Bezpieczne komunikatory w polskich służbach – śmiać się czy płakać

dodał 3 stycznia 2020 o 07:07 w kategorii Info, Prywatność  z tagami: • • • •
Bezpieczne komunikatory w polskich służbach – śmiać się czy płakać

Żołnierze na poligonie używający Vibera, dziesiątki, jak nie setki grup policyjnych na WhatsAppie, strażacy jadący na Signalu – tak dzisiaj wygląda rzeczywistość komunikacji polskich służb. Obraz trochę straszny, trochę śmieszny i dość niepokojący.

W ostatnich miesiącach pojawiło się w oficjalnym obiegu kilka pism wytykających niebezpieczne praktyki funkcjonariuszy różnych służb. Pisma wystosowały SKW do MON, MSWiA do podległych służb, Komendant Straży Pożarnej do podległych jednostek. Wszyscy wskazywali, że używane obecnie szyfrowane komunikatory są be – ale nikt nie ma pomysłu, czym je zastąpić.

Pisma, pisma, wszędzie pisma

TVN24 dostał w swoje ręce pismo wysłane przez Służbę Kontrwywiadu Wojskowego w sprawie używania komunikatorów w Resorcie Obrony Narodowej. Cytujemy treść dokumentu:

W związku z realizacją ustawowych zadań Służby Kontrwywiadu Wojskowego informuję, że wykorzystywanie komunikatorów internetowych (np. WhatsApp, Viber) przez kadrę i pracowników Resortu Obrony Narodowej w celach służbowych nie zapewnia bezpieczeństwa korespondencji. Pragnę nadmienić, że dane o użytkownikach komunikatorów oraz treści rozmów przechowywane są na serwerach usługodawcy (zazwyczaj zagranicznego), co powoduje, że oferowane przez producentów poufność jest pozorna. Powszechnie uważane za zapewniające prywatność komunikatory zbierają dane użytkowników, które następnie wykorzystywane są w celach marketingowych. Przedmiotową informację przesyłam celem służbowego wykorzystania w zakresie właściwego postępowania z informacjami służbowymi.

Odejdźmy na chwilę od celu ogólnego pisma i przyjrzyjmy się jego twierdzeniom – a warto, bo niektóre są kuriozalne.

treści rozmów przechowywane są na serwerach usługodawcy (zazwyczaj zagranicznego), co powoduje, że oferowane przez producentów poufność jest pozorna

Aż wierzyć się nie chce, że profesjonalny podmiot powołany do ochrony polskich informacji wojskowych, jakim jest SKW, używa tak mylnych twierdzeń. Zarówno Viber, WhatsApp, jak i liczne inne popularne komunikatory używają szyfrowania end-2-end, co oznacza, że bez przejęcia kontroli nad jednym z „rozmawiających” urządzeń (lub nad użytkownikiem) nie sposób poznać treści przesyłanych wiadomości. Twierdzenie zatem, że „treść rozmów przechowywana jest na serwerach”, jest w najlepszym przypadku bardzo mylące (bo treści mogą być przechowywane w formie zaszyfrowanej, uniemożliwiającej ich odczytanie przez dostawcę, w celu późniejszego doręczenia) lub wprost kłamstwem.

Powszechnie uważane za zapewniające prywatność komunikatory zbierają dane użytkowników, które następnie wykorzystywane są w celach marketingowych.

Ten akapit jest zaskakujący. Załóżmy nawet, że informacja o tym, jak często ktoś się z kimś komunikuje (to raczej maksimum informacji pozostającej w niektórych przypadkach na serwerach dostawców bezpiecznych komunikatorów), może być użyta do celów marketingowych, to gdzie w przepisach o SKW mowa o tym, że ma chronić polskich żołnierzy przed zbieraniem ich danych w celach marketingowych? Zrozumielibyśmy, gdyby powoływano się na naruszenie prywatności mogące prowadzić do ujawnienia tajemnic państwowych, ale czy to jest służba powołana do zwalczania marketingu? Komedia.

