Vụ Rối Loạn với Stingray ở DC Sẽ Không Được Dọn Dẹp

Tuần trước, Bộ An ninh Nội địa Mỹ xác nhận lần đầu tiên rằng họ biết đến các bộ mô phỏng trạm điện thoại di động không được ủy quyền, các công cụ giám sát thường được gọi là stingrays hoặc IMSI Catchers, ở nhiều khu vực khác nhau của Washington DC.

Mặc dù không ngạc nhiên khi các nhóm tình báo nước ngoài hoặc các đối tác tội phạm có thể theo dõi điện thoại tại thủ đô quốc gia, tuy nhiên, tuyên bố của Bộ An ninh Nội địa là sự thừa nhận đầu tiên của chính phủ Mỹ rằng các truyền thông chính trị nhạy cảm, chưa kể đến những người ở DC, đều có rủi ro bị chặn lại bởi các thiết bị hiện không được kiểm soát. Mặc dù đã có bước tiến này, những người quan sát thấy khả năng cao là không có nhóm nào sẽ hành động để giảm thiểu rủi ro trong tương lai gần.

Tuyên bố của Bộ An ninh Nội địa đến dưới dạng một phản hồi cho thượng nghị sĩ Ron Wyden, người đã hỏi về bộ mô phỏng trạm điện thoại di động không ngựa trong một lá thư tháng 11. Ông Christopher Krebs, cục trưởng quản lý Hệ thống An ninh Quốc gia và Chương trình Bảo vệ NPPD của DHS, viết: "Việc sử dụng IMSI catchers bởi các đối tượng độc hại để theo dõi và giám sát người dùng di động là bất hợp pháp và đe dọa an ninh giao thông, gây ra rủi ro về an toàn, kinh tế và quyền riêng tư. ... Nhìn chung, [Cơ quan Bảo vệ và Chương trình Quốc gia của DHS] tin rằng việc sử dụng độc hại của IMSI catchers là một rủi ro thực và ngày càng tăng lên." Cơ quan này thêm rằng NPPD "đã quan sát hoạt động kỳ lạ trong Khu vực Thủ đô Quốc gia có vẻ nhất quán với IMSI catchers. NPPD chưa xác nhận hoặc chỉ định hoạt động đó cho các đơn vị hoặc thiết bị cụ thể nào."

Sau khi Bộ An ninh Nội địa công bố, ba thành viên hàng đầu của Hạ viện đã gửi thư đến Ủy ban Truyền thông Liên bang vào thứ Năm, yêu cầu FCC "hành động ngay lập tức dưới luật liên bang để đối phó với sự phổ biến của những thiết bị mô phỏng trạm điện thoại có thể là động cơ, nước ngoài - hoặc stingrays - giám sát người Mỹ ở Thủ đô quốc gia." Nhưng điều này có vẻ không khả thi, để nói ít nhất, nhờ vào cách mà các thiết bị stingray được sử dụng—và bởi ai.

Tìm kiếm bằng Stingray

Các bộ mô phỏng trạm điện thoại, còn được gọi là IMSI catchers vì chúng bắt các mã xác nhận quốc tế của thiết bị, giả mạo thành trạm thu phát di động hợp pháp để đánh lừa điện thoại di động ở gần kết nối. Một khi kết nối, chúng có thể theo dõi vị trí của điện thoại di động hoặc thậm chí giám sát tin nhắn và cuộc gọi điện thoại.

Đó là những công cụ mạnh mẽ tận dụng nhược điểm trong các giao thức mạng không dây và phần mềm điện thoại di động. Và trong khi ngành viễn thông có thể giảm đáng kể hiệu quả của chúng bằng cách bổ sung những lỗ hổng trong các tiêu chuẩn không dây khác nhau, động lực để làm như vậy là không rõ ràng. Ở Mỹ và trên khắp thế giới, cơ quan thực thi pháp luật và tình báo sử dụng stingrays cho các cuộc điều tra, thường dưới điều kiện không rõ ràng. Điều này có thể giải thích tại sao Bộ An ninh Nội địa chần chừ cho đến nay: Mặc dù các bộ mô phỏng trạm điện thoại di động không ngựa như những cái ở Washington có thể là một mối đe doạ an ninh quốc gia, chính phủ Mỹ lại sử dụng chính những công cụ đó.

"Cộng đồng thực thi pháp luật và tình báo muốn có cả hai điều," nói Cooper Quintin, một chuyên gia công nghệ tại Tổ chức Frontier Điện tử. "Họ muốn một cách để ngăn một 'kẻ xấu' sử dụng IMSI catchers, trong khi vẫn cho phép 'kẻ tốt' sử dụng chúng."

Quintin và những người khác lập luận rằng nếu cơ quan thực thi pháp luật và tình báo thúc đẩy ngành viễn thông sửa những lỗ hổng hỗ trợ giám sát stingray, họ vẫn có thể sử dụng các trát lệnh đã được pháp lý và mối quan hệ của họ với ngành viễn thông để có thông tin về các thiết bị cụ thể. Stingrays sẽ không hiệu quả nhưng cơ quan thực thi vẫn có thể duy trì nhiều khả năng điều tra tương tự—sử dụng các kênh mà các đối tượng xấu không thể truy cập.

