NHỮNG VẤN ĐỀ ẢNH HƯỞNG AN NINH QUỐC GIA MỸ ĐẾN TỪ CÁC
DOANH NGHIỆP VIỄN THÔNG TRUNG QUỐC – HUAWEI VÀ ZTE

Phần 3: Nỗ lực giảm thiểu các mối nguy từ sản phẩm viễn thông Trung Quốc

Nhiều quốc gia đang đấu tranh với các mối đe doạ tiềm ẩn xuất hiện từ các doanh nghiệp viễn thông không đáng tin cậy. Tại Vương quốc Anh, chính phủ đã thực hiện các bước khởi đầu (như một phần của một chiến lược giảm thiểu tổng thể) nhằm giải quyết các quan ngại này bằng cách cùng với Huawei thiết lập Trung tâm Kiểm định An ninh Mạng (Cyber Security Evaluation Centre – CSEC) được quản lý độc lập. CSEC thực hiện các đánh giá độc lập về các phần cứng và phần mềm được đưa vào hạ tầng viễn thông của Anh và cung cấp các kết quả này cho các nhà mạng có liên quan và chính phủ Anh. Mục tiêu của chính phủ Anh là nỗ lực giảm thiểu các mối nguy từ các sản phẩm của Huawei được triển khai trong hạ tầng viễn thông xung yếu của Anh đe doạ tới tính toàn vẹn và sẵn sàng của các hệ thống mạng của Anh.

Huawei và ZTE đã đề xuất phương án tương tự cho các sản phẩm vào thị trường Mỹ, được quản lý bởi các tổ chức phi chính phủ như Hiệp hội Chiến tranh Điện tử (Electronic Warfare Associates) hoặc các doanh nghiệp an ninh tư nhân. Những sự hợp tác này nhằm giải quyết các mối quan ngại về việc các doanh nghiệp trên có thể cho phép chính phủ Trung Quốc cài cắm các tính năng ẩn hay các lỗ hổng bảo mật vào các sản phẩm để có thể hỗ trợ các hoạt động gián điệp hoặc chiến tranh mạng. Không may là, có những quan ngại nếu nỗ lực thực hiện như trên sẽ gặp thất bại tại Mỹ do đặc thù về phạm vi và quy mô của thị trường viễn thông Mỹ.

Các quy trình hậu kiểm là cách tiếp cận chuẩn mực nhằm xác định các tính an toàn của các hệ thống phần mềm phức tạp. Các quy trình như Tiêu chuẩn Chung về Đánh giá An toàn Công nghệ Thông tin (Common Criteria for Information Technology Security Evaluation) và nhiều các dịch vụ chứng nhận khác đã sử dụng một quy trình trong đó các kiểm định viên thẩm định một sản phẩm theo một bộ khung các tiêu chuẩn và xếp hạng đánh giá.

Công nhân Huawei tại khâu kiểm định

Việc xếp hạng nhằm giúp người tiêu dùng nắm rõ mức độ an toàn khi sử dụng các thiết bị hay phần mềm. Phương pháp và quá trình triển khai hệ thống được mô tả trong các tài liệu của nhà sản xuất thường được dùng làm cơ sở cho việc xếp loại đánh giá. Hơn nữa, những quy trình này không được thiết kế để phát hiện các mã độc mà để khuyến khích sản xuất ra các sản phẩm đáp ứng các tiêu chuẩn an ninh nhất định.

Vì nhiều lý do về kỹ thuật và kinh tế, các chương trình kiểm định theo đề xuất của Huawei và ZTE là chưa đủ. Thực ra, các chương trình này có thể gây nên nhận định sai lầm về an ninh của các sản phẩm do việc đánh giá không toàn diện, sai sót hoặc sai phương pháp. Người dùng chủ quan có thể chọn cách bỏ qua các đánh giá rủi ro toàn diện về mối nguy, ứng dụng hay môi trường và không muốn tốn thêm các chi phí để đánh giá lại vì đã có một bên thứ ba chuyên nghiệp chứng nhận cho sản phẩm này.

Một vấn đề then chốt mà đánh giá theo tiêu chuẩn an ninh của bên thứ ba sẽ không thể xác định được, đó là sự đa dạng của sản phẩm và môi trường triển khai. Hành vi của thiết bị hoặc hệ thống có thể thay đổi rất nhiều dựa trên cách thức và vị trí cấu hình, cài đặt và bảo trì. Do các vấn đề về thời gian và chi phí, một hoạt động kiểm định thường tập trung vào một bản mẫu của sản phẩm được cấu hình cụ thể và trong điều kiện phi thực tế. Tốc độ phát triển công nghệ hiện nay định hướng sản phẩm đổi mới nhanh hơn nhiều so với các quy trình kiểm định bảo mật toàn diện của bên thứ ba. Các thông số cấu hình hẹp sử dụng trong quá trình kiểm định gần như đảm bảo thiết bị được kiểm định sẽ được triển khai không đúng như các quá trình kiểm định chính thức quy định. Một bản đánh giá bảo mật của một thiết bị phức tạp sẽ vô dụng nếu trong thực tế thiết bị đó không được triển khai giống như lúc được thử nghiệm.

Việc kiểm định sản phẩm trước triển khai chỉ giúp xác định được phần sản phẩm trong vòng đời của hệ thống mạng. Cần phải đánh giá thêm cách thức các nhà mạng quản lý bản vá, sửa lỗi và bảo trì, nâng cấp và các dịch vụ đi kèm cũng như việc lựa chọn các nhà cung cấp dịch vụ này sẽ tác động đến vấn đề an ninh của hệ thống mạng.

