Hầu hết điện thoại không có mã PIN cưỡng ép, nên Morse Messenger có xóa khẩn cấp

Mã PIN cưỡng ép (tiếng Anh: duress PIN) là một mã mở khóa thứ hai. Bạn đặt nó bên cạnh mã thông thường. Nếu có lúc ai đó ép bạn mở khóa điện thoại, bạn nhập mã PIN cưỡng ép thay vào đó, và điện thoại tự xóa sạch thay vì mở ra.

Ý tưởng đằng sau rất đơn giản. Mã hóa đầu cuối bảo vệ tin nhắn của bạn trên đường đi, còn một chiếc điện thoại đã khóa bảo vệ chúng khi chúng nằm trong máy. Cả hai đều vô ích một khi ai đó ép bạn mở khóa. Vào lúc đó, xóa là cách bảo vệ duy nhất còn lại.

Và đây không chỉ là chuyện của riêng bạn. Các cuộc trò chuyện của bạn còn chứa lời của người khác: người bạn đã tâm sự với bạn một điều bí mật, gia đình bạn, những người bạn làm việc cùng. Xóa đi cũng là bảo vệ họ.

Một vài lúc điều này quan trọng:

• Ai đó giật lấy điện thoại của bạn khi nó đang mở, hoặc ép bạn mở nó.
• Một người yêu hay bạn đời hay kiểm tra điện thoại của bạn. Với người đang ở trong một mối quan hệ bị kiểm soát, một cuộc trò chuyện với bạn bè hay với người đang giúp đỡ mình có thể rất nguy hiểm nếu còn nằm trong máy.
• Nhà báo, nhà hoạt động và bất kỳ ai được người khác tin tưởng giao phó điều nhạy cảm. Nếu bạn làm việc với nguồn tin, hướng dẫn nhắn tin cho nhà báo của chúng tôi sẽ nói phần còn lại.

Gần như chắc chắn là không. GrapheneOS, một hệ điều hành Android thay thế dành cho điện thoại Pixel, đã thêm tính năng này vào năm 2024. Khi được nhập ở bất cứ đâu điện thoại hỏi mã PIN, nó sẽ “xóa sạch thiết bị một cách không thể đảo ngược”, theo đúng lời của GrapheneOS.

iPhone, điện thoại Samsung và Pixel chạy phần mềm của chính Google không có gì giống vậy. Thứ gần nhất trên iPhone là một cài đặt xóa máy sau 10 lần nhập sai mật mã, nhưng nó chẳng giúp được gì khi ai đó ép bạn nhập đúng mật mã. Và xóa cả một chiếc điện thoại thì mất luôn mọi thứ: ảnh của bạn, các ứng dụng khác, tất cả.

Các ứng dụng nhắn tin phần lớn cũng không lấp được khoảng trống này. Hầu hết chỉ cho bạn xóa tài khoản hoặc xóa các cuộc trò chuyện từ bên trong ứng dụng, và những người bạn đã trò chuyện thường vẫn giữ bản sao của họ.

Vì vậy chúng tôi đưa nó vào Morse. Xóa khẩn cấp mặc định bị tắt, vì một nút xóa mọi thứ không nên là nút bạn có thể lỡ tay nhấn. Để bật:

1. 1Mở tab Bạn, rồi Quyền riêng tư & Bảo mật.
2. 2Chạm vào Nút khẩn cấp. Trong bản cập nhật tới, mục này sẽ có tên mới là Xóa khẩn cấp.
3. 3Bật Hiển thị nút khẩn cấp. Nếu muốn, bật luôn Cũng xóa ảnh và video đã lưu.

Từ đó trở đi, một nút xóa sẽ hiện trong ứng dụng và trên màn hình khóa của Morse. Hai lần chạm là xóa mọi thứ: chạm nút, rồi Xóa mọi thứ. Bạn không cần mở khóa Morse trước.

Morse hiện có trên iPhone. Xóa khẩn cấp cũng có trong ứng dụng Android, sắp ra mắt.

Chỉ trong vài giây:

1. 1Morse yêu cầu máy chủ của chúng tôi xóa tài khoản của bạn, trong lúc điện thoại vẫn còn kết nối.
2. 2Nó hủy khóa mã hóa dùng để mở cơ sở dữ liệu của Morse. Mọi tin nhắn và mọi liên hệ trong đó lập tức không thể đọc được nữa.
3. 3Nó xóa các tệp cơ sở dữ liệu và mọi thứ mà khóa không bao phủ: ảnh và video bạn đã mở, bản ghi âm và bản quay camera, tệp tạm, thông báo trên màn hình, con số trên biểu tượng ứng dụng, và bộ nhớ tạm nếu nó vẫn giữ thứ bạn đã sao chép trong Morse.
4. 4Nó kiểm tra để chắc rằng không còn gì, và xóa lại bất cứ thứ gì còn sót.
5. 5Điện thoại của người liên hệ xóa cuộc trò chuyện một-một với bạn, và xóa bạn khỏi danh bạ của họ.

