hàng đầu tiên của Geedge Networks, Chính phủ Kazakhstan đã sử dụng công nghệ của công ty này từ năm 2019. Sản phẩm TSG (cổng bảo mật) của Geedge Networks có khả năng thực hiện kiểu tấn công TLS “man-in-the-middle” (kẻ trung gian) tương tự như việc cấp chứng chỉ của chính phủ—đây có thể là điểm thu hút chính khi Geedge Networks lần đầu tiếp cận chính quyền Kazakhstan.

Cái gọi là “tấn công kẻ trung gian” nghĩa là kẻ tấn công bí mật chặn và có thể sửa đổi liên lạc giữa người dùng và máy chủ mà cả hai bên không hề hay biết. “Tấn công kẻ trung gian” nhắm vào giai đoạn khởi tạo của các phiên kết nối được mã hóa.

Một bức ảnh chụp ngày 16/10/2020 liệt kê địa chỉ IP của một trung tâm quốc gia cùng 17 thành phố khác, nơi vận hành ba sản phẩm của Geedge Networks: Bifang (quản lý tập trung), Galaxy (tên ban đầu của TSG-Galaxy) và Nezha (tên cũ Network Zodiac).

Tài liệu bị rò rỉ tiết lộ: Công nghệ chống vượt tường lửa Geedge Networks

Điều đáng chú ý là các tài liệu rò rỉ đã cho thấy chi tiết nghiên cứu sâu của Geedge Networks đối với các công nghệ vượt tường lửa. Công ty này mua tài khoản VPN và vận hành một cụm thiết bị di động cài đặt ứng dụng VPN, chuyên dùng để nghiên cứu hành vi mạng của chúng.

Geedge Networks áp dụng kỹ thuật đảo ngược mã (reverse engineering), sử dụng cả phân tích tĩnh và động để tạo ra các quy tắc chặn. Phân tích tĩnh bao gồm việc giải mã (decompile) mã nguồn ứng dụng để tìm API trả về danh sách máy chủ; phân tích động là vừa chạy ứng dụng VPN vừa phân tích lưu lượng mạng, nhằm xác định các mô thức có thể dùng để chặn.

Công ty còn xây dựng cơ sở dữ liệu dấu vân tay mạng của ứng dụng mang tên AppSketch, chứa lượng lớn thông tin về dấu vân tay của các ứng dụng cụ thể. Một ảnh chụp bảng điều khiển cho thấy một chuỗi tên VPN được đánh số, gồm CyberGhost VPN, Hotspot VPN, Opera VPN… với tổng số lên tới 4.081 mục.

Đáng kinh ngạc hơn, hệ thống của Geedge Networks có thể phát hiện các điểm cuối VPN mới bằng cách quan sát hành vi của người dùng VPN đã biết. Khi xác định một cá nhân là người dùng VPN, hệ thống có thể theo dõi việc sử dụng Internet của họ và phân loại bất kỳ lưu lượng băng thông cao nào trong tương lai là khả nghi, từ đó nhận diện và chặn các dịch vụ trước đó chưa được phát hiện.

Mô hình “tường lửa” cấp vùng ở Trung Quốc đang hình thành: Dự án Tân Cương làm mẫu, Phúc Kiến và Giang Tô thử nghiệm

Ngoài các dự án ở nước ngoài, tài liệu rò rỉ còn cho thấy Geedge Networks tham gia xây dựng hệ thống tường lửa cấp khu vực (cấp tỉnh) trong lãnh thổ Trung Quốc, báo hiệu sự xuất hiện của mô hình tường lửa cấp tỉnh bổ sung cho “Vạn lý Trường Thành” quốc gia.

Dự án Tân Cương (mật danh J24)

Được coi là dự án nội địa quan trọng bậc nhất của Geedge Networks.

Bài phát biểu ngày 22/6/2024 tại Trung tâm Phân viện Tân Cương, Viện Hàn lâm Khoa học Trung Quốc nêu rõ dự án “nhằm biến trung tâm khu vực thành lực lượng tiên phong chống khủng bố, đặc biệt trong việc trấn áp hoạt động vượt tường lửa”.

