Z kupnem Pegasusa przez Polskę jest trochę jak z zakupem sprawnego czołgu przez zwykłego obywatela. Zabawka fajna, ale jakakolwiek próba użycia zgodnie z przeznaczeniem oznacza problemy przed sądem.
Nie wystarczy wydać miliony na system podsłuchowy – warto przed jego wdrożeniem dostosować przepisy, by można go było w ogóle legalnie używać. O to jednak najwyraźniej nie zadbano. Być może przyczyną było przekonanie, że Pegasus jest niewidzialny, niewykrywalny, a jego użycie nie do udowodnienia. Historia jednak pokazała, że jest nieco inaczej. A nawet bardzo inaczej.
Nie jestem prawnikiem. Nie mam nawet biurka z ciemnego drewna i regału książek za plecami. Spędziłem za to pół zawodowego życia, zajmując się m.in. kontrolą operacyjną oraz tłumaczeniem przepisów informatykom i technologii prawnikom. Teraz spróbuję zrobić jedno i drugie naraz. Poniżej pięć głównych powodów, dla których moim zdaniem użycie Pegasusa było, jest i będzie w Polsce nielegalne.
Powód nr 1: brak uprawnień do włamywania się do urządzeń obywateli
Wnioski o kontrolę operacyjną prowadzoną za pomocą Pegasusa cytują punkt 4 ustępu 5 artykułu 17 ustawy o CBA, mówiący o tym, że kontrola operacyjna polega m.in. na „uzyskiwaniu i utrwalaniu danych zawartych w informatycznych nośnikach danych, telekomunikacyjnych urządzeniach końcowych, systemach informatycznych i teleinformatycznych”. Ani w tym artykule, ani w całej ustawie nie ma żadnego uprawnienia do przełamywania zabezpieczeń urządzeń końcowych w celu uzyskania do nich dostępu – a to kluczowy element Pegasusa, bez którego nie może dostać się na telefon osoby, wobec której kontrolę zarządzono.
Zapewne prawnicy mogą długo dyskutować o tym, czy takie uprawnienie nie wynika pośrednio z ww. przepisów, ale w mojej ocenie to tak daleko idące naruszenie praw i wolności jednostki, że powinno być wprost wskazane w przepisach.
Co także nie bez znaczenia, np. ustawa o ABW przewiduje (w art. 32a) posiadanie i używanie przez ABW programów komputerowych służących do przełamywania zabezpieczeń, ale wyłącznie w celu określania podatności ocenianych systemów informatycznych. CBA nie posiada nawet takiego uprawnienia.
Powód nr 2: sięganie po dane starsze niż dzień zarządzenia kontroli operacyjnej
Standardową funkcją Pegasusa jest możliwość pobrania całej dostępnej na urządzeniu historii korespondencji. Takiego działania nie przewidują w ogóle przepisy dotyczące kontroli operacyjnej, która zarządzana jest na okres 3 miesięcy (z opcją przedłużenia) wyłącznie od dnia zarządzenia. Żaden przepis nie przewiduje sięgania do danych archiwalnych. Jak mogą wyglądać takie nadużycia? Np. według raportu komisji senackiej z telefonu Krzysztofa Brejzy wydobyto 80 000 wiadomości z lat 2010–2019.
Powód nr 3: brak uprawnień do modyfikowania ustawień urządzenia
To jeden z najbardziej kontrowersyjnych aspektów używania Pegasusa. Choć znane nam jego oferty czy umowy nie opisują funkcji tworzenia plików czy wiadomości na kontrolowanym urządzeniu, to pozwala on na wprowadzanie zmian w sposobie działania urządzenia, np.:
- umożliwia włączenie usługi GPS nawet, gdy użytkownik ją wyłączył,
- blokuje możliwość aktualizacji oprogramowania (m.in. narażając użytkownika na ataki złośliwego oprogramowania innych producentów, które mogły być uniemożliwione poprzez aktualizację),
- potrafi aktywować kamerę lub mikrofon – choć CBA jest uprawniona do prowadzenia kontroli operacyjnej w formie uzyskiwania i utrwalania obrazu lub dźwięku, to przepis nie mówi o użyciu w tym celu cudzego urządzenia.
