نظارت کاربران موبایل و IMSI Catcher

بعد از نوشته جاسوسی همه جانبه به نظرم رسید، در خصوص تکنولوژی‌ها، قوانین و محدودیت‌های مرتبط با جاسوسی و جمع‌آوری اطلاعات بیشتر بنویسم. در این سری نوشته‌ها ابتدا از زیرساخت‌های قانونی و بعد هم در خصوص تکنولوژی‌های مورد استفاده صحبت خواهم کرد. لازم به ذکر است این نوشته‌ها به صورت شخصی و برای آشنایی با زیرساخت‌های امنیت اطلاعات نگارش می‌شوند و غیر قابل استناد، استفاده و تحلیل می‌باشند. اولین بخش با عنوان زیرساخت‌ رهگیری قانونی بود. نوشته دوم با عنوان هزینه‌ی نظارت را در ادامه می‌توانید مطالعه کنید.

هزینه‌ی نظارت

مجله‌ی حقوق آنلاین ییل، به تازگی مقاله‌ای در مورد هزینه‌های نظارت و مکان‌یابی افراد منتشر کرده است.  مقاله‌ی Tiny Constables and the Cost of Surveillance: MakingCents Out of United States v. Jones در ادامه حکم چند دادگاه آمریکایی در مخالفت با ردیایی طولانی مدت افراد و نقض حریم خصوصی‌ آن‌ها نگارش شده است.  در این مقاله با بررسی چند روش نظارت افراد مانند تعقیب با ماشین، تعقیب با پای پیاده، استفاده از GPS Tracker ها و یا استفاده از تلفن‌های همراه هزینه‌های حدودی هر یک از این روش‌ها به همراه سربارهای رایج پیش‌بینی شده است.

ادامه مطلب

CALEA و رهگیری و شنود قانونی

بعد از نوشته جاسوسی همه جانبه به نظرم رسید، در خصوص تکنولوژی‌ها، قوانین و محدودیت‌های مرتبط با جاسوسی و جمع‌آوری اطلاعات بیشتر بنویسم. در این سری نوشته‌ها ابتدا از زیرساخت‌های قانونی و بعد هم در خصوص تکنولوژی‌های مورد استفاده صحبت خواهم کرد. لازم به ذکر است این نوشته‌ها به صورت شخصی و برای آشنایی با زیرساخت‌های امنیت اطلاعات نگارش می‌شوند و غیر قابل استناد، استفاده و تحلیل می‌باشند. اولین بخش با عنوان زیرساخت‌ رهگیری قانونی را در ادامه می‌توانید مطالعه کنید.

زیرساخت رهگیری قانونی

در دهه‌های ۸۰ و ۹۰ میلادی، دولت آمریکا برای کنترل، تسلط و پیگیری از قدرت اطلاعاتی در شبکه‌های تلفنی (که در آن زمان شبکه‌های مبتنی بر سوییچ‌های مخابراتی بودند) قوانین متعددی ایجاد کرد. این قوانین پس از تغییرات و آزمون و خطاهای بسیاری به تصویب قانون تسهیلات ارتباطی برای اعمال قانون، تبدیل شد. در سال ۱۹۹۴ با تصویب Communications Assistance for Law Enforcement Act کلیه‌ی شرکت‌های مخابراتی و فراهم‌کننده‌ی خدمات دسترسی (بدون هیچ استثنایی)  موظف شدند، روش‌هایی برای امکان ایجاد دسترسی به اطلاعات مشتریان و کاربران به مقصود اعمال قانون و یا دلایل دیگر اقدام کنند. با اینکه این قانون به صورت خاص برای استفاده در ایالات متحده‌ی آمریکا تدوین شده است، اما بیشتر کشورها تقریبا از مفادی شبیه به همین قانون استفاده می‌کنند. همچنین با توجه به استفاده‌ی گسترده از محصولات شرکت‌های آمریکایی و همچنین درخواست شرکت‌ها برای عرضه‌ی محصولات در سطح آمریکا، پشتیبانی از CALEA به یک عادت گسترده در سطح دنیا تبدیل شده است.  CALEA این موضوع را در متن قانون به این صورت بیان می‌کند:

To amend title 18, United States Code, to make clear a telecommunications carrier’s duty to cooperate in the interception of communications for Law Enforcement purposes, and for other purposes.

