20.10.2019 | Svátek má Vendelín


ROZHOVOR: Zařízení USA, které vás slyší...

22.2.2019

Stalo se to, co mnozí čekali: Čínská společnost Huawei vyhrožuje České republice žalobou, v rámci které by mohla chtít až 40 miliard Kč za poškození dobrého jména. Je podle vás možné, že argumentací, v rámci které bude operovat varováním našeho Národního úřadu pro kybernetickou a informační bezpečnost (NÚKIB), může Huawei dosáhnout svého?

K soudu můžete dát cokoliv, ale o našich čtyřicet miliard korun bych se v tomto případě nebál. Máme tu nějaký světový kontext a v něm se otázka důvěryhodnosti technologií značky Huawei řeší na daleko vyšší úrovni – mocensky i finančně – než je Česká republika. Hlavním důvodem, proč české úřady tuto otázku otevřely, jsou opatření, která proti Huawei uskutečňují mocnosti jako USA. To by případný soud samozřejmě bral v potaz.

Z hlediska čínského koncernu je pochopitelně hrozba ztráty přístupu na západní trhy velice palčivá, budou se snažit nějakými způsoby bránit; ale v konečné instanci je to politická otázka, ne justiční, i když soudy v ní sehrají také svoji roli.

Za zmínku by stála jedna příhoda. Krátce poté, co kanadské úřady v prosinci na žádost USA zatkly vysokou manažerku firmy Huawei jménem Meng Wan-čou, byl kanadský občan Robert Lloyd Schellenberg odsouzen při odvolacím procesu k trestu smrti za pašování drog. U první instance přitom dostal jenom patnáct let. Tou samou dobou byli v Číně zatčeni dva další Kanaďané, bývalý diplomat Michael Kovrig a obchodník Michael Spavor. Je možné, že si tímto způsobem Čína posiluje vyjednávací pozici. Osobně si ale myslím, že si tím vrátka ke kanadskému trhu spíše zavřeli.

Když se ohlédneme za celou tou anabází, kterou Česko zatím s Huawei prožívá: Bylo prokázáno, že zejména síťové výrobky Huawei odesílají tajným způsobem data do Číny? Či jde podle vás jen o to, že „věříme spojencům“, kteří to tvrdí?

Nejsilnější prokázaný incident není spojen přímo s Huawei, ale s jejich subdodavatelem, společností Shanghai AdUps Technology, která dodává software mimo jiné do telefonů ZTE a Huawei. Jejich software se oficiálně tváří jako automatická aktualizační služba, ale bezpečnostní firma Kryptowire ukázala, že sbírá data o poloze uživatele, jeho hovory, kontakty, SMS zprávy a historii prohlížení internetu a odesílá je do Číny. Firma AdUps přitom může na dálku telefon různými způsoby ovládat, třeba v něm mazat data nebo nahrávat zvuk v jeho okolí pomocí mikrofonu.

Nicméně to, co se řeší v souvislosti s Huawei dnes, není otázka koncových telefonů, ale páteřní infrastruktury pro budoucí sítě páté generace. Tam zatím nic jasně prokázáno nebylo, respektive takové informace nebyly zveřejněny. Z toho ale bohužel nemůžeme nic usuzovat; v případě, že orgány typu amerického ministerstva obrany objeví nějakou bezpečnostní slabinu, nikdy nevydávají detailní informace, pouze „všeobecná doporučení“.

Je ale třeba podotknout, že obava před vynášením dat není jediná, kterou dnes úřady řeší. Další potenciální riziko, které se přitom prokazuje extrémně těžko, je tzv. kill switch. Co to je? Kus kódu, který leží tiše a celé roky nic nedělá, dokud nedostane příkaz zvenčí. Pak systém „shodí“. Taková schopnost se v dobách míru nevyužívá, protože je velmi destruktivní, ale při válečném konfliktu se může hodit enormně. Vypnout mobilní síť byť jen v nějakém regionu může být účinným úderem. To je např. jeden z důvodů, proč se proti technologii Huawei tak silně staví Jižní Korea, která je stále technicky ve stavu války se svým sousedem, Severní Koreou (od roku 1953 platí jen příměří, dosud nebyla uzavřena mírová smlouva).

Britské bezpečnostní úřady ale před pár dny oznámily, že se domnívají, že případná zadní vrátka ve vybavení Huawei jsou z jejich hlediska „zvládnutelná“, čili že dokáží omezit případné škody.

Jak je to, prosím, s údajnou nenahraditelností Huawei, pokud jde o budování sítí 5G? A když už o nich mluvíme, čtenář jistě uvítá, když mu popíšeme, o co se vlastně jedná.

Všechno je nahraditelné, ale zaplatíte více peněz. Výrobky firem jako Ericsson a Nokia jsou o něco dražší než srovnatelné „železo“ se značkou Huawei.

Právě očekávané náklady jsou jedním z důvodů, proč řada evropských operátorů zaujala k tomuto tématu opatrný postoj. 5G sítě běží na jiných rádiových kmitočtech než dřívější technologie a samozřejmě proběhla aukce těchto kmitočtů, na které se státy jako Itálie rozhodly pořádně vydělat. Peníze zaplacené za licence jdou v jednotlivých zemích do miliard eur, a tyto sumy operátorům samozřejmě scházejí. Při výstavbě by tedy rádi ušetřili.

Druhá věc je, že Huawei má přeci jen v oblasti 5G náskok před konkurencí, takže dokáže dodat příslušné vybavení rychleji než ostatní firmy. To znamená z hlediska sítě 5G urychlení jejího spuštění třeba o rok.

