A CIA vs. Wikleaks margójára

Rengeteg kérdést kaptam a Wikileaks legújabb szivárogtatása kapcsán arról, hogy ennek mi értelme, mi lehet a háttérben. Ugyanennyi véleményt is olvastam persze, tekintve, hogy mindenki azonnal kiberbiztonsági szakértő lett a kérdésben. Magyarország 10 millió kiberbiztonsági szakértő országa.

El kell mondjam, unortodox véleményem van a kérdésben.

Nem hiszek a mindent feltörni tudó orosz hekkerekben, nem hiszek a minden eszközt hátsóajtóval szerelő kínai gyártókban, és nem hiszek a CIA szupererejében sem.

Tudom, hogy Oroszországot 230.000 informatikus segíti az állami hekkerakciók kivitelezésében, tudom, hogy a kínai "Nagy Tűzfal" szűrési szabályait mintegy 30.000 katona programozza és ellenőrzi. Tudom, hogy a CIA, az FSZB és a GCHQ hány emberrel végzi mintegy egy évtizede a globális megfigyelés,  a "MASS SURVEILLANCE" művészetét, és azt is tudom, hogy mindezzel mire mentek eddig a kibervédelem területén. A GCHQ még mindig tartozik nekem egy balul sikerült mobiltelefon feltörés miatt használhatatlanná vált mobillal.

Kétség nem fér ahhoz, hogy egy államnak komoly erőforrásai vannak arra, hogy vásároljon olyan információt, hogy milyen eszközt, hogyan lehet a saját szolgálatába állítani, hogyan lehet bejutni különböző informatikai eszközökbe. Mesterkulcsokat vásárolnak, megvesztegetnek gyártókat, kényszerítenek hekkereket arra, hogy feltörjék a kiszemelt rendszert. De egy államnak sincs saját képessége erre. Pénze, az van rá. Csak azt nem fogja fel senki, mennyire lesz kiszolgáltatott egy olyan embernek, hekkernek, hekkercsoportnak, akitől mindeszt megvásárolja.

Szóval az aktuális szivárogtatásról az a véleményem, hogy nincs szó a CIA rendszerének feltöréséről, nincs szó nemzetközi összeesküvésről, nincs szó ellenérdekelt hekkertevékenységről. Arról van szó, hogy lejárt az aktuális megfigyelő rendszerek szavatossága. Van már egy rakás új módszer, a régiek felett eljárt az idő.

Snowden sem szuperhős, az előző elavulás balhéját vitte el. Most meg pánikol, mert ezek után már nem lesz érdekes. Elavult az utána jövő technológia is. Assange meg nem veszi észre, hogy veszített, különböző titkosszolgálatok használják saját céljaikra a rendszerét.

A totális megfigyelés és a célzott támadások korában élünk. A befertőzött eszközök száma már nem kontrollálható. Technológiai értelemben minden egyes "beütött" eszköz irgalmatlan mennyiségű adatot tol a támadók rendszerébe. A rendszer úgy van felépítve, hogy újabb és újabb támadási technikákkal fel lehessen tartani a hírszerzési fölényt. Digitalizált hírszerző ügynökök dolgoznak és hatalmas mennyiségű adatot sugároznak a gazdáiknak.

Egyszerűen. Arról van szó, hogy az eddigi eszközök fertőzéseit, hátsóajtóit "kivonni", kitörölni beláthatatlan költség lenne az azokat alkalmazó szervezeteknek. Sokkal olcsóbb kiszivárogtatni a korábbi támadási technikák információit, így a feleslegessé vált hekkelések nyomait a piac maga semmisíti meg, "ingyen".

És senki nem foglakozik az újabb technikákkal , nem az újabb támadási módszerekre, hanem a kiszivárogtatott támdások elhárítására fókuszál mindenki.

