ICE підтверджує використання шпигунського ПЗ Paragon Graphite для перехоплення зашифрованих комунікацій

Агентство США з імміграції та митного контролю підтвердило, що розгорнуло комерційне шпигунське програмне забезпечення від Paragon Solutions для перехоплення зашифрованих комунікацій. Директор ICE Тодд Лайонс розкрив інформацію про використання інструменту Graphite від Paragon, описавши його як частину зусиль агентства у сфері боротьби з тероризмом та наркотиками. Це підтвердження є одним із найбільш відвертих публічних визнань з боку федерального агентства США щодо використання передового комерційного шпигунського ПЗ для стеження за зашифрованими повідомленнями.

Оприлюднення цієї інформації викликало різку критику з боку демократів у Палаті представників, які висловили занепокоєння щодо відсутності парламентського нагляду за тим, як інструмент було придбано та задіяно.

Що таке Paragon Graphite і як він працює?

Paragon Solutions — ізраїльська компанія у сфері технологій стеження, яка продає свої продукти виключно урядовим клієнтам. Її шпигунське ПЗ Graphite розроблено для зламу цільових пристроїв, що надає операторам доступ до комунікацій, які в іншому разі були б захищені наскрізним шифруванням.

Це принципово важлива технічна відмінність. Graphite не зламує самі протоколи шифрування. Натомість він діє на рівні пристрою, отримуючи доступ до повідомлень після того, як вони були розшифровані на телефоні або комп'ютері одержувача чи відправника. Після компрометації пристрою шпигунське ПЗ може читати повідомлення з таких застосунків, як Signal, WhatsApp або iMessage у відкритому вигляді, оскільки воно функціонує всередині пристрою, де шифрування вже було застосовано або знято.

Такий підхід іноді називають «атакою на кінцеву точку», і він спеціально розроблений для обходу гарантій безпеки, які забезпечують застосунки для зашифрованих повідомлень. Саме шифрування залишається непошкодженим; змінюється лише те, що зловмисник отримує доступ до пристрою, який зберігає ключі.

Занепокоєння щодо нагляду та реакція Конгресу

Це підтвердження знову розпалило ширшу дискусію про те, як правоохоронні та імміграційні відомства США набувають і використовують комерційні засоби стеження. Парламентський нагляд за закупівлею шпигунського ПЗ був непослідовним, і наразі не існує жодного комплексного федерального закону, який регулював би, як внутрішні відомства можуть застосовувати такі інструменти, як Graphite, проти цілей на території Сполучених Штатів.

Демократи в Палаті представників, які розкритикували дії ICE, вказали зокрема на відсутність будь-якого офіційного повідомлення Конгресу до початку використання інструменту. Цей пробіл є важливим, оскільки залишає обраних представників — а відтак і громадськість — з обмеженими можливостями оцінити, чи є рішення про розгортання інструменту відповідними, пропорційними та юридично обґрунтованими.

Справа Paragon Graphite не є поодинокою. Репортажі останніх років виявили масштабне використання комерційного шпигунського ПЗ, зокрема Pegasus від NSO Group, урядами по всьому світу — іноді проти журналістів, активістів та політичних опонентів. Хоча ICE представила Graphite як інструмент для розслідування серйозних злочинів, відсутність механізмів нагляду ускладнює незалежну перевірку цього твердження.

Що це означає для вас

Для пересічних користувачів це підтвердження піднімає кілька важливих моментів, які варто чітко розуміти.

По-перше, застосунки для зашифрованих повідомлень залишаються ефективними в тому, для чого вони призначені. Існування шпигунського ПЗ на рівні пристрою, такого як Graphite, не означає, що шифрування зламано або що захищений обмін повідомленнями є марним. Для переважної більшості людей надійне шифрування продовжує забезпечувати суттєвий захист.

По-друге, модель загрози, яку представляють такі інструменти, як Graphite, є вузькою, але серйозною. Ці інструменти є дорогими, вимагають значних ресурсів для розгортання і, як правило, використовуються проти конкретних цілей, а не для масового стеження. Якщо ви не є об'єктом цілеспрямованого державного розслідування, прямий ризик від шпигунського ПЗ на кшталт Graphite є низьким.

По-третє, оскільки Graphite діє на рівні пристрою, а не на рівні мережі, засоби захисту конфіденційності на основі мережі не забезпечують захисту від нього після компрометації пристрою. Розуміння реальних технічних обмежень будь-якого засобу захисту конфіденційності є важливим для прийняття обґрунтованих рішень щодо власної безпеки.

Питання, яке має широке значення, — це питання нагляду. Коли потужні засоби стеження використовуються без чітких правових рамок або парламентської перевірки, притягнення до відповідальності стає складним незалежно від заявленого обґрунтування.

Основні висновки

  • ICE підтвердила використання шпигунського ПЗ Graphite від Paragon для перехоплення зашифрованих комунікацій, описавши розгортання як роботу у сфері боротьби з тероризмом та наркотиками.
  • Graphite працює шляхом компрометації пристроїв, а не зламу протоколів шифрування. Він читає повідомлення після їх розшифрування на цільовому пристрої.
  • Демократи в Палаті представників висловили занепокоєння щодо відсутності парламентського нагляду за тим, як і коли ICE придбала та розгорнула інструмент.
  • Застосунки для зашифрованих повідомлень залишаються ефективними для загального використання. Шпигунське ПЗ на кшталт Graphite є цілеспрямованим інструментом, а не широкою мережею стеження.
  • Центральне питання щодо політики, яке порушує це розкриття, полягає не в тому, чи працює шифрування, а в тому, чи існують достатні правові запобіжники для регулювання того, як американські відомства використовують комерційне шпигунське ПЗ проти людей усередині країни.

В міру того як у ході парламентських розслідувань та журналістських репортажів з'являтиметься більше деталей про використання ICE програми Graphite, дискусія про нагляд за внутрішнім шпигунським ПЗ навряд чи вщухне. Залишатися поінформованим про те, як працюють ці інструменти та які правові рамки регулюють їх або не регулюють, — це найбільш виважена відповідь, доступна кожному, хто стежить за цією темою.