Tương lai nào cho an ninh mạng?

Không cần thiết phải tưởng tượng ra tình huống xấu nhất nào sẽ xảy ra với an ninh mạng vào năm 2010, bởi lẽ nó đang xảy ra ngay lúc này.

Dựa trên những dự đoán dè dặt, chúng tôi phát hiện có khoảng 100 nghìn lỗ hổng phần mềm mới sẽ ra đời chỉ riêng trong năm 2010, tức cứ 5 phút trôi qua sẽ lại có một lỗi mới xuất hiện. Hàng năm trên toàn thế giới sẽ có khoảng 400 nghìn vụ việc liên quan đến vấn đề bảo mật, nghĩa là 8000 vụ mỗi tuần.

Phiên bản mới của hệ điều hành Windows sẽ đạt ngưỡng 100 triệu dòng mã. Mỗi máy tính cá nhân - khi đó có giá khoảng 99$ - sẽ chứa gần 200 triệu dòng mã, tức khoảng 2 triệu lỗi.

Đến năm 2010, chúng ta sẽ có thêm nửa tỷ người dùng Internet, không ít kẻ trong đó là tin tặc và chúng có thể sẽ lựa chọn trong số 2 triệu lỗi này để sử dụng vào những mục đích xấu xa nào đó.

Hay nói một cách khác, sự bất cẩn ngày hôm nay sẽ trở thành thảm họa vào ngày mai.

Tin vui là chúng ta cũng có thể sẽ không lâm vào những hoàn cảnh tồi tệ đó. Đa số các chuyên gia đều lạc quan vào sự an toàn của phần mềm và Internet trong tương lai. Từ nay đến năm 2010, họ nói, mọi lỗ hổng sẽ bị loại trừ. Họ tin tưởng rằng những ứng dụng phần mềm sẽ trở nên giản tiện hơn hay ít nhất là sẽ không rối rắm như cách họ đang làm bây giờ. Họ nghĩ bằng kinh nghiệm mình, những hoạt động của kẻ xấu sẽ bị kiểm soát. Vài người thậm chí còn tiên đoán rằng đến năm 2010 sẽ xuất hiện một Martin Luther trong lĩnh vực phần mềm.

Tin buồn là những dự đoán đó, những mối đe dọa tới toàn bộ nền công nghiệp đó lại đang trở nên hiện hữu. Đã có dự đoán cho rằng, sẽ xảy ra một thảm họa trong thế giới số - hay còn được gọi là sự kiện Trân Châu cảng điện tử - gây ra những hậu quả vô cùng nghiêm trọng, mà không một ai có thể lường trước được.

Trân Châu cảng điện tử

Cụm từ Trân Châu cảng điện tử lần đầu tiên được biết đến trên một ấn phẩm in năm 1991. D. James Bidzos – sau này là chủ tịch của công ty bảo mật RSA – đã nói rằng chuẩn chữ ký điện tử của chính phủ cho thấy “chẳng thể đảm bảo rằng các chính phủ bên ngoài không thể bẻ gãy hệ thống. Và một khi điều đó xảy ra, thảm họa Trân Châu cảng điện tử sẽ bùng nổ.”

Đến năm 1998, cụm từ này được sử dụng để ám chỉ tương lai đen tối trong quá trình tiến hóa của mạng Internet. Một bài báo của Newsweek nhận định nó có thể sẽ đến dưới hình thức của một cuộc tấn công tinh vi vào thế giới số của chúng ta, khiến cho “từ hệ thống cung cấp điện tới các phương tiện giao thông, tất cả đều tê liệt.”

Tuy nhiên, đối với Richard Clarke, ý nghĩa của cụm từ này không quá ghê gớm khi tuyên bố rằng “Trân Châu cảng điện tử vẫn đang diễn ra hàng ngày.”

Cho dù có đang diễn ra âm ỉ hay bùng nổ, định nghĩa của sự kiện Trân Châu Cảng điện tử vẫn bất biến: Đó là một thảm họa khủng khiếp đối với nền công nghiệp điện toán. Sự tàn phá sẽ không dừng lại trong phạm vi phần cứng hay những hệ thống tài chính, một loạt hệ thống liên quan cũng cũng sẽ phải đối đầu với những thiệt hại cực kỳ nghiêm trọng. Và cho đến gần đây, nó đã trở thành một cách ngắn gọn để nói rằng “Internet sẽ bị các phần tử khủng bố đánh sập.”

Tuy nhiên đối với một vài trường hợp, định nghĩa này không hoàn toàn chính xác, nó thậm chí còn không tỏ ra hữu dụng.

