Chương 13 NHỮNG ĐIỀU SẾP KHÔNG MUỐN BẠN BIẾT

Nếu bạn đã đọc tới đây, rõ ràng bạn có quan tâm đến quyền riêng tư, nhưng đối với hầu hết chúng ta, vấn đề không nằm ở việc che giấu thông tin trước chính phủ liên bang. Thực ra, chúng ta biết rằng ở nơi làm việc, công ty có thể thấy chính xác những gì mà chúng ta đang làm trên mạng của họ (ví dụ: mua sắm, chơi trò chơi, giải trí). Rất nhiều người chỉ muốn che giấu những chuyện đó mà thôi!

Nhưng điều này càng ngày càng khó thực hiện hơn, một phần do những chiếc điện thoại di động mà chúng ta mang theo người. Bất cứ khi nào Jane Rodgers, quản lý tài chính của một công ty dịch vụ cảnh quan ở Chicago, muốn biết liệu các nhân viên thực địa có mặt ở đúng nơi cần thiết không, cô chỉ việc mở máy tính xách tay ra là biết vị trí chính xác của họ. Giống như nhiều nhà quản lý và chủ doanh nghiệp khác, cô đang chuyển sang sử dụng phần mềm theo dõi trên thiết bị điện thoại thông minh và xe tải dịch vụ do công ty sở hữu, được cá nhân hóa (COPE) có trang bị thiết bị định vị GPS để giám sát nhân viên. Một hôm, một khách hàng hỏi Jane xem nhân viên của cô có ra ngoài làm việc cho họ hay không. Sau khi gõ một vài phím, Jane xác nhận được ngay rằng từ 10 – 10:30 giờ sáng, nhân viên của cô có đến đó làm việc.

Dịch vụ di động viễn thông mà Rodgers sử dụng cung cấp nhiều khả năng hơn cả công nghệ định vị. Ví dụ, trên chín chiếc điện thoại thuộc sở hữu của công ty, cô còn có thể xem ảnh, tin nhắn, và email mà nhân viên của mình gửi đi. Cô cũng có quyền truy cập vào nhật ký cuộc gọi và lượt truy cập website của những chiếc điện thoại đó. Nhưng Rodgers nói rằng cô chỉ sử dụng tính năng GPS.

Từ lâu ngành dịch vụ đã sử dụng công nghệ theo dõi GPS. Hãng chuyển phát hàng hóa United Parcel Service (UPS) đã kết hợp công nghệ này với thuật toán lựa chọn tuyến đường do họ tự xây dựng là ORION để cắt giảm chi phí gas bằng cách theo dõi và đề xuất các tuyến đường tối ưu cho các lái xe của công ty. Họ cũng có thể phát hiện và có biện pháp xử lý những tài xế lười biếng. Bằng những cách này, UPS đã tăng khối lượng hàng hóa vận chuyển thêm 1,4 triệu gói hàng mỗi ngày, trong khi số lượng tài xế giảm đi hơn 1.000 người.

Tất cả những điều này mang lại lợi ích cho các nhà tuyển dụng, bởi họ vẫn nói rằng bằng cách ép để thu về mức lợi nhuận cao hơn, họ sẽ có khả năng nâng cao mức lương cho người lao động. Nhưng nhân viên cảm thấy thế nào? Hoạt động giám sát này có một nhược điểm. Trong một phân tích, tạp chí Harper’s giới thiệu về một tài xế được theo dõi bằng các công cụ điện tử trong khi làm việc. Người này cho biết phần mềm xác định thời gian giao hàng của anh theo từng giây và thông báo bất cứ khi nào anh chậm hoặc nhanh hơn thời gian tối ưu. Thông thường, mỗi ngày anh làm quá thời gian tối ưu tới bốn giờ.

Chểnh mảng chăng? Lái xe đã chỉ ra rằng một điểm dừng có thể bao gồm nhiều gói hàng – phần mềm ORION không phải lúc nào cũng tính đến việc này. Anh kể về những đồng nghiệp ở trung tâm phân phối New York cũng đang phải chiến đấu với cơn đau mãn tính ở lưng và đầu gối khi cố gắng mang theo quá nhiều hàng trong một chuyến đi mặc dù liên tục bị công ty nhắc nhở về việc xử lý quá tải, để có thể đạt hạn mức ứng với phần mềm. Như vậy, việc giám sát nhân viên này làm phát sinh chi phí về con người.

Dịch vụ thực phẩm cũng là một ngành thường xuyên sử dụng công nghệ giám sát. Từ các camera trên trần nhà của các nhà hàng cho đến các hộp thiết bị nhỏ đặt trên mặt bàn, nhân viên phục vụ có thể bị theo dõi và đánh giá bởi các hệ thống phần mềm khác nhau. Một nghiên cứu năm 2013 của các nhà nghiên cứu thuộc Đại học Washington, Đại học Brigham Young, và MIT đã phát hiện ra rằng phần mềm theo dõi hành vi trộm cắp được sử dụng trong 392 nhà hàng đã làm giảm 22% hành vi trộm cắp từ phía nhân viên phục vụ. Như tôi đã đề cập, việc chủ động giám sát mọi người làm thay đổi hành vi của họ.

Hiện tại ở Mỹ không có đạo luật liên bang nào cấm các công ty theo dõi nhân viên của họ. Chỉ có tiểu bang Delaware và Connecticut yêu cầu người sử dụng lao động phải thông báo với nhân viên trong trường hợp họ đang bị theo dõi. Ở hầu hết các bang, nhân viên không biết họ có đang bị theo dõi tại nơi làm việc hay không.

