Naslovna tema / Veliki konj vas opazuje

Slovenska obveščevalna agencija nam je potrdila, da v vodstvu razmišljajo o zakonskih spremembah, ki bi omogočile širitev njenih pooblastil. Potrdili so nam tudi, da želijo imeti nova orodja za nadzorovanje, »prilagojena tehnološkemu napredku«. Odgovoru na konkretno vprašanje, ali morda že uporabljajo invazivna vohunska orodja, kakršno je razvpito izraelsko vohunsko orodje Pegasus, pa so se izognili.

O kakšnih pooblastilih sploh govorimo? Zakaj strah pred tem, da bi tudi v Sloveniji začeli uporabljati metode prisluškovanja prebivalstvu, za kar sicer Sova nima pooblastil? Kaj je sploh Pegasus in katera so nova tehnična orodja, ki bi se lahko pojavila v Sloveniji? Začnimo pri čisto majhni stvari, pri takšni, ki se lahko zgodi vsakomur izmed nas.

WhatsApp je komunikacijsko orodje podjetja Meta, ki je v Sloveniji poleg podobnega Viberja precej razširjeno. Nekaterim je všeč, drugi pa ga uporabljajo z razlogom: omogoča namreč sistem šifriranja sporočila od pošiljatelja do prejemnika. Kaj to pomeni? Sporočilo, ki ga prek WhatsAppa pošljete prijatelju, šefu ali partnerki, se na vašem telefonu zašifrira s kriptografskim ključem, dešifrira pa se zgolj pri naslovniku. Po Metinih zagotovilih nihče drug ne more prebrati, kaj ste napisali, četudi prestreže vaše sporočilo. Vsebina sporočila je tako tudi ob morebitnem nadzorovanju vaše številke nedostopna spletnim ponudnikom in tudi policiji, seveda le v primeru, če ta s sodno odredbo ne odklene telefona ali pa ne uporabi novodobnih prekritih preiskovalnih ukrepov. Podobno velja tudi za druge aplikacije, ki jih imamo na telefonih za komunikacijo: zelo razširjen Signal, Facebookov Messenger, Applov iMessage, pa tudi za Telegram, če uporabnik uporablja funkcijo »skrivni pogovor«. Po drugi strani pa tovrstno šifriranje ne velja za Instagramova sporočila, za pogovore med uporabniki na TikToku, Snapchatu in pri klasičnih SMS-ih. Pri slednjih gre za tehnologijo, staro več kot 30 let – vsebina poslanih SMS-ov ni šifrirana, vidna je mobilnim operaterjem, policiji na podlagi sodne odredbe in komurkoli, ki uporablja IMSI-prestreznike oziroma lažne bazne postaje. To je naprava, s katero je v neposredni okolici mogoče identificirati mobilne telefonske številke, ugotoviti lokacijo teh naprav, s kom se uporabniki naprave sestajajo, kdo vse je v njihovi družbi ali, na primer, koliko mobilnih aparatov je na kakšnih protestih.

A vrnimo se k WhatsAppu. Je torej komunikacija prek WhatsAppa in sorodnih aplikacij zaupna in varna? Na prvi pogled je, a varnostni protokoli in kriptirano komuniciranje niso vedno dovolj. Obstaja namreč vse več ponudb na trgu, s katerimi je tudi te naprave mogoče nadzorovati.

Še nedavno je veljalo, da si moral za nameščanje vohunske opreme koga prevarati, denimo tako, da je kliknil povezavo ali odprl priponko. Najnovejše različice ne zahtevajo ničesar od tega. Vaš telefon leži na nočni omarici in je z njim vse v redu, že minuto za tem pa je vse drugače.

Najprej poglejmo razkritja, v katera so bile vpletene oblasti. Po poročanju nemškega portala Netzpolitik sta nemška Zvezna carinska uprava in Zvezni kriminalistični urad BKA uporabljala sistem tako imenovanega kloniranja računov. Trik je enostaven, preiskovalci se na računalniku poskušajo prijaviti na račun nadziranega posameznika, ko pa aplikacija zahteva potrditveno kodo, poslano s SMS-sporočilom, to prestrežejo in tako dobijo neposreden dostop do poslanih sporočil. Nemška sodišča so izrazila dvome o pravni podlagi za takšne postopke, Netzpolitik pa je poročal, da trenutno ni jasno, ali nemške zvezne agencije opisani postopek še vedno uporabljajo.