“Tôi khá do dự khi sử dụng khái niệm này,” Jeff Schmidt - Ủy viên thường trực InfraGard quốc gia của FBI – nói. “nó có vẻ liên quan đến bất cứ cuộc tấn công nghiêm trọng nào. Nhưng tôi nghĩ định nghĩa này vẫn chưa bao hàm được hết cụm từ Trân Châu Cảng điện tử.”

“Chúng ta cần rạch ròi giữa khái niệm có hại và có ác ý,” Darwin John – CIO của FBI, người được coi là một trong những Bố già trong giới CIO – nói. “Đến nay, chúng ta đã phát hiện được những cuộc tấn công có hại. Tuy nhiên tôi cho rằng những cuộc tấn công ác ý sẽ khó phát hiện hơn nhiều và chính chúng, nếu xảy ra, sẽ làm thay đổi nhận thức của cộng đồng”.

Dễ nhận ra hơn nhiều những gì không phải là Trân Châu cảng điện tử. Phá hoại Internet hay các hệ thống mạng ATM, đánh sập cơ sở dữ liệu của hệ thống An ninh xã hội, hay thậm chí xâm nhập vào mạng lưới điện,… – Schmidt và nhiều người khác tranh luận rằng trong khi bất cứ sự kiện nào trong số đó đều có thể là một phần của Trân Châu cảng điện tử, thì chẳng có yếu tố nào đủ sức khuấy động cộng đồng để có thể đưa ra những hành động đáp trả như những gì sự kiện Trân Châu cảng đã cho chúng ta thấy.

Trân Châu cảng điện tử không hẳn là một sự kiện đơn lẻ. Hãy nghĩ đến bản chất của thảm họa. Nghiên cứu sinh Watts Humphrey của Viện kỹ nghệ phần mềm đã tham khảo một số người trong lĩnh vực điện hạt nhân. “Tôi có nói chuyện với một người chuyên nghiên cứu sự cố,” Humphrey nói. “Thông thường, những thảm họa này là kết quả của hàng loạt những sự cố tưởng chừng như vô hại. Thế nhưng một khi tất cả chúng cùng xảy ra đồng thời thì hậu quả sẽ không thể lường được.”

Đó chính là lý thuyết “Cơn bão hoàn hảo”. Một sự kiện sẽ trở nên hoàn hảo (theo chiều hướng tiêu cực) nếu giữa các hệ thống trong một môi trường phức tạp không có sự liên kết với nhau. Vụ mất điện tồi tệ hồi tháng tám vừa rồi (tại New York) chính là một ví dụ rất trực quan của “Cơn bão hoàn hảo”. Một cách ngẫu nhiên, những nhân tố có vẻ như chẳng liên quan gì đến nhau như sự xuống cấp của hệ thống lưới điện, nhiệt độ không khí, những sai lầm của con người,… đã cùng xảy ra một lúc để nhấn chìm khu vực quan trọng nhất của bắc bán cầu vào màn đêm.

“Đó là cách mà các hệ thống hiện đại sụp đổ,” Humphrey nói “Và các hệ thống của chúng ta quá cồng kềnh để khiến những điều gần như không thể xảy ra đó, trở nên hiện hữu hơn lúc nào hết .”

Thậm chí đến cả mạng sống của con người cũng vẫn chưa đủ để liên hệ tới sự kiện Trân Châu cảng điện tử. Ba năm trước đây, 4 lính thủy đánh bộ đã thiệt mạng do bộ phận thủy lực trên chiếc Osprey V22 gặp trục trặc. Mặc dù đã được kiểm tra và đánh giá cẩn thận, nhưng bọ trong phần mềm điều khiển đã khiến chiếc máy bay chở họ đâm xuống đất. Mặc dù sự cố đã được báo cáo, nhưng chưa một chỉ dấu nào cho thấy vấn đề an toàn phần mềm được xiết chặt hơn.

Những viễn cảnh cũng như sự kiện đã nêu ở trên, cho dù có tàn khốc đến đâu, cũng vẫn chưa thể tương xứng với sự kiện Trân Châu cảng, bởi lẽ chúng vẫn chưa thể gây ra những thiệt hại đáng kể về mặt vật chất cũng như tinh thần. Trước khi vấn đề an ninh cho Internet được cải tổ một cách triệt để, chúng ta vẫn sẽ phải đối mặt với những cú shock khủng khiếp như những gì người Mỹ đã phải chịu đựng khi đọc báo hay nghe đài vào buổi sáng của cái ngày mùng 7 tháng 12 năm 1941 đó (hay khi chứng kiến trên truyền hình những gì đã diễn ra vào ngày 11 tháng 9 năm 2001).

