Netidők Blogtársaság

Olvasom a hírt, egy orosz lap szerint a Microsoft lehetővé teszi, hogy az általa nemrég felvásárolt Skype-ot lehallgathassák az orosz titkosszolgálatok, így elkerülik a betiltását az országban. A Vedomosztyi arról számolt be, hogy az amerikai társaság kész átadni az orosz Szövetségi Biztonsági Szolgálatnak (FSZB) az általa májusban felvásárolt Skype titkosítási algoritmusát. Amennyiben ez megvalósul, úgy a helyi hatóságok belehallgathatnának az internetezők telefonbeszélgetéseibe. A Microsoft várhatóan a Skype felvásárlásának lezárulta után nyújtja át a programkódot.

A hír természetesen gyorsan szétszalad, a kommentek alapján kapásból mindenki feltételezi a Redmonti cégről ezt a hozzáállást. Hamarosan Spányik Balázs cáfolja nekem a hírt. Elolvasta az eredetit, és kiderült félrefordításról van szó, a Microsoft a forráskódot hajlandó átadni.

Forráskód vagy titkosítási kulcs, nem mindegy. De a forráskódnak semmi köze a titkosítási kulcshoz. A forráskódból meg lehet állapítani, hogy mit is csinál valójában a program, de ezzel nem férünk hozzá a titkosításhoz.  A MS-nál évtizedes gyakorlat, hogy átadja a forráskódokat betekintésre bármelyik kormánynak, aki azt igényli. Biztonsági okokból ellenőrizheti, mit is csinál a program.

Akkor miért lett ez hír? Egyrészt valószínűleg nyár van, uborkaszezon, nincs miről írni. De ennek ellenére nem feledkezhetünk meg egy tényről: egy szoftver használata bizalmi kapcsolat. Megbízunk a szoftver gyártójában, hogy a program azt és úgy csinálja, ahogy azt kell. A szoftver védi az adataikat, és nem kerülhetnek harmadik fél kezébe.  Napjainkban egyre nagyobb probléma az adatbiztonság, egyre kényesebbek vagyunk a témára. Különösen érzékeny hír az, ha egy cég a beleegyezésünk nélkül, gyűjt, továbbít, vagy ad át adatokat. Akár másnak, akár a hatalomnak.

Ez a bizalom a MS esetében már 2000 táján megrendült, amikor egy „NSA-key” nevű változót találtak a Windows NT szervízcsomagjában. A Microsoft közleménye szerint ennek semmi köze a titkosszolgálathoz, nem egy hátsó ajtó.  Az "NSA key" feliratú kulcs azt jelöli, hogy a termék megfelel az amerikai export előírásoknak: az NSA technológiailag felügyeli az amerikai szoftverexportot, a kulcs pedig annak bizonyítására szolgál, hogy a termékben alkalmazott titkosítási szolgáltatások megfelelnek az előírásoknak. Ezt a bejelentést mindenki vérmérséklete szerint elfogadta vagy elutasította.

Azután 2007-ben a francia titkosszolgálat javaslatára megtiltották a francia kormánytisztviselőknek a BlackBerry készülékek használatát, mert attól tartottak, hogy az Egyesült Államok kémtevékenységének célpontjai lehetnek. A Le Monde szerint a francia elnöki és miniszterelnöki hivatal munkatársait arra figyelmeztették, hogy így küldött e-mailjeik külföldi kezekbe kerülhetnek, mert a BlackBerryk amerikai és brit szervereket használnak. Szemmel láthatóan nem bíztak saját szövetségeseikben.

Már a francia titkosszolgálat döntése (vajon saját tapasztalat alapján???) is sejteni engedte, hogy egy állam több féle képpen is nyomás tud gyakorolni cégekre, hogy hozzáférjen az őt érdeklő adatokhoz. Az egyszerű halandó nem sejtheti milyen megállapodások lehetnek a kormányok és a nagyvállalatok között.

Az  orosz Szövetségi Biztonsági Szolgálat (FSZB, leánykori nevén KGB)  áprilisban felvetette a Skype, a Gmail és a Hotmail oroszországi betiltásának lehetőségét. Az illetékes kormánybizottság úgy döntött: a főhatóságok bevonásával alakítandó munkacsoportra bízza a kérdést és a javaslat kidolgozását október 1-re várja.

De vajon nyomást tud gyakorolni egy idegen ország? Valójában igen, ha azzal fenyegeti meg a céget, hogy kitiltja piacairól, ezzel nagyon komoly bevételektől fosztva meg a társaságot. Ekkora cégek (és ekkora piacok) esetében dollár százmilliókról beszélünk. Egy ilyen esetben csak a cégvezetés politikáján/tisztességén múlik, hogy engednek a zsarolásnak, vagy távoznak.

Mi lesz ennek a vége? Megtudjuk október 1-e után.

Tücsi, a galaktikus

Az adataink, a fájljaink és minden amit számítógépünkön tárolunk nagyon fontosak. Érdemes ezért minden lehetséges módon védelmezni azokat az illetéktelenek elől. Erre több lehetőségünk is van, de nekem leginkább a TrueCrypt névre hallgató nyílt forráskódú megoldás tetszik a legjobban, mert több módon is használhatjuk titkosításra.