Lahko bi seveda zamahnili z roko in rekli, da to počno v Nemčiji in ne pri nas. V resnici pa je opisana zloraba nepazljivih uporabnikov neprimerljiva s tistim, kar počne izraelsko podjetje NSO. Kloniranje pametnih telefonov, kot se to nadzorovanje imenuje, se dogaja v bistveno širšem obsegu, bistveno bolj invazivno. In povsem mogoče je, da se dogaja tudi pri nas.

Pegasus

Podjetje NSO Group, ustanovljeno leta 2010 v Herzliji v Izraelu, je zasebna družba, ki se ukvarja s kibernetsko tehnologijo, njen cilj naj bi bil »boj proti terorizmu in kriminalu«. Po svojih metodah dela in ciljih je NSO podoben podjetju Black Cube – in obe sicer zasebni, paraobveščevalni podjetji sta povezani z izraelskimi obveščevalnimi agencijami, le da NSO razvija spletna orodja za nadzor, Black Cube pa izvaja obveščevalne »operacije« na terenu.

V podjetju NSO so razvili program »Pegasus« – prve različice so se pojavile že leta 2013, izpopolnjene pa tri leta kasneje. Kot so zapisali pri kanadskem Citizen Labu, vodilni organizaciji na področju preiskovanja zlorab pri digitalnem nadzoru, gre za »eno izmed najbolj sofisticiranih vohunskih programskih oprem, namenjeno izključno vladnim uporabnikom«. Direktor in ustanovitelj Citizen Laba Ron Deibert je o nevarnosti Pegasusa govoril večkrat. Tako je v enem izmed pogovorov opozoril, da je »ta vrsta programske opreme izjemno močna. Najnovejše različice se lahko namestijo na telefon katerekoli osebe kjerkoli na svetu in pred tem dobesedno ni nobene obrambe«. Še več, »najnovejše različice so znane kot različice ’brez klika’. Še nedavno je veljalo, da si moral za nameščanje vohunske opreme nekoga prevarati, denimo tako, da je kliknil povezavo ali odprl priponko. Najnovejše različice ne zahtevajo ničesar od tega. Tako vaš telefon leži na nočni omarici in je z njim vse v redu, že naslednjo minuto, pa je vse drugače.« A seveda se nikjer ne vidi, da je vaš telefon nadzorovan.

Kako je to mogoče? Na kakšen način deluje tovrstna programska oprema?

Pegasus izrablja različne ranljivosti v operacijskih sistemih telefonov. Tako sproži lažni klic na telefon, ki ga uporabnik ne zazna, ali pa izkoristi druge ranljivosti v operacijskih sistemih in aplikacijah. Nato Pegasus na telefonu pridobi sistemske pravice in začne – kamorkoli pač že, lahko tudi na strežnike v tuji državi – pošiljati podatke o dejavnosti telefona in njegovi vsebini. Vse, kar počnete, se prenaša in vse vaše dejavnosti je od tistega trenutka mogoče videti. Pegasus ima na okuženem telefonu dostop do vsega: do pogovorov, fotografij, videoposnetkov, zapiskov, lokacije GPS, podrobnosti bančnega poslovanja, gesel, na daljavo lahko sproži mikrofon ali kamero, lahko spremeni ali ustvari nove datoteke, lahko izbriše ali prireja sporočila. Pegasus namreč »klonira napravo«, jo upravlja, hkrati pa v realnem času sledi uporabniku in ima tako popoln pogled v njegovo digitalno, a s tem tudi dejansko življenje. In uporabnik, kar je najhuje, nikakor ne more zaznati, da je njegov telefon okužen.

Ljudje imamo v svojih telefonih zapis celotnega življenja, telefon je podaljšek našega telesa, telefon ve več o nas, kot vemo sami o sebi.

Amnesty International je ves sistem označila za hudo kršitev človekovih pravic. Zapisala je, »da takšna izredna invazivna vohunska programska oprema nikoli ne more biti uporabljena na način, ki bi bil skladen s človekovimi pravicami, in bi jo bilo treba trajno prepovedati«.

