Ezt az összefoglalót először facebookon tettem közzé ,
majd később az androbiten is megjelent egy kedves kollégámnak köszönhetően.
majd később az androbiten is megjelent egy kedves kollégámnak köszönhetően.
De gondoltam itt is megjelentetem utólagosan.
The world is a dangerous place to live
not because of the people who are evil,
but because of the people who don't do anything about it.
Albert Einstein
2013.06.06.
Hír:
Kiderült, hogy az USA kormánya több millió Verizon ügyfél hívásának adatait gyűjtheti össze egy titkos engedély alapján.
A magyarázat szerint, mivel csak a hívások metaadatait tárolták - ki kit hívott, mikor és mennyi ideig tartott a hívás - de magukat a hívásokat nem, és a metaadat nem minősül kommunikációnak, ezért nem volt szükség külön engedélyre minden egyes adat eltárolásához.
Megjegyzés:
Bár már önmagában ennek az adatgyűjtésnek a kitudódása is elég kínos - legalábbis Obama arcán szerintem látszik némi kín, amikor próbálta védeni a dolgot - itt még főként csak a személyiségi jogi aktivisták hangoskodtak. Többfelé lehetett olvasni és hallani olyan véleményeket, hogy ez még simán belefér egy titkosszolgálat tevékenységébe.
Érdemes azt is megjegyezni, hogy ez a fajta metaadat minden telefon szolgáltató rendelkezésére áll és azt legalább statisztikai célra tipikusan fel is használják, viszont ők nem látják a másik szolgáltatók adatait. Látják viszont a más hálózatba tőlük menő és más hálózatból hozzájuk érkező hívásokat.
A később megismert adatok alapján azonban kijelenthetjük, hogy ez csak a bemelegítés volt.
2013.06.07.
Hír:
Az NSA internet “lehallgatási” botrányának kitörése. Az első #Prism dokumentumok megjelenése.
A dokumentumok szerint az NSA-nek közvetlen hozzáférése volt több internetes cég, köztük a Google, Apple, Yahoo rendszereihez. A projekt #Prism néven futott 2007 óta. A dokumentum szerint a lehallgatás a cégek tudtával történt, amit azonban pl. a Google és az Apple azonnal cáfolt.
Megjegyzés:
Az előzőekhez képest itt fontos újdonság (és ettől szólt igazából nagyot), hogy már nem csak metaadatról van szó, hanem a teljes kommunikációról magáról. Azaz pl. az e-mail-ek tartalma vagy a meglátogatott weblapok tartalma is a megfigyelés tárgyát képezi, nem beszélve a chat-ről illetve az internet alapú hanghívásokról. Ez merőben szembe megy azzal az Obama által korábban a telefonos hírben hangoztatott védekezéssel, hogy csak metaadatokról volt szó.
A törvényességet azzal magyarázzák, hogy a törvény lehetőséget ad a programban résztvevő cégek Amerikán kívül élő felhasználóinak, vagy azon amerikai felhasználóknak, akiknek a kommunikációjában nem Amerikában tartózkodó is részt vesz megfigyelésére.
Bár itt is találtak magyarázatot a törvényességre, azért itt már jóval több ember érezte úgy, hogy az ilyen jellegű megfigyelés tényleg törvénytelen lehet.
A megismert adatok alapján az tűnik a legvalószínűbbnek, hogy technikailag a lehallgatást az üvegszálon haladó adatok "bontásával" hajtják végre. Ez megmagyarázná azt is miért nevezték a projektet #Prism -nek.
Mivel itt a teljes forgalmat megkapják, legalábbis azt a forgalmat ami a #Prism csomópontokon átfolyik, szakmailag nagyon érdekes lenne tudni, hogy hogyan elemeznek ekkora mennyiségű adatot, mit keresnek benne és milyen technológiákat alkalmaznak.
Két dolgot érdemes még megemlíteni és mind a kettő a titkosítás témakörhöz kapcsolódik. Amikor kiderült a #Prism lehallgatás akkor a szakértők azt mondták, hogy azért nincs nagy vész, mert a legtöbb adat titkosított csatornán halad keresztül, amibe nem lehet belelátni. Bár bizonyos információk szerint a titkosított adatokat is mentették a lehallgatás folyamán, ám ezeket egyelőre visszafejteni nem tudják. A tárolás célja az volt, hogy ha később lehetségessé válik az adatok visszafejtése, akkor azt majd megtehessék akár célzottan valakire fókuszálva.
