“Đóng” hay “mở” an ninh hơn

Nhữngtranh luận về việc các hệ thống thông tin dựa trên(các) hệ điều hành/ứng dụng nguồn đóng hay (các) hệđiều hành/ứng dụng nguồn mở là an ninh hơn có lẽ làcòn lâu, nếu không nói là sẽ không bao giờ có đượchồi kết.

Nhữnglý lẽ được đưa ra từ mỗi bên, dù là theo “mở”hay “đóng” nghe ra đều có vẻ có lý. Bên “đóng”thì cho rằng phải đóng thì mới đảm bảo an ninh, bímật, những kẻ xấu mới không biết và không thể tấncông, chứ cứ “mở” thì kẻ xấu sẽ biết được hếtmọi thứ và vì vậy sẽ gài mã độc vào trong các mãnguồn, đó là chưa kể tới những khiếm khuyết liênquan tới các yếu tố chuyên sâu về tổ chức, về quitrình phát triển an ninh hay công nghệ khác, ví dụ nhưthiếu sự kiểm soát đầu vào của mã nguồn hay logic ứngdụng hay bị lỗi. Còn bên “mở” thì cho rằng phảimở thì mới đảm bảo được an ninh, vì bất kỳkhiếm khuyết nào trong mã nguồn cũng sẽ bị hàng triệucon mắt soi mói của những người khác nhanh chóng tìm ravà khắc phục, còn những yếu tố chuyên sâu khác mà bênnguồn mở có, thì bên nguồn đóng cũng không chắc làkhá hơn, ví dụ như kiến trúc được thiết kế của hệđiều hành nguồn đóng ngay từ đầu đã là không phânchia theo các thành phần và khôngphù hợp cho môi trường mạng như hiện nay, nên cho dùcó vặn vẹo chỉnh sửa thế nào đi nữa thì cũng là vôích về phương diện đảm bảo an ninh khi làm việc trongmôitrường mạng toàn cầu như bây giờ. Hơn nữa, nhữngthứ “đóng” thì chẳng ai còn có thể phát hiện đượcgì, kể cả trong trường hợp người tạo ra nó có đểlại lỗi, các lỗ hổng an ninh hay vì bất kỳ lý do gì,không cập nhật và sửa lỗi thì người sử dụng sẽ“lĩnh đủ” và họ muôn đời sẽ phải phụ thuộc vàonhà cung cấp cái thứ “đóng” bí mật đó.

Nghethì có vẻ đều có lý, nhưng còn đúng hay sai thì chắcđó không phải là thứ mà thậm chí cả hầu hết cácchuyên gia công nghệ thông tin có thể tham gia tranh luậnsâu được, chứ đừng nói gì tới một người sử dụngbình thường. Nhưng có một cách khácđể biết thực sự “đóng” hay “mở” an ninh hơn làqua việc sử dụng các thệ thống thông tin trong các môitrường mang tính sống còn nhưvũ trụ, quân đội, tình báo, … vàđặc biệt nhất là trong các hệ thống thông tin phục vụkinh doanh tài chính chứng khoán và ngân hàng.

Xu thế các hệ thốngthông tin của các thị trường chứng khoán chuyển sangGNU/Linux

Mộtđiều chắc chắn là chính các hệ thống thông tin củathị trường chứng khoán là nơi kiểm nghiệm giải phápcông nghệ nào, “đóng” hay “mở”, là ưu việt hơn.Đơn giản là vì ở đó, người sử dụng - các nhà đầutư chứng khoán - những người kiếm tiền với những đòihỏi về tốcđộ nhanh nhất, an ninh và độ tin cậy cao nhất cóthể được. Dưới đây là một vài thông tin mà ngườisử dụng máy tính thông thường dễ dàng cảm nhận được.

Từnăm 2007, thị trường chứng khoán số 1 thế giới là NewYork (NYSE) đã đầu tư mạnh mẽ vào các hệ thống nguồnmở dựa trên GNU/Linux để thaythế cho các hệ thống dựa trên Unix.

Cũngnhư vậy, trong năm 2007, thị trường chứng khoán đứnghàng thứ 2 thế giới là Tokyo, cũng đã quyếtđịnh sử dụng GNU/Linux làm nền tảng cho hệ thốngthông tin của mình.

