Inside Cyber Warfare - Chương III: Vấn đề pháp lý trong chiến tranh mạng (Phần 2)

[WhiteHat News #ID:2018]

Chương 3: Vấn đề pháp lý trong chiến tranh mạng​

Trong phần hai này, tác giả đã đưa ra những quan điểm đối lập của Nga và Mỹ, hai cường quốc trên không gian mạng cũng như cở sở pháp lý về việc quy trách nhiệm cho một nhà nước khi chiến tranh mạng xảy ra.​

Mỹ đối đầu Nga: Hai đường lối khác biệt

Ngày 27 tháng 06 năm 2009, tờ New York Times đưa tin Nga và Mỹ đối đầu trong cách tiếp cận chiến tranh mạng từ góc nhìn quốc tế. Quan điểm của Nga là nước này sẽ tuân theo mô hình Hiệp ước vũ khí hóa học hoặc các hiệp ước kiểm soát vũ trang khác, trong khi Mỹ lại ủng hộ thực thi luật pháp quốc tế bằng cách hợp tác chặt chẽ hơn nữa để tóm tội phạm mạng. Khi xung đột nổ ra trên không gian mạng, nhiều hacker tham chiến với tư cách các tin tặc phi chính phủ, do vậy chiến lược này của Mỹ có thể mang lại lợi ích kép, vừa bảo vệ các trang web trước hoạt động của tội phạm mạng, lại vừa tránh được những nguy cơ từ chiến tranh mạng.

Ảnh minh hoạ (Nguồn Internet)​

Một lập luận không đồng tình với Mỹ của Nga được đưa ra trong bài viết có tiêu đề “Chính sách quân sự của Nga trong lĩnh vực an ninh thông tin quốc tế: Diện mạo vùng” (Tạp chí Moscow Military Thought (Tư duy quân sự Matxcova) xuất bản ngày 31/3/2007).

Các đạo luật quốc tế quy định mối quan hệ phát sinh trong quá trình đấu tranh chống lại tội phạm mạng và khủng bố mạng không được phép bao gồm các quy định vi phạm những nguyên tắc không thể thay đổi của luật quốc tế, chẳng hạn như nguyên tắc không can thiệp vào vấn đề nội bộ và chủ quyền của các quốc gia khác.​

Ngoài ra, các cuộc tấn công mạng với động cơ chính trị được thực hiện theo mệnh lệnh từ chính phủ có thể được xem là tội phạm quân sự với đầy đủ các quy trình về điều tra và thẩm vấn thủ phạm. Bên cạnh đó, các cuộc tấn công mạng quân sự có thể xem là một nội dung của luật pháp quốc tế. Trong trường hợp này, chúng ta nên nói về việc áp đặt các hạn chế lên những hành vi phát triển và sử dụng máy tính có khuynh hướng tạo thù địch đối với các đối tượng trên không gian mạng của các quốc gia khác.​

Trong mọi trường hợp, chính sách quân sự về lĩnh vực an ninh thông tin quốc tế quy định việc đấu tranh với khủng bố mạng và tội phạm mạng cần được nêu rõ trong các cơ chế luật pháp quốc tế, để có thể kiềm chế những kẻ gây hấn sử dụng một cách bí mật và không bị kiểm soát các loại vũ khí mạng nhằm tấn công Nga và các đồng minh chính trị.​

Rõ ràng, Nga đã xây dựng chính sách của mình từ trước năm 2007 và vẫn không thay đổi trong nhiều năm. Dù nguyên nhân có là một phần của chủ quyền và quyền không bị can thiệp của một quốc gia, chính sách đó cũng là để bảo hộ những tài sản mang tầm chiến lược trong kho vũ khí mạng của Nga: đó là dân số có dân trí cao, là các tin tặc yêu nước sẵn sàng chiến đấu nhân danh đất nước trên không gian mạng.

Luật xung đột vũ trang (LOAC)
Điều thú vị là Shackleford không hề đề cập đến LOAC trong bài viết vốn chỉ có mục đích đưa ra các quan điểm khác nhau của các chuyên gia luật pháp quan tâm đến lĩnh vực này. Thay vào đó, ông cố gắng đi theo hướng sau:

Cách tiếp cận toàn diện tốt nhất nhằm giảm sự cố chiến tranh thông tin là thông qua một hiệp định quốc tế mới dành riêng cho việc giải quyết các cuộc tấn công mạng có sự bảo trợ của nhà nước, bao gồm cả việc thành lập các cơ quan phản ứng sự cố khẩn cấp tương tự WCERT (Trung tâm ứng cứu khẩn cấp máy tính thế giới) được đề xuất ở trên. Mỹ không nên phản đối một cơ chế hiệp ước như vậy. Vì không có tổ chức này, cộng đồng quốc tế sẽ nhiều phen lao đao với lo sợ rằng trường hợp của Estonia gần như có thể đã tiến đến Chiến tranh mạng phiên bản 2.0. Khi Chiến tranh thông tin đạt đến quy mô của chiến tranh hạt nhân, một cơ chế mới và khác biệt kết hợp với các yếu tố của luật quốc tế hiện hành, điển hình như Luật nhân đạo quốc tế (IHL), là cần thiết để tránh cho các quốc gia nguy cơ sụp đổ cơ sở hạ tầng một cách có hệ thống, điều này không chỉ gây mất ổn định xã hội mà còn có thể làm sụp đổ cả kỷ nguyên thông tin.​

Nếu LOAC được sử dụng làm nguyên tắc để xác định vụ việc nào được xem là chiến tranh mạng việc nào không, thì cuộc tấn công phải tương ứng với những quy tắc nhất định. Trước hết, LOAC được áp dụng chỉ khi xảy ra xung đột vũ trang. Tiếp đó, phải quy được trách nhiệm cho một chính phủ cụ thể trước các sự cố mạng xảy ra do xung đột vũ trang. Kế đến vấn đề đó có mang mục đích xấu hay không. Đã có sự cố mạng nào gây ra tổn thất hay thiệt hại hay chưa (về tiền tệ, về vật chất hay thiệt hại ảo)?

Việc quy trách nhiệm có thể trực tiếp hoặc gián tiếp, theo cách hiểu về luật pháp quốc tế được nêu trong cuốn “Những cuộc tấn công mạng vào Gruzia: Bài học pháp lý” của tác giả Eneken Tikk và các cộng sự (NATO, 2008). Theo các tác giả:

Nguyên tắc chi phối trách nhiệm của nhà nước theo luật quốc tế đó là không thể quy trách nhiệm cho một nhà nước về hành vi của các chủ thể bí mật – gồm cả tổ chức và cá nhân, trừ khi nhà nước đã ủy thác một cách trực tiếp hoặc rõ ràng một phần chức năng nhiệm vụ của mình cho tổ chức/cá nhân đó. Những năm gần đây, mô hình cứng nhắc này đã có một số thay đổi nhất định, có thể nhận thấy qua phán quyết của Tòa án hình sự quốc tế thuộc nước Nam Tư cũ (ICTY) trong vụ án Tadic số 104, hay xa hơn nữa là cộng đồng quốc tế có liên quan đến Chiến dịch tự do bất diệt của Hoa kỳ năm 2001. Dẫu vậy, theo các quan điểm hiện đại về việc quy trách nhiệm, vẫn cần có sự kiểm soát mang tính tổng thể ở những mức độ nhất định từ phía nhà nước.​

Các tiền lệ pháp lý được đề cập trong đoạn trích dẫn phía trên cũng đáng để đọc và được tóm tắt sơ lược như sau:

Tác giả Jinks,D.“Trách nhiệm của nhà nước đối với hành động của các nhóm vũ trang bí mật”, Tạp chí luật quốc tế Chicago, tập 4 (2003), trang 88.

“Trong vụ kiện Nicaragua, Tòa án Công Lý Quốc Tế (JCJ) cho rằng một nhà nước có thể phải chịu trách nhiệm về hành vi của các chủ thể bí mật chỉ khi nhà nước này đã thực hiện những hành động kiểm soát hiệu quả các chủ thể đó. Do vậy, ICJ không thể bắt Mỹ phải chịu trách nhiệm về hành vi của phiến quân do nước này không kiểm soát hiệu quả những kẻ chống đối này. Tòa án cũng lưu ý rằng, để các quốc gia chịu trách nhiệm pháp lý về hành vi của các chủ thể bí mật, phải chứng minh được nhà nước đã thực sự có quyền kiểm soát hiệu quả đối với hành vi của những tổ chức/cá nhân bí mật”.​

Bên nguyên vụ Tadic - Vụ kiện tại Tòa án hình sự quốc tế số IT-94-1, 1999; tác giả Jinks, trang 88-89

“Vụ án Tadic đã hạ thấp quy chuẩn trong việc quy trách nhiệm cho nhà nước trước các hành vi bí mật, đồng thời kết luận rằng chỉ cần các nhà nước thực hiện biện pháp kiểm soát toàn bộ các chủ thể bí mật thì bất kỳ hành vi vi phạm pháp luật nào của tổ chức/cá nhân đó cũng có thể được quy trách nhiệm cho nhà nước. Với lý lẽ của mình, ICTY giữ quan điểm rằng tiêu chí ‘kiểm soát hiệu quả’ của Tòa án Công lý quốc tế (ICJ) đối lập với tư duy logic về trách nhiệm của nhà nước, đồng thời mâu thuẫn với thực tiễn nhà nước và pháp luật”.​

