Në mesin e qershorit, ndërsa Izraeli dhe Irani shkëmbyen raketa dhe dronë gjatë të ashtuquajturës luftë 12-ditore, televizioni shtetëror iranian u bëri thirrje qytetarëve të fshinin WhatsApp nga telefonat e tyre inteligjentë. Zyrtarët pretenduan se aplikacioni i mesazheve po i rrjedhte të dhënat e përdoruesve Izraelit dhe po paraqiste një kërcënim për sigurinë kombëtare.
Paralajmërimi pasoi një rrëzim izraelit të komandës së lartë ushtarake të Iranit në një breshëri sulmesh ushtarake, të cilat ishin aq të sakta sa ngritën menjëherë pyetje në lidhje me cenueshmërinë e Teheranit ndaj spiunazhit.
Mbetet e paqartë nëse WhatsApp ishte i përfshirë drejtpërdrejt. Por, episodi vuri në qendër të vëmendjes një shqetësim në lidhje me sa shumë konsumatorët mund t’u besojnë platformave të mesazheve për të mbajtur të dhënat e tyre private.
Dhe më urgjente, sa akses kanë realisht aktorët shtetërorë vendas dhe të huaj në bisedat digjitale që njerëzit supozojnë se janë të koduara dhe të sigurta?
Aplikacionet e mesazheve si WhatsApp, Signal, Telegram dhe iMessage i Apple janë bërë të kudondodhura për komunikimet private.
Në vitet e fundit, këto shërbime kanë përdorur gjerësisht enkriptimin nga fillimi në fund, që do të thotë se vetëm përdoruesit që komunikojnë mund t’i deshifrojnë mesazhet, madje as ofruesit e shërbimeve.
Ky enkriptim i përhapur paraqet një sfidë të rëndësishme për agjencitë e sigurisë kombëtare dhe të inteligjencës, të cilat historikisht mbështeteshin në përgjimin e komunikimeve.
Megjithatë, edhe me enkriptimin nga fillimi në fund që mbron përmbajtjen e mesazheve, agjencitë e sigurisë kombëtare kanë zhvilluar një sërë strategjish teknike për të monitoruar të dyshuarit në platformat e mesazheve.
Këto variojnë nga kapja e të dhënave të pakriptuara aty ku janë të disponueshme, mbledhja e meta të dhënave dhe shfrytëzimi i dobësive të softuerit, deri te kooptimi i vetë ofruesve të shërbimeve përmes mjeteve ligjore ose të fshehta.
Bashkëpunimi i kompanive me qeveritë ndryshon dhe shpesh është i errët, gjë që ngre pyetje kritike në lidhje me besimin, transparencën dhe dobësitë sistemike.
Ndërsa disa aplikacione mesazhesh promovojnë enkriptim të fortë nga fillimi në fund, besimi në sigurinë e tyre duhet të matet.
Agjencitë e inteligjencës, si vendase ashtu edhe të huaja, kanë një histori të gjatë të aksesimit të të dhënave që dikur mendoheshin të sigurta.
Avantazhi teknologjik që këto agjenci ruajnë, i kombinuar me asimetrinë e konsiderueshme të informacionit, do të thotë që publiku shpesh nuk është në dijeni të asaj që është e mundur.
Në këtë kontekst, besimi absolut në privatësinë digjitale është, në rastin më të mirë, i gabuar.
Koleksioni i meta të dhënave
Metadatat janë shpesh burimet e para që shfrytëzohen nga agjencitë e inteligjencës. Edhe me mesazhet e koduara, metadatat mbeten të ekspozuara.
Ai përfshin detaje të tilla si kush komunikoi, kur, për sa kohë dhe madhësia e mesazheve. Ky informacion në dukje periferik mund të jetë shumë i vlefshëm për mbikëqyrjen, duke bërë të mundur që të nxirren në pah modelet, marrëdhëniet dhe sjelljet pa pasur nevojë të aksesohet përmbajtja aktuale e mesazhit.
Vetëm metadatat mund të jenë shumë zbuluese.
Ish-shefi i NSA-së dhe CIA-s, Michael Hayden, dikur tha: “Ne vrasim njerëz bazuar në metadata”, gjë që nxjerr në pah se si përdoren modelet e komunikimit pa pasur nevojë për tekste mesazhesh të vërteta për të gjetur dhe synuar individët.
