"Đừng tin ai". Đó từng là lời chỉ người đa nghi mới nói, nhưng rồi có chuyện gì đó xảy ra. Chúng ta được thông tin. Chúng ta biết người ta có thể nghe lén trên đường dây điện thoại chung, nên chúng ta trả thêm tiền cho đường dây riêng. Sau đó chúng ta biết con cái hoặc cha mẹ có thể nghe lén trên điện thoại treo tường, nên chúng ta lắp nhiều đường dây hơn cho nhà. Rồi bỗng nhiên chúng ta có điện thoại di động và có điện thoại riêng tư ở bất cứ đâu. Toàn bộ sự riêng tư! Hay chúng ta nghĩ vậy, khi lời nói và thông tin bay lượn qua không trung. Đầu tiên là tin đồn về nghe lén không lệnh, rồi là báo chí, luật sư, bảo hiểm và nhiều kẻ khác xâm nhập liên lạc của bạn, ai sẽ là tiếp theo? Làm sao để ngăn chặn? Thật không may, luật pháp luôn chậm một bước, nên bạn cần biện pháp ngay bây giờ. Đây là nơi chúng ta xem cách bảo mật liên lạc trên smartphone để việc lấy cắp thông tin của bạn trở nên khó khăn hơn nhiều.
Thay đổi phương tiện liên lạc
Để diễn giải theo Marshall McLuhan, phương tiện là loại lệnh điều tra cần thiết. Thông thường, hình thức liên lạc càng cũ, bảo vệ pháp lý càng lớn. Theo Quý hội Điện tử Tiền phong (EFF), "...chỉ có 20 lệnh tòa án cho phép nghe lén trực tiếp được báo cáo trong báo cáo nghe lén 2007, so với 1.998 lệnh cho phép nghe lén 'liên lạc dây' hoặc liên lạc thoại." Đó là tại Hoa Kỳ. Nội dung thư từ bưu chính (snail mail) cũng được bảo vệ pháp lý cao, tuy nhiên bất kỳ ai cũng có thể đọc phong bì, và Dịch vụ Bưu chính Mỹ cũng theo dõi thông tin đó. Cuộc trò chuyện điện thoại cố định được bảo vệ gần như tương đương thư từ, tuy nhiên hồ sơ cuộc gọi của bạn cũng có sẵn cho chính phủ. Khi chuyển sang cuộc gọi thoại trên điện thoại di động, các luật ngăn cản chính phủ nghe lén trở nên lỏng lẻo hơn. Tin nhắn văn bản càng lỏng lẻo hơn nữa. Vì các liên lạc di động và WiFi bay qua không gian mở, tòa án có thể thấy không có kỳ vọng riêng tư hợp lý như chính phủ ban cho cuộc trò chuyện điện thoại cố định.
Vấn đề lớn nhất với tin nhắn văn bản và bảo mật, là toàn bộ cuộc hội thoại được lưu trên điện thoại của bạn, và có thể lưu trên máy chủ của nhà cung cấp dịch vụ, ít nhất một chút. Với cuộc gọi di động bình thường, chỉ có metadata được lưu, như bạn gọi ai, khi nào, bao lâu, và từ đâu bạn gọi. Ý ở đây - đừng nhắn tin những thứ bạn không muốn bị lộ. Đặc biệt nếu bạn là thượng nghị sĩ hay nghị sĩ.
Liên lạc điện thoại di động và WiFi bay trong không khí như tín hiệu radio, nên công nghệ cần thiết để bắt chúng không xa lạ gì so với bắt tín hiệu radio thương mại. Nếu bạn nghi ngờ điện thoại có thể bị xâm phạm, hãy so sánh triệu chứng với Steve Campbell's, 6 Dấu hiệu điện thoại của bạn có thể bị nghe lén. Video này có thể hơi cũ trong thế giới viễn thông, nhưng nó cho thấy phần cứng cơ bản cần thiết để bắt lượng lớn lưu lượng di động. Ngoài máy tính, bạn chỉ cần khoảng $1500 giá trị đồ đạc. Đó không phải đầu tư lớn.
Kiểm tra ứng dụng của bạn
Có lẽ cách dễ nhất để xâm phạm liên lạc smartphone là viết một ứng dụng cho phép truy cập mọi thứ trên điện thoại, và khiến mọi người tải xuống. Điều này không phải là vấn đề lớn với iPhone như Android, vì Apple có quyền quyết định cuối cùng ứng dụng có vào store hay không. Với Android, Google không có sự nghiêm ngặt như vậy. Thêm vào đó có những người root thiết bị Android và tải ứng dụng từ bất cứ đâu.