Bài phát biểu cho biết “tường lửa quốc gia đang chuyển từ mô hình tập trung sang phân tán”, và Tân Cương được định hướng trở thành “hình mẫu có thể nhân rộng cho các tỉnh khác”.

Yêu cầu triển khai tại Tân Cương thể hiện nhu cầu giám sát mạnh mẽ và xâm nhập. Công ty Geedge Networks mong muốn Cyber Narrator hỗ trợ các chức năng phân tích và tổng hợp hành vi internet, mô hình lối sống và các mối quan hệ của người dùng, đồng thời tích hợp khả năng xây dựng sơ đồ quan hệ dựa trên đối tượng giao tiếp mục tiêu, và phân nhóm người dùng theo ứng dụng hoặc trang web họ sử dụng.

Hệ thống cũng dự kiến bổ sung khả năng kiểm tra người dùng kết nối với các trạm di động cụ thể, sử dụng trạm cơ sở để định vị tam giác, phát hiện các đám đông tụ tập lớn tại một khu vực. Dự án còn bao gồm khả năng tạo hàng rào địa lý (geofencing), kích hoạt cảnh báo khi một cá nhân cụ thể đi vào khu vực được chỉ định, cũng như chức năng truy vấn lịch sử vị trí để theo dõi lộ trình hoạt động trong quá khứ.

Tài liệu cho thấy Công ty Geedge Networks đã triển khai một dự án thử nghiệm tường lửa cấp tỉnh tương tự tại Phúc Kiến vào năm 2022. Dự án này được gọi là “Dự án Phúc Kiến”, nhưng thông tin liên quan tương đối hạn chế.

Tại Giang Tô, Geedge Networks hợp tác với Cục Công an tỉnh Giang Tô, với động cơ được cho là nhằm chống lại gian lận trực tuyến. Các hồ sơ trao đổi cho thấy cơ quan công an tỏ ra thận trọng đối với việc cho phép Geedge Networks xây dựng cụm dữ liệu lớn, và nghiêng về việc yêu cầu Geedge Networks triển khai các công cụ của mình trên cơ sở hạ tầng hiện có. “Dự án chống gian lận Giang Tô” đã chuyển sang chế độ hoạt động chính thức vào ngày 15/5/2024.

Năng lực “bóng tối” của  Geedge Networks: Từ chặn mạng đến tấn công độc hại

Tài liệu rò rỉ cho thấy phạm vi kỹ thuật đáng kinh ngạc của Geedge Networks. Ngoài khả năng kiểm tra gói dữ liệu sâu (DPI) và chặn truyền thống, hệ thống TSG của công ty còn có thể tiêm và chỉnh sửa lưu lượng mạng, phục vụ cả mục đích phong tỏa lẫn phát tán phần mềm độc hại.

Khả năng can thiệp dữ liệu thời gian thực

• Có thể sửa đổi phiên HTTP ngay lập tức: giả mạo phản hồi chuyển hướng, thay đổi tiêu đề, chèn mã script, thay thế văn bản và ghi đè nội dung phản hồi.
• Cho phép chèn mã độc vào các tệp đang truyền qua mạng, hỗ trợ nhiều định dạng: HTML, CSS, JavaScript, cũng như gói cài đặt Android APK, Windows EXE, macOS DMG, Linux RPM.

Hệ thống “DLL Chủ động Phòng thủ”

• Thực chất là nền tảng DDoS nhằm vào các trang web bị coi là “không được ưa chuộng về chính trị”.
• Tận dụng khả năng tiêm trực tuyến của TSG để “tuyển mộ” máy tính người dùng không hay biết, hình thành mạng botnet cho các cuộc tấn công.

