Miksi Ron Wyden vaatii selvitystä FBI:n ja muiden viranomaisten hakkerointityökaluista?

Ron Wydenin pyyntöä vauhditti hänen kuvaamansa pitkäaikainen valvontavaje: liittovaltion lainvalvontaviranomaiset ovat käyttäneet erittäin tunkeilevia hakkerointi- ja vakoiluohjelmia jo vuosikymmenten ajan, mutta kongressilla ja yleisöllä ei ole saatavilla edes perustietoja niiden käytöstä, suojatoimista tai tuomioistuimille annetuista tiedoista. 712

Mikä on GAO?

GAO eli Government Accountability Office on Yhdysvaltain kongressin tarkastusvirasto. Se arvioi liittovaltion viranomaisten toimintaa ja voi antaa suosituksia siitä, miten hallinnon menettelyjä ja valvontaa pitäisi parantaa.

Wyden pyysi GAO:ta tarkastelemaan, miten hakkerointityökaluja ja vakoiluohjelmia käyttävät muun muassa:

• FBI eli liittovaltion poliisi,
• DEA eli huumevirasto,
• maahanmuutto- ja tulliviranomainen ICE:n Homeland Security Investigations -tutkintayksikkö sekä
• Yhdysvaltain salainen palvelu.

Hakkeroinneista ei julkaista vastaavia vuosilukuja

Wydenin keskeinen huoli liittyy läpinäkyvyyteen. Puhelinkuunteluista ja niin sanotuista pen register- sekä trap-and-trace -menetelmistä julkaistaan vuosittaista tilastotietoa. Näillä menetelmillä voidaan seurata esimerkiksi puhelinnumeroita, soittoaikoja ja yhteyksien suuntaa.

Hakkerointioperaatioista vastaavia vuosiraportteja ei kuitenkaan julkaista. Siksi julkisuudessa on vain vähän tietoa siitä, kuinka usein työkaluja käytetään, millä perusteilla niitä otetaan käyttöön, kuinka laajoja operaatiot ovat ja millaisia sivuvaikutuksia niillä voi olla. 167

Wydenin mukaan oikeusministeriö ja FBI eivät ole toistuvista kongressin pyynnöistä huolimatta tarjonneet kaivattua lisätietoa. Hänen näkemyksensä mukaan riippumaton ja ei-salaiseksi luokiteltu GAO:n raportti voisi paikata tätä aukkoa. 712

Mitä GAO:n pitäisi selvittää?

Pyynnössä halutaan tarkastella muun muassa sitä, ovatko viranomaiset käyttäneet työkaluja luvattomiin tai henkilökohtaisiin tarkoituksiin ja millaiset tekniset suojaukset sekä hallinnollinen valvonta estävät väärinkäytöksiä.

Lisäksi GAO:n pitäisi selvittää:

• miten työkalut hankitaan, säilytetään ja suojataan vuotoja vastaan,
• toimitetaanko niiden käyttöön liittyvät tietoturvahaavoittuvuudet hallinnon arviointiin, jossa ratkaistaan, pitäisikö haavoittuvuudesta ilmoittaa teknologiayhtiölle sen korjaamiseksi, sekä
• miten viranomaiset kuvaavat työkalujen ominaisuudet ja mahdolliset riskit tuomioistuimille hakiessaan etsintälupaa.

Jälkimmäinen kohta koskee erityisesti tilanteita, joissa hakkerointi voi ulottua tuntemattomien tai täysin viattomien ihmisten laitteisiin. Wyden on huolissaan siitä, saavatko tuomarit riittävästi teknistä tietoa voidakseen arvioida lupahakemuksia asianmukaisesti. 712

L3Harrisin tapaus korosti työkalujen vuotoriskiä

Wyden nosti esiin myös kyberturvallisuuden ja sisäpiiriuhkien riskit. Entisen L3Harrisin johtajan Peter Williamsin väitetty kehittyneiden hakkerointityökalujen varastaminen ja myyminen osoitti, kuinka valtiolliseen käyttöön tarkoitettu teknologia voi joutua viranomaisten kontrollin ulkopuolelle ja päätyä ulkomaisten toimijoiden tai rikollisten käyttöön.

Tapaus on hänen näkökulmastaan esimerkki siitä, miksi työkalujen hankintaa, säilytystä ja suojaamista ei voida käsitellä pelkästään viranomaisten sisäisenä asiana.

Hakkerointi ei ole uusi tutkintamenetelmä

Wyden sijoitti pyynnön myös historialliseen yhteyteen. FBI:n varhaisimmaksi dokumentoiduksi vakoiluohjelmaoperaatioksi on kuvattu vuoden 1999 tutkinta, jossa viranomaiset käyttivät näppäinpainalluksia tallentavaa haittaohjelmaa päästäkseen käsiksi PGP-salauksella suojattuihin todisteisiin Philadelphian mafiapomo Nicodemo S. Scarfon tietokoneella. Tutkinta koski muun muassa laitonta uhkapeliä ja koronkiskontaa. 712

Tapaus osoittaa, ettei viranomaisten tietokoneisiin kohdistama tunkeutuminen ole uusi ilmiö. Wydenin mukaan ongelma on siinä, että valvonnan ja avoimuuden mekanismit eivät ole pysyneet tehokkaiden työkalujen kehityksen mukana.

Miksi pyyntö on merkittävä?

Wyden hakee GAO:n tarkastusta, koska hakkerointityökalut voivat paljastaa erittäin henkilökohtaisia tietoja ja samalla synnyttää laajempia tietoturvariskejä. Hänen mukaansa viranomaiset eivät ole osoittaneet riittävän selvästi, että työkalujen käyttö, säilytys, haavoittuvuuksien käsittely, tuomioistuimille annettavat tiedot ja sisäinen valvonta ovat asianmukaisesti rajattuja.

Tiivistettynä: Wyden haluaa selvittää, kuinka laajasti Yhdysvaltain viranomaiset hakkerointia käyttävät, millä perusteilla sitä tehdään ja kuka valvoo menetelmää, joka voi ulottua epäiltyjen lisäksi myös sivullisten laitteisiin. 1712