WhatsApp dễ dàng là dịch vụ nhắn tin tức thì phổ biến nhất cho điện thoại và máy tính bảng. Được thành lập năm 2009, dịch vụ hiện đã bùng nổ lên hơn 700 triệu người dùng hoạt động - gần 250 triệu hơn lựa chọn thứ hai, WeChat của Trung Quốc. Sau khi được Facebook mua lại với con số gây sốc 19 tỷ USD mười hai tháng trước, công ty đã bị buộc phải dọn dẹp cách tiếp cận an ninh và quyền riêng tư, dẫn đến tin tức năm ngoái rằng họ đã triển khai biện pháp mã hóa mới.
Vấn Đề Là Gì?
WhatsApp đã chịu đựng vô số sự xấu hổ và phơi bày do an nih kém. Vấn đề bắt đầu từ lâu như tháng 5/2011, khi một lỗ hổng an ninh được phát hiện cho phép tài khoản người dùng bị chiếm phiên (session hijacked - lấy quyền truy cập trái phép bằng cách khai thác phiên sử dụng hợp lệ), và traffic của họ bị chặn và ghi lại bởi packet sniffer. Phiên bản mới của ứng dụng được phát hành, nhưng dữ liệu vẫn tiếp tục được gửi và nhận dưới dạng plaintext (văn bản thô).
Khó khăn của họ tiếp tục vào năm 2012. Đầu năm một hacker công bố WhatsAppStatus.net, cho phép mọi người thay đổi trạng thái của bất kỳ người dùng WhatsApp nào, và nhà phát triển ứng dụng phản ứng chậm - ban đầu khẳng định lỗ hổng đã được sửa khi thực tế họ chỉ chặn địa chỉ IP của trang web. Không ngạc nhiên, công cụ tương tự nhanh chóng mọc lên, và công ty bị buộc phải phản ứng mạnh mẽ hơn. Cuối mùa xuân, WhatsApp cuối cùng ngừng dùng plaintext cho dữ liệu, nhưng phương pháp thay thế - một phương pháp mật mã - bị chỉ trích gay gắt vì bị bẻ khóa ngay khi ra mắt.
Cuối năm 2013, một nhà nghiên cứu an ninh tại Hà Lan khẳng định bất kỳ ai có đủ kiến thức kỹ thuật có thể giải mã thông tin liên lạc gửi trong ứng dụng nhờ một số "điểm yếu được ghi nhận lâu dài" - chủ yếu là WhatsApp dùng cùng một khóa mã hóa cho cả hai phía của cuộc trò chuyện. Thijs Alkemade, sinh viên Đại học Utrecht khám phá lỗ hổng, nói "Bạn nên giả định rằng bất kỳ ai có thể nghe lén kết nối WhatsApp của bạn đều có khả năng giải mã tin nhắn của bạn, với đủ nỗ lực". Thêm rằng, "Không có gì người dùng WhatsApp có thể làm về điều này… trừ khi ngừng dùng cho đến khi nhà phát triển cập nhật".
Mới đây như tháng 11/2014, WhatsApp chỉ đạt 2 trên 7 điểm trên thẻ điểm nhắn tin an toàn của Electronic Frontier Foundation - mất điểm vì dùng mã hóa mà nhà cung cấp nắm khóa, không có cách xác minh danh tính người dùng, và thiết kế an ninh không được ghi chép tốt.
Phản Ứng Là Gì?
Ngày 18/11 năm ngoái, chủ sở hữu mới Facebook quyết định đủ rồi. Mặc dù Facebook không được đánh giá cao về minh bạch quyền riêng tư và an ninh của chính mình, họ không muốn đe dọa việc mua đắt tiền này và rủi ro mất người dùng cho đối thủ như Viber hay Tango.
Kết quả là, họ tuyên bố hợp tác mới với Open Whisper Systems trong thỏa thuận cuối cùng sẽ mang lại mã hóa đầu cuối (end-to-end encryption) cho dịch vụ, hy vọng xua tan những "con quái" của ba năm qua. Open Whisper nói mã hóa mới sẽ lớn nhất loại này trên thế giới, và sẽ dùng TextSecure - dịch vụ dùng khóa mật mã duy nhất cho từng thiết bị - để bảo vệ cơ sở người dùng khổng lồ. Chuyên gia nhanh chóng ấn tượng, Wired tuyên bố giải pháp "thực tế không thể bẻ khóa", và Wall Street Journal nói "mã hóa mạnh mẽ đến mức ngay cả cơ quan thực pháp pháp luật cũng không thể giải mã tin nhắn WhatsApp".
Nó Hoạt Động Như Thế Nào?
