Thực trạng ghi nhật ký dữ liệu: Đánh giá mức độ đe dọa và các biện pháp bảo mật
15/5/2018 - 16 phút đọc
Đã cập nhật: 26/9/2021
Trong nhiều năm qua, Psiphon Inc. đã tiên phong trong việc mở rộng mạng internet cho những người sống dưới các chế độ kiểm duyệt. Dù không phải đối mặt với các hạn chế nội dung trực tuyến, người dùng từ các nước phương Tây đang tìm đến các VPN như Psiphon để bảo vệ quyền riêng tư cá nhân trên mạng. Tuy nhiên, vào tháng 3 năm 2017, Trung tâm Nghiên cứu Pew đã công bố một thống kê đáng kinh ngạc rằng khoảng 70% người dùng internet tại Mỹ không chắc chắn VPN dùng để làm gì.1
Nếu số lượng tài khoản Psiphon ngày càng tăng là dấu hiệu cho thấy số lượng người dùng VPN đang tăng lên trên toàn thế giới, thì một lượng lớn người dùng độc lập đang bước vào một thị trường mà họ không có tiêu chuẩn nào để đánh giá sản phẩm một cách thấu đáo. Nhóm người dùng này giờ đây phải gánh vác trách nhiệm hiểu rõ các rủi ro trong lĩnh vực an ninh mạng còn xa lạ. Do đó, họ rất dễ bị ảnh hưởng bởi thông tin sai lệch. Một trong những thuật ngữ khiến người dùng hết sức cảnh giác là sự phổ biến tràn lan của thuật ngữ data logging (ghi nhật ký dữ liệu) trên khắp các trang web và diễn đàn về VPN, cùng với việc bóp méo các rủi ro cá nhân và các phương pháp tự bảo vệ bản thân một cách hiệu quả.
Theo Techopedia, “ghi nhật ký dữ liệu là quá trình thu thập và lưu trữ dữ liệu trong một khoảng thời gian nhằm phân tích các xu hướng cụ thể hoặc ghi lại các sự kiện/hành động dựa trên dữ liệu của một hệ thống, mạng hoặc môi trường CNTT. Nó cho phép theo dõi tất cả các tương tác mà qua đó dữ liệu, tệp hoặc ứng dụng được lưu trữ, truy cập hoặc sửa đổi trên một thiết bị lưu trữ hoặc ứng dụng.”2 Nhiều VPN quảng bá chính sách không lưu nhật ký như một tính năng sản phẩm dường như độc nhất, từ đó ngụ ý rằng lưu lượng internet của công dân bình thường luôn có nguy cơ bị ghi nhật ký và có thể bị khai thác cho các mục đích thương mại và pháp lý.
Điều này đã trở thành một vấn đề nóng bỏng sau khi một số biện pháp bảo vệ của FCC bị bãi bỏ vào tháng 4 năm 2017—những quy định lẽ ra đã yêu cầu các Nhà cung cấp dịch vụ Internet (ISP) của Mỹ phải xin phép trước khi chia sẻ dữ liệu người dùng (nếu nó từng có hiệu lực như dự kiến vào tháng 12 năm 2017). Ý nghĩ về việc chính phủ của họ ủng hộ các ISP ghi nhật ký lịch sử internet cá nhân của chúng ta rồi bán hoặc tiết lộ chúng mà không có sự đồng ý khiến hầu hết người dùng internet lo ngại.
Là một đơn vị ủng hộ mạnh mẽ quyền tự do internet, Psiphon nỗ lực mỗi ngày để đảm bảo người dùng của chúng tôi nhận được quyền truy cập công bằng và cởi mở vào một mạng internet không bị kiểm duyệt mà không phải chịu bất kỳ hậu quả tiêu cực nào. Tính hợp pháp ngày càng mở rộng của việc sử dụng trái phép dữ liệu và lịch sử duyệt web của người dùng tạo nên một thực trạng đáng lo ngại, cho thấy lợi nhuận thường lấn át đạo đức. Nhưng Psiphon đã đi sâu hơn để tìm hiểu về bức tranh toàn cảnh của hoạt động ghi nhật ký lưu lượng và dữ liệu.
