Nincs program sérülékenység nélkül. A kérdés inkább az, hogy szándékosan vagy figyelmetlenségből került-e a rés a szoftverbe, illetve hogy ki tud profitálni belőle. Tihanyi Norberttel, a magyar NSA volt munkatársával beszélgettünk.
Március elején érkezett a hír, miszerint feltörték az amerikai NSA oldalát egy olyan SSL-hibát kihasználva, amit korábban pont az ügynökség rendelt meg. A nemzetközi sajtóban még ennél is vadabb történeteket lehet olvasni a Nemzetbiztonsági Ügynökség direkt elhelyezett réseiről. Kezdhetünk hinni az összeesküvés-elméleteknek?
Tihanyi Norbert: Szinte naponta lehet hallani az operációs rendszerek, népszerű szoftverek és hálózati eszközök sérülékenységeiről. Minden esetben felmerül a kérdés, hogy vajon programozási figyelmetlenség az okozója, vagy valaki szándékosan rendelte meg, hogy egy úgynevezett hátsó ajtót (backdoor) rejtsen el a kódjában. Korábban, öt évvel ezelőtt még nem gondoltuk, hogy a második lehetőséggel tömegesen számolnunk kell, ám a Snowden-ügy és azon belül is az elliptikus görbék elméletén alapuló, kriptográfiailag biztonságosnak hitt véletlenszám-generátor hibája óvatosabbá tett bennünket. A Dual_EC_DRBG véletlenszám-generátornál ugyanis bebizonyosodott, hogy nagy valószínűséggel szándékosan implementáltak az Amerikai Szabványügyi Hivatal által is ajánlott (NIST) eljárásba egy, kizárólag titkos kulccsal aktiválható logikát, amelynek segítségével meghatározhatók mindössze 32 bájt ismeretében a generátor további kimenetei. Ez egy viszonylag új módszer, az úgynevezett kleptográfia: célja, hogy a programokba direkt beépített kiskapukat a felfedezésüket követően ne használhassa akárki, csak az, aki tudja, hogyan lehet aktiválni.
Ha egy biztonsági szakember belenéz a forráskódba, elvileg az algoritmus minden részletét látnia kellene, vagy ez nincs így?
Tihanyi Norbert: Képzeljünk el egy véletlenszám-generátort, amely remekül működik, legalábbis látszólag. A hardver manipulálásával azonban megváltoztathatjuk környezetét és így futását is, például hibázásra utasíthatjuk a komponenseket – legyen szó a frekvencia, az áramfelvétel vagy a hőmérséklet módosításáról. Fault injection módszerekkel lehetséges olyan változást elérni, melynek eredményeként programunk másként viselkedhet, pontosan úgy, ahogy mi szeretnénk. Az auditot végző szakember viszont nem lát majd semmi rendellenes dolgot, hiszen ő idilli állapotában ellenőrzi a gépet. Rengeteg ilyen szofisztikált módszer van; ha valaki el akarja rejteni a rést, el tudja, és ha mégis napvilágra kerül a turpisság, nehéz lesz bizonyítani a szándékosságot.
Kétségtelen, hogy a szoftverpiacon jelenleg amerikai dominancia van. Ez azt is jelenti, hogy e téren is előnyben vannak Obamáék?
Tihanyi Norbert: Ez nem kérdés, biztos, hogy így van. Habár itthon is működnek intézmények, például a magyar NSA, azaz a Nemzeti Biztonsági Felügyelet – ahol hét évig dolgoztam – és más információbiztonsági szervezetek, akiknek nincs elegendő kapacitásuk ahhoz, hogy a nagyobb szoftvergyártóknál elérjék a rejtett hátsó kapu kiépítését. Nincs Magyarországnak egy mamutcége, amelyen keresztül tömegeket érhetne el. Születhetnek jó ötletek itthon, de nem tudjuk a megoldást eljuttatni az emberekhez. Látni kell, hogy amit lehet kontrollálni, azt a szolgálatok mindig megpróbálják majd ellenőrzésük alatt tartani. Sokkal nehezebb egy bűnözőt vagy terroristát elcsípni, ha nem olvashatjuk levelezésüket. A hírszerzésben pedig nem kérdéses, hogy ha valaki képes önmagától információt szerezni a többi országról, akkor meg is lépi azt. Ezt nemcsak az Egyesült Államok csinálja, hanem mindenki, köztük mi is.