نکته‌ای که CALEA را به موضوع مهمی تبدیل می‌کند، استفاده از دو عبارت است:

  • carrier’s duty اشاره‌ای دارد به وظیفه‌ی شرکت‌ها، اپراتورها، فراهم‌کننده‌های سرویس‌های مخابراتی و دیتا و هر سازمان دیگری که ارتباطات را فراهم می‌کند، برای ایجاد دسترسی. به عبارت دیگر، دولت آمریکا، سازمان‌های جاسوسی،  FBI و یا هر دادگاهی که به این اطلاعات نیاز داشته باشد، دخالتی در روش جمع‌آوری این اطلاعات نخواهد داشت و فقط دسترسی به اطلاعات را نیاز خواهد داشت. باز هم به عبارت دیگر این وظیفه‌ی شرکت‌هاست تا به روش مطمئنی امکان ایجاد دسترسی را فراهم کنند.
  • other purposes امکان هر استفاده‌ای در جهت نیاز کشور آمریکا (نه تنها دولت آمریکا) را فراهم می‌کند. این نیاز می‌تواند لزوما به دلیل اعمال قانون نباشد.

ادامه مطلب

سیگنال‌های اطلاعات مکانی درون ویدیوها

تصاویر تعقیب و گریز توسط پلیس که معمولا با هلی‌کوپترهای خبری ضبط می‌شوند طرفدارهای خاصی دارد. خانم Oona Räisänen (یک چیزی شبیه رایزنِن به فارسی) توی یکی از این ویدیوهای یوتیوب الگوی صوتی غیرعادی می‌شوند و بر اساس مطلبی که تحت عنوان  Mystery signal from a helicopter در بلاگش منتشر کرده، می‌تواند یک جریان صوتی رو از این فیلم جدا کند.

bittejaادامه مطلب

شش منظره – مناطقی که وجود ندارند

پایان سال ۲۰۱۳ شاهد یکی از جنجالی‌ترین کنگره‌های CCC بود. کلوب کامپیوتری آشوب سال‌هاست که در اوخر سال میلادی در یکی از شهرهای هامبورگ یا برلین کنگره‌ای را با حضور هکرهای علاقه مند به آزادی جریان اطلاعات برگزار می‌کند. سی‌امین کنگره CCC به صورت عمده تحت تاثیر افشاگری‌های اسنودن و ماجراجویی‌های گروه‌های مختلف طرفدار آزادی جریان‌های اطلاعاتی بود.

یکی از ارایه‌های متفاوت کنگره‌ی امسال توسط آقای Trevor Paglen با عنوان Six Landscapes برگزار شد. آقای پگلن یک هنرمند و عکاس است که در کتاب و پروژه‌ای تحت نام Invisible: Covert Operations and Classified Landscapes تلاش کرده است عملیات‌ها و فعالیت‌های مخفی و نیمه مخفی سازمان‌های مختلف اطلاعاتی را به تصویر بکشد. سفر به کابل و شهرهای مختلف برای آدرس‌هایی که حدس می‌زده است به عنوان زندان‌های غیرقانونی فعالیت می‌کنند و همچنین عکاسی از سایت‌های منطقه ۵۱ با لنز‌های تلسکوپ بخشی از ارایه‌ی آقای پگلن در این کنگره است.

یکی از تصاویری که جالب بود مربوط به عملیات آماده سازی Boeing X-37 است. X-37 یکی از گران قیمت‌ترین پروژه‌های مشترک DARPA، NASA و US Air Force است که توسط شرکت بویینگ در حال انجام است. این پهپاد نیمه‌فضایی تا به حال در ۳ پروازی که داشته است نزدیک به ۲۰۰ میلیون دلار از سال ۲۰۰۲ بودجه داشته است.