Thay vì lưu trữ khóa giải mã trên máy chủ tập trung thuộc sở hữu và vận hành bởi nhà phát triển WhatsApp, mã hóa đầu cuối hoạt động bằng cách chỉ lưu khóa trên thiết bị của người dùng. Khi kết hợp với TextSecure, sử dụng giao thức gọi là "forward secrecy" (bí mật tiến tới) để cấp khóa mới cho mỗi tin nhắn mới, dễ hiểu tại sao CEO WhatsApp Jan Koum khẳng định họ đã "xây dựng WhatsApp quanh mục tiêu biết ít nhất có thể về bạn… Sự tôn trọng quyền riêng tư của bạn được mã hóa vào DNA của chúng tôi".
Mã hóa hiện dùng bởi dịch vụ khác biệt lớn so với các ứng dụng nhắn tin tức thì và mạng xã hội tương tự, những thứ vẫn chủ yếu lưu khóa trên máy chủ của họ cũng như thiết bị cá nhân. Điều này có nghĩa là công ty và chính phủ có thể truy cập nội dung tin nhắn và dữ liệu của bạn theo yêu cầu, cũng như làm cho hacker dễ dàng truy cập thông tin riêng tư và cá nhân.
Thực tế, bước đi của WhatsApp là một phần của xu hướng lớn hơn về quyền riêng tư tăng cường bởi các công ty công nghệ hàng đầu, dù không phải ai cũng vui. Khi Apple và Google đều mở rộng dịch vụ mã hóa trước thông báo WhatsApp, Giám đốc FBI James Comey chỉ trích động thái này, tuyên bố "con lắc sau Snowden đã dao động quá xa".
Tất Cả Vấn Đề Đã Được Khắc Phục?
Cung cấp an ninh hiệu quả không dễ dàng. Mặc dù WhatsApp rõ ràng lạc hậu xa tại đầu thập kỷ, cập nhật cuối 2014 nghe có vẻ hoàn toàn chống hacker. Thật buồn, đó hiếm khi là trường hợp, và gần đây tin xấu hơn đã xuất hiện cho công ty tại Mountain View.
Mặc dù nội dung tin nhắn của người dùng dường như vẫn an toàn, một phần mềm đơn giản đã được phát hành có thể được hacker dùng để vượt qua các cài đặt quyền riêng tư khác nhau - từ đó cho họ cách xem người dùng đang online hay offline, cách theo dõi ảnh đại diện của một người, cách xem trạng thái của người dùng, và khả năng xem cài đặt quyền riêng tư tùy chỉnh của ai đó.
Phần mềm, tên WhatsSpy Public, được tạo bởi một nhà phát triển Hà Lan và có thể tiết lộ dòng thời gian trạng thái online của người dùng bị theo dõi, ngay cả khi người dùng bật chế độ kiểm soát quyền riêng tư nghiêm ngặt nhất. "Bạn có thể nghĩ bây giờ bạn đã đặt tất cả tùy chọn là 'không ai' thì bạn an toàn về mặt quyền riêng tư, nhưng tuy nhiên tôi vẫn có thể theo dõi động thái của bạn trên WhatsApp" nhà thiết kế Maikel Zweerink nói. Tin tốt cho người dùng là phần mềm khó cài đặt, và chỉ có thể theo dõi người dùng trên Android đã root hoặc iPhone đã jailbreak - nên nếu bạn dùng hệ điều hành "nguyên bản" (vanilla OS) bạn nên ổn.
WhatsApp chưa chính thức phản hồi các cáo buộc, tuy nhiên một người nội bộ cố gắng giảm nhẹ vi phạm khi nói với truyền thông Anh rằng "Đây không phải là hack… về bản chất anh ấy xây dựng chương trình chỉ ghi lại và giám sát thông tin mà anh ấy có quyền truy cập 어쨌든".
Mặc dù vậy, với tiền sử kém của WhatsApp, người dùng không chắc sẽ tìm thấy sự an ủi trong tuyên bố đó. Bất kể sự thật là gì, vấn đề chỉ chỉ ra thực tế vượt trội rằng an ninh trong kỷ nguyên số không bao giờ có thể coi như 당当; ngay khi bạn nghĩ bạn được bảo vệ, bạn có thể chắc chắn có hacker hoặc tội phạm tìm kiếm lỗi hoặc khiếm khuyết tiếp theo để xâm phạm bạn.
Bạn Nghĩ Sao?
Bạn có dùng WhatsApp? Lịch sử kém của nó có bao giờ làm bạn nản lòng không? Bạn có thử một số thay thế nhắn tin nhưng luôn thấy mình bị kéo trở lại ứng dụng phổ biến này? Quyền riêng tư nói chung có làm bạn lo lắng, hay bạn theo tư duy "không có gì để giấu, không có gì để sợ"?
Chúng tôi rất muốn nghe từ bạn. Hãy cho chúng tôi biết suy nghĩ của bạn trong bình luận bên dưới.