Stuxnet và sự nguy hiểm của chiến tranh không gian mạng (CTKGM) - Phần 1

Stuxnet and the Dangers of Cyberwar

Vincent Manzo, January 29, 2013

Theo: http://nationalinterest.org/commentary/stuxnet-the-dangers-cyberwar-8030

Bài được đưa lên Internet ngày: 29/01/2013

Lời người dịch: Chiến dịch Trò chơi Olympic (Olympic Games), hay dân gian gọi là sâu Stuxnet, đã làm đảo lộn mọi trật tự an ninh từ trước tới nay, khi mà thế giới đã có được một ví dụ về một quốc gia này sử dụng các khả năng của vũ khí KGM để triệt phá các cơ sở hạ tầng của một quốc gia khác, và, ngay cả những nước đã tạo ra nó, cũng có thể trở thành các nạn nhân của các cuộc tấn công dạng như vậy. Rất nhiều kịch bản tấn công như vậy có thể xảy ra, trong khi thế giới lại chưa có được hành lang pháp lý cho vấn đề này. Xem các phần [01] và [02].

Chiến dịch Trò chơi Olympic (Olympic Games), được biết phổ biến hơn như là sâu Stuxnet, đã gây thiệt hại cho các máy li tâm và đã làm chậm đi những nỗ lực làm giàu uranium của Iran. Như David Sanger nói trong Đối đầu và Lén lút (Confront and Conceal), tổng thống Obama đã bày tỏ sự lo ngại về thiệt hại phụ thêm trong cuộc tấn công KGM Mỹ - Israel vào chương trình hạt nhân của Iran. Tổng thống đã không muốn đặt ra một tiền lệ có khả năng xúc tác cho những tác nhân khác biện minh cho các cuộc tấn công KGM tương tự. Mà ông đã kết luận rằng nhu cầu phải làm chậm lại tiến trình của Iran hướng tới khả năng các vũ khí hạt nhân là đáng để mạo hieemrr trong sự việc này, trong khi đội an ninh quốc gia đã phán xét rằng còn quá sớm để phát triển một khung khái niệm để đánh giá việc sử dụng các vũ khí KGM.

Bất chấp quyết định của chính quyền túm lấy các vấn đề chính sách rộng rãi hơn muộn hơn, Stuxnet làm dấy lên những câu hỏi cơ bản về các vũ khí KGM. Nước Mỹ đã trao quyền cho chiến dịch đó trong thời bình hơn là trong một xung đột vũ trang. Vâng chiến dịch đó phù hợp với định nghĩa về một cuộc tấn công KGM, một ý định để phá hủy, vô hiệu hóa hoặc sửa các hệ thống, thường để gây ra hiệu ứng phụ trong thế giới vật lý. Nước Mỹ đã điều khiển các hệ thống máy tính của Iran để gây hại một cách vật lý cho hạ tầng của Iran. Chiến dịch đó vì thế từng nhiều hơn là sự khai thác KGM, nó lén lút đặt mình cho thông tin từ các mạng mà không có sự cho phép.

Nhiều người tin tưởng Iran có trách nhiệm về làn sóng các cuộc tấn công từ chối dịch vụ vào các ngân hàng Mỹ, dù còn chưa rõ liệu điều đó có là sự trả thù vì Stuxnet, những vụ ám sát các nhà khoa học Iran, các cuộc tấn công khác được thừa nhận, hay chỉ là một phần của hành vi tham chiến nhất quán của Iran. Đặt sang một bên những phức tạp trong các mối quan hệ Mỹ - Iran, báo cáo của Sanger minh họa những mỗi nguy hiểm có liên quan tới các cuộc tấn công KGM mà chính sách của Mỹ phải đề cập tới.

