Ο συγγραφέας του Diplomat Mercy Kuo προσελκύει τακτικά εμπειρογνώμονες σε θέματα, επαγγελματίες πολιτικής και στρατηγικούς στοχαστές σε όλο τον κόσμο για τις διαφορετικές απόψεις τους σχετικά με την πολιτική των ΗΠΑ για την Ασία. Αυτή η συνομιλία με τον Jonathan Pelson – σύμβουλο για τον τεχνολογικό ανταγωνισμό με την Κίνα και την εθνική ασφάλεια και συγγραφέα του «Wireless Wars: China's Dangerous Domination of 5G and How We're Fighting Back» (2021) – είναι η 438η στο «The Trans-Pacific View Insight Series."
Εξηγήστε πώς η κινεζική ομάδα hacking Salt Typhoon παραβίασε τα συστήματα κυβερνοχώρου Verizon, AT&T και Lumen Technologies.
Αν κάποιος αναρωτιέται πώς μπορεί να επηρεάσει τη ζωή του μια εισβολή των φορέων τηλεπικοινωνιών μας, σκεφτείτε το εξής: οι νέες πληροφορίες υποδηλώνουν ότι η Κίνα στόχευσε τα τηλέφωνα των υποψηφίων Τραμπ και Βανς και το προεκλογικό επιτελείο του Αντιπροέδρου Χάρις. Οι επιπτώσεις στην εθνική ασφάλεια πρέπει να είναι προφανείς.
Αυτή είναι μια ασυνήθιστη περίπτωση, λόγω του ρόλου που διαδραματίζει η CALEA (ο Νόμος για τη Βοήθεια για την Επιβολή του Νόμου στην Επικοινωνία) και οι διάδοχοι ομοσπονδιακοί νόμοι. Φανταστείτε αν η ομοσπονδιακή κυβέρνηση έλεγε σε κάθε σπίτι και επιχείρηση στη χώρα ότι θα μπορούσαν να ασφαλίσουν τις εγκαταστάσεις τους όσο καλά ήθελαν –αποσβεστήρες, βιντεοπαρακολούθηση, συναγερμοί κ.λπ.– αλλά έπρεπε να δημιουργήσουν μια ενιαία επιλογή παράκαμψης που θα επέτρεπε στην κυβέρνηση να εισέλθει απαρατήρητη. Αυτό συμβαίνει στις επικοινωνίες σήμερα. Για όλη την ασφάλεια που αναπτύσσουν οι πάροχοι υπηρεσιών μας και οι πελάτες τους, η ομοσπονδιακή κυβέρνηση επιτρέπεται, με δικαστική απόφαση, να έχει πρόσβαση στις επικοινωνίες οποιουδήποτε προσώπου ή εταιρείας στη χώρα. Και το σύστημα έχει σχεδιαστεί σκόπιμα για να εμποδίζει το υποκείμενο αυτής της παρακολούθησης να γνωρίζει ότι έχει παραβιαστεί.
Δημιουργήσαμε ένα κύριο κλειδί που ανοίγει όλα τα δίκτυα της χώρας μας. Θυμάμαι τη φράση, «Ποτέ μην σφυρηλατείς ένα σπαθί τόσο δυνατό που δεν θα το έδινες στον χειρότερο εχθρό σου». Η Κίνα έχει τώρα αυτό το σπαθί.
Επίσης ανησυχητικό είναι ότι τα πρότυπα για τον τρόπο με τον οποίο οι μεταφορείς διατηρούν την ακεραιότητα αυτής της «πίσω πόρτας» δεν είναι εκεί που θα έπρεπε, καθιστώντας τις παραβιάσεις πιο πιθανές.
Εξετάστε το επίπεδο ζημιάς που προκύπτει από τη διείσδυση.
Συμμερίζομαι τη θεωρία της «μίας κατσαρίδας». Αν ανάψετε τα φώτα και δείτε μια κατσαρίδα να τρέχει κάτω από το ψυγείο, αυτό δεν σημαίνει ότι το διαμέρισμά σας έχει μόνο μία κατσαρίδα.
Υπάρχουν τώρα στοιχεία ότι το hack του Salt Typhoon εκτείνεται πέρα από αυτές τις τρεις εταιρείες σε άλλους παρόχους υπηρεσιών στην Αμερική και σε εταιρείες σε άλλα μέρη του κόσμου, συμπεριλαμβανομένης της Νοτιοανατολικής Ασίας. Ωστόσο, η AT&T και η Verizon αποτελούν την τεράστια πλειοψηφία της συνδεσιμότητας στη χώρα και η Lumen είναι ο ηγέτης στην παροχή ευρυζωνικών συνδέσεων.
