Dlaczego Ron Wyden zażądał audytu narzędzi hakerskich używanych przez amerykańskie służby?

Wieloletnia luka w nadzorze

Prośba senatora Rona Wydena wynika z tego, co polityk określa jako wieloletnią lukę w rozliczalności. Amerykańskie agencje federalne od dekad korzystają z bardzo inwazyjnych narzędzi hakerskich i oprogramowania szpiegującego, jednak Kongres oraz opinia publiczna nie mają dostępu nawet do podstawowych informacji o ich użyciu, zabezpieczeniach i kontroli sądowej. 712

Wyden chce, by Government Accountability Office (GAO) — niezależna instytucja kontrolująca wydatki i działania rządu federalnego — przygotowała publiczny, niesklasyfikowany raport dotyczący praktyk FBI, Drug Enforcement Administration (DEA), jednostki Homeland Security Investigations w ramach Immigration and Customs Enforcement (ICE) oraz Secret Service.

Brak statystyk, które istnieją dla podsłuchów

Jednym z głównych powodów wystąpienia Wydena jest brak przejrzystości. W przypadku tradycyjnych metod inwigilacji, takich jak podsłuchy czy rejestratory numerów i połączeń — tzw. pen register oraz trap-and-trace — władze publikują coroczne dane. W odniesieniu do operacji hakerskich podobnych zestawień nie ma. Nie wiadomo więc, jak często takie narzędzia są wykorzystywane, w jakich celach, na jaką skalę ani jakie skutki uboczne mogą powodować. 167

Senator twierdzi również, że Departament Sprawiedliwości i FBI wielokrotnie nie dostarczyły Kongresowi oczekiwanych informacji. Jego zdaniem to właśnie brak odpowiedzi uzasadnia zewnętrzny przegląd przeprowadzony przez GAO, a nie kolejną wewnętrzną kontrolę. 712

Co dokładnie ma sprawdzić GAO?

Wniosek dotyczy między innymi tego, czy funkcjonariusze kiedykolwiek wykorzystywali narzędzia hakerskie do celów nieuprawnionych lub prywatnych. GAO miałoby także ocenić, czy istniejące zabezpieczenia techniczne i procedury nadzoru rzeczywiście ograniczają ryzyko nadużyć.

Kolejny obszar to pozyskiwanie, przechowywanie i ochrona narzędzi. Chodzi o sprawdzenie, czy agencje odpowiednio zabezpieczają zaawansowane oprogramowanie przed kradzieżą i wyciekiem, a także czy związane z nim podatności są przekazywane do rządowego procesu oceniającego, czy należy zgłosić lukę producentowi technologii w celu jej usunięcia.

Wyden zwraca uwagę również na procedury sądowe. Audyt ma ocenić, w jaki sposób agencje informują sędziów o możliwościach używanych narzędzi oraz o ryzyku, że inwigilacja obejmie osoby niezidentyfikowane, postronne lub niewinne. To istotne, ponieważ włamanie do urządzenia może dać dostęp do znacznie szerszego zakresu prywatnych danych niż klasyczne przechwycenie komunikacji. 712

Przypadek L3Harris pokazał ryzyko wycieku

W swoim uzasadnieniu Wyden odwołał się do sprawy Petera Williamsa, byłego członka kierownictwa L3Harris. Według przywoływanego opisu zaawansowane narzędzia tej firmy zostały skradzione i sprzedane, a następnie trafiły do rosyjskich szpiegów wykorzystujących je przeciwko Ukrainie oraz do chińskich cyberprzestępców atakujących właścicieli kryptowalut.

Dla senatora to przykład zagrożenia, jakie powstaje, gdy technologie opracowane do działań państwowych tracą kontrolę właściciela. Takie narzędzia mogą zostać wykorzystane nie tylko przez obce służby, lecz także przez przestępców.

Technologia nie jest nowym elementem śledztw

Wyden umieścił sprawę w szerszym, historycznym kontekście. Najwcześniejsza udokumentowana operacja FBI z użyciem spyware miała miejsce w 1999 r. podczas śledztwa dotyczącego Nicodemo S. Scarfo, podejrzanego o nielegalny hazard i lichwę. Agenci użyli wówczas złośliwego oprogramowania rejestrującego naciśnięcia klawiszy, aby uzyskać dostęp do dowodów zaszyfrowanych za pomocą PGP na jego komputerze.

Sam fakt wykorzystywania włamań do komputerów nie jest więc nowy. Zdaniem Wydena problem polega na tym, że mechanizmy nadzoru i jawności nie nadążają za możliwościami współczesnych narzędzi. 712

Chodzi o prywatność i bezpieczeństwo państwa

W skrócie: senator chce kontroli GAO, ponieważ rządowe exploity mogą odsłaniać wyjątkowo wrażliwe informacje, a jednocześnie tworzyć systemowe ryzyko bezpieczeństwa. Wyden uważa, że władze nie przedstawiły dotąd wystarczających dowodów, iż sposób używania, przechowywania i zabezpieczania tych narzędzi, postępowanie z podatnościami, informowanie sądów oraz kontrola wewnętrzna są odpowiednio ograniczone.

Oczekiwany raport ma nie tylko opisać obecne praktyki, lecz także przedstawić rekomendacje dotyczące ich poprawy.