Mã hóa đang bị siết chặt từ mọi phía

Làn sóng siết chặt mã hóa đang lan rộng khắp thế giới, và Canada vừa trở thành tâm điểm mới nhất. Dự luật giám sát C-22 có thể buộc các nền tảng mã hóa phải tạo ra những "cửa hậu" để cơ quan thực thi pháp luật truy cập dữ liệu, đồng thời tăng cường lưu trữ siêu dữ liệu người dùng. Điều này đã châm ngòi cho phản ứng dữ dội từ hàng loạt công ty công nghệ lớn, trong đó không ít bên tuyên bố sẵn sàng rút khỏi thị trường Canada nếu luật được thông qua.

Cuộc rút lui của những tên tuổi lớn

Psiphon VPN — công ty chống kiểm duyệt của Canada, đơn vị giúp hàng triệu người dân Iran duy trì kết nối internet trong những đợt cắt mạng của chính quyền — đã tuyên bố sẽ rời khỏi quốc gia này nếu dự luật C-22 được thông qua. Psiphon không đơn độc.

Ứng dụng nhắn tin mã hóa Signal cho biết sẽ rút khỏi thị trường Canada vì luật này đòi hỏi những thay đổi không thể chấp nhận đối với các dự án mã nguồn mở của họ. Trong khi đó, Apple và Meta đã lên tiếng chỉ trích dự luật, còn DuckDuckGo và NordVPN cũng cho biết đang cân nhắc việc rút dịch vụ.

Việc một quốc gia phát triển như Canada đưa ra luật như vậy cho thấy mức độ thù địch với mã hóa đã lan tới đâu — và đặt ra câu hỏi lớn hơn: liệu còn quốc gia hay khu vực nào có thể trở thành "thiên đường an toàn" cho các dịch vụ bảo mật quyền riêng tư?

Điều gì khiến giới công nghệ phản đối?

Dự luật C-22 được đề xuất lần đầu năm 2025 và đã được chỉnh sửa một phần sau làn sóng chỉ trích gay gắt từ doanh nghiệp công nghệ và xã hội dân sự. Về lý thuyết, luật cho phép đặt ra các yêu cầu đối với công ty công nghệ — kể cả những công ty nằm ngoài Canada — buộc họ phải bổ sung "năng lực kỹ thuật" để dữ liệu có thể bị truy cập nhằm phục vụ mục đích điều tra.

Dự luật khẳng định doanh nghiệp sẽ không phải đưa một "lỗ hổng hệ thống" vào sản phẩm của mình. Nhưng giới phê bình chỉ ra rằng bất kỳ năng lực nào cho phép truy cập dữ liệu mã hóa đầu cuối đều tương đương với một cửa hậu — thứ có thể bị bất kỳ ai phát hiện và lợi dụng.

Rủi ro này còn bị khuếch đại bởi sự phổ cập của các công cụ AI, vốn giúp việc dịch ngược và lập bản đồ hệ thống trở nên dễ dàng hơn bao giờ hết.

Các thành viên Ủy ban Tư pháp và Đối ngoại Hạ viện Mỹ đã cảnh báo trong một lá thư gửi giới chức Canada:

Các công ty có thể bị yêu cầu đưa vào lỗ hổng, xây dựng cửa hậu, vượt qua, làm suy yếu hoặc vô hiệu hóa mã hóa.

Bên cạnh vấn đề mã hóa, C-22 còn bao gồm các điều khoản có thể buộc doanh nghiệp lưu trữ siêu dữ liệu về hoạt động của người dùng — điều mà nhiều dịch vụ tôn trọng quyền riêng tư như: VPN của Psiphon hay DuckDuckGo cố tình tránh làm. Hệ quả là các công ty này sẽ buộc phải thay đổi mô hình kinh doanh để thu thập dữ liệu họ không cần và không muốn thu thập.

Hệ lụy vượt khỏi biên giới Canada

Theo giới nghiên cứu, những thay đổi sản phẩm kiểu này sẽ làm xói mòn niềm tin của người dùng và gia tăng nguy cơ giám sát trên diện rộng.

Nếu bạn yêu cầu một thay đổi mang tính hạ tầng — buộc họ mặc định lưu trữ siêu dữ liệu — thì bạn đang tạo ra năng lực giám sát bên trong một công cụ vốn không có năng lực đó. Những gì xảy ra ở Canada không dừng lại ở Canada, bởi những đạo luật kiểu này luôn được sao chép và lan ra khắp thế giới.

Nhận định trên được Afsaneh Rigot, nhà sáng lập tổ chức nghiên cứu De|Center, chia sẻ. Bà nhấn mạnh tác động dây chuyền đối với những nơi như Iran và nhiều quốc gia khác trên toàn cầu.

Trong những năm gần đây, Anh và Australia đã đưa ra những cải cách giám sát sâu rộng có thể buộc doanh nghiệp phá vỡ mã hóa. Các đề xuất tương tự cũng lần lượt xuất hiện tại EU, Pháp, Ấn Độ, Ireland, Tây Ban Nha, Thụy Điển và Thụy Sĩ. Dù không phải mọi biện pháp đều đã thành luật, mức độ thù địch với mã hóa là quá rõ ràng.

Bài toán "thiên đường an toàn" không có lời giải

Khi ngày càng nhiều quốc gia cân nhắc luật tương tự, các nhà phát triển tập trung vào công cụ bảo mật và chống kiểm duyệt đang ráo riết tìm kiếm những khu vực pháp lý an toàn để hoạt động. Nhưng điều đó vẫn không giải quyết được bài toán tiếp cận người dùng ở tất cả các quốc gia — và hiện tại, chưa có lựa chọn nào thực sự chắc chắn.

Việc chuyển trụ sở chẳng phải phương án B khả thi khi luật pháp đi theo người dùng của bạn, đúng như cách C-22 sẽ làm. Biện pháp bảo vệ mạnh nhất là lưu giữ càng ít dữ liệu người dùng càng tốt, nhưng câu "chúng tôi không có dữ liệu đó" sẽ chẳng còn giá trị nếu chính phủ có thể buộc bạn bắt đầu thu thập chúng.

Joseph Lorenzo-Hall, phụ trách mảng bảo mật tại Internet Society, nhấn mạnh thêm rằng một "thiên đường an toàn" không chỉ cần môi trường thuận lợi cho mã hóa mạnh, mà cần những đạo luật cho phép doanh nghiệp giữ đúng cam kết về quyền riêng tư và bảo vệ họ trước các mối đe dọa từ bên ngoài đối với tính bảo mật và toàn vẹn dữ liệu.

Góc nhìn cho người dùng Việt Nam

Với người dùng công nghệ tại Việt Nam, diễn biến này là lời nhắc nhở đáng chú ý. Các dịch vụ nhắn tin mã hóa đầu cuối và VPN không chỉ là công cụ bảo vệ quyền riêng tư cá nhân mà còn là hạ tầng thiết yếu cho báo chí, doanh nghiệp và cả người dân sống dưới các chế độ kiểm duyệt internet.

Khi những "ông lớn" như Signal hay Psiphon buộc phải cân nhắc rút khỏi những thị trường lớn, người dùng ở các quốc gia khác — trong đó có Việt Nam — cũng có thể chịu tác động dây chuyền về chất lượng dịch vụ và tính sẵn có của các giải pháp bảo mật. Việc nắm rõ bản chất của những đạo luật kiểu này, cũng như chủ động theo dõi cách các nhà cung cấp dịch vụ phản ứng, sẽ giúp người dùng đưa ra lựa chọn phù hợp để bảo vệ dữ liệu của mình.