Bài viết này sẽ phân tích về những khả năng áp dụng của hai ngành Luật kể trên trong việc điều chỉnh các cuộc tấn công mạng và những thách thức gặp phải nếu những qui định hiện hành của
KHÁI QUÁT CHUNG VỀ CÁC CUỘC TẤN CÔNG MẠNG MÁY TÍNH
Khái niệm và đặc điểm của các cuộc tấn công mạng
Trước khi đi vào phân tích các khía cạnh pháp lí của các hành vi tấn công mạng, ta cần làm rõ các hành vi thế nào thì được coi là “tấn công mạng”, đặc biệt là định nghĩa về các cuộc tấn công xảy ra trong khuôn khổ các cuộc xung đột vũ trang hay có khả năng cấu thành các cuộc xung đột được sử dụng được sử dụng trong bài viết này và các đặc trưng của hành vi tấn công “kiểu mới này”
Tuy có rất nhiều định nghĩa khác nhau, “tấn công mạng” được biết đến như một hành vi của một quốc gia hay một nhóm người sử dụng các phương tiện hay phương thức công nghệ nhắm vào quốc gia khác thông qua không gian mạng Có thể thấy rằng, các cuộc tấn công này được diễn ra trên một “chiến trường kiểu mới” – không gian mạng Không gian mạng là mạng lưới kết nối toàn cầu các thông tin số hoá và các cơ sở hạ tầng công nghệ thông tin, bao gồm Internet, mạng viễn thông, hệ thống xử lí máy tính và các thông tin chứa trong nó 2 Theo đó, việc một bên trong xung đột sử dụng máy tính của mình để gửi virus máy tính đến hệ thống máy tính của bên đối địch nhằm các chương trình trong hệ thống này được coi là một hành vi tấn công mạng Tuy vậy, hành vi sử dụng máy tính để điều khiến các máy bay ném bom lại không được xếp vào hành vi tấn công mạng theo định nghĩa trên 3 Đúng như tên gọi của nó, “tấn công mạng” là hành vi tấn công “kiểu mới” được các quốc gia sử dụng nhắm vào các hệ thống máy tính của nhau
Các hành vi tấn công trong xung đột của thời đại công nghệ thông tin phát triển này có rất nhiều những đặc trưng khiến nó được sử dụng ngày một nhiều bởi các bên xung đột Thứ nhất, địa điểm diễn ra của các cuộc tấn công mạng như đã nói ở trên chính là không gian mạng Nó hoàn toàn được tạo ra và duy trì bởi con người Bên cạnh đó, không gian mạng không bị giới hạn bởi các đường biên giới
2 Nils Melzer (2011), Cyberwarfare and International Law, The United Nations Institute for Disarmament Research, tr 4
3 như trên nên việc kiếm soát các hành vi tấn công mạng là rất khó khăn Thứ hai, với những tiện ích mà nó mạng lại, mạng Internet có số lượng người sử dụng là rất lớn nên các cuộc tấn công mạng có thể được thực hiện bởi bất kì chủ thể nào Các chính phủ, các tổ chức phi chính phủ, các công ty tư nhân hay thậm chí là một cá nhân cũng có thể là thủ phạm gây ra các cuộc tấn công mạng Chính vì vậy, việc truy tìm thủ phạm là rất khó khăn Cùng với sự phát triển của công nghệ, những kẻ gây ra các cuộc tấn công có thể giả mạo địa chỉ IP hay sử dụng botnets để che giấu máy chủ của kẻ tấn công 4 Thứ ba, với sự phát triển của công nghệ, các hành vi tấn công mạng được thực hiện dưới nhiều hình thức đa dạng và biến đổi không ngừng Nó không chỉ gây khó khăn cho các quốc gia trong việc ngăn chặn mà còn là một trong những yếu tố gây trở ngại cho cộng đồng quốc tế xây dựng một khung pháp lí nhằm kiểm soát và ngăn chặn tấn công mạng Phải nói rằng, hành vi tấn công mạng có rất nhiều ưu điểm so với với hành vi tấn công vũ trang truyền thống
Có thể thấy rằng, thay vì nhắm vào mục tiêu trực tiếp là các công trình quân sự hay người tham chiến, tấn công mạng nhắm vào các hệ thống máy tính của bên đối lập Với những ưu điểm mà nó đem lại, các quốc gia không ngần ngại đầu tư để thực hiện các cuộc tấn công loại này Vậy cần có những yếu tố gì để các bên trong xung đột có thể thực hiện hành vi này để chống lại đối thủ của mình và các cuộc tấn công “kiểu mới” được thực hiện dưới những hình thức nào? Phần tiếp theo của bài viết sẽ trả lời cho câu hỏi này
Botnet là tập hợp các máy tính bị nhiễm phần mềm độc hại và do tin tặc điều khiển từ xa, tạo thành một mạng lây lan và thực hiện các hành động phi pháp như tấn công mạng hoặc phát tán malware Đây được xem là công cụ kiếm tiền của hacker, được trình bày trong bài viết Tìm hiểu về mạng botnet – Công cụ kiếm tiền của hacker, có thể tham khảo tại http://jumla.vn/vi/tin-tuc/an-toan-thong-tin/2109-tim-hieu-ve-mang-botnet-cong-cu-kiem-tien-cua-hacker.html (truy cập ngày 21/6/2015).
