Tor hoạt động như thế nào? Nó đảo ngược mô hình truy cập website thông thường.
Thông thường, khi vào mạng, bạn mở trình duyệt Internet và nhập tên của website muốn truy cập. Một yêu cầu được chuyển tới website đó và một phần nghìn giây sau, trình duyệt của bạn nhận được phản hồi cùng với website. Dựa trên địa chỉ IP, website này biết nhà cung cấp dịch vụ là ai, và đôi khi còn biết được cả vị trí của bạn do suy từ vị trí nhà cung cấp hoặc độ trễ của các bước nhảy từ thiết bị của bạn đến website. Ví dụ, nếu thiết bị của bạn hiển thị vị trí ở Mỹ, nhưng thời gian và số bước nhảy mà yêu cầu của bạn cần trải qua để đến được đích lại cho thấy bạn đang ở một nơi khác, thì một số website – đặc biệt là các website trò chơi – sẽ coi đó là dấu hiệu gian lận.
Khi bạn sử dụng Tor, đường nối trực tiếp giữa bạn và website mà bạn truy cập sẽ được che khuất bởi một loạt các nút bổ sung, và sau mỗi 10 giây, chuỗi nút mạng kết nối bạn với website đó sẽ thay đổi mà không gây gián đoạn cho bạn. Các nút mạng kết nối bạn với một website giống như các lớp trong một củ hành tây vậy. Nói cách khác, nếu có người muốn từ website đích lần ngược lại để tìm bạn, đó là điều bất khả thi vì đường dẫn sẽ liên tục thay đổi. Kết nối của bạn sẽ được ẩn danh, trừ khi điểm đăng nhập và điểm thoát ra của bạn có mối liên hệ nào đó.
Với Tor, yêu cầu mở một website của bạn – ví dụ, mitnicksecurity.com – sẽ không được gửi trực tiếp đến máy chủ đó mà trước tiên được gửi đến một nút Tor khác. Và để làm cho mọi việc trở nên phức tạp hơn, nút mạng này lại tiếp tục chuyển yêu cầu trên đến một nút khác, cuối cùng mới kết nối với mitnicksecurity.com. Như vậy, có một nút đăng nhập, một nút ở giữa, và nút thoát ra. Nếu muốn nhìn xem ai đang truy cập vào website của công ty mình, tôi sẽ chỉ nhìn thấy địa chỉ IP và thông tin từ nút thoát ra, tức nút cuối cùng trong chuỗi, chứ không thấy được nút đầu tiên, tức nút đăng nhập của bạn. Bạn có thể xây dựng cấu hình cho Tor để nó sử dụng nút thoát ra ở một quốc gia cụ thể, chẳng hạn Tây Ban Nha, hoặc thậm chí còn chi tiết hơn, ví dụ Honolulu.
Để sử dụng Tor, bạn phải lấy trình duyệt Firefox sửa đổi từ website Tor (torproject.org). Hãy tìm các trình duyệt Tor phù hợp cho hệ điều hành của bạn trên website dự án Tor. Đừng sử dụng website của bên thứ ba. Đối với các hệ điều hành Android, Orbot trên Google Play là một ứng dụng Tor miễn phí phù hợp, vừa thực hiện mã hóa lưu lượng truy cập vừa ẩn địa chỉ IP của bạn. Trên các thiết bị iOS (iPad, iPhone), hãy cài đặt trình duyệt Onion, một ứng dụng phù hợp từ cửa hàng ứng dụng iTunes.
Có thể bạn đang thắc mắc, tại sao không tạo luôn một máy chủ email ngay trong Tor? Có người đã làm rồi. Tor Mail là dịch vụ được lưu trữ trên một website dành riêng cho các trình duyệt Tor. Tuy nhiên, FBI[32] đã thu giữ máy chủ đó trong một vụ án không liên quan và chiếm được quyền truy cập vào tất cả các email mã hóa lưu trong Tor Mail. Đây là một câu chuyện cảnh giác cho thấy ngay cả khi bạn đinh ninh rằng thông tin của mình là an toàn và không có sơ hở, nhưng thực tế có thể không phải là như vậy.