Pravica do zasebnosti

Da bo stvar razumljivejša, si lahko pomagamo z ustavnopravno analogijo. V sodobnem času se je oblikovala ustavna dikcija o pomenu zasebnosti. Tako v slovenski ustavi poznamo člen o nedotakljivosti stanovanj. »Nihče ne sme«, je zapisano v ustavi, »brez odločbe sodišča proti volji stanovalca vstopiti v tuje stanovanje ali v druge tuje prostore niti jih ne sme preiskovati«. Stanovanje in drugi zasebni prostori so oblika zatočišča pred oblastjo – pravica do spoštovanja zasebnega in družinskega življenja je jasno opredeljena tudi v Evropski konvenciji o človekovih pravicah. Vsak poseg v to zasebnost bi moral biti »določen z zakonom« in povezan z vprašanji javne ali državne varnosti.

Tako naj bi veljalo v demokratičnih sistemih. V socialistični Sloveniji je bilo drugače. Obstajali so tajni uradni listi in tajni podzakonski akti, ki so varnostnoobveščevalnim službam omogočili tajne preiskave. Kar pomeni, da so uslužbenci državne varnosti obiskali kakšno računalniško podjetje ali redakcijo alternativnega časopisa in ga brez vednosti »osumljenih« preiskali, poslikali, zbrali podatke, med tajno preiskavo pa so lahko, če se jim je zazdelo, podtaknili kakšen dokument. Danes, v času ustavne demokracije, policija, varnostno-obveščevalne službe ali kdorkoli drug tega samovoljno ne smejo početi. Tajen vstop v stanovanje je ustavno dopusten le pod zelo strogimi pogoji. Danes dom in zasebnost posameznika nista vezana le na fizični prostor. Pegasus in druga vohunska oprema pa omogoča, da neznani akterji – lahko je to država ali neznani naročnik – v tvoj zasebni prostor vstopijo prek telefona.

Ljudje imamo v svojih telefonih zapis celotnega življenja, telefon je podaljšek našega telesa, telefon ve več o nas kot sami o sebi. Posegi države, obveščevalnih služb ali tujih obveščevalnih podjetij so bistveno bolj invazivni, kot so bile metode obveščevalnih služb v času tajnih uradnih listov in tajnih preiskav. In zato so tako sporni in nevarni.

Inflacija zlorab

Prepričanje, da gre za nekaj osamljenih primerov, povezanih s terorizmom, kriminalom, drogami in pedofilskimi mrežami, z zločinci torej, za katere je prav, da jih države preganjajo, je napačno. Pegasus in podobna vohunska orodja se uporabljajo za politične cilje. Res, da jih nekatere države uporabljajo uradno, a uporabljajo jih tudi neznani akterji. In prav to je bistveno: tudi ko se odkrije, da je bil neki telefon nadzorovan, je težko dokazati, kdo je bil naročnik, kdo je dobival podatke in tudi kako jih je uporabil. In prav tovrstnih primerov je bilo v zadnjih letih v Evropi veliko.

Takšna izredna invazivna vohunska programska oprema nikoli ne more biti uporabljena na način, ki bi bil skladen s človekovimi pravicami, in bi jo bilo treba trajno prepovedati.

Citizen Lab je tako 2. septembra letos razkril, da je bilo v Srbiji vsaj 14 ljudi spremljanih s tovrstno vohunsko opremo. Gre za aktiviste gibanja študentskih protestov, aktiviste civilne družbe, za poslanca opozicije in lokalnega svetnika. Pri napadu sta bili uporabljeni dve orodji – eden je bil že omenjeni Pegasus, drugi pa NoviSpy, ki naj bi ga razvila srbska varnostno-obveščevalna služba. Do odkritja, da je omenjenih 14 ljudi nadzorovanih, je prišlo po naključju. Podjetje Apple je lastnikom telefonov poslalo opozorilo, da je njihov telefon morda okužen, nato pa je sumljive telefone pogledala nevladna fundacija Share, kjer so ugotovili, da so imeli na telefonu skrivoma naložene vohunske programe. A kdo je naročnik? Kdo je plačnik? Oblast in predsednik Srbije Aleksandar Vučić sta seveda zanikala kakršnokoli povezavo z razkritjem, predsednica srbske skupščine Ana Brnabić pa je izjavila, »da ne verjame niti eni besedi, ki jo izrečejo študenti«. Uporaba Pegasusa je bila razkrita v trenutku, ko se je v Srbiji razpustila narodna skupščina in so se napovedale predčasne volitve.