Vậy còn về các nhân viên trong văn phòng thì sao? Hiệp hội Quản lý Mỹ nhận thấy 66% người sử dụng lao động theo dõi việc sử dụng Internet của nhân viên, 45% theo dõi hoạt động gõ bàn phím, và 43% theo dõi nội dung email. Một số công ty theo dõi các mục nhập lịch Outlook, tiêu đề email, và nhật ký tin nhắn của nhân viên. Bề ngoài, dữ liệu được dùng để giúp các công ty tìm hiểu cách thức sử dụng thời gian của nhân viên – từ việc nhân viên bán hàng sử dụng bao nhiêu thời gian với khách hàng, các bộ phận nào của công ty đang giữ liên lạc bằng email, cho đến việc nhân viên sử dụng bao nhiêu thời gian cho các buổi họp hành hoặc rời khỏi bàn làm việc.

Tất nhiên, ở đây có điểm tích cực: với những số liệu như vậy, các công ty có thể tăng cường hiệu quả lên lịch họp hoặc khuyến khích các nhóm giao tiếp với nhau nhiều hơn. Nhưng điều quan trọng là có người đang thu thập tất cả các dữ liệu doanh nghiệp này. Và một ngày nào đó, dữ liệu trên có thể bị chuyển sang cơ quan thực thi pháp luật hoặc ít nhất được sử dụng để chống lại bạn trong một đợt đánh giá kết quả làm việc.

Bạn không vô hình ở nơi làm việc. Bất cứ điều gì đi qua mạng cục bộ của công ty đều thuộc về công ty, chứ không phải của bạn. Ngay cả khi bạn kiểm tra tài khoản email cá nhân, đơn đặt hàng gần đây với Amazon, hoặc lập kế hoạch cho kỳ nghỉ, thì vẫn có thể bạn thực hiện những thao tác đó trên thiết bị hoặc mạng VPN do công ty trang bị cho; do đó, hãy yên tâm là có người đang theo dõi mọi thứ bạn làm.

Dưới đây là một cách dễ dàng để tránh việc quản lý, thậm chí cả đồng nghiệp, rình mò bạn: khi rời bàn làm việc để đi họp hoặc vào nhà vệ sinh, hãy khóa màn hình máy tính lại. Tôi nói nghiêm túc đấy. Đừng hớ hênh để ngỏ email hoặc các chi tiết về dự án bạn đã vất vả làm hàng tuần nay. Hãy khóa máy tính cho đến khi bạn quay lại. Phải mất thêm vài giây nữa, nhưng nó sẽ khiến bạn tránh được rất nhiều rắc rối. Đặt bộ hẹn giờ trong hệ điều hành để khóa màn hình sau một số giây nhất định. Hoặc sử dụng các ứng dụng Bluetooth để tự động khóa màn hình nếu điện thoại di động của bạn không ở gần máy tính. Tuy nhiên, có một kiểu tấn công mới sử dụng thiết bị USB chuyên biệt để phá hoại các thiết bị mà nó cắm vào. Rất nhiều văn phòng niêm phong các cổng USB trên máy tính xách tay và máy tính để bàn, nhưng nếu máy của bạn không bị niêm phong, một thiết bị USB như vậy khi được cắm vào vẫn có thể mở khóa máy tính mà không cần mật khẩu.

Ngoài các bí mật của công ty, còn có một số lượng email cá nhân tương đối lớn đi qua máy tính của chúng ta trong ngày làm việc, và đôi khi chúng ta còn in nội dung ra giấy. Nếu bạn quan tâm đến sự riêng tư, đừng làm bất cứ điều gì cá nhân trong khi làm việc. Hãy duy trì ranh giới nghiêm ngặt giữa cuộc sống công việc và cuộc sống gia đình. Hoặc nếu bạn cần phải làm một số công việc cá nhân trong giờ nghỉ ở công ty, hãy mang theo thiết bị cá nhân như máy tính xách tay hoặc iPad từ nhà đi. Và nếu thiết bị di động của bạn đã bật, đừng bao giờ sử dụng Wi-Fi của công ty và hơn nữa, hãy tắt chế độ phát SSID nếu bạn đang sử dụng điểm phát sóng di động. Chỉ sử dụng dữ liệu di động khi thực hiện những công việc cá nhân tại nơi làm việc.

Khi đến văn phòng, hãy làm việc ở văn phòng. Cũng giống như việc bạn không nên chia sẻ những chuyện quá riêng tư với đồng nghiệp, bạn cũng cần phải giữ cho các hoạt động cá nhân của mình nằm ngoài các hệ thống máy tính của công ty (đặc biệt là khi bạn đang tìm kiếm các chủ đề liên quan đến sức khỏe hoặc tìm kiếm một công việc mới).

Nói thì dễ hơn làm. Vì thứ nhất, chúng ta đã quen với sự phổ biến của thông tin và Internet. Nhưng nếu muốn làm chủ nghệ thuật tàng hình, bạn phải tự kiềm chế để bản thân không làm những điều riêng tư nơi công cộng.

Giả sử mọi thứ bạn nhập vào máy tính văn phòng đều ở chế độ công khai. Điều đó không có nghĩa là bộ phận IT đang chủ động theo dõi thiết bị của bạn hoặc sẽ có hành động phản ứng khi thấy bạn dùng chiếc máy in đắt tiền ở tầng năm để in tài liệu học cho con (mặc dù họ có thể làm điều đó). Vấn đề là, có một bản ghi cho thấy bạn đã làm những việc này, và nếu trong tương lai có phát sinh sự cố gì đó khiến bạn bị nghi ngờ, họ có thể truy cập các bản ghi về tất cả mọi thứ bạn đã làm trên máy đó. Đó là máy của họ, không phải của bạn. Và đó là mạng của họ. Điều đó có nghĩa là họ đang quét nội dung lưu chuyển trong công ty.

