Amerykański rząd zmusił telekomy, aby umożliwiły służbom podsłuchiwanie obywateli – i tym samym umożliwił Chińczykom dostęp do infrastruktury krytycznej. Dlaczego „słuszna, bo prowadzona przez tych dobrych” inwigilacja nie istnieje?
Władze próbują inwigilować obywateli „dla ich dobra” praktycznie od zawsze i państwa demokratyczne nie są tutaj żadnym wyjątkiem.
Rozwój technologiczny sprawił, że władze mają ku temu odpowiednio większe możliwości – już nie trzeba wysyłać osobiście żadnego „tajniaka”, by podsłuchać czyjąś prywatną rozmowę, można do tego wykorzystać technologię. Pod różnymi pretekstami wprowadza się, lub przynajmniej próbuje wprowadzić prawa, które mają za zadanie bronić interesów państwa – ale kosztem jego obywateli.
Tymczasem, stawką jest nie tylko prywatność pojedynczego Amerykanina czy Europejczyka, ale też cyberbezpieczeństwo całego kraju.
Jak wygląda inwigilacja w USA?
W Stanach Zjednoczonych od 1994 r. funkcjonuje tzw. CALEA (Communications Assistance for Law Enforcement Act), znany szerzej jako Digital Telephony Act – ustawa nakazująca producentom i operatorom telekomunikacyjnym takie zaprojektowanie swoich usług, aby umożliwić organom ścigania możliwość śledzenia ruchu telekomunikacyjnego i podsłuchiwania rozmów.
W 2004 r. wymagania te rozszerzono też na dostawców szerokopasmowego internetu, aby dać państwowym agencjom możliwość sprawowania elektronicznego nadzoru także w tym obszarze.
W praktyce, chodzi o możliwość legalnego instalowania rządowych backdoorów.
Jak Chiny wykorzystują rządowe backdoory
Jak donosi dziennik „Wall Street Journal”, popularni w USA dostawcy usług internetowych, tacy jak Verizon, AT&T i Lumen Technologies (dawniej CenturyLink), mieli paść ofiarą cyberataku – wykorzystującego właśnie wspomniane luki bezpieczeństwa, na mocy CALEA pozostawione dla amerykańskich służb.
Jego sprawcami była powiązana z chińskim rządem grupa Salt Typhoon (zwana też GhostEmperor, FamousSparrow czy UNC2286), którą serwis Registrer wprost określa mianem cyberszpiegów, a „Wall Street Journal” – „grupą ukierunkowaną na gromadzenie danych wywiadowczych”.
To kolejne tego typu doniesienia o hakerach powiązanych z Chinami. We wrześniu dyrektor FBI Christopher Wray, wspomniał o botnecie obejmującym 260 tys. urządzeń, kontrolowanym przez inną tego typu grupę (Flax Typhoon), w sierpniu zaś donoszono o Volt Typhoon, a w lutym – rząd USA potwierdził chińską ingerencję w amerykańską strukturę krytyczną. Terry Dunlap, były analityk NSA, stwierdził: „to kolejny przykład na to, że nasi przeciwnicy zakorzenili się głęboko w amerykańskiej infrastrukturze”.
Nie wiadomo, jak szeroka jest skala ingerencji – potencjalnie cyberszpiedzy mogli uzyskać nie tylko wiedzę o ogólnym ruchu sieciowym, ale także dostęp do informacji z narzędzi wykorzystywanych przez rząd federalny do podsłuchiwania obywateli w sprawach karnych i tych dotyczących bezpieczeństwa narodowego.
Mówi się o infiltracji trwającej miesiące lub dłużej, co stanowi „katastrofalne zagrożenie bezpieczeństwa”. Jak dodaje Andrew C. McCarthy w swoim ciekawym artykule dla „National Review” – najczarniejszy scenariusz mówi o monitorowaniu tajnych agentów i dostępie do tajemnic wywiadowczych.
