Lenka Dale

Ak sa stanete predmetom cieleného špionážneho útoku, možnosť, že by ste ho dokázali odhaliť a chrániť sa proti nemu, je skoro žiadna.

Vyzeralo to ako obyčajný nabíjací kábel za pár eur. Ale zdanie klame. „Je to asi najdrahší nabíjací kábel, aký ste kedy mali v&nbsp;rukách,“ povedal LENKE DALE poradca pre kyberbezpečnosť a&nbsp;etický heker ĽUBOMÍR KOPÁČEK (47). Kábel mal v&nbsp;konektore minipočítač. Po pripojení na mobil a&nbsp;nakonfigurovaní umožní doručiť do mobilu kód, ktorý nás pripraví o&nbsp;súk­romie rovnako ako Pegasus.

Má tajná služba špionážny systém Pegasus, ktorý sa na diaľku dokáže dostať do mobilov a&nbsp;kompletne odsledovať človeka, alebo nemá? To je otázka, ktorá rozrušila verejnosť. Ako ste túto informáciu prijali vy? Nejdem veľmi špekulovať, či na Slovensku je alebo nie je Pegasus, lebo nemám túto informáciu odkiaľ mať. Keby tu aj bol, tak to bude asi utajovaná skutočnosť, tak-že legálne sa to nemáme ako dozvedieť, predpokladám. Pracujete na zabezpečovaní kyberpriestoru, nejaký názor asi predsa len máte. Ak by sme vychádzali z&nbsp;nejakých povedzme verejne známych nákladov inde vo svete, tak ide o&nbsp;mimoriadne drahú záležitosť. Len licencia potrebná na obstaranie bude atakovať hranicu miliónov eur, dovolím si tvrdiť. A&nbsp;to nie je všetko. Potom sú aj licencie na monitorovanie jedného čísla, tak budem volať tú jednu jednotku, ktorá sa monitoruje, a&nbsp;tá licencia bude určite v&nbsp;desiatkach tisíc eur za nejaké obdobie. To je obrovský balík peňazí, na druhej strane, rozpočet SIS je 64 miliónov. Úprimne, z&nbsp;pohľadu nákladov sa mi to zdá úplne bláznivé, že SIS by mala Pegasus. Je to obrovská investícia. Aj keď by to bolo všetko v&nbsp;utajenom režime, schovať takéto toky peňazí, zamaskovať ich niekde pred rôznymi kontrolnými výbormi, to by asi bolo dosť ťažké. Ale je to len môj odhad, nevidím do toho. Spoločnosť NSO Group, ktorá Pegasus predáva, uviedla, že ho predáva len vládnym agentúram. Napriek tomu sa obeťami sledovania údajne stali podľa Amnesty International takí dôležití ľudia ako francúzsky prezident Macron, možno aj ďalší členovia jeho vlády, egyptský premiér, marocký kráľ či prezident Juhoafrickej republiky, nielen teroristi či zločinci. K&nbsp;tomuto sa neviem vyjadriť. Fakt je, že keď som sa v&nbsp;rámci aktivít svojej firmy pokúsil pred časom kúpiť iný „špeciálny“ systém od inej izraelskej spoločnosti, poslali ma, ľudovo povedané, do teplých krajín, lebo som nezastupoval vládnu agentúru a&nbsp;nebola teda odo mňa záruka použitia na boj proti zločinu a&nbsp;terorizmu, na ktoré sú tieto systémy určené. Ako Pegasus funguje? Principiálne veľmi jednoducho, nie je to žiadna nová prevratná technológia. Pegasus využíva/zneužíva takzvaný zero-day, čo je zraniteľnosť, o&nbsp;ktorej nevie ani výrobca napadnutého systému, a&nbsp;na prienik do systému využíva takzvaný zero click prístup. Používateľ nemusí vykonať žiadnu interakciu, aby sa spustil škodlivý kód na jeho zariadení, ktorý ho začne sledovať. To je ako možné? Predstavte si to takto: Na zadané telefónne číslo, trebárs vaše, príde správa cez SMS alebo aplikáciu. Vy ju nemusíte otvoriť ani prečítať, iba vidíte, že ste ju prijali. Lenže to neznamená, že váš telefón tú správu nespracuje, ona je spracovaná na pozadí v&nbsp;rámci aplikácie, kam bola doručená, lebo vám musela vyskočiť notifikácia a&nbsp;musela „prejsť“ systémom telefónu. Pegasus využíva práve to. Keď telefón prijme správu, na pozadí sa vykoná doručený spustiteľný kód. Človek je vlastne bezbranný. Nemá to ako ovplyvniť. Keď sa zraniteľnosť operačného systému v&nbsp;mobile nájde, do telefónu sa nasadí na diaľku takzvaný implantát, ktorý nadviaže komunikáciu s&nbsp;kontrolným centrom, ktorý je pod správou NSO alebo klienta, ktorý špionážny systém využíva. Z&nbsp;toho centra implantát v zariadení naložia takzvaným payloadom. A&nbsp;payload už technicky zabezpečí zber dát a&nbsp;ich doručenie pre toho, kto Pegasus nasadil. Ak mu umožní monitorovať správy, tak ich sleduje, ak ho pustí k&nbsp;mikrofónu, zaznamená zvuk, čokoľvek, k čomu sa dostane, vie zneužiť. Používateľ mobilu nič netuší. Vieme nejako na mobiloch ovplyvniť, kam sa dostane? Nie. Výskumníci firmy, ktorá vyvíja Pegasus, hľadajú diery, zraniteľnosti v&nbsp;operačných systémoch a&nbsp;aplikáciách mobilných telefónov. Tam je používateľ odkázaný na úroveň zabezpečenia operačného systému. Nepríjemné je, že úroveň zabezpečenia nemá používateľ ako ovplyvniť. Aký je rozdiel medzi dvoma najpoužívanejšími operačnými systémami od Googlu a&nbsp;od Applu z&nbsp;pohľadu bezpečnosti? Veľmi závisí od konkrétnej verzie systému, ale aj od konkrétnej verzie telefónu, ktorý používate. Je to variabilné. V&nbsp;značnej výhode sú používatelia iPhonov. Operačný systém od Applu a&nbsp;aplikácie, ktoré sú doň dodávané, sú do značnej miery unifikované. Nevýhodou Androidu je, že je široko implementovaný rôznymi výrobcami, takže Google ho rôzne prispôsobuje pre rôzne firmy. Kód, ktorý beží na telefóne značky x, nemusí byť identický s&nbsp;tým, ktorý beží na telefóne značky y alebo z.

