Tổ chức phi chính phủ toàn cầu ‘Nhân Quyền Cho Mọi Người’ (Trung Ương), trụ sở đặt tại Âu Châu, đã yêu cầu một trong những phân hội quốc tế của họ (Chi Bộ) mở một cuộc điều tra các trường hợp tra tấn trong lúc bị chính quyền địa phương bắt giữ. Quốc gia được chọn ,‘N’, từ lâu đã lừng danh trong việc sử dụng biện pháp tra tấn tù nhân và đặc biệt là các tù nhân đấu tranh nhân quyền. Các thành viên làm việc ở nhóm hoạt động của Chi Bộ tại thủ đô nước ‘N’ có rất nhiều kinh nghiệm lâu năm trong việc xử lý các tình huống khó khăn. Họ có thể đối chiếu các thông tin cần thiết trong bản báo cáo về việc tra tấn nhưng lo ngại chính quyền sở tại sẽ dùng mọi biện pháp để ngăn chặn họ. ‘N’ là một quốc gia có chính sách kiểm duyệt thông tin chặt chẽ nhất nhằm bảo đảm thế giới bên ngoài không biết gì nhiều về các chuyện xảy ra bên trong.
Trung Ương quyết định tự công bố bản báo cáo dựa vào những dữ liệu họ nhận được từ Chi Bộ. Họ cần phải thiết lập một kênh thông tin bảo mật với Chi Bộ để bảo đảm công cuộc điều tra được tiếp tục tiến hành cho đến khi hoàn tất, bất kể là bao lâu. An toàn bảo mật là tiêu chỉ hàng đầu ở đây và họ đã dự trù một ngân sách khoảng 5,000 USD riêng cho Chi Bộ sử dụng trong kế hoạch này. Kế hoạch điều tra cần phải vượt qua những nổ lực gây nguy hại từ các lực lượng an ninh địa phương nhằm ngăn chặn hoặc tiêu diệt họ tận gốc. Chi Bộ hiện đang trong quá trình xem xét lại cách thức thu thập, liên lạc thông tin cùng với việc thiết lập nội quy hoạt động nhằm bảo vệ an ninh cho tất cả các thành viên thi hành.
Họ quyết định rằng tất cả các thành viên phải tham dự lớp an toàn hoạt động được huấn luyện bởi các chuyên gia địa phương và tự nghiên cứu các vấn đề liên quan đến an toàn cá nhân tự mạng Internet. Các trường hợp nghiên cứu, những nhân chứng, và các bản báo cáo cùng tất cả các thông tin khác về các trường hợp tra tấn họ điều tra được sẽ được lưu trữ trong dạng văn bản in lẫn dữ liệu điện tử. Các phóng viên làm việc bên ngoài sẽ báo cáo về những gì họ tìm hiểu được bằng cách lưu trữ những mảnh giấy mà họ ghi chép lại và lập bản báo cáo thường nhật từ một quán càfé Internet. Nói một cách khác, tất cả các dữ liệu sẽ được sao chép trong dạng giấy viết và dạng điện tử.
Nơi làm việc của họ là một căn chung cư thuê mướn tại trung tâm thành phố. Họ có 2 máy điện toàn và một đường nối mạng. Các thành viên đều quen biết rõ những nhà hàng xóm và có được sự ủng hộ của họ. Nơi làm việc này đã từng bị kẻ khác đột nhập, nhưng không có gì quan trọng bị đánh cắp.
Các mối nguy
Để thấu hiểu các yếu tố họ sẽ cần đến để bảo toàn cho kế hoạch này, trước tiên Chi Bộ quyết định rằng họ sẽ ghi chép xuống các mối nguy mà họ có thể phải đối đầu. Phạm vi làm việc của họ được sử dụng chung bởi cả nhóm, bao gồm thành viên điều tra và thành viên thường trực tại nơi làm việc. Mỗi người đều có các mối nguy riêng biệt của họ và những mối nguy này cần phải được xử lý riêng rẽ. Tương tự như thế, chính những mối nguy đó cũng được phân loại thành những loại ảnh hưởng đến an toàn nơi làm việc, đến an toàn của dữ liệu thu thập được, và đến an toàn của việc thông tin với nhau.
