σε συνέχεια του post εδώ, ακολουθεί το δεύτερο κομμάτι, με την συνέντευξη που πήρε η Sarah Resnick από τον Jacob Appelbaum.
Resnick: Πρόσφατο άρθρο στο περιοδικό Wired περιγράφει το πού και το πώς σχεδιάζει η NSA να αποθηκεύει το μερίδιο των δεδομένων που συλλέγει. Αλλά όπως εξηγεί το άρθρο, οι εγκαταστάσεις στη Utah θα έχουν άλλη μια σημαντική λειτουργία: κρυπτανάλυση, ή αλλιώς σπάσιμο της κρυπτογράφησης, καθώς μεγάλος όγκος από τα δεδομένα που κυκλοφορούν είναι ισχυρά κρυπτογραφημένα. Ακόμα αναφέρει ότι η μέθοδος κρυπτογράφησης AES, που αναμένεται να αντέξει τουλάχιστον άλλη μια δεκαετία, πιθανόν να σπαστεί από την NSA σε πολύ μικρότερο χρονικό διάστημα, αν τελικά καταφέρουν να κατασκευάσουν έναν υπολογιστή σημαντικά ταχύτερο από τα μηχανήματα που γνωρίζουμε όλοι. Αλλά για να μπούμε στην ουσία του πράγματος, η κρυπτογράφηση είναι ασφαλής;
Appelbaum :Κάποιες μέθοδοι κρυπτογράφησης είναι τόσο ασφαλείς όσο το μέγιστο κοινώς αποδεκτό επίπεδο ασφάλειας, και κάποιες άλλες δεν είναι καθόλου. Ο κανόνας υπ’αριθμόν ένα για την συλλογή πληροφοριών είναι η αναζήτηση μη κρυπτογραφημένων δεδομένων, ή αλλιώς για πληροφορίες σηματοδοσίας – ποιός μιλάει με ποιον. Για παράδειγμα, εγώ κι εσύ ανταλλάσσουμε emails και αυτη η πληροφορία, τα μεταδεδομένα, δεν είναι κρυπτογραφημένη ακόμα κι αν τα περιεχόμενα των μηνυμάτων μας είναι. Αυτές οι πληροφορίες που συνιστούν έναν “γράφο κοινωνικών σχέσεων” αξίζουν περισσότερο από το περιεχόμενο. Έτσι, αν χρησιμοποιήσεις κρυπτογράφηση SSL (HTTPS σύνδεση) για να μιλήσεις για παράδειγμα με τον server του Occupy Wall Street, ωραία, δεν μπορούν να ξέρουν τι ακριβώς λες. Ίσως. Ας υποθέσουμε ότι η κρυπτογραφία είναι τέλεια. Βλέπουν ότι είσαι σε μια συζήτηση στο site, βλέπουν ότι και ο Bob είναι σε μια συζήτηση, το ίδιο και η Emma. Οπότε τι γίνεται; Βλέπουν ένα αρχείο του ιστότοπου, πιθανόν βλέπουν ότι κάποια μηνύματα δημοσιεύτηκαν, και βλέπουν ότι ο χρόνος δημοσίευσης των μηνυμάτων συσχετίζεται με τον χρόνο που εσείς περιηγηθήκατε στο site. Δεν χρειάζεται να γνωρίζουν πως να σπάσουν την κρυπτογράφηση, για να γνωρίζουν τι ειπώθηκε και ποιός το είπε.
R: Κι αυτός ο τύπος επιτήρησης ονομάζεται… ;
A: Ανάλυση κίνησης. Είναι σαν να κάθονται έξω από το σπίτι σου, να σε παρακολουθούν καθώς έρχεσαι και φεύγεις, όπως επίσης και το σπίτι κάθε ακτιβιστή με τον οποίον έχεις σχέση. Μόνο που το κάνουν ηλεκτρονικά. Σε παρακολουθούν, κρατάνε σημειώσεις, αντλούν πληροφορίες από τα μετα-δεδομένα της ζωής σου, από το κάθε τι που κάνεις. Μπορούν να τα χρησιμοποιήσουν για να ξεχωρίσουν έναν πυρήνα ανθρώπων ή μια ομάδα ανθρώπων ή όποια άλλη λέξη χρησιμοποιούν στη ρητορική τους όπου οι ακτιβιστές μετατρέπονται σε τρομοκράτες. Και μέσω της αναγνώρισης (των σχέσεων μεταξύ ανθρώπων), προχωρούν σε πιο συγκεκριμένη στοχοποίηση ατόμων και γι’αυτό είναι σημαντικό να κρατάμε από πριν αυτές τις πληροφορίες ασφαλείς.
