Buzz
Vào tháng 3, Quốc Hội Georgia đã thông qua một dự luật có thể làm việc trái pháp luật khi truy cập máy tính hoặc mạng "mà không có quyền lực." Thống đốc Georgia Nathan Deal có đến thứ Ba để quyết định xem ký vào luật hay phủ quyết. Thời gian chờ đợi 40 ngày đã biến từ một thủ tục hành chính thành một cuộc tranh luận nảy lửa với tầm quan trọng quốc gia. Chỉ trong 43 dòng, dự luật đặt ra những câu hỏi cơ bản về cách thiết lập ranh giới trong không gian mạng mà không làm trở ngại cho nghiên cứu an ninh quan trọng và đặc biệt là đạo đức của việc "đánh hack ngược lại," trong đó các tổ chức bị tấn công có thể theo đuổi số hóa những hacker và thậm chí có thể trả đũa.
Dự luật S315 của Georgia mọc lên một phần từ một vụ sự cố đáng xấu hổ và lo lắng khi một lượng lớn dữ liệu nhạy cảm về bầu cử và cử tri được để lộ trong thời gian dài tại Trung tâm bầu cử thống nhất của Georgia tại Đại học Kennesaw State. Tức giận vì không phải là vi phạm pháp khi người ta truy cập dữ liệu khi nó vô tình trở nên công khai, các nhà lập pháp đã quyết định hạn chế về mặt pháp lý của việc truy cập máy tính không được ủy quyền. Nhưng các nhà phê phán nói rằng dự luật kết quả như được viết quá mơ hồ, và đe doạ làm bất hợp pháp một số loại nghiên cứu phân tích số liệu kỹ thuật số trong khi loại trừ — và do đó có thể làm cho chấp nhận — các biện pháp "phòng ngự hành vi an ninh mạng" nguy hiểm.
"Tôi không nghĩ rằng dự luật này thực sự giải quyết một vấn đề," Jake Williams, người sáng lập của công ty an ninh Rendition Infosec có trụ sở tại Georgia, nói. "Thông tin đặt ở một vị trí có thể truy cập công khai có thể và sẽ được tải về bởi những bên không có ý định. Việc làm đó trái pháp luật đặt ra nhiều vấn đề khác nhau, như là sử dụng 'có quyền lực' là gì? Việc vi phạm các điều khoản dịch vụ có phải là trái pháp luật không?"
Nhóm hacker tự gọi là SB315 đã tiến hành các cuộc tấn công chống lại một nhà thờ, Thành phố Augusta, hai nhà hàng và Đại học Georgia Southern. Nhóm này tuyên bố trong một thông điệp trên trang web của nhà thờ Calvary Baptist Church of Augusta, theo Augusta Chronicle, rằng họ không thể báo cáo lỗ hổng mà họ tận dụng để xâm nhập vào trang web, vì dự luật sẽ làm cho nó trở thành hành vi bất hợp pháp. Trong những cuộc tấn công khác nhau, nhóm này rò rỉ những thông tin đăng nhập và thông tin cá nhân khác mà họ tuyên bố đã bị đe dọa, nhưng dữ liệu từ Thành phố Augusta và Đại học Georgia Southern cũng có thể đã được tổng hợp từ các hồ sơ công khai có thể truy cập được.
"Các cuộc biểu tình dùng đến hacking và đe dọa trả đũa chỉ làm cho những nhà lập pháp cụ thể này sợ hãi hơn và củng cố quyết tâm của họ về sự cần thiết của dự luật này," Williams nói.
Ngoài các cuộc tấn công mạo hiểm, các tổ chức quyền số lớn và thậm chí các công ty công nghệ lớn cũng đã đưa ra lời phản đối mạnh mẽ về dự luật. Tổ chức Electronic Frontier Foundation nói vào tháng 4 rằng luật sẽ, "làm cảm lạnh khả năng của các nhà nghiên cứu độc lập để đưa ra ánh sáng về những lỗ hổng máy tính," mô tả nó là "đi sai hướng." Những nhà nghiên cứu an ninh thường phát hiện ra những lỗ hổng và yếu điểm trong các hệ thống của tổ chức một cách tình cờ hoặc thông qua việc đào sâu tích cực. Dự luật Georgia có thể làm cho loại công việc này trở nên bất hợp pháp, vì nó sẽ được coi là "truy cập máy tính không được ủy quyền." Nó sẽ làm giảm độ an toàn chung bằng cách cản trở những người phát hiện vấn đề trong các hệ thống số để thông báo về chúng để có thể sửa chữa — một tình huống làm tổn thương tất cả mọi người.
