Krhka ranljivost komunikacij
Na delovni mizi je okrog prenosnega računalnika postavljenih več mobilnih telefonov. Ko so bile naprave povezane in so se na zaslonu prenosnika začele pretakati ukazne vrstice, se je začel drzen preizkus: kako varna so slovenska omrežja gsm. Rezultati so bili skrb zbujajoči.
Trije računalniški raziskovalci in sodelavci slovenskega tehnološkega spletnega portala Slo-Tech (Jaka Hudoklin, Matej Kovačič in Klemen Rupnik) so ugotovili, da je mogoče že z manj kot tisoč evri in nekaj tedni programiranja neopazno prisluškovati mobilnim pogovorom v vseh slovenskih omrežjih druge generacije gsm (Mobitelu, Simobilu in Tušmobilu), brati sporočila sms in ponarejati identiteto klicatelja.
Z ugotovitvami so najprej seznanili operaterje in jim svetovali, kako naj odpravijo varnostne luknje in izboljšajo varnost omrežij. Ti so se odzvali z običajno mešanico tišine, zadrege, zanikanja in zmanjševanja pomena dokazanih varnostnih tveganj (zlorabe se ne dogajajo, taki prisluhi so mogoči samo v laboratorijskih razmerah, naše omrežje je varno …), zato so raziskovalci svoj poskus povzeli v daljšem prispevku in ga javno objavili na svetovnem spletu.
Komunikacijske varnostne pomanjkljivosti, na kakršne opozarjajo sodelavci Slo-Techa, so med poznavalci zgodovine elektronskih komunikacij zelo dobro znane. Ko so začele države, banke in borze konec devetnajstega stoletja množično uporabljati električni telegraf, so se že kmalu pojavile prve varnostne težave, pojasnjuje britanski publicist Tom Standage v knjigi o nastanku telegrafa The Victorian Internet. Nova komunikacijska tehnologija je bila za uporabnike sprva zelo vabljiva. Britanska imperialna krona je zaradi hitrejšega prenosa informacij učinkoviteje komunicirala z upravniki oddaljenih čezmorskih kolonij. Borzniki so lahko začeli trgovati na tujih borzah, bančniki so uvedli hitra bančna nakazila in »električne« prenose denarja. Hitro uvajanje telegrafa so spodbujali številni politični in gospodarski interesi, zato je postajalo novo komunikacijsko orodje vse bolj nepogrešljivo. A so se komunikacijski novosti zelo hitro prilagodili tudi vohuni in kriminalci.
Prestrezanje vladnih telegramov in električno širjenje dezinformacij je postalo običajna sestavina (proti)obveščevalnega dela, zunanje politike in vojaške strategije. Iznajdljivi bančni roparji so začeli plezati na osamljene telegrafske drogove in v banke pošiljati telegrame z lažnimi denarnimi nakazili, da so jih nato dvignili njihovi pajdaši. Kraje identitete so bile zelo pogoste, prav tako borzne goljufije in poskusi vplivanja na vrednost vrednostnih papirjev. Zato so morali tudi civilni uporabniki telegrafa uvajati šifre – orodje, ki so ga dotlej večinoma uporabljale državne ustanove in vojska. Države pa so poskušale ostreje nadzorovati in omejevati uporabo elektronskih komunikacijskih orodij, predpisovati varnostne standarde, skrivati šifrirne tehnologije, kriminalizirati njihovo uporabo in si z zakoni zagotavljati pravico do prisluhov. Vendar zgolj uporaba šifriranja ne more odpraviti varnostnih tveganj, temveč ima lahko celo nasproten učinek: vzbujanje varljivega občutka varnosti in nekritično zanašanje na (zaprta) varnostna orodja.
Šifriranje zaupnih komunikacij so uporabljali že stari Egipčani in Kitajci, pojasnjuje ameriški zgodovinar David Kahn, ki je v knjigi The Codebreakers: The Story of Secret Writing podrobno opisal zgodovino tajnopisja od predkristusovskih tisočletij do konca šestdesetih let prejšnjega stoletja (v slovenščino je prevedena podobna in precej novejša Knjiga šifer, ki jo je napisal britanski znanstveni publicist Simon Singh). A so že prvi uporabniki skrivnih pisav ugotovili, da je vsaka šifra ranljiva in jo je mogoče zlomiti s pravim pristopom, poznavanjem človeških šibkosti ali iznajdbo novega tehničnega pripomočka (matematične metode, računskega stroja, programabilnega računalnika …), ki ga izumitelji tajnopisnega postopka niso mogli predvideti, opozarjata Kahn in Singh. To pravilo velja tudi za mobilno telefonijo. Šifriranje pogovorov v telefonskem omrežju gsm, ki so ga med sprejemanjem tehničnih standardov namenoma okrnile zaskrbljene vlade, da bi ohranile možnost prisluhov, je bilo morda »dovolj varno« pred dvajsetimi leti, ko so lahko varnostne algoritme v realnem času razbili kvečjemu najzmogljivejši superračunalniki tajnih služb. Vendar njihove računske zmogljivosti danes presega že čisto običajen prenosnik, kakršnega so za razbijanje šifer uspešno uporabili slovenski raziskovalci.
