Flock × Uber: Khi mạng lưới giám sát di động đâm vào điểm mù bảo mật

Giữa tháng 4, một kỹ sư phần mềm ở San Francisco bước lên chiếc Uber về nhà. Anh phát hiện một camera nhỏ gắn sau kính lái, có logo Flock Safety. Anh chụp ảnh và đăng lên mạng xã hội. Trong vòng 48 giờ, cả Uber và Flock xác nhận chương trình thí điểm: hàng nghìn xe Uber tại ba thành phố của Mỹ sẽ trở thành mắt di động, quét biển số của mọi chiếc xe đi ngang. Dư luận chia làm hai phe. Một phe gọi đây là chiến thắng của an ninh đô thị. Phe còn lại gọi nó là thảm họa quyền riêng tư. Còn tôi, sau 17 năm đọc mã nguồn và audit hợp đồng thông minh, phản ứng đầu tiên không phải là đạo đức, mà là kỹ thuật: dữ liệu được lưu ở đâu, ai có quyền truy cập, và làm thế nào để kiểm chứng nó không bị lạm dụng? Không một câu trả lời nào được công bố. Flock Safety không phải là cái tên xa lạ với người theo dõi thị trường giám sát Mỹ. Startup này vận hành hơn 100.000 camera gắn trên cột đèn, nhận diện biển số và phân loại xe: hãng, màu sơn, đồ vật trên nóc. Dữ liệu này được chia sẻ cho hàng trăm sở cảnh sát qua một nền tảng duy nhất. Với Uber, Flock mở rộng vùng phủ mà không cần lắp thêm trụ camera. Chính những chiếc xe đang chở khách sẽ quét dọc từng con phố mỗi ngày. Về bản chất, đây là một mạng lưới cảm biến lưu động, nơi tài xế Uber trở thành nhân viên thu thập dữ liệu bán thời gian. Điều đáng sợ không nằm ở camera. Điều đáng sợ nằm ở kiến trúc hạ tầng dữ liệu mà hai công ty đang dựng lên. Hãy nhìn vào luồng dữ liệu. Camera trên xe ghi nhận biển số, tọa độ GPS và thời gian. Tất cả được chuyển lên cloud của Flock, nơi một mô hình AI độc quyền xử lý, lưu trữ không thời hạn. Với một thành phố có 50.000 xe Uber hoạt động, mỗi xe chạy tám giờ mỗi ngày và quét khoảng 500 biển số mỗi giờ, con số đi qua một trung tâm duy nhất có thể lên tới 200 triệu lượt mỗi ngày. Đó là một kho dữ liệu khổng lồ về hành trình của hàng triệu người, tất cả đổ vào một điểm lỗi đơn lẻ. Trong các audit blockchain, tôi thường gọi đây là single point of failure. Hệ thống càng lớn, hậu quả khi điểm đó sụp đổ càng thảm khốc. Trong quá khứ, Flock từng dính bê bối nhân viên nội bộ tra cứu biển số xe theo yêu cầu cá nhân, và cảnh sát dùng công cụ này để theo dõi người yêu cũ. Flock nói rằng họ đã thêm các lớp kiểm soát truy cập. Nhưng không có bằng chứng độc lập nào cho thấy nhật ký truy cập được lưu trữ bất biến. Đây là một lỗi kinh điển mà tôi từng thấy trong hợp đồng thông minh: khi admin có quyền sửa log, log đó không còn giá trị chứng minh. Hệ thống giám sát càng tập trung, quyền lực của một nhóm nhỏ kỹ sư và quản trị viên càng lớn. Và không ai có thể kiểm chứng họ đang nhìn dữ liệu của ai, vào lúc nào, vì mục đích gì. Vấn đề cốt lõi không nằm ở camera hay AI. Nó nằm ở quyền sở hữu dữ liệu và thiếu lớp xác minh độc lập. Trong các hệ thống phi tập trung, chúng ta có cơ chế đồng thuận, mã hóa phân tán và bằng chứng không tiết lộ để chứng minh một sự kiện đã xảy ra mà không cần phơi bày nội dung. Ví dụ, một hệ thống giám sát có thể chứng minh rằng một chiếc xe màu đỏ đi qua giao lộ X lúc 8 giờ sáng mà không cần tiết lộ biển số hay toàn bộ video. Cơ quan thực thi pháp luật vẫn có thể truy vấn khi có lệnh tòa, còn người dân có thể kiểm tra bằng chứng để đảm bảo dữ liệu của họ không bị dùng sai mục đích. Kỹ thuật này đã chín muồi. Nhưng Flock và Uber không áp dụng. Bởi vì mô hình kinh doanh của Flock dựa trên việc thu thập càng nhiều dữ liệu càng