Xâm nhập máy tính là bất hợp pháp gần như trên toàn thế giới.
Tại UK, pháp luật chính xử lý tội phạm máy tính là Đạo luật Lạm dụng Máy tính 1990, đã hình thành cơ sở cho nhiều luật tội phạm máy tính tại các quốc gia Khối Thịnh vượng chung (Commonwealth).
Nhưng đây cũng là đạo luật gây tranh cãi sâu sắc, và gần đây đã được cập nhật để trao cho GCHQ, cơ quan tình báo chính của UK, quyền hợp pháp xâm nhập bất kỳ máy tính nào họ muốn. Vậy nó là gì, và nó nói gì?
Những Kẻ Hack Đầu Tiên
Đạo luật Lạm dụng Máy tính được viết và ban hành lần đầu năm 1990, nhưng không có nghĩa là không có tội phạm máy tính trước đó. Thay vào đó, đơn giản là rất khó, nếu không phải không thể, để truy tố. Một trong những vụ tội phạm máy tính đầu tiên bị truy tố tại UK là R v Robert Schifreen and Stephen Gold, năm 1985.
Schifreen và Gold, dùng thiết bị máy tính đơn giản, sẵn có, đã xâm phạm hệ thống Viewdata, một tiền thân sơ bộ, tập trung của Internet hiện đại thuộc sở hữu Prestel, công ty con của British Telecom. Cuộc hack khá đơn giản. Họ tìm thấy kỹ sư British Telecom, và "shoulder-surf" (nhìn trộm qua vai) khi anh ta gõ thông tin đăng nhập (tên người dùng '22222222' và mật khẩu '1234'). Với thông tin này, họ lung tung khắp Viewdata, thậm chí xem tin nhắn riêng tư của Hoàng gia Anh.
British Telecom sớm hoài nghi và bắt đầu theo dõi tài khoản Viewdata đáng ngờ.
Không lâu nỗi nghi ngờ được xác nhận. BT báo cảnh sát. Schifreen và Gold bị bắt và truy tố theo Đạo luật Giả mạo và Làm giả. Họ bị kết tội và phạt £750 và £600 tương ứng. Vấn đề là, Đạo luật Giả mạo và Làm giả không thực sự áp dụng cho tội phạm máy tính, đặc biệt là những tội phạm động cơ bởi tò mò và điều tra, không phải mục tiêu tài chính.
Schifreen và Gold kháng cáo phán quyết, và thắng.
Công tố viện kháng cáo phán quyết bồi thường lên Hạ viện, và thua. Một trong các quan tòa trong vụ kháng cáo, Lord David Brennan, ủng hộ phán quyết bồi thường, thêm rằng nếu chính phủ muốn truy tố tội phạm máy tính, họ nên tạo luật pháp thích hợp.
Sự cần thiết đó dẫn đến sự ra đời của Đạo luật Lạm dụng Máy tính.
Ba Tội phạm Của Đạo luật Lạm dụng Máy tính
Đạo luật Lạm dụng Máy tính khi ban hành năm 1990 hình sự hóa ba hành vi cụ thể, mỗi loại với mức phạt khác nhau.
- Truy cập hệ thống máy tính không có sự ủy quyền.
- Truy cập hệ thống máy tính để thực hiện hoặc tạo điều kiện cho tội phạm khác.
- Truy cập hệ thống máy tính để làm suy yếu hoạt động của bất kỳ chương trình nào, hoặc sửa đổi dữ liệu không thuộc về bạn.
Quan trọng, để hành vi nào trở thành tội phạm theo Đạo luật Lạm dụng Máy tính 1990, phải có ý định (intent). Ví dụ, không phải tội phạm nếu ai đó vô tình và may mắn kết nối với máy chủ/mạng họ không có quyền truy cập.
Nhưng hoàn toàn bất hợp pháp nếu ai đó truy cập hệ thống có ý định, với tri thức rằng họ không có quyền truy cập.
Với sự hiểu biết cơ bản về yêu cầu, chủ yếu do công nghệ còn tương đối mới, luật pháp ở dạng cơ bản nhất không hình sự hóa các hành vi không mong muốn khác có thể làm với máy tính. Do đó, nó đã được sửa đổi nhiều lần kể từ đó, nơi nó được tinh chỉnh và mở rộng.
Tấn công DDoS thì sao?
Người đọc tinh ý sẽ nhận ra theo luật như mô tả trên, tấn công DDoS không bị coi là bất hợp pháp, mặc dù gây thiệt hại và gián đoạn khổng lồ. Đó là vì DDoS không giành được truy cập vào hệ thống. Thay vào đó, chúng làm quá tải bằng cách hướng lượng truy cập khổng lồ đến một hệ thống nhất định, cho đến khi nó không thể chịu đựng được.
Tấn công DDoS bị hình sự hóa năm 2006, một năm sau khi tòa án tuyên bố vô tội một thiếu niên đã ngập hộp thư của chủ cũ với hơn 5 triệu email. Luật pháp mới được đưa vào Đạo luật Cảnh sát và Công lý 2006, bổ sung sửa đổi mới vào Đạo luật Lạm dụng Máy tính hình sự hóa bất cứ thứ gì có thể làm suy yếu hoạt động hoặc truy cập bất kỳ máy tính hoặc chương trình nào.
