iPhone là "gián điệp", có nên hốt hoảng?

Minh Lết | 24/04/2011 0:00 AM

Chiếc iPhone đang trên tay bạn là một tên gián điệp nguy hiểm? Có nên hốt hoảng hay không, khi mà niềm tin của bạn đang bị Apple phản bội?

Mấy năm gần đây, cứ dăm bữa nửa tháng chúng ta lại được nghe về một lỗ hổng an ninh mới trong chiếc smartphone mà bạn đang mang bên mình. Khi thì là việc chú dế yêu tỏ ra ngớ ngẩn và dễ dãi khi "vô tư" khai tuốt tuồn tuột thông tin về người sử dụng như tên tuổi, ngày tháng năm sinh, thậm chí là những dữ liệu quan trọng như số thẻ tín dụng, mật khẩu tài khoản email cho một "pháp sư xấu bụng" nào đó chỉ sau một vài tin nhắn có nhúng mã độc. Lúc lại là vụ chiếc smartphone của bạn "tự dưng" có thêm chức năng ... máy nghe trộm.

Chỉ với một tin nhắn để kích hoạt một con trojan "nằm vùng" sẵn trong máy, bên tấn công có thể ra lệnh cho chiếc điện thoại bạn đang để trong túi âm thầm quay số về một liên lạc do hắn chỉ định. Việc còn lại chỉ là nhấc máy lên và thoải mái nghe bạn tâm tình với người yêu, bàn thảo công việc với đối tác hay thậm chí là đang...chửi thề một mình. "Độc địa" hơn, bên tấn công chỉ cần chỉ định máy bạn gọi đến 1 số điện thoại VoIP ở nước ngoài, giữ kết nối...vài tiếng đồng hồ là đã có thể thỏa mãn nhìn bạn méo mặt khi nhận hóa đơn tiền điện thoại hàng tháng.

Máy tính thì rõ là đủ số Worm và Trojan để lập vài...sở thú. Nhưng smartphone liệu có an toàn hơn? Câu trả lời là không

Một "ứng dụng" khác của lỗ hổng này đó là kẻ tấn công có thể khiến điện thoại của bạn gửi những tin nhắn bậy bạ đến các số điện thoại có trong danh bạ, khiến cho bạn phải "điên đầu" tìm cách giải thích với bạn bè mình về tin nhắn rất vô văn hóa mà chiếc smartphone bạn đang mang "sáng tác" ra. Tất cả những sơ hở tôi vừa kể ở trên hoàn toàn không phải là chuyện viễn tưởng. Chúng đều là những lỗ hổng có thật, từng tồn tại trong Symbian S60 và Windows Mobile 5.0.

Nhưng nhìn chung, nếu như bạn có từng đọc đâu đó những thông tin về lỗ hổng bảo mật vừa kể ở trên, có lẽ chúng cũng dễ dàng trượt qua tâm trí bạn như gió thoảng ngoài tai. Bởi lẽ không phải ai trong chúng ta cũng có "cơ hội" gây thù chuốc oán với 1 tin tặc đủ khả năng khai thác các lỗ hổng đó.Vả lại, với thói quen tiêu dùng sử dụng tiền mặt là chính của người Việt Nam, có lẽ nguy cơ đến từ dân "hai ngón" trên xe bus sẽ lớn hơn rất nhiều so với những lỗ hổng "mà mắt thường không nhìn thấy được" trên miếng nhựa công nghệ cao mà bạn đang đút túi. Tin tặc Việt Nam, từ trước đến nay vẫn được đánh giá là khá "lành" đối với "thị trường nội địa". Các virus "nội địa" và hướng vào thị trường nội thường chỉ mang tính phá hoại, nghịch ngợm là chính mà không dấy lên những nghi ngại đáng kể về an ninh thông tin.

Nói thế có nghĩa là người Việt Nam nhìn chung hầu như "miễn nhiễm" với các lỗ hổng bảo mật trên nền tảng di động. Thế nhưng, gần đây, thông tin về việc iPhone đang âm thầm ghi lại các dữ liệu về lộ trình của người sử dụng đã đưa vấn đề ra một góc độ mới: Kể cả người Việt Nam cũng nên bắt đầu cảm thấy lo lắng về những phiền toái mà smartphone mang lại do hậu quả của những "lỗ hổng" vô tình hoặc...cố ý từ phía nhà sản xuất.

Đầu đuôi câu chuyện

Bạn có muốn mình bị theo dõi từng bước chân như thế này?