Phân tích so sánh tóm tắt về các chính sách ghi nhật ký dữ liệu tại Mỹ, EU và Canada
Nhìn chung, các quốc gia phương Tây đã xác định các biện pháp bảo vệ và quy định thông qua phạm vi bảo mật dữ liệu được lưu trữ. Những đạo luật này đặt ra các điều khoản liên quan đến tiêu chuẩn bảo mật mà các công ty phải tuân thủ khi thu thập và lưu trữ dữ liệu người dùng. Chúng cũng vạch ra các vấn đề pháp lý liên quan đến việc tiết lộ thông tin. Tuy nhiên, tất cả các đạo luật được đề cập trong bài viết này đều trao quyền quyết định về loại dữ liệu và các trường hợp dữ liệu được thu thập, cũng như thời gian lưu giữ dữ liệu đó, cho tổ chức thu thập. Mặc dù trong nhiều trường hợp, các tổ chức này phải giải trình cơ sở hợp lý cho các chính sách của mình trước một cơ quan quản lý trung ương, luật pháp như vậy tạo ra con dao hai lưỡi, vì nó ngầm ủng hộ việc lưu giữ dữ liệu trong nhiều trường hợp.
Ví dụ, hiện tại ở Mỹ không có quy định bao quát nào liên quan đến việc ghi nhật ký dữ liệu. Các ISP được tự do thu thập và lưu trữ dữ liệu người dùng, miễn là người dùng được thông báo rằng họ phải tuân theo các hoạt động này trong điều khoản dịch vụ hoặc thỏa thuận cấp phép người dùng. Tuy nhiên, các công ty bị chi phối bởi Đạo luật Truyền thông Lưu trữ (Stored Communications Act), trong đó nghiêm cấm việc tiết lộ dữ liệu người dùng, bao gồm cả thông tin liên lạc điện tử, “cho bất kỳ người nào khác ngoài người nhận hoặc người nhận dự kiến.”3 Mặc dù chính phủ Mỹ đặt gánh nặng bảo vệ dữ liệu người dùng lên mọi công ty, họ không giới hạn rõ ràng các hoạt động ghi nhật ký hoặc thời gian lưu trữ dữ liệu hợp lý.
Câu hỏi lớn hơn về việc ghi nhật ký của ISP không phải là điều mới mẻ, và nó cũng không phải là một vấn đề tách biệt. Trên thực tế, câu hỏi về việc ghi nhật ký dữ liệu bắt nguồn từ chính những câu hỏi pháp lý đã làm bùng phát trở lại cuộc tranh luận về tính trung lập của mạng tại Mỹ gần đây.
Liên minh Châu Âu đã thông qua một đạo luật toàn khối mang tên Quy định Chung về Bảo vệ Dữ liệu (GDPR) vào tháng 4 năm 2016, được xây dựng dựa trên Chỉ thị Bảo vệ Dữ liệu gốc năm 2012 và vạch ra các hướng dẫn về bảo mật dữ liệu, quyền của người dùng và các phân loại pháp lý của các đối tượng. Tuy nhiên, từng quốc gia thành viên có nghĩa vụ tự xác định thời hạn lưu giữ dữ liệu thích hợp và không phải tuân theo một khung thời gian bắt buộc trên toàn khối.
Các công ty độc lập chịu trách nhiệm xác định thời hạn lưu giữ thích hợp cho dữ liệu đã thu thập, trong khi các khoảng thời gian lưu giữ bổ sung có thể được đặt ra cho việc “lưu trữ vì lợi ích công cộng, mục đích khoa học, thống kê hoặc lịch sử.”4 Tuy nhiên, theo các điều khoản của GDPR, một công dân có “quyền được lãng quên” và có thể yêu cầu xóa dữ liệu cá nhân của họ khỏi máy chủ.
Cuối cùng, cấu trúc liên bang của Canada đã tạo ra một tổ chức thẩm quyền tài phán nhiều cấp liên quan đến các quy định về ghi nhật ký dữ liệu. Nước này đã ban hành Đạo luật Bảo vệ Thông tin Cá nhân và Tài liệu Điện tử (PIPEDA), trong đó vạch ra các chỉ thị và quy định trên toàn quốc về việc thu thập thông tin cho hoạt động thương mại, đồng thời đặt ra định nghĩa tiêu chuẩn quốc gia cho thông tin nhận dạng cá nhân, bao gồm:
• tuổi tác, họ tên, số định danh, thu nhập, nguồn gốc dân tộc và nhóm máu;
• ý kiến, đánh giá, nhận xét, địa vị xã hội, hoặc các biện pháp kỷ luật, v.v.
• hồ sơ nhân viên, hồ sơ tín dụng, hồ sơ vay vốn, hồ sơ bệnh án, sự tồn tại của tranh chấp giữa người tiêu dùng và thương nhân, ý định (ví dụ: mua hàng hóa hoặc dịch vụ, hoặc đổi việc).5
Tương tự như Chỉ thị của EU, các điều khoản được đưa vào nhằm cho phép tiết lộ thông tin cho Trung tâm Phân tích Báo cáo và Giao dịch Tài chính Canada (FINTRAC) liên quan đến những cá nhân bị nghi ngờ có hành vi phạm tội như tài trợ khủng bố. Tuy nhiên, PIPEDA không nêu rõ các quy trình bảo mật thông tin và giới hạn thời gian lưu trữ thông tin hợp pháp. Mặc dù đoạn 4.5.3 nêu rõ rằng “thông tin không còn cần thiết để thực hiện các mục đích đã xác định thì cần phải được hủy bỏ,” các công ty riêng lẻ được tự do triển khai các quy trình của riêng mình.
