Bài dưới đây là của Tiến sĩ Phan Dương Hiệu. Ông là một nhà nghiên cứu mật mã đang giữ vị trí giáo sư và trưởng nhóm an ninh mạng – mật mã tại Télécom Paris, có tham gia các cấu trúc chuyên môn quốc tế của ngành mật mã. Ông hiện là Professor tại Télécom Paris, Institut Polytechnique de Paris, đồng thời là trưởng nhóm Cybersecurity - Cryptography. Là nhà nghiên cứu có hiện diện học thuật chuẩn quốc tế và có vị trí khá mạnh trong hệ thống nghiên cứu-kỹ sư của Pháp. Mời bạn đọc bài.

Mọi Honeypot đều bình đẳng, nhưng một số Honeypot bình đẳng hơn những Honeypot khác.

Bài báo mới này [1] phỏng vấn CEO của MK Group nêu một số nhận định đúng, và đồng thời bỏ qua một vấn đề cơ bản rất lớn.

"Honeypot" trong bài phỏng vấn được dùng để mô tả "hũ mật" dữ liệu lớn và quan trọng (khác với nhiều nơi dùng nó như "mồi nhử")! Càng nhiều dữ liệu quý, riêng tư, sinh trắc, dữ liệu thực tại, dữ liệu liên tục theo thời gian thực thì càng "ngọt", càng giá trị. Bởi vậy, đó là mồi ngon cho các cuộc tấn công và nếu kẻ địch sở hữu được hũ mật này thì có thể coi như nắm được tường tận những thành phần trong đó. Từ đó kẻ địch có thể khống chế ngầm, trong suốt, khó nhận ra, thông qua điều khiển ngầm hành vi các thành phần, còn ở mức nghiêm trọng nhất là kẻ địch có thể khống chế công khai các thành phần nếu muốn (điển hình như việc các lãnh đạo Iran bị loại bỏ). \

Tập trung dữ liệu nhạy cảm là nguy hiểm. Do vậy, Match-on-Card, chỉ xử lý cục bộ dữ liệu sinh trắc trên thiết bị cuối, không gửi dữ liệu nhạy cảm qua đường truyền, ngân hàng không nên lưu cơ sở dữ liệu sinh trắc, là những điều đúng, cần làm.

Bài báo nói tới rủi ro “Honeypot” trong ngân hàng là đúng. Dữ liệu sinh trắc tập trung như một hũ mật ngọt, là mồi, là đích đến cho mọi loại Hackers, ngân hàng không bảo vệ được là gay go cho mọi người dân. (Nhận định này là đúng, nhưng cũng phải công bằng, xác thực sinh trắc học ngân hàng là do nhà nước áp đặt bắt ngân hàng phải làm chứ họ không thiết tha gì. Ngay từ khi đó, tôi cũng đã nói về nguy cơ này [2].)

Tuy nhiên chính vì nhận thức đúng về rủi ro như thế mà bài báo và CEO của MK Group đã bỏ qua một vấn đề rất lớn: Nếu như đã nhận thức được rủi ro của “Honeypot” thì nhất thiết cần bàn đến “Honeypot” lớn nhất, nhiều thông tin riêng tư nhất. Đó là chính là Honeypot đang thu thập dữ liệu nhạy cảm cảm của công dân, cơ sở dữ liệu đằng sau VNeID. Và nếu so sánh rủi ro tầm quốc gia với Iran như trong bài báo, thì đấy mới chính là “Honeypot” rủi ro nhất.

Nếu nhận thức được rủi ro “Honeypot” thì cần nhất quyết không thu thập dữ liệu quá mức cần thiết cơ bản, dữ liệu sinh trắc nhạy cảm, dữ liệu riêng tư thời gian thực của công dân. Từ đó, cần chấm dứt ý định kiểm soát, chấm điểm công dân số. Nếu không áp dụng đầy đủ thì sẽ thành tự mâu thuẫn: một mặt ủng hộ "phi tập trung" (và chỉ trích ngân hàng lưu dữ liệu sinh trắc) nhưng mặt khác lại đồng thời ủng hộ "siêu tập trung" dữ liệu vào một nơi, một Honeypot! Nếu thu thập dữ liệu công dân liên tục thời gian thực, dữ liệu sinh trắc riêng tư (thậm chí còn nhắm tới dữ liệu gien) thì chính khi Honeypot này bị lộ (và thậm chí còn không biết là bị lộ) thì tác hại sẽ khôn lường, có thể còn ở mức thiệt hại, bị khống chế hơn là trường hợp Iran.

Một điều cơ bản nữa bài báo đã không nhìn nhận đầy đủ: Không phải chúng ta tự làm thì sẽ tránh được backdoors! Backdoor có rất nhiều mức độ. Mức độ cao nhất là backdoor trong thuật toán mà gần như không ai có thể biết. Điển hình các chính phủ châu Âu với đội ngũ nhà khoa học đỉnh cao về mật mã vẫn lo ngại là tiêu chuẩn hậu lượng tử của NIST (cơ quan tiêu chuẩn Mỹ) dù chọn các tiêu chuẩn do chính các tác giả châu Âu đưa ra vẫn có thể có thuật toán phá má ẩn đằng sau mà không công bố. Từ đó mà họ đưa ra chiến lược lai ghép để tránh rủi ro. Chính vì thế mà không thể có tư duy: các anh làm thì nhiều rủi ro, tôi làm thì sẽ tránh được rủi ro. Cần luôn đặt giả thiết, như ngay cả ở những nơi phát triển nhất: Điều gì sẽ xảy ra nếu Honeypot của tôi bị tấn công? Từ đó mà cần phải đi theo nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege), chỉ lưu trữ thông tin ở mức tối thiểu cho các mục đích quản trị cơ bản, để khi nếu có bị tấn công thì tác hại là tối thiểu. Bảo mật quốc gia cần một tư duy thống nhất cho mọi hạ tầng.
+-
Bên lề: tôi đã có ý kiến về các hạ tầng dữ liệu từ năm 2019: Dữ liệu của nhà nước trong chấm điểm công dân (cảnh báo từ năm 2019 việc truy cập camera có thể gây tổn hại an ninh quốc gia)

[1] Gần 90 triệu người Việt đang cầm trên tay công nghệ bảo mật cấp quân sự – nhưng rất ít người biết
[2] Xác thực bằng dữ liệu sinh trắc học: Cần cẩn trọng trước những bước đi “không thể đảo ngược”!
[3] Tính điểm công dân: "Robot hóa" con người?.
[4] Sự nguy hiểm của chiến lược thu thập dữ liệu gien trên diện rộng

PS. Bài nêu một cảnh báo chính đáng về nguyên tắc quản trị dữ liệu công dân. Kiến trúc dữ liệu như vậy có thể tự nó tạo ra rủi ro hệ thống hay không khi việc gom dữ liệu công dân nhạy cảm vào một nơi, đặc biệt khi dữ liệu đó không chỉ là định danh cơ bản mà còn có thể gồm sinh trắc học, dữ liệu theo thời gian thực, thậm chí dữ liệu gen? Khi một kho dữ liệu đủ lớn bị lộ hoặc bị truy cập ngầm, hậu quả không chỉ là mất thông tin mà có thể dẫn tới bị điều khiển, gây ảnh hưởng, hoặc cưỡng ép.