Hãy xem xét trường hợp của Adam, người đã tải xuống báo cáo tín dụng miễn phí trên máy tính ở nơi làm việc. Anh dùng máy và mạng của công ty để đăng nhập vào website của Cục Tín dụng. Giả sử bạn cũng tải xuống báo cáo tín dụng tại nơi làm việc. Bạn sẽ muốn in nó ra, phải không? Vậy tại sao không in nhờ máy của công ty chứ? Bởi vì nếu bạn làm như vậy, sẽ có một bản sao của tập tin PDF chứa lịch sử tín dụng của bạn nằm trên ổ đĩa cứng của máy in. Bạn không kiểm soát máy in đó. Và sau khi máy in hết hạn sử dụng và thanh lý khỏi văn phòng, bạn không có quyền kiểm soát cách ổ đĩa cứng. Một số máy in hiện đang mã hóa các ổ đĩa, nhưng bạn đã chắc chắn rằng máy in trong văn phòng của mình đã được mã hóa không? Bạn không thể.

Đó chưa phải là tất cả. Mọi tài liệu Word hoặc Excel mà bạn tạo bằng Microsoft Office đều bao gồm siêu dữ liệu mô tả tài liệu. Thông thường, siêu dữ liệu này bao gồm tên của tác giả, ngày tạo, số lần sửa đổi và kích thước tệp cũng như tùy chọn thêm chi tiết khác. Điều này không được Microsoft kích hoạt mặc định; bạn phải thực hiện một số thao tác để xem được nó. Tuy nhiên, Microsoft đã bao gồm một công cụ Document Inspector có thể loại bỏ các chi tiết này trước khi bạn xuất tài liệu ở nơi khác.

Một nghiên cứu năm 2012 do Xerox và McAfee tài trợ cho thấy 54% nhân viên nói rằng không phải lúc nào họ cũng tuân theo chính sách bảo mật IT của công ty, và 51% nhân viên ở nơi làm việc có máy in, máy photocopy hoặc máy in đa chức năng nói rằng họ đã sao chép, quét hoặc in thông tin bí mật của cá nhân tại nơi làm việc. Và điều này diễn ra không chỉ ở văn phòng: tương tự với các máy in tại cửa hàng photocopy và thư viện địa phương. Tất cả các máy này đều chứa ổ cứng ghi nhớ mọi thứ chúng đã in trong suốt thời gian hoạt động. Nếu cần in một tài liệu cá nhân, có lẽ bạn nên chờ tới khi về nhà để in trên thiết bị và mạng mà bạn có quyền kiểm soát.

Hoạt động do thám, ngay cả là do thám nhân viên, đã trở nên rất sáng tạo. Một số công ty sử dụng cả các thiết bị văn phòng phi truyền thống mà chúng ta vẫn bỏ qua, chưa bao giờ tưởng tượng rằng chúng có thể được sử dụng để theo dõi chúng ta. Hãy xem xét câu chuyện của một sinh viên cao học thuộc Đại học Columbia tên là Ang Cui. Để xem mình có thể đột nhập vào một văn phòng và ăn cắp dữ liệu nhạy cảm thông qua các phương tiện phi truyền thống hay không, Cui quyết định tấn công máy in laser, một thiết bị cần thiết trong hầu hết các văn phòng ngày nay.

Cui nhận thấy rằng các máy in lạc hậu rất xa so với thời đại. Trong một số cuộc kiểm định an ninh, tôi cũng đã quan sát thấy điều này. Tôi đã có thể tận dụng máy in để có quyền truy cập sâu hơn vào mạng cục bộ của công ty. Sở dĩ tôi làm được thế là do nhân viên hiếm khi thay đổi mật khẩu quản trị trên các máy in nội bộ.

Phần mềm sử dụng trong máy in, đặc biệt là máy in thương mại cho văn phòng, chứa rất nhiều lỗi bảo mật cơ bản. Vấn đề là, rất ít người cho rằng máy in văn phòng là đối tượng dễ bị tấn công. Họ đinh ninh rằng mình đang được hưởng cái gọi là “an ninh qua sự mù mờ”81 – nếu không ai nhận thấy lỗ hổng, thì bạn được an toàn.

81 An ninh qua sự mù mờ: Chỉ việc bảo đảm an ninh cho một hệ thống bằng cách dựa vào tính bí mật của thiết kế hay sự triển khai hệ thống.

Nhưng như tôi đã nói, tùy thuộc vào kiểu máy, máy in và máy photo thường có một điều quan trọng chung – cả hai đều có thể chứa ổ đĩa cứng. Và trừ khi ổ đĩa cứng đó được mã hóa (nhưng trên thực tế, rất nhiều máy không được mã hóa), việc truy cập các hoạt động in ấn trên máy là hoàn toàn khả thi. Tất cả những điều này đã được biết đến trong nhiều năm. Điều mà Cui băn khoăn là liệu anh có thể khiến máy in của công ty chống lại chủ nhân của nó và giải mã bất cứ thứ gì đã được in ra hay không.

Để làm cho mọi việc trở nên thú vị hơn, Cui muốn tấn công mã phần mềm của máy in, đây là chương trình được nhúng trong một con chip bên trong máy in. Không giống như các máy tính cá nhân và thiết bị di động truyền thống, ti-vi kỹ thuật số và các thiết bị điện tử “thông minh” khác không có sức mạnh hoặc tài nguyên xử lý để chạy hệ điều hành đầy đủ như Android, Windows, và iOS. Thay vào đó, các thiết bị này sử dụng những gì được gọi là hệ điều hành thời gian thực (RTOS), được lưu trữ trên các chip riêng lẻ bên trong thiết bị (thường được gọi là fireware). Những chip này chỉ lưu trữ các lệnh cần thiết để vận hành hệ thống và không cần nhiều thứ khác. Thỉnh thoảng, ngay cả những lệnh đơn giản này cũng cần được nhà sản xuất hoặc nhà cung cấp cập nhật bằng cách di chuyển hoặc thay thế các chip. Do điều này được thực hiện rất không thường xuyên, rõ ràng là nhiều nhà sản xuất chỉ đơn giản là không xây dựng trong các biện pháp an ninh thích hợp. Việc thiếu cập nhật là hướng mà Cui quyết định theo đuổi cho cuộc tấn công của mình.

