Czy komunikatory mobilne są bezpieczne?

Żyjemy w czasach, gdy informacja stała się dobrem o najwyższej wartości. Dostęp i możliwość skorzystania z kluczowych danych pozwala na skuteczne konkurowanie na rynku, prowadzenie polityki, a nawet na wygrywanie wojen (i to bez oddania jednego strzału). Równie cenne są możliwości manipulacji informacjami, i to zarówno na poziomie publicznym (fake news), jak i w relacjach biznesowych.
Funkcjonując jako społeczeństwo informacyjne nadal pozostajemy przy naszych przyzwyczajeniach i przekonaniach ze świata rzeczywistego. Naiwnie zakładamy dobrą wolę nadawcy wiadomości i przypisujemy mu najbardziej prawdopodobną tożsamość. To dlatego tak powszechnym narzędziem cyberprzestępców pozostaje prymitywny w swoim wymiarze technologicznym phishing. Wystarczy skonstruować odpowiednio wiarygodnie wyglądającą wiadomość email, aby nakłonić odbiorcę do otwarcia załącznika, w którym ukryty jest złośliwy kod wirusa. Albo – co jeszcze bardziej intrygujące – w ramach “metody na prezesa”, czyli Business Email Compromise, w ogóle nie załączać malware tylko po prostu namówić księgową do przelania ogromnych kwot na arbitralnie wybrane konto, bo akurat w trakcie delegacji w Chinach potrzebne są dodatkowe środki do zamknięcia transakcji. Wystarczy sięgnąć do bardzo głośnego ostatnio przypadku firmy zbrojeniowej Cenzin należącej do PGZ, z której wypłynęło w ten sposób prawie 4 miliony złotych.
Poczta elektroniczna to jeden z najstarszych sposobów komunikowania się w internecie. Pozostaje nadal w intensywnym użyciu pomimo jej oczywistych wad. Wymienione powyżej ryzyka wynikają z niemożności niezawodnego potwierdzenia tożsamości nadawcy. Odbiorca musi po prostu uwierzyć (i bardzo chętnie to czyni), że wymieniona w nagłówku wiadomości osoba to rzeczywiście prezes, firma spedycyjna, urząd skarbowy etc.etc. Zwłaszcza, że przestępcy mogą bardzo łatwo uwiarygodnić się dzięki stosowaniu trików takich jak nazwy łudząco podobne do rzeczywistych, czy litery z rozszerzonych zestawów Unicode, które wyglądają identycznie do powszechnie używanych. A w ostateczności po prostu przejmują kontrolę nad kontem używanym do manipulowania odbiorcą i po prostu wysyłają maile z prawdziwego źródła.
Gdy przesyłka opuści komputer nadawcy przechodzi przez cały szereg systemów pośrednich. Tutaj powstają kolejne ryzyka związane z poufnością korespondencji oraz jej nienaruszalnością. Łatwo wyobrazić sobie scenariusze, w których oferta handlowa została prawidłowo nadana przez osobę do tego uprawnioną, jednak po drodze ktoś uzyskał do niej dostęp, poznał zawartość i np. podmienił wartość aby uczynić ją nieatrakcyjną dla zamawiającego. Manipulując w ten sposób treścią konkurent ma szansę na przejęcie intratnego kontraktu, a przegrana firma może nawet nigdy się nie dowiedzieć jak to się stało.
Email ma jeszcze jedną cechę, która czyni go coraz mniej przystawalnym do naszych czasów. Jest w swojej naturze asynchroniczny: wysyłamy list, ale nie wiemy kiedy został odczytany i pozostaje nam czekać aż odbiorca zdecyduje się na odpowiedź. Może to trwać wiele godzin lub dni, a przecież w ten sposób nie da się prowadzić negocjacji czy ustaleń projektowych.

Dlatego obserwujemy coraz większą popularność komunikatorów internetowych, które dają możliwości błyskawicznej wymiany informacji zarówno pomiędzy dwoma osobami, ale także w większych grupach. Dają wrażenie rzeczywistej rozmowy z jej dynamiką i możliwościami szybkich reakcji na zmieniającą się sytuację. Nie są one jednak odpowiedzią na trapiące pocztę elektroniczną bolączki bezpieczeństwa.
Przez bardzo długi czas większość rozmów prowadzona była otwartym tekstem, bez szansy na zaszyfrowanie, ukrycie treści i zabezpieczenie jej przed ingerencją stron trzecich. Niektórzy producenci próbowali łatać to niedomaganie poprzez szyfrowanie kanału komunikacyjnego pomiędzy użytkownikiem a serwerem usługodawcy (technologie VPN). Daje to zabezpieczenie naszej prywatności porównywalne do rozmów w telefonii komórkowej. Trzeba jednak pamiętać, że w takim podejściu to usługodawca ma pełny dostęp do treści naszych rozmów i przesyłanych dokumentów. To otwiera całkowicie nową kategorię zagrożeń, gdzie adwersarz uzyskując dostęp do systemów usługodawcy ma pełny wgląd w nasze treści. Przy czym może się to odbywać pod auspicjami prawa, które w wielu krajach nakazuje wręcz operatorom udostępnianie ich systemów służbom specjalnym.