Thực ra để tóm tắt câu chuyện một cách ngắn gọn và dễ hiểu có lẽ chỉ cần nói : Nếu bạn đang dùng iPhone, iPad và các thiết bị chạy iOS 4 có sử dụng sóng 3G (iPod Touch và iPad Wifi không mắc lỗi này) thì tất cả những nơi mà bạn từng đi qua khi mang theo các thiết bị này, đều đã bị ghi lại, thời gian kèm tọa độ trên bản đồ. Và dữ liệu này được cung cấp...miễn phí cho những ai quan tâm, miễn là họ chạm được đến chiếc iPhone của bạn.

Nếu bạn chưa nhìn ra tính nghiêm trọng của vấn đề, xin hãy thử cân nhắc một ví dụ sau đây: Bạn trốn học đi chơi đá bóng, chiều về mẹ bạn nghi ngờ, thay vì phải gặng hỏi như trước đây, mẹ bạn chỉ cần yêu cầu bạn trình chiếc iPhone bạn đang mang bên người. Mẹ bạn cắm vào máy, và phát hiện ra ngay là bạn hôm nay không đến trường mà ra sân bóng, lộ trình được ghi lại trên chiếc điện thoại của bạn đã tố cáo bạn, và trở thành bằng chứng không thể chối cãi được. Phần hay nhất của câu chuyện? Bạn không thể làm cách nào để khiến chiếc iPhone ngây thơ của bạn im mồm được. Bạn không thể tắt được chức năng đó đi (vừa hôm qua người ta mới công bố công cụ tắt tính năng này của iPhone trên Cydia). Nói chung, lần sau nếu muốn nói dối, tốt nhất hãy để điện thoại ở nhà.

Điều khó chịu hơn là trước khi mọi việc bị phanh phui cách đây vài ngày, thì chiếc iPhone của bạn đã cần mẫn ghi lại những nơi bạn đã đi qua, bạn ở đấy bao lâu từ lúc nó được "đập hộp". 1 năm trời, và nhiều người sử dụng "tá hỏa" khi phát hiện ra rằng những thông tin vô cùng nhạy cảm này vẫn đang bị lưu lại và có thể bị người khác dễ dàng tra cứu.

Sao chuyện này lại xảy ra?

Đầu tiên tôi định viết câu hỏi trên là "Apple có biết hành vi này của iOS hay không?" Nhưng nhận ra đây là một câu hỏi quá ngớ ngẩn, tôi đã bỏ nó đi. Tất nhiên Apple biết về hành vi đó của các thiết bị chạy iOS, nói cho cùng, chính họ là người đã tích hợp nó vào trong hệ điều hành này, che giấu nó bằng cách để nó chạy "thầm lặng", không hề cảnh báo người sử dụng.

Tệ hại hơn nữa, Apple đã tỏ ra ý định "lách luật" rất rõ ràng trong cơ chế ghi chép: iOS có một cơ chế khiến cho tất cả các ứng dụng gọi chip GPS lên đều phải hiện một thông báo cho người sử dụng, cảnh báo và kiểm tra có phải họ thực sự muốn bật tính năng thu GPS của máy. "Luật" này của Apple nhằm chứng minh sự "minh bạch" của Apple khi so sánh với đối thủ Google, vốn có rất nhiều tai tiếng về quyền riêng tư của khách hàng (về việc này sẽ bàn tới trong phần sau của bài viết) . Nó nhằm ngăn chặn việc khách hàng sử dụng sản phẩm của Apple có thể bị người viết ứng dụng ngầm theo dõi lộ trình mà không được cảnh báo. Nói 1 cách đơn giản, nếu 1 ứng dụng có ý định ghi lại lộ trình của người sử dụng máy và gửi kết quả đó cho người phát triển ứng dụng, thì người sử dụng iPhone sẽ được cảnh báo và có quyền không cho phép ứng dụng hành xử như vậy.

Định vị tam giác nhờ sóng 3G, "vũ khí bí mật" của Apple

Tất cả các ứng dụng đều bị giới hạn khi sử dụng GPS, vì thế để đảm bảo việc ghi lại lộ trình của mình không bị người sử dụng phát hiện Apple sử dụng dữ liệu về vị trí bằng cách định vị tam giác thông qua sóng 3G. Về cách định vị này có thể hiểu nôm na như sau: khi 1 thiết bị nhận sóng 3G nằm trong vùng phủ sóng của 1 trạm BTS, nó sẽ nhận được các thông tin về vị trí của trạm BTS đó trên bề mặt trái đất dưới dạng kinh độ, vĩ độ. Và vì phạm vi phủ sóng của 1 trạm BTS đã được biết trước, ví dụ 1km chẳng hạn, thì có thể khẳng định rằng thiết bị đó đang nằm đâu đó trong 1 đường tròn có tâm là trạm BTS, và bán kính 1km.