Đorđe Radojević je 22-letni študent na beograjski tehnološko-metalurški fakulteti. Je član študentskega gibanja in ena izmed žrtev Pegasusa. Kako se je to zgodilo? »Posodobil sem iPhone, kar počnem redno, in dobil sistemsko obvestilo, da je bil moj telefon morda napaden z vohunsko opremo. Ker se je to prej zgodilo mojemu kolegu, ki je bil aktiven na lokalnih volitvah, sem vedel, kaj storiti. Najprej sem, kot mi je svetoval Apple, vklopil način zaklepanja (lockdown mode), nato pa so moj telefon pregledali forenziki.« Radojeviću je precej jasno, zakaj je postal tarča nadzora. »Sem del gibanja Študenti v blokadi, ukvarjam se s prihajajočimi volitvami, imam veliko operativnih podatkov o naših načrtih, ki bi lahko koristili političnemu nasprotniku. Ne morem pa vedeti, kdo je to naročil, a Pegasus lahko domnevno uporabljajo samo državne agencije in z njimi povezani akterji.« Informacija, da nekdo brska po osebnih stvareh, po tvojem življenju, gotovo ni prijetna, nekdo natančno ve, kaj počnejo tvoji prijatelji in o čem si se na primer pogovarjal s starši. Zato je na začetku Radojević čutil nekaj nelagodja, strahu. A ti občutki so minili. »Nisem bil presenečen, v Srbiji so že odkrili podobne primere, vendar se takrat ni odzvala nobena institucija. Srbija je evropska država in prav je, da se izve, da se proti študentom uporablja vohunska oprema. Veliko ljudi nas podpira, zato je lažje, nismo sami, vzpostavili smo občutek skupnosti. Zdaj čakamo na odziv mednarodne javnosti. Morda bo kmalu postalo javnih še več primerov nezakonitega vohunjenja,« še dodaja Radojević. Kdo ve, kako velik je v resnici sistem nadzora nad politično opozicijo v Srbiji.

Srbija ni kakšna avtokratska izjema iz divjega hribovitega Balkana. Uporabo Pegasusa so v zadnjih letih zaznali in dokazali v več državah »civilizirane« EU.

Beseda kibernetska varnost je političen evfemizem, lahko pomeni karkoli, denimo boljše požarne zidove ali pa učinkovitejši digitalni nadzor nad državljani

Na Poljskem so ta program v času vladavine populistične skrajno desne stranke Pravo in pravičnost uporabljali pri nadzoru kar 578 oseb. Med drugim so nadzorovali opozicijske voditelje, tožilko, odvetnika in druge. Na Madžarskem je Pegasus kupilo notranje ministrstvo, nadzorovali so 300 telefonov, med tarčami pa so bili prav tako novinarji in odvetniki, poslovneži in ljudje, ki naj bi bili nevarni krogu nekdanjega premiera Viktorja Orbána. Naštevamo lahko dalje: Pegasus je pred leti uporabila Španija, da bi nadzirala katalonske politike, sledi uporabe tega programa pa so leta 2022 našli na telefonih premiera Pedra Sáncheza in ministrice za obrambo Margarite Robles, po nekaterih, sicer nepotrjenih podatkih naj bi bila za uporabo izraelske opreme v tem primeru odgovorna država Maroko. Za okužene so se izkazali tudi telefoni nekaterih finskih diplomatov, pri čemer še danes ni znano, kdo je naročil napad. Enako se je zgodilo v Franciji: kjer so okužbe odkrili na telefonih nekaterih ministrov, kot tarča nadzora pa se neuradno omenja celo telefon Emmanuela Macrona. V Italiji je bilo malce drugače, njena obveščevalna služba je sklenila pogodbo s podjetjem Paragon Solutions, ki izdeluje Pegasusu podoben program Graphite, tarča nadzora pa so bili aktivisti organizacije Mediterranea. Pegasus so na telefonih politikov, novinarjev in predstavnikov civilne družbe v zadnjih letih odkrili še v Latviji in Litvi. V Grčiji in Severni Makedoniji pa so na telefonih odkrili vohunski program Predator, pri čemer znova ni najbolj jasno, kdo je bil naročnik nadzora, kdo so bili izvajalci, kakšen je bil cilj. Žrtve vohunjenja za grškimi državljani so pričakovane: med njimi sta bila novinar, ki se je ukvarjal z razkrivanjem sumljivih finančnih transakcij, in vodja opozicijske stranke. V nobenem izmed omenjenih primerov ni šlo za terorizem ali kriminal, kar bi bila lahko podlaga za nadzor.