Prečo sú špionážne systémy také drahé? Nie je ľahké nájsť zraniteľnosti operačných systémov. Výrobcovia zaplatia povedzme desaťtisíc eur, ak nájdete zraniteľnosť systému, ale predajcovia špionážnych systémov vám dajú o&nbsp;niekoľko núl viac. Najdrahšia zraniteľnosť je dlhodobo ohodnotená na dva a&nbsp;pol milióna dolárov, je to práve tá, ktorá využíva prienik do telefónu bez akejkoľvek interakcie. Ako má Pegasus – zero click. No a&nbsp;ide aj o&nbsp;to, že ostane v&nbsp;mobile aj po reštarte, v&nbsp;istých prípadoch aj po vymazaní/resete do továrenského nastavenia. Tieto systémy sa nepredávajú vo veľkom, 90 percent výrobcov ich predáva len vládam a&nbsp;ich agentúram. Sú však určite lacnejšie spôsoby, ako sa niekomu dostať do telefónu… Určite áno, Pegasus je špička. Pozrite, tu mám nástroje, ktoré sa na to používajú. Toto? Vyzerá to, že ste mi podali obyčajný biely nabíjací kábel na mobil za pár eur. Je to asi najdrahší nabíjací kábel, aký ste kedy mali v&nbsp;rukách.

Na ďalšej strane: Ako sa dá dostať do cudzieho mobilu? Je bezpečnejšie platiť kartou či mobilom? Kedysi ľudia plánovali zločin v krčme, dnes v kyberpriestore...

Všetky prípady miznutia peňazí z účtov, čo som registroval, boli spôsobené, nazvime to, hlúposťou používateľa.