Giả sử sự kiện Trân Châu cảng điện tử vẫn đang xảy ra hàng ngày, thì đó đã không phải là Trân Châu cảng. Những sự kiện kiểu như vậy nên được gọi bằng những cái tên phù hợp hơn với mức độ nghiêm trọng của chúng, ví dụ như “sự bùng nổ của virus” chẳng hạn.

Cho dù tên đó có là gì đi chăng nữa, thì chúng ta vẫn cứ đang tiến rất gần tới cái mà rất nhiều chuyên gia liên tục đề cập đến, đó chính là “thời điểm xảy ra.”

“Hệ thống càng phức tạp bao nhiêu, thì nó càng dễ bị tổn thương bấy nhiêu,” Peter Tippett – CTO của TrueSecure, một công ty chuyên cung cấp các dịch vụ bảo mật – nhận định. Tippett nhấn mạnh nếu tương lai vẫn dựa trên tình trạng mà chúng ta đang thấy hiện nay, thì sự kiện Trân Châu cảng điện tử sẽ không thể tránh khỏi – và thời điểm đó sẽ là trước năm 2010.

“Trong vòng bảy năm, chúng ta sẽ gặp những vấn đề tồi tệ này” Howard Schmidt – phó chủ tịch kiêm CISO của eBay và trước đó là CSO của Microsoft – nói. “Mật độ những cuộc điện thoại lúc nửa đêm đã trở nên dày đặc hơn lúc nào hết, đã đến lúc phải thức tỉnh.”

Mùng 7 tháng 12 năm 2008: Thời khắc đi vào lịch sử

Hồi chuông sẽ dóng lên vào năm 2008. Các chuyên gia an ninh đã vẽ nên một viễn cảnh về sự kiện Trân Châu cảng điện tử như sau (mặc dù đưa ra những dự đoán có cơ sở, nhưng trên thực tế, có thể nó sẽ không diễn ra như vậy):

Thảm họa sẽ xảy ra đồng thời trên phạm vi toàn cầu. Nhanh đến nỗi không ai kịp nhận ra cho đến khi kết thúc. Nó không tấn công vào những máy tính cá nhân, mà tấn công thẳng vào hạ tầng Internet. Những máy chủ tên vùng (DNS) hay các bộ định tuyến và cả những hệ thống công nghiệp có kết nối với Internet,… đều trở thành mục tiêu. Nó sẽ nắm quyền kiểm soát toàn bộ những hệ thống có khả năng bảo mật yếu kém.

Có năm nhân tố để Trân Châu cảng điện tử khác biệt với những vụ tấn công của virus mà chúng ta đã trải qua từ trước tới giờ.

Thứ nhất, nó phá hủy các hệ thống dự phòng. Cho đến nay, những hệ thống mạng bảo mật kém luôn chú trọng việc dự phòng dữ liệu. Và chúng đã trở thành mục tiêu tấn công.

Thứ hai, Nó gây ra những sự cố liên tiếp. Khi sự kiện xảy ra, do các hệ thống dự phòng bị phá hủy, những nỗ lực phục hồi dữ liệu sẽ trở nên tuyệt vọng. Phố Wall rúng động, lĩnh vực tài chính mất ổn định. Người dân đổ dồn về các ngân hàng, nhưng họ không thể rút tiền, các hệ thống mạng đã bị đánh sập. Các hệ thống thanh toán bằng thẻ hay ATM cũng chịu chung số phận.

Thứ ba, mặc dù cuộc tấn công xảy ra trong khoảng thời gian không lâu, nhưng tác động của nó sẽ kéo dài trong nhiều tuần sau đó. Người dân sẽ đói, rét. Cái chết sẽ không chừa người già hay người trẻ. Số còn lại sẽ lao vào xâu xé lẫn nhau.

Thứ tư, sau khi kết thúc, nguyên nhân của cuộc tấn công sẽ được mổ xẻ, những lỗ hổng sẽ được xác định. Tuy nhiên, không như các sự kiện bảo mật gần đây mà nhất là những vụ tấn công bằng virus, sẽ chẳng có một ai đứng ra nhận trách nhiệm cũng như chẳng thể tìm ra được ai để quy kết trách nhiệm.

