Cộng đồng mã nguồn mở đang phải đối mặt với một cuộc khủng hoảng ngày càng gia tăng khi các hệ thống bảo mật tự động của Google ngày càng đánh dấu các ứng dụng tự lưu trữ hợp pháp là những trang web nguy hiểm. Vấn đề này được phát hiện khi Immich, một giải pháp quản lý ảnh tự lưu trữ phổ biến, phát hiện ra rằng dịch vụ Safe Browsing của Google đã đánh dấu toàn bộ tên miền của họ là độc hại, khiến dịch vụ của họ không thể truy cập được đối với hầu hết người dùng. Sự việc đã làm dấy lên mối quan ngại rộng rãi trong giới nhà phát triển và người dùng phần mềm tự lưu trữ, tiết lộ những lỗ hổng cơ bản trong cách các công ty công nghệ lớn xử lý các dự án mã nguồn mở và tự lưu trữ.
Hiệu Ứng Domino của Việc Đánh Dấu Tên Miền
Khi dịch vụ Safe Browsing của Google đánh dấu một tên miền phụ là có khả năng nguy hiểm, hậu quả có thể lan truyền trên toàn bộ tên miền. Điều này đã xảy ra với Immich khi môi trường xem trước của họ bị tự động đánh dấu, khiến mọi dịch vụ trên tên miền immich.cloud không thể truy cập được thông qua các trình duyệt sử dụng cơ sở dữ liệu Safe Browsing của Google. Vấn đề không chỉ giới hạn ở Immich - nhiều dự án mã nguồn mở khác bao gồm Jellyfin, NextCloud và n8n cũng đã báo cáo những trải nghiệm tương tự. Điều đáng lo ngại là đây đều là các triển khai hợp pháp của phần mềm mã nguồn mở, không phải là các nỗ lực mạo danh độc hại.
Nếu bạn định lưu trữ nội dung người dùng trên các tên miền phụ, thì có lẽ bạn nên có trang web của mình trong Danh sách Hậu tố Công cộng (Public Suffix List).
Danh sách Hậu tố Công cộng (Public Suffix List) là một danh sách do cộng đồng duy trì các hậu tố tên miền, giúp trình duyệt và các dịch vụ internet khác hiểu được hệ thống phân cấp tên miền. Việc có mặt trong danh sách này có thể ngăn chặn một tên miền phụ bị xâm phạm ảnh hưởng đến toàn bộ tên miền.
Các dự án bị ảnh hưởng bởi cờ Safe Browsing tương tự:
- Jellyfin
- YunoHost
- n8n
- NextCloud
- Nhiều triển khai Immich khác nhau
Chi Phí Ẩn Của Bảo Mật Tự Động
Đối với người dùng cá nhân đang chạy các dịch vụ tự lưu trữ, tác động có thể rất tàn khốc. Một người dùng báo cáo rằng tên miền cá nhân của họ, đã được sử dụng trong 25 năm mà không có bất kỳ sự cố bảo mật nào, đột nhiên bị đánh dấu sau khi chia sẻ một liên kết album ảnh Immich qua email. Tên miền này trở nên hoàn toàn không thể truy cập được thông qua Chrome và các trình duyệt khác sử dụng Safe Browsing, ảnh hưởng không chỉ đến dịch vụ ảnh mà còn tất cả các dịch vụ khác trên tên miền đó. Tính chất tự động của các cờ này đồng nghĩa với việc có rất ít biện pháp khắc phục ngoài việc gửi yêu cầu xem xét thông qua Google Search Console và hy vọng được can thiệp thủ công.
Tình hình thậm chí còn trở nên có vấn đề hơn đối với các mạng nội bộ và những người đam mê homelab. Người dùng báo cáo rằng ngay cả các tên miền hoàn toàn nội bộ chưa bao giờ được tiếp xúc với internet công cộng cũng có thể bị đánh dấu, cho thấy rằng các phương pháp phát hiện của Google có thể mở rộng ra ngoài việc thu thập thông tin web công cộng để bao gồm các nguồn dữ liệu khác như nhật ký minh bạch chứng chỉ hoặc thậm chí nội dung email được quét.
Giải Pháp Kỹ Thuật Tạm Thời và Của Cộng Đồng
Cộng đồng nhà phát triển đã xác định được một số giải pháp tiềm năng, mặc dù nhiều người cảm thấy đây chỉ là các biện pháp tạm thời cho một hệ thống về cơ bản đã bị hỏng. Di chuyển môi trường xem trước và nội dung hướng đến người dùng sang các tên miền riêng biệt là một cách tiếp cận, như Immich dự định làm với tên miền immich.build mới của họ. Một cách khác là sử dụng các tên miền phụ không mô tả rõ ràng để không kích hoạt bộ phát hiện mạo danh của Google, mặc dù điều này tạo ra những thách thức về khả năng sử dụng riêng.
Một số nhà phát triển ủng hộ việc sử dụng rộng rãi hơn Danh sách Hậu tố Công cộng, trong khi những người khác đặt câu hỏi liệu bảo mật internet có nên phụ thuộc vào các danh sách đặc biệt được duy trì bởi các công ty tư nhân hay không. Độ phức tạp kỹ thuật của các giải pháp này làm nổi bật mức độ khó khăn ngày càng tăng đối với các dự án nhỏ và người dùng cá nhân khi phải điều hướng trong bối cảnh bảo mật internet đang phát triển.
Các Giải Pháp Phổ Biến Được Thảo Luận:
- Sử dụng các tên miền riêng biệt cho các mục đích khác nhau (production, staging, previews)
- Thêm tên miền vào Public Suffix List
- Sử dụng tên subdomain không đặc trưng để tránh kích hoạt phát hiện mạo danh
- Triển khai robots.txt để chặn các công cụ tìm kiếm thu thập dữ liệu từ các dịch vụ nội bộ
Hàm Ý Rộng Hơn Đối Với Tự Lưu Trữ
Mô hình đánh dấu tự động này đại diện cho một mối đe dọa đáng kể đối với hệ sinh thái tự lưu trữ. Như một bình luận viên đã lưu ý, hành vi của Google ở đây một cách ngẫu nhiên đã khuyến khích việc đăng ký hàng loạt các tên miền dùng một lần, điều này không làm cho mọi thứ tốt hơn chút nào. Chính các biện pháp bảo mật được thiết kế để bảo vệ người dùng có thể đang đẩy các hoạt động hợp pháp theo hướng tiếp cận quản lý tên miền mang tính chất vứt bỏ và ít chịu trách nhiệm hơn.
Sự việc này đặt ra những câu hỏi quan trọng về sự tập trung quyền lực trong tay một số ít gã khổng lồ công nghệ. Khi các hệ thống tự động của một công ty duy nhất có thể loại bỏ quyền truy cập vào các dịch vụ hợp pháp một cách hiệu quả với ít biện pháp khắc phục, nó tạo ra một hệ sinh thái mong manh nơi các dự án mã nguồn mở và người dùng cá nhân phải liên tục thích ứng với các quy tắc mờ ám và thay đổi.
Cộng đồng tự lưu trữ tiếp tục đổi mới bất chấp những thách thức này, nhưng sự cố với Immich đóng vai trò như một lời nhắc nhở rõ ràng về vị thế bấp bênh mà các dự án mã nguồn mở đang chiếm giữ trong internet tập trung ngày nay. Khi các hệ thống bảo mật tự động trở nên hung hăng hơn, nhu cầu về các quy trình minh bạch, công bằng để xử lý các báo động sai ngày càng trở nên cấp thiết.
Tham khảo: Google flags Immich sites as dangerous