To nie jedyne pismo w tej sprawie. Istnienie kolejnego (a nawet dwóch) ujawnia serwis CyberDefence24.pl. Pisze on, że Komendant Główny Państwowej Straży Pożarnej ostrzegł w listopadzie swoich podwładnych przed „używaniem popularnych komunikatorów internetowych, które mogą stanowić realne zagrożenie dla bezpieczeństwa przesyłanych informacji”. Co ciekawe, komendant rzekomo powołuje się przy tym na pismo Inspektora Nadzoru Wewnętrznego MSWiA dotyczące „nagminnego wykorzystywania komunikatorów internetowych tj. WhatsApp, Viber i Signal do przesyłania informacji służbowych w tym danych osobowych”. Niestety samej treści owych pism nie ujawniono. Widać jednak, że pod koniec 2019 w polskich służbach temat bezpieczeństwa komunikacji został zauważony. Przyjrzyjmy się zatem problemowi.

Donald Trump i jego łączność stacjonarna – jeden model do rozmów jawnych, jeden do niejawnych

Co z tymi komunikatorami

Problem komunikatorów w polskich służbach istnieje – chociaż nie ten, który jest opisywany w wyżej cytowanych pismach. Na rynku są bezpieczne komunikatory, które zapewniają poufność komunikacji i minimalizują przechowywane metadane do absolutnego minimum. Dobrym przykładem może być Signal i jego rozwiązania zapewniające, że nawet administrator serwera nie może poznać wielu informacji o swoich użytkownikach. Taki komunikator gwarantuje poziom bezpieczeństwa, poufności i prywatności, jaki można osiągnąć, korzystając z rozwiązania dostarczanego i obsługiwanego przez zewnętrzny podmiot. Nie jest to jednak poziom, który powinno akceptować polskie państwo.

Jesteśmy pewni, że liczne informacje poufne, chronione na podstawie różnych przepisów, są regularnie przesyłane przez funkcjonariuszy polskich służb za pomocą Signala czy WhatsAppa. Tak zdecydowanie nie powinna wyglądać służbowa komunikacja w policji, wojsku czy straży pożarnej. Dlaczego zatem wszyscy używają publicznie dostępnych komunikatorów? Odpowiedź jest tak samo prosta, jak i smutna. Polska nie ma żadnego oficjalnego narzędzia do komunikacji, które byłoby wygodne, praktyczne i jednocześnie bezpieczne.

Kilka lat temu powstał system rządowej bezpiecznej łączności CATEL, jednak podobno nawet jego twórcy nie używają go zbyt chętnie. Jeśli wierzyć nieoficjalnym przeciekom, telefony w tym systemie nie mają dostępu do internetu, system nie jest od paru lat rozwijany, a same urządzenia pochodzą z poprzedniej epoki. Dodajmy do tego powszechne przekonanie, że ABW cały system podsłuchuje – i mamy jedną wielką porażkę wdrożenia. Ciekawostką jest też fakt, że jeden z byłych pracowników ABW, który opowiadał w prasie w 2011 roku o funkcjach systemu CATEL i był m.in. ekspertem ds. bezpieczeństwa łączności rządowej, został w 2019 zatrzymany przez ABW z zarzutami o szpiegostwo. Nie należy się zatem dziwić funkcjonariuszom, że nie mając służbowych narzędzi do skutecznej komunikacji, korzystają z tego, co mają, by jakoś swoją pracę i wymianę informacji organizować. I żadne pisma, choćby nawet podpisał je sam prezydent, tego nie zmienią.

PS. Jeśli ktoś z was widział podobne pisma i może się podzielić swoją wiedzą, to oczywiście gwarantujemy anonimowość.

Aktualizacja 1

W związku z pytaniami „to jak ten problem rozwiązać” – zapewne dla komunikacji nie objętej klauzulami wystarczy zrobić podobnie jak Francja (Tchap) czy Indie (GIMS). Do objętych klauzulą jest CATEL…

Aktualizacja 2

Spływa do nas wiele ciekawych wiadomości z wiarygodnych źródeł. Nie wszystko możemy publicznie ogłosić, ale temat bezpiecznej komunikacji to kopalnia ciekawych i często smutnych historii. Chętnych zapraszamy do poszukania informacji o losach polskiej firmy TechLab 2000, autorów systemu SYLAN oraz telefonów szyfrujących Xaos Gamma czy Krypton.

Aktualizacja 3

Dowiedzieliśmy się także, że główny administrator systemu CATEL jest de facto jedyną osobą w ABW zarządzającą całym środowiskiem i dysponującą umiejętnościami zapewniającymi jego funkcjonowanie. Trzymamy kciuki za jego zdrowie i chęć do pracy…

Podobne wpisy