Kahn in Singh pa nista opisala samo sestavljanja in razbijanja skritih informacij, ampak sta se dotaknila še enega pojava, ki je skozi zgodovino tajnopisja spremljal razbijalce šifer: utišanje njihovih kritik.
Opozarjanje na ranljivost komunikacijskih sistemov je bilo zelo tvegano početje, saj so raziskovalci hitro trčili v državne skrivnosti, poslovne interese in samoobrambne napade političnih elit. Številni matematiki, ki so razvijali nove metode (de)šifriranja, ali računalniški hekerji, ki so z vdori v informacijske sisteme dokazovali njihovo ranljivost, so morali zaradi svojega dela izbirati med zaporom ali delom za skrivne vladne organizacije. Avtorja računalniškega programa za šifriranje osebne elektronske pošte pgp (pretty good privacy) Phila Zimmermanna so ameriški zvezni preiskovalci (FBI) v začetku devetdesetih let obtožili nezakonitega izvoza orožja, ker so hoteli preprečiti širjenje njegovega brezplačnega šifrirnega orodja po svetovnem spletu (programe za šifriranje so Američani uvrščali med orožje – podobno kot rakete in strojnice). Zaradi kulture zanikanja in strahu pred izgubo uporabniškega zaupanja pa javnost dosežejo le poročila o najodmevnejših vdorih in izgubah osebnih podatkov, ki jih državam, bankam, zavarovalnicam in ponudnikom spletnih storitev ni uspelo dovolj hitro in temeljito prikriti.
Slovenskim raziskovalcem se podobnih obtožb ali celo izginotja ni treba bati. Vendar dosedanja zgodovina šifer napoveduje, da tudi slovenski operaterji ne bodo ravnali bistveno drugače od predhodnikov: upoštevali varnostna priporočila sodelavcev Slo-Techa in s tehničnimi nadgradnjami omrežja bolje zaščitili zasebnost uporabnikov. V njihovi dejavnosti se namreč srečujejo zelo različni in nasprotujoči si interesi.
Varnostna prenova omrežja je draga in lahko prizadene lastnike starejših mobilnikov, ki ne podpirajo novejših šifrirnih protokolov. Zato se bodo poskušali operaterji stroškom izogniti, če jih v spremembe ne bodo prisilili regulatorji, iskanje konkurenčne prednosti ali dovolj odločni uporabniški protesti. Policija in tajne službe zagotavljajo, da bi »predobro« zavarovane komunikacijske povezave uporabljali zločinci in teroristi, ker da jim ne bi mogli učinkovito prisluškovati in preprečevati kriminalnih dejanj, zato jim ne-varni komunikacijski sistemi ustrezajo. Slovenska država sprejema strategije za spodbujanje elektronske ekonomije in »informacijske družbe«, ki zahteva varno komunikacijsko infrastrukturo (e-poslovanje, spletno bančništvo in nakupi …), a njeni predstavniki kljub temu poslušno glasujejo za protiteroristične in protipiratske sporazume, ki grobo posegajo v pravice posameznikov do varnega zasebnega komuniciranja in postavljajo pravno podlago za sistematično prisluškovanje celotni populaciji (Acta, evropska direktiva o obvezni hrambi prometnih komunikacijskih podatkov …).
Hkrati je postala informacijska družba kritično odvisna od tehnologij, naprav in poslovnih modelov, ki nimajo ustreznih varnostnih varovalk, saj nekdanji snovalci niso predvideli njihove množične razširjenosti in današnjih načinov uporabe. Morebitne temeljitejše spremembe varnostnih politik bi močno vplivale na uporabo elektronskih storitev in poslovanje informacijskih podjetij, zato nimajo prav dosti zagovornikov – kljub legitimni pravici državljanov do neprisluškovane elektronske komunikacije.
Ko je raziskovalec Matej Kovačič marca objavil podobno poročilo in dokazal, da lahko vsak razgledan programerski laik poceni »ponareja« mobilne telefonske klice in sporočila sms v slovenskih omrežjih, je njegov prikaz sprožil le krajše debate na nekaterih zaprtih tehnoloških forumih. Javni odzivi operaterjev, policije in državnih ustanov so tedaj pokazali, da niso pripravljeni prisluhniti opozorilom o ranljivosti elektronskih komunikacij, premisliti o smiselnosti direktive o hrambi komunikacijskih podatkov ter bolje poskrbeti za krhko ravnotežje med varnostjo in zasebnostjo. Nedavne ugotovitve njegove raziskovalne skupine kažejo, da so varnostna tveganja v omrežjih mobilne telefonije še resnejša, kot se je zdelo spomladi. Če bodo država in operaterji tokrat znova preslišali javna opozorila, bo večja tudi njihova (ne)odgovornost.
(Sobotna priloga Dela, 16. junij 2012)