Nghe có vẻ không chính xác lắm, nhưng nếu như điện thoại đó nhận được sóng của 2 trạm BTS thì chắc chắn máy điện thoại đó sẽ nằm trong vùng giao của 2 đường tròn vẽ từ 2 trạm. Số trạm BTS thực tế mà 1 máy điện thoại kết nối trong cùng 1 lúc có thể là 3,4 hoặc nhiều hơn. Vì thế độ chính xác của phương pháp định vị này tuy không đạt đến hàng mét như GPS, nhưng cỡ dăm ba chục mét đổ lại thì là điều hoàn toàn có thể.

Điều quan trọng đó là phương pháp này không hề gọi GPS lên, vì thế sẽ không "đánh động" đến người sử dụng, đồng thời tiêu thụ pin gần như không đáng kể. Tất cả những yếu tố trên đã khiến iPhone, iPad trở thành những "điệp viên" hoàn hảo. Ngay cả những chuyên gia công nghệ hàng đầu thế giới sử dụng iPhone trong cả năm trời cũng không thể ngờ được rằng chú dế yêu đang "đâm sau lưng chiến sĩ". Tất cả đều cảm thấy bất ngờ và thất vọng trước cách hành xử thiếu minh bạch này của Apple. Niềm tin mà khách hàng đặt vào Apple đã bị công ty này lợi dụng để phục vụ cho những toan tính riêng.

Apple cần những thông tin đó để làm gì?

Thực ra chuyện ghi lại những thông tin về vị trí của người sử dụng để phục vụ cho mục đích của các bên sản xuất smartphone cũng như cung cấp dịch vụ, phát triển phần mềm không phải là mới. Và "lá cờ đầu" trong mảng này không ai khác, chính là Google, gã khổng lồ tìm kiếm thường xuyên phải đối mặt với những vụ kiện cáo từ phía khách hàng về việc xâm phạm quyền riêng tư .Những sản phẩm như Google StreetView, Google toolbar, Gmail luôn là tâm điểm của sự chỉ trích về việc Google hoặc "vô tình" hoặc hữu ý xâm phạm quyền riêng tư của người sử dụng.

Và hệ điều hành Android cũng không phải là ngoại lệ. Google luôn có 1 tham vọng là trở thành cơ sở dữ liệu lớn nhất hành tinh, và họ sẽ không dừng lại cho tới khi đạt được mục đích: có được một hồ sơ chi tiết về tất cả hơn 6 tỉ người trên trái đất này. Và với quân "át chủ bài" Android đang ngày một lớn mạnh, và đặc điểm của smartphone là rất gần gũi với đời sống riêng tư của người sử dụng ( thử nghĩ đến những bức ảnh , đoạn nhật ký bạn viết trên điện thoại mà không công bố cho ai cả mà xem). Có thể nói cường điệu một chút rằng thông qua những chú robot xanh bé nhỏ, Google biết bạn còn rõ hơn bạn hiểu về bản thân mình.

Google rất tai tiếng với những vụ tiết lộ thông tin cũng như xâm phạm quyền riêng tư của khách hàng

Quay lại vấn đề chính: Apple và Google cần những thông tin về vị trí của người sử dụng để làm gì?

Câu trả lời rất đơn giản, ít nhất là với Google: Quảng cáo. Ai cũng biết lợi nhuận chính của Google đến từ quảng cáo. Các công ty muốn quảng bá sản phẩm hay dịch vụ của mình thuê Google hiển thị quảng cáo trên các website, "đồng bọn" của Google và trong kết quả tìm kiếm của Google Search. Nếu bạn từ thắc mắc về cách kiếm tiền của Google thì xin đừng tìm đâu nữa, đó chính là quảng cáo. Bạn có nhớ các "liên kết được tài trợ" hiển thị trong kết quả tìm kiếm trên Google, những mẫu quảng cáo nho nhỏ trên các website mà bạn vô tình ghé qua? Tất cả đều là sản phẩm của Google. Và nguồn thu chính của Android cũng là quảng cáo, quảng cáo trên thiết bị di động.