tốt. Minh bạch là kẻ thù của doanh thu. Điểm mù nằm ở một nơi mà hầu như không ai ngờ tới: chính sách tự nguyện của tài xế Uber. Tài xế tham gia được trả một khoản phụ cấp nhỏ hàng tháng, khoảng 50 đô la, để gắn camera và giữ nó hoạt động. Nhưng liệu tài xế có hiểu rằng họ đang trở thành một mắt xích trong mạng lưới giám sát toàn thành phố? Họ có thể đang ghi lại hành trình của hành khách, bạn bè, người thân của chính họ. Tôi nhớ lại lỗi batchTransfer của ShibeCoin năm 2017. Đó là một hàm tưởng chừng vô hại, cho phép gửi token đến nhiều địa chỉ, nhưng thiếu kiểm tra giá trị đi kèm. Ai cũng có thể tự đúc token giả. Tài xế Uber đang ở vị trí tương tự: họ được trả một khoản nhỏ để vận hành một bộ phận của cỗ máy có tác động lớn đến xã hội, mà không hề có quyền kiểm soát thứ dữ liệu họ thu thập. Về mặt bảo mật phần cứng, camera trên xe di động là một vector tấn công mới. Một chiếc camera LTE với GPS có thể bị nhiễu tín hiệu, hoặc tệ hơn, bị chiếm quyền điều khiển nếu không có cơ chế xác thực phần cứng. Nếu kẻ tấn công giành quyền ghi dữ liệu giả lên cloud của Flock, cảnh sát có thể bị dẫn dắt bởi các bằng chứng sai. Trong một hệ thống không có chữ ký số từ thiết bị gốc, không có cách nào phân biệt giữa dữ liệu thật và dữ liệu giả. Đây là một lỗi validate input khác, nhưng ở quy mô toàn thành phố. Tôi từng dành ba tuần để mổ xẻ một hợp đồng ERC-20 và tìm ra lỗi thiếu kiểm tra quyền ghi. Ở đây, quyền ghi thuộc về bất kỳ ai sở hữu một chiếc xe Uber. Và hậu quả không phải là token giả, mà là bản đồ chuyển động của hàng trăm nghìn con người. Một khía cạnh nữa mà thị trường đang bỏ qua: trách nhiệm pháp lý. Uber khẳng định tài xế là nhà thầu độc lập. Do đó, khi tài xế tham gia chương trình này, họ tự chịu trách nhiệm về những gì camera ghi lại. Lách qua kẽ hở lao động để né trách nhiệm về quyền riêng tư. Nếu một vụ lạm dụng bị phanh phui, Uber sẽ nói rằng đó là lỗi của tài xế, còn Flock sẽ nói rằng họ chỉ cung cấp nền tảng. Nhưng với cấu trúc tập trung hiện tại, mọi thứ cuối cùng đều đổ dồn về một trung tâm dữ liệu duy nhất. Và trung tâm đó thuộc về ai? Một công ty tư nhân có mô hình doanh thu dựa trên việc bán quyền truy cập dữ liệu cho các sở cảnh sát. Không điều khoản hiến pháp nào ràng buộc Flock, không yêu cầu lệnh tòa, không giới hạn thời gian lưu trữ. Tôi không phản đối việc dùng công nghệ để giảm tội phạm. Tôi phản đối việc xây dựng một hệ thống thu thập dữ liệu khổng lồ mà không có lớp kiểm toán độc lập. Blockchain không phải là câu trả lời cho tất cả, nhưng nó cung cấp một khuôn khổ tối thiểu: dữ liệu nhạy cảm được mã hóa, xác thực nguồn gốc, và có nhật ký bất biến ghi lại ai đã truy cập, lúc nào. Nếu Flock thực sự muốn minh bạch, họ có thể đưa hash của từng bản ghi truy cập lên một sổ cái công khai. Chỉ cần vậy. Nhưng họ sẽ không làm, vì minh bạch làm giảm giá trị của dữ liệu. Dữ liệu càng ít người biết đến, doanh thu từ việc bán quyền truy cập càng cao. Câu hỏi cuối tôi dành cho các kỹ sư đang làm việc tại Flock hoặc Uber: các bạn có dám thiết kế một hệ thống mà ngay cả bản thân các bạn, với tư cách admin, cũng không thể truy cập dữ liệu người dùng nếu không có sự đồng thuận của một bên thứ ba độc lập? Nếu câu trả lời là không, thì mọi lời hứa về quyền riêng tư chỉ là một lớp sơn mỏng trên tòa nhà không có cột chống. Công nghệ mã hóa và đồng thuận đã đủ trưởng thành để giải quyết bài toán này. Vấn đề không phải là công nghệ. Vấn đề là ai đang cầm chìa khóa.