“Hình ảnh” mới của HVA và lời mời từ doanh nghiệp

“Hình ảnh” mới của HVA và lời mời từ doanh nghiệp
Echip số 22 năm 2003 

ĐĂNG KHOA
Sáng chủ nhật 13/7, tại Lầu II, Nhà hát Bến Thành (TPHCM), lần đầu tiên một nhóm thủ lĩnh tối cao của HVA (Tổ chức An ninh Mạng, HVA - Hacker Vietnam Association) tuyên bố công khai: HVA, với khoảng 30.000 thành viên, nay chuyển sang hướng hoạt động tư vấn bảo mật cho các tổ chức và doanh nghiệp.
Anh Mai Trọng Cường, biệt danh “kh0aimi”, người quản trị cao cấp của website HVA (www.vnhacker.org) nói: ‘’Được sự ủng hộ của e-CHÍP đối với thiện chí của HVA muốn phục vụ cộng đồng, chúng tôi làm việc này hoàn toàn tự nguyện, với thiện ý giúp mọi người bảo mật thông tin tốt hơn, không đòi hỏi bất kỳ khoản thù lao hay quyền lợi nào cho riêng mình’’.
Thay màu mũ...
Trong cái ngày 13/7 “lịch sử” ấy của phong trào hacker Việt Nam, sự rẽ ngoặt theo hướng tích cực của HVA đã mang tới một số tham luận về bảo mật thông tin mạng máy tính rất đáng chú ý. Chưa kể một số “trùm” là quản trị website HVA bay từ Hà Nội vào, đã có cả hai “thủ lĩnh” từ nước ngoài bay về: “The Sun” Triệu Trần Đức, quản trị website HVA, đang du học ở Phần Lan, cùng “Trungonly” Phan Thái Trung (còn có hai biệt danh nữa là “caothuvolam”, “langtuhaohoa”) - một trong những người sáng lập phong trào hacker ở Việt Nam từ thuở ban đầu, hiện là người quản trị cao nhất website VietHacker, sinh viên du học ở Pháp.	MỘT SỐ “THỦ LĨNH” CỦA HVA (NGỒI Ở HÀNG ĐẦU).
“The Sun” giới thiệu về hệ thống phòng thủ mạng của máy chủ HVA (đặt ở Nhật Bản), nêu rõ: Với tư cách là máy chủ lưu trữ trang web của một diễn đàn về an ninh mạng lớn nhất tại Việt Nam, máy chủ của HVA luôn là mục tiêu tấn công của rất nhiều kẻ phá hoại. Mọi kiểu tấn công, mọi cách khai thác lỗ hổng bảo mật đều đã và đang được đem ra “thử nghiệm” với HVA bởi nhiều thành phần khác nhau. Mỗi khi trên thế giới xuất hiện một cách khai thác lỗi bảo mật mới với mức độ tàn phá cao, HVA luôn là đích ngắm đầu tiên của những kẻ phá hoại. Trung bình mỗi ngày trôi qua, có thêm hàng chục đợt tấn công với mục đích tìm cách xâm nhập máy chủ của HVA. Những cuộc tấn công diễn ra dưới đủ mọi hình thức với cấp độ nguy hiểm khác nhau và bởi những kẻ tấn công có trình độ cũng rất khác nhau. Thậm chí từ khi e-CHÍP số 21 công bố nội dung và địa điểm cuộc hội thảo phối hợp với HVA tổ chức, các cuộc tấn công vào website HVA càng tăng lên gấp bội...
Vậy tại sao HVA luôn đứng vững, giữ được “sân chơi” - một diễn đàn cho gần 30.000 thành viên tham gia trao đổi 24/24 giờ? Và đây là mục tiêu của bài tham luận của “The Sun” khi anh tuyên bố: “HVA giới thiệu hệ thống phòng thủ mạng của chính mình không phải để “tự hào” về một hệ thống “bất khả xâm phạm”. Không có một hệ thống nào là không thể bị đột nhập và điều khiển. Nghiên cứu và áp dụng các biện pháp phòng chống thích hợp, đồng thời nghiên cứu về hệ thống phòng thủ mạng của HVA, chúng tôi muốn đưa mọi người đến một quan điểm mới về an ninh mạng: Tuy không thể xây dựng được một hệ thống hoàn hảo, chúng ta luôn có thể xây dựng một hệ thống phòng thủ mạng “gần như hoàn hảo”. Nếu hệ thống phòng thủ mạng của HVA một ngày nào đó giúp ích được nhiều cho xã hội nói chung và cộng đồng Internet Việt Nam nói riêng, ngày đó là ngày HVA cảm thấy mình đã đi đúng con đường của mình, con đường vì một cộng đồng Internet Việt Nam vững mạnh và an toàn”!