Việc xếp hạng nhằm giúp người tiêu dùng nắm rõ mức độ an toàn khi sử dụng các thiết bị hay phần mềm

Nếu các doanh nghiệp tài trợ kinh phí cho các hoạt động kiểm định an ninh các sản phẩm của chính họ sẽ tạo ra các xung đột lợi ích và dẫn tới sự hoài nghi về tính độc lập và chính xác của kết quả. Nhà sản xuất sẽ mặc nhiên theo đuổi các lợi ích và kết quả có lợi cho mình mà không nhất thiết phải phù hợp với lợi ích chung của người tiêu dùng. Một vấn đề khác, nhưng có liên quan, đó là các cuộc chạy đua khốc liệt đã được ghi nhận cho các chương trình kiểm định theo Tiêu chuẩn Chung được các hãng tài trợ kinh phí. Các nhà thiết kế của hệ thống Tiêu chuẩn Chung hiểu được sự nguy hiểm này và triển khai hệ thống quản lý chứng nhận đối với các kiểm định viên. Việc phòng ngừa này dường như chỉ để cho có vì chưa có chứng chỉ nào bị đưa vào diện thử thách hay thu hồi dù hiệu suất kiểm định kém. Do các mối quan ngại tương tự và về việc xung đột lợi ích, các kiểm định viên của Anh đánh giá các thiết bị của Huawei đã được chính phủ Anh điều tra lý lịch chặt chẽ và có giấy phép an ninh của chính phủ, và quy trình này có sự hỗ trợ từ các nhà cung cấp dịch vụ viễn thông của Anh. Mặc dù là chưa thật rõ ràng, tuy nhiên các bước thực hiện như trên sẽ dễ dàng chuyển sang thị trường Mỹ hoặc thành công trong việc vượt qua được các động cơ bản chất của tình huống này và dẫn đến các cuộc điều tra đánh giá thực sự độc lập.

Nhiệm vụ tìm kiếm và loại bỏ các lỗ hổng nguy hiểm khỏi một sản phẩm phức tạp rất khó khăn. Gần như là không thể tìm kiếm và loại bỏ các sai sót được cố ý chèn vào bởi một đối tượng nội gián có quyết tâm và đủ thông minh. Trong khi có nhiều tài liệu mô tả các kỹ thuật tìm kiếm lỗ hổng bảo mật tiềm ẩn trong hệ thống phần cứng và phần mềm, thì không có kỹ thuật nào cho thấy khả năng tìm được tất cả các lỗ hổng trong hệ thống tồn tại từ trước đến giờ. Các kỹ thuật hiện có có thể chứng minh được quá trình triển khai hệ thống phù hợp với thiết kế đã được chứng nhận không tồn tại một số kiểu sai sót nhất định. Tuy nhiên, các kỹ thuật này phải được kết hợp trong suốt quá trình thiết kế và phát triển mới có hiệu quả. Chúng không thể được áp dụng vào các sản phẩm đã hoàn thiện đủ lớn và phức tạp. Thậm chí khi được nhúng vào quá trình thiết kế và phát triển, các kỹ thuật này cũng chưa đáp ứng được quy mô của các hệ thống viễn thông thương mại hoàn thiện. Rất không chắc chắn về việc một sự hợp tác kiểm định bảo mật như các đề xuất của Huawei và ZTE, tính độc lập trong trách nhiệm và động cơ của đề xuất này sẽ có đủ khả năng để xác định tất cả các lỗ hổng có liên quan trong các sản phẩm có kích cỡ và độ phức tạp như những thiết bị lõi trong hạ tầng viễn thông. Nếu vẫn còn sai sót đáng kể trong các sản phẩm và quy trình triển khai rộng rãi mà đối thủ tiềm ẩn nắm được, thì quá trình kiểm định bảo mật dường như chỉ mang lại các lợi ích rất giới hạn.

Huawei và ZTE đã đề xuất phương án tương tự cho các sản phẩm vào thị trường Mỹ, được quản lý bởi các tổ chức phi chính phủ như Hiệp hội Chiến tranh Điện tử

Việc kiểm định an ninh thiết bị nghi ngờ vào thời điểm đang được triển khai vào hạ tầng xung yếu dường như là câu trả lời cho các vấn đề về an ninh đặt ra. Tuy nhiên, do tính phức tạp của mạng lưới viễn thông, sự giới hạn của các kỹ thuật đánh giá hiện tại, và tính kinh tế nên các bản phân tích do các hãng sản xuất tài trợ thường mang lại cảm giác an toàn nhưng không thực sự an toàn. Sự an toàn đáng kể chỉ có thể đạt được thông qua một quá trình thiết kế và lắp đặt chu đáo qua đó xác định được các hệ thống trong hệ thống hoàn chỉnh qua vòng đời của nó, từ khâu thiết kế đến khi ngừng hoạt động và bao gồm các khía cạnh như các thành phần công nghệ rời rạc, sự tương tác giữa các thành phần đó, môi trường vận hành, và các mối đe dọa từ các thế lực thù địch. Kết quả của một quá trình như vậy sẽ là một tập hợp đa dạng các bằng chứng thuyết phục về một hệ thống xứng đáng với niềm tin của chúng ta.

nguyentandung.org lược dịch (Nguồn Intelligence House)