Các yếu tố cần thiết để thực hiện một cuộc tấn công mạng và các hình thức tấn công
2.1 Các y ế u t ố để th ự c hi ệ n hành vi t ấ n công m ạ ng:
Tiếp đó, một lỗ hổng hay các điểm yếu của các thiết bị sẽ là yếu tố “mở đường” cho các kẻ tấn công Ví dụ như việc đặt mật khẩu không đủ an toàn hay không sử dụng các phần mềm ngăn chặn và diệt virus hay các phần mềm chưa đủ mạnh cũng sẽ biến hệ thống máy tính của bên trong xung đột làm “miếng mồi” cho bên kia
Yếu tố cuối cùng chính là payload Nó là một gói các dữ liệu được chứa trong các phần mềm độc hại mà máy tính của bên tấn công truyền tải cho các máy tính mục tiêu của nó Có thể lấy ví dụ khi máy tính bị nhiễm virus, những dữ liệu hay payload mà con virus đó mang theo có vai trò tự nhân số lượng và phá huỷ các phần mềm máy tính hay gửi các thông tin lưu trữ của máy tính bị nhiễm về máy chủ của nó
Cho dù các cuộc tấn công mạng có phức tạp đến đâu, chúng vẫn được cấu thành từ ba yếu tố căn bản giống như các cuộc tấn công truyền thống bằng súng đạn: động cơ và mục tiêu của kẻ tấn công, lỗ hổng bảo mật và điểm yếu có thể khai thác, cùng với công cụ, kỹ thuật và phương tiện tấn công được triển khai Hiểu rõ ba yếu tố này giúp nhận diện rủi ro, vá các lỗ hổng bảo mật và triển khai các biện pháp phòng thủ hiệu quả như giám sát an ninh, phát hiện xâm nhập và ứng phó sự cố.
5 Herbert Lin (Summer 2012), “Cyber Conflict and International Humanitarian Law”,
International Review of the Red Cross, Vol 94 (886), tr 517 là: tiếp cận mục tiêu, xác định sơ hở của mục tiêu và sử dụng các vũ khí để tấn công
2.2 Các hình th ứ c t ấ n công m ạ ng:
Trong bối cảnh chiến tranh hiện đại, các bên tham chiến theo đuổi mục tiêu tấn công hệ thống của đối phương để giành lợi thế quân sự Họ thực hiện nhiều hình thức khác nhau của hành động này, phân thành hai nhóm chính: (i) tấn công vào hệ thống máy tính của đối phương và (ii) khai thác thông tin nằm trong hệ thống đó để thu thập dữ liệu và củng cố lợi thế chiến lược.
Tấn công mạng, hay computer network attack, là các hành vi nhằm ngăn chặn, làm gián đoạn hoặc phá hủy toàn bộ hệ thống máy tính, khả năng kết nối và dữ liệu được lưu trữ bên trong Các hành động này có thể ngăn người dùng truy cập hoặc sử dụng tài nguyên của máy tính, như cuộc tấn công từ chối dịch vụ (DoS) từng được nhắc tới trong xung đột giữa Nga và Gruzia Bên cạnh đó, tấn công mạng còn có thể phá hủy hệ điều hành, xóa hoặc thay đổi các dữ liệu quan trọng Ví dụ nổi tiếng là virus Stuxnet, từng được cho là đã phát tán vào hệ thống máy tính điều khiển lò phản ứng hạt nhân ở Iran và được cho là do Mỹ và Israel thực hiện.
Khai thác mạng hay computer network exploitation là hành vi có chủ đích thâm nhập vào hệ thống máy tính hoặc mạng máy tính của bên đối lập trong xung đột nhằm lấy cắp các thông tin chứa đựng trong đó Khai thác mạng không nhằm gây ra bất cứ tác động nào lên hệ thống mà nó thâm nhập Thực chất, một hành vi khai thác mạng thành công nhất là khi không để lại dấu vết nào về sự thâm nhập và việc đánh cắp thông tin Các bên trong xung đột thực hiện hành động khai thác mạng để đánh cắp các bí mật quân sự quan trọng.