Tâm nguyện ấy sẽ giúp xã hội và cộng đồng công nghệ thông tin (CNTT) Việt Nam từ nay nhìn ra màu mũ của những hacker HVA: Họ đang chuyển thành những “mũ trắng”!
Tâm sự HVA?
Anh Nguyễn Huy Giáp, biệt danh “$$$”, một quản trị của website HVA, đã trao đổi với cử toạ về ‘’Nhận thức đối với bảo mật thông tin’’: Mọi người cần có nhận thức đúng về bảo mật thông tin, điều quan trọng đầu tiên để có thể trở nên an toàn hơn trong một thế giới được kết nối. Theo Giáp, “hiểu mà làm thì hơn là sợ mà làm”. Nói cách khác, bảo mật thông tin bắt đầu từ nhận thức.
Một tham luận khác của HVA, do anh Nguyễn Minh Thắng (biệt danh “UFO”) đã xoáy vào đề tài “Hệ thống bảo mật trong các ứng dụng web’’. Anh chàng hacker trẻ tuổi này, hiện là Phó chủ tịch Hội đồng quản trị một công ty đầu tư tại Hà Nội, đã nhận xét: Hiện nay, tại Việt Nam chưa có chương trình học về bảo mật máy tính trong hầu hết các trường học. Các sách dạy lập trình không dạy về các kỹ thuật lập trình an toàn, bảo mật. Hầu hết các lập trình viên không phải là những người làm về bảo mật. Còn rất nhiều phần mềm “cổ lỗ” có nhiều lỗ hổng bảo mật. Hầu hết khách hàng không quan tâm đến bảo mật... Trong khi đó, Thắng “UFO” cũng khuyến cáo các doanh nghiệp có mạng máy tính: Chính “gót chân Achilles” của hầu hết các mạng ở Việt Nam lại là các ứng dụng web. Trong khoảng vài năm trở lại đây, số lượng các lỗ hổng bảo mật của các trình ứng dụng web được công bố tăng lên một cách đáng kể. Hơn 65% các cuộc tấn công được thực hiện qua cổng 80 của TCP, cổng “truyền thống” của web. Các kiểu tấn công web phổ biến là XSS (Cross Site Scripting), SQL Injection, Path Tranversal và Path Disclosure, Buffer Overflow, DoS. Theo Thắng, bảo mật trong ứng dụng web cũng quan trọng không kém bảo mật trong hệ thống mạng và hệ điều hành.
Chưa hết, HVA còn đưa ra một tham luận cũng thu hút sự chú ý hết cỡ của các đại biểu cả hội trường im phăng phắc): “Tổng kết về các cuộc tấn công vào website và server của Việt Nam từ năm 2001–2003”, do hacker trẻ Dương Ngọc Thái, biệt danh “MRRO”, sinh viên năm thứ nhất Khoa Công nghệ thông tin trường Đại học Bách khoa TP.HCM trình bày (xem bài ở trang 19, e-CHÍP số này). Theo “MRRO”, trong hai năm qua, nhiều website và server của Việt Nam đã liên tục phải gánh chịu những cuộc tấn công của hacker vì “mức độ bảo mật của Việt Nam là kém”. Và anh chàng buông ra một câu nói, nhẹ nhàng nhưng rất có “trong lượng”: Công tác bảo mật ở các website và server của Việt Nam mới chỉ dừng ở việc... “thủng đâu bịt đó, bởi chúng ta chưa có luật và quy chế về bảo mật thông tin mạng máy tính”!
Và những lời mời hợp tác
Đặc biệt, phần lớn các website thương mại điện tử ở Việt Nam hiện nay chưa thực hiện giao dịch trực tuyến. Nhiều doanh nghiệp không yêu cầu khách hàng nhập số thẻ tín dụng hoặc séc trên web, vì thế họ cho rằng không cần phải quá quan tâm đến bảo mật. Họ nghĩ rằng trường hợp bị tấn công, thì cùng lắm hacker cũng chỉ thay đổi nội dung trên trang chủ nhằm “gây ấn tượng” mà thôi, chứ không thể đánh cắp thẻ tín dụng hoặc bất cứ thứ gì trên máy chủ. Nhưng nếu nhìn xa hơn, khi đất nước ngày một phát triển, các doanh nghiệp sẽ không thể chỉ “bế quan tỏa cảng” mà phải thực hiện giao dịch với các đối tác trên thế giới. Họ sẽ phải tham gia thực sự vào thế giới Internet và thương mại điện tử. Họ sẽ phải quảng bá hàng hóa trên website để các đối tác trên thế giới có thể tìm hiểu, và nhu cầu giao dịch trực tuyến sẽ nảy sinh. Đi đôi với nó là vấn đề bảo mật.
