ICE bekräftar användning av Paragon Graphite-spionprogram mot krypterad kommunikation

ICE bekräftar att det använde Paragon Graphite-spionprogram för att avlyssna krypterad kommunikation

Den amerikanska myndigheten för invandring och tullkontroll (ICE) har bekräftat att den använde kommersiellt spionprogram från Paragon Solutions för att avlyssna krypterad kommunikation. ICE:s direktör Todd Lyons avslöjade användningen av Paragons Graphite-verktyg och beskrev det som en del av myndighetens arbete mot terrorism och narkotikahandel. Bekräftelsen utgör ett av de tydligaste offentliga erkännandena från en amerikansk federal myndighet om att den har använt avancerat kommersiellt spionprogram för att övervaka krypterade meddelanden.

Avslöjandet har väckt skarp kritik från demokrater i representanthuset, som uttryckt oro över bristen på parlamentarisk tillsyn över hur verktyget anskaffades och användes.

Vad är Paragon Graphite och hur fungerar det?

Paragon Solutions är ett israeliskt företag inom övervakningsteknologi som uteslutande säljer sina produkter till statliga kunder. Företagets Graphite-spionprogram är utformat för att kompromettera målenheters system och ge operatörer tillgång till kommunikation som annars skulle skyddas av end-to-end-kryptering.

Detta är en viktig teknisk distinktion. Graphite bryter inte mot krypteringsprotokollen i sig. Istället arbetar det på enhetsnivå och får tillgång till meddelanden efter att de har dekrypterats på mottagarens eller avsändarens telefon eller dator. När en enhet väl har komprometterats kan spionprogrammet läsa meddelanden från appar som Signal, WhatsApp eller iMessage i klartext, eftersom det verkar inuti enheten där krypteringen redan har tillämpats eller tagits bort.

Detta tillvägagångssätt kallas ibland för en "endpoint-attack" och är specifikt utformat för att kringgå de säkerhetsgarantier som krypterade meddelandeappar erbjuder. Krypteringen i sig förblir intakt; det som förändras är att en angripare får tillgång till den enhet som innehar nycklarna.

Tillsynsfrågor och kongressens reaktion

Bekräftelsen har återigen satt igång en bredare debatt om hur amerikanska brottsbekämpande myndigheter och immigrationsmyndigheter anskaffar och använder kommersiella övervakningsverktyg. Den parlamentariska tillsynen av upphandling av spionprogram har varit inkonsekvent, och det finns för närvarande ingen heltäckande federal lag som reglerar hur inhemska myndigheter får använda verktyg som Graphite mot mål inom USA.

De demokrater i representanthuset som kritiserade ICE:s användning pekade specifikt på att det saknades någon formell underrättelse till kongressen innan verktyget togs i bruk. Detta är en viktig brist eftersom det lämnar valda representanter, och i förlängningen allmänheten, med begränsad möjlighet att bedöma huruvida besluten om verktygets användning är lämpliga, proportionerliga eller juridiskt välgrundade.

Fallet med Paragon Graphite är inte isolerat. Rapportering under de senaste åren har avslöjat omfattande användning av kommersiellt spionprogram, inklusive NSO Groups Pegasus, av regeringar runt om i världen – ibland riktat mot journalister, aktivister och politiska motståndare. Medan ICE har framställt Graphite som ett verktyg för allvarliga brottsutredningar gör bristen på tillsynsmekanismer oberoende verifiering svår.

Vad detta innebär för dig

För vanliga användare lyfter denna bekräftelse fram några viktiga punkter som är värda att förstå tydligt.

För det första förblir krypterade meddelandeappar effektiva för det de är utformade att göra. Förekomsten av spionprogram på enhetsnivå som Graphite innebär inte att krypteringen är trasig eller att säkra meddelanden är meningslösa. För den stora majoriteten av människor fortsätter stark kryptering att ge ett meningsfullt skydd.

För det andra är det hotscenario som verktyg som Graphite representerar begränsat men allvarligt. Dessa verktyg är dyra, kräver betydande resurser för att användas och används i allmänhet mot specifika mål snarare än för massövervakning. Om du inte är föremål för en riktad statlig utredning är den direkta risken från Graphite-liknande spionprogram låg.

För det tredje, eftersom Graphite verkar på enhetsnivå snarare än på nätverksnivå, ger nätverksbaserade integritetsverktyg inget skydd mot det när en enhet väl har komprometterats. Att förstå de faktiska tekniska begränsningarna för varje integritetsskyddande verktyg är viktigt för att kunna fatta välgrundade beslut om din egen säkerhetsstrategi.

Det som verkligen har bred betydelse är tillsynsfrågan. När kraftfulla övervakningsverktyg används utan tydliga rättsliga ramar eller parlamentarisk granskning blir ansvarsutkrävandet svårt oavsett den angivna motivationen.

Sammanfattning

• ICE bekräftade att det använde Paragons Graphite-spionprogram för att avlyssna krypterad kommunikation och beskrev användningen som ett led i arbetet mot terrorism och narkotikahandel.
• Graphite fungerar genom att kompromettera enheter, inte genom att bryta krypteringsprotokoll. Det läser meddelanden efter dekryptering på målenheten.
• Demokrater i representanthuset har uttryckt oro över bristen på parlamentarisk tillsyn över hur och när ICE anskaffade och använde verktyget.
• Krypterade meddelandeappar förblir effektiva för allmänt bruk. Spionprogram som Graphite är ett riktat verktyg, inte ett brett övervakningsnät.
• Den centrala policyfråga som detta avslöjande väcker handlar inte om huruvida kryptering fungerar, utan om det finns tillräckliga rättsliga skyddsmekanismer för att reglera hur amerikanska myndigheter använder kommersiellt spionprogram mot personer inom landet.

I takt med att fler detaljer om ICE:s användning av Graphite framkommer genom kongressutredningar och undersökande journalistik är det osannolikt att debatten om inhemsk spionprogramstillsyn kommer att tystna. Att hålla sig informerad om hur dessa verktyg fungerar, och vilka rättsliga ramverk som styr eller inte styr dem, är det mest välgrundade svaret för alla som följer denna historia.