Az első fontos dolog, hogy pl. a gmail böngészős változatának használatakor a böngésző titkosított csatornát használ, - gmail-nél az imap szerver is támogat titkosítást - azonban a levél címzetthez juttatása legtöbbször titkosítatlan protokollon - smtp - történik. Ez még akár akkor is lehallgathatóvá teszi az e-mail-eket, ha gmail-ről gmail-re megy az e-mail, de különböző szerverek között utazik az e-mail és közben áthalad egy #Prism csomóponton. Egyébként is a legtöbb kommunikáció esetében a két fél között nem áll fent úgynevezett end-to-end titkosítás tehát valahol lehallgatható lesz a kommunikáció.
A másik dolog, hogy bár a titkosítás mint technológia rendelkezésre áll és pl. a gmail webes felületéhez is van viszonylag egyszerűen használható e-mail titkosítást - PGP/GPG - kínáló böngészőbe beépülő program, és ennek használatával valódi end-to-end titkosítást érhetünk el, de az ehhez szükséges kulcsok generálása és megfelelő kezelése egyáltalán nem triviális, illetve ennek használatához mindkét félnek rendelkeznie kell a megfelelő kulccsal. Továbbá az e-mail metaadatok ilyen módon sem titkosíthatóak.
2013.06.10.
Megjegyzés:
Elsőre logikusnak tűnik, hogyha az NSA tudta, hogy ki szivárogtatja ki az adatokat, akkor Snowden-nek érdeke volt megmutatni magát, nehogy csendben eltegyék láb alól. Azonban ha megmutatja magát, akkor egy másik titkosszolgálat, vagy egy elvakult fanatikus is megölheti - mivel tudják ki volt - és ezzel az NSA-re terelné a gyanút. Tovább Snowden azt nyilatkozta, hogyha vele történik valami akkor is nyilvánosságra kerülnek az adatok. Tehát akár emiatt is érdeke lehetne másik titkosszolgálatnak megölni. Ennek ellenére Snowden él. Nos, azt hiszem arra, hogy miért fedte fel magát - és hogy jól tette-e - csak az idő fog választ adni.
Putin elismerte, hogy #Snowden egy Moszkvai reptéren tartózkodik.
Az USA-ból többen is üzentek neki - ki finoman ki kevésbé - hogy adják ki #Snowden -t.
Dokumentumokkal bizonyították, hogy az NSA 100 millió Angol Fontot fizetett a Brit Kormányzati Kommunikációs Központnak, - GCHQ - hogy segítse a lehallgatást.
Megjegyzés:
A dolog lényege, hogy a brit szervezetek is nyakig benne vannak. Szerintem ez sem kellett volna túl nagy meglepetést okozzon. Nyilvánvaló, hogy minden titkosszolgálat nagyjából ugyanazt akarja. Tudni mindenről. Az is világos, hogy a titkosszolgálatok szükség esetén össze szoktak dolgozni. Az is elég egyértelmű, hogy a titkosszolgálatok elég szabadon tudják értelmezni a törvényeket a tevékenységük igazolására. Mivel eddig nem volt bizonyíték ilyen jellegű tömeges adatgyűjtésre ami ráadásul országhatárokon átível, azért ez is nagyot durrant. Ráadásul fontos momentum volt, mert kihozta az egész botrányt az USA területéről és globális szintre emelte.
Hír:
A Guardian-nál megsemmisítettek olyan merevlemezeket amin a Snowden anyagokat tárolták.
Megjegyzés:
A brit hatóságok többszöri nyomásának engedett a Guardian, amikor megsemmisítették az adathordozókat. Hozzátették azonban, hogy az anyagok megtalálhatóak máshol is az ország határain kívül, tehát tulajdonképpen csak az országban lévő adatokat semmisítették meg, nem az összes adatot. Tették mindezt egyébként azért, mert a hatóságok azzal fenyegették meg őket, hogyha nem teszik meg ezt, akkor ők fogják lefoglalni az adathordozókat, ezt pedig a Guardian el akarta kerülni. Nem ismerem a vonatkozó jogot, de amennyiben ez igaz, akkor szerintem még elég kíméletesen is jártak el velük szemben, mert ahelyett, hogy simán rájuk törik az ajtót, adtak nekik időt a cselekvésre.
Az már kevéssé volt kedves a hatóságtól, hogy David Miranda-t a Heathrow reptéren terrorizmus gyanújával őrizetbe vették és a maximálisan megengedett 9 óráig fogva tartották. Ilyen esetben sokkal kevesebb joga van a gyanúsított illetőnek, mint normál esetben, amivel a hatóságok állítólag próbáltak is visszaélni.