[32] FBI: Cục Điều tra Liên bang Mỹ.
Tuy Tor sử dụng mạng đặc biệt, nhưng bạn vẫn có thể truy cập Internet từ đó, chỉ có điều tốc độ tải trang sẽ chậm hơn nhiều. Tuy nhiên, ngoài việc cho phép bạn lướt các website ở phần có thể tìm kiếm được trên Internet, Tor còn giúp bạn truy cập vào một thế giới website không thể tìm kiếm được theo cách thông thường, gọi là web tối . Đây là những website không mang tên thông thường như Google.com mà có đuôi là .onion. Một số website ẩn này có thể chào mời, bán, hoặc cung cấp các sản phẩm và dịch vụ bất hợp pháp. Một số khác là các website hợp pháp của những người sống ở các khu vực bị áp bức.
Dẫu vậy, bạn cũng nên lưu ý đến một số điểm yếu của Tor:
- Bạn không có quyền kiểm soát các nút thoát ra – có thể chúng thuộc quyền kiểm soát của chính phủ hoặc các cơ quan thực thi pháp luật;
- Thông tin về bạn vẫn có thể bị thu thập và bạn vẫn có thể được nhận dạng;
- Tor rất chậm.
Nhưng nếu vẫn quyết định sử dụng Tor, bạn không nên chạy nó trên cùng một thiết bị thường dùng để duyệt web. Nói cách khác, hãy dùng một máy tính xách tay để duyệt web và một thiết bị riêng cho Tor (ví dụ, một máy tính mini Raspberry Pi chạy phần mềm Tor). Mục đích ở đây là nếu có người xâm nhập được vào máy tính xách tay của bạn, họ vẫn sẽ không thể bóc tầng giao vận Tor của bạn vì nó chạy trên một thiết bị khác.
Trong trường hợp của Snowden và Poitras, như tôi đã nói, việc liên lạc qua email mã hóa là không đủ bảo mật. Sau khi Poitras tạo khóa công khai mới cho tài khoản email ẩn danh của mình, bà có thể gửi nó đến địa chỉ email trước kia của Snowden, nhưng nếu có người đang theo dõi tài khoản đó, thì danh tính mới của bà sẽ bị lộ. Một nguyên tắc hết sức cơ bản ở đây là bạn phải cách ly hoàn toàn các tài khoản ẩn danh khỏi bất kỳ thứ gì có thể liên quan đến danh tính thực của bạn.
Để tàng hình, bạn phải bắt đầu từ đầu cho mỗi liên hệ bảo mật mới mà bạn thực hiện. Các tài khoản email cũ có thể được kết nối theo nhiều cách khác nhau đến các khía cạnh khác trong cuộc sống của bạn – bạn bè, sở thích, công việc. Để giao tiếp bí mật, bạn phải tạo tài khoản email mới bằng Tor để địa chỉ IP thiết lập tài khoản không có bất kỳ mối liên hệ nào với danh tính thực của bạn.
Tạo địa chỉ email ẩn danh là khó nhưng có thể làm được.
Bạn có thể sử dụng các dịch vụ email cá nhân. Nhưng nếu thanh toán cho các dịch vụ đó, bạn sẽ để lại dấu vết, nên tốt hơn, hãy sử dụng dịch vụ web miễn phí. Một rắc rối nhỏ: Gmail, Microsoft, Yahoo và các nhà cung cấp khác đều yêu cầu bạn cung cấp số điện thoại để xác minh danh tính. Rõ ràng bạn không thể sử dụng số điện thoại di động thật vì nó có thể liên quan đến tên và địa chỉ thật của bạn. Bạn có thể thiết lập một số điện thoại Skype nếu nó có tính năng xác thực bằng giọng nói thay vì xác thực bằng tin nhắn; tuy nhiên, bạn vẫn sẽ cần đến một tài khoản email hiện có và một thẻ quà tặng trả trước để thiết lập một số điện thoại Skype. Nếu bạn nghĩ chỉ cần sử dụng điện thoại di động trả trước là danh tính sẽ không bị lộ, thì bạn nhầm rồi. Nếu bạn từng sử dụng điện thoại trả trước để thực hiện các cuộc gọi có mối liên hệ với danh tính thực của mình, việc tìm ra bạn là ai đơn giản như trò chơi dành cho trẻ em.
