Sony

Državni trojanec

Ali je prav, da policija podtakne na vaš računalnik prisluškovalni program? Zakaj? Zato ker ne more posneti vaših pogovorov po Skypu, kot jih lahko na mobilnih ali stacionarnih telefonih, vi pa ste osumljeni resnega kaznivega dejanja in so potrebni dokazi o vašem početju. Vsaj tako si predstavljam, da gre argumentacija v prid predlaganim spremembam Zakona o kazenskem postopku (ZKP-M). Tole recimo piše v sami obrazložitvi:

Naslednja posledica razvoja informacijske in komunikacijske tehnologije je možnost, da uporabniki že pri viru kriptirajo komuniciranje preko spletnega omrežja (na primer Skype in elektronska pošta). S tem praktično onemogočijo izvedbo prikritega preiskovalnega ukrepa iz 1. točke prvega odstavka 150. člena ZKP (nadzor elektronskih komunikacij s prisluškovanjem in snemanjem), saj se ta ukrep izvaja tako, da operater prestreže komunikacijo v svojem omrežju in nato vsebino komunikacije posreduje nadzornemu centru policije, kjer se izvaja nadzor prestreženih komunikacij. Zato je treba na ustrezen omogočiti prestrezanje komunikacije že pri viru – torej preden se kriptira in samo v primeru, ko so izpolnjeni zakonski pogoji za odreditev ukrepa iz 1. točke prvega odstavka 150. člena ZKP (ožji nabor hujših in zapletenejših kaznivih dejanj s hujši predpisano kaznijo, obstoj utemeljenih razlogov za sum, nemožnost pridobitve dokazov z drugimi – manj invazivnimi – ukrepi, odredba preiskovalnega sodnika).

Res je. Tehnološki napredek je omogočil šifriranje, ki je dostopno vsem, razbiti pa ga je praktično nemogoče (razen velikanom, kot je ameriška NSA, pa še to ne vedno in ob dragem dolgoletnem trudu). Edina možnost, ki ostane policiji, je torej prestrezanje na enem ali drugem koncu komunikacije – preden se besedilo ali govor zašifrira, ali potem, ko se že odšifrira. Ker se to dogaja na napravah osumljencev, predlog sprememb predvideva namestitev prestreznih programov prav tam. Tu pa se stvari zapletejo.

IMG_1499Stranski učinki

S podtikanjem programa na tuj računalnik nanj vnesemo spremembe. Te so lahko manjše ali večje in bolj ko želimo, da bo podtaknjen program deloval pritajeno in ne bo odkrit, globje posege v operacijski sistem moramo praviloma narediti. V nemškem primeru iz leta 2011, ko je Chaos Computer Club odkril “Bundestrojaner”, so ugotovili tudi, da je ta omogočal namestitev dodatnih modulov in da “je trojanec slabo zaščiten in da ga lahko prevzame (in s tem nadzor nad računalnikom, kjer je nameščen) tudi nepooblaščena oseba. V dokaz so sami razvili ustrezni nadzorni program.”

Tudi industrija je že pomislila na pritajene programe. Sony je pred leti na 22 milionov CD plošč namestil rootkit, ki je okužil računalnik in tako poskusil preprečiti njihovo kopiranje. Podtaknjence je nekdo odkril in Sony je doživel odmeven škandal in nekaj tožb.

Naloga protivirusnih programov je, da takšne “artefakte” zaznavajo. Če bi vlade po svetu želele od teh podjetih, da vzdržujejo seznam državno odobrenih trojancev, se stvari zapletejo. Za katere države? Kitajsko? Savdsko Arabijo? ZDA? Če pristanejo na ene države, ne pa na druge, potem izgubijo sloves nepristranskosti in verjetno tudi tamkajšnji trg. Kaj, če trojanca najdejo v kriminalnem podzemlju in ga (ker vedo, da ga protivirusniki ignorirajo) ugrabijo zase in začnejo z njim krasti e-bančne podatke? Bomo morali tudi na odzivnih centrih razmišljati pri preiskovanju škodljive kode s kakšnega prenosnika o tem, da gre morda za policijsko kodo? Nas bo kdo o tem obveščal, ter kakšne bodo takrat naše zakonsko določene obveznosti? Predvidene ta trenutek niso nobene.

Če se počutimo čisto malo futuristično, pa moramo misliti tudi na prepletanje elektronskega in biološkega. Google Glass je samo začetek in čez nekaj let lahko pričakujemo kontaktne leče, kasneje pa bo mogoče naša čutila nadgraditi z elektronskimi komponentami — malimi računalniki (nekaj tega se dogaja že sedaj). Bodo danes sprejete zakonske spremembe pravno utemeljile podtikanje trojancev čez leta tudi v naše telo? Kakšni bodo lahko stranski učinki v tem prepletenem okolju?