7 như trên lợi thế quân sự cho bên mình Vào thời đại số hoá thông tin như hiện nay, hành vi này được sử dụng nhiều không kém các hành vi tấn công mạng với mục đích phá huỷ hệ thống máy tính
Tuy được sử dụng với tên gọi là “tấn công mạng”, không phải hành vi tấn công mạng nào cũng nhằm mục đích tấn công mà chúng còn được sử dụng để khai thác các thông tin trên máy tính
Dù nhằm mục đích gì thì hậu quả mà chúng gây ra không kém gì các cuộc tấn công truyền thống bằng súng ống hay bom đạn Thế nhưng, các cuộc tấn công mạng mới chỉ gây sự chú ý cho cộng đồng quốc tế trong hai thập kỉ gần đây Chính vì vậy, luật quốc tế chưa có những qui định rõ ràng để điều chỉnh chúng Tuy nhiên không phải là các hành vi này nằm ngoài “vòng quản lí” của pháp luật quốc tế Vậy có khả năng nào để pháp luật quốc tế hiện hành, đặc biệt là hai ngành luật về chiến tranh là jus ad bellum và jus in bello Khả năng áp dụng của hai ngành luật này trong việc kiểm soát và hạn chế những hành vi tấn công mạng cũng như những thách thức và nó gặp phải nếu áp dụng các qui phạm hiện hành để áp dụng sẽ được phân tích trong các phần tiếp theo của bài viết
II ) JUS AD BELLUM VÀ CÁC CUỘC TẤN CÔNG MẠNG:
Đôi nét về jus ad bellum – Luật hạn chế sử dụng vũ lực
Jus ad bellum là thuật ngữ Latinh được dịch sang tiếng Anh là 'right to war', mang nghĩa quyền được tiến hành các cuộc chiến tranh Như đúng với tên gọi, lĩnh vực Luật này đưa ra các điều kiện và tiêu chuẩn để quyết định xem một cuộc chiến có được phép nổ ra hay không Nói cách khác, jus ad bellum gián tiếp hạn chế các quốc gia tiến hành chiến tranh thông qua các điều kiện và nguyên tắc mà nó đặt ra, góp phần duy trì trật tự và an ninh quốc tế.
Nguồn quan trọng nhất của ngành Luật hạn chế việc sử dụng vũ lực này chính là Hiến chương Liên Hợp Quốc 1945 Hiến chương ghi nhận một trong những nguyên tắc quan trọng nhất của luật quốc tế - nguyên tắc cấm sử dụng vũ lực và đe doạ sử dụng vũ lực 8 Ngoài ra, về vấn đề sử dụng vũ lực, Hiến chương còn cung cấp hai ngoại lệ về vấn đề này trong Điều 39 9 và Điều 51 10 Vậy hành vi tấn công mạng có được điều chỉnh bởi các qui định này của Hiến chương hay không và nếu có thì việc áp dụng các qui định có gặp thách thức gì ko?
Khả năng áp dụng Hiến chương trong điều chỉnh các hành vi tấn công mạng
Có rất nhiều ý kiến cho rằng ngành Luật hạn chế sử dụng vũ lực hiện hành, hay cụ thể hơn là Hiến chương Liến Hợp Quốc có khả năng áp dụng đối với các hành vi tấn công thông qua không gian mạng nhưng cũng ít các ý kiến phản đối nhận định này Để có cái nhìn rõ hơn về các quan điểm trái chiều này, phần tiếp theo này của bài viết sẽ phân tích khả năng các cuộc tấn công thuộc nhóm (i) các hành vi sử dụng vũ lực bị cấm ở Điều 2(4), (ii) các mối đe doạ hoà bình, phá hoại hoà bình hoặc hành vi xâm lược cần đến sự can thiệp của Hội đồng bảo an hay (iii) các cuộc tấn công vũ trang dẫn đến việc các quốc gia thực thi quyền tự vệ của mình theo Điều 51
8 Hiến chương Liên Hợp Quốc, ngày 26 tháng 6 năm 1945, Điều 2(4)
Hiệp hội Liên Hợp Quốc được ký ngày 26 tháng 6 năm 1945, Điều 39 quy định rằng Hội đồng Bảo an xác định sự tồn tại của mọi mối đe dọa tới hòa bình, sự phá hoại hòa bình hoặc hành vi xâm lược và đưa ra kiến nghị hoặc quyết định về các biện pháp phù hợp theo Điều 41 và Điều 42 để ứng phó với tình huống đó.
42 để duy trì hoặc khôi phục hoà bình và an ninh quốc tế.”