Cui muốn xem điều gì sẽ xảy ra nếu anh tấn công định dạng tệp mà HP sử dụng để cập nhật phần mềm, và anh phát hiện ra rằng HP không kiểm tra tính hợp lệ của từng bản cập nhật. Vì vậy, anh đã tạo ra phần mềm máy in riêng và chiếc máy in chấp nhận nó. Mọi chuyện chỉ đơn giản có vậy. Không có xác thực nào ở phía máy in rằng bản cập nhật đến từ HP. Máy in chỉ quan tâm rằng mã chương trình có định dạng mong muốn.

Bây giờ Cui đã được tự do khám phá.

Trong một thí nghiệm nổi tiếng, Cui cho biết anh có thể bật thanh nhiệt áp, một phần của máy in làm nóng giấy sau khi mực đã được in, và cứ để nó ở chế độ bật – điều này có thể khiến máy in bắt lửa. Nhà cung cấp, không phải là HP, ngay lập tức đáp lại rằng có một lỗi an toàn nhiệt trong thanh nhiệt áp, có nghĩa là máy in không thể quá nóng. Tuy nhiên, đó là điểm Cui nhắm tới – anh đã tắt được tính năng an toàn nhiệt để máy có thể bắt lửa.

Theo kết quả của những thí nghiệm này, Cui và cố vấn của anh, Salvatore Stolfo, lập luận rằng máy in là những liên kết yếu trong bất kỳ tổ chức hay ngôi nhà nào. Ví dụ, bộ phận nhân sự của một doanh nghiệp lớn có thể nhận được một file lý lịch được mã hóa độc qua Internet. Trong thời gian người quản lý tuyển dụng in tài liệu đó, máy in mà nó đi qua có thể bị xâm nhập hoàn toàn bằng cách cài đặt phiên bản phần mềm độc hại.

Để ngăn người khác lấy tài liệu của bạn khỏi máy in, thì công nghệ in an toàn82, còn được gọi là in kéo, đảm bảo rằng tài liệu chỉ được phát hành khi xác thực người dùng tại máy in (thông thường, phải nhập mật khẩu thì máy mới thực hiện lệnh in). Điều này có thể được thực hiện bằng cách sử dụng mã PIN, thẻ thông minh, hoặc vân tay sinh trắc học. In kéo cũng loại bỏ tài liệu chưa được xác nhận, ngăn ngừa tình trạng thông tin nhạy cảm bị để hớ hênh.

[82] In an toàn (secure print): Thuật ngữ chỉ các tác vụ in ấn đáp ứng tiêu chuẩn bảo mật nhằm ngăn chặn việc sử dụng trái phép các thông tin được in ra.

Từ các cuộc tấn công máy in, Cui bắt đầu để mắt tới các vật dụng phổ biến khác trong văn phòng có khả năng sơ hở, và anh chọn điện thoại Truyền giọng nói qua giao thức Internet (VoIP). Cũng như với máy in, không ai đánh giá cao giá trị tiềm ẩn của các thiết bị này trong việc thu thập thông tin. Và như với một máy in, bạn có thể giả mạo một bản cập nhật cho hệ thống và được điện thoại VoIP chấp nhận.

Hầu hết các điện thoại VoIP đều có tùy chọn hands-free (không cần cầm tay) để bạn có thể nói chuyện qua loa ngoài. Điều đó có nghĩa là không chỉ có một chiếc loa mà còn có một micro ở bên ngoài điện thoại. Ngoài ra còn có một công tắc “nhấc máy,” giúp cho điện thoại nhận biết khi có người đã nhấc ống nghe và muốn thực hiện hay nghe cuộc gọi, hay biết khi nào ống nghe được đặt xuống và loa ngoài được bật lên. Cui nhận ra rằng nếu thao túng được công tắc “nhấc máy,” anh có thể khiến cho điện thoại lắng nghe cuộc trò chuyện gần đó thông qua micro của loa ngoài, ngay cả khi ống nghe đang úp xuống!

Một cảnh báo: không giống như máy in, vốn có thể nhận mã độc qua Internet, điện thoại VoIP cần phải được “cập nhật” riêng lẻ từng lần bằng cách thủ công. Như vậy, phải truyền mã bằng ổ USB. Cui cho rằng anh có thể dễ dàng xử lý vấn đề này. Anh hối lộ một người lau dọn ban đêm để nhờ họ tranh thủ dùng USB cài đặt mã vào từng chiếc điện thoại.

Cui đã trình bày nghiên cứu này tại một số hội nghị, mỗi lần lại sử dụng các điện thoại VoIP khác nhau. Và mỗi lần như vậy, anh đều thông báo trước cho nhà cung cấp, họ lại đưa ra một bản sửa lỗi. Nhưng Cui đã chỉ ra rằng việc tồn tại bản vá lỗi không có nghĩa là bản vá được áp dụng. Ngay lúc này, một số điện thoại chưa được vá lỗi có thể vẫn đang hoạt động trong các văn phòng, khách sạn, và bệnh viện.

Vậy Cui đã lấy dữ liệu khỏi điện thoại bằng cách nào? Vì các mạng máy tính văn phòng được theo dõi để phát hiện các hoạt động bất thường, nên anh cần một phương tiện khác để trích xuất dữ liệu. Anh quyết định không sử dụng mạng mà dùng sóng vô tuyến.