Στο εσωτερικό μέτωπο, η Κίνα μπορεί να έχει πρόσβαση σε πληροφορίες για αποκλειστική τεχνολογία από αμερικανικές εταιρείες, μια πρακτική που συνεχίζεται εδώ και χρόνια, και αυτή μπορεί να είναι απλώς μια άλλη πιο επιτυχημένη εκδοχή αυτής.
Αλλά η μεγαλύτερη ανησυχία είναι ότι η Κίνα μπορεί να ήταν σε θέση να συγκεντρώσει δεδομένα σχετικά με το ποιος παρακολουθείται ή ερευνάται για εγκληματική δραστηριότητα ή κατασκοπεία. βάσει του FISA (Foreign Intelligence Surveillance Act) η κυβέρνηση των ΗΠΑ διενεργεί εκτεταμένη παρακολούθηση των επικοινωνιών γνωστών ή ύποπτων κατασκόπων. Εάν η Κίνα είχε πρόσβαση σε αυτό το πρόγραμμα, θα αποτελούσε μια τεράστια παραβίαση για την κοινότητα της αντικατασκοπείας των ΗΠΑ. Η Κίνα θα ήξερε ποιος παρακολουθούνταν, τι είχε μάθει και (ίσως το πιο σημαντικό) ποιος εξακολουθούσε να λειτουργεί χωρίς τη γνώση των αμερικανικών υπηρεσιών πληροφοριών και των κοινοτήτων επιβολής του νόμου.
Τέλος, υπάρχει η νέα συνειδητοποίηση ότι τα δίκτυά μας ενδέχεται να διεισδύσουν πλήρως από έναν αντίπαλο. Υποστήριξα στο "Wireless Wars" ότι ο πραγματικός κίνδυνος ενός συμβιβασμού του δικτύου δεν είναι μόνο να τερματιστούν οι επικοινωνίες, αλλά οι υπηρεσίες που βασίζονται σε αυτές: εργασίες εργοστασίων, παροχή ιατρικής περίθαλψης, παραγωγή και μεταφορά ηλεκτρικής ενέργειας, όλα όσα ο πολιτισμός πρέπει να λειτουργήσει.
Αν δεν σας αρέσει η Google ή το Facebook να ελέγχει τις επικοινωνίες μας, δεν θα σας αρέσει να το κάνει το Κινεζικό Κομμουνιστικό Κόμμα.
Προσδιορίστε τα τρωτά σημεία που στόχευσε η Salt Typhoon στα ευρυζωνικά δίκτυα των ΗΠΑ.
Υπάρχουν δύο τομείς ευπάθειας. Το ένα είναι το τυπικό πρόβλημα με συσκευές ή λογισμικό. Υπάρχουν αναφορές ότι μέρος του προγράμματος περιελάμβανε επιθέσεις σε διακομιστές Cisco. Αυτό δεν θα ήταν περίεργο, δεδομένου του κεντρικού ρόλου που παίζει η Cisco στην ενεργοποίηση του Διαδικτύου, και η Κίνα έχει επικεντρωθεί εδώ και καιρό στην παραβίαση της πνευματικής ιδιοκτησίας της Cisco και στην παραβίαση των πρωτοκόλλων ασφαλείας της.
Αλλά η μοναδική κατάσταση εδώ περιλαμβάνει αυτήν την «πίσω πόρτα» που όλες οι εταιρείες επικοινωνιών υποχρεούνται από την ομοσπονδιακή κυβέρνηση να συμπεριλάβουν στα δίκτυά τους. Το σκεπτικό είναι κατανοητό. Οι υπηρεσίες επιβολής του νόμου και οι υπηρεσίες πληροφοριών θέλουν να έχουν πρόσβαση σε ιδιωτικές επικοινωνίες εάν υποψιάζονται ότι διαπράττεται έγκλημα. Η ύπαρξη μιας τέτοιας συγκέντρωσης δραστηριότητας στο πλαίσιο ενός ενιαίου τεχνικού και νομικού προγράμματος δημιουργεί μια τεράστια ευκαιρία για αποτυχία σε μαζική κλίμακα. Η κυβέρνηση τείνει να επιδιώκει συστήματα «ασφαλούς αποτυχίας» που είναι κρίσιμα αλλά εξαιρετικά καλά ασφαλισμένα. Το πρόβλημα είναι ότι όταν παραβιάζεται αυτή η ασφάλεια, μπορεί να έχετε καταστροφικές συνέπειες.
