Програма ФБР Carnivore викликала тремтіння у прихильників конфіденційності, коли новина про неї з’явилася у ЗМІ. Це звучало як уривок із антиутопічного роману, зокрема з книги Джорджа Оруелла «1984». Агентство стверджувало, що це необхідний інструмент для відстеження підозрюваних злочинців у цифрову епоху. Критики не погодилися, побачивши у цьому масове перевищення повноважень у сфері приватних комунікацій.
У січні 2005 року уряд остаточно згорнув проект Carnivore. Замість нього було впроваджено готові комерційні інструменти стеження. Однак технічна архітектура цієї занедбаної системи, як і раніше, надає цікавий погляд на те, як розвивався цифровий моніторинг.
Від Omnivore до DragonWare
Carnivore була першою спробою ФБР здійснювати цифрове прослуховування. Це було третє покоління їхнього програмного забезпечення для виявлення онлайн-загроз. Перша версія залишається загадкою. Деякі експерти підозрюють, що це була просто Etherpeek, стандартний комерційний інструмент аналізу мережі.
У 1997 році вони розгорнули друге покоління: Omnivore.
Згідно з розкритими даними ФБР, Omnivore розміщувався в мережі провайдера інтернет-послуг (ISP). Його завдання було простим. Він відстежував поштовий трафік. Він виділяв повідомлення від конкретного цільового джерела. Потім він зберігав їх на стрічковий накопичувач або друкував у реальному часі.
Цю систему було виведено з експлуатації наприкінці 1999 року. Вона була замінена більш надійною системою: DragonWare Suite.
DragonWare не просто зберігав електронні листи. Він реконструював їх. Він міг відновлювати завантажені файли. Він навіть міг збирати веб-сторінки по шматочках. До складу набору входили три основні компоненти, хоча ФБР тримало деталі в найсуворішому секреті.
- Carnivore : Двигун захоплення. Працював на Windows NT чи 2000.
- Packeteer : Офіційна мета невідома. Ймовірно, відповідав за складання фрагментованих даних у повідомлення, що читаються.
- Coolminer : Також непрозорий. Ймовірно, аналізував вилучені дані на наявність патернів.
Ми знаємо дуже мало про Packeteer та Coolminer. Але роль Carnivore була зрозумілою. Це був перехоплювач пакетів (packet sniffer).
Механіка перехоплення пакетів
Ця технологія не нова. Системні адміністратори використовують перехоплювачі пакетів десятиліттями. Вони використовують їх усунення несправних з’єднань чи діагностики проблем із затримками.
Перехоплювач пакетів – це програма, яка бачить все в мережі, до якої вона підключена. Зазвичай, ваш комп’ютер ігнорує трафік, не призначений для нього. Він читає лише пакети, адресовані його конкретного апаратного забезпечення.
Перехоплювач змінює це правило.
При налаштуванні перехоплювача ви переводите мережевий інтерфейс у промоiscuous-режим (режим прослуховування). Це змушує мережну карту читати кожен пакет, що проходить повз, незалежно від адреси призначення. Об’єм даних, які ви бачите, залежить від того, куди ви підключені. Робоча станція на бічній гілці бачить обмежений трафік. Головний сервер бачить майже все.
Ці інструменти можна запускати двома способами:
- Без фільтрації : Ви захоплюєте кожний пакет.
- З фільтрацією : Ви захоплюєте лише пакети, що відповідають певним критеріям, наприклад, адресою електронної пошти цілі.
Відфільтровані копії зберігаються у пам’яті або на жорсткому диску. Аналітики потім можуть переглядати їх рядково.
Що могло бачити ФБР
Коли ви підключаєтеся до веб-сайту, ви підключаєтеся до мережі вашого провайдера. Якщо ви перемістите перехоплювач на сервері провайдера, у вас буде широкий огляд активності користувачів.