Trước đây, các nhà nghiên cứu tại Đại học Stanford và Israel đã phát hiện ra rằng việc để điện thoại di động bên cạnh máy tính có thể cho phép một bên thứ ba từ xa nghe lén các cuộc hội thoại của bạn. Để làm được điều này, kẻ xấu phải cài phần mềm độc hại vào thiết bị di động của bạn. Nhưng với các ứng dụng mã hóa độc có thể tải xuống từ các cửa hàng ứng dụng có ý đồ xấu, điều đó thật dễ dàng, phải không?

Khi phần mềm độc hại được cài vào điện thoại di động của bạn, con quay chuyển hướng trong điện thoại đã đủ nhạy cảm để nhận các rung động nhẹ. Phần mềm độc hại trong trường hợp này, theo các nhà nghiên cứu cho biết, cũng có thể nhận được những rung động trong không khí, bao gồm cả những rung động được tạo ra bởi lời nói của con người. Hệ điều hành Android của Google cho phép chuyển động từ các cảm biến được đọc ở mức 200 Hz hoặc 200 chu kỳ mỗi giây. Hầu hết giọng nói của con người nằm trong khoảng từ 80 đến 250 Hz. Điều đó có nghĩa là cảm biến có thể nhận được một phần đáng kể những tiếng nói đó. Thậm chí các nhà nghiên cứu còn xây dựng một chương trình nhận dạng giọng nói tùy chỉnh để biên dịch tín hiệu 80-250 Hz tốt hơn.

Cui nhận thấy một điều tương tự nhau trong điện thoại VoIP và máy in. Anh phát hiện ra rằng các chân tóc dính vào mọi microchip trong bất kỳ thiết bị nhúng ngày nay đều có thể bị điều khiển để dao động theo trình tự duy nhất và do đó thẩm thấu dữ liệu trên tần số vô tuyến (RF). Anh gọi đây là funtenna, và nó là một sân chơi ảo cho những người muốn trở thành hacker. Nhà nghiên cứu bảo mật Michael Ossmann, người được Cui cho là chủ nhân của ý tưởng trên, nhận định: “Funtenna là một ăng-ten mà nhà thiết kế hệ thống không chủ định sử dụng làm ăng-ten, đặc biệt khi được kẻ tấn công sử dụng làm ăng-ten.”

Ngoài funtenna, người ta có thể do thám những việc bạn làm ở nơi làm việc bằng cách nào?

Các nhà nghiên cứu ở Israel đã phát hiện ra rằng khi bị cài phần mềm độc hại, điện thoại di động thông thường có thể nhận dữ liệu nhị phân từ máy tính. Và trước đây, các nhà nghiên cứu của Stanford từng phát hiện ra rằng các cảm biến điện thoại di động có thể chặn để thu thập âm thanh của phát xạ điện tử từ bàn phím không dây. Điều này được xây dựng dựa trên các nghiên cứu tương tự được thực hiện bởi các nhà khoa học tại MIT và Georgia Tech. Như vậy có thể khẳng định rằng mọi thứ bạn gõ hoặc xem trong văn phòng đều có thể bị một bên thứ ba nghe từ xa theo cách này hay cách khác.

Ví dụ, giả sử bạn sử dụng bàn phím không dây. Tín hiệu vô tuyến được gửi từ bàn phím đến máy tính xách tay hoặc máy tính để bàn có thể bị chặn. Nhà nghiên cứu bảo mật Samy Kamkar đã thiết kế ra KeySweeper để làm điều đó: một thiết bị sạc USB giả trang với nhiệm vụ tìm kiếm, giải mã, ghi lại, và báo cáo (qua GSM) tất cả các phím bấm từ bất kỳ bàn phím không dây nào của Microsoft trong khu vực lân cận.

Chúng ta đã nói về nguy cơ khi sử dụng các điểm phát sóng ma tại các quán cà phê và sân bay. Điều này cũng có thể đúng trong văn phòng. Ai đó trong văn phòng của bạn có thể thiết lập điểm phát sóng không dây và thiết bị của bạn có thể tự động kết nối với nó. Các phòng IT thường quét các thiết bị như vậy, nhưng đôi khi họ không làm như thế.

Một cách tương ứng với việc mang bộ phát sóng cá nhân đến văn phòng là mang kết nối di động của riêng bạn. Femtocell là các thiết bị mini được các nhà mạng cung cấp. Chúng được thiết kế để tăng cường kết nối di động trong nhà hoặc văn phòng nơi tín hiệu có thể yếu. Chúng không phải là không có các rủi ro về riêng tư.

Trước hết, bởi vì femtocell là các trạm cơ sở cho hoạt động giao tiếp qua di động, nên thiết bị di động của bạn thường sẽ kết nối với chúng mà không thông báo cho bạn. Hãy nghĩ về điều đó.

Tại Mỹ, cơ quan thực thi pháp luật sử dụng StingRay, còn được gọi là máy bắt IMSI, một máy mô phỏng trạm cơ sở. Ngoài ra còn có TriggerFish, Wolfpack, Gossamer, và swamp box. Mặc dù công nghệ khác nhau, nhưng các thiết bị này về cơ bản đều hoạt động giống như một femtocell không có kết nối di động. Chúng được thiết kế để thu thập danh tính người đăng ký di động quốc tế hoặc IMSI từ điện thoại di động. Cho đến nay, việc sử dụng các thiết bị này tại Mỹ phổ biến chỉ sau châu Âu. Những máy bắt IMSI được sử dụng trong các cuộc biểu tình lớn, ví dụ, để giúp cơ quan thực thi pháp luật xác định những ai tham gia biểu tình – dựa trên giả định rằng các nhà tổ chức sẽ điều phối sự kiện này qua điện thoại di động.

