Bình thường Facebook đã chọn cách xem xét các yêu cầu dữ liệu của người dùng, theo cách thủ công mà không sàng lọc địa chỉ email của người dùng yêu cầu quyền truy cập vào các cổng thông tin, vốn chỉ dành cho các cơ quan thực thi pháp luật.

Bất kỳ ai có địa chỉ email đều có thể truy cập vào các cổng thông tin thực thi pháp luật của Facebook, nó được thiết kế để các nhân viên thực thi pháp luật gửi yêu cầu liên quan đến dữ liệu người dùng.

Việc truy cập vào cổng thông tin cung cấp nội dung phạm tội không cấp cho mọi người quyền truy cập vào bất cứ thông tin nào của người dùng cũng như bất kỳ thông tin nhạy cảm nào của công ty. Nhưng các cổng này không được thiết kế để lọc đia chỉ email theo bất kỳ phương pháp nào, vậy nên nó mở ra cánh cửa cho những kẻ gửi thư rác tự do truy cập các cổng và gửi các yêu cầu giả mạo.

Địa chỉ để cảnh sát yêu cầu Facebook cung cấp dữ liệu

Tuần trước, nhà nghiên cứu bảo mật Jacob Riggs đã phát hiện ra rằng anh ta có thể truy cập vào hai cổng thông tin cung cấp nội dung phạm tội  để yêu cầu Facebook cung cấp dữ liệu bằng bất kỳ địa chỉ email nào. Tất cả những gì anh ta cần làm là nhập địa chỉ email của mình, rồi gửi nó đến cổng thông tin, sau đó nhấp vào liên kết xác nhận mà anh ấy nhận được trong hộp thư đến của mình.

Sau khi làm điều đó, anh ta có thể yêu cầu quyền truy cập dữ liệu người dùng bằng các thông tin bên dưới.

RIggs đã báo cáo vấn đề này với Facebook, và cho rằng đó là do một lỗi thiết kế cần được sửa chữa. Tuy nhiên, Facebook đã nói với Riggs rằng đây là một tính năng, không phải lỗi (câu này nghe quen quen).

“Các nhóm chuyên dụng từ Facebook đã xem xét cẩn thận từng yêu cầu thực thi pháp luật để đảm báo chúng tôi chỉ phản hồi các quy trình pháp lý hợp lệ theo yêu cầu của luật hiện hành. Mặc dù, chúng tôi luôn duy trì các chính sách để ngăn chặn việc lạm dụng spam đối với hệ thống yêu cầu trực tuyến, nhưng chúng tôi chọn việc cho phép mọi người đều có quyền gửi yêu cầu vì chúng tôi sẽ tiến hành xem xét thủ công mọi yêu cầu đến với công ty của chúng tôi”, người pháp ngôn của Facebook cho biết trong một tuyên bố. “Trong trường hợp khẩn cấp, các yêu cầu liên quan đến các trường hợp khẩn cấp trong thời gian thực sẽ được chúng tôi xem xét kỹ lưỡng hơn việc yêu cầu truy cập thủ công bằng các miền email khong quen thuộc như miền email mà nhà nghiên cứu bảo mật đã sử dụng”.

Người phát ngôn nói thêm rằng hệ thống từ chối một số miền email và có các quy tắc khác để chặn thư rác. Nói cách khác, Facebook sẽ cho phép ai cũng có thể yêu cầu Facebook cung cấp dữ liệu và sau đó kiểm tra xem nó có thật và hợp pháp hay không, hơn là việc chặn họ bằng hệ thống tự động hoặc yêu cầu các bên thứ ba đăng ký.

“Tôi đoán nó tương tự như đứa trẻ vị thành niên đang cố vào hộp đêm vậy. Xác thực cơ bản của họ là nhân viên sàng lọc khách hàng ở lối vào. Nếu đứa trẻ vị thành niên bằng cách nào đó vào được, họ sẽ không coi đó là vấn đề an ninh, vì quán bar vẫn sẽ kiểm tra ID của họ khi họ cố gắng gọi rượu”, Riggs nói. “Trong bối cảnh này, họ có vẻ tự tin rằng nhân viên quán bar của họ sẽ nhận ra đâu là ID giả”.