Boeing X-37-uav-paglen

همکاری NSA با تولیدکنندگان IT و CNCI

Comprehensive National Cybersecurity Initiative

اوایل سال ۲۰۰۸ یکی از اقدامات نهایی آقای جرج بوش، برنامه‌ی محرمانه‌ای بود تحت عنوان طرح جامع امنیت فضای مجازی ملی. (اسمش آشنا نیست؟‌ :دی) این طرح در سال ۲۰۱۰ توسط اوباما از محرمانگی خارج شد، و به صورت مختصر در مورد آن توضیحاتی داده شد. به صورت خلاصه، اهداف این طرح در ۱۲ ایده گنجانده شده است:

  1. مدیریت یکپارچه شبکه دولت فدرال تحت یک شبکه قابل اطمینان و ایمن به صورت اینترانت
  2. به کارگیری سنسورهای تشخیص نفوذ در سطح شبکه و سیستم‌های فدرال
  3. پیگیری برای بهره‌برداری از سیستم‌های مقابله با نفوذ در سطح شبکه و سیستم‌های فدرال
  4. هماهنگی و هدایت تلاش‌های مرتبط با تحقیق و توسعه
  5. متمرکزسازی و اتصال مراکز مدیریت عملیات سایبری به منظور افزایش آگاهی و موقعیت سنجی بهتر
  6. توسعه و پیاده سازی طرح‌های ضدجاسوسی سایبری (cyber counterintelligence) در سطح دولت و حاکمیت
  7. افزایش امنیت شبکه‌ی اطلاعات محرمانه و طبقه‌بندی شده
  8. گسترش آموزش سایبری
  9. تعریف و توسعه پایدار “جهش به جلو” برای فن آوری‌ها، راهبردها، و برنامه ها
  10. تعریف و توسعه استراتژی ها و برنامه‌های بازدارندگی پایدار
  11. توسعه یک رویکرد چند جانبه برای مدیریت ریسک زنجیره تامین جهانی
  12. تعریف نقش دولت فدرال برای توسعه امنیت در حوزه های زیرساخت های حیاتی

عمده‌ی انتقاداتی که در زمان علنی شدن این طرح مطرح شد، در خصوص کلی بودن و مشخص نبودن جزییات طرح بود. همانطور که خواندن این ۱۲ ایده، خاطره‌ی زیادی از طرح‌های وطنی در یاد زنده می‌کند، نتیجه‌ی این برنامه نیز مانند خیلی از پروژه‌های وطنی پوچ بود و تاثیر عمده‌ای در افزایش امنیت برقرار نکرد. همانطور که از ابتدا در خصوص نفوذ شرکت‌های فروشنده محصولات بر روی این طرح مشخص بود، هدف عمده‌ی این طرح، خرید محصولات بیشتر از تولیدکننده‌های آمریکایی بود. (مانند طرح‌های وطنی، اما با جایگزینی محصولات چینی!)

نقش NSA‌ در CNCI

مجهول بودن فعالیت آژانس امنیت ملی در طرح جامع امنیت فضای مجازی ملی با بخشی از مستنداتی که توسط گاردین منتشر شده است، کمرنگ‌تر شده است. بر اساس این مستندات و طی پروژه‌ای که نام The SIGINT Enabling برای آن انتخاب شده است، دولت فدرال از سال ۲۰۱۱ عددی در حدود ۸۰۰ میلیون دلار به صورت مستقیم برای پرداخت به شرکت‌های آمریکایی و غیر آمریکایی جهت تسهیل امکانات جاسوسی برای NSA هزینه کرده است. بخشی از اهدافی که در این پروژه مشخص شده است، عبارت است از:

  • قراردادن آسیب‌پذیری‌های قابل استفاده در محصولات رمزنگاری
  • جمع‌آوری اطلاعات اصلی و فرعی از شبکه‌های مهم (Carriers) و افزایش قدرت نفوذ به شبکه‌های مرکزی (Core Networks)
  • ایجاد قابلیت‌های تجاری برای تسهیل و امکان‌پذیری دسترسی از راه دور به تجهیزات کاربران (Endpoints)
  • حمله و نفوذ به زیرساخت‌های پردازشی خارجی (از دولت آمریکا)
  • تاثیرگذاری بر روی استانداردها و زیرساخت‌های کلید عمومی
  • ایجاد قابلیت نفوذ و سرمایه‌گذاری عمده برای امکان دسترسی به شبکه‌های بی‌سیم نسل بعدی (Next Generation Wireless)
  • حفظ روابط با شرکت‌های IT و ایجاد قابلیت دسترسی به رمز‌نگاری‌های دولتی (در سند اصلی احتمالا نام کشور و یا مدل‌های حکومتی ذکر شده است.)
  • کامل کردن دسترسی به چیپ‌های رمزنگاری که در محصولات VPN و Web استفاده می‌شوند.
  • تاثیر بر روی بازار جهانی رمزنگاری برای ایجاد امکان ردیابی توسط NSA