Trung Ương
Mối nguy nơi làm việc: tối thiểu
Mối nguy dữ liệu: Các bản báo cáo bị mất bởi virus gây hại hoặc bị tin tặc tấn công.
Mối nguy thông tin: Nguồn liên lạc với Chi Bộ bị lũng đoạn, hoặc các bản báo cáo có thể bị đánh tráo (giả mạo trong những đợt xâm nhập gây nguy hại).
Chi Bộ
Mối nguy nơi làm việc: máy móc và dụng cụ nơi làm việc bị phá hỏng, đánh cắp, hư hại, cháy.
Mối nguy dữ liệu: Máy điện toán bị tịch thu, dữ kiện bị hỏng bởi virus tấn công hoặc bởi tin tặc.
Mối nguy thông tin: Đường truyền mạng bị cắt, không thể gửi hoặc nhận điện thư, trang mạng của tổ chức và các địa chỉ điện thư bị ngăn chặn, thông tin có thể bị giám sát.
Thành viên làm việc bên ngoài
Mối nguy dữ liệu: các bản báo cáo bị mất hoặc bị tịch thu.
Mối nguy thông tin: thành viên làm việc bên ngoài không thể tiếp cận với các quán càfé nối vào mạng, các trang mạng của Chi Bộ và Trung Ương bị ngăn chặn từ trong N.
Giải Pháp
Liên lạc thông tin
Thông tin giữa các thành phần khác nhau trong kế hoạch này rất tối cần cho quá trình và sự thành công của nó. Cho nên các thành viên tham gia đã nghĩ ra một vài tiêu chuẩn và phương pháp để thiết lập và bảo vệ việc liên lạc này.
Có 3 kênh thông tin khác nhau để liên lạc với Trung Ương được thiết lập. Có một kênh thông tin mở mà trong đó, mọi dữ liệu được thông truyền một cách không bảo mật - bằng điện thoại, bằng cách đăng tin hoặc bằng điện thư thông thường. Duy trì một kênh thông tin mở rất quan trọng để khiến bộ phận giám sát hài lòng vì họ có thể tiếp cận những thông tin qua lại trong kế hoạch. Các dữ liệu qua lại trong kênh mở thuộc loại không nhạy cảm và bao gồm các thông tin về đặc trưng về quản lý và tổ chức.
Kênh thông tin mật được sử dụng cho các thông tin nhạy cảm và bảo mật. Nó sẽ được sử dụng để trao đổi tin tức về các trường hợp, các báo cáo của nhân chứng, và sách lược của tổ chức. Điện thư mạng với chức năng bảo toàn (Secure webmail) cùng hệ thống chat Pidgin với chức năng mã hóa OTR phụ để bảo mật các mẫu đối thoại . Các thông tin nhạy cảm sẽ không được truyền qua điện thoại, fax hoặc điện thư chưa được bảo mật. Không nên sử dụng kênh thông tin mật thường xuyên để tránh gây chú ý.
Kênh thông tin phía trên đòi hỏi một đường truyền mạng còn hoạt động để liên lạc. Mọi người đều đồng ý rằng Trung Ương không nên bị ảnh hưởng trong trường hợp đường truyền mạng không hoạt động hoặc bị cắt nên một kênh thông tin phụ được thiết lập cho Chi Bộ và thành viên của họ làm việc bên ngoài sử dụng. Kênh thông tin phụ này là do thành viên Chi Bộ sử dụng một quán càfé kết nối mạng ở gần đấy. Họ sẽ dùng đến các phần mềm cần thiết trong dạng lập trình di động, có thể truy cập được trong Hộp Đồ Nghề An Ninh Kỹ Thuật Điện Tử và lưu trữ trong các thẻ USB. Họ đã được chủ quán càfé mạng bảo đảm rằng các máy điện toán trong quán không nhiễm virus. Dù sao đi nữa, các thành viên sử dụng các máy điện toán công cộng cũng nên đề cao cảnh giác.