Giống như đạo luật 1990, điều này chỉ là tội phạm nếu có ý định và tri thức cần thiết. Khởi chạy chương trình DDoS có ý định là bất hợp pháp, nhưng bị nhiễm virus khởi chạy DDoS thì không.
Quan trọng, tại thời điểm này, Đạo luật Lạm dụng Máy tính không phân biệt. Việc cảnh sát hoặc điệp viên hack vào máy tính cũng bất hợp pháp như thiếu niên trong phòng ngủ làm vậy. Điều này thay đổi trong một sửa đổi năm 2015.
Bạn Cũng Không Thể Tạo Virus
Một mục khác (Mục 37), được thêm sau trong vòng đời của Đạo luật Lạm dụng Máy tính, hình sự hóa việc sản xuất, lấy được và cung cấp vật phẩm có thể tạo điều kiện cho tội phạm máy tính.
Điều này làm cho việc, ví dụ, xây dựng hệ thống phần mềm có thể khởi chạy tấn công DDoS, hoặc tạo virus/trojan trở thành bất hợp pháp.
Nhưng điều này đưa ra nhiều vấn đề tiềm ẩn. Thứ nhất, điều này có nghĩa gì đối với ngành nghiên cứu bảo mật hợp pháp, đã tạo ra công cụ hack và exploit nhằm tăng cường bảo mật máy tính?
Thứ hai, điều đó có nghĩa gì cho công nghệ "song dụng" (dual use), có thể dùng cho cả mục đích hợp pháp và bất hợp pháp. Ví dụ tuyệt vời là Google Chrome, có thể dùng duyệt web, nhưng cũng có thể dùng cho tấn công SQL Injection.
Câu trả lời, một lần nữa, là ý định. Tại UK, truy tố được thực hiện bởi Dịch vụ Công tố Vương quyền (CPS), quyết định có nên truy tố ai đó. Quyết định đưa ra tòa dựa trên một số hướng dẫn bằng văn bản, mà CPS phải tuân theo.
Trong trường hợp này, hướng dẫn nêu rõ quyết định truy tố ai đó theo Mục 37 chỉ nên làm nếu có ý định tội phạm. Nó cũng thêm rằng để xác định sản phẩm có được xây dựng để tạo điều kiện cho tội phạm máy tính, công tố viên nên xem xét việc sử dụng hợp pháp, và động cơ đằng sau việc xây dựng nó.
Điều này, thực tế, hình sự hóa việc sản xuất mã độc, trong khi cho phép UK có ngành an ninh thông tin phát triển.
"007 - Giấy phép Hack"
Đạo luật Lạm dụng Máy tính lại được cập nhật đầu năm 2015, tuy nhiên lặng lẽ, không có nhiều tiếng vang. Hai thay đổi quan trọng đã được thực hiện.
Thứ nhất, một số tội phạm máy tính tại UK hiện có thể phạt tù chung thân. Những phạt này được áp dụng nếu hacker có ý định và tri thức hành động không được ủy quyền, và có khả năng gây "thiệt hại nghiêm trọng" đến "phúc lợi con người và an ninh quốc gia" hoặc "bất chấp việc có gây ra thiệt hại như vậy hay không".
Các phạt này dường như không áp dụng cho thiếu niên bất mãn thông thường. Thay vào đó, chúng dành cho những kẻ khởi chạy tấn công có khả năng gây hại nghiêm trọng đến sự sống, hoặc nhắm vào cơ sở hạ tầng quốc gia then chốt.
Thay đổi thứ hai trao cho cảnh sát và nhân viên tình báo miễn trừ trách nhiệm theo luật tội phạm máy tính hiện hành. Một số hoan nghênh việc này có thể đơn giản hóa điều tra đối với loại tội phạm có thể che giấu hoạt động qua công nghệ. Mặc dù những người khác, đặc biệt là Privacy International, lo ngại nó dễ bị lạm dụng, và các kiểm tra cân bằng đầy đủ không có sẵn cho loại luật pháp này tồn tại.
Thay đổi Đạo luật Lạm dụng Máy tính được thông qua ngày 3/3/2015, và có hiệu lực ngày 3/5/2015.
Tương lai của Đạo luật Lạm dụng Máy tính
Đạo luật Lạm dụng Máy tính là một bộ luật "sống" rất nhiều. Nó đã thay đổi suốt vòng đời, và có thể sẽ tiếp tục làm vậy.
Thay đổi tiếp theo có thể đến từ bê bối hack điện thoại News of The World, và có thể sẽ định nghĩa smartphone là máy tính (chúng thực sự là), và đưa ra tội phạm tiết lộ thông tin có ý định.
Cho đến lúc đó, tôi muốn nghe ý kiến của bạn. Bạn nghĩ luật pháp đi quá xa? Chưa đủ xa? Hãy nói cho tôi biết, chúng ta sẽ trò chuyện bên dưới.
Nguồn ảnh: hacker và laptop Via Shutterstock, Brendan Howard / Shutterstock.com, Anonymous DDC_1233 / Thierry Ehrmann, Tòa nhà GCHQ / MOD