Tác giả Jinks, lưu ý 103, trang 85-87

“So với vụ án Tadic, đến lượt Chiến dịch Tự do bất diệt của Mỹ cũng hạ thấp quy chuẩn quy trách nhiệm do Mỹ đã tìm cách đổ tội hoạt động của tổ chức Al Qaeda cho Afghanistan đơn giản bởi chính quyền Taliban đã chứa chấp và ủng hộ nhóm khủng bố này (bất chấp việc Afghanistan có thực hiện các biện pháp kiểm soát hiệu quả và toàn diện hay không). Cộng đồng quốc tế cùng một số tổ chức quốc tế quan trọng tán thành hướng đi của Mỹ và đồng ý rằng dựa trên các văn kiện quốc tế, các cuộc tấn công vào ngày 11/09 cấu thành các cuộc tấn công vũ trang khiến Mỹ phải thực thi quyền tự vệ chính đáng. Liên hợp quốc, NATO và tổ chức các quốc gia châu Mỹ OAS cũng đã quy trách nhiệm các cuộc tấn công khủng bố của tổ chức al-Qaeda cho chính quyền Taliban”.​

Sau khi thảo luận về vấn đề quy trách nhiệm trong luật pháp quốc tế, tác giả Tikk đã giải nghĩa thành một nguyên tắc pháp lý cơ bản hơn: nguyên tắc về mặt tổ chức (một cá nhân có hoạt động với tư cách là đặc vụ của một nhà nước không và hành động của cá nhân đó có được đánh đồng là của nhà nước hay không?). Tương tự, nếu được lựa chọn, nhà nước đó có thể ngăn chặn những hành vi xấu mà đảng phái bí mật thực hiện hay không?

Trong vụ việc của Gruzia và Estonia, Tikk và các cộng sự kết luận không có đủ bằng chứng cho thấy sự tham gia của nhà nước, đây là điều kiện cho tiêu chí về mặt tổ chức.

Các thỏa thuận quốc tế đang được thảo luận khi viết cuốn sách này sẽ làm rõ quy phạm hợp pháp của các quốc gia và các nhân tố phi chính phủ trong các vụ việc, xung đột và chiến tranh mạng.

Đây có phải là một hành động chiến tranh mạng?
Các phần tiếp theo sẽ đề cập đến những cuộc tấn công mạng đã xảy ra kể từ sau cuộc xung đột giữa Nga và Gruzia vào tháng 8 năm 2008 mà nhiều phương tiện truyền thông mô tả là chiến tranh mạng. Mục đích là để trả lời câu hỏi: Cách gọi đó chính xác đến mức nào?

Hàn Quốc
Bắt đầu từ dịp cuối tuần ngày 4 tháng 7 năm 2009, một cuộc tấn công DDoS với chu kỳ không xác định đã đánh sập các website thương mại và chính phủ của Mỹ, Hàn Quốc. Hàn Quốc tin rằng chính phủ Cộng hòa Dân chủ Nhân dân Triều Tiên hoặc các điệp viên của nước này đứng sau vụ việc, trong khi không có phát ngôn chính thức nào từ các quan chức Mỹ cho việc quy trách nhiệm này.

Iran
Trong cuộc bầu cử tổng thống Iran đầy tranh cãi vào ngày 14 tháng 6 năm 2009, hàng trăm nghìn người Iran đã giận dữ phản đối kết quả bầu cử. Một trong những hình thức để thể hiện sự phản đối là sử dụng các cuộc tấn công DDoS vào các website của chính phủ Iran, dùng dịch vụ phần mềm xã hội phổ biến Twitter làm nền tảng tổ chức.

Tatarstan
Tháng 6 năm 2009, website của Tổng thống nước Cộng hòa Tatarstan bị mất kết nối và quyền truy cập Internet trong một cuộc tấn công mà ông này đổ tội cho Tổng cục An ninh Liên bang Nga (FSB).

Hoa Kỳ
Ngày 21 tháng 4 năm 2009, Tạp chí phố Wall đưa tin an ninh dự án Joint Strike Fighter (dự án nghiên cứu và chế tạo vũ khí) trị giá hàng tỉ đô la của Lầu Năm Góc đã bị xâm phạm và một vài terabyte dữ liệu đã bị các tin tặc chưa rõ danh tính đến từ Cộng hòa Nhân dân Trung Hoa đánh cắp.