Những hiệu ứng vật lý của chiến dịch đó đã bị hạn chế đối với việc lén lút vô hiệu hóa các máy ly tâm của Iran. Các quan chức Mỹ và Israel đã tìm cách làm chậm lại chương trình làm giàu [uranium] của Iran và gây lúng túng cho các nhà khoa học mà không phát hiện ra rằng một cuộc tấn công đã từng diễn ra. Họ đã đưa ra các biến thể của sâu vào các cơ sở của Iran trong khoảng thời gian vài năm, chỉ sau khi các tác chiến trinh sát đã thu thập được thông tin tình báo về các cơ sở, cách vận hành và các mạng máy tính của Iran. Các kỹ sư sau đó đã tinh chỉnh sâu đó bằng cách kiểm thử nó trong các bản sao cơ sở làm giàu [uranium] Natanz của Iran ở Mỹ. Như một chiến dịch từng tinh vi phức tạp cao độ, việc yêu cầu những đầu tư lớn thời gian và các tài nguyên, nhấn mạnh vào sự lén lút, nhiều cú đánh, và những hiệu ứng vật lý có hạn chế hơn là sự phá hủy ở phạm vi rộng, Stuxnet đã gần hơn với sự phá hoại hơn là một cuộc tấn công quân sự đầy đủ.

Operation Olympic Games, more commonly known as the Stuxnet worm, damaged Iran’s centrifuges and delayed its uranium enrichment efforts. As David Sanger reports in Confront and Conceal, President Obama expressed concern about collateral damage in the U.S.-Israeli cyber attack on Iran’s nuclear program. The president didn’t want to set a precedent that would enable other actors to justify similar cyber attacks. But he concluded that the need to delay Iran’s progress toward a nuclear-weapons capability was worth the risk in this instance, while his national-security team judged that it was too early to develop a conceptual framework for evaluating the use of cyber weapons.

Despite the administration’s decision to grapple with broader policy issues later, Stuxnet raises fundamental questions about cyber weapons. The United States authorized the operation in peacetime rather than in an armed conflict. Yet the operation fits the definition of a cyber attack, an attempt to destroy, degrade, or alter systems, typically to cause a secondary effect in the physical world. The United States manipulated Iranian computer systems to physically damage Iranian infrastructure. The operation was thus more than cyber exploitation, which covertly mines information from networks without authorization.

Many believe Iran is responsible for a wave of denial of service attacks on U.S. banks, though it is unclear if that was retaliation for Stuxnet, assassinations of Iranian scientists, other perceived offenses, or part of Iran’s consistently belligerent behavior. Setting aside the complexities of U.S.-Iranian relations, Sanger’s reporting illuminates dangers associated with cyber attacks that U.S. policy must address.

The physical effects of the operation were limited to covertly disabling Iranian centrifuges. U.S. and Israeli officials sought to slow down Iran’s enrichment program and confuse scientists without revealing that an attack was underway. They introduced variants of the worm into Iranian facilities over a period of several years, only after reconnaissance operations gathered intelligence about Iranian facilities, operations, and computer networks. Engineers then refined the worm by testing it on U.S. replicas of Iran’s Natanz enrichment facility. As an operation that was highly sophisticated, requiring large investments of time and resources, an emphasis on concealment, multiple strikes, and limited physical effects rather than large-scale destruction, Stuxnet was closer to sabotage than a full military attack.

Điều Mỹ và Israel đã thực thi kế hoạch này là gây kinh ngạc, dù Stuxnet đã không làm thỏa mãn được các tiêu chuẩn thành công của riêng nó, về một mặt: theo Sanger, sâu đó đã không bao giờ từng có ý định đi dạo bên ngoài các mạng được cách ly nhưng còn có những lỗ hổng khí của Natanz. Nhưng một lỗi trong mã nguồn đã làm cho sâu tự nhân bản mình và lan truyền khi một kỹ thuật viên người Iran đã kết nối một máy tính xách tay bị lây nhiễm tới Internet. May thay, sâu đó đã không gây ra thiệt hại diện rộng vì nó đã được thiết kế để ảnh hưởng tới chỉ các cơ sở làm giàu của Iran; tuy nhiên, việc đi du lịch xa của Stuxnet gợi ra vài kịch bản ác mộng. Hãy tưởng tượng nếu sâu Stuxnet đã gây ra sự phá hủy nhiều hơn nhiều so với mong đợi. Liệu Iran có trả thù thông qua các cuộc tấn công khủng bố hay các vũ khí thông thường? Liệu sự thiệt hại diện rộng có gây hại cho hạ tầng dân sự của Iran có làm suy yếu đi sự hỗ trợ quốc tế cho những trừng phạt hay không? Làm thế nào các quốc gia khác có thể phản ứng nếu Stuxnet đã gây thiệt hại cho hạ tầng của họ, đặc biệt một khi họ đã phát hiện ra ai đã tạo ra sâu đó? Mỗi trong số các đầu ra đó có thể đã làm xói mòn các mục tiêu chiến lược của Mỹ và làm bật dậy các vấn đề chưa từng được biết tới.