Stroški izdelave

Ni nujno, da je izdelava ali nakup takšne opreme drag. Enostavne “tarče” bi verjetno organi pregona lahko ustrezno naciljali že z majhnimi in sorazmerno nezahtevnimi trojanci. Ne verjamem, da bodo vsi osumljenci blazno pripravljeni na takšne vdore v njihove sisteme (se recimo spomnite vdora Anonimnih v sistem HB Gary?). Ni treba vedno kupiti 0-day ranljivosti, socialni inženiring dela čuda (glej “spear phishing”). Na njem tudi večinoma temeljijo ciljani napadi s škodljivo kodo. Tisti zelo resni pa bodo morda res nedosegljivi, ali pa bo treba za vdor v njihov sistem povezan velik strošek priprave.

Če bi policija želela na trgu kupiti tako programje, pa imamo nov problem. Trg ponudbe IT storitev in programske opreme vsebuje polno zanič podjetij, ki želijo zaslužiti na hitro. Ponudili bodo nekaj za visoko ceno in kako bo naročnik vedel, da je res dobil kvalitetno opremo?

Kaj sedaj?

Če želimo, da se policija bori proti kriminalu, potem ji moramo dati na voljo primerna orodja in pooblastila. To je treba uravnotežiti s primerno zaščito zasebnosti državljanov in nadzorom. Zelo jasno, kajne? Vsak bo to podpisal. Kako pa v praksi najti tisto pravo razmerje? Glede državnega trojanca lahko ta trenutek sam rečem le to, da je tema vsaj kontroverzna in da odpira kopico zapletenih vprašanj, na katera ta trenutek še ni videti jasnih odgovorov.

Advertisements

Javna razprava o sporazumu ACTA

V odziv na pobudo o sporazumu ACTA je Državni zbor najavil javno razpravo o njem in tudi podpisnike pobude povabil na javno predstavite mnenj. Spodaj je posnetek mojega govora in pisni prispevek k razpravi.

Javna predstavitev mnenja o podpisu Trgovinskega sporazuma za boj proti ponarejanju (ACTA), Državni zbor, Odbor za evropske zadeve, petek, 17. 2. 2012 ob 12. uri.

Spoštovani!

Veseli me, da imam možnost v javni razpravi o sporazumu Acta predstaviti tudi svoje mnenje. Govoril bom predvsem o 27. členu sporazuma, ki govori o uveljavljanju pravic intelektualne lastnine v digitalnem okolju, torej na internetu.

Za začetek moram jasno povedati: Acta sama ne vsebuje določil, ki bi uvajala filtriranje interneta ali zahtevala odklope posameznikov zaradi kršitev pravic intelektualne lastnine. Zakaj pa me sporazum vseeno navdaja s skrbmi glede spremembe vloge internet ponudnikov in možnim omejevanjem elektronske komunikacije, pa želim predstaviti v nadaljevanju.

V uvodu sporazuma lahko preberemo, da je eden od ciljev sporazuma spodbujanje sodelovanja med ponudniki storitev in imetniki pravic pri reševanju kršitev v digitalnem okolju. Ali to pomeni, da bodo gospodarski subjekti, ki so imetniki navedenih pravic, imeli pri obrambi teh drugačen položaj, kot kateri drugi gospodarski subjekti? To iz formulacije ni razvidno.

V nadaljevanju 4. odstavek 27. člena pravi, da lahko imetnik pravice na podlagi »pravno zadostnega« zahtevka dobi posebej hiter kanal za pridobivanje podatkov o posameznem naročniku, ki domnevno krši njegove pravice. To pomeni, da imetniki pravic lažje pridejo do osebnih podatkov naročnika. Ta izjema me nekoliko spomni na že videno nenavadno situacijo, ko naj bi imel Tržni inšpektorat RS lažji dostop do prometnih podatkov, hranjenih po Zakonu o elektronskih komunikacijah, kot sama policija, pa čeprav se je hramba teh podatkov uvedla ravno za namen hudih kaznivih dejanj, povezanih s terorizmom in torej za namene policijskega pregona. Če se prav spomnim, je bilo ob tej situaciji potrebne kar nekaj pravne akrobacije s pojmi dinamičnih in statičnih internet naslovov, da se je stanje za silo zopet uskladilo z namenom. Omenjena akrobacija pa je povzročila nenačrtovane stranske učinke, v katere sta morala poseči tako Informacijska pooblaščenka, kot tudi Vrhovno sodišče. Ponudniki in policija pa se na okroglih mizah še dandanes sprašujemo, kaj se sme in kaj ne.

