Czy szyfrowanie komunikacji, będące gwarancją prywatności, stanowi zagrożenie dla bezpieczeństwa? Dlaczego Unia Europejska rozważa wymuszenie zmian w tym obszarze? Dzisiaj zajmiemy się tym ważnym i aktualnym tematem. Autorem wpisu jest Łukasz Jachowicz (@ljachowicz) specjalista ds. cyberbezpieczeństwa, prezes stowarzyszenia Internet Society Poland oraz współautor podcastu „Cyber, cyber…” poświęconego kwestiom bezpieczeństwa w świecie nowoczesnych technologii. Unia Europejska rozważa osłabienie mechanizmów szyfrowania wykorzystywanych w internecie. Pretekstem, jak zwykle przy tego typu próbach, jest walka z terroryzmem, zorganizowaną przestępczością i pedofilią. Choć na pierwszy rzut oka umożliwienie policji zaglądania na konta przestępców może wyglądać na świetny pomysł, to w praktyce jest rozwiązaniem niemożliwym do zaimplementowania bez całkowitej rezygnacji z ochrony danych w sieci. Datowany na 6 listopada dokument Rady Unii Europejskiej jest projektem stanowiska zatytułowanego Bezpieczeństwo poprzez szyfrowanie i bezpieczeństwo pomimo szyfrowania. Dowiadujemy się z niego, że szyfrowanie chroni rządy, infrastrukturę krytyczną, społeczeństwo obywatelskie, obywateli i przemysł, zapewniając prywatność, poufność i integralność komunikacji i danych. Jednocześnie istnieje możliwość wykorzystywania gotowych narzędzi szyfrujących przez przestępców, co utrudnia działania obrońcom prawa. W związku z tym powinno się, według RUE, podjąć prace nad znalezieniem mechanizmu zapewniającego uczciwym obywatelom możliwość skorzystania z dobrodziejstw szyfrowania, a jednocześnie pozwalającego odpowiednim służbom zaglądanie do chronionych danych. Kłopot polega na tym, że jest to niewykonalne. Zdjęcie autorstwa Dan Nelson z Pexels To nigdy nie działało Próby zmniejszenia skuteczności powszechnie dostępnej kryptografii podejmowane są od lat. Najbardziej znanym przykładem jest Clipper – układ szyfrujący opracowany na potrzeby urządzeń szyfrujących przeznaczonych również na rynek cywilny. Każdy egzemplarz Clippera miał wbudowany unikalny backdoor i służba chcąca podsłuchać dane urządzenie mogła skorzystać z przechowywanego w “bezpiecznym” miejscu kodu umożliwiającego odszyfrowanie. W praktyce Clipper nigdy nie osiągnął popularności, bo nikt nie chciał korzystać z urządzeń podsłuchiwalnych przez amerykańskie służby, a i w samym algorytmie szyfrowania znaleziono błędy pozwalające każdemu zdekodować chronione treści. Clipper szybko wylądował na śmietniku historii. Innym przykładem prób ograniczenia szyfrowania było amerykańskie prawo zakazujące eksportu silnej kryptografii poza teren USA. Zostało ono ominięte przez twórców programu PGP, którego kod źródłowy został wydrukowany, a następnie wprowadzony ponownie do komputera już poza amerykańską jurysdykcją. Sądy uznały, że odbyło się to zgodnie z prawem, bo eksportowi podlegała książka – nie program – a książki są chronione przez prawo do wolności wypowiedzi. Jedynym skutkiem długotrwałego ograniczania możliwości eksportu z USA silnych programów kryptograficznych było spowolnienie rozwoju raczkującej wówczas gospodarki internetowej. Powód był prosty – międzynarodowe wersje popularnych przeglądarek nie mogły szyfrować (na przykład) danych kart kredytowych w sensowny sposób. Kto skorzysta na słabej kryptografii? Powyższe przykłady doskonale obrazują największe problemy ze sztucznym ograniczaniem dostępu do silnej kryptografii. Po pierwsze – produkty o osłabionym bezpieczeństwie nie znajdą klientów. Obowiązkowe osłabienie europejskich programów otworzy szeroko drogę konkurencji z innych państw. Po drugie – potrzebujący silnej kryptografii i tak znajdą rozwiązanie. W czasach raczkującego internetu trzeba było obejść prawo, drukując kod źródłowy programu PGP, w dzisiejszych – wystarczy wejść na odpowiednią stronę i ściągnąć dostępny tam skuteczny program szyfrujący. Po trzecie – ograniczenie dostępu do silnej kryptografii mocno ułatwi życie dwóm grupom: przestępcom i szpiegom. Ci pierwsi uzyskają łatwiejszy dostęp do dziś dobrze chronionych danych. Ci drudzy – podobnie, tylko na masową skalę. Warto pamiętać, że dobrze zaprojektowane rozwiązania kryptograficzne zapewniają poufność nawet w sytuacji, gdy kanał transmisji jest niezaufany. Obecnie, w kontekście łączności 5G, trwa dyskusja nad bezpieczeństwem instalacji dostarczanych przez Chiny. Dziś wykorzystywana kryptografia end-to-end zapewnia bezpieczeństwo przesyłanych danych, nawet gdyby okazało się, że rację mają oskarżający chińskie koncerny o szpiegowanie na rzecz ChRL. Próba ograniczenia skuteczności szyfrowania zaowocuje ułatwieniem dostępu do przesyłanych danych wszystkim, którzy mają dostęp do infrastruktury telekomunikacyjnej. Istotny problem, złe rozwiązanie Co ciekawe, omawiany dokument doskonale diagnozuje problem ze współczesnymi służbami. Uzasadnienie wprowadzenia ograniczeń zaczyna się od słów: “W tym samym czasie służby są coraz bardziej zależne od dostępu do dowodów w formie elektronicznej, by skutecznie walczyć z terroryzmem, zorganizowaną przestępczością, wykorzystywaniem seksualnym dzieci […]” Problemem współczesnych służb nie jest szyfrowanie komunikacji przez przestępców. Oni zawsze próbowali ukryć się przed policją – czy to spotykając się nocami na stacjach benzynowych i cmentarzach, czy zostawiając sobie przesyłki w wydrążonych kamieniach. Mimo to dobrze zorganizowani łowcy przestępców sobie radzili. Dobrymi przykładami z ostatnich lat są chociażby wyroki więzienia dla twórców (szyfrowanego!) serwisu cyberprzestępców SilkRoad czy niedawne aresztowania setek przestępców korzystających z (szyfrowanej!) sieci telefonicznej EncroChat. Skutecznie działającym służbom szyfrowanie co najwyżej przeszkadza.”. Bezpieczna komunikacja uniemożliwia działanie tylko tym, którzy chcą mieć wszystko podane na tacy – ale chyba nie dążymy do tego, by europejskie służby stały się niewydolne? Podobne wpisy 25 miejsc, gdzie warto czytać po polsku o bezpieczeństwie Nawet najlepszy administrator nie poradzi sobie bez odpowiednich narzędzi Podstawy Bezpieczeństwa: Jak zadbać o swoje bezpieczeństwo, używając Androida Podstawy Bezpieczeństwa: Prywatność i bezpieczeństwo na Instagramie Podstawy Bezpieczeństwa: Jak szyfrować dyski w systemie Windows