Zastánci Huawei někdy argumentují tím, že i Američané provádějí mnohem masivnější odposlechy telekomunikací, a to i přímo mobilních telefonů. Do jaké míry měl pravdu Edward Snowden, pokud šlo o údajný program PRISM, prostřednictvím kterého se tajné služby USA mohly probourat do soukromých mobilních telefonů? Film o tom byl natočen zajímavý, ale do jaké míry přednesl Snowden spolehlivé důkazy?

Jsou lidi, kteří nevěří ani záběrům z přistání Apolla na Měsíci; s dostatkem podezřívavosti můžete prohlásit za nespolehlivé úplně všechno. Ale já považuji Snowdenovy informace za kvalitní a existenci programů typu PRISM beru jako hotovou věc. To je v bezpečnostních kruzích ten běžný postoj; ono to totiž jako celek dává smysl, politicky i technicky.

Co se rozsahu (masivnosti) takových operací týče, ten je omezen jedinou věcí: reálnými technickými možnostmi. A ty jsou dnes veliké. Nová budova NSA v Utahu, otevřená roku 2014, spotřebovává 65 megawattů elektřiny a počítače pro její vybavení stály 2 miliardy dolarů. To už je velká „sběrna“. Existuje také systém „Five Eyes“, kterého se účastní pět anglosaských mocností (Kanada, USA, Velká Británie, Austrálie a Nový Zéland). Ty si „pomáhají navzájem“. Například NSA nesmí ze zákona sledovat vnitrostátní komunikace uvnitř Spojených států amerických (je určena k zahraniční rozvědné činnosti), ale může tento úkol předat Britům, kteří jí pak dodají výsledky.

Lze říci, že s americkými páteřními technologiemi pro 5G nám hrozí, že místo Číňanů nás budou spíše slyšet Američané?

Budou? Já bych asi použil přítomný čas.

To samozřejmě záleží na tom, kdo jste. Běžný občan je nezajímavý, vysoký státní úředník už více, hlavně řeší-li takové věci, jako je dostavba JE Temelín, ve které „lítá“ pár set miliard korun a strategické závislosti na dodávkách technologií.

Ale obecně platí: nedokážete-li si postavit příslušnou infrastrukturu vlastními silami, vždy někomu pomyslně nastavujete krk. A pak už je jenom otázkou volby, komu. Samozřejmě se obecně vyplatí zvážit při takovém rozhodnutí, jaké zájmy sledují ty které státy a jak moc se přitom s našimi státními zájmy dostávají do konfliktu.

Patří mezi to samozřejmě i ekonomická špionáž. Nemusíte být vysloveně politický nepřítel, aby vaše tajemství byla pro jinou zemi zajímavá. Taková konkurence mezi Airbusem a Boeingem je příkladem toho, kdy státy pomáhají „svým“ firmám – penězi i špionáží.

Existuje nějaký nezávislý a 100% spolehlivý dodavatel oné infrastruktury, o kterém budeme moci nepochybovat, že by nás vydal na milost k odposloucháváni té či oné velmoci? Jak by mohl stát, popřípadě mobilní operátoři postupovat, aby maximálně zajistili, že občany a zejména státní infrastrukturu nevydají na pospas „uším“ velmocí?

Ne, to je beznadějný úkol. Něco takového by snad mohly společnými silami vytvořit všechny průmyslově vyspělé země dohromady – mezinárodní technický tým, kde nikdo nedůvěřuje nikomu a všichni se dívají těm druhým na prsty, takže propašovat do designu nějaká zadní vrátka je vyloučeno.

U stávajících řešení lze samozřejmě provést nějaký audit momentálního stavu, je-li dodavatel ochoten spolupracovat. Bezpečnost ale není stav, bezpečnost je proces. Patří k ní aktualizace (updaty). A jak včas a efektivně auditovat všechny budoucí aktualizace? To je nemožný úkol.

Jak jsem říkal výše: proti dodavateli své infrastruktury jste z principu ve zranitelném postavení. Je dobré s tím počítat a pro komunikaci o utajovaných skutečnostech běžný mobil prostě nepoužívat. Šifrovacích přístrojů je pro tyto účely na světě dost.

Ptal se Jaroslav Polanský, PL, 18.2.2019

****************************************
ZAPOMENUTÉ PŘÍBĚHY
Toto je kniha nejen čtivá, ale hlavně chytrá. Škoda, že se nepředčítá na středních školách. Ve spoustě okamžiků stáli lidé jako my před složitými rozhodnutími. Jejich zapomenuté příběhy sepsal Marian Kechlibar a my se z nich můžeme poučit i dnes.
Objednat si ji můžete na této adrese.

Zapomenuté příběhy1



KRUTÁ REALITA: První měsíce po porodu byly peklo
KRUTÁ REALITA: První měsíce po porodu byly peklo

Měli jste možnost si přečíst o mém porodu a o pobytu v porodnici na šestinedělí. Nyní bych chtěla rozvést poslední a nejtěžší část mého příběhu. První půlrok mého mateřství.






 Neviditelný pes
Toto je DENÍK: do sítě jde obvykle nejpozději do 8.00 hod. aktuálního dne. Pokud zaspím, opiji se, zešílím nebo se zastřelím, patřičně na to upozorním - neboť jen v takovém případě vyjde Pes jindy, eventuálně nikdy.
Šéfredaktor Ondřej Neff (nickname Aston), příspěvky laskavě posílejte na adresu redakce Jiřímu Wagnerovi, redaktorovi NP (nickname JAG). Rubriku Zvířetník vede Lika.