Českými médii proběhlo v posledních týdnech to, čím žijí v USA telekomunikace už delší dobu – útok čínské hackerské skupiny na velké americké mobilní i pevné operátory, který mířil na privátní komunikaci některých vysoce postavených politiků minulých i budoucích, včetně nastupujícího prezidenta Trumpa. Zajímavé je ale podívat se na pozadí onoho útoku, hlavně na roli samotného amerického státu.
Důležité pro pochopení, proč byl útok úspěšný, je stávající americká legislativa a její praktické uplatňování. Protože Wall Street Journal píše, že k průniku byly použité „požadavky na odposlechy“, je takřka jisté, že jde o zneužití zákona známého pod zkratkou CALEA (The Communications Assistance for Law Enforcement Act) z roku 1994.
Podle něj mají všichni výrobci telekomunikačních zařízení i telekomunikační operátoři povinnost poskytnout americkým úřadům a bezpečnostním složkám veškerou možnou součinnost v případě, že k tomu dostanou zákonem daný příkaz. V praxi to znamená, že pokud tyto složky požadují informace o nějakém zákazníkovi či jeho odposlech, musejí mu operátoři vyhovět.
Americké zákony tak v podstatě vyžadují obrovskou bezpečnostní díru u každého operátora, díky které mohou provádět odposlechy v reálném čase. Když se před třiceti lety tento zákon schvaloval, už tehdy bezpečnostní experti varovali, že neexistují žádná „zadní vrátka“ do systému jenom pro ty „hodné“, ale že je využijí – pokud to bude jen trochu možné – i zločinci či nepřátelské režimy. Odpovědí byla ignorace a přinucení operátorů (kteří proti tomu tehdy vystupovali hodně hlasitě) k nainstalování vládou nařízených „zadních vrátek“ do svých systémů.
Zadní vrátka
Složek, které chtějí odposlouchávat, je velké množství jak na federální, tak na státní úrovni – jde o různé FBI, ATF, DEA, NSA a další „třípísmenné agentury“. Všechny mají nějaké své vlastní systémy, které se chtějí připojit ke každému operátorovi – množství potenciálních zneužití je tak velmi vysoké. Stačí některý z těchto systémů napadnout a podvrhnout mu soudní příkaz k odposlechu. Než to operátor či správce systému odhalí, může uplynout dlouhá doba, během které mají útočníci volnou ruku.
Operátoři se mohou snažit sebevíc zabudovat kolem takto „otevřených dveří“ do své sítě ochranné mechanismy, ale pokud je nemohou zavřít, je to boj, který kvůli zákonům vlastního státu není možné vyhrát.
Bezpečnostní složky si všude na světě – USA nevyjímaje – cení daleko více možnosti odposlouchávat potenciální zločince než zachovávat soukromí a bezpečnosti široké veřejnosti. Internetové firmy poskytující komunikační aplikace na to mohly reagovat (a také reagovaly) zavedením koncového šifrování přenosu, které odposlech a rizika úniku fakticky znemožňuje. Telekomunikační operátoři tuto možnost bohužel nemají.
V Česku je systém nastavený daleko bezpečněji, přesto je to pro bezpečnostní manažery operátorů také „noční můra“.
Legální odposlech v mobilních sítích i v českém prostředí umožňuje standardizované rozhraní mobilních sítí přímo určené pro odposlech. I české sítě musí poskytovat přístup pro legální odposlech, který není ani v nejmenším závislý na dodavateli technologií v telekomunikační infrastruktuře. Například orgány činné v trestním řízení mohou požádat (na základě soudního příkazu) o možnost odposlouchávat hovory či zjišťovat metadata o internetové komunikaci. I v českém prostředí jsou NNI (Network to network interface) propojení mezi operátory a státními orgány založená především na důvěře mezi aktéry.
V roce 2016 proběhl v USA velký skandál – společnost Apple odmítla poskytnout Federálnímu úřadu pro vyšetřování (FBI) jakoukoli součinnost při prolomení bezpečnosti iPhonu, který používal podezřelý terorista. Magazín The Week zveřejnil fantastickou karikaturu, která velmi dobře celý problém ilustrovala – je na ní agent FBI, který chce „klíč k otevření iPhone“ a za ním se řadí hackeři, další vládní úřady, zahraniční špioni, kyberzločinci a teroristi.
Autor karikatury daleko lépe než většina politiků pochopil, že prolomení bezpečnosti je jen jedno, a nakonec ho celkem nevyhnutelně využijí zločinci.
Není to jediný případ, kdy došlo k průniku k datům a provozu zákazníků přes tuto státem nařízenou bezpečnostní díru, a není to jen v USA. V letech 2004–2005 proběhl takzvaný řecký odposlouchávací skandál, při kterém došlo k ilegálnímu odposlechu asi stovky telefonních čísel patřícím vysokým řeckým politikům (včetně premiéra a jeho rodiny, starostky Athén a řady úředníků na ministerstvech obrany, zahraničí a vnitra). Stopy směřovaly k americké ambasádě v Athénách, útočníci tehdy využili také rozhraní pro legální odposlechy.
Osvícenější američtí politici, jako senátor Ron Wyden, už požadují po tamní obdobě Českého telekomunikačního úřadu (agentuře FCC), aby zpřísnila a zlepšila pravidla zabezpečení této bezpečnostní díry a také aby americká vláda přestala vyžadovat „zadní vrátka“ v telekomunikačních technologiích. Otázka je, zda bude úspěšný.
Jaké jsou z americké zkušenosti ponaučení pro Česko?
- Jednou z největších bezpečnostních hrozeb pro soukromí a bezpečnost uživatelů je stát samotný, pokud sám zákonem požaduje zadní vrátka do systémů.
- Nehraje roli, kdo je dodavatelem systémů, zda švédská, finská, čínská či americká firma, když hardware a software všech musí tuto bezpečnostní díru obsahovat.
- Každé takové „rozhraní pro zákonem požadované odposlechy“ je zároveň pozvánkou pro hackery.
- Útoky jsou z 99,99 % vedené na jádro sítě, tedy na ty systémy, jejichž kompromitace poskytne útočníkovi nejvíce možností škodit – nikoli na rádiovou část sítě, kde by útok postihl jednu konkrétní základnovou stanici a dále nic.
🔥🗞️ Přidejte si INFO.CZ do svých oblíbených zdrojů na Google Zprávy. Díky.
