America.gov và đoạn mã cookie tồn tại 20 năm gây lo ngại về quyền riêng tư

Chính phủ Hoa Kỳ vừa ra mắt America.gov, một cổng thông tin liên bang tích hợp trí tuệ nhân tạo, được giới thiệu như điểm truy cập duy nhất cho các dịch vụ công. Song song với cam kết bảo vệ quyền riêng tư khá rõ ràng, một chi tiết kỹ thuật trong hệ thống xác thực bên dưới lại đang thu hút sự chú ý của cộng đồng công nghệ.

Cổng dịch vụ số của chính phủ

Kiến trúc hai tầng: America.gov và Login.gov

Về mặt kiến trúc, America.gov đóng vai trò lớp trình bày và truy cập dịch vụ, còn Login.gov được định vị là lớp định danh và xác thực dùng chung bên dưới. Người dùng có thể chỉ tiếp xúc với một giao diện America.gov duy nhất, nhưng Login.gov mới là hạ tầng đăng nhập và xác minh danh tính mà các cơ quan liên bang tái sử dụng.

Ở giai đoạn đầu, America.gov chưa yêu cầu người dùng khai báo danh tính. Các tài liệu về quyền riêng tư của cổng này khẳng định không dùng cookie quảng cáo hay trình theo dõi bên thứ ba, không lưu lịch sử trò chuyện và chỉ sử dụng vị trí gần đúng thay vì dữ liệu GPS chính xác.

Một sắc lệnh hành pháp được ký trong tuần này chỉ đạo Cơ quan Dịch vụ Tổng hợp (GSA) biến America.gov thành đầu mối kỹ thuật số duy nhất của chính phủ liên bang, đồng thời yêu cầu tích hợp Login.gov làm dịch vụ xác thực cho cổng này. Các cơ quan liên bang cũng được chỉ đạo kết nối dịch vụ, biểu mẫu số và API vào nền tảng.

Đoạn mã gây tranh cãi trong Login.gov

Vấn đề nằm ở chỗ mã nguồn công khai của Login.gov cho thấy công trình của National Design Studio (NDS) trên nền tảng xác thực đã đưa vào một định danh mà ý nghĩa về quyền riêng tư chưa từng được giải thích công khai.

Cụ thể, ngày 4 tháng 9, Login.gov đã hợp nhất đoạn mã cho thí nghiệm "giao diện mới" của NDS, bổ sung một hàm tên là nds_experiment_uuid vào bộ điều khiển ứng dụng cơ sở. Đoạn mã chạy hàm này như một hành động trước khi xử lý yêu cầu, kiểm tra xem đã có cookie nds_experiment_uuid hay chưa. Nếu chưa, nó tạo một mã định danh duy nhất ngẫu nhiên (UUID) và lưu bằng cơ chế cookie vĩnh viễn của Ruby on Rails.

Theo tài liệu của framework này, cookie vĩnh viễn được đặt thời hạn hết hạn tới 20 năm.

Có ít nhất một lý do kỹ thuật cho việc lưu giữ định danh này. Login.gov ghi lại trạng thái từ chối tham gia thí nghiệm dựa trên nds_experiment_uuid, giúp ứng dụng nhận ra trình duyệt đó đã chọn không tham gia ở những lần truy cập sau. Một vấn đề đang mở trên GitHub ghi nhận rằng việc xóa UUID khiến trình duyệt mất trạng thái từ chối đó.

Câu hỏi về quyền riêng tư là tại sao cách triển khai lại gán cho định danh này thời hạn 20 năm và gắn nó vào các sự kiện phân tích.

Vì hàm được đặt trong bộ điều khiển cơ sở của Login.gov thay vì chờ tới khi người dùng xác thực, định danh có thể được tạo trước khi người truy cập đăng nhập. Các bài kiểm thử của chính đoạn mã cho thấy UUID được lưu ngay ở lần tải trang đầu tiên, bất kể người dùng được gán giao diện NDS hay giao diện cũ.

Năm ngày sau, ngày 9 tháng 9, Login.gov tiếp tục hợp nhất một thay đổi khác, bổ sung định danh này vào các thuộc tính gắn kèm những sự kiện phân tích do dịch vụ tạo ra.