2013.09.05.
Hír:
Az amerikai és a brit titkosszolgálatok az interneten használt titkosítások nagy részét képesek feltörni.
Nem egyértelmű, hogy pontosan hogyan, de a dokumentumok szerint hosszú ideje többféle módon is azon dolgozott az NSA, hogy a különböző titkosításokat lehallgathatóvá tegye. A módszerek között feltételezések szerint szerepelt az algoritmusok gyengítése és nagy titkosítással foglalkozó cégek befolyásolása, melynek során különböző kiskapukat építtettek a kereskedelmi rendszerekbe. A dokumentumok szerint a 10 éve futó program 2010-ben ért el áttörést, amikorra is a legtöbb interneten használt titkosítást képesek voltak megkerülni.
Megjegyzés:
Számomra a dolog innentől kezd igazán érdekessé és aggasztóvá is válni egyben. Arról, hogy az algoritmusok - pl. az AES - mennyire biztonságok voltak már találgatások régebben is. De amíg egy titkosítási algoritmusban - amit egyszer már elfogadtak - nem találnak hibát, addig jónak veszik. A TLS-t is bizonyos esetekben lehet törni. Ám az a kijelentés azért elég meredeknek tűnik, hogy az internetes titkosítások nagy részét fel tudják törni. Mivel semmit nem lehet tudni arról, hogy hogyan csinálják, ez nagyon veszélyes lehet. Mert ha az NSA meg tudja tenni, akkor honnan tudhatjuk, hogy más nem? És igazából ez a kérdés független attól, hogyan csinálják. Ha akár azt a végtelenül hülye ötletet vesszük, hogy a földönkívüliek adtak egy eszközt ami ezt tudja, akkor sincs rá garancia, hogy nincs másik ilyen eszköz más kezében. De a probléma akkor is fennáll, ha azt a sokkal valószínűbb eshetőséget vesszük, hogy az algoritmusok gyenge pontjait vagy szoftverbe épített hátsó kapukat használnak. Más is megteheti ezt, ha ilyenek léteznek.
Márpedig, ha más is meg tudja tenni, akkor innentől a biztonságos kommunikációt igénylő alkalmazásokkal mi lesz? Nem fizetünk online bankkártyával többet? Nem tudunk netbankolni? A titkosítások mellett ezeket a technikákat pl. digitális aláírások és tanúsítványok készítésére is használják. Mivel nem tudjuk milyen messzire jutott az NSA, vagy bárki más a feltörésben, lehet ezek is használhatatlanok lesznek? Akkor viszont pl. a szoftverekbe épített biztonsági ellenőrzéseket is ki lehet játszani. Pl. egy Windows frissítés nem is a Microsoft-tól jön de a rendszer úgy fogja látni, hogy hitelesen onnan jövő frissítés, miközben éppen a kedvenc kémprogramját telepítjük, jobb esetben az NSA-nek. Ne adj isten az összes digitális aláírás hamisíthatóvá válik?
Szerintem ez messzebbre vezet, mint egyszerűen csak a magánszféra megsértése, az e-mailek és chat-ek lehallgatása. Ahogy fent olvasható, két módszert említ a dokumentum.
Az algoritmusok gyengítése esetén a védekezés, illetve a megoldás viszonylag egyszerű lehet. Ki kell kapcsolni az érintett titkosító algoritmusokat. Algoritmusok kézi tiltására már eddig is volt példa, amikor valamelyik algoritmusról kiderül, hogy nem megfelelő, akkor azt a szerver illetve a kliens oldalon is lehet tiltani. Sok kliens, illetve szerver azonban kényszerűségből meghagyja ezeket a "rossz" algoritmusokat is mivel a kikapcsolásuk a specifikációt és a kompatibilitást sértené. Ha ez a helyzet akkor következő lépésben az érintett algoritmusok listája szivároghat ki.
A másik módszer a kereskedelmi, vagy akár nem kereskedelmi - bár erről nem volt szó - termékekbe épített kiskapuk használata. Nos ez már egy nehezebb terület. Ebben az esetben azt feltételezném, hogy következő lépésben az érintett cégek/rendszerek listája fog elkezdeni szivárogni. Hogy mi lesz ezekkel a cégekkel az kérdés. Vissza tudják-e valaha szerezni ezek a cégek a bizalmat? Illetve bízhatunk-e ezután bármilyen titkosításban? A zárt kódúak eleve problémásak lesznek. A nyitott kódúak esetében jobb a helyzet, de azokat is végig kell nézni, illetve a jövőben folyamatosan figyelni a módosításokat. Igazából abban sem vagyok biztos, hogy a bizalom el fog veszni. Hiszen ezek a cégek/rendszerek "CSAK" megfeleltek a törvényi körülményeknek. Nem véletlenül perli most a Google és a Microsoft, hogy nyilvánosságra hozhassák azt amit ők tudnak.