Në kontekstin e aplikacioneve të mesazheve, meta të dhënat përfshijnë numrin e telefonit, informacionin e pajisjes, kohën kur është regjistruar përdoruesi, regjistrat se kë kontakton dhe kur, adresat IP dhe vulat e vendndodhjes.
WhatsApp, për shembull, mund të ofrojë informacione bazë për abonentët dhe regjistra përdorimi me urdhër gjykate, dhe me një urdhër gjykate mund të zbulojë edhe kontaktet e WhatsApp të një shënjestre dhe cilët përdorues e kanë shënjestrën në kontaktet e tyre.
Për më tepër, kompania mund të detyrohet të ofrojë meta të dhëna pothuajse në kohë reale dhe të raportojë se kujt i dërgon mesazh një përdorues dhe kur, të përditësuara çdo 15 minuta.
Disa kompani të tjera siç është Signal pretendojnë se i mbajnë meta të dhënat që mbledhin në minimum pikërisht për këtë arsye.
Në sinjalin e parë të thirrjes në gjyq të marrë, ai mund të jepte vetëm datën dhe orën kur një përdorues u regjistrua dhe herën e fundit që e përdori shërbimin. Ata thonë se nuk ruajnë listat e kontakteve, vulat kohore të mesazheve ose ndonjë identifikues përtej një numri telefoni, duke e bërë mbledhjen e meta të dhënave shumë të kufizuar nga vetë dizajni.
Në një shkallë më të gjerë, agjencitë e inteligjencës mund të kryejnë gjithashtu analiza të trafikut në nivel rrjeti.
Për shembull, njësitë SIGINT të NSA-së lidhen me rrjetet kryesore të internetit dhe regjistrojnë trafikun masiv. Edhe nëse mbledhin mesazhe WhatsApp të enkriptuara, ato prapë mund të shohin paketat e enkriptuara që shkojnë nga një IP në tjetrën.
Me kalimin e kohës, korrelimi i madhësisë, kohës dhe frekuencës së këtyre paketave së bashku me adresat IP ose identitetet e njohura të përdoruesve mund të japë një pamje të meta të dhënave se kush po flet me kë.
Teknika si analiza e kohës ndonjëherë mund të identifikojnë çiftet e komunikimit. Rrjedhjet e informacioneve nga Snowden zbuluan programe si MYSTIC, të cilat regjistronin të gjitha meta të dhënat e thirrjeve telefonike dhe madje edhe përmbajtjen në disa vende për analizë.
Kështu, edhe pa e prishur enkriptimin, agjencitë minojnë sinjalet rreth përmbajtjes së enkriptuar.
Hakimi i pajisjes
Kur komunikimet janë të enkriptuara gjatë transmetimit dhe në serverat e ofruesve, pika më e lehtë e përgjimit është shpesh pajisja e dërguesit ose marrësit para enkriptimit ose pas deshifrimit.
Agjencitë e inteligjencës kanë investuar shumë në aftësitë kibernetike për të kompromentuar telefonat inteligjentë dhe kompjuterët, duke i lejuar ata të lexojnë mesazhe direkt nga ekrani ose memoria e një pajisjeje.
Kjo taktikë u pranua në mënyrë të qartë në dosjet e rrjedhura të Vault 7 të CIA-s, të cilat detajonin një gamë të gjerë programesh keqdashëse dhe shfrytëzimesh për pajisjet iOS dhe Android.
Këto dokumente konfirmuan se agjencitë e inteligjencës mund të marrin kontrollin pothuajse të plotë nga distanca të telefonit të një përdoruesi dhe ta shndërrojnë atë në një pajisje përgjimi.
Pasi një agjenci arrin të marrë akses root ose admin në një telefon, ajo mund të anashkalojë ose të kapë drejtpërdrejt përmbajtjen e çdo aplikacioni ‘të sigurt’, pasi aplikacioni duhet të deshifrojë mesazhet për përdoruesin.
Veçanërisht, rrjedhjet e Vault 7 nuk përmbanin asnjë tregues të humbjeve kriptografike kundër vetë protokolleve Signal ose WhatsApp, të cilat Open Whisper Systems (zhvilluesi i Signal) i përmendi si vërtetim se enkriptimi nga fillimi në fund po i detyronte agjencitë të përdornin hakerim të synuar dhe që kërkonte shumë punë.