Sau đó Morse trở về màn hình chào mừng, như vừa mới được cài đặt. Cũng chẳng có gì để khôi phục: các khóa mở dữ liệu của Morse chỉ được lưu dành riêng cho điện thoại của bạn, nên ngay cả bản sao lưu của nó cũng không thể đọc được trên thiết bị khác.

Vì sao hủy một khóa thay vì xóa tệp? Trên bộ nhớ flash của điện thoại, xóa một tệp không chắc đã loại bỏ được nó. Con chip rải các lần ghi ra nhiều chỗ để hao mòn đều, nên dữ liệu cũ có thể còn sót lại ở những chỗ ứng dụng không với tới được. Vì vậy Morse không dựa vào việc xóa. Cơ sở dữ liệu của nó được mã hóa trên điện thoại của bạn bằng một khóa giữ trong kho khóa được bảo vệ của điện thoại. Hủy khóa đó đi, và những gì còn lại trên chip chỉ là nhiễu. Cách này gọi là xóa bằng mật mã (crypto-erase), và với mười nghìn tin nhắn nó cũng không lâu hơn với mười tin nhắn.

Nhưng chẳng phải khóa đó cũng chỉ là thêm một ít dữ liệu trên cùng con chip sao? Câu hỏi hợp lý, và câu trả lời là khóa PIN. Khi bật khóa PIN của Morse, chính khóa mã hóa của cơ sở dữ liệu cũng được khóa hai lần: một lần bằng mã PIN của bạn, và một lần bằng một khóa do Secure Enclave trên iPhone hoặc Android Keystore trên Android nắm giữ, khóa này không bao giờ có thể bị sao chép ra khỏi điện thoại. Việc xóa cũng xóa luôn khóa phần cứng đó. Vì vậy, ngay cả khi một bản sao đã khóa của khóa mã hóa này còn sót lại đâu đó trên chip, cũng không còn thứ gì có thể mở được nó nữa.

Vì sao nó chạy được trên màn hình khóa? Vì bạn không cần có khóa mới hủy được nó. Việc xóa không bao giờ mở cơ sở dữ liệu, nên Morse có thể làm mà không cần mã PIN của bạn. Thứ duy nhất việc xóa cần khi Morse đang khóa là quyền xóa tài khoản của bạn trên máy chủ của chúng tôi. Morse giữ một mã xóa (token) cho việc đó, đọc được cả khi đang khóa. Mã này chỉ dùng được để xóa tài khoản: nó không thể đọc hay gửi bất cứ thứ gì.

Vì sao máy chủ đi trước: điện thoại của người liên hệ chỉ biết bạn đã rời đi qua máy chủ của chúng tôi. Vì vậy Morse hỏi máy chủ trước, khi điện thoại của bạn vẫn còn kết nối, và chỉ chờ một lát. Mạng chậm không bao giờ làm chậm việc xóa trên điện thoại của bạn: nếu không có phản hồi, điện thoại vẫn bị xóa như thường.

Trước tất cả những việc đó, Morse dừng mọi thứ nó đang chạy ngầm, để không có gì ghi dữ liệu mới giữa lúc đang xóa. Sau đó đến tài khoản, rồi khóa, rồi các tệp, rồi bước kiểm tra.

Ảnh đã lưu là phần khó. iPhone không thể liệt kê “những ảnh mà ứng dụng này đã lưu”, nên Morse tự giữ một danh sách riêng mỗi khi lưu một ảnh và dùng danh sách đó để xóa chúng. iOS yêu cầu bạn xác nhận việc xóa ảnh, đó là quy định của Apple, nên Morse xóa các cuộc trò chuyện của bạn trước để câu hỏi đó không thể làm chậm bất cứ điều gì. Trên Android 10 trở lên, Morse xóa ảnh và video nó đã lưu trong các thư mục của chính nó.

Nếu bạn muốn hiểu đầy đủ cách Morse lưu trữ và bảo vệ dữ liệu của bạn, tất cả có trong sách trắng bảo mật của chúng tôi (bằng tiếng Anh).