"Công nghệ này cách đây một thập kỷ là công nghệ đắt đỏ và được kiểm soát, nhưng ngày nay một người chơi đam mê có thể tự lắp ráp nó bằng phần mềm mã nguồn mở và phần cứng với vài trăm đô la," nói Ang Cui, Giám đốc điều hành của công ty an ninh Internet of Things Red Balloon. "Chúng ta có thể cố gắng lập luật về việc sử dụng công nghệ này, nhưng tội phạm có quyền truy cập và họ sẽ sử dụng nó. Giải pháp thực sự là xây dựng công nghệ chống lại IMSI catchers và stingrays."

Tuy nhiên, trong thực tế, dường như mong muốn bảo toàn khả năng giám sát lợi ích này nặng hơn những rủi ro. "Thật không may, tôi nghĩ sẽ có một sự đình đốn trong thời gian dài," nói Quintin của EFF. "Nhưng chúng ta, những người cử tri, cần phải thuyết phục đại diện của chúng ta rằng rủi ro đối với an toàn công cộng và an ninh quốc gia cao hơn nhiều so với việc theo dõi mà cảnh sát có được từ việc sử dụng những công nghệ này."

Theo dõi những người phát hiện

Ngay cả nếu Bộ An ninh Nội địa muốn làm gì đó về stingrays ở DC, nó cũng sẽ gặp khó khăn. Bộ An ninh Nội địa tuyên bố trong các tuyên bố gần đây của mình rằng nó không có công nghệ để liên tục phát hiện các thiết bị này, hoặc có phương tiện tài chính để mua hoặc phát triển khả năng này. Và trong khi một số nhà nghiên cứu đã có tiến triển trong việc phát triển các kỹ thuật để phát hiện stingray, các chuyên gia công nghệ đồng tình rằng đó vẫn là một thách thức.

"Thường khó khăn để xác định xem cái gì bạn đang phát hiện có phải là một hiện tượng bất thường, một sự cố của hệ thống di động hoặc vật lý sóng radio, hay đó thực sự là một IMSI catcher," Quintin nói. "Và sau đó, việc làm xác định làm người ta khó khăn hơn nữa. Ai đang vận hành IMSI Catcher này? Tín hiệu của nó đến từ đâu? Thực sự không phải là một vấn đề dễ dàng để giải quyết."

Số lượng đại sứ quán nước ngoại tại Washington, DC cũng là một rào cản, vì những cơ sở này hoạt động mà không bị trừng phạt trên lãnh thổ chủ quyền. Khó khăn khi kiểm soát những gì diễn ra bên trong những bức tường đó. Các cơ quan khác có thể đàn áp những bộ mô phỏng trạm điện thoại di động không ngựa cũng do dự. Người phát ngôn FCC Neil Grace cho biết với MYTOUR rằng Ủy ban, "tiếp tục theo dõi bất kỳ phát triển nào cho thiết bị IMSI. Vai trò duy nhất của FCC là chứng nhận xem những thiết bị này có đáp ứng yêu cầu của chúng tôi về kiểm soát nhiễu sóng radio và phát thải. ... FCC không có thẩm quyền liên quan đến sự ủy quyền pháp lý cho việc sử dụng các thiết bị này." Nhưng các thành viên cao cấp Hạ viện yêu cầu FCC hành động phản đối đặc điểm này. Tương tự, Thượng nghị sĩ Wyden nói trong tuần này, "Mặc dù đã có nhiều cảnh báo và bằng chứng rõ ràng cho thấy mạng điện thoại của chúng ta đang bị khai thác bởi chính phủ nước ngoài và hacker, Chủ tịch FCC Pai đã từ chối đưa ngành công nghiệp phải chịu trách nhiệm."

Hiện tại, người dân ở Washington DC và khắp đất nước chỉ có thể tiếp tục công việc của họ với sự chắc chắn tăng cao rằng điện thoại di động của họ đang có nguy cơ bị giám sát bởi bộ mô phỏng trạm điện thoại di động không ngựa. Trên một số thiết bị, người dùng có thể tắt kết nối 2G và 3G của mình như một cách để giảm số lượng stingrays có thể tương tác với thiết bị của họ, vì các IMSI catchers nhắm vào 4G vẫn ít phổ biến. Nhưng không phải tất cả các thiết bị di động đều cung cấp tính năng này hoặc thậm chí là các tùy chọn để truy cập các điều khiển này. "Làm cho phần mềm trên điện thoại di động mạnh mẽ hơn đối với những tháp ngựa và IMSI catchers là một cách tốt," Cui của Red Balloon nói. "Nhưng việc cập nhật phần mềm trên tất cả các điện thoại cũ là khó khăn, và nó sẽ không ngăn chặn IMSI catchers một trăm phần trăm."

Niềm an ủi duy nhất khác là stingrays có giới hạn địa lý. Mặc dù một số có thể quét đến một bán kính một dặm, hầu hết đều tương đối cục bộ. Nhưng thậm chí điều này cũng không giúp gì nhiều ở Washington, nơi đại sứ quán và tòa nhà chính phủ đâu cũng.

Trạm Ngựa Cạp

• Một số nhà nghiên cứu đã đề xuất một cách để đánh lừa các thiết bị stingray
• Baltimore cũng là một ổ cầu nơi hoạt động của stingray, cùng với các biện pháp giám sát công nghệ cao khác
• Và đây là một bảng giải thích đầy đủ về stingray nếu bạn đang tìm kiếm thêm chi tiết