sigintenabling-clean-1بر اساس همین اطلاعات، بیشتر از ۷۰٪ هزینه‌ی ۸۲۰ میلیون دلاری از سال ۲۰۱۱ تا کنون، هزینه‌ی خدمات پیمان‌کاری شده است (یعنی به خارج از NSA پرداخت شده است.) و هیچ تاکیدی بر اینکه این هزینه‌ها برای شرکت‌های آمریکایی اختصاص یافته است، ذکر نشده است. به عبارت دیگر ممکن است قسمتی از این هزینه و طرح برای شرکت‌هایی خرج شده باشد که خارج از آمریکا فعالیت می‌کنند (اروپایی‌ها؟ تایوان؟ کره؟)

sigintenabling-clean-3

جاسوسی همه جانبه

خبرهای مختلفی در مورد ابعاد و شنود اطلاعاتی که NSA از گروه‌ها و کشورهای مختلفی انجام داده است در حال انتشار است. مانند بسیاری از اخبار  مرتبط با حوزه امنیت اطلاعات، بخش زیادی از این اخبار زیاده‌گویی‌ها و شانتاژهای رسانه‌ای است که به زودی فروکش خواهند کرد.

49قسمت اندکی نیز، با قبول این واقعیت که دولت‌ها (به خصوص دولت فدرال آمریکا) سال‌هاست در حال جمع‌آوری اطلاعات هستند، در خصوص نحوه جمع‌آوری و حقوق متقابل دولت‌ها و شهروندان، در حال انتشار مطلب هستند. ماجراهای اسنودن بهانه‌ای شده است تا افراد زیادی در خصوص مطالبی که مدت‌هاست کمتر صحبت کرده‌اند، با خیال راحت‌تری صحبت کنند.

واقعیتی که پیشتر در نوشته‌های مورد عجیب اسنودن و همچنین واحد عملیاتی ۸۲۰۰ به آن‌ها اشاره کردم، در سطح عمومی جامعه هنوز به صورت مشخصی قبول نشده است. تمامی دولت‌ها چه به صورت مستقل و چه به صورت گروهی در حال جاسوسی ممتد از شهروندان و همچنین یکدیگر هستند. آقای اوباما به صورت رسمی پس از مشکلات علنی شدن جاسوسی از دولت آلمان این جمله را ذکر کرده است: تمام دولت‌ها از یکدیگر جاسوسی می‌کنند. این احتمالا اولین بار است که یک مقام حکومتی واقعیتی که سال‌هاست در حال رخ دادن است را در سطح عمومی بیان می‌کند.

در نمودار زیر، سعی کردم روش‌های مختلفی که برای جمع‌آوری اطلاعات مورد استفاده قرار داده می‌شود را نمایش دهم:

Intelligence

واحد ۸۲۰۰ و شرکت‌های نوپای بزرگ

واحد ۸۲۰۰ چیست؟

نیروی دفاعی اسرائیل بخش‌های متنوعی دارد و یکی از قسمت‌های بزرگ و گران قیمت‌ آن، بخشی است معروف به واحد ۸۲۰۰. واحد ۸۲۰۰ وظیفه جاسوسی بر روی سیگنال‌ها و کلیه‌ی موارد مرتبط به آن را دارد. از آنجا که قسمت زیادی از سیگنال‌های دنیا امروز از طریق اینترنت تبادل می‌شود، پایش و جاسوسی بر روی اینترنت یکی از مهمترین فعالیت‌های این واحد است. بخش زیادی از فعالیت‌های این واحد از طریق داده‌هایی جمع‌آوری می‌شود که در پایگاه جاسوسی اوریم گردآوری می‌شوند.

unit8200-Urim SIGINT Baseبعد از نمایان‌سازی‌هایی که در خصوص PRISM و برنامه‌های مرتبط با آن منتشر شد، نیروهای اسراییلی هم تلاش کردند بیشتر مورد توجه قرار گیرند. یکی از موارد نادر، مصاحبه نیمه رسمی دو نفر از نیروهای واحد ۸۲۰۰ با روزنامه کلکلیست است. مصاحبه‌ با عنوان هکرهای یونیفرم پوش به صورت رسمی مواضع اسرائیل برای جاسوسی در دنیا و به ویژه خاورمیانه را مکتوب کرده است. متن اصلی مصاحبه به عبری است، می‌توانید با گوگل و بینگ (برخی فعل‌های بینگ برعکس ترجمه شده‌اند.) ترجمه دست و پا شکسته‌ای را بخوانید.