Dilemo o tem, kaj je dopustno in kaj ni, kako daleč torej gredo tisti, ki nepooblaščeno vdirajo v telefone, razkriva zgodba o nekdanjem evropskem poslancu, Grku Steliosu Kulogluju. Leta 2022 je postal nadomestni član posebnega odbora evropskega parlamenta PEGA, ki je preiskoval zlorabe Pegasusa v državah EU. Citizen Lab je letošnjega julija razkril, da je bil v času, ko je deloval v omenjenem odboru, njegov iPhone večkrat uspešno okužen prav s Pegasusom. Kdo je bil naročnik vohunjenja za poslancem, 

ki je preiskoval vohunjenje, spet ni znano. Pri Citizen Labu so po razkritju zapisali, da je bil poslančev telefon okužen v ključnih obdobjih delovanja parlamentarnega odbora, z vohunsko opremo pa so najverjetneje pridobivali zaupne informacije o delovanju odbora in parlamenta.

Vohunjenje v sloveniji In Slovenija? Ali slovenska vlada, notranje ministrstvo ali obveščevalne službe uporabljajo Pegasus? Je država program kupila sama ali pa si je do njega, morda prek prijateljskih državnih ali nedržavnih akterjev, priskrbela dostop kako drugače? Tega z gotovostjo ne moremo vedeti. Na SI-CERT, vladnemu nacionalnemu centru za kibernetsko varnost, so nam povedali, da po pregledu baze obravnavanih varnostnih incidentov niso zasledili nobenega, ki bi vključeval to obliko zlonamerne programske opreme. A takšno zagotovilo razkrije manj, kot se zdi – Pegasus je zasnovan prav zato, da ostane neopažen. Podobno lahko razumemo tudi sporočilo iz leta 2021, ko so v kabinetu tedanjega predsednika vlade Janeza Janše zapisali, da se vlada »ni zanimala za nakup Pegasusa« in da, kolikor jim je znano, »nobena od slovenskih institucij tega programa ne uporablja«.

A obstajajo jasni indici, da je kaj takega mogoče. Želja državnih agencij po takšni opremi je namreč vedno prisotna. Tudi v času vlade Roberta Goloba so na primer pripravljali nov zakon o Sovi, ki bi v imenu večje varnosti omogočil uporabo sodobnih tehnologij in neposredni dostop do podatkov telekomunikacijskih sredstev, po predlogu zakona naj bi kot del protiobveščevalne dejavnosti tako nadzirali tudi slovenske državljane in ne le tujcev, za nadzor pa naj bi zadostoval podpis predsednika vrhovnega sodišča. Sova si ji zaželela, kot so poudarjali, »približati realnosti digitalne dobe«. Ni pa Sova edina, ki si želi večjih pooblastil. Podobno si zaradi učinkovitejšega pregona kriminala vseskozi prizadeva tudi slovenska policija.

Vse to se lahko zgodi pod novo vlado. Vodi jo Janez Janša, človek, ki ima rad digitalne tehnologije, in ki je, kar je pomembneje, zaveznik in prijatelj izraelskega premiera Benjamina Netanjahuja in njegovih političnih metod. Pred slabimi šestimi leti, decembra 2020, se je Janša že sestal s predstavniki podjetja NSO, ki prodaja Pegasus. V času sedanje vlade pa ga je obiskal nekdanji avstrijski kancler Sebastian Kurz. Zakaj je ta obisk poveden?