Një shembull i dukshëm i kësaj taktike ishte programi spiun Pegasus i zhvilluar nga NSO Group, një firmë izraelite e inteligjencës kibernetike.
Pegasus u bë famëkeq për aftësinë e tij për të infektuar telefonat në distancë dhe fshehurazi.
Në vitin 2019, u zbulua se Pegasus kishte përdorur një dobësi zero-day në kodin e WhatsApp duke telefonuar thjesht një objektiv nëpërmjet WhatsApp. Edhe nëse thirrja nuk merrej përgjigje, programi spiun mund të injektohej.
Pasi Pegasus mori në kontroll pajisjen, ajo mund të kopjonte mesazhe, të regjistronte thirrje, të aktivizonte mikrofonin dhe kamerën, si dhe të gjurmonte vendndodhjen, gjë që i anulon plotësisht mbrojtjet e enkriptimit nga fillimi në fund duke vjedhur të dhënat në burim.
Hetimet nga Citizen Lab dhe Amnesty International kanë gjurmuar përdorimin e Pegasus te agjencitë e inteligjencës ose të zbatimit të ligjit të dhjetëra vendeve, të cilat dyshohet se e përdorën atë kundër gazetarëve, aktivistëve dhe figurave politike.
Në vitin 2021, studiuesit zbuluan Forcedentry, i cili është një shfrytëzim pa klikime i zhvilluar nga Grupi NSO për të instaluar në heshtje programin spiun Pegasus në pajisjet Apple.
I maskuar si skedarë imazhesh të dërguar nëpërmjet iMessage, sulmi nuk kërkoi ndërveprimin e përdoruesit dhe shfrytëzoi një të metë në sistemin CoreGraphics të Apple për t’i anashkaluar mbrojtjet e integruara.
Ajo që e bëri veçanërisht alarmante ishte sofistikimi i tij; ekspertët në Google e përshkruan atë si një nga shfrytëzimet më të përparuara teknikisht të parë ndonjëherë.
Përveç produkteve të NSO-së, agjencitë kryesore të inteligjencës zhvillojnë programet e tyre keqdashëse. Këto operacione shpesh janë shumë të klasifikuara dhe ne dimë për to vetëm nëpërmjet rrjedhjeve dhe incidenteve të rralla.
Ndryshe nga mbikëqyrja masive, hakimi i pajisjeve është i synuar pasi ato përdoren ndaj personave specifikë me interes. Njësia e Operacioneve të Qasjes së Personalizuar e NSA-së, për shembull, thuhet se ka implante të personalizuara për telefonat Android dhe Windows. Dosjet Vault 7 të CIA-s renditën mjete si HammerDrill që synonin telefonat inteligjentë.
GCHQ e Mbretërisë së Bashkuar në mënyrë të ngjashme angazhohet në “ndërhyrje në pajisje”, e cila është legalizuar në mënyrë të qartë sipas Aktit të Pushteteve Hetuese të Mbretërisë së Bashkuar të vitit 2016 për rastet e sigurisë kombëtare.
Është e qartë se, pavarësisht se sa i fortë është enkriptimi, nëse një shërbim inteligjence mund të implantojë programe spiune në një telefon ose kompjuter, ata në fakt e anashkalojnë enkriptimin.
Ky realitet e ka ndryshuar manualin e inteligjencës dhe agjencitë tani shpenzojnë burime në shfrytëzime zero-day, programe keqdashëse dhe madje edhe kompromentime të zinxhirit të furnizimit, me qëllim që të arrijnë të dhënat e koduara.
Ana e serverit
Një tjetër rrugë teknike është sulmi ose shfrytëzimi i serverave dhe infrastrukturës së shërbimeve të mesazheve.
Ndërsa enkriptimi nga fillimi në fund ka për qëllim të sigurojë që serverët nuk mund të deshifrojnë mesazhet e përdoruesve, agjencitë kanë gjetur mënyra për të shfrytëzuar sistemet nga ana e serverit për informacion.
Në disa raste, agjencitë kanë kryer vjedhje masive të të dhënave nga kompanitë e teknologjisë. Dokumentet e Snowden zbuluan Muscular, një operacion të NSA/GCHQ që kishte përgjuar lidhjet e të dhënave private midis qendrave të të dhënave të Google, duke nxjerrë të dhëna të pakriptuara gjatë transportit.