10 Hiến chương Liên Hợp Quốc, ngày 26 tháng 6 năm 1945, Điều 51: “Không có một điều khoản nào trong Hiến chương này làm tổn hại đến quyền tự vệ cá nhân hay tập thể chính đáng trong trường hợp thành viên Liên hợp quốc bị tấn công vũ trang cho đến khi Hội đồng bảo an chưa áp dụng được những biện pháp cần thiết để duy trì hoà bình và an ninh quốc tế ”
2.1 Nguyên tắc cấm sử dụng vũ lực có bao trùm lên các hành vi tấn công mạng? Điều 2(4) của Hiến chương Liên Hợp Quốc 1945 có qui định: “Tất cả các quốc gia thành viên Liên Hợp Quốc từ bỏ đe doạ vũ lực hoặc sự dụng vũ lực trong quan hệ quốc tế nhằm chống lại sự bất khả xâm phạm về lãnh thổ hay nền độc lập chính trị của bất kì quốc gia nào cũng như bằng cách khác trái với mục đích của Liên Hợp Quốc” Đây cũng là một trong những nguyên tắc cơ bản của Luật Quốc tế Yếu tố quan trọng của nguyên tắc này đó việc “cấm sử dụng và đe doạ sử dụng vũ lực” Vậy “vũ lực” ở đây hay từ Tiếng Anh là “force” có bao gồm các cuộc tấn công mạng không? Vì lí do chưa có một văn kiện pháp lí mang tính ràng buộc nào ghi nhận điều này nên tồn tại hai luồng ý kiến trái ngược nhau về vấn đề này
Hầu hết các ý kiến phản đối đều có chung một hướng tiếp cận rằng các cuộc tấn công truyền thống thường gây ra thiệt hại trực tiếp về người và tài sản còn tấn công mạng thì chỉ gây ra hậu quả một cách gián tiếp Trong quá trình soạn thảo Hiến chương, các nhà soạn thảo không chủ định mở rộng phạm vi của nguyên tắc cấm sử dụng vũ lực đến cả các hành vi không gây hậu quả trực tiếp như các lệnh trừng phạt kinh tế hay gây áp lực chính trị 11 Ví dụ như Điều 42 của Hiến chương phân biệt rõ các biện pháp sử dụng lực lượng hải, lục và không quân của Hội đồng bảo an trong trường hợp có mối đe doạ hoà bình và an ninh thế giới hay có thể nói cách khác là các biện pháp sử dụng vũ lực và các biện pháp vi vũ lực của Điều 41 như cắt đứt các phương tiện thông tin liên lạc của một quốc gia
Nếu vậy, theo các ý kiến thì những hành vi tấn công như tấn công từ chối dịch vụ được thực hiện trong chiến tranh giữa Nga và Gruzia Thông qua việc phối hợp và truy cập liên tục cùa nhiều máy tính, các kẻ tấn công đã khiến cho các trang web bị tấn công chậm đi một cách đáng kể và làm quá tải tài nguyên hệ thống DoS tuy không trực tiếp gây tổn hại cho người hay tài sản như các hành vi đánh bom nhưng hậu quả của sẽ là khôn lường nếy nó được nhắm tới các trang mạng như giao dịch
11 Nils, tlđd note 2, tr 7 ngân hàng hay cổng thanh toán thẻ tín dụng Tuy vậy, nếu theo cách giải thích như trên về nguyên tắc cấm sử dụng vũ lực thì hành vi này tuy gây tổn hại nhưng không bị cấm bởi nguyên tắc
Chính vì những lí do đó, rất nhiều các học giả đã đưa ra cách giải thích đối với Điều 2(4) nhằm đưa các hành vi tấn công mạng vào phạm vi sử dụng vũ lực của Hiến chương Do không có định nghĩa về “vũ lực” trong các văn bản của Liên Hợp Quốc nên theo Điều 31 của Công ước Viên 1969 về Điều ước quốc tế, “một điều ước cần được giải thích với thiện chí phù hợp với nghĩa thông thường được nêu đối với những thuật ngữ của điều ước trong nguyên bản của chúng và chú trọng đến đối tượng và mục đích của điều ước” Vì vậy, nếu Điều 2(4) được giải thích theo good faith, hành vi “sử dụng vũ lực” sẽ có nghĩa rộng hơn so với những giải thích được nêu ở trên Nhìn vào mục đích và đối tượng của Hiến chương ở Lời mở đầu, ta có thể thấy rằng Hiến chương nhằm “phòng ngừa cho những thế hệ tương lai khỏi thảm hoạ chiến tranh đã hai lần trong đời chúng ta gây ra cho nhân loại đau thương không kể xiết” Với thời đại công nghệ ngày càng phát triển như hiện nay, có thể nói rằng các hành vi tấn công mạng hoàn toàn có khả năng gây ra các hậu quả không kém gì các cuộc chiến tranh thế giới đã xảy ra trong quá khứ Vì vậy, tấn công mạng không thể bị loại ra khỏi phạm vi của nguyên tắc cấm sử dụng vũ lực