Kurz je Janšo obiskal julija, dober mesec dni po imenovanju nove vlade, uradno pa je bil njegov obisk označen za »lobistično srečanje«. Kurz je namreč po odhodu iz politike postal poslovnež. Skupaj z Izraelcem Šalevom Huliem je ustanovil podjetje Dream Security, ki naj bi državam ponujalo »obrambne kibernetske rešitve«. A Dream Security ni nastal sam od sebe. Hulio je namreč eden od ustanoviteljev izraelskega podjetja NSO, bil je tudi njegov izvršni direktor, v novem podjetju z novim imenom in drugačno javno podobo pa so danes zaposleni ljudje, ki so prej delali v NSO, in posamezniki iz različnih izraelskih obveščevalnih služb. Kurzev Dream Security je torej nekakšna izpeljava »NSO pod novim imenom«, ki pa naj bi bila uradno bolj usmerjena na obrambne storitve. Razvijala naj bi digitalne sisteme, ki naj bi s pomočjo umetne inteligence odkrivali posamezne grožnje in varovala države. Julija letos se je Janša s Kurzem sestal na »informativnem in predstavitvenem sestanku«, nato pa se je Kurz s svojo podjetniško ekipo sestal tudi s predstavniki Urada za informacijsko varnost.

Kaj so se dogovorili, ni jasno. Nova koalicijska pogodba omenja »kibernetsko varnost«, o njej pa je na Bledu kot o eni »izmed razvojnih prioritet« govoril tudi Janez Janša. Beseda kibernetska varnost je političen evfemizem, lahko pomeni karkoli, denimo boljše požarne zidove znotraj informacijskega sveta ali pa učinkovitejši digitalni nadzor nad državljani. »Po mojem mnenju je na tem področju predvsem veliko lobiranja potencialnih prodajalcev,« pravi poznavalec varnostne tehnologije, ki pa ne želi biti imenovan. »Konec koncev te tehnološke rešitve zanje pomenijo posel. Po mojih podatkih sicer ne policija, ne SOVA ali vojaška obveščevalna služba teh orodij nimajo. Razlog je v tem, da za njihovo uporabo ni pravne podlage, predvsem pa ta orodja zelo veliko stanejo. To pa ne pomeni, da se ta orodja ne uporabljajo.« Vrnimo se na začetek, k že omenjenim željam Sove. Obveščevalno agencijo smo torej vprašali, ali res razmišlja o spremembi zakonske ureditve uporabe vohunske opreme za pridobivanje podatkov iz elektronskih naprav. Spraševali smo jo o razširitvi pristojnosti in programu Pegasus.

»S trenutnimi pooblastili Sova ne more slediti tehnološkemu napredku, ki je korenito spremenil način sodobnega komuniciranja. Če bo agencija želela učinkoviteje opravljati z zakonom določene naloge, bo morala imeti za to tudi ustrezna orodja.«

V Sovi so bili presenetljivo iskreni. Zapisali so, da »s trenutnimi pooblastili, določenimi v Zakonu o Sovi iz leta 1999, agencija ne more slediti tehnološkemu napredku, ki je korenito spremenil način sodobnega komuniciranja. Če bo agencija želela učinkoviteje opravljati z zakonom določene naloge, bo morala imeti za to tudi ustrezna orodja, natančno opredeljena v morebitnem novem, sodobnem in tehničnemu napredku prilagojenem Zakonu o Sovi, tako kot imajo to urejeno primerljive službe v evropskih državah. V Nemčiji na primer trenutno poteka korenita reforma obveščevalno-varnostnega področja, s katero bodo povečana pooblastila pristojnih služb zaradi poslabšanja varnostnih razmer v evropskem prostoru.« Odgovor je treba prebrati zelo natančno. V Nemčiji res poteka razprava o reformi zakonodaje obveščevalnih služb. Predlagane so spremembe, ki bi obveščevalnim službam omogočile širšo uporabo tehničnih sredstev, tudi posege v informacijske sisteme. Predlagana je večja možnost uporabe vohunske programske opreme oziroma orodij za pridobivanje podatkov iz elektronskih naprav, ki delujejo podobno kot Pegasus. Po novem bi se lahko uporabljala tudi tuja obveščevalna orodja. In Sova si očitno želi podobnih pooblastil.

Pri Sovi so se odgovoru na konkretno vprašanje o morebitni sedanji ali prihodnji uporabi Pegasusa ali podobnih programov izognili. Zapisali so le, »da so podatki, ki se nanašajo na posebne oblike pridobivanja podatkov, tajni ter jih agencija ne posreduje v objavo in ne komentira«.

A kot smo zapisali – tu gre za uradne želje državne agencije. Zato je ta odgovor morda bolj poveden, kot se zdi na prvi pogled.