V&nbsp;čom je výnimočný tento navonok čisto nabíjací kábel? V&nbsp;jednom z&nbsp;konektorov je kompletný počítač s&nbsp;možnosťou programovania. Som schopný ten kábel nastaviť a&nbsp;nakonfigurovať tak, že keď teraz váš telefón pripojíme naň, tak za určitých podmienok vám tam doručím kód, ktorý bude vedieť robiť to isté alebo v&nbsp;zásade podobné ako Pegasus. Mohol by som trebárs streamovať zvuk. Takže asi nie je dobré si požičiavať nabíjačku. Verte len vlastným nabíjacím káblom. Vďaka káblu, čo som vám dal, sa dostanete do súkromia druhých ľudí naozaj ľahko. Koľko stojí taký kábel a&nbsp;dá sa normálne kúpiť? Stojí okolo tristo eur. Viete sa ním pripojiť aj do počítača. V&nbsp;rámci testovania bezpečnosti systémov sa používa bežne. Dá sa kúpiť v&nbsp;špecializovanej firme v&nbsp;USA, pri jeho nákupe je špeciálny režim a&nbsp;exportné obmedzenia, takže kábel je zákazníkovi doručený ako nefunkčný, zákazník si ho musí sám „oživiť“. Potrebujete na to ďalšie špeciálne zariadenie a&nbsp;trochu technických skúseností. Viete, aj nože sú nebezpečné a&nbsp;sú v&nbsp;predaji. A&nbsp;čo nabíjacie stanice v&nbsp;nákupných centrách, nabíjacie boxy, tie sú podľa vás bezpečné? Položím protiotázku – viete, kto ich prevádzkuje a&nbsp;aké má úmysly? Ja nie. Ľudia si väčšinou povedia, že oni nie sú ničím zaujímaví, prečo by to malo byť nejaké riziko? Pri kybernetickej bezpečnosti je častý omyl, že si toto ľudia povedia. No možno práve ten jeden konkrétny človek zaujímavý nie je, napriek tomu sa možno uňho dajú nájsť veci, ktoré v&nbsp;určitom kontexte zaujímavé byť môžu. Počas prvého polroka tohto roka čelili firmy na Slovensku vyše osemsto kybernetickým útokom týždenne s&nbsp;cieľom ukradnúť citlivé dáta. Obchodovateľné je všetko, najslabším článkom sú vždy ľudia. Ale mám tu aj takéto zariadenie, v&nbsp;podstate je to opäť veľmi malý počítač so sieťovým konektorom (RJ45). Keby som ho teraz pichol niekde do siete v&nbsp;rámci firmy, mám do minúty a&nbsp;pol nejakým spôsobom zmonitorovanú vašu internú sieť, aby som vedel pripraviť napríklad hekerský útok na mieru. Dobre, takže sa preventívne budeme držať ďalej od počítačov. Dá sa dnes vôbec chrániť pred hekermi a&nbsp;stratou súkromia? Nie. Ak sa stanete predmetom cieleného špionážneho útoku, možnosť, že by ste ho dokázali odhaliť a&nbsp;chrániť sa proti nemu, je skoro žiadna. Táto otázka je možno z&nbsp;inej oblasti, ale súvisí s&nbsp;počítačmi. Množia sa e-mailové hlásenia o&nbsp;bombách na školách. Je to zo zahraničia alebo odkiaľ to prichádza? Ťažko povedať, to je zas úplne iná situácia. Ten, kto to robí, si je vedomý zodpovednosti aj toho, že je ťažko vystopovateľný. Je to vlastne návod, ako vyťažovať policajné zložky. Ak je taktický postup polície reagovať na každú hrozbu evakuáciou školy, tak budeme stále vyťažovať bezpečnostné zložky týmto spôsobom. Predstavte si, že príde vyhrážka na dvesto škôl, že je tam bomba. Logicky, v&nbsp;čích fyzických silách by bolo umiestniť niekoľko stoviek trhaviny po stovkách budov? Druhá vec je, že tí policajti ani nemôžu pozrieť tie školy poriadne. Podľa vás by sa hrozby nemali riešiť prehliadkami? Nemyslím si, že evakuácia škôl je riešením. Skutoční teroristi sa totiž nevyhrážajú, ako nás už história naučila... Problémom sú aj nákupy cez internet. Mnohí sa prednedávnom sťažovali, že po nákupe vo veľkom online obchode im z&nbsp;účtu začali neoprávnene strhávať peniaze. Dá sa nejako ochrániť pred podvodníkmi? Všetky prípady miznutia peňazí z&nbsp;účtov, čo som registroval, boli spôsobené, nazvime to, hlúposťou používateľa. Ak platíte na overených e-shopoch cez overené platobné systémy, tam sa pravdepodobnosť, že by boli zneužité vaše údaje, blíži k&nbsp;nule. Je bezpečnejšie platiť platobnou kartou alebo mobilom? Mám tu jedno zariadenie. Vyzerá ako detská hračka, ale pozrite, čo robí. Položím na stôl svoju platobnú kartu, tou-to „hračkou“ cez ňu prejdem za sekundu a&nbsp;pol. To mi stačilo na to, že som získal všetky dáta z&nbsp;tejto karty a&nbsp;bezkontaktne by som tou načítanou kartou mohol viackrát platiť. Z&nbsp;mobilu tie kartové dáta týmto nedostanem. Čo to znamená? Je bezpečnejšie mať peňaženku v&nbsp;mobile, ako mať platobnú kartu v&nbsp;peňaženke. Áno. Ale toto zariadenie je primárne vyrobené na úplne iné veci a&nbsp;dnes sa dá už aj ťažko zo­hnať. Mohol by som ním načítať napríklad vašu vstupnú kartu a&nbsp;prechádzať sa po firme. Vidíte, mám v&nbsp;sebe zakorenené poukazovanie na problémy.

