Program FBI Carnivore wywołał dreszcze wśród zwolenników ochrony prywatności, gdy w mediach pojawiła się o nim wiadomość. Brzmiało to jak fragment powieści dystopijnej, a konkretnie „Roku 1984” George’a Orwella. Agencja argumentowała, że jest to niezbędne narzędzie do śledzenia podejrzanych przestępców w epoce cyfrowej. Krytycy nie zgodzili się z tym, postrzegając to jako ogromne przekroczenie zasięgu komunikacji prywatnej.
W styczniu 2005 r. rząd ostatecznie anulował projekt Carnivore. Zamiast tego wprowadzono gotowe narzędzia komercyjnego nadzoru. Jednak architektura techniczna tego porzuconego systemu nadal zapewnia interesujący wgląd w ewolucję monitoringu cyfrowego.
Od Omnivore do DragonWare
Carnivore nie było pierwszą próbą FBI podsłuchu cyfrowego. Była to trzecia generacja ich oprogramowania do wykrywania zagrożeń online. Pierwsza wersja pozostaje tajemnicą. Niektórzy eksperci podejrzewają, że było to po prostu Etherpeek, standardowe narzędzie do analizy sieci komercyjnych.
W 1997 roku wprowadzili na rynek drugą generację: Omnivore.
Według ujawnień FBI, Omnivore był hostowany w sieci dostawcy usług internetowych (ISP). Jego zadanie było proste. Monitorował ruch pocztowy. Podkreśliła wiadomości z określonego źródła docelowego. Następnie zapisywał je na taśmie lub drukował w czasie rzeczywistym.
System ten został wycofany z użytku pod koniec 1999 roku. Został zastąpiony bardziej niezawodnym systemem: DragonWare Suite.
DragonWare nie tylko przechowywał e-maile. Zrekonstruował je. Może odzyskać pobrane pliki. Potrafił nawet łączyć strony internetowe. Zestaw składał się z trzech głównych elementów, chociaż FBI utrzymywało szczegóły w ściśle strzeżonej tajemnicy.
- Carnivore : Silnik przechwytywania. Pracował na Windows NT lub 2000.
- Pakietowiec : Oficjalny cel nieznany. Prawdopodobnie odpowiedzialny za łączenie pofragmentowanych danych w czytelne wiadomości.
- Coolminer : Również nieprzezroczysty. Prawdopodobnie przeanalizował wyodrębnione dane pod kątem wzorców.
Niewiele wiemy o Packeteerze i Coolminerze. Ale rola Carnivore’a była jasna. To był sniffer pakietów.
Mechanika przechwytywania pakietów
Technologia ta nie jest nowa. Administratorzy systemów używają snifferów pakietów od dziesięcioleci. Używają ich do rozwiązywania problemów z wadliwymi połączeniami lub diagnozowania problemów z opóźnieniami.
Sniffer pakietów to program, który widzi wszystko w sieci, z którą jest połączony. Zwykle komputer ignoruje ruch, który nie jest dla niego przeznaczony. Odczytuje tylko pakiety adresowane do określonego sprzętu.
Interceptor zmienia tę zasadę.
Konfigurując przechwytywacz, ustawiasz interfejs sieciowy w tryb promoiscious (tryb nasłuchiwania). Zmusza to kartę sieciową do odczytania każdego przechodzącego pakietu, niezależnie od adresu docelowego. Ilość wyświetlanych danych zależy od tego, gdzie jesteś podłączony. Na stacji roboczej na oddziale bocznym ruch jest ograniczony. Główny serwer widzi prawie wszystko.
Narzędzia te można uruchomić na dwa sposoby:
- Brak filtrowania : Przechwytujesz każdy pakiet.
- Filtrowane : Przechwytujesz tylko pakiety spełniające określone kryteria, takie jak adres e-mail celu.
Przefiltrowane kopie zapisywane są w pamięci lub na dysku twardym. Analitycy mogą następnie przeglądać je wiersz po wierszu.
Co FBI mogło zobaczyć
Łącząc się ze stroną internetową, łączysz się z siecią swojego usługodawcy internetowego. Jeśli hostujesz przechwytywacz na serwerze dostawcy, będziesz mieć szeroki przegląd aktywności użytkowników.
Carnivore mógłby potencjalnie monitorować:
- Jakie strony internetowe odwiedziłeś?
- Konkretne strony, które przeglądałeś
- Do kogo wysłałeś e-maile?
