FBI vs Apple

FBI vs Apple

Polska żyje teraz sprawą zawartości szafy Kiszczaka, ale to tylko odwracanie uwagi przez obecną ekipę rządzącą od rzeczywistych problemów. Tymczasem na świecie dzieje się wiele ważnych rzeczy, z których niektóre prędzej czy później całkiem istotnie dotkną także mieszkańców peryferyjnego kraju nad Wisłą. Wśród nich znajduje się konflikt między Apple a FBI, który wybuchł w związku z telefonem pewnego terrorysty.

List do klientów od Apple

Apple w otwartym liście sprzeciwia się wykonaniu nakazu sądowego, zmuszającego koncern z Cupertino do napisania oprogramowania pozwalającego ominąć niektóre zabezpieczenia iPhone’a 5c, który był w posiadaniu jednego z przestępców organizujących strzelaninę w San Bernardino.

Firma zwraca uwagę, że zawsze współpracowała ze służbami śledczymi, gdy te, wyposażone w odpowiednie nakazy sądowe, zwracały się o udostępnienie posiadanych przez Apple danych przestępców. Pomagała też wielokrotnie w ekstrakcji danych z iPhone’ów, które stanowiły dowody w sprawach kryminalnych. Obecna sytuacja, argumentuje prezes Apple Tim Cook, którego podpis widnieje pod listem, jest inna. Cook wprost nazywa działanie FBI żądaniem stworzenia backdoora pozwalającego na dostęp do dowolnych urządzeń wyprodukowanych przez Apple.

Apple sprzeciwia się także podstawie prawnej, do której odwołało się FBI: All Writs Act, starego przepisu z 1789 roku, który został wykorzystany do sformułowania żądania nie mającego bezpośredniego umocowania w istniejących szczegółowych przepisach.

Apple spotkało się z umiarkowanym wsparciem ze strony innych firm Doliny Krzemowej

Jak donosi The New York Times, inne firmy albo w ogóle nie skomentowały tych wydarzeń, albo zrobiły to za pomocą starannie sformułowany, neutralnych i mdłych piarowych komunikatów. W artykule, wśród firm, które odmówiły komentarza, wymieniony jest Twitter, lecz od czasu publikacji CEO tej społecznościówki wrzucił wymownego tweeta:

Komentatorzy zwracają uwagę, że Apple jest jedyną firmą, która odważyła się tak jawnie wystąpić przeciwko zapędom amerykańskiego rządu w niszczeniu bezpieczeństwa konsumenckiej elektroniki. Ma to biznesowy sens.

Użytkownicy produktów Apple są klientami Apple

Jak zwraca uwagę Kieran Healy, profesor socjologii na Uniwersytecie Duke, Apple ma relację ze swoimi użytkownikami, która jest fundamentalnie inna, niż większości korporacji z Doliny Krzemowej. Są oni klientami firmy z Cupertino, płacącymi za iPhone’y czy Maki twardą walutą. Nie można tego powiedzieć o takich firmach jak Google czy Facebook, którzy swoich użytkowników traktują jak zasób będący źródłem danych, które po opracowaniu są sprzedawane klientom Google i Facebooka, czyli reklamodawcom.

Jak wyjaśnia Healy, Apple uczyniło z prywatności i bezpieczeństwa danych jedną z kluczowych funkcji swojego sprzętu, która ma skłonić klientów do kupowania ich produktów. Stworzenie oprogramowania, którego jedyną funkcją byłaby dezaktywacja niektórych kluczowych funkcji bezpieczeństwa, stanowiłoby antytezę ich biznesowych pryncypiów.

Innymi słowy, i jest to moja, nie Healy’ego eksplikacja, nie trzeba idealizować Apple jako firmy, która w przeciwieństwie do innych, wierna jest jakimś etycznym wartościom (choć PR Apple oczywiście też tak to przedstawia). Wystarczy przyjąć, że biznesowa logika czyni ochronę bezpieczeństwa danych klientów dla Apple równie istotną, co dla Coca-Coli smak jej napoju.

Nawiasem mówiąc, a jest to rzecz pominięta w rozważaniach Healy’ego, oprócz firm handlujących danymi użytkowników, inną grupę charakterystycznie milczących lub mówiących półgębkiem, są te mające duże rządowe kontrakty, jak Microsoft czy Amazon, wynajmujący swoje chmury obliczeniowe CIA.

Apple jest technicznie zdolne do opracowania backdoora żądanego przez FBI

Chyba najpełniejsza analiza znajduje się na blogu firmy doradczej Trail of bits. Jeśli chodzi o żądanie FBI, to domagają się oni, by Apple napisało specjalną wersję systemu operacyjnego iOS, który napędza wszystkie iPhony, a który pozwoli im zastosować atak typu brute force (znalezienie prawidłowego hasła metodą prób i błędów) z pełną wydajnością.

