Ήδη από το 1948 ο GeorgeOrwell είχε φανταστεί έναν κόσμο απόλυτης παρακολούθησης στο πασίγνωστο μυθιστόρημά του 1984, από το οποίο προέκυψε και ο όρος «μεγάλος αδερφός». Από τότε, έχουν γίνει δεκάδες αποκαλύψεις για παρακολουθήσεις μεμονωμένων προσώπων ή ομάδων, καθιστώντας το φαινόμενο «τετριμμένο» και ίσως «δεδομένο».
H ρήση, του ScottMcNealy, CEO της τότε Sun Microsystems, το 1999: «You have zero privacy anyway. Get over it!» μαρτυρούσε ότι το αγαθό της ιδιωτικότητας είχε ήδη εκλείψει εδώ και πολλά χρόνια από τον ψηφιακό κόσμο.
Μεγαλύτερο ενδιαφέρον, ωστόσο, παρουσιάζουν οι μαζικές παρακολουθήσεις μεγάλης κλίμακας. Μια από τις πρώτες τέτοιες αποκαλύψεις ήταν αυτή για το δίκτυο ECHELON, το οποίο αποκαλύφθηκε από τη Margaret Newsham το 1988. Το δίκτυο αυτό από τη δεκαετία του ’60 χρησιμοποιούταν από συμμαχία 5 κρατών (Αυστραλία, Καναδά, Νέα Ζηλανδία, Ηνωμένο Βασίλειο, ΗΠΑ) για την υποκλοπή στρατιωτικών και διπλωματικών πληροφοριών από τη Σοβιετική Ένωση και το ανατολικό μπλοκ. Με την πάροδο του χρόνου η χρήση του επεκτάθηκε καθιστώντας το ένα σύστημα καθολικών υποκλοπών τόσο προσωπικών όσο και εμπορικών επικοινωνιών.
Φτάνοντας στις μέρες μας, δεν υπάρχει πλέον καμία αμφιβολία ότι βρισκόμαστε σε ένα καθεστώς καθολικής παρακολούθησης όπου το σύνολο σχεδόν των ηλεκτρονικών επικοινωνιών υποκλέπτονται μαζικά και συστηματικά. Οι αποκαλύψεις των «Wikileaks» από τον Julian Assange το 2011 και το «Global surveillance disclosure» από τον Edward Snowden το 2013 συνθέτουν ένα ιδιαίτερα ζοφερό τοπίο όσον αφορά στην ιδιωτικότητα. Πράγματι, το μυθιστόρημα του George Orwell να έχει γίνει πλέον πραγματικότητα ως προς το κομμάτι του «μεγάλου αδερφού». Η συνεργασία μεταξύ κρατών, υπηρεσιών, κατασκευαστών, τηλεπικοινωνιακών παρόχων και παρόχων υπηρεσιών, καθιστά δυνατή την παρακολούθηση οποιουδήποτε. Το πλαίσιο και οι κανόνες αυτής της συνεργασίας δεν είναι απολύτως γνωστά, σύμφωνα όμως με τις αποκαλύψεις, τις περισσότερες φορές είναι επωφελή για όλους τους εμπλεκόμενους. Από την άλλη πλευρά, οι εταιρείες και πάροχοι των οποίων τα προϊόντα και οι υπηρεσίες έχουν εμπλακεί στις αποκαλύψεις περί μαζικών υποκλοπών σπεύδουν να διαψεύσουν τα στοιχεία και να αρνηθούν την οποιαδήποτε εμπλοκή στα σχετικά σκάνδαλα.
