“bao cao su” cho máy tính

Nhiều người đã thử, nhưng vẫn chưa ai hack lọt qua được tầng bảo vệ của InZero

Khi Google trở thành nạn nhân của hacker, rõ ràng phần mềm bảo mật truyền thống đang không làm tốt công việc. Hacker, tội phạm và gián điệp đã thâm nhập vào hệ thống máy tính của hàng ngàn công ty, cơ quan nhà nước và các tổ chức. 85% công ty và cơ quan được điều tra bởi công ty nghiên cứu Ponemon Institute đã bị rò rỉ bảo mật và mất mát dữ liệu trong năm vừa qua – khoảng 1/4 số vụ liên quan đến hacker. Các tổn thất được xác định trị giá hơn 1 ngàn tỷ USD mỗi năm trên phạm vi toàn cầu. “Bọn xấu đang ngày càng giỏi hơn, và tiền của tôi nằm trong tay bọn xấu”, chuyên gia bảo mật William R. Cheswick của AT&T Labs ngán ngẩm.

Trước viễn cảnh đen tối này, một công ty mới nhỏ bé tên là InZero Systems tuyên bố đã phát triển 1 hệ thống chống hack dựa trên phần cứng – lời khoe khoang khiến một số chuyên gia cho là cường điệu. Nhìn chung, bất kỳ công ty nào nói nó có thể ngăn cản mọi kẻ xâm nhập “đều được điều hành bởi những kẻ ngốc không đáng liếc nhìn lần thứ hai”, Bruce Schneier, trưởng phòng công nghệ bảo mật của BT, gã khổng lồ viễn thông Anh quốc nhận định.

Schneier đã không đánh giá công nghệ của InZero. Tuy nhiên nhiều người nói họ đã bị ấn tượng. Phương pháp của nó đã được kiểm tra bởi Cục dự án nghiên cứu cao cấp về quốc phòng (Defense Advanced Research Projects Agency (DARPA)) của quân đội và vài công ty chuyên tìm lỗ hổng trong bảo mật máy tính. Không ai bẻ gãy được nó. “Nó rất an toàn, nhưng chúng tôi quan tâm đến sự thân thiện người dùng của nó”, cựu giám đốc DARPA, Anthony J. Tether, người đã mua 10 thiết bị để kiểm tra ngay trước khi ông rời cục đầu năm 2009. “Ít nhất chúng tôi có thể nói là chưa có cách để phá vỡ nó”, Ronald J. Dorman, phó chủ tịch Telos, công ty bảo mật mạng và máy tính được InZero thuê để đánh giá hệ thống thừa nhận.

Ý tưởng đằng sau InZero đã được nung nấu bởi Oleksiy Shevchenko, kỹ sư máy tính Ukraine, người đã cố xử lý những nỗi lo bảo mật Internet của một người bạn cảnh sát. Ông được gợi ý từ chiến lược phòng thủ truyền thống, vốn dùng phần mềm để tìm virus hay những kẻ xâm nhập mới, sau đó nghĩ ra những cách để gây trở ngại cho chúng. Vì malware xuất hiện dưới nhiều dạng nguỵ trang, phương pháp này để các mạng bị phơi bày trong giai đoạn đầu của một cuộc tấn công mới. Thay vào đó, Shevchenko thiết lập phần cứng vốn hành động như máy tính thứ hai (theo ngôn ngữ chuyên ngành là “sandbox”), nằm giữa máy tính có thể bị tổn thương và Internet.

Khi bạn vào Web, có cảm giác như bạn đang dùng máy tính của mình, nhưng thực ra bạn đang ở trong hộp cát của InZero. Bạn có thể gửi email và đến bất cứ đâu trong không gian mạng, thậm chí những website nổi tiếng là nơi chứa chấp hacker và virus. Hiệu quả tương tự như việc có 1 webcam trên máy tính của bạn nhắm vào màn hình của máy tính thứ hai, theo chuyên gia mật mã Phil Zimmermann, người được InZero yêu cầu đánh giá công nghệ, giải thích. Có 1 rào chắn giữa hai hệ thống giúp ngăn chặn bất cứ thứ gì xấu không đến được máy tính của bạn.  

