Hillary Clinton i serwer tajemnic, czyli po co komu służbowa skrzynka pocztowa

Hillary Clinton, w latach 2009 – 2013 amerykański sekretarz stanu, odpowiednik naszego ministra spraw zagranicznych, w pracy korzystała wyłącznie ze swojej prywatnej skrzynki pocztowej na swoim domowym serwerze.

Wyobraźcie sobie np. artykuł w Rzeczpospolitej o tym, że Radek Sikorski jako minister spraw zagranicznych korzystał z domowego serwera pocztowego i adresu [email protected]. Skala afery jest trudna do wyobrażenia – złamane ustawy, rosyjscy szpiedzy, zdrada stanu i kompromitacja na arenie międzynarodowej. Tymczasem w analogicznej sytuacji w USA zaczęło się od rozważań o ewentualnych problemach związanych z dostępem do informacji publicznej a dyskusja o bezpieczeństwie informacji toczy się głównie w gronie specjalistów.

Przypadkowe odkrycie

Od 2012 w USA prowadzono śledztwo w sprawie wydarzeń w Benghazi, gdzie zginął ambasador USA w Libii. Wśród dokumentów przekazanych śledczym zabrakło oficjalnej korespondencji sekretarz stanu. Kilkaset emaili trafiło do śledczych dopiero w zeszłym miesiącu. 2 marca The New York Times ujawnił, że powodem takiego stanu rzeczy było to, że Hillary Clinton nigdy nie korzystała ze służbowej poczty elektronicznej Departamentu Stanu. Zamiast tego przez 4 lata pełnienia swojej funkcji używała wyłącznie prywatnej skrzynki pocztowej.

W USA przepisy federalne nakazują przekazywanie do państwowych archiwów całej oficjalnej korespondencji zarówno pisemnej jak i elektronicznej (za wyjątkiem materiałów objętych klauzulą tajności). Czy żona byłego prezydenta USA je złamała? Niekoniecznie, ponieważ szczegółowe wytyczne, wskazujące na pocztę elektroniczną jako objętą regulacją, weszły w życie dopiero po jej ustąpieniu ze stanowiska. Rzecznik Clinton dodatkowo tłumaczył, że korespondując z urzędnikami zakładała ona, że jej korespondencja jest utrwalana po stronie odbiorcy, tym samym spełniając kryteria retencji. Tłumaczenie dość naiwne, ponieważ część korespondencji musiała być kierowana do innych krajów lub osób spoza administracji rządowej. W sumie współpracownicy Clinton dokonali selekcji wiadomości prywatnych i służbowych oraz przekazali do archiwizacji około 50 tysięcy wydrukowanych stron tych drugich.

Adres sekretarza stanu: [email protected]

Adres poczty elektronicznej sekretarz stanu znany był od co najmniej dwóch lat. Jest to zasługą rumuńskiego hakera o pseudonimie Guccifer. Włamał się on na skrzynkę doradcy Clinton, niejakiego Sidneya Blumenthala. Znalazł tam wiadomości zarówno wysłane przez Blumenthala do Clinton, jak i jej odpowiedzi.

Fragment skrzynki doradcy

Tematy wiadomości, które można znaleźć na zrzutach ekranów ze skrzynki doradcy, wyraźnie sugerują, że wbrew zapewnieniom właścicielki prywatna skrzynka Clinton była wykorzystywana do wymiany poufnych treści.

Serwer był bezpieczny bo pilnował go Secret Service

Skoro znamy już adres email, to czego możemy dowiedzieć się o serwerze, z którego korzystała Clinton? Okazuje się, że całkiem sporo. Jako że dzisiejsze ustawienia serwera mogą znacząco odbiegać od historycznych, warto zacząć od weryfikacji, jaki adres IP miał serwer mail.clintonemail.com w trakcie, gdy Hillary używała go jako sekretarz stanu. Z pomocą przychodzi serwis DNS History, który wskazuje adres 24.187.234.187 w dniu 22 stycznia 2010. IP ten należy do zakresu przyznanego niejakiemu Ericowi Hotehamowi pod adresem, pod którym znajduje się rezydencja państwa Clinton. Błąd w nazwisku sprawił, że dziennikarze początkowo mieli problem ze zidentyfikowaniem faktycznego posiadacza konta Erica Hothema, wieloletniego asystenta Hillary Clinton, który odpowiadał za obsługę IT. We wcześniejszych raportach podawano nawet, że adresacja była zarejestrowana na fałszywe nazwisko. Oczywiście o tym, gdzie obsługiwana jest poczta, decydują wpisy MX, a nie adres rejestracji domeny, ale sama Hillary Clinton potwierdziła, że serwer znajdował się w jej domu,

W momencie ujawnienia afery adres serwera pocztowego wskazywał już na firmę MX Logic, wykupioną przez McAfee, oferującą usługi filtrowania spamu. Pod adresem serwera WWW http://mail.clintonemail.com co prawda witał błąd 403, ale wystarczyło wzbogacić ścieżkę o ciąg /owa/ by zobaczyć panel logowania interfejsu Outlook Web App. Co ciekawe, okazuje się, że w tej samej domenie znajduje się również serwer sslvpn.clintonemail.com, oferujący usługę VPN.