Trong mọi trường hợp, cả cổng thông tin của Facebook đều có ghi chú để ngăn chặn những kẻ có khả năng gửi thư rác, cảnh báo họ rằng chỉ “các tổ chức chính phủ được phép mới có thể thu thập bằng chứng liên quan đến thủ tục pháp lý chính thức” mới được phép gửi yêu cầu.

“Các yêu cầu trái phép sẽ bị truy tố”, ghi chú viết. “Bằng cách yêu cầu quyền truy cập, bạn đã thừa nhận rằng bạn là một quan chức chính phủ đưa ra yêu cầu với tư cách chính thức”.

Ngoài việc yêu cầu Facebook cung cấp dữ liệu, cơ quan công an cũng sẽ truy tìm IP của tội phạm bằng cách yêu cầu các dịch vụ cung cấp.

Cổng thực thi pháp luật của Google, chỉ cho phép bên thực thi pháp luật “đã xác minh” có được dữ liệu người dùng, theo trang web của công ty. Trên thực tế, Riggs không thể vào cổng Google bằng địa chỉ email cá nhân của mình.

Các công ty công nghệ thường xuyên nhận và xử lý các yêu cầu dữ liệu hợp pháp thông qua các cổng này. Trong báo cáo minh bạch mới nhất của mình, bao gồm các yêu cầu dữ liệu cho Facebook, Facebook Messenger, Instagram, WhatsApp và Oculus, và bao gồm sáu tháng cuối năm 2019, công ty tiết lộ họ đã nhận được 140, 875 yêu cầu về dữ liệu người dùng.

Câu hỏi thường gặp

Cơ quan công an yêu cầu Facebook cung cấp dữ liệu tội phạm như thế nào?

Cơ quan công an có thể yêu cầu Facebook cung cấp dữ liệu thông qua một cổng thông tin đặc biệt được thiết kế cho mục đích thực thi pháp luật. Facebook xem xét thủ công từng yêu cầu để đảm bảo tính hợp pháp trước khi cung cấp dữ liệu.

Ai có thể truy cập vào cổng thông tin yêu cầu dữ liệu của Facebook?

Mặc dù cổng thông tin được thiết kế cho cơ quan thực thi pháp luật, bất kỳ ai cũng có thể truy cập và gửi yêu cầu. Tuy nhiên, Facebook sẽ kiểm tra tính hợp lệ của yêu cầu trước khi cung cấp bất kỳ thông tin nào.

Facebook làm thế nào để ngăn chặn việc lạm dụng cổng thông tin?

Facebook sử dụng một hệ thống xem xét thủ công các yêu cầu. Mặc dù không chặn tự động các địa chỉ email không quen thuộc, Facebook cam kết sẽ truy tố các yêu cầu trái phép và chỉ cung cấp dữ liệu cho các yêu cầu hợp lệ theo quy trình pháp lý.

Địa chỉ IP là gì?

Trước khi tìm hiểu sâu hơn, bạn cần phải biết địa chỉ IP thực sự là gì? Nói cho dễ hiểu, nó là một dãy số xác định một máy tính qua mạng. Hiện nay có hai loại địa chỉ IP đang được sử dụng là: IPv4 và IPv6.

Ngoài ra, người ta còn phân IP ra làm loại nữa là Private IP và Public IP.

Private IP được sử dụng trong các mạng nội bộ của công ty hoặc gia đình nói nôm na là mạng LAN. Ví dụ, mạng Wi-FI nhà bạn là private IP. Nó cho phép PC của bạn kết nối với server game, và router cho phép bạn chỉ định mỗi thiết bị chỉ có một mã định danh duy nhất.

