Az ICE megerősítette, hogy a Paragon Graphite kémszoftvert használta titkosított kommunikáció lehallgatására

Az amerikai Bevándorlási és Vámhatóság (ICE) megerősítette, hogy a Paragon Solutions kereskedelmi kémszoftverét vetette be titkosított kommunikáció lehallgatására. Todd Lyons, az ICE igazgatója nyilvánosságra hozta a Paragon Graphite eszközének használatát, amelyet az ügynökség terrorizmus- és kábítószer-kereskedelem elleni tevékenységének részeként jellemzett. A megerősítés az egyik legemlékezetesebb nyilvános beismerés, amelyet egy amerikai szövetségi ügynökség tett arra vonatkozóan, hogy fejlett kereskedelmi kémszoftvert alkalmazott titkosított üzenetküldés megfigyelésére.

A nyilvánosságra hozatal éles kritikát váltott ki a demokrata képviselőkből, akik aggodalmaikat fejezték ki amiatt, hogy hiányzik a kongresszusi felügyelet az eszköz beszerzésének és bevetésének szabályozása felett.

Mi az a Paragon Graphite, és hogyan működik?

A Paragon Solutions egy izraeli megfigyelési technológiai cég, amely termékeit kizárólag kormányzati ügyfeleknek értékesíti. A Graphite kémszoftvert arra tervezték, hogy kompromittálja a céleszközöket, hozzáférést biztosítva az üzemeltetőknek az egyébként végpontok közötti titkosítással védett kommunikációhoz.

Ez egy kritikus technikai különbség. A Graphite nem töri fel magukat a titkosítási protokollokat. Ehelyett az eszköz szintjén működik, és az üzenetekhez azután fér hozzá, hogy azokat a fogadó vagy a küldő telefonján vagy számítógépén visszafejtették. Amint egy eszköz kompromittálódott, a kémszoftver képes olvasni az olyan alkalmazásokból érkező üzeneteket, mint a Signal, a WhatsApp vagy az iMessage, mivel az eszköz belsejében működik, ahol a titkosítást már alkalmazták vagy eltávolították.

Ezt a megközelítést néha „végponti támadásnak" nevezik, és kifejezetten arra tervezték, hogy megkerülje a titkosított üzenetküldő alkalmazások által nyújtott biztonsági garanciákat. Maga a titkosítás érintetlen marad; ami megváltozik, az az, hogy egy támadó hozzáférést szerez a kulcsokat tároló eszközhöz.

Felügyeleti aggályok és a kongresszusi reakció

A megerősítés újra fellángoltatta azt a szélesebb körű vitát, hogy az amerikai bűnüldöző és bevándorlási hatóságok hogyan szerzik be és alkalmazzák a kereskedelmi megfigyelési eszközöket. A kémszoftverek beszerzésének kongresszusi felügyelete következetlen volt, és jelenleg nincs átfogó szövetségi törvény, amely szabályozná, hogy a hazai ügynökségek hogyan vethetnek be olyan eszközöket, mint a Graphite, az Egyesült Államokon belüli célpontok ellen.

Az ICE bevetését bíráló demokrata képviselők különösen arra mutattak rá, hogy az eszköz használatba vétele előtt nem történt semmilyen formális tájékoztatás a Kongresszus felé. Ez a hiányosság azért fontos, mert a választott képviselőket, és rajtuk keresztül a közvéleményt is korlátozott lehetőséggel hagyja annak megítélésére, hogy a bevetési döntések megfelelőek, arányosak vagy jogilag megalapozottak-e.

A Paragon Graphite-eset nem elszigetelt eset. Az elmúlt évek riportjai kiterjedt kereskedelmi kémszoftver-használatot tártak fel – beleértve az NSO Group Pegasus szoftverét is –, amelyet kormányok világszerte alkalmaztak, olykor újságírók, aktivisták és politikai ellenfelek ellen. Míg az ICE a Graphite-ot komoly bűnügyi nyomozások eszközeként jellemzi, a felügyeleti mechanizmusok hiánya megnehezíti a független ellenőrzést.

Mit jelent ez az Ön számára?

Az átlagos felhasználók számára ez a megerősítés néhány fontos, egyértelműen megértendő pontot vet fel.

Először is, a titkosított üzenetküldő alkalmazások továbbra is hatékonyan teljesítik azt, amire tervezték őket. A Graphite-hoz hasonló eszközszintű kémszoftverek léte nem jelenti azt, hogy a titkosítás megszűnt, vagy hogy a biztonságos üzenetküldés értelmetlen. Az emberek túlnyomó többsége számára az erős titkosítás továbbra is érdemi védelmet nyújt.

Másodszor, az olyan eszközök által képviselt fenyegetési modell, mint a Graphite, szűk körű, de komoly. Ezek az eszközök drágák, jelentős erőforrásokat igényelnek a bevetéshez, és általában konkrét célpontok ellen alkalmazzák őket, nem tömeges megfigyelésre. Ha Ön nem egy célzott kormányzati nyomozás alanya, a Graphite-típusú kémszoftverek közvetlen kockázata alacsony.

Harmadszor, mivel a Graphite az eszköz szintjén működik, nem pedig a hálózati szinten, a hálózati alapú adatvédelmi eszközök nem nyújtanak ellene védelmet, ha egy eszköz már kompromittálódott. Az adatvédelmi eszközök tényleges technikai korlátainak megértése fontos ahhoz, hogy tájékozott döntéseket hozhasson saját biztonsági helyzetéről.

Ami széles körben számít, az a felügyeleti kérdés. Ha hatékony megfigyelési eszközöket egyértelmű jogi keretek vagy kongresszusi ellenőrzés nélkül alkalmaznak, az elszámoltathatóság nehézzé válik, függetlenül a hangoztatott indoklástól.

Összefoglalás

  • Az ICE megerősítette, hogy a Paragon Graphite kémszoftverét használta titkosított kommunikáció lehallgatására, a bevetést terrorizmus- és kábítószer-kereskedelem elleni munkának minősítve.
  • A Graphite az eszközök kompromittálásával működik, nem a titkosítási protokollok feltörésével. A céleszközön történő visszafejtés után olvassa az üzeneteket.
  • A demokrata képviselők aggodalmaikat fejezték ki amiatt, hogy hiányzik a kongresszusi felügyelet annak szabályozásában, hogy az ICE hogyan és mikor szerezte be és vetette be az eszközt.
  • A titkosított üzenetküldő alkalmazások általános használat esetén továbbra is hatékonyak. Az olyan kémszoftverek, mint a Graphite, célzott eszközök, nem pedig széles körű megfigyelési hálók.
  • A nyilvánosságra hozatal által felvetett központi szakpolitikai kérdés nem az, hogy a titkosítás működik-e, hanem az, hogy léteznek-e elegendő jogi korlátok az Egyesült Államok ügynökségeinek az országon belüli emberek ellen alkalmazott kereskedelmi kémszoftver-használatának szabályozására.

Ahogy az ICE Graphite-használatával kapcsolatos további részletek kerülnek napvilágra kongresszusi vizsgálatok és nyomozói riportok révén, a hazai kémszoftver-felügyeletről szóló vita aligha fog elcsendesedni. Annak nyomon követése, hogy ezek az eszközök hogyan működnek, és hogy milyen jogi keretek szabályozzák – vagy nem szabályozzák – őket, a legreálisabb válasz mindazok számára, akik figyelemmel kísérik ezt a történetet.