Röviden összefoglalva. Sokkal olcsóbb egy szivárogtatás nyomán eltüntetni a korábbi támadásokra használatos eszközök nyomait, mint egyenként kivonni azokat a megfertőzött rendszerekből. Ilyenkor legyetek biztosak abban, hogy már minden rendszer meg ven fertőzve az új, 2-3 évig működő "digitális hírszrzőkkel". Mert így olcsóbb.

A megfigyelt takarítja el a megfigyelő szennyesét. Business as usual.

Az adattest, mint információ forrás

Szóval az adattest. Mindenkinek, sőt mindennek van a világon. Helye, formája, kiterjedése, színe, szaga. Neve, árbevétele, kiadása, főtevékenysége, foglakozása. E-mail címe, érdeklődési köre, családja, kutyája, autója, lakása, szokásai. Ízlése, vallása, nyelvtudása, végzettsége. Baráti és ügyfélköre, megállapodásai, partnerei, emlékei, hangulata. Számlaszáma, cégjegyzék száma, adószáma, tb-száma, személyi száma, IP címe, weboldala, webtartalma, alkalmazottai. Na jó, azt hiszem, értitek.

Mik a jellemzői az adattestnek? Azt már tisztáztuk, hogy mindenkivel vele születik, de fontos érteni, hogy senkivel nem hal vele. Életben marad, mivel lehetetlen az összes részét kitörölni az összes adatbázisból. Vicces, hogy például a facebook-on az egyik legnagyobb probléma a meghalt felhasználók profiljainak kezelése. Arról folynak az egyeztetések, hogy például a családtagok örököljék a profilokat. Kicsit perverz, nem?

A másik jellemzője az adattestnek, hogy folyamatosan hízik, bővül, növekedik, gyakorlatilag úgy, hogy erre a valós személynek minimális ráhatása van. A legnagyobb baj azonban az, hogy semmilyen közvetlen ráhatása nincs a "tulajdonosnak" arra, hogy az Ő adatait, a róla szóló információt ténylegesen ki, hogyan kezelje. Persze, mindig elfogadjuk az Általános Szerződési Feltételeket és az Adatkezelési Nyilatkozatokat, Titoktartási megállapodásokat, de nem tudjuk ellenőrizni azok betartását. Miért fogadjuk mégis el? Pénzért természetesen, vagy valamilyen szolgáltatásért, nyereményért, ígéretért cserébe. Meg persze van Személyes adatok kezeléséről szóló törvény is, meg a magántitokról is, banktitokról is. És?

A vicces az egészben az, hogy a legtöbb információ, amit mindenki takargat, véd, eltitkol, az valahol máshol, az Ő vagy Más adattestének egy másik szegletében hozzáférhető, csak erről a tulajdonos nem tud. Például egy szerződés, ami szupertitkos, az védőőrizet alatt a cég páncéljában csücsül, miközben a céggel kapcsolatban álló ügyvédi iroda számítógépein, a közjegyzők nyomtatóinak memóriájában elérhető lesz, valamint egészen bizonyosan elektronikus levélben küldték át egymásnak a történet szereplői. Persze titkosítás nélkül. Mert miért is ne. A partnereknek persze a megbízó cég annyit már nem fizet, hogy legalább olyan védelemmel és tudással kezeljék az adatait, mint a vállalaton belül. Mert hát verseny van és az olcsóbbik viszi a megbízást.

Arra aztán már senki sem gondol, hogy ha valaki be akarna lépni abba a bizonyos e-mail fiókba, akkor "csak" a jelszót kell megszereznie hozzá. De persze nem kell megszerezni, ki lehet találni. Honnan? A szereplők adatteste elárulja. Autó rendszáma, márkája, lakcím, családi utónevek, kutya, macska neve, családi vonatkozású születési dátumok vagy akár a felhasználónévvel megegyező jelszó és még folytathatnám. Triviális és rendkívül sajnálatos, de ez a helyzet. Valamint, ez "csak" a jelszó helyzet. Gondolom ez is sokaknak  ismerős.