Omarchy đầy rẫy lỗ hổng bảo mật: Lời cảnh báo từ nhà phát triển

Một bài phân tích mới đây đã gióng lên hồi chuông cảnh báo về hệ điều hành Omarchy, cho rằng dự án này "không coi trọng bảo mật" dù đội ngũ phát triển luôn quảng bá hình ảnh ngược lại. Tác giả chỉ ra hàng loạt lỗ hổng nghiêm trọng, từ bash injection qua tiêu đề video đến khả năng chạy mã tùy ý từ thông báo hệ thống, đồng thời chỉ trích cách tiếp thị làm sai lệch nhận thức của người dùng về mức độ rủi ro thực tế.

Những lỗ hổng "không thể chấp nhận"

Theo bài viết, Omarchy 4.0 phát hành kèm theo một loạt vấn đề bảo mật được mô tả là "đáng tiếc". Trong số đó có các lỗi kinh điển như bash injection qua tiêu đề video và việc mọi thông báo đều có thể chạy các lệnh bash tùy ý trên máy người dùng.

"Tất cả các dự án đều có lỗ hổng bảo mật, nhưng không phải dự án nào cũng có những lỗ hổng dễ đoán đến vậy."

Tác giả nhấn mạnh rằng ngành công nghiệp phần mềm đã biết cách xử lý dữ liệu đầu vào không đáng tin cậy từ lâu. Việc sử dụng các script bash do AI tạo ra để xử lý dữ liệu không an toàn, mà gần như không qua kiểm duyệt, là điều không thể chấp nhận ở một sản phẩm được quảng bá rộng rãi.

Vấn đề đến từ quy trình phát triển

Điểm mấu chốt mà tác giả muốn nhấn mạnh: bạn không thể xây dựng một hệ thống bảo mật hợp lý khi bắt đầu từ một "đống bash bừa bộn" và hy vọng cộng đồng sẽ phát hiện và sửa lỗi trước khi chúng bị khai thác.

"Omarchy không coi bảo mật là điều quan trọng. Họ giả vờ coi trọng vấn đề này, nhưng quy trình phát triển và tốc độ 'vượt qua' hàng thập kỷ kinh nghiệm bảo mật của họ nói lên nhiều điều hơn bất kỳ thông báo nào từ 'Đội ngũ Bảo mật'."

Marketing hay dối trá?

Bài viết cũng chỉ trích DHH, người sáng lập Omarchy, về chiến lược truyền thông. Việc nhấn mạnh vào danh sách dài các lỗ hổng đã được vá trong bản phát hành mới được xem là "đánh bóng" cho một sản phẩm vốn dĩ có quá nhiều vấn đề cơ bản.

"Tôi nghĩ marketing đã biến thành dối trá, thiếu trung thực. Một thái độ thẳng thắn là phải nói rằng họ quan tâm đến việc cải tiến dotfiles hơn là bảo mật cơ bản của hệ thống."

Tác giả cũng chỉ ra rằng DHH thường im lặng những người chỉ trích bằng thái độ tích cực giả tạo, với tinh thần "cứ làm đi", thay vì đối thoại thẳng thắn về rủi ro thực tế.

"Tôi không ngăn cản ai cả"

Ở phần cuối, tác giả khẳng định không có ý định ngăn cản người dùng sử dụng Omarchy, mà chỉ muốn làm rõ khoảng cách giữa nhận thức của công chúng và rủi ro thực tế khi sử dụng dự án này.

"Tôi không thích khi nhận thức của công chúng về mức độ rủi ro khác xa với rủi ro thực tế. Tôi không muốn mọi người bị lừa để tự làm hại chính mình, đó là lý do tôi viết bài này."

Bài học cho cộng đồng công nghệ Việt Nam

Sự việc này là lời nhắc nhở quan trọng cho cả người dùng lẫn nhà phát triển trong nước: bảo mật không phải là tính năng thêm vào sau cùng, mà phải là nền tảng của mọi sản phẩm công nghệ. Khi lựa chọn công cụ hay hệ điều hành, hãy đặt câu hỏi về quy trình phát triển và văn hóa bảo mật của dự án, thay vì chỉ tin vào lời quảng bá hay số lượng tính năng.