© Reuters
Американската Aгенция за национална сигурност (NSA) отказва да отговори дали продължава да поставя така наречените "задни вратички" в търговските технологични продукти, в противоречива практика, която според критици уврежда както американската индустрия, така и националната сигурност, пише "Ройтерс".
NSA отдавна търси споразумения с технологични компании, които да й дадат специален достъп до техни продукти, според разкритията на бившия подизпълнител на NSA Едуард Сноудън и публикации в медиите.
Това позволява на NSA и други агенции да преглеждат големи количества информация без съдебна заповед. Защитниците на агенцията казват, че практиката е улеснила събирането на жизненоважни разузнавателни данни в други страни, включително прихващане на терористични комуникации.
Агенцията разработи нови правила след разкритията на Сноудън, за да намали шансовете за изтичане на информация, са заявили трима бивши служители от разузнаването пред "Ройтерс". Рон Уайдън, водещ демократ в комисията по разузнаване на Сената, твърди, че NSA прави всичко възможно да не разкрие дори в най-общи линии какви са те.
Агенцията отказва да каже как е актуализирала политиките си за получаване на специален достъп до търговски продукти.
По информация на "Ройтерс" сега NSA изисква, преди да се търси достъп, агенцията да прецени потенциалните последици и да организира някакъв вид предупреждение, ако "задната вратичка" бъде открита и манипулирана от противници на САЩ.
"Задните вратички" в криптиращия софтуер са заплаха и е въпрос на време чужди хакери или престъпници да ги експлоатират по начини, които подкопават американската национална сигурност.
В момента САЩ, Великобритания и други искат да наложат закони, които изискват от технологичните компании да позволят на правителствата да виждат некриптиран трафик. Защитниците на силното криптиране казват, че понякога неуспешните усилия на NSA да получи скрит достъп до търговски продукти показват опасността от такива изисквания.
Според тях тази практика е лесна цел за хакери, подкопава доверието в американските технологии и компрометира усилията да се убедят съюзниците да отхвърлят китайската технология, която може да се използва за шпионаж, тъй като американските продукти също могат да бъдат подслушвани.
В поне един случай чуждестранен противник е успял да се възползва от "задна вратичка" на NSA според Juniper Networks Inc, която твърди, че през 2015 г. неин продукт е бил компрометиран. В неразкрито до момента изявление до членове на Конгреса през юли, видяно от "Ройтерс", компанията казва, че неназовано национално правителство е използвало механизъм за достъп, създаден за първи път от NSA.
Агенцията е признала за това през 2018 г. пред Уайдън, както и за други подобни случаи, заяви говорителят на сенатора пред "Ройтерс", но в момента отрича това да се е случило.
Финансови облаги и компрометирани стандарти
NSA понякога сключва търговски сделки, за да накара компаниите да й дадат достъп, а в други случаи манипулира стандарти, така че компаниите несъзнателно да използват софтуер, който експертите на агенцията могат да разбият.
След разкритията на Сноудън много компании сключили подобни сделки, като един от пионерите в областта на интернет сигурността - RSA, загуби доверието на клиентите си. Други американски фирми загубиха бизнеса си в чужбина, тъй като клиентите им искаха да се предпазят от обхвата на NSA.
© В© Marcos Brindicci / Reuters, Reuters
Това предизвика преглед на политиката на САЩ. Специална комисия, назначена от Барак Обама, заяви, че правителството никога не трябва да "подкопава" или "отслабва" технологичните продукти или да компрометира стандарти. Белият дом не възприе публично тази препоръка, но подсили регламента за взимане на решение дали новооткрити софтуерни недостатъци да се използват за кибероперации, или да се поправят, за да се подобри отбраната на САЩ.
Тайните държавни договори за специален достъп останаха извън официалния регламент.
Най-яркият пример за рисковете, присъщи на подхода на NSA, включва компонент на система за криптиране, известен като Dual Elliptic Curve или Dual EC. Разузнавателната агенция работи с Министерството на търговията технологията да се приеме като глобален стандарт, но по-късно експерти показаха, че NSA може да използва Dual EC за достъп до криптирани данни.
RSA сключва договор за 10 млн. долара да използва Dual EC в широко разпространена система за уеб сигурност през 2013 г. RSA публично заявява, че не е монтирала съзнателно "задната вратичка", но репутацията й е опетнена и компанията е продадена.
Juniper Networks също пострада от Dual EC две години по-късно. В края на 2015 г. производителят на интернет суичове разкри, че е открил злонамерен код в някои свои продукти. По-късно се установява, че хакери са превърнали защитните интернет стени в свой собствен шпионски инструмент, като са променили версията на Dual EC на Juniper.
Компанията признава пред експерта по интернет сигурност Анди Айзъксон през 2016 г., че е инсталирала Dual EC като част от "изискване на клиента". Айзъксон и други смятат, че клиентът е американска правителствена агенция, тъй като е известно, че само САЩ са настоявали за Dual EC другаде.
Juniper никога не е идентифицирала клиента и отказва да коментира случая.
Компанията никога не е идентифицирала и хакерите. Двама души, запознати със случая, казаха пред "Ройтерс", че разследващите са заключили, че зад атаката стои Китай.
Китайското правителство отдавна отрича да има участие във всякакъв вид хакерство. В изявление пред "Ройтерс" китайското външно министерство заяви, че киберпространството е "силно виртуално и трудно проследимо. Изключително безотговорно е да се правят обвинения в хакерски атаки без пълни и убедителни доказателства. В същото време забелязахме също, че в доклада се споменава, че именно разузнавателна агенция на САЩ - Агенцията за национална сигурност - е създала тази технология".
Бивш висш служител на NSA е заявил пред "Ройтерс", че много компании се притесняват, че работят тайно с правителството. Но усилията на агенциите продължават, защото специалният скрит достъп се смята за твърде ценен, допълва той.