Dữ liệu, thông tin
Tất cả các dữ liệu thu hoặc gom nhặt được bởi các thành viên sẽ được giữ trên giấy và trong dạng điện tử. Điều này đòi hỏi những biện pháp an ninh cần thiết để bảo đảm rằng dữ liệu sẽ không bị mất, bị đánh cắp, hoặc bị hư hỏng. Thiết lập và duy trì một phương pháp để lưu trữ bản phụ có thể tồn tại mọi trường hợp tấn công có thể xảy ra là một việc rất quan trọng. Tương tự như thế, phương tiện lưu trữ của bản sao chính nó cũng phải được bảo toàn vì đó là bản sao của những tài liệu nhạy cảm.
Nhằm đảm bảo các bản báo cáo bên ngoài không bị mất trước khi được truyền đến Chi Bộ, cần phải mua một máy điện toán di động. Thành viên làm việc bên ngoài sẽ ghi chép thông tin trên giấy và sao chép lại trong máy điện toán di động. Họ sẽ thường xuyên chuyển các thông tin này đến Chi Bộ trong một tiệm càfé mạng mỗi ngày (hoặc thường xuyên hơn nếu khả năng cho phép).
Nơi làm việc
An toàn cho nơi làm việc bao gồm một nội quy nghiêm ngặt đối với thành viên để củng cố các điểm ra vào của tòa nhà và việc bảo toàn máy móc để giảm thiểu sự cố máy điện toán bị đứng. Các tài liệu giấy tờ cần thiết phải được giữ trong tủ sắt và nên được hủy bỏ đàng hoàng khi không cần đến chúng nữa. Cũng nên phòng ngừa khả năng máy điện toán và các văn bản, tài liệu của nơi làm việc có thể bị hư hỏng hoặc bị tịch thu, cho nên một ngân quỹ phụ cũng nên được duy trì để phòng khi phải mua sắm các máy móc để các thành viên có thể tiếp tục hoạt động trong trường hợp bị tịch thu.
Chi tiết về cách đối phó với các mối nguy
Sau khi thiết lập một khái niệm tổng quát về phương thức hoạt động nhằm đối phó với các tình huống có thể xảy ra, nhóm hoạt động sẽ tìm cách đối đầu với từng mối nguy được liệt kê trong biểu đồ. Qua mạng Internet, họ sẽ tham dự các lớp huấn luyện và tự nghiên cứu về an ninh điện toán.
Các mối nguy đối với dữ kiện, thông tin
Các dữ liệu hoặc các bản báo cáo có thể bị mất hoặc bị tịch thu: Để tránh trường hợp dữ liệu bị mất xảy ra, cần phải thường xuyên sao chép các dữ liệu vào các máy điện toán hoặc máy điện toán di động. Một máy sao chép dĩa CD loại có thể tái sử dụng (CD-RW) hiện nay có thể mua với giá 200 USD và cài vào 1 trong các máy điện toán. Dữ liệu được sao chép lại bằng cách sử dụng phần mềm sao chép Cobian có thể truy cập trong Hộp Đồ Nghề An Ninh Kỹ Thuật Điện Tử và các dữ liệu sẽ được ghi vào dĩa CD bằng phần mềm DeepBurner. Cứ mỗi 2 ngày thì các dữ liệu cá nhân của người sử dụng sẽ được sao chép lại và cất giữ ở nơi khác. Người phụ trách việc bảo trì tài liệu sao chép lại thay phiên sử dụng 2 dĩa CD, một dĩa lúc nào cũng được lưu trữ ở nơi làm việc và 1 dĩa lúc nào cũng được lưu trữ ở nơi khác – có thể là nhà của thành viên phụ trách. Mỗi cuối tháng, một bản phụ khác được sao chép và trao cho một người thứ 2 giữ tại nhà anh ta. Theo phương pháp này, nếu máy điện toán ở nơi làm việc bị hư hỏng và hệ thống sao chép đồng thời cũng bị phá hoại (rất khó có thể xảy ra cùng lúc), sẽ có một bản phụ thứ 3 sao chép lại kể từ tháng trước đó. Thành viên hoạt động bên ngoài sẽ lưu trữ bản sao vào thẻ USB. Thẻ USB này chứa đựng một bản sao của tất cả các tài liệu mới nhất từ các điều tra viên tính cho đến lần cuối cùng họ trở về nơi làm việc. Nếu máy điện toán di động của họ bị lưu giữ, các tài liệu ít ra cũng sẽ được chuyển đến nơi làm việc.