Vì hệ điều hành và bộ nhớ trong hộp cát của InZero là chỉ đọc, chúng không thể bị thay đổi bởi virus, và hacker không thể chiếm dụng thiết bị. “Chúng sẽ không gây tổn hại cho bạn”, Zimmerman nhận xét. Ông cho biết mình không thể nghĩ ra bất kỳ cách nào để bẽ gãy. CEO Louis R. Hughes của InZero cung cấp phép loại suy thứ hai: đó là về bệnh nhân mắc bệnh lạ bị cách ly đằng sau tường kính. “Thiết bị của chúng tôi là vật tương đương của bức tường kính đó”.

Cái nhìn thứ hai

Ý tưởng về thiết bị thứ hai hoạt động như chướng ngại vật không mới. Các chuyên gia bảo mật thường thiết lập một máy tính đệm để tương tác với thế giới lớn hơn; nếu máy tính bị nhiễm, đơn giản là họ xóa sạch nó và cài đặt lại phần mềm. Nhiều nhà nghiên cứu cũng đã hiểu ý tưởng về hộp cát phần mềm – hay máy tính ảo – nằm ngay trong PC, theo Cheswick của AT&T cho biết. Điều khác biệt về phương pháp của InZero là nó cung cấp sự bảo vệ của một máy tính thứ hai thực, không phải chịu rắc rối của việc thường xuyên xóa nó. Thiết bị thực hiện nhiệm vụ này không lớn hơn 1 cuốn sách điển hình. “Chưa có bất kỳ ai khác có giải pháp như thế này trong phần cứng” Dorman của Telos khẳng định.

Shevchenko gọi tên công nghệ là XB, theo diễn đạt của người Nga thì tương đương kiểu chào bằng ngón giữa. Ông đã tìm thấy 1 nhà đầu tư tại Ukraine, đó là Alexander N. Dubrov, người có nickname: “Internet condom” (bao cao su Internet). Shevchenko nộp hồ sơ xin cấp bằng sáng chế và xây dựng 3 nguyên mẫu sản phẩm. Sau đó ông tổ chức 1 cuộc thi hacker, treo thưởng chiếc Harley-Davidson cho bất kỳ ai có thể xâm nhập hệ thống. Không ai làm được.

Alexander V. Pyntikov, một viên chức cải cách cao cấp của nhà nước Xô Viết nay đã chuyển sang kinh doanh, đã đánh hơi thấy công nghệ hứa hẹn này. Pyntikov đã giới thiệu Shevchenko với Hughes, cựu chủ tịch các hoạt động quốc tế của GM và Lockheed Martin. “Tôi rất đa nghi”, Hughes nhớ lại. “Vậy mà anh chàng trẻ tuổi này nói anh ta đã phát minh 1 máy tính hoàn toàn bảo vệ khỏi các cuộc tấn công”.

Hughes trở thành người tin tưởng sau khi ông sắp xếp 1 cuộc kiểm tra vào năm 2003 tại phòng thí nghiệm Ipswich của British Telecom và các nhà khoa học của công ty không thể bẽ gãy nó. Ông đã đưa Shevchenko đến Mỹ, đầu tư hàng triệu đô vào 1 công ty mới tại Mỹ, InZero, và trở thành CEO của nó, Pyntikov làm giám đốc điều hành còn Shevchenko làm giám đốc công nghệ (cái tên InZero ngụ ý rằng không kẻ xâm nhập nào có thể xâm phạm). Kể từ đó công ty đã đệ đơn xin cấp thêm bằng sáng chế và dành vài năm để đơn giản hóa các bước mà người sử dụng phải tuân theo để vận hành thiết bị. Phiên bản hiện tại có 4 vi xử lý và 60 triệu dòng mã phần mềm. “Nó là chiếc hộp nhỏ phức tạp”, Hughes nói.