Trả lời câu hỏi vì sao nay đa số các thành viên của HVA đều nhất trí chuyển hướng sang làm công tác bảo mật, Mai Trọng Cường “kh0aimi” khẳng định: Chúng tôi cũng ý thức được rằng hành vi phá hoại là sai trái và không thể tồn tại lâu được. “Định hướng của chúng tôi nay là bảo mật, về hacking – tấn công, xâm nhập mạng máy tính nhưng là hack để chống các hacker chứ không phải hack để phá hoại”!
Nếu như trên thế giới, người ta đang có xu hướng tuyển dụng các hacker vào làm công tác bảo mật cho doanh nghiệp thì ở Việt Nam hiện nay, điều này hãy còn quá mới mẻ? Cũng vì vậy mà hội thảo lần này do e-CHÍP và HVA phối hợp tổ chức đã bắc một nhịp chiếc cầu nối, giúp các doanh nghiệp và các hacker “mũ trắng” có thể tìm được một tiếng nói chung.
Đã có những tín hiệu tích cực từ phía nhiều doanh nghiệp (xin xem phần ghi chép “Bên lề Hội thảo”, các trang 20-21 ở số này).
Trả lời một số câu hỏi trong phần giao lưu ở hội thảo và phỏng vấn của một số báo lớn ở TP.HCM, anh Hữu Thiện – Trưởng Nhóm Truyền thông CNTT e-CHÍP nhấn mạnh: “Chúng tôi không đơn giản nhìn và đưa tin, viết bài về “thế giới ngầm” của các hacker Việt Nam như là trong đó chỉ có toàn những “bọn tin tặc”. Chúng tôi phân tích rất rõ những hành động nào các bạn làm là không đúng, những hành động nào các bạn làm là có khả năng đóng góp cho cộng đồng CNTT nước nhà...”.
Báo Sài Gòn Giải Phóng, số ra ngày 15/7, đã có bài viết rất hay với cái tựa thật ý nghĩa: “Đội mũ trắng cho các hacker Việt Nam”. Tuy vậy, anh Hữu Thiện lại cười: “Rất cám ơn các bạn đồng nghiệp về bài viết và cái tựa ấy. Tuy vậy, sự thực thì chính các bạn hacker của HVA tự thay màu mũ của họ đó thôi, chứ e-CHÍP làm sao mà có “đũa phép” để úm ba la đổi màu mũ của họ. e-CHIP luôn muốn khơi gợi tính hướng thiện của tất cả các bạn trẻ có khả năng nói chung chứ không riêng gì các hacker, nhằm mục tiêu phục vụ cộng đồng một cách vô vụ lợi”.
Và anh cũng bật mí: Sắp tới, e- CHÍP sẽ phối hợp với một cơ quan chức năng tại TP.HCM để tổ chức một khóa huấn luyện về bảo mật thông tin mạng máy tính cho khoảng 200 doanh nghiệp có xúc tiến thương mại điện tử. Khoá huấn luyện này hy vọng sẽ được Liên Hiệp Quốc tài trợ...
Khi tôi viết bài này, đại diện Chi nhánh Cần Thơ của Phòng Thương mại và Công nghiệp Việt Nam (VCCI) đã gọi điện thoại lên để tái khẳng định: Chi nhánh VCCI này mong sớm được phối hợp để mở hội thảo về bảo mật cho hơn 400 doanh nghiệp ở Cần Thơ...
Những tín hiệu phản hồi của buổi đầu như thế quả thật là đáng mừng, phải không bạn?
Hacker - những người có khả năng xâm nhập vào các hệ thống mạng máy tính thông qua các lỗ hổng phần cứng và phần mềm, lại tự chia theo các xu hướng chính và tà – hắc và bạch đạo.
Có những hacker sau khi xâm nhập vào một máy tính chỉ dạo chơi một vòng rồi “rút êm”.
Có những hacker đánh cắp dữ liệu để trục lợi, thậm chí xóa các dữ liệu trên máy tính, đánh sập các website.
Thế nhưng cũng có những hacker sau khi phát hiện ra các lỗ hổng trong hệ thống máy tính thì lập tức báo lại ngay cho người quản trị để “vá” lỗ hổng đó.
Các hành vi này của giới hacker đã được phân loại bằng những hình ảnh rất “văn học”: mũ trắng (hành vi có tính hướng thiện), mũ xám (xâm nhập chơi cho vui), và mũ đen (xâm nhập để trục lợi và phá hoại).