Có thể lúc soạn thảo Hiến chương, từ “vũ lực” chỉ để chỉ các cuộc tấn công vũ trang nhưng không có nghĩa là nó chỉ bó hẹp trong phạm vi đó thôi Trong Vụ việc liên quan đến hành động quân sự và bán quân sự của Mỹ ở Nicaragua, Toà Công lý quốc tế (“ICJ”) đã đưa ra nhận định của mình rằng Hiến chương không bao quát hết tất cả những khía cạnh điều chỉnh hành vi sử dụng vũ lực mà bên cạnh đó các hành vi này còn được điều chỉnh bởi tập quán 12 Hiện tại, chưa tồn tại một qui phạm tập quán nào điều chỉnh tấn công mạng nhưng tập quán hoàn toàn có thể hình thành trong tương lai dựa vào thực tiễn quốc gia
12 Vụ Hoạt động Quân sự và Bán Quân sự chống lại Nicaragua (Nica v US) (Phán quyết)
Theo Michael Schmitt trong một cuốn sách của mình về tấn công mạng, ông đưa ra quan điểm rằng các quốc gia nên suy nghĩ về việc đưa hành vi tấn công mạng vào danh sách những hành động sử dụng vũ lực khi các cuộc tấn công “kiểu mới” này diễn ra ngày càng nhiều và có thể gây ảnh hưởng đến bất cứ quốc gia nào 13 Tuy vậy, nhiều quốc gia mang ý định thực hiện các cuôc tấn công chống lại các quốc gia đối địch của mình thông qua không gian mạng lại rất cân nhắc khi thực hiện những điều trên
Những người ủng hộ việc đặt tấn công mạng vào phạm vi của nguyên tắc cấm sử dụng vũ lực thông qua việc xây dựng một qui phạm tập quán mới cũng đưa ra các yếu tố mà một quốc gia nên cân nhắc để xác định một hành vi tấn công mạng có nên được coi là “sử dụng vũ lực” hay không Những yếu tố này nhằm cân bằng lợi ích của các quốc gia khi họ vừa muốn ngăn chặcn các hành vi này xảy đến với mình vừa muốn duy trì quyền tự do được hành động của mình:
Yếu tố đầu tiên trong đánh giá tấn công mạng là Mức độ nghiêm trọng, được tính toán dựa trên qui mô, phạm vi và thời gian kéo dài của những thiệt hại gây ra bởi hành vi tấn công mạng Yếu tố này giúp loại bỏ các hành vi tấn công chỉ gây ra sự bất tiện cho người dùng.
Một yếu tố quan trọng mà các quốc gia nên cân nhắc là liệu hậu quả có thể xảy ra ngay sau khi cuộc tấn công được tiến hành hay không Theo yếu tố này, những hành vi có hậu quả phải mất một thời gian dài mới xuất hiện sẽ không nên được coi là hành vi “sử dụng vũ lực”, ví dụ như hành vi khai thác mạng, vì tác động của chúng có thể không gây ra ngay lập tức.
- Đề xuất thứ ba là về mối quan hệ giữa cuộc tấn công và hậu quả Nếu một hậu quả gây ra bởi một hành động sử dụng vũ lực truyền thống bị cấm do nó gay ra bởi các loại vũ khí sát thương trực tiếp thì tấn công
13 Michael N Schmitt (2011), “Cyber Operations and the Jus Ad Bellum Revisited”,
Villanova Law Review, Vol 56, tr 575
14 Schmitt, tlđd note 13, tr 576 mạng cũng không thể trở thành ngoại lệ 15 Một hành vi tấn công mạng phải được thực hiện nhằm mục đích gây ra sự phá hoại cho các công trình, sự thương tật hay ảnh hưởng đến tính mạng của con người thì nên bị cấm bởi nguyên tắc cấm sử dụng vũ lực
Thách thức đặt ra cho việc áp dụng Hiến chương điều chỉnh hành
Có rất nhiều các cuộc tranh cãi xoay quanh việc áp dụng jus ad bellum cho các hành động tấn công mạng Ngoài những lí do đã nêu trên, thì kể cả khi áp dụng thì Luật quốc tế hiện hành về hạn chế sử dụng vũ lực, cụ thể là Hiến chương Liên Hợp Quốc 1945, cũng gặp nhiều khó khăn để diều chỉnh phương thức tấn công “kiểu mới này”
Do Hiến chương chỉ ràng buộc các quốc gia thành viên của Liên Hợp Quốc nên hành vi gây ra bởi các cá nhân, nhóm cá nhân hay các tổ chức phi chính phủ sẽ không bị ảnh hưởng trừ khi họ có mối quan hệ nhất định với một nhà nước Thế nhưng, việc chứng minh mối quan hệ này không phải một việc dễ dàng Vấn đề này sẽ được phân tích kĩ hơn ở phần sau khi bàn đến Luật quốc tế áp dụng trong chiến tranh
23 Tính hợp pháp của Đe doạ sử dụng và Sử dụng Vũ khí hạt nhân (Ý kiến tư vấn) [1996] ICJ Báo cáo 226, Đoạn 244
JUS IN BELLO VÀ CÁC CUỘC TẤN CÔNG MẠNG
Khả năng áp dụng của Luật nhân đạo quốc tế
Việc Luật nhân đạo quốc tế có thể áp dụng để điều chỉnh các cuộc tấn công mạng hay không thu hút rất nhiều ý kiến khác nhau của các học giả quan tâm khi hành vi tấn công mạng thực tế đang được sử dụng rất nhiều trong các cuộc xung đột vũ trang và luật nhân đạo đóng vai trò quan trọng để giảm thiểu thiệt hại gây ra bởi các cuộc xung đột