Sau đó, nhà cung cấp internet (ISP) cấp cho bạn một địa chỉ IP, đó là Public IP và nó sẽ có một trong hai dạng là IP tĩnh hoặc IP động.

Địa chỉ IP tĩnh sẽ không thay đổi khi router được khởi động lại. Trừ khi bạn thay đổi địa chỉ này, còn không nó sẽ không bao giờ thay đổi. Các máy chủ thường sử dụng IP tĩnh để cố định địa IP của họ, bời vì có rất nhiều phần mềm sẽ truy cập vào server của họ bằng IP thay vì domain.

Còn IP động là địa chỉ IP được sử dụng phổ biến nhất ở các hộ gia đình hoặc nơi công cộng hoặc. Không giống như IP tĩnh, IP động được ISP thay đổi mỗi ngày hoặc lâu hơn. IP động cho phép ISP bảo trì và cung cấp dễ dàng hơn.

Các website sẽ giữ nhật ký hoạt động của bạn

Hầu hết các website đều giữ lại nhật ký hoạt động của khách hàng và đừng lo, các website này chỉ muốn tốt cho bạn mà thôi. Nếu bạn hiểu một chút về web, bạn có thể biết các bên thứ ba nào đang sử dụng website của bạn.

Bây giờ, hãy lấy Facebook hoặc Dropbox để ví dụ ai đó đã tạo một tài khoản giả để đăng các nội dung vi phạm pháp luật.

Và đương nhiên, những lực lượng chức năng có thể tìm ra được người đó là ai bằng cách yêu cầu ISP cho biết địa chỉ IP được sử dụng cho các hoạt động đó. Trát toà là công cụ pháp lý có thể buộc các cá nhân hoặc công cy cung cấp bằng chứng, thường là mang tính chất đe doạ và cưỡng chế nhiều hơn là tự nguyện.

Khi đã có địa chỉ IP, họ vẫn cần thêm thông tin về cá nhân đó. Một lần nữa, địa chỉ IP là để xác định máy tính, chứ không phải con người. Để vượt qua rào cản này, trước tiên bên điều tra phải xác định ISP nào sở hữu địa chỉ IP đó.

Việc này dễ hơn bạn nghĩ nhiều đó. Các nhà cung cấp dịch vụ internet thường sở hữu các khối và nhóm địa chỉ IP. Họ cũng đã lưu chúng trong các cơ sở dữ liệu công cộng được điều hành bởi RIRs (cơ quan đăng ký internet của khu vực đó). Có năm cơ quan đăng ký và mỗi cơ quan phải chịu trách nhiệm quản lý địa chỉ IP trong khu vực của họ. Vì vậy, việc tìm ISP chỉ đơn thuần là nhập địa chỉ IP đó vào đúng cơ sở dữ liệu. (của Mỹ)

Nếu bạn tìm kiếm từ khoá “IP lookup” trên Google, bạn sẽ tìm thấy hàng tá trang web giúp bạn thực hiện việc này. Bạn có thể sử dụng công cụ whois và nhận được kết quả như sau.

Ở Việt Nam bạn cũng có thể tự tra cứu địa chỉ nhà của địa chỉ IP, nhưng sai số gần đúng thôi.

ISP cũng giữ nhật ký hoạt động của bạn

Ở Mỹ, khi bạn đã tìm được ISP (nhà cung cấp Internet) việc còn lại là chỉ cần gửi đơn lên toàn án Như mình đã đề cập ở trên, những cá nhân hoặc doanh nghiệp này bắt buộc phải cung cấp bằng chứng. Nếu không, họ có thể bị phạt tiền hoặc đi tù.

Lực lượng chức năng sẽ yêu cầu các ISP cung cấp thông tin địa chỉ IP như người đăng ký, bao gồm tên và địa chỉ.