Sau một trận chiến pháp lý kéo dài, Liên đoàn Tự do Dân sự Mỹ thuộc Bắc California đã thu thập các tài liệu từ chính phủ nêu chi tiết cách thức sử dụng StingRay. Ví dụ, các nhân viên thực thi pháp luật phải xin lệnh sử dụng các thiết bị pen register hoặc trap-and-trace của tòa án. Các thiết bị pen register được sử dụng để lấy số điện thoại, một bản ghi các số được quay trên điện thoại. Công nghệ trap-and-trace được sử dụng để thu thập thông tin về các cuộc gọi đã nhận. Ngoài ra, bằng một yêu cầu, cơ quan thực thi pháp luật có thể được phép ghi âm cuộc gọi điện thoại hoặc nội dung của một email. Theo tờ Wired, các tài liệu mà ACLU nhận được mô tả rằng các thiết bị “có thể có khả năng chặn bắt nội dung liên lạc và do đó, các thiết bị này phải được cấu hình để vô hiệu hóa chức năng chặn bắt, trừ các trường hợp việc chặn bắt được cho phép theo Mục III của yêu cầu cho phép thực hiện chặn bắt liên lạc theo thời gian thực.

Giả sử bạn không bị cơ quan thực thi pháp luật giám sát. Giả sử bạn đang ở trong một văn phòng có độ ổn định cao, ví dụ, tại một cơ sở tiện ích công cộng. Một người có thể cài đặt femtocell để cho phép thực hiện các hoạt động liên lạc cá nhân ở bên ngoài hệ thống ghi nhật ký cuộc gọi thông thường của cơ sở tiện ích này. Mối nguy hiểm ở đây là đồng nghiệp với chiếc femtocell đã sửa đổi ở bàn mình có thể thực hiện một cuộc tấn công MITM, và anh ta cũng có thể lắng nghe các cuộc gọi của bạn hoặc chặn bắt các tin nhắn của bạn.

Trong một buổi thuyết trình tại Black Hat USA 2013, các nhà nghiên cứu cho thấy họ có thể bắt được các cuộc gọi thoại, tin nhắn, và thậm chí cả lưu lượng truy cập web từ các tình nguyện viên trong số khán giả trên femtocell Verizon của họ. Lỗ hổng trong femtocell do Verizon phát hành đã được vá, nhưng các nhà nghiên cứu muốn cho các công ty này thấy rằng dù sao thì họ cũng nên tránh sử dụng chúng.

Một số phiên bản Android sẽ thông báo khi bạn chuyển mạng di động; iPhone thì không. “Điện thoại của bạn sẽ liên kết với một femtocell mà bạn không biết,” nhà nghiên cứu Doug DePerry giải thích. “Điều này không giống như Wi-Fi; bạn không có lựa chọn nào cả.”

Hãng Pwnie Express đã sản xuất một thiết bị gọi là Pwn Pulse để xác định các femtocell và thậm chí cả các máy bắt IMSI như StingRay. Thiết bị này giúp các công ty có thể giám sát các mạng điện thoại di động xung quanh. Các công cụ phát hiện mối đe dọa tiềm ẩn đối với mạng điện thoại như thế này trước kia chủ yếu do các chính phủ mua – nhưng tình hình hiện nay đã khác.

Tuy là một phần mềm thân thiện với người dùng, nhưng Skype lại không phải là phần mềm thân thiện nhất khi nói đến quyền riêng tư. Theo Edward Snowden, người đã công bố các tài liệu mật lần đầu tiên trên tờ Guardian, Microsoft đã làm việc với NSA để đảm bảo rằng các cuộc trao đổi trên Skype có thể bị chặn bắt và theo dõi. Một tài liệu tiết lộ rằng một chương trình của NSA là Prism thực hiện giám sát video Skype và các dịch vụ truyền thông khác. “Phần âm thanh của các cuộc trao đổi này đã được xử lý chính xác, nhưng không có video đi kèm. Giờ đây, các nhà phân tích sẽ có được ‘bức tranh’ hoàn chỉnh,” tờ Guardian viết.

Tháng 3 năm 2013, một sinh viên cao học chuyên ngành khoa học máy tính tại Đại học New Mexico đã phát hiện ra rằng TOM-Skype, một phiên bản Skype của Trung Quốc được tạo ra thông qua sự hợp tác giữa Microsoft và TOM Group, tải lên danh sách từ khóa cho mọi máy của người dùng Skype – bởi vì ở Trung Quốc có những từ và cụm từ mà bạn không được phép tìm kiếm trực tuyến (bao gồm cả “Quảng trường Thiên An Môn”). TOM-Skype cũng gửi cho chính phủ Trung Quốc tên người dùng của chủ tài khoản, thời gian và ngày truyền tải, và thông tin về việc liệu người dùng có gửi hoặc nhận tin nhắn hay không.

Các nhà nghiên cứu đã phát hiện ra rằng ngay cả các hệ thống hội nghị truyền hình cấp cao – loại đắt tiền, không phải Skype – cũng có thể sơ hở trước các cuộc tấn công MITM. Điều đó có nghĩa là tín hiệu được định tuyến đi qua người khác trước khi nó tới điểm đến là bạn. Điều này cũng đúng với các hội nghị thoại. Trừ khi người điều hành có danh sách các số đã gọi đến, và trừ khi anh ta đã yêu cầu xác minh bất kỳ số nào đáng nghi, giả dụ mã vùng bên ngoài Mỹ, thì không có cách nào để chứng minh hoặc xác định liệu một bên không được mời có tham gia hay không. Người điều hành hội nghị nên gọi cho những người tham dự mới, và nếu họ không xác minh được, hãy gác máy và sử dụng số điện thoại hội nghị dự phòng.