Nhân tố cuối cùng, cũng là quan trọng nhất, là khi những nguyên nhân của Trân Châu cảng điện tử được làm rõ, sẽ có một sự thật đau đớn và đáng mỉa mai rằng thảm họa khủng khiếp dẫn đến những sự mất mát vô cùng to lớn về người cũng như tài sản đó, lẽ ra đã có thể ngăn chặn được.

2009: Quy kết trách nhiệm, tái cơ cấu và đổi mới

Thời điểm đó – khi sự vô trách nhiệm được công khai – cũng là lúc vấn đề an ninh bắt đầu có những bước tiến. Sự lãng nhách của nguyên nhân dẫn đến thảm họa và những mất mát to lớn nó gây ra sẽ dấy lên những làn sóng phản đối mạnh mẽ.

Phản ứng đầu tiên sẽ diễn ra tại các tòa án. Giới luật sư sẽ khởi tố các nhà cung cấp thiết bị, ISP,… dựa trên cơ sở nghĩa vụ pháp lý của họ. Các điều tra viên sẽ lần theo những chuỗi sai phạm và buộc bên liên quan phải giải trình. Các hacker sẽ bị bắt giữ và khởi tố, bất kể mục tiêu của họ là tốt hay xấu. Nếu có liên quan đến yếu tố hải ngoại, chính phủ các nước sẽ phải cộng tác để đưa những kẻ có tội ra trước vành móng ngựa.

Sau kiện tụng sẽ là chỉnh lý. Lịch sử đã cho thấy sự chỉnh lý thường đi ngay sau các thảm họa. Vào năm 1912, nhân viên trực thông tin trên con tàu Titanic xấu số đã nhận được những cảnh báo về núi băng một cách chậm trễ do sự lộn xộn của thông tin đến từ các nhân viên đánh moóc nghiệp dư. Ngay sau đó, đạo luật vô tuyến 1912 ra đời, đồng thời mở đường cho sự hình hành của ủy ban thông tin liên bang (Federal Communictions Commission). Vụ khủng hoảng tài chính tồi tệ vào năm 1929 cũng chứng kiến sự ra đời của Ủy ban An ninh và Hối đoái.

Cách đây chưa lâu, chúng ta cũng đã được thấy điều tương tự thông qua một loạt những HIPAA, Gramm-Leach-Bliley, Sarbanes-Oxley hay Patriot Atc,… những đạo luật thắt chặt an ninh được đưa ra ngay sau vụ tấn công 11 tháng 9.

“Vậy cái gì sẽ theo sau cải tổ?” Jeff Schmidt hỏi. “Đó chính là những tiêu chuẩn”

Bảo mật Internet có thể sẽ sử dụng rất nhiều trong số này, ví dụ: những bản vá chuẩn hay những cấu hình bảo mật chuẩn cho phần mềm,…

“Một khi chúng ta biết tuân thủ, thì sẽ có những tiêu chuẩn,” Jeff Schmidt nói. “Nếu làm việc trong một phòng thí nghiệm sinh học, chẳng cần quan tâm tôi đang làm việc cho ai, tôi vẫn sẽ biết thế nào là phòng sạch cấp độ 2. Các tiêu chuẩn rõ ràng sẽ chắp cánh cho bảo mật.”

Giai đoạn cuối cùng của việc phục hồi sau Trân Châu cảng điện tử sẽ là đổi mới, với nó, chúng ta sẽ có một bước dài tới một nền an ninh tiên tiến và toàn diện. Nếu 2 giai đoạn đầu tiên chỉ chú trọng đến chữa bệnh, thì giai đoạn này sẽ là phòng bệnh.

Dĩ nhiên, để quá trình đổi mới diễn ra, chúng ta cần phải có một Martin Luther, một khuôn mẫu lãnh đạo không chỉ ao ước có được sự thay đổi triệt để, mà còn có sẵn những kế hoạch cụ thể. Như một nhân viên của Microsoft đã hy sinh sự nghiệp đầy hứa hẹn của mình để thay đổi văn hóa và thói quen mà bản thân anh đã phải trải qua. (cũng cần phải nhớ rằng, Luther cũng chỉ là một tay trong, người tạo nên dấu ấn cá nhân khi không tuân theo những quan điểm truyền thống mà đã đặt đam mê của mình lên trên hết.) Hoặc cũng có thể là những tay ngoài, nếu họ có thừa đam mê và tiền bạc để theo đuổi mục tiêu của mình.