Nawet zabezpieczony najprostszym, czteroznakowym kodem iPhone jest niełatwy w złamaniu. Jeśli chodzi o szczegóły architektury kryptograficznej iPhone’ów, to odsyłam do tej notki. W skrócie: iOS uniemożliwia wprowadzenie kodu inaczej, niż palcami na ekranie, opóźnia też możliwość kolejnych prób przy kilku błędnych wprowadzeniach, zaś po dziesięciu błędnych wprowadzeniach kodu całkowicie wymazuje dane z urządzenia.

Danych nie da się skopiować z iPhone’a na dysk innego komputera – są szyfrowane nie tylko kluczem dostarczanym przez użytkownika w postaci kodu zabezpieczającego, ale dodatkowymi kluczami zapisanymi sprzętowo. Inaczej mówiąc, nawet chcąc użyć metody brute force, trzeba ją przeprowadzić za pomocą aplikacji działającej na danym iPhonie.

Technicznie można to zrobić, omijając wspomniane dodatkowe ograniczenia, ładując odpowiednio zmodyfikowany system operacyjny bezpośrednio do RAM-u iPhone’a. By to zrobić, trzeba ten zmodyfikowany iOS najpierw cyfrowo podpisać, co możliwe jest tylko dzięki kluczom kryptograficznym posiadanym przez Apple.

Gdyby to się stało, FBI mogłoby wprowadzać próbne kody bezpośrednio, bez konieczności ręcznego ich wpisywania, bez limitu prób i opóźnień między kolejnymi próbami. Jedynym czynnikiem limitującym jest wtedy szybkość procesora iPhone. Jest ona na tyle duża, że w przypadku najczęściej używanych czterocyfrowych kodów, ich złamanie powinno zająć mniej niż godzinę.

Wielu komentujących tę sprawę specjalistów początkowo sugerowało, że nowsze modele iPhone’ów są niepodatne na taką modyfikację, bo kluczowe funkcje kryptograficzne pełni tak zwana bezpieczna enklawa, czyli oddzielny koprocesor kryptograficzny, którego funkcjonowanie nie jest kontrolowane przez iOS. Na podstawie komunikatów wysłanych przez Apple stało się jasne, że choć techniczne szczegóły takich działań byłyby odmienne, Apple analogicznie mogłoby być przymuszone do zmiany firmware bezpiecznej enklawy, tak samo usuwając zabezpieczenia przed atakiem typu brute force.

Backdoor żądany przez FBI nie łamie kryptograficznych zabezpieczeń jako takich

Jak zwraca uwagę Micah Lee z The Intercept, nawet jeśli Apple zostanie zmuszone do podporządkowania się żądaniu FBI, nie czyni to użytkowników iPhonów zupełnie bezbronnymi. Zbudowany backdoor pozwoliłby stosować atak typu brute force bez ograniczeń. W przypadku prostych, czterocyfrowych kodów ich odgadnięcie zajmuje wtedy kilkadziesiąt minut. Jeśli jednak użytkownik ustawi odpowiednio długi, alfanumeryczny kod, najlepiej z przypadkowej sekwencji znaków, nawet zastosowanie ataku brute force na odpowiednio zmodyfikowanym iPhone’ie będzie praktycznie bezużytecznie.

Przykładowo kod długości sześciu znaków będzie łamany średnio w 11 godzin. Kod siedmioznakowy w średnio 4,6 dni. Złamanie kodu dziesięcioznakowego zajęłoby średnio 12,6 lat, a kodu trzynastoznakowego średnio 12 tysięcy lat.

FBI chce osłabić bezpieczeństwo wszystkich w imię walki z terrorystami, ale jedyne co terroryści będą musieli zrobić, by się uodpornić na to działanie, to ustawić długie kody. Czego z kolei większość zwykłych użytkowników pewno nie zrobi. Efekt końcowy będzie taki, że działania FBI uderzą tylko w bezpieczeństwo zwykłych użytkowników.

Organizacje pozarządowe związane z prawami człowieka popierają Apple

Wsparcia dla Apple udzieliły ACLU, EFF i Amnesty International. Oprócz ogólnego argumentu związanego z bezpieczeństwem danych i prawem do prywatności, organizacje te zwróciły także uwagę, że jeśli amerykański rząd zmusi Apple do stworzenia wersji oprogramowania, które pozwala dezaktywować niektóre z kluczowych zabezpieczeń, to samo stanie się niechybnie żądaniem ze strony innych rządów, także tych uznawanych przez USA za reżimy.