Những mẩu quảng cáo nho nhỏ thế này đã làm nên thành công của "gã khổng lồ"

Bây giờ hãy tưởng tượng thế này, bạn vừa bước chân vào một cửa hàng bán quần áo thời trang, lập tức chiếc điện thoại đang ngoan ngoãn trong túi bạn "tâu" về cho máy chủ quảng cáo của Google, sau đó bạn sẽ nhận được hàng loạt quảng cáo hấp dẫn về quần áo đại hạ giá trên điện thoại, dưới dạng các quảng cáo hiển thị trong ứng dụng cũng như trình duyệt. Nếu như bạn đang có nhu cầu mua sắm quần áo, rất có thể bạn sẽ dễ dàng bị các quảng cáo này "dụ dỗ" hơn nhiều so với lúc bình thường. Vậy là Google đã đạt được mục tiêu. Và như thế, chiếc điện thoại của bạn đã đóng vai trò "gián điệp" khi tiết lộ vị trí của bạn cho Google. Dù rằng mục đích có vẻ vô hại, nhưng sẽ rất nhiều người cảm thấy khó chịu khi bị "theo dõi" kiểu như thế.

Quảng cáo theo kiểu "phát tờ rơi" nghĩa là trình bày đại trà, tất cả mọi người đều y hệt như nhau trên toàn thế giới thì hiệu quả rất thấp. Chẳng han nếu quảng cáo cho những người ở Việt Nam một thứ hàng hóa bán ở Mỹ thì dù người xem có thích, cũng không hiệu quả, vì họ không thể mua được nó. Trong khi đó với các dữ liệu về vị trí của người xem do Android thu thập, thì Google có thể nâng cao khả năng "quảng cáo trúng đích" của mình.

Với Android, câu trả lời chỉ đơn giản như thế. Và với iOS câu trả lời cũng có thể chỉ cần ngắn gọn như vậy (và người viết cũng hi vọng rằng câu trả lời chỉ dừng lại ở đó). Thế nhưng sự thực là cách hành xử thiếu minh bạch của Apple trong vấn đề này gây nên rất nhiều lo ngại. Với kinh nghiệm là một người từng công tác "thâm niên" trong ngành an ninh thông tin,khi nói đến những vấn đề có liên quan tới thông tin riêng tư của khách hàng tôi có thể khẳng định rằng bất kỳ hành vi nào có vẻ "khả nghi" thì đều là ác ý.

Và những gì mà Apple đang thể hiện không thể chỉ đơn thuần mô tả bằng hai chữ "khả nghi" mà phải nói là "rành rành ý đồ xấu". Một công ty có thâm niên như Apple thừa hiểu rằng quyền riêng tư của khách hàng đáng ra phải là "bất khả xâm phạm". Họ hiểu như vậy, nhưng vẫn hành xử như thế, không có cách giải thích nào hợp lý hơn đó là Apple muốn sử dụng những dữ liệu đã được thu thập vào các mục đích khác, ngoài quảng cáo. Những mục đích đó là gì, thì hiện tại chưa một ai có thể kết luận được, nhất là với truyền thống "kín như mít" của Apple. Hãng cũng chưa có bình luận gì về sự cố này.

Nguy cơ tới đâu?

Tất nhiên mục đích của bài viết này của tôi không phải là để dọa dẫm các bạn đọc thân yêu của GenK. Càng không phải khuyến khích bạn bán hay "xử lý" ngay tên phản thùng bạn đang cầm trên tay. Mục đích của bài viết này là để bình luận về sự kiện trên và đưa ra các lời khuyên dưới góc độ của một người có kinh nghiệm trong lĩnh vực an ninh thông tin.

Và phải nói thẳng ra là nguy cơ thực sự từ hành vi này của các thiết bị chạy iOS thực ra cũng không quá lớn. Mặc dù rất nghiêm trọng nhưng xác suất để người khác truy cập được những thông tin này thực sư là không cao. Bởi vì các dữ liệu ghi lại lộ trình của người sử dụng được lưu trữ trong 1 file được ẩn giấu khá kĩ (lý do giải thích cho việc gần 1 năm trời không ai phát hiện ra nó) và mặc dù cơ sở dữ liệu lưu trữ các thông tin kể trên hoàn toàn không được mã hóa ở bất kì 1 cấp độ nào, nhưng việc truy xuất file đó cũng đòi hỏi quyền root. Mà iOS ở các máy nguyên bản không phân quyền này cho người sử dụng cũng như các ứng dụng của bên thứ 3.

Quyền root chỉ có thể cấp cho người sử dụng và các ứng dụng của bên thứ 3 khi điện thoại của bạn đã được jailbreak. Dù vậy, những đối tượng tin tặc cao tay hoàn toàn có thể khai thác phương pháp tấn công leo quyền tài khoản kết hợp đồng thời với lỗi mã thực thi (lỗi này tồn tại trong các bản iOS thấp hơn 4.1.x) để chiếm quyền root của máy và lấy được quyền truy cập vào file dữ liệu kể trên mà hoàn toàn không cần đụng đến chiếc điện thoại của bạn. Nói cách khác, sẽ có người đủ khả năng ngồi ở bên kia bán cầu mà vẫn biết được hôm qua bạn đã đi đâu, kể cả bạn chưa jailbreak chiếc iPhone của mình.