Giả dụ công ty bạn đã đầu tư lớn để mua một hệ thống hội nghị truyền hình đắt giá, nhờ vậy mà bạn đinh ninh rằng nó sẽ an toàn hơn các hệ thống bán đại trà. Nhưng có thể bạn đã sai đấy.

Khi nhìn vào những hệ thống cao cấp này, nhà nghiên cứu H. D. Moore nhận thấy rằng hầu như tất cả đều mặc định tự động trả lời các cuộc gọi video đến. Điều này cũng hợp lý. Bạn đặt cuộc họp vào lúc 10:00 sáng và bạn muốn những người tham gia gọi đến. Tuy nhiên, điều đó cũng có nghĩa là vào một thời điểm khác trong ngày, bất kỳ ai biết số đó cũng có thể gọi đến và liếc trộm vào văn phòng của bạn.

“Sự phổ biến của các hệ thống hội nghị truyền hình trong các lĩnh vực đầu tư vốn mạo hiểm và tài chính tạo ra một nhóm nhỏ các mục tiêu có giá trị cao cho bất kỳ ai muốn thực hiện hoạt động gián điệp công nghệ hoặc có ý định chiếm lợi thế kinh doanh không công bằng.”

Việc tìm ra các hệ thống này có khó không? Hệ thống hội nghị sử dụng một giao thức riêng biệt là H.323. Vì vậy, Moore tìm trong một phần Internet và xác định được ra 250.000 hệ thống sử dụng giao thức đó. Từ con số trên, anh ước tính rằng trong số này, dưới 5.000 hệ thống đã được cấu hình để tự động trả lời, một tỉ lệ nhỏ trong tổng thể, nhưng bản thân nó vẫn là một con số rất lớn. Và đó là chưa tính đến phần còn lại của Internet.

Kẻ tấn công có thể lấy được gì từ việc xâm nhập một hệ thống như vậy? Camera hệ thống hội nghị nằm dưới sự kiểm soát của người dùng, vì vậy kẻ tấn công từ xa có thể điều chỉnh vị trí của nó theo chiều ngang, dọc, trái, hay phải. Trong hầu hết các trường hợp, camera không có đèn đỏ để báo hiệu nó đang ở chế độ bật, vì vậy nếu không nhìn vào máy, bạn sẽ không biết được rằng có người đã di chuyển nó. Camera này cũng có thể phóng to. Moore cho biết nhóm nghiên cứu của anh đã có thể đọc một mật khẩu gồm sáu chữ số được đăng trên tường cách máy ảnh 20 mét. Họ cũng có thể đọc email trên một màn hình của người dùng trong phòng.

Lần tới khi bạn ở văn phòng, hãy xem xét những gì có thể được nhìn thấy từ máy quay hội nghị truyền hình. Có lẽ là sơ đồ tổ chức của bộ phận nằm trên tường. Có lẽ màn hình máy tính để bàn của bạn đối diện với phòng hội nghị. Có lẽ hình ảnh của gia đình bạn cũng nằm trong tầm nhìn. Đó là những gì một kẻ tấn công từ xa có thể nhìn thấy và có thể sử dụng chống lại công ty của bạn hoặc thậm chí là cá nhân bạn.

Một số nhà cung cấp hệ thống nhận thức được vấn đề này. Ví dụ, Polycom cung cấp một sách hướng dẫn tăng cường an ninh, và thậm chí hạn chế việc định vị lại máy ảnh. Tuy nhiên, đội IT thường không có thời gian để làm theo các hướng dẫn như thế, và họ thường không coi an ninh là một mối quan tâm. Có hàng nghìn hệ thống hội nghị trên Internet sử dụng cài đặt mặc định.

Các nhà nghiên cứu cũng phát hiện ra rằng các tường lửa của công ty không biết cách xử lý giao thức H.323. Họ đề xuất cho thiết bị này một địa chỉ Internet công cộng và thiết lập một quy tắc cho nó trong tường lửa của công ty.

Rủi ro lớn nhất là nhiều bảng điều khiển quản trị cho các hệ thống hội nghị này không được tích hợp chế độ bảo mật hoặc bảo mật kém. Trong một ví dụ, Moore và nhóm của anh đã có thể truy cập vào hệ thống của một công ty luật, trong đó có sổ địa chỉ, có thông tin phòng họp của một ngân hàng đầu tư nổi tiếng. Các nhà nghiên cứu đã mua một thiết bị hội nghị truyền hình đã qua sử dụng từ eBay, và khi được giao đến, trong ổ cứng của nó vẫn có dữ liệu cũ, bao gồm sổ địa chỉ trên, liệt kê hàng chục số máy cá nhân, trong đó nhiều số được cấu hình để tự động trả lời cuộc gọi đến từ Internet. Như với máy in cũ và máy photo, nếu nó có ổ đĩa cứng, bạn cần xóa dữ liệu khỏi thiết bị trước khi bán hoặc tặng nó.

Trong công việc, đôi khi chúng ta được phân công phối hợp với một đồng nghiệp ở cách mình nửa vòng trái đất. Các file dữ liệu có thể được chia sẻ qua lại qua email của công ty, nhưng đôi khi các file quá lớn nên email không xử lý được. Vì thế, ngày càng có nhiều người sử dụng các dịch vụ chia sẻ file để gửi và nhận các file lớn.

Các dịch vụ dựa trên đám mây này an toàn đến mức nào? Tùy từng trường hợp.

Bốn hãng lớn – iCloud của Apple, Google Drive, OneDrive của Microsoft (trước đây là SkyDrive) và Dropbox – tất cả đều có cơ chế xác thực hai yếu tố. Điều đó có nghĩa là bạn sẽ nhận được một văn bản ngoài dải trên thiết bị di động có chứa mã truy cập để xác nhận danh tính của bạn. Và mặc dù tất cả bốn dịch vụ trên mã hóa dữ liệu trong khi file đang chuyển tiếp, nếu không muốn công ty hoặc NSA đọc được dữ liệu của mình, bạn vẫn phải mã hóa dữ liệu trước khi gửi dữ liệu.