Carnivore потенційно міг моніторити:
- Які веб-сайти ви відвідували
- Конкретні сторінки, які ви переглядали
- Кому ви надсилали електронні листи
- Зміст цих листів
- Завантажені файли
- Використання потокових медіа
- Відвідувачі вашого власного веб-сайту
Чи це дійсно є новою загрозою? Мабуть, ні. Багато провайдерів використовують перехоплювачі для діагностики. Багато хто зберігає резервні копії електронної пошти для зберігання даних. Дії ФБР викликали суперечки, бо вони формалізували та масштабували цей доступ для правоохоронних органів. Сама технологія була лише еволюцією існуючих інструментів керування мережею.
Механіка роботи Carnivore була менш схожа на магію і більше бюрократичну процедуру, що зустрілася з апаратним забезпеченням. Все починалося із судового наказу. ФБР була потрібна обґрунтована підозра в тому, що підозрюваний причетний до злочинної діяльності. Вони не просто просили заглянути у листування; вони запитували повний авторизований перехоплення вмісту (content-wiretap). Ця різниця має значення. У термінах телефонного прослуховування перехоплення вмісту захоплює все, що знаходиться у пакеті зв’язку. Це цифровий еквівалент прослуховування розмови, а не просто фіксація того, хто з ким розмовляє.
Порівняйте це із судовим наказом на встановлення пастки та відстеження (trap-and-trace). Він дозволяє отримати лише метадані – адресата. Кому надсилається лист? Який веб-сайт є? Потім є обернений варіант: реєстратор пера (pen-register). Він відстежує, звідки надходить вхідне повідомлення. Але Carnivore був створений для важкої роботи. Він був розроблений для перехоплення вмісту.
Апаратна настройка
ФБР не просто встановлювало програмне забезпечення на ноутбуки. Вони йшли до джерела. Вони зв’язувалися з провайдером інтернет-послуг (ISP), на серверах якого знаходився обліковий запис підозрюваного, і запитували доступ до резервних файлів. Потім вони привозили своє обладнання до серверної кімнати провайдера.
Цей апарат не був якимось футуристичним чорним ящиком. Це був Pentium III, який працює під керуванням Windows NT або 2000. Він мав 128 мегабайт оперативної пам’яті. Сьогодні це звучить смішно, але наприкінці 90-х це було серйозним бізнесом. Система спиралася три рівні програмного забезпечення: комерційні інструменти зв’язку, власний додаток на C++ для перехоплення і фільтрації пакетів, і навіть фізична система блокування. Для доступу до апаратного забезпечення потрібен спеціальний пароль. Жодного несанкціонованого персоналу. Жодних цікавих техніків.
Ключовим елементом налаштування був пристрій ізоляції мережі. Воно робило систему Carnivore невидимою для решти мережі провайдера. Це була примара. Ви не могли зламати його з іншого комп’ютера, тому що для мережі він фактично не існував. Зберігання даних здійснювалося за допомогою 2-гігабайтного диска Iomega Jaz. Це були змінні картриджі, які можна було змінювати, як дискети, але із значно більшою ємністю. Тут зберігалися захоплені дані.
Фільтрування шуму
Конфігурація була специфічною. ФБР підключало IP-адресу підозрюваного. Carnivore ігнорував все інше. Він пасивно копіював пакети, не порушуючи трафік. Якщо мережа сповільнювалася, це було не через Carnivore. Це було тому, що система робила саме те, що їй доручили: нічого, крім копіювання.
Після копіювання дані потрапляли у фільтр. Це була «розумна» частина. Програмне забезпечення визначало протоколи. Воно шукало сигнатури протоколу простої пошти (SMTP). SMTP – це стандарт для електронної пошти. Фільтруючи по SMTP, Carnivore відкидав шум – перегляд веб-сторінок, передачі по FTP, логі чатів. Він залишав лише пакети електронної пошти. Вони зберігалися на картриджі Jaz.
Агент ФБР відвідував провайдера кожні 1-2 дні. Він фізично змінював картридж. Процес був твердим. Картридж містився у старий, запечатаний контейнер. Якщо друк порушувався, особа, яка має до нього доступ, мала негайно підписати, датувати та запечатати його заново. В іншому випадку докази вважалися скомпрометованими. Ланцюжок безпеки доказів був усім.
