ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

ФБР: Нам не нужен бэкдор, нам нужно просто обойти шифрование

В ходе своего выступления на бостонской конференции ФБР, посвященной вопросам кибербезопасности, директор бюро Кристофер Рэй заявил, что наличие бэкдора в шифровании не является целью разведслужбы. Более того, господин Рэй отметил, что толком не знает, что это такое.

«Мы не ищем никакой бэкдор и не пытаемся его внедрить. Даже не знаю, что это такое, в сущности. Это что, какой-то секретный, небезопасный способ доступа», — утверждает глава ФБР.

Рэй отметил, что бюро интересует лишь безопасное средство доступа к доказательствам, хранящимся на устройствах, при наличии соответствующего ордера. Причем реализацию такого подхода глава ФБР возложил на «умных людей, работающих в области технологий».

«Я открыт для любого рода идей. Но я категорически не разделяю мнения о том, что есть некое место, доступ к которому полностью закрыт даже для тех, у кого есть данное законом право защищать невинных граждан», — объяснил свою позицию Кристофер Рэй.

Надо отметить, Рэй куда более сдержан в высказываниях, чем, например, его коллега, судебный эксперт ФБР Стивен Флэтли, недавно назвавший Apple «кучкой мерзацев» и «злыми гениями» за их реализацию шифрования в iPhone.

Нетрудно догадаться, что шифрование, реализованное Apple в iPhone, все еще является серьезной проблемой для ФБР, ставит определенные ограничения в работе разведслужбы. Рэй не забыл упомянуть про невозможность взломать 7 775 устройств в прошлом году, назвав такой подход «проблемой общественной безопасности».

«Каждое их этих почти 7 800 устройств привязано к конкретному инциденту, конкретному подсудимому, конкретной жертве, конкретной угрозе. Прошлой осенью я разговаривал с группой CISO, один из которых сказал буквально следующее: «А что такого в 7 800 устройствах? Таких устройств миллионы»», — продолжил свою речь Рэй.

«Нас не интересует миллион устройств, принадлежащих обычным гражданам. Нас интересуют только те устройства, которые использовались для планирования или осуществления преступной или террористической деятельности», — подытожил директор ФБР.

Рэй убежден, что предоставить доступ к информации на устройствах, не нарушая при этом шифрования, — вполне реализуемая задача. В качестве примера глава ФБР сослался на облачные платформы, доступ к которым пользователи могут получить в любом месте.

«Во-первых, многие из нас здесь используют облачные сервисы. Вы можете получать доступ к электронной почте, файлам и прочей информации на своем компьютере или смартфоне, скажем, находясь в интернет-кафе в Токио. Это стало возможным только потому, что компании серьезно отнеслись к реальной потребности пользователей в гибком доступе к данным», — продолжил Рэй.

Директор ФБР еще раз подчеркнул тот факт, что представители разведслужбы не имеют понятия, как обойти шифрование, не нарушая его. В свою очередь, генеральный директор Apple Тим Кук сказал, что внедрение такого бэкдора не будет проблемой, однако его беспокоит, что злоумышленники найдут способ использовать такой бэкдор в злонамеренных целях.

Напомним, что в январе один из сенаторов США призвал главу ФБР объяснить стремление внедрить бэкдор в шифрование, используемое для защиты таких устройств, как iPhone. Сенатору Рону Видену не понравилась позиция главы ФБР, которого он отчитал за пропаганду «ошибочной политики, которая нанесла бы ущерб американской безопасности, свободе и нашей экономике».

Ваши данные могут пробить по звонку или ссылке через рекламные сервисы

Исследователь Антон Бочкарев из 3side (Третья Сторона) сообщил о новой потенциальной проблеме с сервисами таргетированной рекламы, связанными с операторами связи. Если верить опубликованному разбору, некоторые из таких платформ позволяют буквально по одному звонку или одному переходу по ссылке собрать о человеке крайне подробный цифровой профиль.

Автор материала на «Хабре »напоминает, что ещё полтора года назад уже описывал похожую историю с «пробивом» абонентов через рекламный сервис.

Тогда публикация вызвала резонанс, и уязвимость, по его словам, в итоге закрыли. Но теперь, как утверждается, на других площадках ситуация может быть даже хуже.

Для регистрации в одном из таких сервисов, как пишет автор, оказалось достаточно принять СМС на любой номер. После этого пользователю открывались инструменты настройки рекламной аудитории: геолокация, фильтрация по звонкам, интересам, сайтам, данным о полученных сообщениях и другим признакам.

Самое неприятное здесь — сочетание этих фильтров. По описанию автора, можно сузить аудиторию сначала по геозоне, затем по факту звонка с определённого номера, а потом ещё сильнее сократить выборку за счёт пересечений и дополнительных параметров. В результате, как утверждается в публикации, удаётся фактически деанонимизировать конкретного человека: понять, где он живёт, где бывает, где работает и какими сервисами пользуется.

 

 

Отдельное внимание автор уделяет так называемым рекламным счётчикам. Логика здесь такая: если поставить счётчик на сайт и заманить туда конкретного человека, то затем его визит можно использовать как фильтр в рекламной системе. А дальше — попытаться получить о нём уже куда более широкий набор данных, чем просто факт посещения страницы.

Среди параметров, которые, по словам автора, доступны в таких системах, — пол, возраст, уровень дохода, интересы, посещаемые сайты, отправители СМС, сведения о звонках, семейный статус, наличие недвижимости, автомобиля и даже данные о детях. Если всё это действительно доступно в описанном виде, речь идёт уже не просто о рекламной аналитике, а о крайне удобном инструменте для слежки и «пробива».

Отдельно подчёркивается, что для подобных действий якобы не нужно запускать реальную рекламную кампанию и тратить деньги: достаточно этапа предварительной оценки аудитории. И именно это, по мнению автора, делает проблему особенно опасной — входной порог минимален, а потенциальная польза для злоумышленников огромна.

При этом в публикации прямо говорится, что проблема, по мнению автора, носит системный характер. Даже если один конкретный сервис закроет такую возможность, аналогичные механики могут оставаться у других игроков рынка. Более того, автор отдельно утверждает, что данные между участниками этого сегмента могут передаваться и использоваться шире, чем кажется обычному абоненту.

В итоге пользователям стоит исходить из того, что их мобильная активность может быть куда менее приватной, чем принято думать. А главный вывод здесь, пожалуй, в том, что вопрос уже давно не только в рекламе. Когда инструменты маркетинга позволяют восстанавливать личные связи, маршруты и цифровые привычки конкретного человека, это выглядит уже как история про массовую слежку под вполне легальной вывеской.

RSS: Новости на портале Anti-Malware.ru