Nhưng nếu ISP sử dụng địa chỉ động thì sao? Thì cũng chẳng sao cả, bởi vì ISP sẽ giữ lại nhật ký hoạt động của bạn trong vài tháng. Từ việc xem xét cơ sở dữ liệu, họ sẽ dễ dàng xác định được thuê bao nào được liên kết với địa chỉ IP vào thời điểm đó.

Tuy nhiên, việc này không có nghĩa là bạn sẽ tìm được hung thủ. Ví dụ: nếu hung thủ sử dụng Wi-Fi công cộng để thực hiện việc phạm tội, chính quyền chỉ có thể biết được địa điểm truy cập cộng cộng đó. Sau đó họ có thể thực hiện những việc như kiểm tra camera an ninh để xem ai đã đến và sử dụng Wi-Fi vào thời điểm đó.

Cảnh sát làm việc như thế nào?

Ở Mỹ, việc sử dụng phim hoặc phần mềm lậu bị phạt rất nặng. Vì vậy khi tìm thấy một địa chỉ IP đã Download 1 bộ phim lậu, vài ngày sau bạn sẽ nhận được trát hầu tòa liền? Tại sao họ lại biết địa chỉ nhà bạn?

Thông thường, luật sư hoặc các công ty kiểm tra bản quyền sẽ thu thập địa chỉ IP được sử dụng để tải xuống các nội dung lậu. Sau đó, họ sẽ gửi trát toà đòi các ISP cung cấp thông tin liên lạc chi tiết của khách hàng đó.

Tất nhiên, bất kỳ ai cũng có thể truy cập internet ẩn danh bằng cách sử dụng VPN hoặc trình duyệt Tor. Nhiều nhà cung cấp VPN thậm chí còn tuyên bố họ không giữ lại nhật ký hoạt động của người dùng, mặc dù chưa ai xác minh việc này cả.

Kết nối VPN còn khiến việc tìm ra chủ nhân của địa chỉ IP trở nên khó khăn hơn. Các nhà chức trách chỉ có thể theo dõi một địa chỉ IP của công ty VPN cung cấp. Nếu tên tội phạm kết nối với VPN thông qua một VPN khác nửa, cơ quan thực thi pháp luật sẽ phải tìm cách liên hệ với nhiều công ty khác nhau để tìm thông tin chi tiết của tên tội phạm đó.

Theo dõi địa chỉ IP không phải là cách duy nhất để bắt tội phạm trực tuyến. Ví dụ, Ross Ulbricht, người điều hành thị trường Silk Road trên dark web, đã bị bắt sau khi tiết lộ tên thật của mình trên một mạng xã hội.

Câu hỏi thường gặp

Công an có thể xác định chính xác vị trí của tội phạm chỉ từ địa chỉ IP không?

Không hoàn toàn. Địa chỉ IP chỉ xác định thiết bị, chứ không phải vị trí chính xác của người dùng. Thông tin vị trí có thể được xác định gần đúng thông qua ISP, nhưng độ chính xác phụ thuộc vào loại địa chỉ IP (tĩnh hay động) và việc sử dụng VPN.

Nếu tôi sử dụng VPN, công an có thể truy tìm tôi thông qua địa chỉ IP không?

Việc sử dụng VPN làm khó khăn hơn việc truy tìm. Công an chỉ có thể truy tìm đến địa chỉ IP của nhà cung cấp VPN. Tuy nhiên, nếu nhà cung cấp VPN lưu giữ nhật ký hoạt động, thông tin của người dùng vẫn có thể bị tiết lộ.

ISP giữ lại thông tin người dùng trong bao lâu và điều đó có ảnh hưởng gì đến việc điều tra?

Thời gian lưu giữ nhật ký hoạt động của ISP khác nhau tùy thuộc vào chính sách của từng công ty và luật pháp địa phương. Thông tin này rất quan trọng trong điều tra, giúp xác định người dùng liên kết với một địa chỉ IP cụ thể trong một khoảng thời gian nhất định.