Interesujące, że na ten międzynarodowy aspekt sprawy, z naciskiem na działania rządu chińskiego, zwracał uwagę artykuł o konflikcie między Apple a FBI zamieszczony w The New York Times. Jeśli jednak klikniecie na link doń prowadzący, już nie zobaczycie fragmentu o Chinach. Zniknął bez (rozsądnego) wyjaśnienia:

Politycy (głównie) bredzą

Najbardziej pomylony z amerykańskich kandydatów na prezydenta, Donald Trump, zdążył wygłosić tyradę pełną bełkotliwych odniesień do zdrowego rozsądku, mimo że wszystko co powiedział wskazuje na to, że w ogóle nie rozumie, lub cynicznie ignoruje, najbardziej zdroworozsądkowych i podstawowych założeń bezpieczeństwa oprogramowania i sprzętu cyfrowego.

Demokratyczna kandydatka Hilary Clinton zasadniczo powiedziała to samo, tylko ubrała to w ładniejsze słowa. Stwierdziła, że oczywiści nie możemy narażać bezpieczeństwa wszystkich wbudowując tak zwane backdoory, ale ponieważ USA jest pełne mądrych ludzi, po małej burzy mózgów na pewno znajdą sposób na to, by dostać się do danych, z którego będą w stanie skorzystać tylko dobrzy ludzie. To oczywiście niedowarzona brednia.

Bernie Sander, jedyny nie skrajnie prawicowy kandydat na prezydenta USA, udzielił wymijającej odpowiedzi, że trzeba znaleźć jakieś pośrednie rozwiązanie, co oczywiście też jest nonsensem. Jak to lakonicznie wyjaśnił w Washington Post ekspert od bezpieczeństwa Bruce Schneier: Albo wszyscy będą bezpieczni, albo nikt.

Nie jest możliwym zbudowanie magicznego backdoora, którego się domaga Clinton, z którego mogłyby korzystać dobre służby, a nie przestępcy. Od siebie dodam, że idea nazwania amerykańskich służb dobrymi, szczególnie w kontekście globalnym, jest niedobrym żartem.

Jednym z niewielu polityków, którzy wypowiedzieli się o działaniach FBI w zdecydowanie negatywnym tonie, był republikański kongresmen z Kalifornii Ted Lieu (nawiasem mówiąc jest on jednym z czterech członków amerykańskiego Kongresu, którzy posiadają informatyczne wykształcenie):

Ten nakaz sądowy poprzez zmuszenie firmy z sektora prywatnego do napisania nowego oprogramowania, w istocie czyni z niej ramię sił policyjnych. Firmy sektora prywatnego nie są – i nie powinny być – ramieniem rządu lub sił policyjnych.
Ten nakaz prowadzi także do pytania: gdzie leżą granice takiego przymusu? Czy rząd może zmusić Facebooka do stworzenia oprogramowania, które dostarcza analiz na temat tego kto prawdodpobnie jest przestępcą? Czy rząd może zmusić Google do dostarczenia listy wszystkich osób, które wyszukiwały termin „ISIL”? Czy rząd może zmusić Amazona do stworzenia oprogramowania, które będzie identyfikować podejrzanych na podstawie historii kupowanych książek? (…)
Masakra w San Bernardino była tragicznym wydarzeniem, ale osłabianie naszego cyfrowego bezpieczeństwa nie jest odpowiedzią – terroryzm odnosi sukcesy, gdy zmusza nas do porzucenia naszych wolności i stylu życia.

Apple szykuje się do sądowej batalii

Cyrus Farivar i David Kravets zamieścili na portalu Ars Technica dość długi artykuł wyjaśniający potencjalne strategie prawne, które mogą być wykorzystane przez Apple w zwalczaniu otrzymanego nakazu. Jedną z oczywistych jest podważenie stosowalności przepisu All Writs Act z 1789 roku.

Jest to bardzo specyficzne prawo, które de facto pozwala sędziom wydawać konkretne nakazy postępowania w sytuacji, gdy w prawodawstwie nie ma wyrażonej jawnie podstawy prawnej do takich nakazów. Innymi słowy sędzia federalny może zażądać działania, które nie jest przewidziane żadną konkretną ustawą, która już została przegłosowana przez Kongres USA.

Amerykańskie służby już nie raz w przeszłości używały tego przepisu, by przymuszać firmy do określonych działań. Amerykańskie sądy, w zależności od kontekstu, przyznawały im rację, lub nie. Niewątpliwie prawnicy Apple będą starali się udowodnić, że w tym przypadku zachodzi sytuacja, gdy skierowane wobec Apple żądanie jest bezprawną próbą nadużycia władzy.

Apple pierwotnie otrzymało czas pięciu dni na wykonanie nakazu. Dziś poinformowano o jego wydłużeniu o trzy dni. Warto pilnie obserwować rozwój sytuacji. Apple, czego by o tej firmie nie mówić, to w tej chwili złoty standard bezpieczeństwa na rynku elektroniki konsumenckiej. To jakie ograniczenia w tym bezpieczeństwie narzuci mu amerykański rząd, odbije się na nas wszystkich.

Epitafium Seikilosa

Epitafium Seikilosa

Czy epidemię wirusa Zika wywołały komary GMO?

Czy epidemię wirusa Zika wywołały komary GMO?