הסיבה האמיתית שה- Feds לא יכולים לקרוא את ההדמיות שלך

דו"ח DEA שהושג על ידי CNet חשף כי אכיפת החוק נגזמה על ידי תקשורת שנשלחה באמצעות מערכת iMessage המוצפנת של אפל. מסתבר שההצפנה היא רק מחצית הבעיה, והיא באמת חקיקה שמאפשרת להראות את iMessages לאכיפת החוק.

על פי דברי הטכנולוג הראשי של ה- ACLU, כריסטופר סוחויאן, הדוקטורט, הנושא האמיתי טמון בחוק סיוע בתקשורת לאכיפת החוק או CALEA שהועבר בשנת 1994.

סוגויאן אמר לחוק הביטחון, "נדרש כי תעשיות יבנו יכולות ליירט לרשתות שלהן." תעשיות אלה כללו חברות טלפון ופס רחב, אך לא חברות כמו אפל. iMessage שונה גם מהודעות טקסט רגילות מכיוון ששניהם מצפינים את ההודעה ושולחים אותה peer-to-peer בין מכשירי אייפון, מבלי לגעת ברשת של ספק.

בשני העשורים שחלפו מאז חל החוק, נוף התקשורת השתנה באופן דרמטי. אפל לא הייתה במשחק התקשורת בשנת 1994, ורוב התקשורת המיידית בוצעה על ידי חברות הטלפון.

"באופן מסורתי, ממשלת ארה"ב ביצעה את הרוב המכריע של המעקב בסיוע חברות הטלפונים", אמר סוגויאן, שכינה את חברות הטלפונים "שותף מהימן" של אכיפת החוק.

הצפנה פירושה פטור

פן קריטי נוסף של CALEA עוסק בהודעות מוצפנות, בעיקר שהוא פטור מכל מעקב אלחוטי. סוגויאן הסביר כי לא ניתן ליירט תקשורת, "מוצפנת עם מפתח שאינו ידוע לחברה." אז במצב בו מקשי הפענוח מטופלים במכשיר, ולא על ידי מי שמעביר את ההודעות, אז אכיפת החוק חייבת להתעלם מההודעה לחלוטין.

נושא זה הוזכר בדו"ח ה- DEA, שצוטט על ידי CNet: "iMessages בין שני מכשירי אפל נחשבים לתקשורת מוצפנת ולא ניתן ליירט אותם, ללא קשר לספק שירותי הטלפון הסלולרי." עם זאת, הדו"ח מציין כי בהתאם למיקומו של היירוט ניתן לקרוא הודעות שנשלחו לטלפונים אחרים. זה ככל הנראה מכיוון שתקשורת זו אינה מוצפנת ולכן הם גלויים לאכיפת החוק תחת CALEA.

עדכון: הנוסח המדויק של CALEA בנושא הצפנה נכתב:

"חברת תקשורת לא תהיה אחראית לפענוח, או להבטיח את יכולת הממשלה לפענח, כל תקשורת המוצפנת על ידי מנוי או לקוח, אלא אם כן ההצפנה סופקה על ידי הספק והמוביל מחזיק במידע הדרוש לפענוח התקשורת."

מאובטח בטעות

מה שחשוב לציין הוא שאפל לא התכוונה להפוך את המסרים שלה לבלתי נראים לממשלה. במקום זאת, הוא פשוט רצה לייצר מוצר איכותי ואז דחף אותו כברירת מחדל לבסיס משתמשים עצום. סוגויאן אמר כי הסיבה לכך היא שבעמק הסיליקון יש יותר חשיבה ביטחונית מאשר חברות הטלפונים. "אינך יכול לגרום לצוות אבטחה לאשר שירות שאינו משתמש בהצפנה, " הוא הסביר, תוך שהוא מציין את התהליך הפנימי הארוך של הסקירה שעל מוצרי תקשורת חדשים רבים לעבור.

"iMessage תוכנן לפני מספר שנים, מערכת הודעות הטקסט תוכננה לפני עשרות שנים", המשיך סוגויאן. "מערכות מורשת אינן בטוחות בצורה מחפירה, אבל עמק הסיליקון מאובטח. זה מה שהם עושים."

אבל רק מכיוון ש- iMessages אינם זמינים מיידית ליירוט אינם מספקים הגנה מלאה. "עם מערכת מהסוג הנכון, " אמר סוגויאן. "ניתן היה ליירט את הודעות אפל." העניין הוא שאפל אינה מספקת כל אינדיקציה לצדדים בצ'אט iMessage כי הוצג מכשיר חדש. סוגויאן אמר שאם אתה הולך לחנות התפוחים, קיבלת טלפון חדש ואיפוס את הסיסמה שלך, אתה יכול לשוחח עם חבריך כאילו שום דבר לא קרה. "זה אומר שאפל יכולה לעשות זאת גם לממשלה."

ל- iMessage יש גם בעיות אחרות. השירות שימש לאחרונה בהתקפת מניעת שירות מכיוון שיש לו מגבלות מועטות או חסרות כמה הודעות ניתן לשלוח ואין אמצעים לחסום מסרים פוגעים.

למרות שאפל אולי רק עשתה לבנות את המוצר הטוב ביותר שיכולה להיות, חברות אחרות כמו TextSecure ו- Silent Circle התכוונו להיות חופשיות מיירוט מעיצוב. מערכות אלה כוללות הצפנה מקצה לקצה המטופלת, כמו iMessage, דרך רשתות המנוהלות על ידי יוצרי האפליקציות. כלומר, תחת CALEA, ההודעות אינן נראות לחלוטין לאכיפת החוק בנוסף להיותן בלתי אפשריות לפענוח.

סיכון מקובל

האופן בו CALEA מטפל בסוגיות אלה עשוי להראות בעייתי, ותלונות ה- DEA בהחלט מדגישות את הנושא. עם זאת, Soghoian מציין כי הפיכת מערכות קלות לפיקוח על מערכות אינה הופכת אותן לבטוחות יותר. "שירות שקל ל- FBI לפקח קל גם לסינים לפרוץ", אמר סוגויאן. "כשאתה משאיר דלת אחורית פתוחה אתה משאיר אותה פתוחה לכולם."

בתקופה של הפרות נתונים משמעותיות בחברות פופולריות ומלחמת חמות בסייבר בין מדינות, וושינגטון תצטרך ככל הנראה להשלים עם כך שלא תעשה זאת בשני הכיוונים.

עדכון:

ג'ון קאלאס, CTO לחברת ההודעות והקוליות המאובטחת Silent Circle הדהד רבים מהרגשות שכבר דנו בהם. "iMessage הוא מקרה בו חברה גדולה הצליחה למצוא טכנולוגיה שטוב גם להם וגם ללקוחותיהם מבלי שהושקעה במחשבה על מה שהממשלה עשויה לאהוב."

זאת בניגוד גמור לטון של CALEA, שבנה דלת אחורית המופעלת על האזנות. "iMessage הייתה אמורה להיות דרך זולה ובטוחה לבצע חילופי SMS, " אמרה קאלאס. "זה לא היה ברשימת התכונות כדי להיות ידידותיות לממשלה."