Może także, na żądanie operatora, przesyłać zebrane dane przez sieć komórkową, np. w roamingu lub poprzez wiadomości SMS, generując dodatkowe koszty.
Żadne przepisy nie przewidują możliwości używania takiego zakresu funkcji. Co więcej, nie bez powodu biegli, badając np. zatrzymane nośniki danych, używają tzw. blokerów zapisu, by w żaden sposób nie wpłynąć na zawartość danych. Pegasus nie ma takiej funkcji.
Powód nr 4: brak akredytacji systemu do przetwarzania informacji niejawnych
Art. 48 ustawy o ochronie informacji niejawnych wprost wskazuje, że systemy przetwarzające informacje niejawne podlegają akredytacji. Oznacza to, że ABW (lub SKW) musi przeanalizować działanie systemu – od jego architektury, przez kod źródłowy, po model wdrożenia i określić, czy system gwarantuje integralność i poufność przetwarzanych informacji. Pegasus najwyraźniej nie przeszedł procesu akredytacji. Skąd o tym wiem? Przymierzałem się kiedyś do akredytacji zagranicznego systemu podsłuchowego. W przypadku platformy kupowanej od zagranicznego dostawcy jest to praktycznie niemożliwe. Po pierwsze, system mogą obsługiwać wyłącznie osoby z odpowiednim poświadczeniem bezpieczeństwa – a osobom bez polskiego obywatelstwa raczej się ich nie wydaje (ustawa przewiduje wyjątki, ale według mojej wiedzy nie są one stosowane wcale albo ekstremalnie rzadko), zatem jakiekolwiek wsparcie producenta byłoby niemożliwe. Po drugie, proces akredytacji obejmuje dostęp do całości kodu źródłowego platformy. Według mojej wiedzy NSO nigdy nie udostępniło kodu źródłowego swojego produktu, o exploitach nie wspominając. Po trzecie, dane zbierane i przetwarzane powinny nie opuszczać infrastruktury kontrolowanej przez użytkownika systemu, a Pegasus korzystał do transmisji z Pegasus Anonymizing Transmission Network (PATN), czyli sieci serwerów rozsianych po całym świecie, kontrolowanych przez NSO, co uniemożliwia jego akredytację przez ABW.
W przepisach regulujących ochronę informacji niejawnych istnieje furtka umożliwiająca używanie systemów bez akredytacji ABW (akredytować system może także kierownik jednostki), ale tylko w przypadku, gdy informacje w nich przetwarzane nie mają klauzuli wyższej niż „zastrzeżone”. Choć nie istnieją przepisy określające klauzulę informacji związanej ze stosowaniem kontroli operacyjnej, trudno sobie wyobrazić, by informacje o użyciu Pegasusa i dane za jego pomocą uzyskane miały klauzulę niższą niż „poufne” – a to już wymaga akredytacji systemu.
Powód nr 5: dostęp nieautoryzowanych podmiotów do informacji o podmiotach kontroli operacyjnej
Wokół tego tematu narosło także sporo kontrowersji. Czy NSO wiedziało, kto był podsłuchiwany? Czy miało dostęp do przechwyconych danych? Według dostępnych informacji (m.in. opisów architektury systemu) dane, wykradane z telefonów osób podsłuchiwanych, nie trafiały w ręce NSO. Serwery, na które docelowo docierały zebrane dane, znajdowały się w siedzibie CBA. Połączenie między telefonem osoby podsłuchiwanej a serwerami CBA było zaszyfrowane i uwierzytelnione. Choć przechodziło przez kilka serwerów pośredniczących (PATN), raczej na tym etapie nikt nie powinien móc zapoznać się z przesyłanymi treściami.