- Treść tych listów
- Przesłane pliki
- Korzystanie z mediów strumieniowych
- Odwiedzający Twoją witrynę internetową
Czy to naprawdę nowe zagrożenie? Prawdopodobnie nie. Wielu dostawców używa przechwytywaczy do celów diagnostycznych. Wiele osób przechowuje kopie zapasowe wiadomości e-mail w celu przechowywania danych. Działania FBI były kontrowersyjne, ponieważ sformalizowały i zwiększyły ten dostęp dla organów ścigania. Sama technologia była jedynie ewolucją istniejących narzędzi do zarządzania siecią.
Mechanika Carnivore nie przypominała magii, a bardziej biurokrację połączoną ze sprzętem. Wszystko zaczęło się od postanowienia sądu. FBI wymagało uzasadnionego podejrzenia, że podejrzany był zamieszany w działalność przestępczą. Nie tylko poprosili o przejrzenie korespondencji; poprosili o pełny, autoryzowany podsłuch treści. To rozróżnienie ma znaczenie. Mówiąc w kategoriach podsłuchu telefonicznego, przechwytywanie treści przechwytuje wszystko, co znajduje się w pakiecie komunikacyjnym. To cyfrowy odpowiednik słuchania rozmowy, a nie tylko nagrywania, kto z kim rozmawia.
Porównaj to z nakazem sądowym dotyczącym pułapki i śledzenia. Pozwala uzyskać jedynie metadane – adresata. Do kogo kierowany jest list? Jaką witrynę odwiedzasz? Jest też opcja odwrotna: rejestr pióra. Śledzi, skąd pochodzi przychodząca wiadomość. Ale Carnivore został stworzony do ciężkiej pracy. Został zaprojektowany do przechwytywania treści.
Konfiguracja sprzętu
FBI nie tylko instalowało oprogramowanie na swoich laptopach. Poszli do źródła. Skontaktowali się z dostawcą usług internetowych (ISP), na którego serwerach znajdowało się konto podejrzanego, i poprosili o dostęp do plików kopii zapasowych. Następnie przenieśli swój sprzęt do serwerowni dostawcy.
To urządzenie nie było jakąś futurystyczną czarną skrzynką. Był to Pentium III z systemem Windows NT lub 2000. Miał 128 megabajtów pamięci RAM. Dziś brzmi to śmiesznie, ale pod koniec lat 90. to był poważny biznes. System opierał się na trzech warstwach oprogramowania: narzędziach komunikacji komercyjnej, autorskiej aplikacji C++ do przechwytywania i filtrowania pakietów oraz systemie blokowania fizycznego. Dostęp do sprzętu wymagał specjalnego hasła. Brak nieupoważnionego personelu. Żadnych wścibskich techników.
Kluczowym elementem konfiguracji było urządzenie izolujące sieć. Sprawiło to, że system Carnivore stał się niewidoczny dla reszty sieci dostawcy. To był duch. Nie można było zhakować go z innego komputera, ponieważ tak naprawdę nie istniał w sieci. Dane były przechowywane na dysku Iomega Jaz o pojemności 2 GB. Były to wymienne wkłady, które można było wymieniać jak dyskietki, ale o znacznie większej pojemności. To tutaj przechowywano przechwycone dane.
Filtrowanie szumów
Konfiguracja była specyficzna. FBI połączyło adres IP podejrzanego. Carnivore ignorował wszystko inne. Pasywnie kopiował pakiety, nie zakłócając ruchu. Jeśli sieć zwolniła, nie było to spowodowane przez Carnivore. Stało się tak, ponieważ system zrobił dokładnie to, co mu polecono: nic poza kopiowaniem.
Po skopiowaniu dane trafiły do filtra. To była ta „inteligentna” część. Oprogramowanie zdefiniowało protokoły. Szukał podpisów protokołu Simple Mail Transfer Protocol (SMTP). SMTP to standard poczty elektronicznej. Filtrując według SMTP, Carnivore odfiltrował szumy — przeglądanie stron internetowych, transfery FTP, dzienniki czatów. Zostawił tylko pakiety e-mailowe. Zostały zapisane na kasecie Jaz.
Agent FBI odwiedzał dostawcę co jeden lub dwa dni. Fizycznie zmienił nabój. Proces był trudny. Wkład umieszczono w starym, szczelnie zamkniętym pojemniku. Jeżeli pieczęć została naruszona, osoba mająca do niej dostęp musiała ją natychmiast podpisać, opatrzyć datą i ponownie opieczętować. W przeciwnym razie uznano, że dowody zostały naruszone. Łańcuch dowodowy był wszystkim.