Στις μέρες μας, λοιπόν, λαμβάνει χώρα καθολική παρακολούθηση του συνόλου σχεδόν των ηλεκτρονικών επικοινωνιών, με απόλυτο έλεγχο τόσο των υπολογιστών όσο και των σταθερών και κινητών τηλεφώνων. Τις περισσότερες φορές, αυτό γίνεται εν κρυπτώ, χωρίς ο χρήστης να μπορεί να αντιληφθεί το παραμικρό. Οι υποκλοπές γενικώς πραγματοποιούνται σε πραγματικό χρόνο με τα δεδομένα να αναλύονται και αξιοποιούνται άμεσα. Όμως ακόμα και αν δεν προκύπτει κάποια άμεση πληροφορία, τα δεδομένα αποθηκεύονται και διατηρούνται για μελλοντική χρήση.
Παθητική και ενεργή υποκλοπή
Από τεχνικής πλευράς, υλοποιούνται συστήματα και μέθοδοι παθητικής αλλά και ενεργής φύσης. Μια παθητική υποκλοπή πραγματοποιείται χωρίς καμία επέμβαση-παρέμβαση στο υπό παρακολούθηση σύστημα. Τυπικό παράδειγμα αποτελεί η υποκλοπή ραδιοκυμάτων. Τα ραδιοκύματα ταξιδεύουν ελεύθερα και είναι σχετικά εύκολο να ληφθούν και καταγραφούν ακόμα και σε μεγάλες αποστάσεις. Κατόπιν, ανάλογα με το είδος της κρυπτογράφησης (ή και την απουσία της πολλές φορές) μπορεί να γίνει η αποκρυπτογράφηση και να προκύψει το περιεχόμενο της επικοινωνίας. Αντιθέτως, υποκλοπές με ενεργό τρόπο, απαιτούν την τροποποίηση είτε του εξοπλισμού είτε των πρωτοκόλλων επικοινωνίας. Ένα σχετικό παράδειγμα είναι η εγκατάσταση κακόβουλου λογισμικού σε κάποιον υπολογιστή ή η τοποθέτηση ενός πλαστού-ελεγχόμενου ασύρματου σημείου πρόσβασης (access point) σε κάποιον δημόσιο χώρο. Όπως είναι λογικό, οι παθητικές μέθοδοι είναι πρακτικά αδύνατο να εντοπισθούν σε αντίθεση με τις ενεργές οι οποίες αφήνουν συγκεκριμένα ίχνη.
Υποκλοπή με ενεργό τρόπο αποτελεί και η εγκατάσταση μιας ηλεκτρονικής διάταξης-κοριού. Το ενδιαφέρον στοιχείο, σύμφωνα με τις αποκαλύψεις Snowden, είναι ότι οι μυστικές υπηρεσίες φροντίζουν να κατασκευάζουν τις διατάξεις αυτές με εμπορικά ηλεκτρονικά εξαρτήματα, τα οποία βρίσκονται ευρέως διαθέσιμα στην αγορά. Παράλληλα, σε περίπτωση που οι διατάξεις επικοινωνούν με τον υποκλοπέα (για να στείλουν π.χ. το περιεχόμενο μιας υποκλαπείσας ομιλίας), αυτό γίνεται πάντα με ισχυρή κρυπτογράφηση. Έτσι, ακόμα και στην περίπτωση που οι διατάξεις αυτές ανακαλυφθούν, δεν υπάρχουν στοιχεία που να οδηγούν στην ταυτότητα του υποκλοπέα.
Το «ελεγχόμενο» χάος του Διαδικτύου
Εκτός από τα δίκτυα σταθερής και κινητής τηλεφωνίας, το Διαδίκτυο βρίσκεται και αυτό υπό «επιτήρηση». Είναι γνωστό εδώ και πολλά χρόνια εξάλλου ότι το Διαδίκτυο δεν εγγυάται την ασφάλεια των πληροφοριών που διακινούνται μέσα από αυτό. Αυτό που ήταν λιγότερο γνωστό μέχρι τις πρόσφατες αποκαλύψεις, είναι το γεγονός ότι μέσα από ένα εκτεταμένο δίκτυο ελεγχόμενων ή/και επιμολυσμένων υποδομών (π.χ. στις εγκαταστάσεις των παρόχων), μέσων μετάδοσης (π.χ. καλωδίων οπτικών ινών), δρομολογητών, εξυπηρετητών και υπολογιστών, είναι δυνατή η παρακολούθηση του συνόλου σχεδόν των πακέτων δεδομένων που διακινούνται σήμερα στο Διαδίκτυο. Βεβαίως εκτός από την πληροφορία που διακινείται, υπάρχει και πληροφορία που βρίσκεται ήδη αποθηκευμένη. Η πρόσβαση και σε αυτή την πληροφορία είναι εφικτή, με τη συνεργασία των παρόχων υπηρεσιών με διάφορους βαθμούς νομιμότητας.
