ICE потвърди, че е използвала шпионския софтуер Paragon Graphite за прихващане на криптирани комуникации

Американската агенция за имиграция и митническо изпълнение потвърди, че е използвала търговски шпионски софтуер на Paragon Solutions за прихващане на криптирани комуникации. Директорът на ICE Тод Лайънс разкри използването на инструмента Graphite на Paragon, описвайки го като част от усилията на агенцията в борбата с тероризма и наркотрафика. Потвърждението представлява едно от най-ясните публични признания от страна на американска федерална агенция, че е използвала усъвършенстван търговски шпионски софтуер за наблюдение на криптирани съобщения.

Разкритието предизвика остра критика от страна на демократите в Камарата на представителите, които изразиха загриженост относно липсата на парламентарен контрол върху начина, по който инструментът е бил придобит и използван.

Какво представлява Paragon Graphite и как функционира?

Paragon Solutions е израелска компания за технологии за наблюдение, която продава своите продукти изключително на правителствени клиенти. Нейният шпионски софтуер Graphite е проектиран да компрометира целеви устройства, предоставяйки на операторите достъп до комуникации, които иначе биха били защитени от криптиране от край до край.

Това е важно техническо разграничение. Graphite не разбива самите протоколи за криптиране. Вместо това работи на ниво устройство, получавайки достъп до съобщенията след като те са били декриптирани на телефона или компютъра на получателя или изпращача. След като дадено устройство бъде компрометирано, шпионският софтуер може да чете съобщения от приложения като Signal, WhatsApp или iMessage в обикновен текст, тъй като оперира вътре в устройството, където криптирането вече е приложено или премахнато.

Този подход понякога се нарича „атака на крайна точка" и е специално проектиран да заобиколи гаранциите за сигурност, предоставяни от приложенията за криптирани съобщения. Самото криптиране остава непокътнато; това, което се променя, е, че нападателят получава достъп до устройството, което притежава ключовете.

Опасения относно контрола и реакцията на Конгреса

Потвърждението разпали наново по-широк дебат за това как американските правоохранителни органи и агенциите за имиграция придобиват и използват търговски инструменти за наблюдение. Парламентарният контрол върху придобиването на шпионски софтуер е бил непоследователен и понастоящем няма изчерпателен федерален закон, който да регулира начина, по който вътрешните агенции могат да разполагат с инструменти като Graphite срещу цели на територията на Съединените щати.

Демократите от Камарата на представителите, критикували разполагането на ICE, посочиха специално липсата на каквото и да е официално уведомление до Конгреса преди инструментът да бъде въведен в употреба. Тази празнина е важна, тъй като оставя избраните представители, а чрез тях и обществеността, с ограничена възможност да оценят дали решенията за разполагане са подходящи, пропорционални или законосъобразни.

Случаят с Paragon Graphite не е изолиран. Репортажи от последните години разкриха широкото използване на търговски шпионски софтуер, включително Pegasus на NSO Group, от правителства по целия свят — понякога срещу журналисти, активисти и политически опоненти. Докато ICE представи Graphite като инструмент за разследване на тежки престъпления, липсата на механизми за контрол прави независимата проверка трудна.

Какво означава това за вас

За обикновените потребители това потвърждение повдига няколко важни въпроса, които си заслужава да се разберат ясно.

Първо, приложенията за криптирани съобщения остават ефективни в това, за което са проектирани. Съществуването на шпионски софтуер на ниво устройство като Graphite не означава, че криптирането е разбито или че сигурните съобщения са безсмислени. За огромното мнозинство от хората силното криптиране продължава да осигурява смислена защита.

Второ, моделът на заплаха, който представляват инструменти като Graphite, е ограничен, но сериозен. Тези инструменти са скъпи, изискват значителни ресурси за разполагане и като цяло се използват срещу конкретни цели, а не за масово наблюдение. Ако не сте обект на насочено правителствено разследване, прякото риска от шпионски софтуер от типа на Graphite е нисък.

Трето, тъй като Graphite оперира на ниво устройство, а не на ниво мрежа, базираните на мрежата инструменти за поверителност не осигуряват защита срещу него, след като дадено устройство е компрометирано. Разбирането на действителните технически ограничения на всеки инструмент за поверителност е важно за вземането на информирани решения относно вашата собствена позиция по отношение на сигурността.

Въпросът за контрола е от широко значение. Когато мощни инструменти за наблюдение се използват без ясни правни рамки или парламентарна проверка, отчетността става трудна, независимо от посочената обосновка.

Изводи

  • ICE потвърди, че е използвала шпионския софтуер Graphite на Paragon за прихващане на криптирани комуникации, представяйки разполагането като работа в областта на борбата с тероризма и наркотрафика.
  • Graphite работи, като компрометира устройства, а не като разбива протоколи за криптиране. Чете съобщенията след декриптирането им на целевото устройство.
  • Демократите от Камарата на представителите изразиха загриженост относно липсата на парламентарен контрол върху това как и кога ICE е придобила и разгърнала инструмента.
  • Приложенията за криптирани съобщения остават ефективни за обща употреба. Шпионски софтуер като Graphite е целенасочен инструмент, а не широка мрежа за масово наблюдение.
  • Централният политически въпрос, повдигнат от това разкритие, не е дали криптирането работи, а дали съществуват достатъчни правни предпазни мерки, регулиращи начина, по който американските агенции използват търговски шпионски софтуер срещу хора на територията на страната.

С появата на повече подробности за използването на Graphite от ICE чрез парламентарни разследвания и журналистически репортажи, разговорът за контрола върху вътрешния шпионски софтуер едва ли ще затихне. Да бъдете информирани за начина, по който тези инструменти работят и какви правни рамки ги регулират или не, е най-обоснованият отговор, достъпен за всеки, следящ тази история.