شرکت‌های وابسته Unit 8200

یکی از مهمترین فعالیت‌های واحد ۸۲۰۰ آموزش‌ها و تکنولوژی‌هایی است که برای منافع خود آموزش و توسعه می‌دهد. سامانه‌های امنیتی CheckPoint، سامانه‌های صوتی AudioCodes و ماهواره‌های شرکت Gilat از نمونه‌های معروف این واحد هستند. یک گزارش قدیمی از فوربس اطلاعات بیشتری در این خصوص می‌دهد.

دو شرکت کمتر شناخته شده، ناروس (Narus) و Verint Systems می‌باشد. هر دو این شرکت‌ها که توسط شرکت‌های دیگر در سال‌های اخیر خریداری شده‌اند، اولین و تقریبا حرفه‌ای ترین نمونه‌های DPIها (Deep Packet Inspection) را ایجاد کرده‌اند. ناروس، که توسط کمپانی بویینگ خریداری شد، از بعد از حادثه ۱۱ سپتامبر، بیشترین سهم در اتاق‌های شنود دولتی و خصوصی را در ایالات متحده آمریکا دارد. یک نقل قول قدیمی از یکی از مدیران ناروس وجود دارد، که آن‌ها تمامی ترافیک IP را پایش و بررسی می‌کنند:

“Anything that comes through (an internet protocol network), we can record,” says Steve Bannerman, marketing vice president of Narus, a Mountain View, California, company. “We can reconstruct all of their e-mails along with attachments, see what web pages they clicked on, we can reconstruct their (voice over internet protocol) calls.”

در کنار این تکنولوژی‌ها، استاکس‌نت هم یکی دیگر از شایعه‌هایی است که از خروجی‌هایی واحد ۸۲۰۰ از آن نامبرده می‌شود.

این مطالب مقدمه‌ای بود، برای اشاره به این موضوع، که موفقیت‌های فنی و حرفه‌ای واحد ۸۲۰۰ بخشی از سرمایه‌گذاری است که این دولت برای غلبه با استفاده از تکنولوژی در پیش گرفته است و ظاهرا موفق نیز بوده است. پیشنهاد می‌کنم مطلب The Best Tech School On Earth Is Israeli Army Unit 8200 را مطالعه کنید.

امنیت برای یک دولتمرد اجتماعی

شبکه‌های اجتماعی و به خصوص فیسبوک به سرعت تبدیل به یکی از جذاب‌ترین روش‌های برقراری تعامل مستقیم با مخاطبان در گروه‌های مختلفی شده است. مخاطبان چه در دسته مشتریان تجاری و چه مردم عادی باشند در بسیاری از موارد آنچه می‌بینند را به عنوان یک واقعیت قبول می‌کنند و حس تعامل دوطرفه بدون قیچی بر جذابیت این موضوع افزده است. هر چند حفظ ایمنی در شبکه‌های اجتماعی یک موضوع قراردادی است و نه تولیدکننده محتوا و نه مصرف‌کننده کنترل دقیقی بر حفظ امنیت ندارند، اما شاید تولیدکنندگان محتوا در شبکه‌های اجتماعی بتوانند در آگاهی بخشی بر این موضوع نقشی داشته باشند.

استفاده از شبکه‌های اجتماعی و به خصوص فیسبوک در دولت دهم، نوید بخش درک اهمیت تعامل شفاف با مردم از سوی دولتمردان (که البته خانم‌های کابینه‌ را هم شامل می‌شود.) است. ادامه این مطلب، اشاره به برخی موارد امنیتی در این خصوص دارد.