Từ ngày 4 đến ngày 6 tháng 7 năm 2009, một cuộc tấn công DDoS quy mô nhỏ không rõ nguồn gốc được phát động nhằm vào 25 website của chính phủ Mỹ, một số trang web trong số đó đã không thể truy cập trong vài ngày, bao gồm cả website của Ủy ban Thương mại Liên bang và Kho bạc nhà nước, trong khi đó một số trang web khác trong danh sách mục tiêu như website của Nhà Trắng không bị ảnh hưởng. Đợt tấn công thứ hai và thứ ba được khởi phát vài ngày sau đó nhằm vào các website của chính phủ Hàn Quốc.

Kyrgyzstan
Ngày 18 tháng 1 năm 2009, một cuộc tấn công DDoS đã làm tê liệt 2 đến 3 trong tổng số 4 nhà mạng của quốc gia này trong vài ngày, từ chối quyền truy cập Internet của phần lớn người dân trong thời điểm bất ổn chính trị đang gia tăng. Vẫn chưa rõ ai là người đứng sau vụ việc, tuy nhiên có 3 giả thuyết được đưa ra:

• Đó là cách mà chính phủ Nga thực hiện để buộc tổng thống Kyrgyzstan đóng cửa Căn cứ không quân Manas được Mỹ sử dụng làm địa điểm trung chuyển binh sĩ và hàng hóa.
• Tổng thống Kyrgyzstan thuê các tin tặc phi chính phủ của Nga nhằm ngăn chặn việc sử dụng Internet làm công cụ của các đảng đối lập.
• Là kết quả của cuộc chiến quyền lực giữa các nhà mạng đang cạnh tranh với nhau.

Israel và Nhà nước Palestine

Cùng với hành động quân sự của Israel nhằm vào căn cứ quân sự Hamas tại Nhà nước Palestine vào tháng 12 năm 2008 (được gọi là Chiến dịch Cast Lead), hàng ngàn website tiếng Israel và Ả rập đã bị tấn công thay đổi giao diện (deface) bao gồm cả trang web của chính phủ và các trang web dân sự. Các tin tặc bị cáo buộc tham gia gồm có các thành viên của Lực Lượng phòng vệ Israel và Hamas, khiến Chiến dịch này là một trong số ít các sự vụ trên không gian mạng có liên quan chính thức đến một chính quyền.

Zimbabwe
Theo báo cáo của các Học giả châu Phi vào tháng 12 năm 2008, trong một bài báo có tiêu đề: “Pháo đài thủy tinh: Chiến tranh du kích mạng của Zimbabwe” chính quyền của ông Mugabe đã khiến phe đối lập phải im hơi lặng tiếng bằng các kĩ thuật gây nhiễu sóng phát thanh và Internet, cũng như theo dõi tất cả lưu lượng email truy cập từ các tên miền kết thúc bằng .zw. Theo như báo cáo thì cả hai bên đều tham gia tấn công deface các website và phát động các cuộc tấn công DDoS. Vào thời điểm bài báo được viết, các cuộc tấn công đã xảy ra ít nhất năm năm.

Myanmar
Ngày 23 tháng 9 năm 2008, vì biết trước về lễ kỷ niệm lần thứ nhất cuộc cách mạng Saffron (hay còn gọi là Cách mạng áo cà sa, Cách mạng màu nghệ tây), chính phủ đã phát động các cuộc tấn công DDoS nhằm vào ba website ủng hộ các nhà sư: Trang Irrawaddy, Tiếng nói của phe dân chủ Burma (DVB) đặt tại Oslo và tờ New Era tại Bangkok. Tờ tạp chí The Australian đăng tải câu chuyện ngày hôm đó, đưa tin rằng:

Những cuộc tấn công được tính toán kỹ lưỡng – có vẻ như xuất phát từ Trung Quốc, Nga, Châu Âu cũng như Miến Điện - có thể chỉ là tác phẩm của các đặc vụ trong chính quyền Miến Điện và có thể là nỗ lực để bù đắp cho thất bại năm ngoái trong việc ngăn chặn các hình ảnh về dòng người biểu tình không vũ trang tan tác dưới cơn mưa đạn và dùi cui bị phát tán.​

Một đại diện của DVB báo cáo rằng các cuộc tấn công xuất phát từ các trang web tại Nga và Trung Quốc. Nếu đúng là sự thật, điều này sẽ chứng minh chính phủ Myanmar vô can trong các cuộc tấn công này.

Nguồn: Inside Cyber Warfare
Tác giả: Jeffrey Carr​

Inside Cyber Warfare - Chương I: Đặt vấn đề (Phần 1)
Inside Cyber Warfare - Chương I: Đặt vấn đề (Phần 2)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 1)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 2)
Inside Cyber Warfare - Chương II: Sự nổi dậy của tin tặc phi chính phủ (Phần 3)
Inside Cyber Warfare - Chương III:Vấn đề pháp lý trong chiến tranh mạng (Phần 1)