Trong trường hợp cụ thể, mà ở đây là vấn đề cải tổ an ninh thông tin, người lãnh đạo này cũng cần tham khảo những chuyên gia đã có sẵn tư tưởng cải cách, ví dụ như Humphrey đến từ SEI, người được coi là Edward Deming của lĩnh vực phần mềm. Ông đã đề xuất và áp dụng những thay đổi cấp tiến trong phát triển phần mềm. Humphrey cũng đồng thời là người đã đưa ra rất nhiều chỉ trích mạnh mẽ về tình trạng an toàn phần mềm hiện nay. “Chúng ta đang để giới nghệ sỹ xây dựng nên những cây cầu,” ông nói “và rồi lại để những người lao động không có giấy phép gia cố khi chúng sụp đổ.”

Kèm theo kế hoạch chi tiết của Humphrey trong công cuộc cải tổ về bảo mật là những quy trình phát triển mới, mà qua đó sẽ thay đổi cấu trúc và phương pháp quản lý của ngành khoa học phần mềm cho phù hợp với công việc đảm bảo an ninh thông tin, bao gồm: Team Software Process (TSP) và Personal Software Process (PSP). Những quy trình này là kết quả của việc cải tiến từ mô hình phát triền phần mềm từ trên xuống dưới (top-down) đến một mô hình mới có nhiều ưu điểm hơn.

TSP và PSP được áp dụng để giảm lỗi trong quá trình mã hóa. Microsoft cũng đã sử dụng phương pháp này để hạn chế số lượng lỗi phần mềm trong một chương trình có 24 nghìn dòng mã. Kết quả là số lỗi đã được giảm xuống chỉ còn 25 so với 350 đối với những phương pháp thông thường.

Sự cải tổ triệt để sẽ diễn ra ngay sau “bi kịch của chúng dân (Tragedy of the commons)”, một song đề đang gây ảnh hưởng xấu đến an ninh Internet ngày nay. Về mặt ý nghĩa, bi kịch của chúng dân lên án những cá nhân chỉ vì quyền lợi trước mắt đã gây tổn hại đển lợi ích lâu dài của cả cộng đồng.

Trong lĩnh vực bảo mật, những công ty tư nhân phát triển, mua và triển khai những hệ thống phần mềm để tăng cường cạnh tranh với những công ty khác mà không ý thức được rằng chính mạng lưới của những phần mềm đó lại đang góp phần làm suy giảm an toàn đối với những cộng đồng lớn hơn. Và thậm chí còn đe dọa tới cả mục tiêu cạnh tranh và tài sản của bản thân các công ty đó.

“Tới năm 2010, sẽ hình thành được nhận thức tổng thể về sự tác động của những việc làm mang tính cá nhân đối với lợi ích của cả quốc gia,” Tom Longstaff – quản lý trung tâm phân tích CERT – nói. “Tôi liên tưởng đến cuộc chiến tranh thế giới lần thứ 2,” ông nói thêm, “và sự phổ biến của cao su hay nylon. Vấn đề “bi kịch của chúng dân” vẫn luôn được khắc chế sau mỗi sự kiện tầm cỡ như vậy.”

Sự cải tổ về an ninh mạng sẽ không đến chỉ sau một đêm. Longstaff tin rằng cho dù sự kiện Trân Châu cảng điện tử diễn ra vào năm 2008 theo đúng dự đoán, thì đến năm 2010, chúng ta mới chỉ có thể cải tổ được 20%. Whit Diffie – CSO của Sun Microsystems – đề xuất một khung thời gian 10 năm trước khi chúng ta có thể đảm bảo cho những phần mềm thiếu an toàn và đề ra được những đạo luật nghiêm khắc. Humphrey thậm chí còn nói “Tôi lạc quan, nhưng cái gì cũng cần phải có thời gian.”

Viễn cảnh của nền an ninh mạng vào năm 2010 như một bức tranh màu hồng với những nét chấm phá đầy táo bạo.

“Lạy chúa, chúng ta đã thật kiên cường,” Patrick Gray – giám đốc của tổ chức phản ứng khẩn cấp đối với những vấn đề liên quan tới an ninh Internet – nói. “Nhưng vẫn còn những điều tồi tệ chưa được đưa ra ánh sáng khiến chúng ta ngày càng lo lắng. Popeye đã từng nói rằng ‘tôi đã chịu đựng quá đủ và không thể chịu đựng thêm được nữa.’ Chúng ta đang tiến tới rất gần thời điểm đó.”

Và một khi chúng ta tiến đến nơi, tất cả sẽ sụp đổ. Nhưng chỉ có như vậy, chúng ta mới có cơ hội làm lại để mọi thứ trở nên tốt đẹp hơn.

blog-eiwwgdYncqNhTK1uqKrj47E (dịch từ tạp chí CIO)