Niestety na tej informacji kończą się dobre wiadomości. Te same dokumenty architektury wskazują, że w samym momencie infekcji narzędzia umożliwiające włamanie na telefon (exploity) wysyłane były z infrastruktury NSO. Tak samo działał Hacking Team, tak samo działa Predator. Exploity to najcenniejszy (i najbardziej niebezpieczny) zasób NSO, a nie daje się małpie brzytwy do ręki. Wszystko wskazuje zatem na to, że NSO miało pełną kontrolę nad serwerami przetwarzającymi informacje o celach infekcji i mogło znać numery telefonów ofiar. Sam prezes NSO w wywiadzie dla Die Zeit potwierdził, że NSO ma informacje o każdym przypadku użycia Pegasusa. To informacje niejawne, które nigdy nie powinny trafić w ręce osób bez poświadczenia bezpieczeństwa.
Inne okoliczności
Wymienione wyżej powody nie wyczerpują listy problemów z używaniem Pegasusa w Polsce. Jednym z ciekawych zagadnień jest wymóg subsydiarności, czyli konieczność wyczerpania innych metod dotarcia do faktów przed zastosowaniem tej najbardziej inwazyjnej. Czy była dochowana we wszystkich przypadkach? Tego nie wiemy.
Drugim poważnym problemem jest brak faktycznej, niezależnej kontroli nad stosowaniem tego typu narzędzi. Kontrola sądu w wielu przypadkach wydaje się iluzoryczna, a brak obowiązku informowania podmiotów kontroli nawet długo po jej zakończeniu (Krzysztof Brejza do tej pory nie był nawet przesłuchany) tworzy spore pole do nadużyć.
Nie jestem przeciwnikiem posiadania przez Polskę tego rodzaju narzędzi. Uważam, że są one niezbędnym dzisiaj elementem arsenału organów ścigania, który powinien być używany wobec autorów poważnych przestępstw. Należy jednak zapewnić odpowiednie ramy prawne ich używania oraz nadzór nad ich stosowaniem – bo z wielką mocą wiąże się wielka odpowiedzialność.
Dalsza lektura
Jeśli dla odmiany chcecie przeczytać opinie prawdziwych prawników, to polecam poniższe linki.
- Opinia dra Pawła Litwińskiego, omawiająca kwestię ochrony danych osobowych w kontekście działań CBA, wskazująca na sprzeczność przepisów krajowych z dyrektywą DODO (takie RODO, tylko w kwestii dostępu służb) oraz Kartą Praw Podstawowych UE.
- Ekspertyza prawników UJ w zakresie dopuszczalności nabycia i używania Pegasusa.
- Raport końcowy z prac komisji Senatu (szczególnie część 2).
- Sprawozdanie komisji Parlamentu Europejskiego w sprawie Pegasusa.
- Zalecenia Parlamentu Europejskiego w sprawie Pegasusa.
- Orzeczenie Sądu Apelacyjnego we Wrocławiu dotyczące prawdopodobnego zastosowania Pegasusa.
A jeśli interesuje was, jak działa Pegasus, to najlepsze kompedium wiedzy (w postaci nagrania prawie trzygodzinnego webinaru i zaproszenia na dwa kolejne) znajdziecie pod tym linkiem.
Komentarze
Zapomniales wspomniec o:
1. Kryminalizowaniu przeciwnikow politycznych przez 8 lat kadencji pisu
2. Wrabaniu ludzie w przestepstwa poprzez podkladaniu im brudow na telefonach, dokumentowaniu i zacieraniu sladow – przedluzanie 3 miesiecznego okresu w nieskonczonosc
3. Akcjach przygotowawczych do morderstw niewygodnych ludzi
4. Akcjach przygotowawczych do wlamow i kradziezy
5. Inwigilowaniu ludzi do analizy rynku i podejmowania strategii finansowych
6. Inwigilowaniu zza granicami panstwa
7. Doprowadzaniem do uszkodzen mozgu dzwiekiem podczas snu (inna forma morderstwa)
I nie, to nie jest zmyslone :)
> 7. Doprowadzaniem do uszkodzen mozgu dzwiekiem podczas snu (inna forma morderstwa)
> I nie, to nie jest zmyslone :)
Ciekawe… Można gdzieś o tym poczytać?
Nie, to nie jest zmyslone, to tylko, w wiekszosci podpunktow, twoja schizofrenia.
Fajnie, że macie nową skórkę na stronie, ale zróbcie jeszcze jasny motyw (z jasnym tłem i ciemnym tekstem), bo nadal nie da sie was czytać w ciągu dnia.
