211service.com
Policjanci widzą problem z szyfrowaniem. Twórcy oprogramowania szpiegującego widzą szansę.
Administracja Trumpa po raz kolejny naciska na dostęp do zaszyfrowanych danych. Ale niektóre firmy wywiadowcze sprzedają bardziej podstępną trasę wokół ochrony. 10 grudnia 2019 r.
stacja bazowa Unsplash
- Senat USA przygotowuje się do nowego przesłuchania w sprawie szyfrowania
- Wielkie pytanie: czy istnieją nowe przepisy nakazujące tylne drzwi szyfrowania?
- Poznaj izraelską firmę sprzedającą narzędzie do odpychania ludzi od szyfrowanych usług
Załóżmy, że jesteś gliną, który chce podsłuchiwać zaszyfrowaną rozmowę telefoniczną, taką, jaką miliardy ludzi wykonują przez cały czas na WhatsApp. Staromodne podsłuchy nie działają, ponieważ technologia, na której opiera się szyfrowanie, gwarantuje, że nic nie otrzymasz. Możesz spróbować włamać się do telefonu celu i podsłuchiwać — ale często jest to trudna i kosztowna propozycja. Możesz też legalnie zażądać, aby firma obsługująca usługę umożliwiła organom ścigania dostęp do zaszyfrowanych danych, ale może to oznaczać długą i kosztowną batalię prawną.
Ta długa wojna między organami ścigania a przemysłem technologicznym będzie kontynuowana, gdy Senat USA otworzy przesłuchanie w sprawie szyfrowania danych we wtorek rano.
Senacka Komisja Sądownictwa, której przewodniczy Republikanin Lindsey Graham, przeprowadzi przesłuchanie, które będzie dotyczyło technologii, która chroni wszystko, od komunikacji WhatsApp po dane na Twoim iPhonie. Menedżerowie ds. prywatności Apple i Facebook będą wśród osób zeznających obok jednego z najgłośniejszych krytyków szyfrowania przez rząd USA, prokuratora okręgowego na Manhattanie, Cy Vance'a. Administracja Trumpa regularnie krytykowała korzystanie z kryptografii, aw lipcu prokurator generalny William Barr wezwał do legalnego dostępu i tylnych drzwi do szyfrowania, które pozwoliłyby urzędnikom zobaczyć zaszyfrowane prywatne dane.
Przeciwnicy twierdzą, że osłabiają one bezpieczeństwo w Internecie i prywatność na całym świecie, ale obie partie w Kongresie popychały do rozszerzenia dostępu do zaszyfrowanych danych. Kilka lat temu wiceprzewodnicząca komisji, demokratka Dianne Feinstein, awansowała kontrowersyjny projekt ustawy upoważniający rząd do dostępu . Ta ustawa zakończyła się nigdzie, ale największym pytaniem prowadzącym do wtorkowego przesłuchania jest to, czy pojawi się nowa, ponadpartyjna ustawa – a jeśli tak, czy może mieć poparcie Białego Domu.
Ale chociaż to przesłuchanie jest ostatnim rozdziałem trwającego dziesięciolecia konfliktu między rządem a przemysłem technologicznym, niektóre firmy stosują różne taktyki, aby uzyskać dostęp do zaszyfrowanych danych – i sprzedają je organom ścigania i agencjom wywiadowczym.
Różne taktyki
Dziesięć lat temu szyfrowanie — które wykorzystuje matematykę, aby dane były niemożliwe do odczytania z wyjątkiem zamierzonego odbiorcy — było rzadkością dla zwykłych użytkowników. Dziś chroni przeglądanie stron internetowych, wiadomości tekstowe i połączenia telefoniczne miliardów ludzi na całym świecie. Ochrona ta dotyczy w równym stopniu demokratycznie wybranych polityków i działaczy na rzecz praw człowieka, ale także terrorystów i szpiegów, co od dawna skłania rządy do prób przełamania szyfrowania za pomocą środków prawnych i technicznych.
Niedawno spotkałem Ithaia Kenana, wiceprezesa izraelskiej firmy wywiadowczej Picsix, na konferencji bezpieczeństwa Milipol w Paryżu. Picsix, składająca się z weteranów izraelskiego wywiadu, to dziesięcioletnia firma, która specjalizuje się w przechwytywaniu danych jako sposobie rozwiązania problemu szyfrowania. (Jego nazwa jest ukłonem w stronę futbolu amerykańskiego i znajduje odzwierciedlenie w haśle firmy: Idealne przechwycenie.)
Profil firmy Picsix rozdawany potencjalnym klientom.
Kenan sprzedawał najnowszy produkt firmy, narzędzie do przechwytywania i manipulacji danymi, znane jako P6-FI5. Urządzenie działa w oparciu o przechwytywanie komórkowe GSM, 3G i 4G — co oznacza, że może przechwytywać i kontrolować zarówno połączenia telefoniczne, jak i dane — i można je zminiaturyzować, aby można je było nosić w plecakach lub pojazdach.