Első szint

A legegyszerűbb, ha az összes adatunkat belehajigálhatjuk egy nagy széfbe, amit csak mi tudunk kinyitni. Ezt minden további nélkül megtehetjük a TrueCrypt segítségével, mégpedig úgy, hogy létrehozunk egy jó nagy titkosított fájlt vele, amit aztán mint egy merevlemezt tudunk hozzáadni a rendszerünkhöz. Ha tudjuk a jelszót ehhez a virtuális meghajtóhoz, akkor látszanak az oda mentett dolgaink, ellenkező esetben csak egy darab fájlt találunk a merevlemezünkön.

Ennek a megoldásnak az előnye, hogy a titkosított fájlt, nyugodtan tárolhatjuk akár a felhőben is, még ha valami módon magához fájlhoz hozzá is férnének, a jelszó ismerete nélkül azzal nem mennek semmire. De ugyanígy USB kulcson is biztonságban tarthatjuk a dolgainkat. Elvesztés vagy eltűnés esetén sem kell aggódnunk, hogy az azon tárolt adatokat valaki felhasználja.

Második szint

Haladók és kalandos kedvű felhasználók választhatják a teljes merevlemez titkosítását is. Ez azért igényel egy magabiztos számítógép ismeretet, mert particionálás, formázás mind szerepel a műveletek között, ami gyakorlatlan felhasználóknak egyenes út az adatvesztéshez. Aki viszont csinál biztonsági mentést, mielőtt egy ilyen műveletbe belevág, az nyugodtan kísérletezhet ezzel a megoldással. Ha olyan operációs rendszert használunk, amelyik a telepítéskor felkínálja az adatok titkosított tárolását (pl. Ubuntu), akkor érdemes élnünk ezzel a lehetőséggel. Ilyenkor az összes kellemetlenség csak annyi, hogy minden rendszer induláskor meg kell adnunk a jelszót, amivel a titkosítás feloldható. Ez nem akkora véráldozat, hogy ne érné meg a fáradtságot.

Julian Assagne szint

Egy oknyomozó újságírásáról híres napilapnál történt meg állítólag Venezuelában az az eset, hogy a szerkesztőség majd minden tagja a reggeli kávéját szürcsölgette, mikor is nagy ordítozásra lett figyelmes mindenki. A recepciósok nem tudták feltartóztatni az egyenruhásokat akik egyenesen Robert Carmona-Borjas irodája felé vették útjukat. Az ajtót berúgták és a rémült embertől követelték, hogy adja át a jegyzeteit, a demokráciavédelmi törvény értelmében. Ő ekkor halkan csak annyit mondott, hogy minden jegyzetét a számítógépén tartja. Ebben a pillanatban előre lépett egy kicsit véznább, szemüveges egyenruhás aki a billentyűzetet mellől kitúrta Robertet. Bekapcsolta gépet, majd kisvártatva közölte az egyenruhások vezetőjével, hogy nem tudja a gépet elindítani mert az jelszóval van védve. Ekkor a főnök, nyomatékosan megkérte Robertet, hogy árulja el a jelszót. Robert körülnézett és látva a rengeteg AK-103-ast, jobbnak látta elárulni azt. Halkan, szinte a fogai között sziszegte: Clandestino. A billentyűzeten szinte azonnal megismétlődtek a betűk és egy másodperc múlva eltűntek a ráncok a szemüveges egyenruhás homlokáról és kárörvendően elvigyorodott, majd így szólt: rendben, lefoglalhatjuk a gépet. Így is tettek és ahogy jöttek úgy el is vonultak, magukkal hurcolva a corpus delictit. Robert pár nap múlva elhagyta Venezuelát és az Egyesült Államokba emigrált. Tudta, hogy egyetlen egy informátorát, sem fogják megismerni az elkonfiskált számítógépről, hiszen a "hatósági" jelszót adta meg ami, nem az igazi operációs rendszert indította el. A valódi létezését sokáig próbálták megfejteni, de azóta sem sikerült senkinek.

Persze ennek a történetnek a hitelességét senki nem erősítette meg, de a számítógépes része igaz is lehet, amennyiben kihasználja valaki a TrueCrypt szteganográfiás képességeit is. A rendszer ugyanis erre is alkalmas. Akár két operációs rendszert is elhelyezhetünk a számítógépen. Az egyik csak elterelési célokat szolgál arra az esetre, ha fegyvert szegeznének a homlokunkhoz. Ilyenkor nyugodtan el lehet árulni a kamu jelszót. Kamu jelszóhoz, kamu operációs rendszer tartozik, amit tetszőleges kamu adatokkal tudunk feltölteni, hogy éles helyzetben hitelesnek tűnjön az egész. Ha pedig a valódi jelszót adjuk meg akkor dolgozhatunk nyugodtan a féltve őrzött adatainkkal.

Letöltés:TrueCrypt
Magyar nyelvi kiegészítés: letöltése innen