Ctrl+A – zaznacz cały tekst i czytaj.
Firefox i Edge mają Reader Mode, polecam. Do Chrome pewnie jest jakaś wtyczka która robi to samo.
https://chromewebstore.google.com/detail/postlight-reader/oknpjjbmpnndlpmnhmekjpocelpnlfdi
Dla Firefoxa: https://addons.mozilla.org/pl/firefox/addon/super_dark_mode/
Tak z ciekawości: czy kraje typu USA, Niemcy, UK, Izrael… mają to lepiej osadzone w swoim prawie? Czy zwyczajnie nie mają na swoim koncie wpadek z nieetycznym/nielegalnym użyciem wobec opozycji politycznej, więc nikt się nie czepia?
Skupiamy się na PL, a to nie jest cały świat. Premier Hiszpanii Sanchez przez dwa lata podsłuchiwany był przez Maroko przy pomocy Pegasusa. Co robił tamtejszy kontrywiad, prócz tego że istniał, nie wiadomo. Tamtejsza prasa opozycyjna pisze, że Sanchez podejmowal później dziwne decyzje i zbieżne z interesami Maroka.
Czy auto może się odnieść do artykułu https://www.rp.pl/sluzby/art39957811-cala-prawda-o-pegasusie-jak-dzialal-jakich-materialow-dostarczal-kogo-podsluchiwano
Wszystko, co miałem do powiedzenia, zawarłem w swobodnej części mojej wypowiedzi.
Ja mogę tylko od siebie dodać, że ten artykuł w „Rz” wygląda na próbę wybielenia się przez CBA. Już lata temu kluczyli w tej sprawie, nie potwierdzając i nie zaprzeczając faktowi używania systemu Pegasus, wypuszczając tylko zapewnienia kompletnie nie na temat o nieposiadaniu „systemu do masowej inwigilacji”: https://web.archive.org/web/20230927073646/https://www.cba.gov.pl/pl/aktualnosci/4207,Oswiadczenie-CBA.html
A tymczasem problem dotyczny nie żadnej „masowości” inwigilacji, a jej słuszności, legalności i zakresu. Tekst CBA był typowym mydleniem oczu.
Tak może być i teraz, bo artykuł w „Rz” zawiera zapewnienie, że „nie podglądano zdjęć w pamięci telefonu” jako niby rzecz zbyt ingerującą w prywatność. Być może tak było, ale szalenie trudno temu wierzyć, gdy i CBA, i inne służby bez żadnych ograniczeń kopiują (z blokerem) zawartość telefonów osób podejrzanych, a tam są i zdjęcia, i mogą być usunięte zdjęcia, usunięte wiadomości i mnóstwo innych danych. Nagła troska o prywatność brzmi bardzo, ale to bardzo podejrzanie.
O prawie zupełnym w – nie tylko polskich – służbach braku refleksji nad zakresem i trybem zezwalania na kontrolę operacyjną można pisać całe tomy. Wystarczy poczytać aroganckie odpowiedzi SKW na pytania fundacji „Panoptykon” – kult tajności w stylu Dzierżyńskiego ma się tam, niestety, bardzo dobrze.
A tutaj jeszcze jeden artykuł w Rzeczpospolitej z lamentami, że służby nie mogą wypełniać swoich zadań, bo nie mogą czytać szyfrowanej korespondencji:
https://www.rp.pl/polityka/art39974391-czy-polska-bedzie-bezbronna-glucha-i-slepa-sluzby-bez-programu-deszyfrujacego
Byli „rewizorzy” w służbach: Mariusz Kamiński i Maciej Wąsik oraz propisowski dziennikarz Piotr Nisztor nie mówią o Pegasusie inaczej jak „oprogramowanie deszyfrujące”. To jest nie tylko nowomowa jak u Orwella, by złośliwe oprogramowanie nazywać „deszyfrującym”, ale i sianie zamętu w umysłach nietechnicznych ludzi, że niby konwersacje zabezpieczone szyframi Rijndael czy ChaCha można „deszyfrować”.
+1
.