Những nỗ lực để tùy biến các cuộc tấn công trong tương lai đối với các mục tiêu đặc thù và tinh chỉnh các hiệu ứng về độ chính xác của chúng có thể thất bại. Đưa ra những sự không chắc chắn, các vũ khí KGM cũng sẽ ảnh hưởng tới nước Mỹ nữa. Các mạng và hệ thống máy tính có khả năng bị tổn thương hỗ trợ cho các hoạt động kinh tế, các khả năng quân sự và các dịch vụ xã hội của nước Mỹ như các hạ tầng sống còn. Ngay như các quan chức Mỹ đã kết luận các tác động và rủi ro của chiến dịch Stuxnet là tỷ lệ với sự thưởng phạt, các quốc gia khác có thể đạt tới được những kết cục tương tự về các cuộc tấn công KGM chống lại nước Mỹ. Việc cải thiện phòng thủ KGM, các khả năng quy kết tội và phát triển các lựa chọn trả đũa tin cậy sẽ đóng một vai trò quan trọng trong việc ngăn chặn và làm giảm nhẹ các cuộc tấn công trực tiếp KGM, nhưng việc gia tăng các virus được tung ra tại các quốc gia khác cuối cùng có thẻ thâm nhập và gây hại cho các mạng của Mỹ.

That the United States and Israel executed this plan is astounding, though Stuxnet failed to satisfy its own standards of success in one regard: according to Sanger, the worm was never intended to travel outside Natanz’s isolated, air-gapped networks. But an error in the code caused the worm to replicate itself and spread when an Iranian technician connected an infected laptop computer to the internet. Fortunately, the worm did not cause widespread damage because it was engineered to affect Iranian enrichment facilities only; however, Stuxnet’s unauthorized globetrotting evokes several nightmare scenarios. Imagine if the Stuxnet worm caused far more destruction than expected. Would Iran have retaliated via terrorist attacks or conventional weapons? Would widespread damage to Iranian civilian infrastructure have weakened international support for sanctions? How would other countries have reacted if Stuxnet damaged their infrastructure, especially once they discovered who created the worm? Each of these outcomes would have undermined U.S. strategic objectives and triggered unforeseen problems.

Efforts to customize future attacks to specific targets and calibrate their precise effects might fail. Given these uncertainties, cyber weapons appear to be a niche capability. Their use may be justified in a handful of scenarios. In fact, Sanger reports that the United States moved forward with Stuxnet because it was a safer alternative to conventional strikes. Yet Stuxnet does not prove that cyber attacks are low-risk operations. Rather, it suggests that the effects, and thus the risks, of cyber attacks are unpredictable. Thus Stuxnet should instill caution in U.S. operations as much as it boosts confidence.

But U.S. policy for using cyber weapons is only part of the equation. How other countries wield cyber weapons will affect the United States as well. Vulnerable computer networks and systems support U.S. economic activities, military capabilities, and societal services such as critical infrastructure. Just as U.S. officials concluded the effects and risks of the Stuxnet operation were proportionate to the payoffs, other countries might reach similar conclusions about cyber attacks against the United States. Improving cyber defenses, attribution capabilities, and developing credible retaliatory options will play an important role in deterring and mitigating direct cyber attacks, but cascading viruses launched at other countries could eventually penetrate and damage U.S. Networks.

Dịch: Lê Trung Nghĩa

letrungnghia.foss@gmail.com