Jason Larsen, chuyên gia hacker được INEEL sử dụng để thăm dò các lỗi bảo mật Internet của các tổ chức cơ quan trong nước.

"Đó là sự thử thách. Đó là cảm giác khi bạn tìm thấy một lỗ hổng bảo mật." - Larsen cho biết, khi được hỏi về động cơ thúc đẩy công việc của mình - "Đó là việc bạn chống lại những người bảo vệ. Nó xuất phát từ một nhu cầu tìm hiểu mọi thứ hoạt động như thế nào".

Jason Larsen, 31 tuổi, có mái tóc để dài và hàm răng đeo kẹp nắn, là một hacker máy tính khác thường. Mục tiêu của anh không phải là phá hoại, mà để tăng cường bảo mật cho các mạng lưới liên lạc, đường sắt, tiện ích công cộng và các nền tảng hạ tầng khác của nước Mỹ. Công việc của Larsen là một phần trong dự án tăng cường bảo mật, được Phòng Nghiên cứu Môi trường và Kỹ thuật Quốc gia Idaho (INEEL) thực hiện.

Được Bộ Năng lượng Mỹ tài trợ, tháng trước, INEEL đã triển khai một trung tâm an ninh mạng mới, nơi các chuyên gia hacker kỳ cựu như Larsen thực hiện việc kiểm tra các yếu điểm bảo mật về máy tính của mọi hệ thống. Nằm trên diện tích 890 dặm vuông ở vùng Idaho, INEEL cho phép các chuyên gia bảo mật truy cập vào tất cả mọi nền tảng hạ tầng độc lập, chẳng hạn như nhà máy hoá chất mà Larsen vừa xâm nhập vào.

"Tôi không nghĩ mọi người đều hiểu rõ về ảnh hưởng của các cuộc tấn công qua mạng." - ông Paul Kearns, giám đốc của INEEL cho biết - "Họ không hiểu rõ nguy cơ". Trong những tháng gần đây, các quan chức bảo mật Mỹ đã cảnh báo rằng quốc gia này chưa chuẩn bị sẵn sàng trước các cuộc khủng bố từ mạng Internet.

Ông Laurin Dodd, người giám sát chương trình bảo mật quốc gia của INEEL cho biết: "Tôi tin tưởng rằng không có một hệ thống nào đã kết nối vào Internet, bất kể là bằng modem hay đường truyền cố định, lại không thể xâm nhập được. Chỉ có một hệ thống tính toán hoàn toàn cô lập với bên ngoài, chẳng hạn như hệ thống của Cơ quan Tình báo Trung ương Mỹ CIA, mới có thể "miễn dịch" được trước các hoạt động xâm nhập".

Một vấn đề khác là rất nhiều hệ thống từng cô lập được sử dụng để điều khiển hệ thống đường sắt, đường ống dẫn dầu và các tiện ích công cộng khác, hiện nay đã có thể truy cập được vào qua Internet và do đó rất dễ bị phá hoại.

"Ngày càng có nhiều thứ được nối vào Internet hơn, để chúng có thể được theo dõi từ các trụ sở của cơ quan quản lý." - ông Dodd cho biết - "Có thể thừa nhận được rằng vụ mất điện quy mô lớn vào tháng 8 năm ngoái tại Mỹ là do một hành động phá hoại qua Internet gây ra".

"Hầu hết mọi người đều cho rằng các nguy cơ trong lĩnh vực này không thể gây ra hàng ngàn cái chết. Nhưng họ không biết rằng việc tấn công vào các hệ thống tài chính, gây mất lòng tin của người sử dụng, cũng có thể gây ra thiệt hại vô cùng to lớn về kinh tế. Ngoài ra, các hệ thống tàu hoả, giao thông cũng có thể bị phá hoại và gây ra các tai nạn rất lớn." - ông Dodd phân tích.

