MITM na úrovni poskytovatelů: evropská opce

Hovoříme o novém návrhu zákona v Německu a dřívějších iniciativách podobného zaměření.

/unsplash/ Fabio Lucas

Jak by to mohlo vypadat

Začátkem tohoto měsíce německé úřady představily návrh zákona, který by donucovacím orgánům umožnil využívat infrastrukturu poskytovatelů internetu k instalaci sledovacích systémů na zařízení občanů. Jak hlásí publikaci Privacy News Online, vlastněný poskytovatelem VPN Private Internet Access a specializující se na zprávy o bezpečnosti informací, údajně používá software FinFly ISP od FinFisher k implementaci MITM. Přečtěte si o tom již více mluvil v Habré v rámci podobné novinky.

O čem dále na Habrém píšeme:

• Práce poskytovatele: výběr materiálů o protokolech, IT a síťové infrastruktuře
• Američtí poskytovatelé jsou požádáni, aby odstranili prahové hodnoty pro stahování dat – jaký je výsledek
• Neobvyklé a zcela zřejmé faktory ovlivňující provoz firemních sítí a práci poskytovatelů

V brožuře poskytnuté WikiLeaks se uvádí, že software FinFly ISP je navržen pro práci v sítích poskytovatelů internetových služeb, je kompatibilní se všemi standardními protokoly a lze jej nainstalovat do cílového počítače spolu s aktualizací softwaru. Jeden z obyvatel Hacker News v tematickém vláknu navrhlže systém lze použít k implementaci útoku QUANTUMINSERT. Jak je uvedeno v Wired, ji použité v NSA v roce 2005. Umožňuje vám číst ID požadavků DNS a přesměrovat uživatele na falešný zdroj.

Velmi stará praxe

V roce 2011 odborníci z Chaos Computer Club (CCC) - Německá hackerská společnost - řekl o softwaru používaném orgány činnými v trestním řízení v Německu. Jedná se o trojského koně schopného instalovat zadní vrátka a spouštět programy na dálku. Věděl také, jak pořizovat snímky obrazovky a zapínat kameru a mikrofon počítače. Již tehdy byl systém vystaven tvrdé kritice.

V roce 2015 toto téma znovu přivedl k diskusi. Vyvstala otázka ústavnosti této formy sledování. Jak napsal Proti tomuto systému se postavila německá mezinárodní televize DW a zástupci politické organizace „Strana zelených“. Poznamenali, že „účely vymáhání práva neospravedlňují prostředky“.

/unsplash/ Thomas Bjornstad

Příběh MITM na úrovni ISP se začal široce diskutovat ve vláknu na Hacker News. Několik obyvatel vzneslo dotazy ohledně situace s soukromí osobních údajů jako celek.

Mluvili jsme také o povinnostech ukládat data na straně poskytovatelů internetu a někdo si dokonce vzpomněl na případ Crypto_AG. Jde o globálního výrobce kryptografického vybavení, který tajně vlastnila americká Ústřední zpravodajská služba. Organizace se podílela na vývoji algoritmů a poskytla pokyny pro zabudování zadních vrátek. Tento příběh je také poměrně podrobný kryté na Habré.

Co je další

Konečné rozhodnutí o novém návrhu zákona ještě nepadlo a teprve se uvidí. Už teď je ale jasné, že problém spoofingu webových stránek se může ještě vyostřit. Kdo ale ze situace určitě bude moci těžit, jsou poskytovatelé VPN. Jsou již zmíněny snad v každém vláknu nebo habrapostu s podobným tématem.

Co si přečíst na našem firemním blogu:

• Jak poskytovat bezplatné Wi-Fi podle zákona
• Výstřel do nohy nebo kritické chyby při výstavbě sítí telekomunikačních operátorů
• Implementace IPv6 – časté dotazy pro poskytovatele internetu

Zdroj: www.habr.com