Prywatność, nie inwigilacja
Rzecznicy AT&T, Verizon i Lumen odmówili komentarza w związku ze sprawą. W ten sposób – jak zauważa organizacja Electronic Frontier Foundation broniąca praw człowieka w świecie cyfrowym – rząd ChRL może mieć teraz większą wiedzę na temat tego, kogo szpieguje rząd amerykański, niż sami Amerykanie”; działania różnych agencji rządowych są bowiem często niejawne.
CALEA to nie jedyne prawo, które w imię „walki ze złem” ułatwia dostęp do infrastruktury adwersarzom.
Inne kontrowersyjne ustawy to wdrożona już w Wielkiej Brytanii Online Safety Act, czy proponowane amerykańska EARN IT Act (Eliminating Abusive and Rampant Neglect of Interactive Technologies Act) i unijne Rozporządzenie Parlamentu Europejskiego i Rady ustanawiające przepisy mające na celu zapobieganie niegodziwemu traktowaniu dzieci w celach seksualnych i jego zwalczanie (kontrola czatu, o której na łamach TECHSPRESSO.CAFE można przeczytać więcej w tym tekście).
Wszystkie one mają na celu teoretycznie chronić dzieci przed niebezpieczeństwami czyhającymi na nie w internecie, w praktyce jednak zagrażają prywatności i bezpieczeństwu.
Analogiczne do CALEA rozwiązania prawne zastosowano w Grecji – czego efektem była afera podsłuchowa nazywana „greckim Watergate”. Jej ofiarami padło ponad 100 osób, głównie członków greckiego rządu i wysokiej rangi urzędników. Sprawców nie wykryto.
Rządy mniej demokratyczne czasami nie czekają na umocowania prawne i wykorzystują szpiegowską technologię bez podstaw prawnych – dobrym tego przykładem będzie będzie Pegasus, którym inwigilowano w Polsce nie tylko opozycjonistów, ale – wedle ostatnich doniesień – także aktywistki na rzecz praw kobiet.
Afera z Salt Typhoon Hack dowodzi tego, o czym obrońcy prywatności i praw cyfrowych mówią od dawna: nie istnieją bezpieczne backdoory państwowe.
Nie ma żadnych tylnych drzwi, wpuszczających tylko dobrych ludzi, a chroniących przed złymi. Luki w zabezpieczeniach pozostawione dla policji czy innych służb, mogą zostać wykorzystane przez osoby do tego nieuprawnione – łącznie z wywiadami obcych państw. Dlatego – jak podkreśla EFF – powinno się skłaniać twórców infrastruktury i narzędzi służących do komunikacji, aby domyślnie implementowali rozwiązania chroniące prywatność tam, gdzie jest to możliwe.
Szkoda, że wielu polityków i prawodawców tego nie rozumie i naciska na coś wręcz przeciwnego.
Źródła:
Joe Mullin i Cindy Cohn, „Salt Typhoon Hack Shows There’s No Security Backdoor That’s Only For The „Good Guys”” – Electronic Frontier Foundation, 9 października 2024
Dustin Volz i Drew FitzGerald, „U.S. Officials Race to Understand Severity of China’s Salt Typhoon Hacks” – The Wall Street Journal, 11 października 2024
Sara Crouse, „U.S. Wiretap Systems Targeted in China-Linked Hack” – The Wall Street Journal, 5 października 2024
Sara Crouse, „China-Linked Hackers Breach U.S. Internet Providers in New ‘Salt Typhoon’ Cyberattack” – The Wall Street Journal, 26 września 2024
Andrew C. McCarthy, „Salt Typhoon: An Update on a Potentially Catastrophic Hack of Government Systems by Chinese Cyber Spies” – National Review, 5 października 2024
Jessica Lyons, „China’s Salt Typhoon cyber spies are deep inside US ISPs” – The Register, 25 września 2024
Jessica Lyons, „Chinese cyberspies reportedly breached Verizon, AT&T, Lumen” – The Register, 7 października 2024