Giải nghĩa những mã lệnh

Ông Steve Schaeffer, công tác tại Phòng Nghiên cứu Bảo mật của INEEL, gần đây đã được yêu cầu giải mã một hệ thống được thiết kế cho hãng điện tử General Electric. "Thử nghiệm của tôi là nhằm phá vỡ hệ thống của hãng này theo vài cách." - ông nói - "Chỉ mất hai tháng, chúng tôi đã có đủ thông tin để tác động vào giao thức và ảnh hưởng đến quá trình hoạt động hệ thống. Nếu họ có thể quay số để truy cập vào hệ thống đó, vậy thì tôi cũng có thể".

Các quan chức Phòng Nghiên cứu nhấn mạnh rằng các hoạt động xâm nhập kiểu này chỉ xảy ra bên trong các cơ sở của INEEL hơn là ở ngoài đời thực. Tập đoàn công nghệ Thuỵ Sĩ ABB gần đây đã ký một thoả thuận để trở thành khách hàng an ninh mạng đầu tiên của INEEL, để Phòng Nghiên cứu này thử nghiệm và tìm kiếm các lỗ hổng bảo mật thực sự của họ.

Các quan chức INEEL đã kể về một cuộc viếng thăm gần đây của một giám đốc ở Idaho với tuyên bố rằng hệ thống của ông ta không có bất cứ vấn đề bảo mật gì. Chỉ tới cuối bài thuyết trình của mình, vị giám đốc này đã quá sốc trước kết quả xâm nhập của các nhân viên INEEL ngay trên hệ thống mà ông vừa khoe, và phải yêu cầu kiểm tra lại giúp toàn bộ hệ thống cho ông ta!

Trong một trường hợp khác, Larsen của INEEL đã truy cập vào một cơ quan hành chính tại Washington D.C. và xâm nhập vào hệ thống máy tính chỉ bằng một thiết bị cầm tay đơn giản, khiến toàn bộ các quan chức ở đó ngạc nhiên kinh hãi. Larsen từ chối nói về câu chuyện này.

Khi đề cập về lai lịch của Larsen, có khá nhiều điểm mà anh và cấp trên không muốn thảo luận tới. Để có được các kỹ năng xâm nhập như của Larsen, một người sẽ phải trải qua cuộc sống trong thế giới bí ẩn của hacker và tin tặc.

"Đây là một trong rất ít nơi mà việc những người thực hiện các hoạt động xâm nhập như Larsen lại được chấp nhận là hợp pháp." - ông Robert Hoffman, giám đốc Phòng An ninh Mạng của INEEL, người đã tuyển Larsen cho biết. Ông rất ấn tượng về việc Larsen từng viết ra chương trình máy tính đầu tiên của anh lúc 13 tuổi.

"Tôi đã học cách xâm nhập máy tính từ khi đó chỉ là trò nghịch vui vẻ." - Larsen mô tả về thời kỳ trước khi Internet ra đời. 

Các quan chức INEEL cho biết không bao giờ tuyển mộ bất kỳ ai đã từng phạm tội về máy tính và bị kết án, và họ phải bảo đảm được những yêu cầu bảo mật cần thiết. "Làm sao bạn biết chắc rằng vợ mình sẽ không rút sạch tiền ra khỏi tài khoản ngân hàng của bạn." - ông Schaeffer nói - "Bạn chỉ tin tưởng mọi người, và bạn phải thực hiện việc kiểm tra đằng sau".

Nỗ lực an ninh mạng Idaho là một phần trong kế hoạch của Bộ An ninh Nội địa Mỹ, nhằm củng cố khả năng phòng thủ trước các cuộc tấn công mạng có thể xảy ra ở mọi thể loại. INEEL tìm kiếm một sự cân bằng tinh tế giữa việc khuyến khích các bộ phận trọng yếu trong nền kinh tế Mỹ tăng cường khả năng bảo mật mạng của họ, nhưng không thực hiện bất kỳ hành động xâm nhập bất chính nào.

Giám đốc an ninh mạng quốc gia của INEEL, ông Dodd cho biết: "Điều chúng tôi không muốn là gia tăng nguy cơ từ việc quảng cáo rằng bạn có thể làm gì. Tôi nghĩ trường hợp về bom bẩn, được chính người Mỹ đưa ra và trở thành vũ khí nguy hiểm của bọn khủng bố, cũng là một ví dụ sinh động".