Obserwacja miała twarde granice. Maksymalnie miesiąc bez przedłużenia postanowienia sądu. Po upływie terminu sprzęt został skonfiskowany. Dane na kartridżu zostały przetworzone przy użyciu narzędzi Packeteer i Coolminer. Jeżeli e-maile dostarczały wystarczających dowodów, trafiały do sądu. Jeśli nie, zostały zniszczone. Sam dostawca nie prowadził ewidencji działalności w tym okresie. Był tylko platformą.
Dlaczego wybrano konkretne przestępstwa?
Carnivore nie był wędką. To była włócznia. FBI planowało wykorzystać go do konkretnych dochodzeń o wysokiej stawce. Nie dostałeś nakazu sądowego na użycie Carnivore do złapania lokalnego złodzieja sklepowego. Cele były następujące:
- Terroryzm
- Pornografia dziecięca i wykorzystywanie
- Szpiegostwo
- Wojna informacyjna
- Oszustwo
Kryteria były rygorystyczne. Podejrzenie musiało być znaczące. Nakaz sądu musiał być konkretny. Nie chodziło tu o obserwację ogólną. Było to ukierunkowane przechwytywanie komunikacji elektronicznej w związku z poważnymi przestępstwami federalnymi.
Reakcja publiczna
Technologia zadziałała, ale reakcja była wściekła. Zwolennicy praw do prywatności widzieli koszmarny scenariusz. Ustawa o ochronie prywatności w łączności elektronicznej (ECPA) zapewniła ochronę prawną komunikacji elektronicznej. Każda obserwacja wymagała prawdopodobnej przyczyny i nakazu sądowego. Używanie Carnivore poza tymi granicami było nielegalne. Graniczyło to z niekonstytucyjnością. Potencjałem nadużycia był słoń w pokoju. Krytycy argumentowali, że system był zbyt nieprzejrzysty.
Potem pojawił się strach przed regulacjami. Niektórzy uważali, że Carnivore to pierwszy krok w kierunku przejęcia przez rząd USA kontroli nad Internetem. Pomysł był taki, że FBI umieści te systemy u każdego dostawcy – prywatnego, komercyjnego i edukacyjnego. Teoretycznie możliwe dla dostawców z siedzibą w USA. Niemożliwe dla osób znajdujących się poza jurysdykcją USA. Wymagana infrastruktura byłaby ogromna. A opór byłby powszechny.
Nie mniej głośne były obawy o wolność słowa. Krążyły pogłoski, że Carnivore monitorował całą zawartość, wyszukując słowa kluczowe takie jak „bomba” czy „morderstwo”. Każdy przechwytywacz pakietów można skonfigurować tak, aby szukał wzorców. Jednak bez prawdopodobnej przyczyny monitorowanie Twojej ogólnej działalności stanowiło naruszenie ustawy ECPA i Pierwszej Poprawki. FBI argumentowało, że bierze pod uwagę jedynie to, co określono w wezwaniu. Odmówili ujawnienia kodu źródłowego. Ta tajemnica tylko podsyciła paranoję.
Wiele osób pomyliło Carnivore z Echelonem. Echelon to rzekoma sieć Agencji Bezpieczeństwa Narodowego (NSA), zaprojektowana do przechwytywania międzynarodowych pakietów zawierających określone słowa kluczowe. Niewiele było niezbitych dowodów na to, że Echelon w ogóle istniał zgodnie z opisem. Jednak mieszanie tych koncepcji zaszkodziło reputacji Carnivore. Stało się symbolem nadmiernego zaangażowania rządu.
Wdrożenie było żmudną walką. FBI musiało uzasadniać każde podjęte działanie. Musieli udowodnić, że postępowali zgodnie z prawem. Jednak w ramach ECPA Carnivore pozostało potężnym narzędziem. Pokazał, że inwigilacja cyfrowa nie jest już science fiction. Stało się to rzeczywistością operacyjną. Zmieniło to sposób, w jaki myślimy o prywatności w epoce cyfrowej.
Jak Carnivore poradziło sobie z prywatnością danych?
System został zaprojektowany tak, aby zminimalizować gromadzenie danych. Filtrując protokoły SMTP, ignorował ruch inny niż pocztowy. Urządzenie izolujące uniemożliwiało dostęp z zewnątrz. Fizyczne blokowanie zapewniało dostęp do sprzętu wyłącznie autoryzowanym agentom. System uszczelnionych wkładów zapewniał łańcuch dostaw dowodów. Były to środki ostrożności. Polegali jednak na agentach, którzy przestrzegali procedur. Jeden błąd może zagrozić dowodom. Albo prywatność niewinnych osób.
Dlaczego Carnivore był kontrowersyjny?