S 5. odstavkom 27. člena Acte se podpisnice zavežejo, da bodo zagovile ustrezna pravna sredstva zoper izogibanje tehničnim ukrepom, ki jih lastniki pravic uporabljajo za zaščito svojih del. Tu pa je že bolj jasno, da gre za tehnologijo Digital Rights Management ali na kratko DRM. DRM je mehanizem za onemogočanje digitalnega kopiranja. Ni enotnega DRM in vsak založnik lahko razvije svojega. Leta 2005 je družba Sony v ta namen uporabila t.i. rootkit, hekerski program, ki se s prevezavami v operacijskem sistemu računalnika  skrije pred uporabnikom in izvaja pritajeni nadzor, odkrije pa ga lahko le specialist. Poenostavljeno rečeno: Sonyjev DRM mehanizem je okužil računalnike po vsem svetu. Po velikem škandalu in tožbah, ki so sledile, je moral Sony program umakniti. Če bi takrat bila uveljalena Acta, morda uporabniki sploh ne bi smeli raziskovati, kaj se dogaja na našem lastnem računalniku, takoj ko bi spoznali, da gre za DRM. In morda okužbe z lastne naprave niti ne bi smeli odstraniti.

Ko beremo člene Acte jih res lahko vzamemo kot neka splošna priporočila za izboljšanje stanja na področju varstva pravic intelektualne lastnine na spletu. Če pa na Acto pogledamo skozi prizmo nekaterih že uporabljenih rešitev, pa lahko vidimo povsem drugačno sliko. Spomnil bi na hitro sprejete spremembe Zakona o igrah na srečo, ki so takorekoč čez noč prinesle možnost blokade tujih spletnih mest in tako legitimirale poseg v elektronsko komunikacijo. Brez širše razprave in sodelovanja strokovne javnosti. Spomnil bi na »družbo«, v kateri hote ali nehote potuje Acta: mislim predvsem na zloglasni ameriški Stop On-line Piracy Act, ki je tudi dodobra razburil javnost in je sedaj na hladnem.

Zaradi navedenega menim, da Acta v digitalnem okolju ne prinaša ustreznih rešitev in zna povzročiti nenadejane posledice, ki bodo posegle v elektronsko komunikacijo, ter morda celo ovirale vpeljavo naprednih komunikacijskih protokolov in programskih mehanizmov, ki so namenjeni večji varnosti uporabnika pri uporabi spleta.

Gorazd Božič, vodja SI-CERT pri javnem zavodu ARNES (Akademska in raziskovalna mreža Slovenije)

Enhanced by Zemanta

Mi pa čakamo viruse na telefonih …

Se še spomnite, kakšen halo je bil zaradi tega, ker si je iPhone zapisoval vaše lokacije? Teh ni zbiral Apple, niti vaš mobilni operater, ampak so ostale na vašem telefonu in potem tudi na varnostnih kopijah, ki se zapišejo ob sinhronizaciji z računalnikom. Zdaj pa kaže, da so tudi Android naprave nekaterih ameriških operaterjev dobile svoj škandal s sledenjem.

Razvijalec aplikacij za Android Trevor Eckhart je odkril skrit program Carrier IQ, ki poleg lokacije zna spremljati tudi drugo metriko, lahko pa preko sprožilcev beleži sprejete SMS, katere aplikacije uporabljate, kaj vpisujete na spletna mesta in široko paleto drugih stvari. Ameriški operater Sprint je pojasnil, da gre za diagnostično orodje, ki omogoča izboljšavo storitve in identifikacijo problemov, ki jih imajo uporabniki.

Pred kratkim je revija Monitor objavila zanimiv video o skritih programih, ki vam omogočajo sledenje in prisluh uporabniku, kaže pa da lahko to počnejo tudi nekateri (ameriški) operaterji.

Po bolj splošni definiciji bi lahko Carrier IQ označili za ‘rootkit‘, program, ki se skrije na računalniku in omogoča prikrit dostop nepooblaščenim osebam. Mogoče malo široko pojmovanje, saj rootkit običajno preveže sistemske klice ali se naseli v jedro operacijskega sistema, tu pa kaže, da gre za bolj enostavno implementacijo.

Sony je pred leti poskusil z namestitvijo rootkita z namenom zaščite avtorskih pravic (t.i. DRM, Data Rights Management). Ne da bi povedal kupcem CD plošč s to “zaščito”. Sedaj pa mobilni operaterji želijo spremljati metriko uporabe. Izboljševanje omrežne infrastruktire je seveda dobra stvar. Nameščanje skrivnih aplikacij za sledenje in prisluh brez vednosti uporabnika (lastnika telefona) pa nikakor ne.

In medtem, ko vsi čakamo na prve res hude viruse na mobilnih telefonih, ki jih bodo pisali najeti programerji ruskega organiziranega kriminala, ter ugibamo, ali bomo morali res prehoditi celotno pot, ki smo jo že na osebnih računalnikih, ugotovimo, da so lahko mobilni operaterji in proizvajalci še največja grožnja (via Brian Krebs)…

Enhanced by Zemanta