Ở cấp thấp hơn, các tỉnh bang có thẩm quyền ban hành luật riêng để đảm bảo bảo vệ dữ liệu có thể thay thế các điều khoản của PIPEDA.
Vậy các bên VPN gióng lên hồi chuông cảnh báo có đúng không?
Các VPN đã cảnh báo thành công tới khách hàng tiềm năng dựa trên ba thiếu sót cơ bản trong các quy chế ghi nhật ký hiện tại:
1. Dữ liệu nhận dạng cá nhân của bạn có thể không được bảo mật đầy đủ
2. Các ISP và công ty trực tuyến có thể sử dụng dữ liệu cá nhân của bạn để kiếm lợi nhuận thương mại
3. Cơ sở dữ liệu thông tin cá nhân do các ISP và công ty trực tuyến nắm giữ luôn sẵn sàng phục vụ các cơ quan thực thi pháp luật và chính phủ
Cả ba thực thể được đánh giá đều cho phép thu thập và lưu giữ dữ liệu người dùng có thể nhận dạng cá nhân một cách hợp pháp. Mặc dù các ISP và công ty trực tuyến có nghĩa vụ pháp lý phải bảo mật thông tin đó, nhưng về bản chất, điều này đã tạo ra một hệ thống dựa trên niềm tin lỏng lẻo và thiếu sự giám sát rõ ràng ở hầu hết mọi khu vực tài phán. Thật dễ dàng để nói rằng những người không sử dụng internet cho các hoạt động nguy hại hoặc bất hợp pháp thì không cần phải lo lắng, nhưng tại Psiphon, chúng tôi tin rằng mọi người dùng internet đều có kỳ vọng chính đáng về quyền riêng tư, bất kể hành vi trực tuyến của họ là gì.
Như vậy, có thể giả định rằng các ISP có quyền ghi nhật ký dữ liệu người dùng. Điều này có thể gây lo ngại cho các cá nhân sử dụng internet, những người e sợ việc sử dụng trái phép thông tin riêng tư như hồ sơ bệnh án hoặc thông tin ngân hàng, hay việc xâm nhập ác ý vào các cơ sở dữ liệu đó. Ngoài ra, nếu một ISP nhận được Thư An ninh Quốc gia (National Security Letter) hoặc lệnh yêu cầu cung cấp hồ sơ người dùng, họ sẽ bị ràng buộc bởi luật pháp phải cung cấp thông tin đó cho cơ quan thực thi pháp luật.
Với các điều luật hiện hành, các công ty trực tuyến không được tự ý bán dữ liệu nhận dạng cá nhân cho các mục đích thương mại hoặc tiết lộ thông tin đó. Tuy nhiên, họ hoàn toàn có quyền lưu giữ và sử dụng dữ liệu này cho nhiều quy trình nội bộ như thống kê khách hàng. Với nguy cơ tính trung lập của mạng có thể sớm bị suy giảm tại Mỹ, các kho dữ liệu nhận dạng cá nhân có thể bị khai thác hoặc phát tán mà không có sự đồng ý. Tuy nhiên, nguyên nhân lo ngại hàng đầu của người dùng VPN là rủi ro dữ liệu đó bị đánh cắp một cách ác ý, bất chấp thiện chí cao nhất của nhà cung cấp dịch vụ.
Người dùng internet sẽ luôn phải tự tìm hiểu về các hoạt động của các công ty mà họ tương tác. Mối lo ngại hàng đầu là một số người dùng cuối có thể không hiểu ý nghĩa hoặc hệ quả của các điều khoản sử dụng và có thể dựa vào các tiêu chuẩn xã hội và kỹ thuật mơ hồ, thường gây hiểu lầm để đánh giá xem VPN có đáng tin cậy hay không. Đó là chưa kể đến việc nghiên cứu thị trường cần phải thực hiện để đảm bảo rằng các VPN thực sự tuân thủ các chính sách quyền riêng tư mà họ đưa ra cho người dùng tiềm năng, đặc biệt nếu dịch vụ VPN yêu cầu tạo tài khoản người dùng gắn liền với thông tin nhận dạng cá nhân.