Dopiero niedawno pojawiły się komunikatory pozwalające na szyfrowanie treści “end to end”. Oznacza to, że treści zabezpieczane są już na urządzeniu nadawcy, a możliwe do odczytania dopiero przez ostatecznego ich odbiorcę.

Wydawałoby się, że to panaceum na bolączki komunikacji, jednak sytuacje nie jest taka oczywista. Po pierwsze wiele komunikatorów (np. Telegram) nie szyfruje wiadomości domyślnie. Trzeba explicite przejść w tryb bezpiecznej komunikacji, żeby skorzystać z oferowanych zabezpieczeń. To z kolei utrudnia bieżące określenie, czy jesteśmy w publicznym kanale, czy w prywatnym. Łatwo o pomyłkę i przesłanie poufnych informacji w sposób czytelny dla osób postronnych.

Dodatkowo powstaje wiele wątpliwości co do jakości samych zabezpieczeń. Kod źródłowy albo nie jest dostępny do weryfikacji przez niezależne instytucje, albo zagmatwany w stopniu uniemożliwiającym skuteczną analizę. O powiązaniach autorów ze służbami specjalnymi konkretnych państw, niekoniecznie przyjaznych naszemu krajowi nie wspominając.

Powszechnie używane komunikatory jak WhatsApp mają najczęściej afiliację z dużymi firmami internetowymi (w tym przypadku Facebook), których model biznesowy opiera się na zbieraniu jak największej ilości informacji o użytkownikach. Bardzo trudno jest uwierzyć, że akurat w tym jednym przypadku robią one wyjątek. A jeśli połączymy to nękającymi Facebook masowymi wyciekami danych, dosyć frywolnym traktowaniem danych użytkowników oraz wątpliwymi etycznie praktykami udostępniania swoich systemów firmom trzecim (przypadek Cambridge Analytica), to poziom zaufania gwałtownie spada. Tym bardziej, że zostały ostatnio ogłoszone plany co do połączenia infrastruktury, a zatem również samych aplikacji klienckich, WhatsApp, Instagram i Messenger. Nieuniknione będą tutaj dodatkowe ryzyka oraz zdarzenia wycieków informacji, włącznie z możliwością umieszczenia w pozostającej poza kontrolą użytkowników nowej infrastrukturze implantów służb specjalnych i grup przestępczych pozwalających na ciągłą i niewidoczną inwigilację.
Pamiętajmy także, że fundamentem dla skutecznego szyfrowania informacji jest uprzednia wymiana kluczy kryptograficznych pomiędzy stronami. To zdarzenie stanowi potem podstawę do potwierdzania tożsamości drugiej strony oraz utrzymywania poufności komunikacji poprzez systematyczną wymianę kluczy. Tutaj również oferowane systemy pozostawiają wiele do życzenia. Byliśmy już świadkami skandalu z możliwością podmienienia kluczy w WhatsApp bez świadomości użytkownika, a pod kontrolą organizacji szpiegowskiej. Mechanizm oferowany przez Signal oraz Telegram oparty o numer telefonu komórkowego i tożsamość potwierdzoną uprzednio przez operatora telekomunikacyjnego jest także łatwy do oszukania jeśli adwersarz ma dostęp do infrastruktury operatora. Zostało to zademonstrowane już dwa lata temu przez badaczy Positive Technologies z Rosji, a luki pozwalające na realizację tego typu ataku są nadal obecne w globalnej infrastrukturze telekomunikacyjnej.

Pomysły wymiany oparte o koncepcję centrów certyfikacyjnych (certificate authority) to obecnie także przeżytek. Każdy może wygenerować sobie absolutnie bezpłatnie certyfikat uznawany przez wszystkie programy klienckie, a opisujący arbitralnie wybraną tożsamość. W ramach Let’s Encrypt większość generowanych certyfikatów służy do popełniania przestępstw. Przykładowo, tylko w zeszłym roku ponad 85 tysięcy opiewało na domeny z nazwami łudząco podobnymi do PayPal, co oczywiście wskazuje na ich przeznaczenie do phishingu. Zatem CA to także nie jest droga do potwierdzania tożsamości i wymiany kluczy.
Wartość przekazywanych informacji rośnie dramatycznie. Niezależnie czy mówimy o zwykłym prowadzeniu biznesu, polityki czy spraw wyjątkowo poufnych. Dotyczy to kancelarii prawnych pracujących nad kontraktami o wyjątkowym ciężarze, firm produkcyjnych chroniących swoją własność intelektualną, banków, gdzie pieniądz w oczywisty sposób wiąże się z informacją, czy instytucji rządowych, ale także każdego z nas osobiście. Powierzanie bezpieczeństwa informacji operatorom, co do których mamy wątpliwości o jakość świadczonych usług, jest zwyczajnie lekkomyślne. Powrotu do poczty elektronicznej także nie ma ze względu na jej “antyczność” i wady, których już nie wyeliminujemy. Wydaje się nieuniknione pojawienie na rynku nowego rozwiązania pozwalającego na realizację bezpiecznej, poufnej komunikacji niezależnej od stron trzecich, która będzie jednocześnie ergonomiczna, łatwa do realizacji również przez osoby nieposiadające wiedzy technicznej.

Autor: Michał Jarski

Pobierz aplikacje