Thứ nhất, phải khẳng định rằng Luật nhân đạo quốc tế không hề loại trừ tấn công mạng ra khỏi phạm vi áp dụng của nó Các văn bản pháp luật quan trọng của ngành luật như 4 Công ước Geneva, các Nghị định thư bổ sung của nó hay luật tập quán quốc tế không hề có những qui phạm để như vậy Theo nguyên tắc Martens Clauses, một nguyên tắc quan trọng của Luật nhân đạo quốc tế, trong trường hợp một hành vi không được điều chỉnh bởi bất cứ một thoả thuận quốc tế nào thì dân thường và người tham chiến sẽ vấn được bảo vệ bởi các nguyên tắc của luật quốc tế xuất phát từ tập quán quốc tế đã được thừa nhận, các nguyên tắc về quyền con người hay từ những quan niệm từ nhận thức của cộng đồng” 25 Chính vì vậy, việc các qui phạm luật nhân đạo không nhắc đến không đồng nghĩa với việc phủ nhận khả năng áp dụng của đối với các hành vi tấn công “kiểu mới” này
Thứ hai, tấn công mạng có thể được coi là một hành vi sử dụng “vũ khí kiểu mới” trong xung đột vũ trang Trong Điều 36 của Nghị định thư bổ sung I cho Công ước Geneva 1949 có qui định: “Trong việc nghiên cứu, phát triển, thu nhận hay áp dụng một loại vũ khí mới, những phương tiện mới hay phương pháp chiến tranh mới, bên tham gia Nghị định thư có nghĩa vụ phải đánh giá xem việc sử dụng ấy có bị các qui định của Nghị định thư này hay mọi qui tắc khác của Luật quốc tế áp dụng cho mình cấm trong một số hoàn cảnh hay trong mọi hoàn cảnh không” Điều này chứng tỏ rằng các nhà soạn thảo Nghị định đã dự định cho việc áp dụng các phương pháp chiến tranh mới 26 Trong vụ việc về Ý kiến tư vấn về sự hợp pháp của vũ khí hạt nhân, toà ICJ đã đưa ra nhận định rằng: “Theo quan điểm của phần đông các quốc gia trên thế giới cũng như các học giả, không có nghi ngờ gì về việc áp dụng Luật nhân đạo quốc tế cho vũ khí hạt nhân” Thêm vào đó, toà cũng từ chối quan điểm cho rằng: “Các nguyên tắc và qui định của Luật nhân đạo quốc tế chưa đủ phát triển để áp dụng điều chỉnh vũ khí hạt nhân” 27 Lập luận tương tự cũng có thể áp dụng cho hành vi tấn công mạng vì cũng giống như vũ khí hạt nhân, phương thức tấn công qua mạng cũng được coi là một dạng “vũ khí kiểu mới” Luật nhân đạo quốc tế đã dự liệu cho sự phát triển và đổi mới trong chiến tranh và sự xuất hiện của phương thức tấn công qua mạng cũng nên được là nằm trong sự dự liệu này
Thứ ba, mục đích chính của Luật nhân đạo quốc tế là điều chỉnh xung đột vũ trang hay cụ thể các hành vi gây ra thiệt hại trong xung đột và tấn công mạng cũng là một trong số những hành vi này Định nghĩa về “xung đột vũ trang” không được qui định trong Công ước Geneva 1949 hay các Nghị định thư bổ sung của nó mà chỉ
25 Nghị định thư I Bổ sung các Công ước Geneva 1949, ngày 12 tháng 12 năm 1977, Điều 1(2)
26 Knut Dormann (2004), Appicability of Additional Protocols to Computer Network Attacks, tr 2
27 Tính hợp pháp của Đe doạ sử dụng và Sử dụng Vũ khí hạt nhân, tlđd., đoạn 85 được đề cập đến trong các lời bình luận của các học giả hay trong các vụ việc ở toà án quốc tế Hầu hết các cách định nghĩa “xung đột vũ trang” đều có nhắc đến “lực lượng vũ trang” Có thể lấy ví dụ về một lời bình luận về Công ước Geneva I 1949: xung đột vũ trang là “mọi bất đồng xảy ra giữa hai hay nhiều quốc gia dẫn đến sự can thiệp của lực lượng vũ trang.” 28 Tuy nhiên, sự tham gia của lực lượng vũ trang là chưa đủ để cấu thành một cuộc xung đột vũ trang vì đa số các quốc gia và học giả đều thừa nhận một điều rằng “các sự cố như xung đột biên giới hoặc các cuộc tấn công qui mô nhỏ không đạt được mức độ để trở thành một cuộc xung đột vũ trang như thuật ngữ được sử dụng trong Luật nhân đạo quốc tế” 29 Chính vì vậy, yếu tố về cường độ và sự kéo dài của một cuộc tấn công cũng quan trọng không kém “Các nguyên tắc của Luật nhân đạo quốc tế sẽ được áp dụng khi nào một cuộc tấn công mạng được gán trách nhiệm cho một quốc gia và có cường độ lớn, chủ đích gây thương tích, tử vong, các loại thiệt hại và phá huỷ khác” 30 Để chứng minh cho hậu quả to lớn mà các cuộc tấn công mạng có thể gây ra cũng kém các vụ tấn công bằng bom đạn, ta có thể lấy ví dụ về vụ việc thu hút sự chú ý của dư luận cũng như cộng đồng quốc tế vào năm 2010: virus Stuxnet tấn công các lò phản ứng hạt nhân ở Iran Cuộc tấn công được tình nghi thực hiện bởi