Mi történik akkor, ha lebukik egy backdoort tartalmazó program?
Tihanyi Norbert: Ha ilyenre fény derül, akkor nem kaphat akkreditációt az adott eszköz, azaz nem jelenhet meg olyan szervezetnél, amely minősített adatot kezel. Tudni kell, hogy ha valaki szeretne szigorúan titkos adatokat rejtjelezve kezelni, akkor az nem úgy működik, hogy bemegy reggel az első elektronikai boltba, és vesz egy számítógépet. Ekkor a szervezetek csak a Nemzeti Biztonsági Felügyelet, azaz a helyi NSA által jóváhagyott rejtjelező eszközöket használhatják, hogy a vonatkozó jogszabálynak megfelelhessenek. A minősített adatok védelme pontosan és egyértelműen szabályozott.
Volt már példa arra, hogy a Nemzeti Biztonsági Felügyelet jóváhagyott egy eljárást, később viszont kiderült, hogy az hátsó ajtót tartalmazott?
Tihanyi Norbert: Nagyon jó példa erre az imént már említett véletlenszám-generátor, amit még a NIST is ajánlott, pedig az amerikai NSA kérésére kerülhetett be a generátorok közé. Felröppentek olyan hírek is, melyek szerint az amerikai kormány dollármilliárdokat ölt abba, hogy a hibás titkosítási eljárást elterjessze. A tokenjeiről híres RSA pedig Snowden szerint 10 millió dollárt fogadott el azért, hogy a sérülékeny megoldást ajánlja. Emlékezetes még a D-Link routerek és a bennük rejtőző backdoor esete is, amellyel az otthoni felhasználóknak szánt modelleknél meg lehetett kerülni a beléptető autentikációs felületet. Ez is egy előre beprogramozott hiba volt az elemzők szerint, de arra tippelek, hogy az igazgatók, pénzügyi vezetők erről semmit sem tudtak, hiszen nem lettek volna képesek hatékonyan úgy eladni egy terméket, hogy tudják annak a hibáit. Ráadásul minél több ember tud egy rejtett backdoorról, annál hamarabb fény derül rá. Szinte biztos, hogy egy, a gyártásban dolgozó beépített ember volt az, aki belepiszkált az eszközökbe.
Ha már a tajvani cég szóba került, beszéljünk Kínáról. Az Egyesült Államok rendszeresen támadja az ország cégeit, kémkedéssel vádolva őket. Híres például a Huawei esete. Szerinted jogosak az amerikaiak félelmei?
Tihanyi Norbert: Nehéz igazságot tenni, bárkinek lehet igaza, viszont kétlem, hogy Kína ne akarna backdoort tartalmazó eszközöket terjeszteni. Mindegyik nagyhatalom erre vágyik, ezért dolgozik, miért lennének ők kivételek? A lényeges kérdés inkább az, hogy az Egyesült Államok azért állítja ezt, mert tényleg talált hátsó ajtót a termékekben, vagy azért, mert nem talált, de feltételezi, hogy benne van. Amerika célja egyébként sem a keleti cégek, hanem sajátjainak támogatása, amire bőven láttunk már példát a múltban. Ilyen volt például a Truecrypt esete. Körülbelül egy éve érkeztek a hírek, hogy a titkosító konténer nem biztonságos, és nem fejlesztik tovább. Hirtelen elkezdtek mindenkit a BitLocker felé terelni, pedig többen is elemezték a TrueCryptet, köztük mi is, és senki nem talált arra vonatkozó információt, hogy kevésbé lenne biztonságos. Valószínűbb, hogy falba ütköztek; az amerikai titkosszolgálat jellemzően nem szereti az olyan programokat, amelyekre nincs rálátása. Én személy szerint nem hiszem, hogy a Microsoft BitLockerében nincs beépített backdoor, ellenben a TrueCrypt használatát még mindenkinek javaslom.