Các tầng lớp sao chép và lưu trữ dữ liệu khác nhau
Bị virus tấn công hoặc bị tin tặc xâm nhập (hack): Để tránh tình trạng dữ liệu bị mất qua các đợt tấn công của virus hoặc tin tặc, Chi Bộ cần phải cài đặt hệ thống phòng chống virus Avast4 vào tất cá các máy điện toán. Phần mềm phòng chống virus này miễn phí cho các tổ chức bất vụ lợi và tự động cập nhật khi máy điện toán được nối vào mạng Internet. Họ cũng đã cài đặt phần mềm Spybot vào máy điện toán để nhận diện và tiêu diệt các trojan. Tường lửa Commodo cũng được cài đặt vào các máy này để phòng chống tin tặc đột nhập vào. Tất cả các phần mềm đề cập đến đều có thể tìm thấy được trong Hộp Đồ Nghề về An Ninh Kỹ Thuật Điện Tử. Một nội quy khắc khe về virus phải được tuân thủ để đảm bảo không ai mở những điện thư lạ hoặc sử dụng một dĩa mềm trong máy điện toán trước khi sử dụng phần mềm thăm dò virus để khám xét.
Máy điện toán bị tịch thu: Nếu các máy điện toán bị tịch thu, tổ chức cần phải có cách để tiếp tục hoạt động. Cần phải có khả năng mua máy điện toán mới, và ngân sách phải dự trù khoản tiền cần thiết này. Nếu gặp khó khăn thì chỉ cần một máy điện toán thôi cũng đủ để tiếp tục hoạt động. Nhóm hoạt động sẽ mua một máy điện toán mới với giá 1000 USD từ một đại lý bán lẽ. Tất nhiên là những phần mềm cần thiết và bản sao của những dữ liệu chủ yếu sẽ được cài lại trong máy để tổ chức có thể tiếp tục hoạt động.
Văn kiện và máy móc bị đánh cắp: Một nội quy về chìa khóa văn phòng được thiết lập và tuân theo bởi những thành viên trong nhóm. Chỉ có những ai cần giữ theo chìa khóa bên mình mới có 1 chìa khóa phụ. Không nên làm thêm chìa khóa phụ khác mà không có sự đồng ý của cả nhóm. Khi đêm đến, tất cả các máy điện toán đểu phải được rút điện (tắt) và tài liệu, văn bản phải được khóa trong tủ sắt bảo an có thể mua với giá 300 USD. Tất cả các dĩa CD, dĩa mềm, và giấy tờ có thông tin quan trọng trong đó cần phải được khóa lại trong tủ sắt. Cần ghi rõ trong nội quy là những người không liên quan không thể ra vào văn phòng. Các cửa kính ở tầng trệt của tòa nhà cần phải được gắn thêm song sắt bên ngoài. Cửa ra vào cũng phải kiên cố và có lỗ quan sát trên đó. Một công ty tại địa phương có thể nhận làm 2 việc này với giá 500 USD.