Mỹ và Israel nhắm vào các máy làm giàu uranium cả Iran bằng Stuxnet, một trong những con sâu máy tính nguy hiểm nhất từ trước đến nay Sâu Stuxnet được phát hiện vào tháng 7/2010 Nó được thiết kế để làm chậm và tăng tốc độ máy ly tâm một cách đột ngột Từ đó làm hỏng uranium được tinh chế và phá huỷ các thiết bị Bên cạnh đó, nó gửi các tín hiệu giả về các máy tính chủ kiểm soát các lò phản ứng hạt nhân để báo rằng các máy ly tâm này vẫn hoạt động bình thường Hậu quả của con sâu này là rất nặng nề đối với Iran Nó làm hỏng 1000 máy ly tâm và làm hơn
28 Jean Pictet (1952), Commentary on the Geneva Convention for the Amelioration of the Condition of the Wounded and Sick in Armed Forces in the Field, đoạn 32-33
29 Christopher Greenwood (1995), “Historical Development and Legal Basis”, The Handbook of Humanitarian Law in Armed Conflict, Oxford University Press, tr 42
30 Michael Schmitt (2002), “Wired Fare: Computer Network Attacks and Jus in Bello”,
International Review of the Red Cross, Vol 84 (846), tr 374
60 000 máy tính bị lây nhiễm Để có thể loại bỏ triệt để Stuxnet Iran sẽ phải phá huỷ không chỉ toàn bộ hệ thống máy tính mà cả các thiết bị ngoại vi kết nối với hệ thống như thẻ usb 31 Việc này sẽ tiêu tốn không chỉ tài chính mà còn cả vật lực của Iran Không chỉ là những tổn hại trực tiếp, chương trình làm giàu uranium của Iran sẽ phải gián đoạn 2 năm do những tổn thất này Có thể thấy rằng những tổn thất mà chúng đem lại là rất lớn
Kết luận lại, có rất nhiều khả năng để áp dụng Luật nhân đạo quốc tế nhằm điều chỉnh các hành vi tấn công mạng này Tuy vậy, việc áp dụng này sẽ gặp không ít các khó khăn.
Các thách thức gặp phải nếu áp dụng jus in bello hiện hành
Các văn bản Luật nhân đạo xuất hiện từ rất sớm và phần lớn được pháp điển hoá từ các qui phạm tập quán quốc tế có từ lâu; đồng thời, tấn công mạng bắt đầu nổi lên từ cuối thế kỉ 20 khiến Luật nhân đạo gặp nhiều khó khăn khi áp dụng, nhất là đối với hai nguyên tắc nền tảng là nguyên tắc phân biệt và nguyên tắc cân xứng Cũng như vậy, các hành động tấn công mạng ngày càng gia tăng về số lượng và mức độ tác động, làm nảy sinh câu hỏi liệu các chiến dịch tấn công mạng có tự cấu thành một cuộc xung đột vũ trang mà không cần các hành động vũ trang truyền thống hay không Những thách thức này sẽ được phân tích sâu trong phần tiếp theo của bài viết.
2.1 Áp dụng nguyên tắc phân biệt vào hành vi tấn công mạng:
Nguyên tắc phân biệt là một nguyên tắc tập quán của Luật nhân đạo quốc tế Nguyên tắc này gồm hai nội dung Thứ nhất, các bên tham gia xung đột phải phân biệt dân thường và người tham chiến mọi lúc mọi nơi; trong các cuộc tấn công chỉ
31 Nguyễn Cao, Iran bị thiệt hại cỡ nào?, http://nld.com.vn/thoi-su-quoc-te/iran-bi-thiet- hai-co-nao-2011010410373464.htm truy cập 21/06/2015 được nhắm vào người tham chiến, không được nhắm đến dân thường 32 Người tham chiến ở đây là các thành viên của lực lượng vũ trang, trừ nhân viên y tế và người truyền giáo 33 Trong khi đó, dân thường không phải là thành viên của lực lượng vũ trang theo Điều 50, Nghị định thư bổ sung I Và dân thường sẽ không được bảo vệ nếu họ trực tiếp tham gia vào chiến sự 34 Nội dung thứ hai của nguyên tắc này là các cuộc tấn công chỉ được nhắm vào các mục tiêu quân sự chứ không được nhắm vào các mục tiêu dân sự 35 Từ những nội dung này, có thể nói rằng nguyên tắc phân biệt sẽ gặp rất nhiều khó khăn khi áp dụng để điều chỉnh các cuộc tấn công mạng Đó là (i) các tin tặc hay hacker có được bảo vệ bởi nguyên tắc này hay không và (ii) các hệ thống máy tính dùng vào mục đích dân sự và cả quân sự có thể trở thành mục tiêu quân sự hay không a) Các tin tặc hay hacker có được bảo vệ bởi nguyên tắc phân biệt hay không?
