Tokom sukoba, vlade i obavještajne agencije pojačale su kibernetičke operacije, ne samo protiv vojnih ciljeva, već i protiv civila, novinara i aktivista. Aplikacije za dopisivanje, koje se često reklamiraju kao sigurno utočište zahvaljujući enkripciji, postale su bojno polje za dezinformacije, špijunažu i nadzor.

Iluzija privatnosti

Korisnici širom svijeta oslanjaju se na aplikacije poput WhatsAppa, Signala, Telegrama i Appleovog iMessagea, vjerujući da end-to-end enkripcija štiti njihove poruke od radoznalih pogleda. Tehnički gledano, ona onemogućava da sam pružalac usluge pročita sadržaj poruka.

Međutim, incidenti iz ovog sukoba pokazuju surovu istinu: enkripcija štiti poruke tokom prenosa, ali ne i same uređaje korisnika.

Poziv na brisanje WhatsAppa

Sredinom juna, dok su Izrael i Iran razmjenjivali rakete i dronove tokom takozvanog 12-dnevnog rata, iranska državna televizija pozvala je građane da obrišu WhatsApp sa svojih telefona. Zvaničnici su tvrdili da aplikacija propušta korisničke podatke prema Izraelu i predstavlja prijetnju nacionalnoj sigurnosti.

Ova poruka uslijedila je nakon izraelskog preciznog udara na iransko vojno rukovodstvo, što je odmah izazvalo sumnje u ranjivost Teherana na špijunažu.

Da li je WhatsApp direktno bio uključen ostaje nejasno. No, ovaj slučaj jasno je ukazao na goruće pitanje: koliko zaista korisnici mogu vjerovati aplikacijama za dopisivanje da štite njihovu privatnost?

Još važnije – koliki stvarni pristup digitalnim razgovorima imaju domaće i strane obavještajne službe, uprkos enkripciji?

Granice enkripcije

Aplikacije poput WhatsAppa, Signala, Telegrama i iMessagea danas su neizostavne za privatnu komunikaciju.

U posljednjih nekoliko godina ove platforme su usvojile end-to-end enkripciju, što znači da samo pošiljalac i primalac mogu dešifrovati poruke - čak ni same kompanije ne mogu.

Ova enkripcija ozbiljno otežava rad obavještajnim službama koje su se decenijama oslanjale na prisluškivanje komunikacija.

Ipak, čak i uz ovakvu zaštitu sadržaja, obavještajne agencije razvile su čitav niz tehnika za nadzor korisnika. Te tehnike uključuju prikupljanje nezaštićenih podataka gdje god su dostupni, prikupljanje metapodataka, iskorištavanje softverskih ranjivosti i saradnju s kompanijama – kroz legalne zahtjeve ili tajne dogovore.

Nivo saradnje između kompanija i državnih aktera često je netransparentan, što dodatno podriva povjerenje u ove platforme.

Snaga metapodataka

Prva linija nadzora su metapodaci. Čak i kada je sadržaj poruka enkriptovan, metapodaci ostaju dostupni.

Metapodaci uključuju informacije o tome ko s kim komunicira, kada, koliko često, veličinu poruka, IP adrese i lokacijske podatke.

Ovi naizgled bezopasni podaci mogu otkriti obrasce ponašanja, društvene mreže i kretanje ljudi.

Bivši šef NSA i CIA-e, Michael Hayden, jednom je izjavio: “Ljude ubijamo na osnovu metapodataka.”

To jasno pokazuje koliku operativnu vrijednost metapodaci imaju.

Na primjer, WhatsApp može - na osnovu sudskog naloga - dostaviti podatke o korisničkom broju, kada je korisnik registrovan, kome šalje poruke i ko ima tog korisnika u svom imeniku. Također, mogu dostavljati skoro real-time metapodatke ažurirane svakih 15 minuta.

Signal, s druge strane, prikuplja znatno manje podataka. Na osnovu sudskog poziva, Signal je mogao dostaviti samo datum registracije i datum posljednje upotrebe aplikacije.

Hakirane poruke - hakiran uređaj

Kada je komunikacija zaštićena u prijenosu i na serverima, najlakše mjesto za presretanje poruke postaje sam uređaj pošiljaoca ili primaoca.

Ako haker, ili državna agencija, preuzme kontrolu nad telefonom - svi nivoi enkripcije padaju. Poruke se moraju dekriptovati da bi ih korisnik pročitao - tom trenutku su vidljive i napadaču.

Ovo je potvrđeno curenjem CIA-inih Vault 7 dokumenata, koji su otkrili čitav arsenal alata za hakiranje Android i iOS uređaja.

Jedan od najpoznatijih primjera jeste Pegasus, špijunski softver izraelske kompanije NSO Group. On je mogao snimati pozive, pristupati porukama, uključivati mikrofon i kameru, pratiti lokaciju - sve bez znanja korisnika.

Posebno zabrinjavajući bio je zero-click napad - bilo je dovoljno poslati poruku ili propušteni poziv da se softver instalira, bez ikakvog klika korisnika.

Sličan napad zabilježen je 2021. godine pod imenom ForcedEntry, koji je uspijevao inficirati Apple uređaje bez bilo kakve interakcije korisnika, koristeći ranjivost u načinu na koji iMessage obrađuje slike.

Napad na servere i kompanije

Druga metoda je hakiranje ili legalno prisiljavanje samih kompanija da predaju podatke.

Primjer iz Snowdenovih dokumenata - operacija MUSCULAR - pokazuje kako su NSA i GCHQ presretali podatke u tranzitu između Googleovih i Yahooovih data centara.

Slično, program PRISM omogućavao je NSA-i da pristupa podacima sa servera velikih kompanija kao što su Microsoft, Google, Apple i Facebook.

Za aplikacije poput WhatsAppa ili iMessagea, PRISM je mogao omogućiti pristup informacijama kao što su podaci o nalogu, lista kontakata i podaci iz cloud backup-a (ako nije enkriptovan).

Iluzija digitalne sigurnosti

Ono što se smatra privatnim - često to nije. Obavještajne agencije širom svijeta pokazale su da mogu zaobići skoro sve vrste zaštite.

Oslanjanje samo na end-to-end enkripciju pruža određenu sigurnost, ali nije apsolutna zaštita.

Agencije su prebacile fokus sa presretanja poruka na analizu metapodataka, napade na krajnje uređaje i hakiranje infrastrukture.

Zato, privatnost u digitalnom prostoru zavisi ne samo od šifriranja poruka, već od sigurnosti uređaja korisnika, sigurnosti internet mreža i iskrenosti i otpornosti samih kompanija koje pružaju te usluge.