Tản mạn về phần mềm “sạch”

Tản mạn về phần mềm “sạch”

Cũng như thực phẩm sạch, phần mềm sạch là những phần mềm không chứa những mã độc được cố tình đưa vào nhằm những mục đích có hại cho người dùng.

Những mã độc đó có thể là: trojan virus để đánh cắp thông tin gửi đến một địa chỉ định trước, các loại virus sửa, xóa thông tin, biến máy tính thành máy tính ma trong một mạng botnet, tạo các cổng hậu (backdoor) để người khác lén lút thâm nhập máy tính (thường là từ xa, qua mạng) , thậm chí có thể là một “quả bom nổ chậm” đến một thời điểm định trước hoặc khi nhận được lệnh mới “nổ”… và còn nhiều cách khác nữa.

Thời còn phe XHCN, đã từng có tin đồn rằng những máy tính từ các nước tư bản nhập vào đều đã bị “đụng chân, đụng tay” cài cắm một cái gì đó. Gần đây, theo một bài báo thì nguy cơ kiểu đó tỏ ra là có thật:

“Theo bộ phận phụ trách nghiệp vụ của Trung tâm ứng cứu khẩn cấp máy tính Việt Nam (VNCERT) và thống kê từ Bộ Công an cho thấy, trong 2 năm qua, khi kiểm tra các thiết bị, máy tính nhập khẩu, lực lượng chức năng đã phát hiện tới 1.165/4.892 máy tính nhập khẩu bị nhiễm mã độc, con số này tương đương 1/3 tổng số thiết bị nhập khẩu.”

Các phần mềm ở dạng mã thực thi (dù là nguồn đóng hay nguồn mở) là nơi lý tưởng để cài mã độc vì người sử dụng không có cách nào để kiểm tra được.

Microsoft đã hai lần (năm 1999 và 2009) bị tố cáo cài sẵn cổng hậu trong các hệ điều hành Windows dành cho cục An ninh Quốc gia Mỹ (xem). Mới đây (10/2011), cảnh sát Đức cũng bị tố cáo đã dùng một loại phần mềm gián điệp liên bang (federal Trojan) thâm nhập trái phép vào máy tính của công dân (xem).

Ngay các phần mềm nguồn mở cũng có thể bị cài cắm theo kiểu này. Năm 2010, một trong những người được FBI thuê cài cổng hậu vào hệ điều hành OpenBSD đã lên tiếng tố cáo sau khi thời hạn bảo mật hợp đồng thuê nói trên đã hết (xem)

Tại Việt nam, các thành viên diễn đàn HVA phát hiện bộ gõ tiếng Việt Unikey for Windows tải về từ một số nguồn không tin cậy cũng bị cài cắm Trojan (xem 1 và 2) để lấy trộm thông tin.

Trong các đợt tấn công báo điện tử VietnamNet, có không ít máy tính tại Việt nam bị nhiễm virus tham chiến mà chủ nhân không hề hay biết (xem).

Đối với các phần mềm, file nhỏ thì có thể dùng kỹ thuật dịch ngược (reverse engineering) từ mã thực thi thành mã nguồn rồi kiểm tra để tìm ra mã độc như HVA đã làm.

Nhưng nếu phần mềm lớn hàng nghìn dòng lệnh thì cách làm đó không khả thi. Ví dụ như trường hợp các bộ Windows nói trên, ta chỉ có thể tin tưởng vào lời thề sống chết của Microsoft, còn thì không có cách nào khác.

Ngay phần mềm nguồn mở nổi tiếng về bảo mật TrueCrypt (xem 1 và 2) cũng không thoát khỏi nghi ngờ. Trong một bài nghiên cứu gần đây (xem), sau khi thử tấn công TrueCrypt, các tác giả viết:

“Không dùng kỹ thuật dịch ngược rất tốn kém thì không thể chứng minh được rằng phần mềm thực thi đúng là được dịch từ mã nguồn đã công bố. Vì chúng tôi không dịch ngược nên không thể khẳng định rằng không có cổng hậu trong gói mã thực thi. Vì vậy, chúng tôi khuyên bạn nên tự dịch từ mã nguồn, không nên tin tưởng mù quáng vào TrueCrypt Foundation.”

Đây là những nghi ngờ, cẩn trọng về nguyên tắc: a/nếu không dịch ngược, chẳng có gì đảm bảo là phần mềm thực thi được công bố đúng là được dịch từ mã nguồn đã công bố, b/vì vậy, không có gì đảm bảo phần mềm thực thi là “sạch” và c/mã nguồn đã công bố có thể tin là sạch vì được cộng đồng người dùng soi, nên nếu muốn dùng phần mềm sạch, tốt nhất là tự dịch mã nguồn đó thành phần mềm thực thi để dùng.

Việc cài mã độc vào những phần mềm phổ biến gây nên một tâm lý như một admin của diễn đàn HVA đã nói rất đúng “Trong trò chơi “chân chân giả giả” này cái thiệt hại ghê gớm nhất không phải là bị cài trojans, bị mất hòm thư hoặc bị bêu rếu một cách thô thiển mà là sự ngờ vực lẫn nhau. Những trò chơi của STL đẩy người ta tới chỗ chẳng có ai còn có thể tin ai được nữa vì tất cả đều có thể là giả dối, nguỵ tạo và lường gạt.“

Gần đây, trên diễn đàn Ubuntu-VN có phổ biến một bộ gõ tiếng Việt có phạm vi khá rộng nhưng nguồn đóng. Sau khi xem vụ “Sinh tử lệnh” nói trên, đôi lúc cũng thấy ngờ ngờ không hiểu nó có được “đặt hàng” không?

Những người lương thiện, không làm gì phạm pháp có lẽ cũng chẳng có gì phải sợ hãi các loại mã độc như thế. Tuy vậy, cái cảm giác thông tin cá nhân (văn bản, thư từ, chat,…) của mình bị thu thập gửi đi một nơi nào đó cũng không mấy dễ chịu. Trong thời đại Cách mạng Thông tin hiện nay, bạn có thể là một tình báo viên vô tình cho CIA (xem), tức là những thông tin tưởng như vô hại cũng cung cấp những cái rất có ích và vì vậy cũng bị thu thập. Bí mật cá nhân của bạn có thể bị lộ hoặc bạn có thể bị chụp cho những cái mũ không thể ngờ tới.

Đã từng có tin (không nhớ rõ nguồn) về một thực nghiệm ở Mỹ: thu thập các thông tin của một người vô tình để lộ rải rác trên mạng, cuối cùng dựng lại được mô tả về người đó chính xác đến nỗi anh ta phải chuyển đi thành phố khác.

Không hiểu suy nghĩ như trên có phải đã mắc căn bệnh “bác sỹ nhìn đâu cũng thấy vi trùng” không?

Môi trường thật đã đầy ô nhiễm độc hại, bệnh tật, ô nhiễm tinh thần. Trốn vào môi trường ảo thì bị mã độc rình rập!

Những mối hiểm nguy nói trên là có thật, không có cách nào đề phòng cho hết được. Nhưng cũng như bệnh tật, tai nạn giao thông, xác suất xảy ra với mỗi cá nhân là cực thấp. Vì vậy nếu ta vẫn sống vui, lượn ngoài đường suốt ngày thì cũng có thể yên tâm lượn trong máy tính và trên mạng.

Chỉ có những nơi nhạy cảm mà không lo xây dựng lấy một hệ điều hành sạch mới là lạ.