Thịtrường chứng khoán được cho là đứng thứ 3 thế giớilà Luân Đôn trong năm 2009 cũng vừa quyết định từ bỏhệ thống thông tin “đóng” dựa vào hệ điều hànhWindows và công nghệ .NET để chuyểnsang GNU/Linux, với dự kiến quá trình chuyển đổi sẽđược thực hiện xong hoàn toàn trong vòng 18 tháng tới.

Ngoàicác thị trường chứng khoán hàng đầu kể trên, trongtổng số 161 thị trường chứng khoán trên thế giới, cólẽ trong đó có tính tới thị trường chứng khoán củaViệt Nam, thì hàng loạt các thị trường chứng khoánhàng đầu khác cũng đã và đang sử dụng các hệ thốngthông tin chạy trên các hệ điều hành phần mềm tự donguồn mở GNU/Linux như Eurex (Thị trường chứng khoánchâu Âu), Xetra (Đức), Ailen, Thượng Hải... và làn sóngchuyển đổi sang các hệ thống GNU/Linux vẫn đang tiếpdiễn.

Vìsao lại có sự chuyển dịch của các thị trường chứngkhoán sang các hệ thống chạy GNU/Linux?

Câutrả lời nằm ở chỗ, rằng các phần mềm chứng khoándựa trên nền tảng của hệ điều hành tự do nguồn mởGNU/Linux có thể dễ dàng thực hiện được 1 triệu giaodịch buôn bán trong vòng 1 giây đồng hồ, nên những yêucầu về số lượng hiện được cho là khổng lồ cácgiao dịch buôn bán của thị trường chứng khoán New Yorkcũng trở nên nhỏ bé so với khả năng mà một hệ thốngdựa trên GNU/Linux có thể đáp ứng được.

Nếunhư với hệ thống cũ dựa trên Windows/.NET của thịtrường chứng khoán Luân Đôn (LSE) có tốc độ giao dịchlớn nhất về lý thuyết có thể đạt được là 2,7 miligiây, thì hệ thống mới chạy trên GNU/Linuxđạt được là 0,4 mili giây, nghĩa là nhanh hơn gần gấp7 lần. Trong khi về hiệu quả kinh tế, nếu như hệ thốngcũ có chi phí hàng năm là 65 triệu USD, thì hệ thống mớichỉ có giá là 30 triệu USD và các chuyên gia dự kiếnrằng việc chuyển sang GNU/Linux sẽ tiết kiệm được giáthành hàng năm ít nhất là 14.7 triệu USD từ 2011-2012. Hơnnữa, công nghệ mới này là nhẹ hơn, lanh lẹ hơn, dễdàng hơn nhiều trong việc cài đặt và cũng sẽ cho phépđưa ra các phiên bản cập nhật nhanh hơn, theo ý kiếncủa các chuyên gia.

Cònvề an ninh và độ tin cậy thì sao? Nếu như các thịtrường chứng khoán sử dụng các hệ thốngdựa trên GNU/Linux không hề có báo cáo nào về những sựcố kỹ thuật đáng tiếc xảy ra, thì LSE vào tháng 9/2008đã từng gặp sự cố kỹ thuật và bịsập trong thời gian 7 giờ đồng hồ, gây thiệt hạilớn cho các nhà đầu tư chứng khoán, các công ty niêmyết và bản thân thị trường chứng khoán này.

Môitrường kinh doanh ngân hàng trực tuyến ô nhiễm nặng

Theohãng máy tính chuyên về an ninh McAfee, chỉ riêng trong năm2008, số lượng các cuộc tấn công sử dụng các phầnmềm độc hại để thâm nhập hoặc gây hại cho các hệthống thông tin, máy tính đã tăng 500% và tương đươngvới tổng cộng tất cả các cuộc tấn công của 5 nămtrước đó cộng lại. Trong số cáccuộc tấn công đó, thì có tới 80% có động lực vềtài chính, khi những kẻ tấn công có chủ đích sử dụngcác thông tin và dữ liệu cá nhân của người sử dụngđể ăn cắp tiền trong các tài khoản của họ tại cácngân hàng, trong khi 20% các cuộc tấn công còn lại là vìcác lý do khác có liên quan tới các vấn đề như tôngiáo, gián điệp thông tin hoặc khủng bố chính trị.