Các cuộc tấn công mạng thường được thực hiện bởi những người có trình độ cao về công nghệ thông tin Nếu những kẻ thực hiện hành vi này thuộc về lực lượng của một quốc gia thì chắc chắc họ sẽ trở thành một người tham chiến và không được bảo vệ Tuy nhiên, có rất nhiều tin tặc hành động một cách riêng lẻ cũng góp phần vào các cuộc tấn công mạng chống lại một quốc gia khác Họ có được coi là dân thường trực tiếp tham gia vào chiến sự hay không? Điều 4(a)(6) của Công ước Geneva III có nhắc đến việc một dân thường không được bảo vệ nếu họ sử dụng vũ khí một cách công khai hay carry arms openly Tuy nhiên, nếu áp dụng nó vào các tin tặc, sẽ rất khó để xác định việc có “sử dụng vũ khí một cách công khai” không Các cuộc tấn công mạng thườnh diễn ra rất nhanh
32 Nghị định thư I, tlđd Note 25, Điều 48
35 như trên, Điều 48 và 52(2) chóng và không có cảnh báo trước 36 Các quốc gia chỉ có thể can thiệp, truy dấu các tin tặc thực hiện khi các cuộc tấn công đã xảy ra và để lại hậu quả Khi đó, các tin tặc đã không còn “trực tiếp tham gia vào chiến sự” nữa Khó khăn đặt ra đó là các tin tặc chỉ có thể trở thành mục tiêu quân sự trong giây lát và họ nhanh chóng trở lại là thường dân nhưng lại trở thành một mối đe doạ tiềm tàng cho quốc gia bị tấn công trong chiến sự 37 b) Các cuộc tấn công nhắm vào hệ thống máy tính được sử dụng cho cả mục đích dân sự và quân sự:
Hiện nay, các máy tính thường được kết nối với nhau và được sử dụng với rất nhiều mục đích Ví dụ như việc 95% hệ thống viễn thông của Bộ Quốc Phòng Hoa
Kì được truyền tải thong qua Mạng lưới chuyển mạch điện thoại công cộng 38 Điều này gây nhiều khó khăn cho việc áp dụng nguyên tắc phân biệt Tuy vậy, có nhiều khuyến nghị cho rằng để xác định xem cuộc tấn công này có hợp pháp không có thể dựa vào mục đích tấn công của nó là nhằm giành được các lợi ích quân sự hay nhằm tạo nên nỗi lo sợ cho dân chúng 39
Có thể thấy rằng, việc áp dụng nguyên tắc phân biệt đã là rất khó khăn đối với các cuộc tấn công truyền thống nhưng nó lại càng khó khăn khí áp dụng đối với các cuộc tấn công mạng “kiểu mới” này
38 Jeffrey T.G Kelsey (2008), “Hacking into International Humanitarian Law: the Priciples of Distinction and Neutrality in the Age of Cyber Warfare”, Michigan Law Review, Vol
2.2 Nguyên tắc cân xứng: Đây là nguyên tắc được coi là thực tế nhất trong số các nguyên tắc của Luật nhân đạo quốc tế Nó chấp nhận một sự thực rằng một khi chiến tranh xảy ra thì thương vong cho dân thường và các mục tiêu dân sự là không thể tránh khỏi Tuy vậy, nguyên tắc này qui định lợi ích quân sự thu được phải lớn hơn tổn thất đối với dân thường và mục tiêu dân sự Khó khăn đặt ra khi áp dụng nguyên tắc này là lợi ích quân sự được nhắc đến ở trên phải là lợi ích trực tiếp, cụ thể và các lợi ích về lâu về dài sẽ không được tính đến Trong khi đó, các cuộc tấn công mạng tuy gây ra hậu quả nặng nề không kém tấn công truyền thống nhưng hầu hết chúng đều được gây ra một cách gián tiếp Ví dụ như việc virus được một bên xung đột lây lan cho hệ thống máy tính của bên đối địch làm hỏng hệ thống máy tính điều khiển của nhà máy thuỷ điện khiến cho các turbin không thể hoạt động; việc nhà máy không thể sản xuất điện trong một thời gian làm cho hệ thống sưởi ấm của các nhà dân trong khu vực không thể hoạt động khi trời đang vào đông làm nhiều người thiệt mạng Ảnh hưởng của nhiều cuộc tấn công mạng không gây hậu quả một cách tức thì sẽ không được tính đến theo nguyên tắc này, đặc biệt là cuộc tấn công dưới hình thức khai thác mạng Chính vì thế, các quốc gia sẽ lợi dụng điều này để tiến hành các cuộc tấn công mạng khi mục đích quân sự vẫn đạt được mà thương vong gây ra lại không lớn và gián tiếp Nói cách khác, nguyên tắc này có thể trở thành một công cụ để “mở đường” cho các hành vi tấn công mạng hay vì hạn chế chúng.