Để biết chi tiết hơn, bài viết của Chris Hoffman, "Cách quyền ứng dụng hoạt động & Tại sao bạn nên quan tâm" là bắt buộc đọc. Cảnh báo về những gì ứng dụng có thể làm với điện thoại của bạn bị bỏ qua phổ biến gần như bằng EULA. Nếu bạn đang cài ứng dụng và cảnh báo hiện lên nói ứng dụng này sẽ truy cập danh bạ, trạng thái điện thoại và danh tính, gửi SMS/MMS, và nhiều hơn nữa. Ứng dụng có thực sự cần quyền truy cập như vậy? Nếu không, đừng cài. Xem lại các ứng dụng đã cài và gỡ những ứng dụng vượt quá nhu cầu. Bạn thậm chí có thể cân nhắc reset cài đặt gốc điện thoại để đảm bảo không có phần mềm gián điệp còn sót lại.
Mã hóa liên lạc
Với tất cả các luật này, vẫn rất khó ai đó sẽ nghe lén liên lạc của bạn. Thực ra, bạn là người tuyệt vời, nhưng bạn không thú vị đến vậy. Những gì bạn ăn tối, và bạn chạy bao nhiêu dặm trên máy elliptical là nhàm chán, và đã lan man trên Facebook. Ai sẽ vi phạm luật viễn thông và mua thiết bị đắt tiền để biết bạn ghét rau xoăn? Thôi, giả sử cuộc trò chuyện của bạn thực sự là "món ngon" cho điệp viên và thám tử tư. Hãy xem làm sao để liên lạc smartphone của chúng ta kém hữu ích cho kẻ nghe lén, ngay cả khi họ chặn được.
Mã hóa lấy thứ có ý nghĩa cho người bình thường và biến thành hỗn độn chỉ có thể phục hồi qua quá trình toán học phức tạp. Đó là mô tả ngắn gọn nhất tôi nghĩ ra. Nếu bạn muốn giải thích cách mã hóa hoạt động, hãy đọc phần Làm sao nó mã hóa ổ cứng của tôi? trong bài "Cách Bitlocker hoạt động". Các nguyên tắc tương tự áp dụng cho hầu hết mã hóa.
Kryptos - iOS, Android [Không còn có sẵn], Blackberry - App miễn phí, $10/Tháng dịch vụ
Kryptos, ở mức đơn giản nhất, là dịch vụ Voice over Internet Protocol (VoIP) được mã hóa. Nếu bạn muốn hiểu VoIP tốt hơn, hãy đọc bài của Stefan Neagu, Cách Skype hoạt động?. Điều này cho phép nó hoạt động qua kết nối di động và WiFi. Cảnh báo - VoIP không qua WiFi dùng gói dữ liệu của bạn. Ứng dụng mã hóa cuộc gọi thoại của bạn bằng tiêu chuẩn AES 256-bit với trao đổi khóa RSA 2048-bit. Vì là kết nối VoIP và cả hai người cần có ứng dụng và dịch vụ, cuộc gọi gần như là kết nối peer-to-peer thực sự, trừ việc khóa phải được xác thực bởi cơ quan chứng chỉ. Tấn công Man-in-the-Middle (người trung gian) có thể xảy ra về mặt lý thuyết. Tôi không nói là nó khả thi lắm.
Mã hóa AES 256-bit áp dụng cho cuộc gọi của bạn là tiêu chuẩn giống Windows BitLocker dùng và được chính phủ Mỹ coi là mã hóa hợp lý cho tài liệu Mật tuyệt đối (Top Secret). Nghe ấn tượng, và đúng là ấn tượng, chỉ cần biết Top Secret không phải mức bảo mật cao nhất.
Khóa RSA 2048-bit dùng để khóa và mở khóa mã hóa cuộc gọi thêm lớp bảo mật thứ hai. Nó là khóa số khóa/mở mã hóa ở mỗi đầu cuộc hội thoại. Giống như chìa khóa cửa, càng nhiều rãnh móc trên chìa khóa, càng khó cho tội phạm sao chép. 2048-bit nghĩa là khóa cho bất kỳ cuộc hội thoại nào là số ngẫu nhiên 617 chữ số. Để so sánh, hầu hết vé số chỉ dùng tối đa 12 chữ số, và chúng ta都知道 xác suất trúng số là bao nhiêu.