Sự tương đồng chỉ dừng lại ở đó.

Xác thực hai yếu tố (2FA) là quan trọng, nhưng tôi vẫn có thể bỏ qua điều này bằng cách chiếm đoạt các tài khoản không sử dụng. Ví dụ, trong một dự án kiểm định an ninh gần đây, khách hàng của tôi đã thêm 2FA của Google vào website VPN của họ bằng các công cụ có sẵn công khai. Tôi có thể vào đó bằng cách lấy thông tin đăng nhập thư mục hoạt động cho người dùng không đăng ký sử dụng cổng VPN. Vì là người đầu tiên đăng nhập vào dịch vụ VPN, tôi đã được nhắc thiết lập 2FA bằng Google Authenticator. Nếu nhân viên này chưa bao giờ tự mình truy cập dịch vụ, thì kẻ tấn công lẽ ra còn sẽ tiếp tục truy cập vào đó.

Đối với dữ liệu ở trạng thái nghỉ, Dropbox sử dụng mã hóa AES 256 bit (loại mã hóa khá mạnh). Tuy nhiên, Dropbox giữ lại các khóa, vốn có thể cho phép thực hiện truy cập trái phép từ Dropbox hoặc từ cơ quan thực thi pháp luật. Google Drive và iCloud sử dụng mã hóa 128 bit yếu hơn nhiều cho dữ liệu nghỉ. Mối quan tâm ở đây là dữ liệu có thể được giải mã bằng công suất tính toán mạnh. Microsoft OneDrive không bận tâm đến việc mã hóa, khiến người ta không khỏi nghi ngờ rằng đây là một quyết định có chủ ý, có thể là do áp lực từ một số chính phủ.

Google Drive mới công bố tính năng mới là quản lý quyền thông tin (information rights management – IRM). Ngoài các tài liệu, bảng tính, và bản trình bày được tạo trong Google Documents, Google Drive hiện cũng chấp nhận định dạng file PDF và các định dạng file khác. Các tính năng hữu ích bao gồm vô hiệu hóa khả năng tải xuống, in và sao chép cho người nhận xét và người xem. Bạn cũng có thể ngăn mọi người thêm người khác vào file được chia sẻ. Tất nhiên, các tính năng quản lý này chỉ có sẵn cho các chủ sở hữu file. Điều đó có nghĩa là nếu ai đó mời bạn chia sẻ file, người đó phải đặt ra các giới hạn về quyền riêng tư chứ không phải bạn.

Microsoft cũng giới thiệu một tính năng mã hóa theo từng file riêng biệt, tương tự như tính năng mã hóa từng file riêng lẻ bằng khóa riêng của chính file đó. Nếu một khóa bị xâm nhập, chỉ có file đó bị ảnh hưởng chứ không phải toàn bộ dữ liệu lưu trữ. Nhưng tính năng này không phải là mặc định, vì vậy người dùng sẽ phải tạo thói quen tự mã hóa từng file.

Điều này có vẻ như một đề nghị tốt xét về mặt tổng thể. Các nhân viên và người dùng nói chung nên quen với việc mã hóa dữ liệu trước khi gửi lên đám mây. Bằng cách đó, bạn giữ quyền kiểm soát các khóa. Nếu một cơ quan chính phủ đến gõ cửa Apple, Google, Dropbox hoặc Microsoft, các công ty này sẽ không thể giúp đỡ họ được, vì bạn sở hữu các khóa riêng lẻ.

Bạn cũng có thể sử dụng SpiderOak,một nhà cung cấp dịch vụ đám mây khác hẳn các dịch vụ còn lại. SpiderOak là nơi cung cấp đầy đủ các lợi ích của khả năng lưu trữ đám mây và tính năng đồng bộ hóa cùng với 100% sự riêng tư về dữ liệu. SpiderOak bảo vệ dữ liệu người dùng nhạy cảm thông qua xác thực mật khẩu hai yếu tố và mã hóa AES 256 bit để các file và mật khẩu luôn ở chế độ riêng tư. Người dùng có thể lưu trữ và đồng bộ hóa thông tin nhạy cảm với sự riêng tư hoàn toàn, bởi vì dịch vụ đám mây này không biết mật khẩu và dữ liệu.

Nhưng hầu hết người dùng đều sẽ tiếp tục sử dụng các dịch vụ khác mặc cho những rủi ro mà họ phải gánh chịu. Chúng ta thích cái thuận tiện và dễ dàng của việc lấy dữ liệu từ đám mây, và các cơ quan thực thi pháp luật cũng vậy. Một mối quan tâm lớn về việc sử dụng đám mây là dữ liệu của bạn không có được sự bảo vệ từ Tu Chính án thứ Tư như đối với dữ liệu được lưu trữ trong ngăn kéo bàn hoặc thậm chí trên máy tính để bàn. Các cơ quan thực thi pháp luật ngày càng yêu cầu nhận được nhiều hơn các dữ liệu dựa trên đám mây (đây là điều đáng lo ngại). Và họ có thể dễ dàng lấy được quyền truy cập, vì mọi thứ bạn tải lên mạng – dù là dịch vụ webmail, Google Drive, hay Shutterfly – đều đi đến máy chủ thuộc về nhà cung cấp dịch vụ đám mây, không phải thuộc quyền sở hữu của bạn. Sự bảo vệ thực sự ở đây là phải hiểu rằng bất cứ thứ gì bạn đưa lên đám mây đều có thể bị người khác truy cập, theo đó bạn phải có biện pháp khắc phục là mã hóa tất cả trước khi tải lên.