Xóa nghe thì đơn giản: xóa mọi thứ. Phần lớn công sức dồn vào những nơi “mọi thứ” ẩn mình, và những thứ có thể cản trở:

• Một tin nhắn có thể đến ngay giữa lúc đang xóa. Trên iPhone, thông báo do một tiến trình nhỏ riêng biệt xử lý, tiến trình này có thể thức dậy bất cứ lúc nào, và một tin nhắn nó lưu trong lúc cơ sở dữ liệu đang bị hủy có thể còn sót lại. Vì vậy, trước khi xóa bất cứ thứ gì, việc xóa yêu cầu tiến trình đó ngừng ghi.
• Một phần việc dọn dẹp phải đi qua các dịch vụ của chính điện thoại: xóa con số trên biểu tượng ứng dụng, các thông báo trên màn hình của bạn, những gợi ý mà điện thoại học được từ các cuộc trò chuyện của bạn. Các dịch vụ này có thể phản hồi chậm. Không dịch vụ nào được phép làm chậm việc xóa: mỗi dịch vụ chỉ có một khoảng thời gian ngắn, rồi việc xóa tiếp tục.
• Một tệp chưa mất đi khi vẫn còn thứ trỏ tới nó. Để phát video, ứng dụng tạo thêm các liên kết đến những tệp đã giải mã, nên nếu chỉ xóa thư mục media thì những video đó vẫn sẽ nằm lại trên điện thoại. Thay vào đó, việc xóa làm trống toàn bộ thư mục tạm, bất kể trong đó có gì.
• Để xóa ảnh mà Morse đã lưu, trên iPhone cần quyền truy cập đầy đủ vào thư viện ảnh của bạn, quyền mà Morse không bao giờ xin trong trường hợp nào khác. Đó là lý do nó là một công tắc riêng: bạn chỉ cấp quyền đó nếu bạn cũng muốn xóa những ảnh này.

Việc xóa chỉ tốt bằng danh sách của nó. Một ứng dụng nhắn tin cất giữ dữ liệu ở nhiều nơi hơn bạn nghĩ: cơ sở dữ liệu, kho khóa của điện thoại, cài đặt, bộ nhớ đệm, tệp tạm, những phần của ứng dụng chạy ngầm. Tất cả đều nằm trong một danh sách duy nhất, trên cả iPhone lẫn Android, kèm kiểm thử.

Danh sách đó chỉ có thể bị tụt lại khi ứng dụng phát triển thêm, nên chúng tôi làm cho việc quên trở nên khó: một quy tắc trong mã nguồn của chúng tôi quy định rằng không nơi lưu dữ liệu mới nào được phát hành nếu chưa được thêm vào việc xóa, kèm kiểm thử, trong cùng một thay đổi.

Và việc xóa không bao giờ mặc định là mình đã thành công. Khi xong, nó kiểm tra từng mục trong danh sách và xóa lại bất cứ thứ gì vẫn còn đó.

Về phía chúng tôi, việc xóa loại bỏ tài khoản của bạn và mọi thứ gắn với nó: các khóa của bạn, mọi tin nhắn vẫn đang chờ được gửi đến bạn, đăng ký nhận thông báo đẩy của bạn, hồ sơ và ảnh đại diện đã mã hóa của bạn, các yêu cầu liên hệ đang chờ và hồ sơ của bạn trong các nhóm. Sau đó máy chủ báo cho điện thoại của người liên hệ rằng bạn đã rời đi.

Bản ghi gói đăng ký App Store của bạn vẫn còn, được đánh dấu là đã dùng và không còn gắn với Morse ID của bạn, nên không thể chuyển sang tài khoản mới. Ngay từ đầu, tin nhắn của bạn chưa bao giờ đọc được trên máy chủ của chúng tôi: máy chủ chỉ chuyển tiếp tin nhắn đã mã hóa.

Thà biết giới hạn ngay bây giờ còn hơn phát hiện ra vào lúc tệ nhất:

Không thể hoàn tác. Tài khoản đã mất, và bạn sẽ cần một tài khoản mới.

Xóa khẩn cấp lo cho khoảnh khắc trước đó. Mã PIN cưỡng ép lo cho chính khoảnh khắc ấy: một mã PIN thứ hai cho màn hình khóa của Morse mà bạn có thể nhập khi ai đó ép bạn mở ứng dụng, và nó sẽ xóa mọi thứ thay vì mở ra. Tính năng này sẽ có trong một bản cập nhật sắp tới.

Từ giờ đến lúc đó, có hai điều giúp giảm bớt những gì có thể bị lộ. Hãy bật tin nhắn tự hủy cho những cuộc trò chuyện quan trọng, để ngay từ đầu điện thoại của bạn chứa ít hơn. Và Morse không có thiết bị liên kết, nên không ai có thể đọc tin nhắn của bạn từ điện thoại khác bằng cách lặng lẽ thêm một thiết bị khi đang cầm điện thoại của bạn.