DigiCert, nhà cung cấp chứng chỉ chữ ký số cho thương mại điện tử, tính toán rằng sẽ mất "6,4 triệu tỷ năm" để phá khóa RSA 2048-bit. Tuy nhiên, RSA Laboratories ước tính thô sơ, dựa trên Định luật Moore và thời gian phá khóa DES 56-bit, rằng khóa RSA 2048-bit có thể trở nên khả thi để phá vào khoảng năm 2030. Đó ít hơn 6,4 triệu tỷ năm nhiều, nhưng vẫn ấn tượng. Đến năm 2030 thì quá muộn để can thiệp vào cuộc gọi hôm nay. Tuy nhiên, khi có trao đổi khóa như vậy, có cơ hội siêu nhỏ của tấn công Man-In-The-Middle. Đó là khi một người ở giữa cuộc gọi, mà hai người kia không hay biết (nhưng chúng ta biết). Mark cấp khóa riêng cho Alice và Bob, khi Bob yêu cầu khóa của Alice và Alice yêu cầu khóa của Bob. Voilà! Cuộc gọi mở ra cho hắn.
Kryptos tuyên bố họ không ghi âm cuộc gọi hay bất cứ điều gì về cuộc gọi. Họ cũng tuyên bố không bao giờ cho phép cổng hậu (back-door) của chính phủ vào liên lạc của họ. Vâng, họ có thể không có lựa chọn dưới các luật như Communications Assistance for Law Enforcement Act (CALEA) của Mỹ. Luật này nhằm buộc nhà cung cấp liên lạc, kể cả VoIP, làm cho việc giám sát liên lạc real-time dễ dàng hơn cho cơ quan thực thi pháp luật.
Vậy, Kryptos an toàn đến đâu? Với giá $10/tháng, tôi nói là hợp lý an toàn.
Silent Phone - iOS, Android - App miễn phí, $10/Tháng dịch vụ
Được mang đến bởi Silent Circle và Phil Zimmerman, người đứng sau mã hóa PGP, Silent Phone là dịch vụ mã hóa thoại cho cả Android và iOS. Giống Kryptos, nó hoạt động qua kết nối VoIP qua WiFi hoặc gói dữ liệu di động. Cũng yêu cầu cả hai người có ứng dụng và dịch vụ để mã hóa end-to-end.
Khác với Kryptos, nó có phương pháp mã hóa độc quyền gọi là Zimmermann Real-time Transport Protocol (ZRTP). Khác với khóa RSA 2048-bit ở chỗ nó tạo khóa mà không cần kiểm tra với cơ quan chứng chỉ. Mỗi cuộc gọi tạo một mật khẩu phải được nói vào ứng dụng để tiếp tục cuộc gọi.
Silent Phone dùng mã hóa AES 256-bit như Kryptos, nhưng tại điểm so sánh này, không quan trọng lắm. Khóa đơn giản sẽ không tồn tại đủ lâu để bị phá và không có cơ hội tấn công Man-in-the-Middle. Bạn chỉ không thể xâm nhập giữa truyền thanh âm với phương pháp ZRTP.
Silent Circle thề sẽ không bao giờ cúi đầu trước áp lực chính phủ, điều đó đáng kính trọng, dù hơi ngây thơ. Tại một thời điểm, họ có thể phải quyết định muốn giữ công ty sống còn hay giữ đạo đức nguyên vẹn. Tôi bị ảnh hưởng một chút bởi những gian nan trước đây của Phil Zimmerman khi ra mắt PGP - ông ta có vẻ thật thành khẩn từ nơi tôi ngồi, hàng dặm xa. Tuy ông không phải người duy nhất trong công ty, nên chúng ta sẽ xem chuyện gì xảy ra. Có thể họ không bao giờ bị buộc quyết định - ai biết? Có thể họ sẽ nhượng bộ, nhưng bạn đơn giản sẽ không bao giờ biết. Tóm lại, với cùng $10/tháng cho dịch vụ, tôi nói Silent Phone an toàn hơn Kryptos một chút. Nơi nó tốt hơn nhiều là sự có sẵn của các app khác để mã hóa email, tin nhắn, và video. Bằng cách có toàn bộ bộ công cụ, đây là dịch vụ tôi sẽ chọn.
Kết luận
Bằng cách mã hóa dữ liệu đã có trên điện thoại, như trong bài "Cách mã hóa dữ liệu trên Smartphone" và dùng các phương pháp trong bài này, bạn sẽ có thứ gần nhất với điện thoại điệp viên mà công dân bình thường có thể có. Có quá mức không? Đó là bạn quyết định dựa trên tình huống của mình.
Bạn có cảm thấy cần bảo mật liên lạc smartphone? Lo lắng về người nghe lén? Bạn đang làm gì về nó? Nỗi lo của bạn là gì? Bạn có mẹo khác để chia sẻ? Cho chúng tôi biết, vì biết chính là một nửa chiến thắng.
Nguồn ảnh: Ảnh chụp màn hình Kryptos qua Google Play, Ảnh chụp màn hình Silent Phone qua Google Play, Vợ chồng nói chuyện riêng tư qua điện thoại via Shutterstock; Doanh nhân trẻ Via Shutterstock; Cô gái với túi Via Shutterstock