Hơn nữa, một khi đã đưa ra quyết định sáng suốt, người dùng ở các vị trí địa lý cụ thể và trên các trang web cụ thể có thể cảm thấy thoải mái khi sử dụng kết nối không mã hóa hoặc HTTPS tiêu chuẩn. Nhưng khi vẫn còn sự hoang mang hoặc lo ngại, một VPN không lưu nhật ký như Psiphon có thể được sử dụng để bảo vệ dữ liệu nhận dạng cá nhân không bị thu thập trực tuyến.
VPN có thể bảo vệ tôi khỏi việc ghi nhật ký dữ liệu không?
Nhiều người dùng internet tìm đến VPN để ẩn danh trên mạng và tránh các hoạt động ghi nhật ký dữ liệu của các dịch vụ thương mại trực tuyến. Tuy nhiên, phải khẳng định rằng không có VPN nào có thể mang lại sự ẩn danh hoàn toàn trên mạng. Nhưng những dịch vụ cam kết vì một mạng internet tự do tiếp cận, chẳng hạn như Psiphon, luôn tích hợp các biện pháp bảo mật mạnh mẽ vào dịch vụ của mình nhằm bảo vệ quyền riêng tư của người dùng. Bằng cách sử dụng một proxy VPN, lưu lượng truy cập internet không thể bị quy cho những người dùng cụ thể, nhưng người dùng vẫn được kết nối và tham gia sử dụng các dịch vụ internet.
Trong nỗ lực giành lấy lòng tin của người dùng và tăng cường quyền riêng tư cá nhân, các VPN thương mại thường nêu bật chính sách không lưu nhật ký. Họ tuyên bố loại bỏ mọi bản ghi sử dụng, từ đó khiến việc này trở nên bất khả thi. Tuy nhiên, nhiều thỏa thuận dịch vụ VPN không cung cấp giải thích chi tiết về các chính sách như vậy. Để tạo tài khoản hoặc mở một phiên được mã hóa, một VPN có thể yêu cầu một số thông tin chi tiết về người dùng. Một lần nữa, trách nhiệm lại thuộc về người dùng cá nhân trong việc đọc kỹ các điều khoản dịch vụ và tự quyết định xem có nên tin tưởng VPN đó hay không.
Cấu trúc của internet đòi hỏi một số thông tin nhất định phải được trao đổi để việc liên lạc trực tuyến có thể diễn ra. Không có dữ liệu nào có thể được gửi hoặc nhận nếu không có một địa chỉ IP hoạt động, bao gồm cả địa chỉ IP hợp pháp của người dùng VPN. Tuy nhiên, vì không có luật nào được đánh giá trong bài viết này bắt buộc các VPN phải lưu trữ dữ liệu người dùng trong một khoảng thời gian nhất định, các giá trị cốt lõi của Psiphon và các dịch vụ VPN khác có thể thúc đẩy họ xóa thông tin đó khỏi mạng của mình ngay khi kết thúc một phiên được mã hóa.
Điều gì làm cho Psiphon khác biệt so với các dịch vụ VPN truyền thống? Rất đơn giản, chúng tôi được sinh ra từ và tồn tại chủ yếu vì tự do internet. Theo thiết kế, nền tảng Psiphon không lưu trữ bất kỳ thông tin nhận dạng cá nhân nào liên quan đến phiên duyệt web của người dùng cuối. Vì việc sử dụng Psiphon không yêu cầu tài khoản, phần mềm hầu như không thể tạo hoặc lưu trữ thông tin liên quan đến bất kỳ người dùng cá nhân nào. Do đó, không có bản ghi sử dụng nào, giúp trấn an những người muốn tránh sự giám sát hoặc lo sợ việc tiết lộ thông tin nhận dạng cá nhân cho các bên trái phép rằng việc sử dụng mạng Psiphon không thể bị quy cho một người dùng hoặc vị trí địa lý duy nhất nào.
Để đảm bảo mạng lưới của chúng tôi duy trì hiệu quả và mở rộng quy mô theo mức độ nhu cầu thay đổi, chúng tôi tiến hành đánh giá dữ liệu nội bộ, bao gồm lưu lượng truy cập và thông tin vị trí người dùng được tổng hợp ở cấp quốc gia.6 Đây là thông tin chi tiết nhất mà dịch vụ giữ lại. Nhưng ví dụ, nếu một kẻ xấu từ bên ngoài xâm phạm thông tin thống kê này, sẽ không có thông tin nhận dạng cá nhân nào gặp rủi ro.
--
Tác giả: Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraph 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Tuy nhiên, dữ liệu ở cấp thành phố sẽ chỉ được tự động tổng hợp sau khi mức độ sử dụng trong một quốc gia vượt qua ngưỡng mà tại đó về mặt thống kê không thể nhận diện được từng người dùng thông qua việc đánh giá số lượng kết nối đang hoạt động trong thành phố.