Sama Hillary Clinton w końcu odniosła się do zarzutów w trakcie konferencji prasowej. Stwierdziła wprost, że uznała noszenie dwóch telefonów za niewygodne. Na pytanie o niezależny audyt serwera odpowiedziała, że był bezpieczny, ponieważ znajdował się na terenie chronionym przez agentów Secret Service oraz nigdy nie zanotowano żadnego incydentu z nim związanego.

Trafny komentarz

Komentarz

Czy Hillary Clinton popełniła błąd korzystając z prywatnej skrzynki pocztowej? Oczywiście próbujemy odpowiedzieć na to pytanie z punktu widzenia bezpieczeństwa informacji, rozważania prawne zostawiając prawnikom.

Wykorzystanie prywatnej skrzynki zmienia znacząco profil ryzyka. Po pierwsze korzystanie z własnego serwera oznacza najprawdopodobniej niższy poziom bezpieczeństwa całego systemu. Oczywiście możliwe, że Clinton miała świetnych administratorów, systemy monitoringu i analizy ruchu, najnowocześniejsze mechanizmy zabezpieczeń i regularne audyty, jednak można założyć, że skrzynka w profesjonalnej komercyjnej usłudze (np. Gmail) czy też skrzynka służbowa mogły korzystać z lepszego poziomu zabezpieczeń, oferującego chociażby szybsze wykrywanie zagrożeń. Drugim problemem własnego serwera i domeny jest łatwość przejęcia całego ruchu serwera. Domeny state.gov czy gmail.com są lepiej zabezpieczone przed przejęciem niż clintonemail.com, kupiona w firmie Network Solutions. Warto także pamiętać, że w roku 2010 Network Solutions odnotowała poważne włamanie, w trakcie którego podmieniono zawartość tysięcy domen w jej usłudze hostingowej.

Z drugiej strony posiadanie własnej skrzynki daje pewne, nieraz bardzo istotne zalety. Clinton sama przyznała, że chodziło jej głównie o wygodę, jednak trzeba pamiętać, że korzystając z dwóch telefonów łatwo o pomyłkę i np. wysłanie wiadomości poufnej z konta niezaufanego. W przypadku jednego urządzenia przynajmniej wiadomo, że do tego rodzaju pomyłki nie mogło dojść. Musimy także zdawać sobie sprawę z tego, że konto pocztowe w domenie state.gov nie rozwiązuje automagicznie problemów bezpieczeństwa. Nie dalej  jak kilka miesięcy temu system pocztowy Departamentu Stanu został wyłączony wobec podejrzeń ataku włamywaczy a administratorzy rzekomo do dzisiaj nie mogą sobie poradzić z usunięciem intruzów. Swoją drogą korzystanie z rządowej infrastruktury IT musi być dość uciążliwe – niedawno wyszło także na jaw, że ambasador USA w Kenii miał tak bardzo dosyć wsparcia IT oferowanego przez Departament Stanu, że kazał zainstalować komercyjne łącze internetowe w swojej łazience i oficjalnie pozwolił pracownikom ambasady na korzystanie z prywatnych kont pocztowych do celów służbowych.

Czy Hillary Clinton naraziła siebie i interesy USA na niepotrzebne ryzyko? Pewnie nigdy się nie dowiemy, tak samo jak nie dowiemy się, czy ktoś włamał się do jej serwera pocztowego. Na pewno dobrym komentarzem do tej sprawy może być fakt, że Hillary w czerwcu 2011 rozesłała do wszystkich pracowników Departamentu Stanu oficjalne wytyczne dotyczące bezpieczeństwa prywatnych kont poczty elektronicznej. Oprócz wskazówek, jak zabezpieczyć swój prywatny adres, znajduje się tam wyraźna informacja, iż korzystanie z prywatnych skrzynek do celów służbowych jest niewskazane. Zawsze mogła także iść w ślady swojego męża, który według jego rzecznika prasowego w całym swoim życiu wysłał zaledwie dwa emaile.

Źródła:

• Gawker: Hacked Emails Show Hillary Clinton Was Receiving Advice at a Private Email Account From Banned, Obama-Hating Former Staffer
• Gawker: How Unsafe Was Hillary Clinton’s Secret Staff Email System?
• The New York Times: Hillary Clinton Used Personal Email Account at State Dept., Possibly Breaking Rules
• The New York Times: Using Private Email, Hillary Clinton Thwarted Record Requests
• The New York Times: Complete text of Hillary Clinton’s remarks on e-mails, Iran
• The Wall Street Journal: Bill Clinton Still Doesn’t Use Email
• The Washington Post: State Department shuts down its e-mail system amid concerns about hacking
• Wired: Hillary Clinton says her email was secure; she can’t know
• Ars Technica: The Ambassador who worked from a Nairobi bathroom to avoid State Dept. IT
• Fox News: State Department cable, June 28, 2011
• Associated Press: House committee subpoenas Clinton emails in Benghazi probe
• The Daily Beast: Hillary Email ‘Scandal’? Not So Fast
• KrebsOnSecurity: Hundreds of Network Solutions Sites Hacked
• DNS History, WHOIS