Narzędzie Picsix tworzy fałszywą wieżę komórkową, która może oszukać telefon celu, aby przesłał do niego dane. Urządzenie nie może odczytywać zaszyfrowanych danych, ale zamiast tego próbuje innej taktyki, aby uzyskać prywatne informacje: sprawia, że zaszyfrowane aplikacje są niesprawne, a nawet całkowicie bezużyteczne. To subtelny, ale mocny sposób na odepchnięcie sfrustrowanego celu z prywatnej aplikacji i skierowanie go do niezaszyfrowanej usługi, którą można łatwo przechwycić i podsłuchać. Samo szyfrowanie nigdy nie jest łamane — jest po prostu bezużyteczne.
Możemy manipulować danymi w bardzo selektywny sposób, powiedział Kenan. Możemy to zrobić w bardzo selektywny sposób, aby nie wyglądało na to, że jesteś manipulowany. Nie tylko całkowicie zablokujemy WhatsApp. Zamiast tego pozwolimy Ci nawiązać połączenie WhatsApp, a za 10 sekund je odrzucimy. Może pozwolimy ci wykonać kolejny telefon, a za 20 sekund go odrzucimy. Zaufaj mi po trzecim nieudanym połączeniu — wykonasz zwykłe połączenie, a my je przechwycimy. To sprytny i opłacalny sposób na przechwytywanie.
Materiały marketingowe Picsix 2019.
Kształtowanie ruchu w celu kierowania danych do bardziej korzystnego terenu jest wypróbowana i zaufana taktyka wywiadowcza mające na celu manipulowanie celem w miejscu, w którym łatwiej jest zaatakować. Nie osiąga to tych samych celów, co narażanie telefonu ofiary na szwank, ale może być równie skuteczne i potencjalnie nawet bardziej uporczywe. Koń trojański firmy takiej jak NSO Group może zapewnić pełny dostęp do telefonu celu dla miliony dolarów , ale opiera się na luce w kodzie uruchomionym na urządzeniu: WhatsApp może jutro opublikować aktualizację zabezpieczeń, która sprawi, że exploit będzie bezużyteczny, a pieniądze zmarnowane.
Picsix twierdzi, że nawet jeśli jego narzędzie nie uzyska dostępu do zaszyfrowanych danych, jego użyteczność nie zostanie zniszczona przez pojedynczą aktualizację.
Dlatego lubimy manipulację danymi, powiedział Kenan.
Ta taktyka może również działać na niezliczonych urządzeniach, ponieważ jest ukierunkowana na dane, a nie na sprzęt. Samsung Galaxy S10 i iPhone 11 to dwa niezwykle różne telefony: każdy exploit musi być dostosowany do konkretnego celu.
Ze względu na to, jak drogie są konie trojańskie, nie ma jednego producenta, który robi konie trojańskie i faktycznie obsługuje wszystkie różne urządzenia i producentów, powiedział Kenan. Możesz mieć oprogramowanie na Androida, ale nie na iOS. Nie mówmy nawet o wszystkich fajnych urządzeniach, które można znaleźć w Chinach i Indiach.
To powiedziawszy, technologia Picsix może również przekierowywać docelowe dane i wstrzykiwać złośliwe oprogramowanie do telefonu korzystającego z fałszywej wieży komórkowej. Od tego momentu te wielomilionowe konie trojańskie mogą potencjalnie zostać wykorzystane.
Przechwytywanie i manipulacja mogą nie wystarczyć, więc P6-FI5 Picsix działa również jako platforma oprogramowania do włamań.
Większa bitwa
Rządy na całym świecie od lat korzystają z narzędzi stworzonych przez firmy takie jak NSO Group i Picsix. Zadanie to zajmuje się całą, wysoce wydajną i lukratywną branżą wywiadowczą.
Jednak wielu czołowych urzędników w Waszyngtonie nie chce polegać na tych narzędziach w celu uzyskania dostępu do danych. Na początku tego roku podczas konferencji poświęconej bezpieczeństwu w Nowym Jorku prokurator generalny Barr wezwał tylne drzwi do zaszyfrowanych danych, a amerykański prokurator Richard P. Donoghue wskazał palcem amerykańskich gigantów technologicznych.
Te firmy zajmują się marketingiem – zaprzeczają, że prowadzą marketing, ale robią marketing – że odmawiają dostępu do organów ścigania, powiedział Donoghue. Powinni być pociągnięci do odpowiedzialności.
Od lat kryptolodzy mają ostrzeżony przed tylnymi drzwiami szyfrowania jako rozwiązaniem, które podważy korzyści związane z bezpieczeństwem silnego szyfrowania. Nie jest jasne, co wydarzy się we wtorek w Senacie USA, ale można się spodziewać debaty, która będzie przypominać tak zwane wojny kryptograficzne z minionych lat.