Tại văn phòng, Shevchenko chứng minh virus dễ dàng thâm nhập máy tính được trang bị với những cập nhật phần mềm antivirus mới nhất và sau đó gửi lại thông tin như số thẻ tín dụng như thế nào. Nhưng virus này bất lực trước máy tính được trang bị với thiết bị InZero. Dù vậy, ông thừa nhận: “Giải pháp của chúng tôi không phải là thuốc trị bách bệnh”. Nó không bảo vệ chống lại cái gọi là tấn công từ chối dịch vụ, trong đó hàng loạt PC bị nhiễm các chương trình có thể “dội bom” 1 website bằng 1 cuộc tấn công kết hợp. Đối với hầu như mọi thứ khác, từ virus đến spyware, công ty tuyên bố công nghệ là một kẻ thay đổi cuộc chơi.

Một trong những đánh giá toàn diện nhất cho đến nay đã được thực hiện theo hợp đồng bởi escrypt, công ty bảo mật tại Ann Arbor, Mich. Escrypt quảng cáo công việc kinh doanh mới bằng cách tìm các lỗ hổng bảo mật và đưa ra cách sửa chữa, theo CEO André Weimerskirch cho biết. Vì thế thật thất vọng và ngạc nhiên khi một đội 4 người tấn công hệ thống của InZero trong hơn 2 tuần mà không phát hiện được lỗ hổng nào.

Bất chấp những cuộc kiểm tra thành công, InZero vẫn còn nhiều rào cản phía trước. Công ty phải chứng tỏ cho chính phủ Mỹ rằng các kỹ sư của nó, nhiều người sống tại Kiev, đã không xây dựng 1 cổng hậu để do thám. “Chúng tôi phải chứng minh rằng sẽ không có gì được báo cáo lại cho Putin”, Pyntikov nói. Chi phi và sự phức tạp cũng nằm trong đầu của Pyntikov. Công ty hy vọng tiếp thị một dòng thiết bị cho PC, máy chủ và toàn bộ các mạng, với mức giá khởi điểm vài trăm đô. Trong vòng hai hoặc ba năm, phần cứng có thể được nhúng vào laptop, cộng thêm tối thiểu 25 đô vào chi phí phần cứng, theo Pyntikov. Nếu người tiêu dùng và các công ty chịu đựng rắc rối trong việc mua và lắp đặt thiết bị, cuối cùng có thể có 1 cổng mà hacker không thể xộc vào.

Phá vỡ các bức tường Việc xử lý các cuộc tấn công mạng làm tiêu tốn của các công ty và chính phủ hàng tỷ đô mỗi năm đồng thời đe dọa an ninh quốc gia và nền kinh tế. Một số sự kiện gần đây: “Kneber botnet” Được đặt tên theo tin nhắn email khởi đầu nó, cuộc tấn công này đã ảnh hưởng đến 2411 công ty và 75 ngàn hệ thống máy tính trong 18 tháng, theo công ty bảo mật NetWitness. Nguồn được cho là từ 1 tổ chức tội phạm ở Đông Âu. Xâm nhập Google Các hacker đã tấn công tài khoản email Google của những nhà hoạt động nhân quyền Trung Quốc, sau đó công ty đã đe dọa rời khỏi Trung Quốc. Các cuộc tấn công rất tinh vi và đã xâm nhập không chỉ Google mà còn 34 công ty khác. Trộm thông tin Tháng 1/2009, hãng xử lý thẻ tín dụng Heartland Payment Systems phát hiện rằng các hacker đã đột nhập. Các nhà điều tra nói chúng có thể đã bẫy hàng triệu thẻ. Một năm sau Heartland đồng ý trả 60 triệu đô cho những công ty phát hành thẻ Visa và thẻ ghi nợ để giải quyết khiếu nại.

John Carey