Ami itt még felmerült bennem mint kérdés, hogy mit szenved az NSA ezzel az egésszel. Csak meg kell szereznie a nagy úgynevezett ROOT CA-któl a megfelelő kulcsokat, és bármit lehallgathatnak. Erre a fajta tevékenységre azonban egyelőre semmi jel nem utal.
Ezzel az infóval az eddigi "a titkosítás megvéd a lehallgatástól" teória is megbillent kicsit, mivel nem tudjuk melyik véd meg és meddig.
Azért szögezzük le, hogy amíg nem derül ki több információ, nem tudhatjuk, hogy mennyire rossz a helyzet. Lehet csak felfújták a dolgot a jelentésben, hogy jobban mutasson. Úgyhogy egyelőre még ne dőljünk a kardunkba.
2013.09.08.
Hír:
Újabb dokumentumok kiszivárgása, amelyekből a legfelkapottabb a Brazil Petrobras olaj óriás lehallgatását bizonyító dokumentumok lettek. Ezek a dokumentumok az új ügynököknek szóló képzések anyagai voltak, amelyek azt mutatták be, hogyan lehet a kormányzati, üzleti szervezetek belső hálózatához hozzáférni és megfigyelést folytatni. Az nem derül ki a dokumentumokból, hogy milyen mélységű volt a lehallgatás és pontosan milyen adatokhoz jutottak hozzá, de a tanfolyami anyagban szereplő adatok a szakértők szerint valódinak tűnnek.
Megjegyzés:
Két ok miatt került épp a brazil lehallgatás a középpontba abból a sok mindenből, ami az új dokumentumokból kiderült. Egyfelől a dokumentumok bizonyították, hogy az NSA az USA területén kívülre is kinyúló kémkedési tevékenységet is folytat együttműködve más országokkal. A másik ami fontosabb, hogy gazdasági/pénzügyi jellegű kémkedést is folytatnak. Ennek azért volt hírértéke, mert pár nappal korábban pont ezt tagadták egy levélben. A Guardian cikke szerint az NSA azt is elismerte, hogy nem csak terrorellenes tevékenységet folytat, hanem a pénzügyi válságokat előre jelzendő adatokat is gyűjtenek. Nyilvánvaló, hogy ilyen jellegű adatok akár versenyelőnyhöz is juttathatják az ezeket birtokló cégeket.
Szerintem azonban az előző két pont sem kellene nagy meglepetést okozzon. Végül is kémkedésről beszélünk. Számomra a cikk igazi hírértéke technológiailag abban a mondatban van, ami azt mondja, hogy az NSA képes volt úgynevezett man-in-the-middle - magyarul közbeékelődéses - támadást végrehajtani anélkül, hogy azt a kommunikációban résztvevő felek észrevették volna. Gyakorlatilag ez azt jelenti, hogy mind a kliens, mind a szerver azt hiszi a csatorna közöttük titkos, és csak ők tudják írni/olvasni, de valójában mind a ketten egy közbenső entitással kommunikálnak, aki minden lát és írni is tud bele. Ez a korábban megfogalmazott félelmeimet - lsd. banki adatok biztonsága, illetve szoftver frissítések megbízhatósága - támasztja alá. Illetve az egyik dokumentum arra is utalhat, hogy az NSA valahogy érintett lehetett a DigiNotar nevű ROOT CA kulcsának ellopásában. Az, hogy a ROOT CA-k kulcsának megszerzésével tudják "dekódolni" a titkosított forgalmat, számomra sokkal hihetőbb, mint a feltört algoritmus. Azonban az sem kizárt, hogy ezeket a technikákat - ROOT CA, gyenge algoritmus és beépített backdoor - egymás mellett alkalmazzák.Valójában amíg sokkal több részletet meg nem tudunk az alkalmazott technikákról, addig a jelenleg elterjedt titkosításokban és titkosító programokban nem érdemes megbízni. Persze, hogy tehetünk-e mást az egy jó kérdés. Úgy gondolom egyelőre nem.
Várjuk a következő csomagot!
Gondolom hamarosan jön a folytatás!
Comments
Post a Comment