Nekünk is, patriótáknak, vagy inkább paranoiásnak kellene lennünk?
Tihanyi Norbert: Át kell gondolnunk, hogy van-e olyan adatunk, amit az amerikai NSA-tól meg szeretnénk védeni. Tényleg kíváncsi lehet ránk amerikai kormány? Ha minősített, titkosított dokumentumokkal kell dolgoznunk, akkor szükségünk lesz a megfelelő engedélyekre, emberekre és eszközökre, egyébként kicsi az esély annak, hogy pont minket fognak zaklatni. Magánemberként nem az állami cégektől kell félnünk. Tömegeket pedig csak akkor tudnak támadni, ha publikálják a sérülékenységet, ám a nagyobb szereplőknek ez nem érdekük – ők ki akarják aknázni a megrendelt vagy felfedezett sérülékenységet, ha viszont mégis kikerül a rés, gyorsan érkezik hozzá a foltozás.
A patriotizmus már részben működik a bizalmatlanság miatt. Ha egy, a NATO-val összefüggő titkos információt kell továbbítanunk egy másik tagországnak, akkor jobbára a NATO által bevizsgált eszközöket használjuk e célra. Érdekes módon azonban ezeket a berendezéseket senki sem alkalmazza saját nemzeti adatai kezelésére, senki sem bízik meg a többiekben. Ugyanígy, ha kifejlesztünk egy új technológiát vagy rejtjelező eszközt, nem megmutatjuk meg a többieknek, nem vizsgáltatjuk be, megtartjuk inkább magunknak. Utána már a hírszerzéseken múlik, hogy a technológiát vajon egy másik ország meg tudja-e szerezni, vagy sem.
Ami mögött tömeg van, az gyanús, ezek alapján. A Windows dominál, és lehet, hogy az sem véletlen, hogy a Linuxok tömegéből kiemelkedett az Ubuntu. Mégis miben lehet megbízni?
Tihanyi Norbert: Szinte biztosra veszem, hogy a népszerű operációs rendszerekben legalább egy backdoor van, a kérdés csak az, hogy azt megtalálják-e mások, vagy sem. Nézzük meg például a Microsoft üzletpolitikáját. A mai világban már nem nagy kunszt egy olyan modul elkészítése, amely letiltja a kalózkodó rendszereket. Valamiért mégsem ösztönzik vásárlásra az embereket, inkább tömeget próbálnak elérni. Érdemes elgondolkodni, hogy van-e ennek üzleti racionalitása. Szinte kizártnak tartom, hogy ne lehessen bármilyen programban olyan hiba, amit utána a kormányok kihasználhatnak.
Fent vagy a Facebookon?
Tihanyi Norbert: Nem vagyok fent, de míg öt évvel ezelőtt határozott álláspontom volt erről, ma már nem egyértelmű számomra, jó-e az, hogy nincs profilom. Kiderült, hogy több pénz van az adatelhelyezésben, mint az adatszerzésben, és ez a közösségi oldalakra is igaz lehet. Megtörtént eset, hogy az egyik német autógyártó beperelte a másikat, mivel annak szerverein megtalálta egyik tervezés alatt álló motorjának tervrajzait. Az igazságügyi szakértői vélemények alapján úgy tűnt, hogy az adatot nem lopták, hanem oda tették, ám a bíróság álláspontja szerint mindenkinek a saját infrastruktúrájáért kell felelősséget vállalnia, így a papíron megkárosított cég kártérítést kapott, számítások szerint legalább nyolcszor több pénzt, mintha eredeti szándéka szerint megcsinálta volna a motort.