Theomột báo cáo của IBM thì chỉ trong nửa đầu năm 2009, sốlượng các liên kết tới các trang web độc hại đã tănghơn 500% và chúng đã lan tới cả những site rất đángtin cậy như các máy tìm kiếm, tạp chí trực tuyến vàcác site thông tin dòng chính thống của các chính phủ,chứ không chỉ nằm trong các site như đánh bạc hay khiêudâm nữa. Nổi bật nhất là virus trojan có tên là CLAMPI,một loại virus chỉ dành riêng cho các máy tính chạyWindows, với các biến thể của nó như Ligats hoặcIlomo - đã từng có từ năm 2005, nhưng phiên bản mớicủa nó có khả năng lây nhiễm nhanh hơn, chiếm tới 55%tất cả các phần mềm độc hại mới trong nửa đầunăm 2009. Điều đặc biệt là CLAMPI tập trung vào các hệthống ngân hàng trực tuyến và gây ra hàng loạt các vụăn cắp tiền đối với rất nhiều khách hàng là các cánhân, doanh nghiệp, các trường học tại Mỹ, Anh và cóthể cả ở những quốc gia khác nữa.

Một chuyên gia chuyênđiều tra bọn tội phạm có tổ chức từng ăn cắp hàngtriệu USD từ các doanh nghiệp vừa và nhỏ trên khônggian mạng đã giải thích trong một bài viết trên tờ Bưuđiện Washington rằng thựctế tất cả các phần mềm độc hại ăn cắp dữ liệuhiện có ngày nay được xây dựng để tấn công các hệthống Windows, và chúng đơn giản là khôngthể chạy được trên các máy tính không phải làWindows.Hơn nữa, phần mềm độc hại dựa trên Windows được sửdụng trong mỗi cuộc tấn công trực tuyến gần đâychống lại các doanh nghiệp lại quá tinh vi phức tạp nênchúng làm cho các ngân hàng cực kỳ khó khăn trong việcphân biệt đâu là các giao dịch được thực hiện bởicác khách hàng của họ và đâu là các hoạt động củabọn tin tặc mà chúng đã tấn công các máy tính cá nhâncủa các khách hàng.

Mộtsự việc thú vị khác là đươngkim giám đốc của Cục Tình báo Liên bang Mỹ FBI cũnglà nạn nhân của bọn tin tặc khi bọn chúng, thông quaphising (một cách gây lây nhiễm phần mềm độc hại quaviệc nháy vào một đường liên kết không an toàn trongthư điện tử hoặc thông điệp tức thì – chat), đãmưu toan thu thập các thông tin cá nhân nhằm mục đích ăncắp tiền trong tài khoản của ông và gia đình ông, chodù ông đã sử dụng các dịch vụ như thế này từ 10năm nay.

Biệnpháp ngăn chặn hữu hiệu

Vịchuyên gia của tờ Bưu điện Washington vừa được nêu ởphần trên khuyếncáo người sử dụng đừng có dùng Microsoft Windows khitruy cập tài khoản ngân hàng trực tuyến của họ.

Trungtâm Chia sẻ và Phân tích Thông tin các Dịch vụ Tàichính, một diễn đàn về an ninh của lĩnh vực tài chínhtrực tuyến, một nhómcác nhà công nghiệp được hỗ trợ bởi một số ngânhàng lớn nhất thế giới,thì khuyến cáo những người sử dụng hãy triển khai tấtcả các hoạt động ngân hàng trực tuyến từ một máytính đứng riêng rẽ, được tăng cường, và hãy khóacác máy tính để từ đó việc duyệt thư điện tử vàWeb là không thể thực hiện được.

