Bổn phận của một học giả: Khi tri thức không thể bị giữ riêng

Có những lỗ hổng bảo mật không nên được công bố ngay lập tức, nhưng cũng không thể bị chôn vùi. Bài viết mới đây của kỹ sư Colin Percival trên blog cá nhân kể lại một câu chuyện như thế — và qua đó đặt ra một câu hỏi đạo đức sâu sắc hơn nhiều so với phạm vi của an ninh máy tính.

Tóm tắt nhanh: Năm 2004, Percival phát hiện tính năng Hyper-Threading trên CPU Intel có thể làm rò rỉ dữ liệu giữa các luồng xử lý. Ông dành sáu tháng tiếp theo để âm thầm thông báo cho các nhóm bảo mật và cùng họ vá lỗi trước khi công bố. Từ trải nghiệm đó, ông lập luận rằng người nắm giữ tri thức có bổn phận chủ động chia sẻ nó với những ai cần biết.

Một phát hiện tình cờ và sáu tháng không lương

Tháng 11/2004, Percival nộp luận án tiến sĩ tại Oxford. Nhưng tâm trí ông lại hướng về một vấn đề khác: tính năng Hyper-Threading (đa luồng đồng thời) mà Intel giới thiệu năm 2002 có thể để lộ thông tin giữa các luồng thông qua trạng thái bộ nhớ đệm.

Đến giữa tháng 12, ông đã có một bản chứng minh khái niệm đủ để đánh cắp từng bit của khóa riêng RSA cho đến khi tái tạo được toàn bộ khóa. Phần còn lại — và cũng là phần khó nhất — là thông báo kín đáo cho các nhóm bảo mật và phối hợp sửa lỗi trước khi công bố.

Trong khi bạn bè cùng khóa đang sửa luận án và nộp đơn xin việc, tôi gác lại tất cả. Tôi có một trách nhiệm, và nó quan trọng hơn những toan tính sự nghiệp đơn thuần.

Sự việc trở nên căng thẳng vào tháng 5/2005 khi Intel — không hài lòng với việc bài báo sắp được công bố — yêu cầu Yahoo ra lệnh cho ông rút lại. Yahoo trả lời rằng họ không thể đe dọa sa thải một người mà họ không hề thuê. Ngày 13/5/2005, Percival trình bày bài báo tại hội nghị BSDCan và công bố khuyến cáo bảo mật; các khuyến cáo tương ứng cũng lần lượt xuất hiện từ FreeBSD, NetBSD, Red Hat, SCO và Ubuntu.

Công bố có trách nhiệm: không im lặng, cũng không vội vã

Bất kỳ ai làm việc với bảo mật phần mềm mã nguồn mở đều quen thuộc với quy trình responsible disclosure — nay thường gọi là coordinated disclosure. Nguyên tắc cốt lõi rất rõ ràng:

• Không được phớt lờ lỗ hổng, càng không được bán nó cho kẻ xấu.
• Cũng không nên công bố tràn lan rồi hy vọng phe thiện sẽ vá kịp trước phe ác.
• Thay vào đó, cần xác định ai là người cần biết, liên hệ kín đáo để họ chuẩn bị bản vá sẵn sàng ngay khi thông tin được công khai.

Theo tác giả, điều kiện sống đã giúp ông hoàn thành nghĩa vụ này: độc thân, không con, và sau khi bảo vệ luận án thì về Canada sống miễn phí trong tầng hầm nhà bố mẹ. Là người mắc tiểu đường type 1, ông vẫn phải mua insulin, nhưng hệ thống y tế Canada giúp ông không phải lo chi phí khổng lồ nếu nhập viện.

Nếu tôi sống ở Mỹ, tôi sẽ phải ưu tiên tìm việc làm và bảo hiểm y tế, và có lẽ đã không thể hoàn thành nghĩa vụ mà số phận đặt lên vai.