Hãy sử dụng điện thoại dùng một lần. Một số người nghĩ điện thoại ẩn danh[33] là thiết bị chỉ dành cho những kẻ khủng bố, buôn người, và buôn bán ma túy, nhưng thực ra chúng có rất nhiều công dụng hợp pháp. Ví dụ, do muốn tìm hiểu xem ai là người đã tiết lộ các thông tin quan trọng trong ban lãnh đạo công ty, hãng Hewlett-Packard đã thuê thám tử tư điều tra và họ đến lục lọi thùng rác ở nhà một phóng viên kinh doanh; phóng viên này sau đó chuyển sang sử dụng điện thoại ẩn danh để họ khó xác định các cuộc gọi của cô hơn. Kể từ sau vụ việc này, cô chỉ trao đổi với nguồn cung cấp thông tin của mình trên điện thoại ẩn danh.
[33] Điện thoại ẩn danh (burner phone): Loại điện thoại di động giá rẻ, được thiết kế để sử dụng tạm thời, thường được vứt bỏ sau khi sử dụng. Điện thoại ẩn danh sử dụng dịch vụ trả trước tính theo phút, không có hợp đồng với nhà cung cấp dịch vụ điện thoại nào.
Tương tự, một người phụ nữ muốn tránh bị chồng/bạn trai cũ quấy rầy có thể sử dụng loại điện thoại không yêu cầu phải ký hợp đồng sử dụng hoặc không cần đến tài khoản Google hay Apple. Điện thoại ẩn danh thường có tính năng Internet hạn chế, chủ yếu cung cấp dịch vụ thoại, tin nhắn, và email – nhưng đôi khi đó là tất cả những gì chúng ta cần. Tuy nhiên, bạn vẫn có thể lấy được dữ liệu vì có thể kết nối điện thoại ẩn danh với máy tính xách tay rồi dùng nó để lướt Internet. (Ở phần sau của cuốn sách, tôi sẽ nêu cách thay đổi địa chỉ MAC[34] trên máy tính xách tay sao cho mỗi khi bạn kết nối với điện thoại ẩn danh, nó lại có vẻ như là một thiết bị mới.)
[34] MAC (media access control – kiểm soát truy cập phương tiện truyền thông): Là một tầng con trong tầng liên kết dữ liệu (DLL) trong mô hình tham chiếu OSI bảy tầng. Chức năng cơ bản của MAC là cung cấp cơ chế xác định địa chỉ và truy cập kênh sao cho mỗi nút trên một mạng lưới đều có thể giao tiếp với các nút khác trên cùng mạng hoặc khác mạng.
Tuy nhiên, việc giấu danh tính của bạn khi mua một chiếc điện thoại ẩn danh cũng rất khó khăn. Có thể lấy các hành động trong thế giới thực để nhận dạng bạn trong thế giới ảo. Dĩ nhiên, tôi có thể đến những cửa hàng như Walmart để mua điện thoại ẩn danh và 100 phút gọi bằng tiền mặt. Như vậy thì ai mà biết được chứ? Thực ra, rất nhiều người sẽ biết đấy.
Trước tiên, tôi đến Walmart bằng cách nào? Bắt xe Uber hay taxi? Tất cả những thông tin này đều có thể bị tòa yêu cầu cung cấp.
Tôi có thể lái xe riêng, nhưng cơ quan thực thi pháp luật hiện đã triển khai sử dụng công nghệ nhận dạng biển số tự động (ALPR) tại các bãi đỗ xe công cộng lớn để tìm kiếm xe bị mất/trộm cũng như để tìm kiếm những người đang có lệnh truy nã. Tòa án có thể yêu cầu giao nộp các dữ liệu từ ALPR.
Nhưng dù đi bộ đến Walmart, thì ngay khi tôi bước vào cửa hàng, hệ thống camera an ninh trong cửa hàng sẽ ghi lại khuôn mặt tôi, và video đó có thể bị tòa yêu cầu giao nộp.