Những câu hỏi còn bỏ ngỏ

Cookie này thuộc về Login.gov, không phải chatbot America.gov. Dù vậy, nó tạo ra một định danh ẩn danh tồn tại lâu dài, có thể phân biệt trình duyệt này với trình duyệt khác qua nhiều lần truy cập Login.gov trong khoảng thời gian có thể kéo dài nhiều năm.

Khi định danh cũng xuất hiện trong các sự kiện phân tích, câu hỏi đặt ra là còn thuộc tính sự kiện nào có thể bị gắn với nó, dữ liệu đó được lưu bao lâu, và liệu ngữ cảnh xác thực hay cơ quan có thể bị tương quan hay không.

Những thắc mắc này đã xuất hiện công khai ngay trong kho mã GitHub của Login.gov. Một vấn đề được tạo ngày 12 tháng 9 đặt câu hỏi tại sao định danh vẫn được tạo ngay cả khi thí nghiệm NDS đang ở mức triển khai 0%, tại sao nó dường như được sinh ra trên các điểm cuối công khai của Login.gov, và liệu thời hạn 20 năm là có chủ đích. Vấn đề này hiện vẫn đang mở.

Đáng chú ý hơn, một thay đổi được hợp nhất ngày 21 tháng 9 đã tăng cường cơ chế cho phép người dùng từ chối giao diện NDS, đồng thời xóa một cookie riêng là ui_test_bucket có thể ép buộc hiển thị giao diện mới. Tuy nhiên, đoạn mã không xóa nds_experiment_uuid. Thay vào đó, nó ghi lại trạng thái từ chối dựa trên chính định danh này, trong khi định danh trình duyệt dài hạn vẫn tồn tại.

Bối cảnh rộng hơn

Có thể có lý do kỹ thuật chính đáng để giữ lại định danh thí nghiệm sau khi ai đó rời khỏi thí nghiệm. Các lập trình viên thường cần xác định liệu cùng một trình duyệt có quay lại hay không, và cần tính toán thống kê về thí nghiệm cũng như tỷ lệ từ chối.

Tuy nhiên, câu hỏi về quyền riêng tư là tại sao một thí nghiệm như vậy lại cần một định danh được thiết kế để tồn tại suốt hai thập kỷ, đặc biệt trên một nền tảng định danh liên bang sắp trở thành lớp xác thực cho một cổng dịch vụ công rộng lớn hơn nhiều.

GSA cũng cho biết America.gov sẽ nằm trong bộ phận Dịch vụ Chuyển đổi Công nghệ và được phát triển cùng National Design Studio. NDS được thành lập theo sắc lệnh hành pháp vào tháng 8 năm 2025 trong Văn phòng Nhà Trắng, nhằm thiết kế lại các dịch vụ số và dịch vụ vật lý của liên bang — và cách xử lý phân tích trang web của tổ chức này từng bị giám sát trước đây.

Một giai đoạn vào đầu năm 2027 được kỳ vọng sẽ cho phép người dân đăng ký, tham gia và theo dõi các phúc lợi liên bang trực tiếp qua America.gov. Các màn trình diễn tại lễ ra mắt cho thấy người dùng gửi giấy chứng nhận kết hôn đến các cơ quan được chọn, truy cập dịch vụ liên quan Medicare, và dùng Login.gov để xác minh danh tính với những cơ quan như Trung tâm Dịch vụ Medicare và Medicaid, Cơ quan An sinh Xã hội và Bộ Cựu chiến binh.

Một mã UUID ngẫu nhiên dùng để thử nghiệm một trang web được thiết kế lại, tự nó, không phải là một hệ thống theo dõi quốc gia. Nhưng một định danh trình duyệt có tuổi thọ danh nghĩa 20 năm, được tạo trước khi xác thực và được sao chép vào các sự kiện phân tích trên dịch vụ định danh đặt trước America.gov, xứng đáng có một lời giải thích công khai rõ ràng hơn: nó ghi lại những gì, được dùng thế nào, và dữ liệu tạo ra tồn tại bao lâu.

Khi cổng thông tin này tiến hóa thành một đầu mối xác thực cho các dịch vụ liên bang, câu hỏi quan trọng hơn cả sẽ là liệu kiến trúc đằng sau lời hứa bảo vệ quyền riêng tư có được thiết kế để ngăn "cửa trước kỹ thuật số" mới của chính phủ trở thành một bản ghi lâu dài về việc ai đã bước qua và họ đã đi đâu hay không.