Nói một cách dễ hiểu: Nếu bạn chưa jailbreak , thì bạn hầu như miễn nhiễm với lỗ hổng này. Các dữ liệu được iPhone thu thập chỉ được lưu trữ trên điện thoại và sau đó là chuyển qua máy tính trong quá trình sync qua iTunes, Không có bất kì bằng chứng nào về việc các dữ liệu đó được gửi về cho Apple hay bất kỳ một bên thứ 3 nào khác. File dữ liệu đó chỉ đơn giản là tự tích tụ lại trên máy tính, thu thập và trở thành cả một cơ sở dữ liệu về lộ trình của bạn. Hiện tại thì có vẻ vô hại, nhưng vấn đề lớn nhất là không biết Apple sẽ sử dụng các file dữ liệu đó như thế nào, và nguy cơ nó bị người khác khai thác là vẫn có, nếu người đó đụng được vào máy tính của bạn. Nếu bạn đã jailbreak máy, thì tốt nhất đừng nên để cho ai đụng đến chiếc iPhone của bạn. vì việc truy xuất các dữ liệu này tương đối dễ dàng.

Nói vui, các "đối tượng" như bạn gái(mẹ, bố...) của bạn, nói chung là những con mắt tò mò có sự tiếp xúc gần gũi với bạn , những người có "nhu cầu" tìm hiểu "đêm qua con đi đâu" hay "sáng nay anh ở chỗ nào" . Nếu tất cả những nhân vật kể trên có một sự hiểu biết tương đối về iPhone chẳng hạn như biết cách jailbreak, biết cách duyệt file và tải dữ liệu ra vào iPhone, hoặc biết cách sử dụng...máy tính, thậm chí là nếu họ... thường xuyên đọc GenK thì nguy cơ từ lỗ hổng này với bạn... đặc biệt lớn. Thêm nữa, nếu bạn đang có "oán thù" với 1 hacker "tầm cỡ" thì tốt nhất nên xem xuống mục sau để tìm được phương án giải quyết vấn đê này.

Xử lý thế nào?

Có 2 phương pháp tương đối đơn giản mà bạn có thể làm được. Cách thứ nhất cho những ai chưa jailbreak: Khi cắm iPhone, iPad vào máy tính, iTunes sẽ bật lên, chọn Device rồi tìm phần Encrypt iPhone backup, tích vào ô đó , đánh mật khẩu mà bạn chọn để mã hóa. (nhớ mật khẩu này để sau còn restore lại được nếu cần). Bây giờ tất cả dữ liệu đồng hóa từ iPhone vào máy tính sẽ được mã hóa và người khác không thể đọc được nó nếu như không có mật khẩu Còn do iPhone của bạn chưa jailbreak nên việc lộ file đó từ điện thoại là rất khó.

Cách thứ 2 dành cho những ai đã jailbreak, đơn giản chỉ cần lên Cydia, tìm 1 app tên là Untrackerd. Cài app đó vào và bạn có thể hoàn toàn yên tâm, vì từ nay iPhone sẽ không còn theo dõi bạn từng bước một.

Thay cho lời kết

Apple đã nhận được sự tin tưởng tuyệt đối từ phía các iFans và việc họ ghi chép lại hoạt động của người sử dụng mà không thông báo, dù với mục đích gì, đã là một sự xúc phạm nghiêm trọng đến lòng tin đó. Apple nên chứng tỏ sự minh bạch của mình bằng cách đưa ra được câu trả lời hợp lý. Câu trả lời đó không chỉ là trả lời với người sử dụng, mà còn trả lời với danh tiếng mà hãng đã tạo dựng, với cả những người "không ưa" Apple.

Thực sự hi vọng trong thời gian tới, Apple có thể rút ra được bài học cho mình từ sự kiện này. Khách hàng là thượng đế, và các doanh nghiệp nên đối xử với khách hàng bằng sự tôn trọng cũng như chân thành, chứ không phải bằng cách lừa gạt hay giấu diếm. Khách hàng cũng nên ý thức được về quyền lợi của mình trong vụ việc này, và hiểu rằng Apple phải chịu trách nhiệm trước hành vi thiếu minh bạch này của mình. Khách hàng không nên sợ doanh nghiệp. Doanh nghiệp mới là bên cần phải thấy "sợ" khách hàng.

Xem thêm:

iPhone

Xem thêm