Η λαθρανάγνωση των πακέτων πληροφορίας τα οποία διακινούνται στο Διαδίκτυο είναι τετριμμένη τεχνική. Πιο εντυπωσιακή είναι η έγχυση/εισαγωγή πλαστών πακέτων ελέγχου των πρωτοκόλλων επικοινωνίας και η αντικατάσταση των γνησίων πακέτων με πλαστά τα οποία καταφτάνουν ταχύτερα από τα αυθεντικά στον χρήστη. Αυτό είναι δυνατό με χρήση πλαστών/ελεγχόμενων εξυπηρετητών που βρίσκονται εγγύτερα στον χρήστη σε σχέση με τον γνήσιο εξυπηρετητή. Πράγματι, αν αναλογισθεί κανείς πόσοι κόμβοι μεσολαβούν για την επικοινωνία μεταξύ ενός υπολογιστή και ενός εξυπηρετητή τότε πάντα υπάρχει περιθώριο για κάποιον ενδιάμεσο «ελεγχόμενο» κόμβο.
Παγίδευση λογισμικού
Συνεχίζοντας στο τεχνικό κομμάτι των ενεργών υποκλοπών, η παγίδευση του λογισμικού διαδραματίζει και αυτή σημαντικό ρόλο. Μέχρι πρόσφατα γνωρίζαμε ότι είναι σχετικά εύκολο να εγκατασταθεί σε κάποιον υπολογιστή κακόβουλο λογισμικό το οποίο να υποκλέπτει τις επικοινωνίες και τα προσωπικά δεδομένα του χρήστη. Οι σύγχρονες μέθοδοι όμως, αποφεύγουν το λογισμικό σε επίπεδο λειτουργικού συστήματος και κατεβαίνουν ένα βήμα παρακάτω, παγιδεύοντας το λογισμικό που εκτελείται στο υλισμικό του υπολογιστή (firmware). Πράγματι υπάρχουν ήδη στοιχεία για παγιδευμένο BIOS ή για επιθέσεις μέσω του System Management Mode. Καθώς η υποκλοπή αυτή λαμβάνει χώρα έξω από το λειτουργικό σύστημα, η ανίχνευσή της είναι εξαιρετικά δύσκολη. Και βέβαια, στο στόχαστρο δε μπαίνουν μόνον οι υπολογιστές. Το ίδιο συμβαίνει και με τα κινητά τηλέφωνα, τις κάρτες (U)SIM, τους δρομολογητές, και κάθε είδους εξοπλισμό πληροφορικής και τηλεπικοινωνιών. Ακόμα και στους σκληρούς δίσκους, είναι γνωστό ότι το ενσωματωμένο λογισμικό ελέγχου τους μπορεί να φιλοξενήσει και αυτό κακόβουλο λογισμικό.