Kỹ sư và bổn phận với an toàn cộng đồng

Các kỹ sư đã quen với những bổn phận như vậy. Gần như mọi bộ quy tắc đạo đức nghề nghiệp đều yêu cầu hành động khi phát hiện mối nguy hiểm, bất kể có liên quan cá nhân hay không. Thành viên IEEE cam kết "đặt an toàn, sức khỏe và phúc lợi của công chúng lên hàng đầu" — và nghĩa vụ "công bố kịp thời" thuộc về bất kỳ kỹ sư nào nhận ra mối nguy.

Quy trình leo thang cũng rất thực tế: trước tiên báo cho người sử dụng lao động; chỉ khi việc đó không hiệu quả mới có hành động trực tiếp hơn. Percival áp dụng nguyên tắc này một cách thường xuyên. Năm 2009, ông phát hiện tường lửa Amazon EC2 mặc định phá vỡ cơ chế Path MTU Discovery và đã báo cho Amazon. Đến tháng 11/2012, khi thấy Amazon không có động thái khắc phục, ông viết blog hướng dẫn khách hàng tự sửa — và Amazon đã vá lỗi ngay sau đó ít lâu.

Biết được điều gì đó, tôi cảm thấy mình có nghĩa vụ đạo đức phải chia sẻ để giúp những người bị ảnh hưởng.

Từ triết học đến thực tiễn: học giả là ai?

Tác giả dẫn lời Đại úy Picard trong Star Trek: The Next Generation: "Bổn phận đầu tiên của mỗi sĩ quan Starfleet là sự thật." Nhưng ông cho rằng bổn phận này chưa đủ — nó cần bao gồm cả việc chủ động tìm đến những người cần biết sự thật. Ẩn sau câu "không ai hỏi tôi cả" là thất bại trong việc hoàn thành bổn phận.

Triết gia Fichte, trong bài giảng năm 1794 Über die Bestimmung des Gelehrten, cho rằng học giả "nắm giữ tri thức không phải cho mình mà cho xã hội", và có bổn phận truyền đạt tri thức ấy cho người khác. Percival đồng tình một phần nhưng bác bỏ quan điểm xem học giả là tầng lớp cao quý nhất hay "linh mục của Chân lý" — một cách nhìn xa lạ với tinh thần bình đẳng ngày nay.

Ông cũng phân biệt rạch ròi hai khái niệm thường bị gộp chung:

• Researcher (nhà nghiên cứu) tạo ra tri thức mới.
• Scholar (học giả) mang tri thức ấy đến với những người cần nó.

Nhiều người làm cả hai vai. Nhưng không thiếu người chỉ nghiên cứu và công bố bài báo mà không thực sự truyền đạt phát hiện của mình. Bài báo đăng trên tạp chí nhưng không ai đọc đã thành sáo ngữ; ngay cả khi được đọc, nó cũng chưa chắc tạo ra tác động nếu chỉ đến tay giới học thuật mà không đến được người có khả năng hành động.

Không phải ai cũng có thể gánh vác bổn phận

Tác giả thừa nhận một cách thẳng thắn: không phải ai cũng cảm nhận bổn phận theo cùng một cách, và càng không phải ai cũng có điều kiện để hành động theo nó — giống như trải nghiệm năm 2005 của ông sẽ khác đi nếu ông phải tự lo bảo hiểm y tế.

Với độc giả Việt Nam, câu chuyện này đặc biệt đáng suy ngẫm trong bối cảnh các cộng đồng bảo mật và mã nguồn mở trong nước đang lớn dần. Văn hóa báo cáo lỗ hổng có trách nhiệm vẫn còn non trẻ ở nhiều nơi: người phát hiện thường không biết báo cho ai, doanh nghiệp thì e ngại công khai sự cố. Một quy trình minh bạch — có kênh tiếp nhận, có thời hạn phản hồi, có ghi nhận đóng góp — sẽ giúp cả hai phía.

Cuối cùng, Percival khẳng định lựa chọn cá nhân của mình:

Mỗi người tự chọn vai trò của mình trong xã hội, và không phải ai cũng cảm nhận bổn phận theo cùng một cách. Nhưng với bản thân tôi, tôi chọn cuộc đời và bổn phận của một học giả.