  • اگر موقعیت حساس و کلیدی دارید (مثلا وزیر هستید) لازم است بدانید قوانین شبکه‌های اجتماعی هیچ تفاوتی میان شما و من قرار نمی‌دهد، مگر اینکه صفحه و پروفایل شما تایید شده باشد. مطمئن هستم طرفداران زیادی برای اینکه صفحات رسمی کابینه تبدیل به Verified Page شوند، می‌توانند به کابینه اجتماعی دولت دهم یاری رسانند.
  • اگر وزیر خارجه محبوبی هستید که در توییتر هم فعالیت می‌کنید، شما هم می‌توانید Verified Twitter Account دریافت کنید. شاید به این روش مخاطبان شما با خیال راحت‌تری مطالب شما را دنبال کنند و فالس‌نیوزی‌ها کمتر بهانه‌ داشته باشند.
  • هر چند دولتمرد اجتماعی می‌تواند از دیوارهای قیچی عبور کند، اما در هر صورت و شاید هم بیشتر شامل اثرات تحریم خواهد بود. این مشکلی است که من برای آن راه‌حلی ندارم، به جز اینکه دولتمردهای اجتماعی بتوانند حق دسترسی برابر به اطلاعات را برای مردم ایران نیز فراهم کنند.
  • به احتمال زیاد، دولتمردهای اجتماعی روشی مانند مردم عادی برای استفاده از فیسبوک استفاده می‌کنند. توصیه می‌کنم اگر از همان روش مردم عادی استفاده می‌کنید، کمی آن را امن‌تر و حداقل اختصاصی‌تر کنید. احتمالا دولتمردهای اجتماعی تمایلی به دسترسی‌های غیر مجاز به حساب‌های کاربریشان ندارند.
  • معمولا عکاسان حرفه‌ای و خبری در عکاسی از اماکن دولتی و حساس، شیوه‌های ابتدایی را رعایت می‌کنند تا تصاویر آن‌ها شامل اطلاعاتی که عمومی نیست نباشد. بد نیست تمام دولتمردهای اجتماعی نیز در این خصوص حساسیت کافی به خرج دهند و مثلا مراقب کاغذها و دست‌نوشته‌های روی میز آقای وزیر باشند.
  • تصاویر و فایل‌هایی که در شبکه‌های اجتماعی منتشر می‌شوند، برخی اوقات شامل اطلاعات اضافی مانند EXIF‌تصاویر و داده‌های مربوط به موقیعت (Location) تصاویر است. امیدوارم کابینه اجتماعی آگاهی رسانه‌ای اولیه‌ای برای دولتمردهای اجتماعی داشته باشد.
  • داده‌های مکانی که عموما تحت نام Location Service در شبکه‌های اجتماعی استفاده می‌شوند، می‌توانند حساس باشند. امیدوارم کابینه اجتماعی آگاهی رسانه‌ای اولیه‌ای برای دولتمردهای اجتماعی در این خصوص هم داشته باشد.
  • فیسبوک، توییتر و هر محصولی که قسمتی از آن دارایی مستقیم و یا غیر مستقیم ایالات متحده آمریکاست، به صورت قانونی (و نه توهم بر انگیز) می‌تواند شامل هر تفسیری بر اساس USA PATRIOT Act قرار گرفته شود.  لطفا پیش از انتشار هر مطلب و فعالیتی به این موضوع توجه کنید و حداقل مخاطبان خود را نیز از این موضوع آگاه فرمایید. نگرانی عمده من شاید پیام‌های مستقیمی است که احتمالا هزاران فرد عادی برای دولتمردهای اجتماعی ارسال می‌کنند.
  • شاید ایرانی‌ها نیز بتوانند از مزایای Information for Law Enforcement Authorities استفاده کنند. باز هم توانمدی دولتمردهای اجتماعی برای برقراری حق دسترسی برابر به اطلاعات مطرح می‌شود.

امیدوارم دولتمردهای اجتماعی روشی پیشه کنند تا تمامی مردم ایران، بتوانند مطالب آنان در شبکه‌های اجتماعی را دنبال کنند. به نظر شخصی من، عدالت حکم می‌کند تا اگر فردی نمی‌تواند و یا نمی‌خواهد از قیچی عبور کند نیز بتواند مطالب دولتمردهای اجتماعی را ببیند و بخواند.