Η επέμβαση σε hardware
Πέρα από τεχνικές παρακολούθησης λογισμικού υπάρχουν φυσικά και οι επεμβάσεις σε επίπεδο υλισμικού. Πάντα σύμφωνα με τα στοιχεία που είδαν το φως της δημοσιότητας, υπάρχει ήδη υλισμικό παγίδευσης, διαθέσιμο για δεκάδες εμπορικά προϊόντα. Προφανώς απαιτείται φυσική παρέμβαση, και αντικατάσταση/ενσωμάτωση ηλεκτρονικών κυκλωμάτων. Φαίνεται και ίσως είναι δύσκολο να παραβιάσει κάποιος τη φυσική ασφάλεια μιας εταιρείας, να αποκτήσει πρόσβαση στις εγκαταστάσεις της, να ξεβιδώσει υπολογιστές και να τοποθετήσει μικροκυκλώματα στις μητρικές κάρτες και στους σκληρούς δίσκους. Αναλογισθείτε όμως, πόσο απλούστερο είναι η ίδια διαδικασία να γίνει κατά τη μεταφορά των υπολογιστών και των εξαρτημάτων όταν γίνεται η αγορά τους, στη διαδρομή μέχρι να φτάσουν στον τελικό χρήστη. Με τον τρόπο αυτό, οι υπολογιστές καταφθάνουν με μια μικρή καθυστέρηση, ήδη παγιδευμένοι!
Από τεχνικής πλευράς, και πάλι, μπορούν να παγιδευθούν οι δίαυλοι επικοινωνίας όπως το PCI, το I2C bus αλλά και δίαυλοι ελέγχου και δοκιμών όπως το JTAG. Οι θύρες εισόδου και εξόδου όπως το USB, η κάρτα δικτύου, τα πληκτρολόγιο αλλά ακόμα και το καλώδιο της οθόνης μπορούν να φιλοξενήσουν υλισμικό υποκλοπών. Το υλισμικό αυτό, θα πρέπει με κάποιον τρόπο να μεταδώσει τα υποκλαπέντα δεδομένα στον δημιουργό του. Αυτό μπορεί να γίνει με διάφορους τρόπους, μέσω του ιδίου του δικτύου του υπολογιστή (σταθερού ή ασύρματου), μέσω ασύρματων πομποδεκτών, μέσα από τα ηχεία του υπολογιστή (με υπέρηχους), ακόμα και με την ανάκλαση μικροκυματικής ακτινοβολίας.
Κλείνοντας, με αφορμή τη μέθοδο υποκλοπών με ανάκλαση μικροκυματικής ακτινοβολίας, θα κάνουμε μια σημαντική παρατήρηση. Όπως αναφέρει και ο τίτλος, οι τεχνολογίες που περιγράφηκαν μπορεί να φαντάζουν εξωτικές και «μελλοντικές», ιδιαίτερα στον απλό χρήστη. Κάθε άλλο, όμως: η ανάκλαση μικροκυματικής ακτινοβολίας είναι γνωστή από τη δεκαετία του ’50, ενώ αν παρατηρήσει κανείς τα έγγραφα που παρουσίασε ο Snowden, πολλά από τα συστήματα που περιγράφονται αναφέρουν ημερομηνίες διάθεσης από το 2008-2009. Χωρίς υπερβολή, με δεδομένη την ασταμάτητη εξέλιξη της τεχνολογίας, οι δυνατότητες των πραγματικά μελλοντικών συστημάτων υποκλοπών θα είναι τρομακτικές.
Τι μπορεί να γίνει λοιπόν; Ο έλεγχος των μαζικών υποκλοπών και των καθολικών παρακολουθήσεων και η προστασία μπορεί να επιτευχθεί μόνο με μια ευρεία συνεργασία Πολιτικής, Δικαιοσύνης, Βιομηχανίας, Ακαδημίας, Δημοσιογραφίας και Κοινωνίας. Δυστυχώς ή ευτυχώς, η τεχνολογία από μόνη της δε μπορεί να δώσει τη λύση!
*το άρθρο βασίζεται στην ομιλία του συγγραφέα στο 3ο Συνέδριο Ασφαλούς Πλοήγησης
Δρ. Ιωσήφ Ανδρουλιδάκης
Σύμβουλος Ασφάλειας Τηλεπικοινωνιακών Συστημάτων