Cũngy như vậy, một thanh tra thuộc một đơn vị thanh tra tộiphạm máy tính của cảnh sát bang New South Wales (NSW) củaÚc, nhân danh chính quyền bang này, tại một cuộc điềutrần công khai diễn ra vào đầu tháng 10/2009 về tộiphạm không gian mạng ở Sydney, với sự tham gia của cảcác nghị sĩ quốc hội nước này và đại diện của cáchãng máy tính như Microsoft và McAfee (hãng chuyên cung cấpcác giải pháp an ninh và chống virus), đã đưa ra tuyên bốcông khai rằng người tiêu dùng muốn kết nối an toàntới các dịch vụ ngân hàng trực tuyến trên Internet thìhọ phải sử dụng GNU/Linux hoặc Apple iPhone, và cụ thểhơn là phải áp dụng 2 nguyên tắc để tự bảo vệ mìnhkhỏi bọn tội phạm không gian mạng khi thực hiện cácdịch vụ ngân hàng trực tuyến. Nguyên tắc đầu tiên làkhông bao giờ nháy vào các đường siêu liên kết dẫntới các website ngân hàng và nguyên tắc thứ hai là khôngsử dụng Microsoft Windows. Viên thanh tra này còn khuyếncáo sử dụng một đĩa khởi động GNU/Linux, ví dụ như,đĩa Live CD Ubuntu hoặc một số phát tán GNU/Linux khác nhưPuppy chẳng hạn. Bằng cách này, người sử dụng sẽ cóđược sự khởi động một hệ điều hành sạch sẽ, cókhả năng làm việc được chỉ trong bộ nhớ của máytính và khi máy tính tắt, thì tất cả những gì trong bộnhớ máy tính cũng sẽ bị xóa sạch. Chính vì vậy, đâylà cách an toàn tuyệt vời để làm việc với các dịchvụ ngân hàng trực tuyến. Ông khẳng định rằng nếungười sử dụng tuân thủ theo khuyến cáo này, thì anninh trong việc thực hiện các dịch vụ ngân hàng trựctuyến sẽ đạt được là 100%.

Mộtsố chuyên gia công nghệ thông tin thì cho rằng việc côngbố một cách công khai như vậy được ví như việc phávỡ sự im lặng đáng sợ bấy lâu nay về vấn đề anninh của hệ điều hành Windows và khuyến khích các ngânhàng có các dịch vụ ngân hàng trực tuyến hãy bắt đầucảnh báo cho mọi người bỏ Windows như cảnh sát Úc đãlàm vì lợi ích của khách hàng của họ, và suy cho cùng,cũng là vì lợi ích của chính các ngân hàng.

Kếtluận

Quanhững sự việc ở trên, người sử dụng chắc sẽ cóđược nhận thức tốt hơn về những gì có liên quan tớiviệc kinh doanh trực tuyến hiện nay của các hệ thống“đóng” hoặc “mở”, đâu là nơi có thể đáp ứngđược tốt nhất cho người sử dụng những điều kiệnvề tốc độ nhanh nhất, an ninh và độ tin cậy cao nhất,để họ có thể lựa chọn đúng đắn cho bản thân vềcác hệ thống mà họ mong muốn tham gia sử dụng vì lợiích của chính bản thân họ, và cả về những công cụmà họ mong muốn sử dụng hàng ngày ở công sở cũng nhưở nhà để tiến hành các công việc của họ một cáchcó hiệu quả nhất.

Đốivới các công ty chứng khoán và các ngân hàng, thì nhữngsự việc này cũng sẽ là những bài học để họ có thểlựa chọn ra được những giải pháp thực sự tốt chohệ thống công nghệ thông tin phục vụ cho các khách hàngcủa họ được nhanh nhất, an ninh và độ tin cậy caonhất, những thứ vừa là mục tiêu và vừa là sự sốngcòn của chính những doanh nghiệp này.

Hyvọng rằng, sự lựa chọn của đa số họ cũng sẽ hòavào cái xu thế chung của cả thế giới là chuyển đổisang các phần mềm tự do nguồn mở như đối với cácthị trường chứng khoán và các ngân hàng trực tuyếnđược nêu trong bài viết này.

Nhìnxa hơn đối với một quốc gia như Việt Nam, thì sự dịchchuyển sang các hệ thống “mở”, suy cho cùng, là đểkhẳng định được chủ quyền quốc gia đối với hạtầng các hệ thống thông tin trong kỷ nguyên số, nơi màvấn đề đảm bảo an ninh không gian mạng là nóng bỏnghiện nay và được coi như việc đảm bảo an ninh cho mộtdạng đường biên giới mới của quốc gia, mà bất kỳai xâm phạm tới nó cũng đều được coi như việc xâmphạm tới chủ quyền của quốc gia vậy.

TrầnLê

PS:Bài được đăng trên tạp chí Tin học và Đời sống sốtháng 12/2009, trang 68-70.