Για παράδειγμα, ξέρουν ότι εμείς οι δύο συναντιόμαστε. Γνωρίζουν ότι εγώ τηρώ σωστά τους κανόνες ασφαλείας, δεν έχω τηλέφωνο, δεν έχω υπολογιστή. Θα ήταν δύσκολο να με ανιχνεύσουν εδώ, εκτός αν με ακολουθούσαν εκ του φυσικού. Αλλά σε κάθε περίπτωση μπορούν να με “έχουν” χρησιμοποιώντας εσένα. Απλώς χρειάζεται να παρακολουθήσουν το δικό σου κινητό, ή να κλέψουν τη συσκευή ηχόγραφησης όπως θα φεύγεις. Το σημειο κλειδί είναι ότι οι κανόνες ασφαλείας πρέπει να ενσωματωθούν στις ζωές όλων, έτσι ώστε η παρατήρηση του τι κάνουμε να είναι αρκετά δυσκολότερη. Φυσικά δεν μπορεί να είναι τέλεια. Μπορούν ακόμα να μας βάλουν στο στόχαστρο, στέλνοντας για παράδειγμα κακόβουλο λογισμικό με email ή έναν σύνδεσμο σε browser που θα απειλήσει την ασφάλεια ενός συστήματος. Αλλά αν θέλουν συγκεκριμένα εμάς, τα πράγματα αλλάζουν λίγο. Για παράδειγμα, το αστυνομικό τμήμα της Νέας Υόρκης δεν πρόκειται να γράψει λογισμικό που να εκμεταλλεύται ευπάθειες συστήματος. Ίσως αγοράσουν λογισμικό για να διαρρήξουν τον υπολογιστή σου, αλλά εάν κάνουν κάποιο λάθος, μπορούμε να τους πιάσουμε. Αλλά θα είναι αδύνατο να τους πιάσουμε στην περίπτωση που απλώς βρίσκονται σε κάποιο κτίριο και απλώς διαβάζουν τα γραπτά μηνύματα που ανταλλάσσουμε, καθώς αυτά ρέουν , καθώς περνάνε από το κέντρο μεταγωγής, καθώς τα καταγράφουν. Θέλουμε να ανεβάσουμε το επίπεδο τόσο ψηλά, ώστε να αναγκαστούν να μας επιτεθούν στα ίσια, και τότε θεωρητικά προστατευόμαστε από το νόμο, μέχρι ενός σημείου.
R: Άρα αν με συλλάβουν, και οι αποδείξεις που παρουσιάσουν είναι αποτέλεσμα στοχευμένης επίθεσης στον υπολογιστή μου, και το γνωρίζω αυτό, θα μπορούσα να κάνω κάποια προσφυγή;
A: Λοιπόν, αυτή είναι μια ενδιαφέρουσα ερώτηση. Ποιο είναι το νομικό καθεστώς όσον αφορά την εισβολή στον υπολογιστή κάποιου επειδή συμμετείχε σε διαδήλωση; Συγχαρητήρια, μπορείς να μεταφέρεις αυτό το πράγμα στο Ανώτατο Δικαστήριο, ίσως φτιαχτεί κάποιος καλός νόμος. Νομίζω η απάντηση είναι ότι θα επρόκειτο για μια μεγάλη είδηση – κανείς δεν ξέρει μπάτσους να εισβάλλουν σε υπολογιστές πολιτών. Οι μπάτσοι εισβάλλουν σε σπίτια ανθρώπων, η τέταρτη παράγραφος του αμερικάνικού συντάγματος είναι σαφής σε αυτό – μπορούν να το κάνουν χωρίς ένταλμα.
R: Τον Γενάρη του περασμένου χρόνου, αναφέρθηκε ότι η κυβέρνηση των ΗΠΑ διέταξε το Twitter να παραδώσει τα δεδομένα του twitter λογαριασμού σου, όπως και του Julian Assange (στμ ιδρυτής του Wikileaks), του στρατιώτη Bradley Manning(στμ κατηγορούμενος για διαρροή στρατιωτικών εγγράφων και αρχείων που αναδεικνύουν ακρότητες του αμερικανικού στρατού στη Μέση Ανατολή), του ολλανδού hacker Rop Gonggrjp και της ισλανδής νομοθέτιδας Brigatta Jonsdottir. Το πιο αξιοσημείωτο ίσως στην υπόθεση αυτή, δεν είναι η διαταγή παράδοσης των λογαριασμών αυτών, αλλά ότι οι διαταγές αυτές που συνήθως έμεναν κρυφές, έγιναν δημόσια γνωστές. Το Twitter αντέδρασε στο καθεστώς της μυστικότητας και πέτυχε το δικαίωμα να ειδοποιεί τους χρήστες σε τέτοιες περιπτώσεις. Αρκετούς μήνες αργότερα, η Wall Street Journal αποκάλυψε ότι η Google και η πάροχος υπηρεσιών Internet Sonic.net είχαν λάβει ανάλογες διαταγές να παραδώσουν τα δεδομένα σου.