У спостереження була жорстка межа. Максимум місяць без продовження судового наказу. Коли термін спливав, обладнання вилучалося. Дані на картриджі оброблялися за допомогою інструментів Packeteer та Coolminer. Якщо електронні листи надавали достатньо доказів, вони передавалися до суду. Якщо ні, вони знищувалися. Сам провайдер не зберігав запису про діяльність у цей період. Він був просто майданчиком.
Чому вибиралися конкретні злочини?
Carnivore не був вудкою. Це був спис. ФБР планувало використовувати його для конкретних розслідувань із високими ставками. Ви не отримували судовий наказ на використання Carnivore для затримання місцевого злодія з крамниці. Цілями були:
- Тероризм
- Дитяча порнографія та експлуатація
- Шпигунство
- Інформаційна війна
- Шахрайство
Критерії були суворими. Підозра мала бути суттєвою. Судовий наказ мав бути конкретним. Йшлося не про загальне спостереження. Це була цільова перехоплення електронних повідомлень щодо серйозних федеральних злочинів.
Суспільна реакція
Технологія працювала, але реакція була запеклою. Захисники прав приватного життя побачили сценарій кошмару. Закон про конфіденційність електронних комунікацій (ECPA) забезпечував правовий захист електронних комунікацій. Будь-яке спостереження вимагало ймовірної причини та судового наказу. Використання Carnivore поза цими рамками було незаконним. Це межувало з неконституційністю. Потенціал для зловживань був «слоном у кімнаті». Критики стверджували, що система надто непрозора.
Потім був страх перед регулюванням. Дехто вважав, що Carnivore — це перший крок до того, щоб уряд США захопив контроль над Інтернетом. Ідея полягала в тому, що ФБР розмістить ці системи кожного провайдера — приватного, комерційного, освітнього. Теоретично можливо для провайдерів, що базуються у США. Неможливо для тих, хто перебуває поза юрисдикцією США. Необхідна інфраструктура була б потужною. А опір був би загальним.
Турботи про свободу слова звучали не менш голосно. Ходили чутки, що Carnivore моніторить весь вміст, скануючи ключові слова, такі як “бомба” або “вбивство”. Будь-який перехоплювач пакетів можна налаштувати для пошуку шаблонів. Але без ймовірної причини моніторинг вашої загальної активності порушував ECPA та Першу поправку. ФБР стверджувало, що дивляться лише те, що зазначено у судовому наказі. Вони відмовлялися розкривати вихідний код. Ця секретність тільки підживлювала параною.
Багато хто плутав Carnivore з Echelon. Echelon – це передбачувана мережа Агентства національної безпеки (NSA), призначена для захоплення міжнародних пакетів, що містять певні ключові слова. Було мало вагомих доказів того, що Echelon взагалі існував так, як його описували. Але змішання цих понять зашкодило репутації Carnivore. Він став символом перевищення урядом своїх повноважень.
Впровадження було боротьбою з підйомом угору. ФБР мало виправдовувати кожну свою дію. Вони повинні були довести, що дотримуються закону. Але у рамках ECPA Carnivore залишався потужним інструментом. Він показав, що цифрове спостереження не було наукової фантастикою. Воно стало операційною реальністю. І це змінило те, як ми думаємо про конфіденційність у цифрову епоху.
Як Carnivore звертався з конфіденційністю даних?
Система була розроблена для мінімізації збору даних. Фільтруючи протоколи SMTP, вона ігнорувала не-поштовий трафік. Пристрій ізоляції запобігав зовнішньому доступу. Фізичне блокування забезпечувало доступ до апаратного забезпечення лише авторизованим агентам. Система запечатаних картриджів підтримувала ланцюжок безпеки доказів. Це були запобіжні заходи. Але вони покладалися дотримання процедур агентами. Одна помилка могла скомпрометувати докази. Або конфіденційність невинних осіб.