Głównym problemem była tajemnica. FBI nie udostępniło kodu źródłowego. Nie wyjaśnili szczegółowo algorytmów filtrowania. Brak przejrzystości ułatwił krytykom zakładanie najgorszego. Czy skanował w poszukiwaniu słów kluczowych? Czy przechowywano więcej danych niż było to konieczne? Bez weryfikacji opinię publiczną pozostawiono zgadywaniu. A ludzie zakładali najgorsze.
Co się stało po Carnivore?
Technologia ewoluowała. Nowsze wersje podlegały bardziej rygorystycznym kontrolom. Dostosowano ramy prawne. Ale główne napięcie pozostaje. Organy ścigania potrzebują narzędzi do łapania przestępców. Obywatele oczekują prywatności. Równowaga jest krucha. Carnivore był tylko jednym elementem tej układanki. Duży, głośny i kontrowersyjny utwór.
Czy naprawdę możliwe jest tak łatwe monitorowanie poczty e-mail?
Technicznie tak. Jeśli masz fizyczny dostęp do sieci i uprawnienia prawne. Współpraca z dostawcami usług internetowych ma kluczowe znaczenie. Bez tego sprzęt jest bezużyteczny. FBI nie mogło po prostu podłączyć się do telegramu ze swojego biura. Powinni tam być. Ten wymóg fizyczny dodał warstwę tarcia. To sprawiło, że masowa inwigilacja stała się niepraktyczna. Ale ukierunkowany nadzór? Bardzo proste.
Dziedzictwo Carnivore wykracza poza sam sprzęt. To jest debata, którą wywołała. Wywołało to rozmowy na temat szyfrowania, przepisów dotyczących prywatności i władzy rządu. Ta rozmowa się nie skończyła. Właśnie przeniósł się do chmury. A stawka jest teraz wyższa.
Tajny sniffer pakietów FBI
Mięsożerność nie była abstrakcyjną koncepcją ani kodem teoretycznym. To był naprawdę rozbudowany system monitoringu. I było to bezpośrednio kontrolowane przez FBI.
Agencja przez wiele lat starannie ukrywała swoje metody przed opinią publiczną. Oprogramowanie pełniło funkcję sniffera pakietów. Znajdował się za serwerami internetowymi lub dostawcami usług internetowych. Przechwytywał dane przesyłane w sieci. Treść e-maila. Dzienniki czatów. Historia przeglądania Internetu. Wszystko to.
Skandal wywołał nie tylko to, co system zrobił, ale także to, jak to zrobił. Zwolennicy prywatności postrzegali to jako tylne drzwi do prywatnej komunikacji. Eksperci techniczni wskazali luki w protokołach bezpieczeństwa. Czy faktycznie była chroniona? A może była to po prostu kolejna warstwa luk w zabezpieczeniach?
“To narzędzie. Jak każde narzędzie, jego wpływ zależy od tego, kto jest jego właścicielem i jak jest używany.”
Ostatecznie program został poddany analizie. Kontrole wewnętrzne. Publiczne oburzenie. Samo FBI uznało potrzebę zmian. Do 2005 roku nazwa Carnivore została usunięta. Została zastąpiona mniej prowokacyjną nazwą. Ale podstawowa funkcjonalność pozostaje taka sama.
Jak to naprawdę działało
Carnivore został zaprojektowany tak, aby pozostać niewykrytym. Został zainstalowany na serwerze dostawcy, a nie na własnych komputerach FBI. W infrastrukturze dostawcy. To utrudniało wykrycie.
Filtrował dane na podstawie słów kluczowych lub adresów IP. Jeśli znaleziono dopasowanie, pakiet ten został skopiowany. Inny ruch? Przeszedł niezauważony. Dla użytkownika. Dla dostawcy Internetu. Dla każdego, kto zaobserwował aktywność powierzchniową.
Architektura techniczna była prosta. Ale konsekwencje były powszechne. Obeszła tradycyjne przepisy dotyczące podsłuchów. Które zostały stworzone dla linii telefonicznych. Nie dla strumieni cyfrowych.
Dlaczego jest to dziś ważne?
Technologia ewoluowała. Nazwa została zmieniona. Ale główna funkcja pozostaje. Agencje rządowe nadal potrzebują dostępu do komunikacji cyfrowej. Metody stały się bardziej złożone. Bardziej rozproszone. Mniej scentralizowane.
Ale podstawowe pytanie pozostaje takie samo. Kto obserwuje obserwatorów? A co się stanie, gdy narzędzia nadzoru wyprzedzą przepisy mające na celu ich kontrolę?
Odpowiedź nie kryje się w kodzie. Jest w polityce. A polityka porusza się wolniej niż oprogramowanie.
