Vụ VeraCrypt 'Sống Lại': Khi Bảo Mật Của Cả Thế Giới Treo Trên Vai Một Lão Dev Không Lương

Đang ngồi code dạo bình yên thì đùng một phát, cõi mạng rần rần vì một cái thread trên SourceForge. Chuyện là maintainer của VeraCrypt – phần mềm mã hóa ổ đĩa top 1 server hiện nay – tự nhiên lặn mất tăm suốt nhiều tháng trời. Mấy ông thần lưu key crypto hay giấu tài liệu mật trên máy tính bắt đầu rén ngang, sợ lại có một vụ "TrueCrypt 2.0" hoặc tệ hơn là bị cấy backdoor. May thay, lão đã ngoi lên.

Tóm tắt vụ "mất tích" làm giang cư mận hú vía

Cho anh em nào lính mới chưa biết, VeraCrypt là hậu duệ của TrueCrypt. Năm xưa TrueCrypt đang xịn xò con bò thì bỗng dưng dev team tuyên bố "dự án không còn an toàn" rồi tự hủy luôn, để lại một trong những bí ẩn lớn nhất lịch sử bảo mật.

VeraCrypt đứng ra kế thừa di sản đó. Nhưng ngặt một nỗi, dự án to tổ chảng này gần như chỉ do một mình Mounir Idrassi gánh vác. Gần đây, các commit trên Github đột nhiên ngừng hẳn. Email không ai rep. Forum vắng như chùa Bà Đanh.

Dân tình bắt đầu đồn đoán: Lão bị NSA gõ đầu? Lão bị hack? Hay lão đã "đăng xuất" khỏi Trái Đất? Đến khi drama lên tới đỉnh điểm, bay thẳng lên top 1 Hacker News với hơn 1200 điểm, thì Mounir mới trồi lên đăng một bài "Project Update". Hóa ra đ*o có thuyết âm mưu nào cả, lão chỉ gặp vấn đề nghiêm trọng về sức khỏe và gia đình nên không có thời gian cày code nữa. Hiện tại lão đã ổn và hứa sẽ sớm ra bản release mới.

Giang cư mận chia phe combat

Cái thread update này làm bùng nổ đủ mọi luồng ý kiến. Lội comment trên HN thì thấy rõ 3 phe:

1. Phe "Tạ ơn giời": Thở phào nhẹ nhõm. Data vẫn an toàn, không có vụ backdoor xz-utils thứ 2 nào ở đây cả. Chỉ cần dev còn thở là code còn chạy.
2. Phe "Thuyết âm mưu tinfoil hat": Mấy anh tăm tối thì vẫn bán tín bán nghi. "Chắc gì người viết post đó đã là Mounir? Nhỡ FBI mượn nick thì sao?" Nói chung với dân làm bảo mật thì thà nghi lầm còn hơn bỏ sót.
3. Phe "Giác ngộ chân lý": Đây là nhóm thực dụng nhất, và họ chỉ ra một sự thật cay đắng: Bus Factor của VeraCrypt bằng 1. Nghĩa là nếu lão Mounir ra đường lỡ bị xe bus tông (hoặc ốm đau như vừa rồi), toàn bộ hệ thống mã hóa của hàng triệu người sẽ đứng hình.

Góc nhìn từ Coding4Food: Lời nguyền Open Source

Tóm cái váy lại, vụ này là một cái tát lật mặt cho các tập đoàn nghìn tỷ đang xài chùa Open Source.

Chúng ta đang xây dựng các hệ thống bảo mật, deploy trên các máy chủ đắt tiền, nhưng nền móng cốt lõi lại phụ thuộc vào sự rảnh rỗi và sức khỏe của MỘT lão dev không nhận được đồng lương nào. Sự vô lý này đã lặp đi lặp lại từ vụ Log4j, xz-utils, và giờ là VeraCrypt.

Bài học sinh tồn cho anh em dev:

• Đừng mù quáng tin tưởng tuyệt đối vào bất cứ tool nào, dù nó có là huyền thoại. Luôn có plan B (như BitLocker, LUKS) backup khi cần.
• Đừng ngần ngại donate cho các dự án Open Source bạn đang dùng để kiếm cơm.
• Cuối cùng, code ít thôi, chú ý sức khỏe. Dev ốm một cái là bao nhiêu repo thành mồ côi hết.

---

Nguồn hóng hớt:

• Hacker News Thread (1201 points)
• SourceForge Original Update