Warto przeczytać o czym wygadał się – tylko pozornie sprytny – załgany dziad:
https://wyborcza.pl/7,75398,30801861,czym-jest-antyrzeczywistosc-o-ktorej-mowil-kaczynski-i-antyrzeczywistosc.html
A dla osłody, przeczytajcie o piramidzie podsłuchów i haków i o tym, że karma wraca:
https://www.polityka.pl/tygodnikpolityka/rynek/2249185,1,tasmy-pluskwy-i-podsluchy-nisztor-u-obajtka-czyli-czysta-pisowska-poddywanowa-jatka.read
Nie zgodzę się z Powodem nr 1. Forma kontroli operacyjnej to m.in. podsłuch telefonu, czy podsłuch pomieszczenia. Później mamy metody, które są niejawne. Jeżeli jednak się zastanowić, to w podsłuchu pomieszczenia takiego jak mieszkanie lub firma, uruchomienie kontroli może wiązać się z przełamywaniem zabezpieczeń, a również nie znajdziemy szczegółów w ustawie.
„Ani w tym artykule, ani w całej ustawie nie ma żadnego uprawnienia do przełamywania zabezpieczeń urządzeń końcowych w celu uzyskania do nich dostępu” ponieważ ustawa nie określa metod tylko formę.
Wszystko ok, z wyjątkiem punktu 4.
„Ten margines jest za mały, aby zmieścił się mi na nim dowód”, więc tylko pokrótce:
1/ to że jakaś informacja nie jest jawna, to nie znaczy że jest Niejawna w zrozumieniu Ustawy (o informacjach niejawnych). Jest dużo obszarów zarówno w gospodarce jak i w Państwie, gdzie stosuje się informacje bardzo sekretne, które nie mogą wyciec, ale które wcale nie są informacjami Niejawnymi (w rozumieniu Ustawy). I do przetwarzania takich informacji sekretnych system nie musi mieć akredytacji.
2/ Nawet gdyby jednak Pegasus miał przetwarzać informacje Niejawne (w rozumieniu Ustawy), czyli na przykład tzw. „zetkę” (Zastrzeżone) albo nawet Poufne czy Tajne, to jego akredytacja niekoniecznie jest taka skomplikowana. W obszarze wojskowym jest fura oprogramowania przetwarzająca dane aż do Tajne czy nawet NATO Secret, gdzie nasze służby nie mają wjazdu do kodów źródłowych (np. software wewnątrz F16. Albo na okręcie. Albo w radarze). Więc da się to zrobić i nie jest to jakoś specjalnie trudne (bo czym innym jest oprogramowanie a czym innym dane!).
Generalnie nikt nie może mieć na swoim telefonie, połączonym do internetu informacji Niejawnych. Po prostu nie wolno. Więc Pegasus takich informacji czytać nie może bo ich tam nie ma. Jest różnica między faktem, że u kogoś jest kontrola (co mogę sobie wyobrazić jest Niejawne) a danymi z tej kontroli (co jest tylko sekretne, a niekoniecznie Niejawne).
fajnie wyjaśnione
A pan Maciej i Mariusz mówią, że wszystko było zgodnie z prawem https://youtu.be/bYaAx-PbJ3M
O kłamstwach, manipulacjach i istotnych niedopowiedzeniach w zalinkowanym wyżej wystąpieniu Wąsika i Kamińskiego można napisać co najmniej pracę magisterską o manipulacji słuchaczami. Topornej, ale obawiam się, że skutecznej z braku wiedzy prawniczej i technicznej u dużej części populacji.
I nie, to że byli kiedyś skazani za przekroczenie uprawnień akurat nie ma nic wspólnego z bzdurami, które nam usiłują na tej konferencji wciskać.
„A pan Maciej i Mariusz mówią, że wszystko było zgodnie z prawem”.
Nie zapytali kazdego ważnego i drogiego prawnika w Polsce, no i mnie nie zapytali. Bezczelni. :)
Niektóre kłamstwa Wąsika i Kamińskiego są ewidentne – by je dostrzec, wystarczy ustawy przeczytać.