Đường nối mạng không hoạt động: Đường truyền mạng có thể sẽ bị cắt. Điều này sẽ xảy ra khi chính quyền tạo áp lực đối với nhà cung cấp dịch vụ mạng hoặc một lỗi kỹ thuật nào đó xảy ra trong hệ thống kết nối mạng. Kế hoạch B sẽ là sử dụng một quán càfé mạng. Nếu đường truyền mạng sẽ bị mất dài hạn, một khoản tiền nhỏ khoảng 500 USD sẽ được dự trữ để trang trải cho chi phí sử dụng mạng Internet tại quán càfé. Thẻ USB sẽ được sử dụng để tải và truy cập thông tin giữa văn phòng và quán càfé.
Thông tin liên lạc bị giám sát: Nếu hệ thống kiểm soát của nước N có trang bị kỹ thuật tối tân, chính quyền sẽ giám sát được các điện thư gửi vào quốc nội hoặc gửi ra quốc ngoại. Vì nghi ngờ thông tin của Chi Bộ sẽ bị giám sát, cho nên chỉ có hệ thống điện thư mạng với chức năng bảo mật SSL mới được sử dụng. Chi Bộ đăng ký hai hộp thư tại https:/mail.riseup.net và sử dụng một trong hai hộp thư để liên lạc với Trung Ương và hộp thư còn lại được sử dụng để liên lạc với các thành viên hoạt động bên ngoài. Tất cả các thông tin sẽ được truyền đến trụ sở hàng ngày bằng điện thư. Thành viên của Chi Bộ sẽ dò xét khả năng các cuộc tấn công bởi kẻ trung gian mạo nhận có thể xảy ra bằng cách kiểm soát kỹ càng chứng chỉ điện tử (certificate) của các trang mạng.
Trang nhà và điện thư bị chặn: Nếu chính quyền quyết định ngăn chặn đường truyền mạng dẫn đến trang nhà của Trung Ương và hệ thống điện thư mạng bảo mật (secured webmail) RiseUP, vẫn còn giải pháp khác. Thành viên của Chi Bộ có thể sử dụng các hệ thống điện thư mạng bảo mật khác hoặc sử dụng các phương pháp khác để lòn lách qua các nẻo bị chặn. Họ đã yêu cầu chi bộ cài đặt bộ phận Psiphon vào máy điện toán tại gia đình của các thành viên. Địa chỉ IP và cách đăng nhập vào các máy điện toán này (mật mã và biệt danh) sẽ được truyền đến Chi Bộ. Cách này giúp họ có được một biện pháp để đối phó với tường lửa của chính quyền vì Psiphon sẽ giúp họ dùng các máy điện toán từ nhà thành viên ở nước khác làm khởi điểm để truy cập thông tin từ các máy chủ của Trung Ương.
Kỹ thuật viên điện toán: Một kỹ thuật viên từ một công ty cung cấp dịch vụ máy điện toán đã từng giao dịch với nhóm trong quá khứ (và được tín nhiệm) sẽ đến văn phòng 2 lần mỗi tháng để quản lý và bảo trì máy móc. Chuyên viên này cũng sẽ được gọi đến trong trường hợp khẩn cấp với giá hợp đồng là 1000 USD cho mỗi 6 tháng.
Ngân sách
Song sắt gắn trên các cửa sổ 500 USD
Máy sao chép dĩa CD và 10 dĩa CD 200 USD
Tủ sắt 300 USD
2 thẻ USB 100 USD
Một máy điện toán di động 1000 USD
Hợp đồng với chuyên viên kỹ thuật 1000 USD
------------------------------------------------------------------------------------
Tổng cộng 3100 USD
Tiền dự trữ đề phòng trường hợp khẩn cấp : 1000 cho máy điện toán mới, 500 cho chi phí sử dụng mạng ở nơi công cộng - tổng cộng là 1500 USD.
Tổng số ngân sách 4600 USD
No comments:
Post a Comment