Google dhe firma të tjera i enkriptuan ato lidhje pas vitit 2013, por incidenti tregon vlerën që i jepet lidhjeve infiltruese të rrjetit kryesor.
Për aplikacionet e mesazheve, ekuivalenti do të ishte synimi i komunikimit midis serverëve të aplikacioneve ose midis serverëve dhe pikave fundore të paenkriptuara si bisedat në cloud të Telegram.
Ndoshta metoda më e drejtpërdrejtë është të bindësh ofruesin të ndihmojë.
Në vitin 2013 u zbulua se programi PRISM i NSA-së i lejonte asaj të mblidhte të dhëna nga serverat e kompanive për objektiva të inteligjencës së huaj, sipas autoritetit ligjor të ShBA-së.
Kompani si Microsoft, Google, Facebook dhe Apple u listuan si pjesëmarrëse në PRISM, duke i siguruar NSA-së një kanal të drejtpërdrejtë për kërkesat e të dhënave të miratuara nga FISA.
Në praktikë, për aplikacione si WhatsApp ose iMessage, PRISM mund të përdoret për të kërkuar të dhëna të ruajtura, të tilla si informacioni i llogarisë, kontaktet dhe komunikimet e ruajtura që nuk ishin të enkriptuara nga fillimi në fund.
Për shembull, para vitit 2016, WhatsApp nuk kishte enkriptim nga fillimi në fund për të gjitha mesazhet, kështu që përmbajtja në serverat e tyre mund të ishte përpunuar.
Pasi të futej shërbimi gjithëpërfshirës, përmbajtja nuk do të ishte më e disponueshme pasi Facebook nuk mund ta deshifrojë atë, por të dhëna të tjera si kopjet rezervë në cloud ose meta të dhënat mund të jenë të disponueshme përmes kanaleve të tilla.
Është gjithashtu e mundur që, në vend që t’ia kërkojë kompanisë, një agjenci të hakojë serverat. Nëse një shërbim inteligjence depërton në rrjetin e brendshëm të një shërbimi mesazhesh përmes mjeteve kibernetike ose nëpërmjet një personi të brendshëm, ata potencialisht mund ta manipulojnë shërbimin.
Pas Snowden, kompanitë i kanë forcuar sistemet e tyre dhe kanë luftuar për imazhin e mbrojtjes së privatësisë së përdoruesve, siç është enkriptimi i WhatsApp dhe refuzimi i Apple për të zhbllokuar iPhone-ët. Megjithatë, aty ku të dhënat janë të arritshme, ofruesit shpesh i zbatojnë urdhrat e ligjshëm. Dhe aty ku ofruesit rezistojnë, agjencitë mund të gjejnë një mënyrë për të hyrë përmes hakerimit.
Iluzioni i privatësisë
Privatësia, në shumë raste, është një iluzion. Organizatat e inteligjencës kanë demonstruar vazhdimisht aftësinë e tyre për të anashkaluar masat mbrojtëse dhe për ta aksesuar informacionin që supozohet të jetë i sigurt.
Suksesi i tyre nuk qëndron vetëm në teknologjinë e përparuar dhe shtrirjen ligjore, por edhe në veprimin përtej vetëdijes së publikut. Hendeku midis asaj që dihet dhe asaj që është në të vërtetë e mundur është i madh dhe shpesh i padukshëm.
Prandaj, komunikimi digjital, pavarësisht se sa i sigurt duket, mbetet i cenueshëm. Enkriptimi nga fillimi në fund ofron mbrojtje kuptimplote, por nuk është një zgjidhje e lehtë.
Agjencitë e inteligjencës në të gjithë botën i kanë përshtatur taktikat e tyre, duke u përqendruar në analizën e meta të dhënave, mbikëqyrjen në nivel pajisjesh dhe shfrytëzimin e infrastrukturës për të anashkaluar barrierat e enkriptimit.
Platformat e mesazheve ndryshojnë në filozofitë e tyre të dizajnit, politikat dhe transparencën, por të gjitha funksionojnë brenda një mjedisi kompleks të formuar nga kufizimet teknike, presionet ligjore dhe interesat shtetërore.
Përdoruesit mund të supozojnë se mesazhet e tyre janë private, por privatësia në sferën digjitale nuk varet vetëm nga protokollet e enkriptimit, por edhe nga integriteti i pajisjeve, rrjeteve dhe kompanive që ofrojnë shërbimet.