A : To Twitter με ειδοποίησε. Αλλά όσον αφορά την Google και την Sonic.net, το διάβασα στην Wall Street Journal όπως όλοι οι υπόλοιποι. Τώρα μπορώ να μιλήσω για αυτό διότι το διάβασα σε μια εφημερίδα. Πρόκειται για τις διαχειριστικές διαταγές με αριθμό 2703(d). Ανάμεσα σε άλλα, ζήτησαν τις IP διευθύνσεις και τις email διευθύνσεις των ανθρώπων με τους οποίους επικοινώνησα. Η κυβέρνηση ισχυρίζεται ότι έχει το δικαίωμα να πάρει τα δεδομένα αυτά, αυτήν την σηματοδοσία ή αλλιώς τις πληροφορίες των σχέσεων, χωρίς ένταλμα. Φιμώνουν τις εταιρείες από το να το δημοσιοποιήσουν, και αυτές δεν μπορούν κάνουν κάτι, επειδή δεν είναι δικά τους δεδομένα, είναι δεδομένα του χρήστη ή είναι δεδομένα για τον χρήστη, κι έτσι δεν έχουν κάποιο νομικό πάτημα. Ακόμα η κυβέρνηση ισχυρίζεται ότι ούτε εγώ πρέπει να έχω κάποια προσδοκία ιδιωτικότητας επειδή με την θέληση μου παρέδωσα τα δεδομένα αυτά σε τρίτους. Και πράγματι τα δεδομένα μου στο Twitter δόθηκαν στην κυβέρνηση – κανείς δεν έχει γράψει για αυτό ακόμα. Κάναμε έφεση για αυτό αλλά χάσαμε, το οποίο σημαίνει ότι το Twitter αναγκάστηκε να παραχωρήσει τα δεδομένα στην κυβέρνηση, και το κατά πόσον θα μπορούν να τα χρησιμοποιήσουν εξαρτάται κι αυτό από έφεση που εκκρεμεί. Όταν αποκτούν τα δεδομένα, μην νομίζετε ότι είναι ιδιωτικά ή μυστικά, ακόμα κι αν δε μπορούν να τα χρησιμοποιήσουν ως αποδείξεις, μπορούν ακόμα να τα τα χρησιμοποιήσουν στις έρευνές τους.
R: Τον Γενάρη αυτής της χρονιάς, υπήρξε ανάλογο αίτημα προς το Twitter για τον λογαριασμό του συγγραφέα και διαδηλωτή του Occypy Wall Street, Malcolm Harris. Νομίζω ότι είναι ασφαλές να θεωρήσουμε ότι τα περιστατικά αυτά δεν είναι μεμονωμένα. Οπότε, υπάρχει τρόπος να χρησιμοποιούμε τα μέσα κοινωνικής δικτύωσης όπως το Twitter χωρίς να βάζουμε σε κίνδυνο τα προσωπικά μας δεδομένα; Διότι αυτά τα site μπορούν να αποτελέσουν και χρήσιμα εργαλεία, εκτός των άλλων.