Чому Carnivore викликав суперечки?
Секретність була головною проблемою. ФБР не випускало вихідного коду. Вони пояснювали алгоритми фільтрації докладно. Відсутність прозорості робила легким для критиків припускати найгірше. Чи сканувало воно ключові слова? Чи зберігало воно більше даних, ніж потрібно? Без перевірки громадськість мала здогадуватися. І люди припускали найгірше.
Що сталося після Carnivore?
Технологія еволюціонувала. Нові версії стикалися з суворішим контролем. Правові рамки адаптувалися. Але основна напруга залишилася. Правоохоронним органам потрібні інструменти для затримання злочинців. Громадяни чекають на конфіденційність. Баланс тендітний. Carnivore був лише одним шматочком цієї головоломки. Великим, галасливим та спірним шматочком.
Чи можна так легко моніторити електронну пошту?
Технічно, так. Якщо у вас є фізичний доступ до мережі та правові повноваження. Співпраця провайдера інтернет-послуг має вирішальне значення. Без нього апаратне забезпечення марне. ФБР не могло просто підключитись до дроту зі свого офісу. Вони мали бути на місці. Ця фізична вимога додавала шар тертя. Воно робило масове спостереження непрактичним. Але цільове спостереження? Дуже просте.
Спадщина Carnivore – це не лише апаратне забезпечення. Це дебати, які воно спровокувало. Воно змусило вести розмову про шифрування, закони про конфіденційність та владу уряду. Ця розмова не закінчилася. Він просто перемістився у хмару. І ставки тепер вищі.
Секретний сніфер пакетів ФБР
Carnivore був не абстрактною концепцією чи теоретичним кодом. Це була реальна розгорнута система стеження. І керувала нею безпосередньо “ФБР”.
Протягом багатьох років агенція ретельно приховувала свої методи від громадськості. Програмне забезпечення діяло як сніффер пакетів. Він розміщувався за веб-серверами або провайдерами інтернет-послуг. Воно захоплювало дані, що переміщувалися по мережі. Вміст електронної пошти. Логи чатів. Історія веб-переглядів. Це все.
Скандал викликало не лише те, що робила система, а й те, як вона це робила. Захисники конфіденційності бачили у ній лазівку у приватні комунікації. Технічні експерти вказували на вразливість у її протоколах безпеки. Чи була вона насправді захищеною? Чи це був ще один шар вразливості?
Це інструмент. Як і будь-який інший інструмент, його вплив залежить від того, хто ним володіє та як ним користується».
Зрештою програма зазнала ретельного розгляду. Внутрішня перевірка. Суспільне обурення. Саме ФБР визнало необхідність змін. До 2005 року назва Carnivore була знята. Йому на зміну прийшло менш провокаційне ім’я. Але базова функціональність залишилася незмінною.
Як це працювало насправді
Carnivore був розроблений так, щоб залишатися непоміченим. Він встановлювався на сервер провайдера, а чи не на машини самого ФБР. Інфраструктура провайдера. Це ускладнювало його виявлення.
Він фільтрував дані на основі ключових слів або IP-адрес. Якщо збіг, цей пакет копіювався. Решта трафік? Проходив повз непомічений. Для користувача. Для інтернет-провайдерів. Для будь-кого, хто спостерігав за поверхневою активністю.
Технічна архітектура була простою. Але наслідки були масштабними. Вона оминала традиційні закони про прослуховування телефонних переговорів. Які було створено для телефонних ліній. А чи не для цифрових потоків.
Чому це важливо сьогодні
Технології еволюціонували. Назва змінилася. Але основна функція зберігається. Державним агентствам, як і раніше, потрібен доступ до цифрових комунікацій. Методи стали складнішими. Більше розподіленими. Менш централізованими.
Але фундаментальне питання залишається тим самим. Хто спостерігає за спостерігачами? І що відбувається, коли інструменти стеження випереджають закони, покликані їх контролювати?
Відповідь криється не в коді. Він у політиці. А політика рухається повільніше за програмне забезпечення.