Đề xuất luật lệ tại Georgia hoàn toàn không phải là lần đầu tiên mà sự căng thẳng này nổi lên. Đạo luật lệ Liên bang về Lừa đảo Máy tính và Sử dụng trái phép, có các điều khoản tương tự về truy cập máy tính và mạng, đã gây tranh cãi suốt hàng thập kỷ.
Những rủi ro lớn hơn bao giờ hết khi phải đồng thuận về một hướng tiến với tình hình công nghệ an ninh mạng leo thang cả trong nước lẫn trên thế giới. "Việc Georgia hóa khái niệm này trong hệ thống hình sự của mình có thể là một bước quan trọng mà có nhiều hậu quả biết đến và nhiều hậu quả không biết đến," đại diện của Google và Microsoft viết trong một lá thư chung gửi Thống đốc Deal vào tháng 4, kêu gọi ông phủ quyết dự luật. "Người quản lý mạng nên thật sự có quyền và sự cho phép để tự vệ khỏi cuộc tấn công, nhưng... các điều khoản như thế này có thể dễ dàng dẫn đến lạm dụng và được triển khai cho mục đích không bảo vệ mà là phản cạnh tranh."
Một trong những vấn đề chính mà "đánh hack ngược lại" đặt ra là câu hỏi đơn giản về việc liệu nạn nhân có thể xác định đúng kẻ tấn công, theo dõi nguồn đúng và trả đũa đúng đối tượng hay không. Việc xác định nguồn gốc là thách thức nổi tiếng trong phân tích số liệu kỹ thuật số, và lưu lượng hoặc lệnh xuất phát từ một nguồn có vẻ có thể đã xuất phát từ nơi khác. Ngoài ra, những kẻ tấn công thường ẩn mình sau máy tính của bên thứ ba mà họ đã chiếm đóng bằng malware để thực hiện ý của họ. Trong thế giới rộng lớn của đánh hack ngược lại, nạn nhân có thể dễ dàng tăng cường cho những thiết bị đứng nhìn đang là mục tiêu của các chiến dịch malware.
Georgia không đơn độc trong việc khám phá đánh hack ngược lại; Quốc hội cũng đã xem xét nó. Đối mặt với nhiều mối đe dọa số từ Nga, đặc biệt là từ những hacker Nga, đại diện Tom Graves của Georgia và Kyrsten Sinema của Arizona đã giới thiệu một dự luật liên bang vào mùa thu, Đạo luật Chắc chắn Về Sự Hiện Diện Hành Động Mạng, sẽ mang lại quyền cho nạn nhân của đánh hack để xâm nhập vào mạng của kẻ tấn công. Nhưng trong khi các chuyên gia an ninh đã lâu cảnh báo về nguy cơ và khả năng leo thang trong việc cho phép trả đũa không kiểm soát, ý tưởng biến nó thành một vấn đề của từng tiểu bang là thậm chí càng rối bời và mơ hồ hơn.
Với chỉ vài ngày còn lại trước hạn chót để đưa ra quyết định, Jen Talaber Ryan, phó trưởng ban biên tập truyền thông văn phòng Thống đốc Deal, nói với Mytour rằng, "thống đốc đang xem xét cẩn thận dự luật, bao gồm ý kiến nhận được từ các bên liên quan." Nhưng bất kể kết quả là gì, sự nổi loạn xung quanh dự luật Georgia phản ánh sự bất an và sợ hãi rộng lớn về cách xử lý mối đe dọa số. Và khái niệm về việc đánh hack ngược lại vẫn rất hấp dẫn khi các nhà lập pháp ở mọi cấp độ chính phủ đều khó lòng kiểm soát một vấn đề không rõ ràng.
Các Cuộc Tấn Công Hack
- Cho phép các công ty "đánh hack ngược lại" là một ý kiến kinh khủng
- Điều này chủ yếu là vì việc xác định nguồn gốc vẫn là một khía cạnh khó khăn nhất trong an ninh mạng
- Đạo luật Lừa đảo và Sử dụng trái phép máy tính cũng đã làm cho công việc của các nhà nghiên cứu an ninh trở nên khó khăn hơn
