За крок від цифрової диктатури. Що небезпечніше — злочинність чи незаконні методи боротьби з нею?
Практика показує: у сфері кібербезпеки незаконна або напівзаконних діяльність спецслужб може стати першим кроком до цифрової диктатури.
У реальному житті іноді Добро не виглядає хорошим.
Ось, скажімо, ФБР США повернуло більшу частину біткоїнів (64 з 75) викупу, які великий нафтопровід Colonial Pipeline заплатив крипто-здирникам за розблокування їх комп'ютерних мереж.
На питання "а як це вам вдалося", ФБР, скромно опустивши очі, пробурмотіло: "ну, у нас був приватний ключ". Звідки він і них і що це за ключ такий чарівний — залишилося загадкою.
Тут всі диванні кібер-експерти кинулися рвати на собі волосся "ой горе, так криптовалюта не захищена, ФБР може все зламати, шо нам робити-все пропало".
Але варто тільки почитати англомовні джерела, і між рядками можна здогадатися, що ФБР діяло досить прямолінійно і очікувано: відстежило транзакції платежу здирникам (це публічна інформація), ідентифікувала власника кінцевого гаманця (ось тут просто молодці, знають свою роботу), прийшло в гості до його власника і просто хакнуло його девайс разом з паролем до крипто-гаманця.
Потім самі офіцери (або власник гаманця під примусом) відправили біткоїни на гаманець Colionial Pipeline. Також можливі варіанти: ФБР віддалено хакнуло девайс, де знаходився кінцевий гаманець (хоча б і через supply chain) власник видав пароль до гаманця під тортурами або шантажем з боку агентів ФБР; власника гаманця завербували, пообіцявши імунітет і ще кілька варіантів.
У будь-якому випадку, суть "геніальної спецоперації" полягає в застосуванні незаконних або досить сумнівних напівлегальних методів боротьби проти злочинності.
Гаразд, наркобарони, терористи, важкі наркотики — це очевидне зло, проти них суспільство негласно погоджує застосування "сумнівних методів". Але якщо дозволяти "правоохоронцям" таке провертати раз, два, три, то далі вони ці ж методи почнуть застосовувати проти менш небезпечних злочинців, а потім проти дрібних злодіїв, а потім проти опозиційних політиків, незалежних журналістів, незгодних активістів, а потім і проти всіх інших — винних і невинних. І все це з часом плавно перетече в "цифрову диктатуру".
Або ось, останній випадок з супер-захищеним месенджером ANOM.
Якось у 2018 році зібралися за пивом (буквально) кілька австралійських поліцейських і говорили про великий попит в колах організованої злочинності на захищені системи комунікацій, після гучного розгрому "захищених систем" Phantom Secure і Sky ECC. І після кількох пляшок народилася ідея: а давайте зробимо свій власний месенджер на своїх "захищених" девайсах і акуратно продамо їх кримінальним угрупованням.
Пізніше ідею обговорили з колегами з ФБР, і, отримавши підтримку урядів США і Австралії, приступили до реалізації: один засуджений злочинець в обмін на пом'якшення покарання дав код доступу до ANOM, потім поліцейські взяли під контроль компанію-розробника і трохи "підправили" його софт, далі через офіцерів під прикриттям, агентури впливу і легальних дистриб'юторів почали поширення власних девайсів з власним софтом ANOM, навіть ввели підписку 1700 доларів на 6 місяців — виглядало все дуже натурально.
Клієнти були задоволені, та й продажі росли. Успішний бізнес, що. Але повідомлення і фоточки через сервери-посередники були доступні правоохоронцям, які були переконані, що 100% користувачів ANOM так чи інакше залучені в кримінальних активностях.
Всього за три роки поліцейськими в оборот було запущено близько 12 000 "шифрованих" пристроїв з ANOM, ними користувалося близько 300 (Карл!) злочинних синдикатів з більше ніж 100 країн.
Це масштаб, я вражений. І коли настав "день Ч" — по всьому світу провели одночасно близько 800 арештів, вилучили тонни кокаїну і синтетичної наркоти, сотні стволів, десятки шикарних тачок і десятки мільйонів доларів готівкою.