Αναλύστε την αποτελεσματικότητα του Νόμου για την Επικοινωνιακή Βοήθεια για την Επιβολή του Νόμου.
Από πλευράς πληροφοριών και επιβολής του νόμου, ο νόμος ήταν πολύ αποτελεσματικός. Ποια υπηρεσία δεν θα ήθελε εγγυημένη πρόσβαση στις ιδιωτικές επικοινωνίες κάθε υπόπτου;
Ωστόσο, ο νόμος CALEA (και η σχετική FISA) δεν απαιτεί μόνο από τους μεταφορείς να διαθέτουν τις επικοινωνίες τους, απαιτεί επίσης από τους μεταφορείς να διασφαλίζουν το απόρρητο και την ασφάλεια των παρακολουθήσεων. Δηλαδή, πρέπει να βεβαιωθούν ότι οι υποκλαπείς συνομιλίες, τα email και άλλες επικοινωνίες φυλάσσονται με ασφάλεια από τον μεταφορέα.
Είναι εντάξει να υπάρχει αυτή η απαίτηση, αλλά οι αερομεταφορείς δεν ήταν ποτέ τέλειοι στην ασφάλεια των δικών τους δικτύων, ειδικά έναντι κρατικών παραγόντων. Η ίδια η δημιουργία αυτών των πίσω θυρών κάνει τη δουλειά τους πολύ πιο δύσκολη και κάνει το κόστος της αποτυχίας ακόμα μεγαλύτερο. Εάν ένας κακός ηθοποιός μπορεί να αποκτήσει πρόσβαση στις πίσω πόρτες που έχουν εντολή, έχει τα πάντα.
Αξιολογήστε πώς οι κυβερνητικές υπηρεσίες και οι τηλεπικοινωνίες των ΗΠΑ μπορούν να αποτρέψουν μελλοντικά κενά στον κυβερνοχώρο.
Υπάρχουν μερικοί τομείς που πρέπει να διορθωθούν. Ένα κλειδί είναι να απομακρυνθείτε από το "fail safe" και να εστιάσετε στα συστήματα "safe fail". Τα δίκτυα πρέπει να σχεδιάζονται έτσι ώστε όταν συμβεί η αναπόφευκτη παραβίαση η ζημιά να μην είναι καταστροφική.
Φυσικά, οι ιδιωτικοί μεταφορείς και οι κατασκευαστές εξοπλισμού πρέπει να βελτιώσουν το παιχνίδι τους. Η ασφάλεια ήταν πάντα σε δεύτερη μοίρα όσον αφορά τα έσοδα και τα κέρδη, κάτι που είναι λογικό για τις εταιρείες που οδηγούνται να κερδίζουν αποδόσεις για τους μετόχους τους, αλλά οι νόμοι πρέπει να ορίζουν υψηλότερα πρότυπα και να επιβάλλουν τη συμμόρφωση με ισχυρότερες πρακτικές ασφάλειας. Για παράδειγμα, ας δούμε ότι η "κρυπτογράφηση από προεπιλογή" γίνεται το μοντέλο.
Τέλος, πρέπει να αναγνωρίσουμε ότι καμία άμυνα δεν μπορεί να προστατεύσει έναντι όλων των κρατικών παραγόντων. Μπορεί να προβληθεί ένα ισχυρό επιχείρημα ότι η ομοσπονδιακή κυβέρνηση πρέπει να τερματίσει τις απαιτήσεις της να αφήνουν οι μεταφορείς τα δίκτυά τους ανοιχτά σε νόμιμη παρακολούθηση. Ορισμένες εταιρείες, όπως η Apple, εκτιμούν την ασφάλεια των πελατών έναντι της κυβερνητικής πρόσβασης. Αυτό μπορεί να απογοητεύσει τις κρατικές υπηρεσίες, οι οποίες επισημαίνουν ότι υπάρχει επίσης ένας βαθμός αντιανταγωνιστικής ισχύος στην αγορά που μπορεί να ακολουθήσει τέτοιες πρακτικές, αλλά προστατεύει επίσης τη χώρα από τον κίνδυνο πλήρους διακοπής λειτουργίας όλων των δικτυωμένων υπηρεσιών. Το κλείσιμο αυτής της πίσω πόρτας θα ήταν ένα βαρύ τίμημα από πλευράς αντιδιαμεσολάβησης, και αυξάνει τον κίνδυνο αντιανταγωνιστικών πρακτικών, αλλά μπορεί να είναι απαραίτητο.