A: Για κάτι όπως το Twitter, μπορείς να χρησιμοποιήσεις Tor σε ένα τηλέφωνο με Android – έχουμε μια έκδοση του Tor για Android που λέγεται Orbot – για να γράφεις στο Twitter και βασικά αυτό είναι το καλύτερο που μπορείς να κάνεις. Το Twitter κρατά μια λίστα με τις IP διευθύνσεις από τις οποίες έχεις συνδεθεί στον λογαριασμό σου, αλλά αν χρησιμοποιείς Tor, δεν θα ξέρει ότι μπαίνεις από το τηλέφωνό σου. Είναι πολύ καλό (το Orbot) αλλά το κύριο πρόβλημα είναι ότι είναι λίγο περίπλοκο στη χρήση. Στον υπολογιστή σου, μπορείς να χρησιμοποιήσεις τον Tor Browser, και όταν συνδεθείς στο Twitter είσαι μια χαρά, πάλι η IP που θα φαίνεται θα αντιστοιχεί στο Tor δίκτυο. Έτσι, όταν η κυβέρνηση λέει ότι δεν μπορείς να έχεις καμιά προσδοκία ιδιωτικότητας, μπορείς να πεις εντάξει, λοιπόν εγώ πίστεύω ότι μπορώ να έχω μια προσδοκία ιδιωτικότητας και για αυτό χρησιμοποιώ το Tor. Και μην χρησιμοποιείτε τη δυνατότητα άμεσων μηνυμάτων μεταξύ χρηστών για ευαίσθητα πράγματα. Το Twitter κρατάει ένα αντίγραφο από όλα τα μηνύματα.
R: Κατά τη διάρκεια των εκλογών στο Ιράν το 2009, υπήρξε ένα κύμα διαδικτυακού ακτιβισμού και ένα νέο ιδιόκτητο κλειστό λογισμικό που ονομάζεται Haystack, έλαβε αρκετή δημοσιότητα. Το Haystack υποσχόταν στους ιρανούς ακτιβιστές κρυπτογραφημένα μηνύματα, πρόσβαση σε λογοκριμένα sites, και τη δυνατότητα να καμουφλάρουν την δικτυακή τους κίνηση. Εσύ αργότερα δοκίμασες το λογισμικό αυτό και έδειξες ότι οι ισχυρισμοί αυτοί ήταν ψεύτικοι. Για όλους εμάς που δεν έχουμε τις τεχνικές ικανότητες, πώς μπορούμε να συμπεράνουμε εάν ένα συγκεκριμένο εργαλείο είναι ασφαλές στη χρήση, ειδικά αν είναι καινούριο;
A: Πρώτα, είναι ο πηγαίος κώδικάς του διαθέσιμος; Δεύτερον, εάν οι ισχυρισμοί για το εργαλείο είναι πολύ καλοί για να είναι αληθινοί, τότε μάλλον δεν ισχύουν. Υπάρχει κομπογιαννιτίκη κρυπτογραφία και κομπογιαννίτικο λογισμικό, όπου ένα προϊόν υπόσχεται τον ουρανό με τ’άστρα. Όταν ένας προγραμματιστής υπόσχεται πως ένα ιδιόκτητο κλειστό λογισμικό είναι υπερασφαλές και χρησιμοποιείται μόνο από σημαντικούς ανθρώπους, τότε κάποιο λάκκο έχει η φάβα. Τρίτον, αυτοί που ανέπτυξαν το λογισμικό είναι μέρος της κοινότητας που έχει την φήμη ότι καταφέρνει να παρέχει όσα υπόσχεται; Αυτό είναι δύσκολο να το εκτιμήσεις αλλά ρώτα κάποιον που ξέρεις και εμπιστεύεσαι. Πώς θα έβγαινες ραντεβού με κάποιον; Πώς θα έκανες μια δράση με κάποιον; Όπως και στις περίπτωσεις αυτές, έχει σημασία η εμπιστοσύνη που μεταβιβάζεται από άτομο σε άτομο.
Ένα άλλο που πρέπει να ελέγξεις για ένα εργαλείο είναι το αν είναι αποκεντρωμένο ή όχι. Για παράδειγμα το Haystack δεν είναι, ενώ το Tor είναι πράγματι αποκεντρωμένο. Ακόμα, πώς συντηρείται; Θα βάλει διαφημίσεις στον browser σου; Ή είναι όπως το Riseup.net, του οποίου η VPN υπηρεσία δεν βγάζει χρήματα από την κίνησή σου, αλλά μέσω δωρεών, αλληλεγγύης και αμοιβαίας βοήθειας; Και αν είναι σε θέση να βάλουν διαφημίσεις στο λογισμικό, τότε είναι σε θέση να βάλουν και μια “πίσω πόρτα”. Αυτό είναι μεγάλη παγίδα – αν το κάνουν – είναι πολύ άσχημα νέα. Οπότε πρέπει να προσέχεις για αυτό. Ακόμα έχε κατά νου ότι : Η αλήθεια είναι όπως μια σφαίρα που τρυπάει τη θωράκιση των τσαρλατάνων.
Σε επόμενο post θα δημοσιευτεί το τρίτο και τελευταίο μέρος του άρθρου με την κατάληξη της συνέντευξης του Appelbaum.