***

Kaj naj zdaj storim?

Pri naprednih vohunskih programih je največja težava v tem, da običajni uporabniki o zlorabah ne vedo ničesar

Andrej Petrovski je tehnični direktor srbske nevladne organizacije SHARE Foundation, ki sodeluje pri forenzičnih preiskavah napadov z vohunsko opremo. Je torej človek, ki natančno ve, kako delujejo programi, kakršen je Pegasus, in kako se pred njimi zaščitimo. Njegovo razmišljanje ni najbolj spodbudno. Na vprašanje, kako vemo, ali smo okuženi, je odgovoril, da je glavna težava v tem, da »med uporabo naprave ni nobenih tehničnih znakov, ki bi nakazovali, da je naprava okužena z vohunsko programsko opremo. Hitro praznjenje baterije, segrevanje telefona, upočasnjeno delovanje in podobno niso dokazi, da je bil poskus okužbe izveden ali da je bil uspešen.« Edini posreden kazalnik, da je s telefonom nekaj narobe, je orodje »apple threat notification«, ki pa deluje le na iPhonu. Ta zazna neobičajno dejavnost in uporabnikom pošlje obvestilo.

Na telefonih, ki uporabljajo operacijski sistem Android, tega orodja ni, pri nekaterih telefonih obstaja možnost beleženja varnostnih dogodkov na telefonu, kar pomaga pri morebitnem kasnejšem forenzičnem pregledu. A v tem primeru gre za diagnozo zlorabe in ne za preprečitev.

Kako poteka forenzična preiskava? Petrovski pojasnjuje, da vsaka oprema, »vključno z vohunsko programsko opremo, na napravi pusti določene sledi, ki jih je mogoče odkriti z analizo sistemskih datotek in dnevnikov«. Ta analiza ni preprosta. Obstaja denimo prosto dostopno orodje MVT, ki so ga razvili pri Amnesty International, a za interpretacijo rezultatov pregleda je potrebno strokovno znanje.

Za Pegasusa in podobna vohunska orodja ne obstajajo protivirusni programi, kot jih poznamo v okolju Windows, ki bi lahko zaščitili telefon. »To velja še posebej, kadar govorimo o napadih ’brez klikov’. Seveda splošna priporočila o digitalni higieni zmanjšujejo tveganje okužbe. Mislim predvsem na to, da uporabniki ne klikajo na neznane povezave, ki so jih prejeli v elektronski pošti ali sporočilu, da na svoj telefon ne nameščajo nezanesljivih aplikacij in podobno.« Na iPhonu je mogoče uporabiti način »lockdown mode«, kar je dodatno zaklepanje, ki pa omeji uporabnost pametnega telefona. »Lockdown je v veliki večini primerov učinkovit, vendar nič ne more zagotoviti 100-odstotne zaščite pred vohunsko programsko opremo,« še pravi Petrovski.

Težava je torej v tem, da uporabnik – novinar, aktivist, politik, slehernik – kaj dosti ne more narediti. Pomembno je, da ima posodobljen sistem, a vohunski programi izkoriščajo javno neodkrite in neodpravljene ranljivosti. Res je, da se Android in Applov OS vsake toliko varnostno posodobita, a vohunski programi hitro najdejo nove luknje.

Najboljša zaščita je uporaba posebnega, varnostno ojačanega telefona, ki poleg varnostno ojačane programske opreme vsebuje ustrezno strojno podporo za zaščito (poseben namenski varnostni čip, strojna podpora za označevanje pomnilnika in drugo). Ena izmed možnosti je tudi uporaba sistema GrapheneOS na telefonih Google Pixel, ki popolnoma ne prepreči okužbe, zmanjša pa možnost, da bi do nje res prišlo.

In kako naprej, kaj se zgodi, če je telefon okužen? Lahko pokličemo policijo, lahko kontaktiramo nacionalni odzivni center za kibernetsko varnost SI-CERT in jih vprašamo za nasvet. Lahko pokličemo tudi inštitut Danes je nov dan, kjer imajo prav tako veliko znanja in strokovnjakov. Lahko pa se obrnemo na nevladno organizacijo Access Now, kjer je 24 ur na dan na voljo tehnična pomoč pri sumih okužbe z vohunsko opremo in drugih digitalnih napadih.