Попалися: італійська мафія, азіатські тріади, байкерські банди і міжнародні нарко-синдикати. Правоохоронці пишаються своєю роботою, дають прес-конференції, преса виє від захоплення, все святкують переможеньку. І тільки купка правозахисників сумнівається в законності і моральній виправданості такої супер-операції.
Задумався і я.
Знову ж: а наскільки законно продавати свідомо інфіковані шпигунськими функціями пристрою невизначеному колу осіб? А точно продавали їх тільки злочинцям (які в той час були тільки підозрюваними)? А точно 100% користувачів були таки злочинцями? Чи не було серед них, скажімо, журналістів-розслідувачів?
А тепер: можна цю ж практику застосовувати для боротьби з порнушниками, шахраями, порушниками дорожнього руху, безквитковими пасажирами трамваїв? Інтернет-шахраї, наприклад, теж діють у складі організованих груп і теж підпадають під визначення "організована злочинність".
І чи не станеться так, що ікона захищених месенджерів Signal колись також виявиться поліцейською гранд-спецоперацією?
І ще подумав крамольне: чи не проходять дані з "захищеного" українського додатку Дія через секретні сервери західних грантодавців, які фінансують цей проект (як фінансували спецоперацію по ANOM)?
Адже документація на Дію ховається, а незалежні дослідники досі не мають доступу до її вихідного коду, архітектури, стеку технологій, алгоритмам шифрування і тому подібному.
Так що в далекій перспективі може бути небезпечніше: хвороба або метод її лікування?
І кому тоді взагалі можна довіряти?
Легка відповідь на кшталт на поверхні: "нікому". Але так не буває, соррі. У реальному житті кожному з нас доводиться, все ж, комусь довіряти, інакше не буває.
Навіть ті, хто кажуть "я нікому не довіряю", в дійсності (іноді несвідомо) комусь все ж довіряють: довіряють банку, коли розміщують депозит, довіряють розробникам операційних систем, китайським виробникам смартфонів, довіряють невідомим (і навіть відомим, а також державним) розробникам додатків, які встановлюють собі в китайський смартфон.
Довіряємо, купуючи біткоїн, не маючи уявлення, куди піде його курс після чергового твіту Ілона Маска.
Довіряємо без перевірок, без доказів. Без теоретичної можливості здійснити перевірку і без власних знань в предметній області. Змушені довіряти.
Або ж потрібно довіряти експертам, які мають відповідні знання та можливості. Але як звичайній людині точно знати, хто дійсно експерт і кому з них можна довіряти?
Мабуть, це найскладніше питання.
Наркобарони, коли купували дорогі аксесуари з нібито супер-захищеним ANOM, напевно, також консультувалися з якимись "експертами". І також їм довіряли. І поплатилися за це.
Або українські чиновники (як і спіймані наркобарони) оточили себе тільки лояльними "експертами", які говорять тільки те, що чиновникам приємно і вигідно чути. Експертів, які говорять неприємні і невигідні їм речі, ігнорують і експертами не вважають, а іноді навіть переслідують і погрожують.
Відразу скажу: у мене немає універсального рецепта, як відрізнити експерта від "експерта". Але кожному з нас десь колись все ж доведеться прийняти для себе власне рішення "кому з них довіряти".
Але також потрібно враховувати ймовірність помилки і намагатися розрахувати можливі ризики.
Кажуть, в цивілізованих країнах державні органи вітають diversity різних, часто протилежних думок і оцінок.
Згідно з легендою, там, у тих прекрасних країнах, розуміють, що істина народжується тільки в суперечці мудреців. І навіть критику дій влади потрібно об'єктивно оцінювати і обов'язково враховувати при розробці державної політики, бо ігнорування протилежної точки зору може колись вилізти боком.
Не знаю, може це і правда. Десь в далеких цивілізованих країнах.
В Україні ж поки до цього дуже далеко. А спонсори з тих самих "цивілізованих країн" поводяться в Україні точно так само, як і вітчизняні чиновники.
Але поки святкуємо таку нечасту перемогу Добра над Злом.
І сподіваємося, що такі спецоперації, як описана на початку цього тексту, не стануть першим кроком до світової цифрової диктатури.
Публікується за згодою автора.