Rủi ro dữ liệu khách hàng

• Dữ liệu khách hàng lưu trong TSG Galaxy được nhân viên Geedge Networks và cả sinh viên, nhà nghiên cứu của MESA Lab (Viện Hàn lâm Khoa học Trung Quốc) truy cập.
• Ảnh chụp nhanh dữ liệu thật đôi khi được chia sẻ cho phòng thí nghiệm này phục vụ nghiên cứu.

Kết nối nội bộ tiềm ẩn nguy hiểm

• Nhân viên Geedge Networks có thể tạo mạng Wi-Fi trong văn phòng, cho phép bất kỳ thiết bị nào kết nối từ xa với mạng khách hàng.
• Chức năng này giúp kiểm thử cơ chế chặn trong môi trường thực, nhưng đồng thời đặt ra nguy cơ an ninh nghiêm trọng.

Chính phủ Nepal sụp đổ: Phong tỏa Internet là mồi lửa

Bốn quốc gia đã được nêu—Myanmar, Pakistan, Ethiopia và Kazakhstan—nơi công ty Geedge Networks cung cấp dịch vụ kỹ thuật, đều ký các văn kiện hợp tác trong khuôn khổ sáng kiến “Vành đai và Con đường” (BRI) của Trung Quốc. Sáng kiến này bị phương Tây chỉ trích là “ngoại giao bẫy nợ”. Ngoại trừ Ethiopia, lãnh đạo ba nước còn lại gần đây đều tham dự lễ duyệt binh ngày 3/9 do ĐCSTQ tổ chức.

Đáng chú ý, Thủ tướng Nepal Khadga Prasad Oli cũng dự lễ duyệt binh 3/9 và trong chuyến thăm Trung Quốc đã gặp Tổng bí thư ĐCSTQ Tập Cận Bình, nhấn mạnh việc tăng cường quan hệ song phương và thúc đẩy hợp tác BRI.

Ngày 4/9, Chính phủ Nepal lấy lý do “chống tài khoản giả” để chặn Facebook, Instagram, YouTube, X cùng 26 nền tảng mạng xã hội khác, khiến người dân phản đối mạnh mẽ, cáo buộc chính quyền kiểm duyệt Internet.

Từ 8/9, các cuộc phản kháng leo thang thành biểu tình đường phố, lan sang các vấn đề tham nhũng và khủng hoảng kinh tế, làm bùng nổ xung đột giữa người biểu tình và cảnh sát.

Ngày 9/9, Thủ tướng Oli cùng nhiều bộ trưởng chủ chốt tuyên bố từ chức, chấm dứt 10 năm cầm quyền của Đảng Cộng sản Nepal.

Ngày 12/9, Cựu Chánh án Tòa án Tối cao Sushila Karki được bổ nhiệm làm Thủ tướng lâm thời, chuẩn bị cho cuộc bầu cử quốc hội dự kiến tháng 3/2026.

Lời kết

Đợt rò rỉ tài liệu chưa từng có này không chỉ phơi bày cơ chế vận hành nội bộ của “Vạn lý Trường Thành” trên không gian mạng, mà còn tiết lộ toàn bộ hệ thống xuất khẩu công nghệ kiểm duyệt Internet của ĐCSTQ ra nước ngoài. Từ nghiên cứu phát triển, triển khai ở nước ngoài, đối phó công cụ vượt tường, cho đến xây dựng tường lửa cấp vùng, công ty Geedge Networks và các tổ chức liên quan của ĐCSTQ đã hình thành mạng lưới giám sát toàn cầu.

Chủ tịch Ủy ban Đặc biệt về Trung Quốc của Hạ viện Mỹ, ông John Moolenaar, từng viết trên tạp chí Newsweek chỉ trích việc ĐCSTQ dùng “Vạn lý Tường lửa” để kiểm soát xã hội, chặn các nền tảng như Facebook, X, ngăn dòng chảy thông tin, đồng thời xuất khẩu công nghệ giám sát sang các quốc gia độc tài. Ông kêu gọi dỡ bỏ “Vạn lý Tường lửa”, chấm dứt kiểm duyệt và hạn chế ngôn luận, để người dân Trung Quốc có thể tiếp cận sự thật.