Poza legalnością jest jeszcze słuszność. Są w ustawach o służbach przepisy, które legalizują niektóre z nich działań, ale to nie znaczy, że te uprawnienia są słuszne. Ani to, że w konkretnej sprawie zostały słusznie użyte.
Myślącego człowieka w naszej cywilizacji nie może satysfakcjonować stwierdzenie „to jest legalne”. Zwłaszcza, gdy dotyczy przymusowego wtrącania się funkcjonariuszy państwowych w prywatne, a czasem intymne, życie ludzi – niezależnie od tego, o jak ciężkie przestępstwa byliby podejrzewani.
Przy podsłuchu i podglądzie pokojowym (legalne za zgodą sądu) uzyskane dane bywaja znacznie bardziej treściwe i szczegółowe niż w przypadku Pegasusa. Policjant ma zamknąc oczy? Przy tajnym lub jawnym przeszukaniu mieszkania (też za zgoda sądu) można podrzucic wszstko, nie tylko zdjecia ale narkotyki i broń. Nie wolno tego robić, mimo że teoretyczna możliwość istnieje. Szok ok. 1997 roku poległ na tym, że założenie podsłuchu gangsterom przynosisło taki oto efekt w postaci podsłuchu telefonu stacjonarnego: „Oddzwoń na komórkę”, nic więcej. Policja nie miała wóczas możliwości podsłuchu sieci GSM, o czym bandyci widzieli. To się wkrótce zmineiło i też wiązało się szokiem, bo można było, na przykład, niemal wszędzie umieścić fałszywego BTS-a. I też obrońcy praw człowieka szaleli, no jak tak można?
Co ty tworzysz C/FA??? „Przy tajnym lub jawnym przeszukaniu mieszkania (też za zgoda sądu) można podrzucic wszstko . . .” Czyżbyś tkwił w epoce minionej? Z tego co wiem obecnie nie ma takich unormowań prawnych pozwalających na niejawne przeszukanie. Ponadto do przeszukania nie jest potrzebna zgoda sądu tylko nakaz prokuratora lub zatwierdzenie czynności przeszukania przez prokuratora.
Druga sprawa to – „można było, na przykład, niemal wszędzie umieścić fałszywego BTS-a.” Pierwsze urządzenia typu IMSI-catcher zaprezentowała firma Rohde & Schwarz w 1996 roku. Kolejne modele dawały nowe możliwości zastosowania. Nie wiem, jak służby specjalne, ale policja nie miała możliwości wykorzystania tego systemu do podsłuchów – tylko podstawowe funkcje tj. lokalizacja aparatu, rejestracja numerów IMSI i IMEI.
Odnoszę wrażenie, że słyszysz, że dzwonią tylko nie wiesz w którym kościele albo masz wiedzę z ubiegłego wieku.
„Czyżbyś tkwił w epoce minionej?” – nie ma to jak mentalnosc dziecka.
A ja się przyczepię do niefortunnego obrazka wyróżniającego artykuł.
Na zdjęciu jest jednorożec. Pegaz to koń ze skrzydłami ale nie ma rogu.
Gadzinowka straszy Hermesem, aby wypromowac Pegasusa – ze niby on jest bardziej „prawilny i demokratyczny”. Wystarczy sprawdzic, kto finansowo stoi za gadzinowka i Pegasusem, aby miec pelna jasnosc sytuacji. I tak, to ten sam kraj. Jeszcze jakies pytania?
„Np. według raportu komisji senackiej z telefonu Krzysztofa Brejzy wydobyto 80 000 wiadomości z lat 2010–2019” fenomenalna lektura. Zachodzę w głowę jakie to dowody działania Pegasus przedstawili inwigilowani politycy ? Raport jest totalną bzdurą, tak jak życie polityczne w tym kraju, więc powoływanie się na takie „dokumenty” jest żartem
Nie badz naiwny. Takie systemy sa nie po to, aby uwalic jakiegos polityka, a po to aby, trzmac go za morde. Przeciez to towarzystwo jest w 100% umoczone. Tu nie chodzi o walke o „wolnosc i demokracje” dla frajerow przed TV, a podporzadkowanie kazdego z osobna. Jak zwykle.