Bude na tom mladá generácia lepšie ako my? Hovorí sa, že už vyrastá s&nbsp;prstami na telefóne. Naopak. Na rozdiel od starších ľudí možno perfektne ovláda všetky aplikácie, ale je najzraniteľnejšia, lebo nevidí do pozadia, nevie, ako veci fungujú. Bezhlavo kliká a&nbsp;všetko chce mať online, hneď a&nbsp;pohodlne. Ale to, že mladí ľudia vedia veci používať, neznamená, že vedia, ako fungujú, a&nbsp;teda nemajú odkiaľ poznať riziká. Vidím to v&nbsp;školách, kde prednášam. Mladí sa stretávajú a&nbsp;komunikujú aj cez darknet. Na darknete sa dajú kúpiť zbrane, stretávajú sa tam pedofili a&nbsp;bol na ňom aj útočník spred gej baru na Zámockej. Dá sa nejako riešiť problém s&nbsp;darknetom? Darknet je internet v&nbsp;internete. Využíva sieť TOR, ktorú istá vládna výskumná agentúra USA vymyslela, aby monitoring a&nbsp;identifikácia kohokoľvek v&nbsp;tomto priestore boli extrémne zložité až nemožné. Úmysel bol šľachetný, TOR mal umožniť bezpečne komunikovať napríklad disidentom v&nbsp;neslobodných krajinách s&nbsp;demokratickým svetom. V&nbsp;roku 2002 bol smerovací protokol siete TOR uvoľnený pod otvorenou licenciou, mohol ho teda začať používať ktokoľvek a&nbsp;džin bol vypustený z&nbsp;fľaše. Aj zločinci identifikovali potenciál TOR-u okamžite, a&nbsp;tak vznikol darknet, predtým deepweb. Ako si to máme predstaviť? Darknet je umelo vymyslený pojem pre opis nejakého „undergroundu“ v&nbsp;rámci siete TOR. To, na čo sa pýtate, nie je však problém kyberpriestoru, ktorý je moderným prostredím, kde sa manipulovateľné alebo „zraniteľné“ osoby môžu zradikalizovať. Nič nové, čo by sme tu v&nbsp;minulosti nemali. Dnes je to kyberpriestor, pred desiatimi rokmi to boli krčmy. Nové prostredie, tradičný výsledok. Musíme s&nbsp;tým nejako pracovať, ale páchatelia, nazvime ich „osamelí vlci“, boli problémom vždy a&nbsp;asi sa to len tak nezmení.

Expert na kyberbezpečnosť: Netreba ani Pegasus. Ak ste cieľ, špionáži ťažko uniknete

Výber pre vás

Expert na kyberbezpečnosť: Netreba ani Pegasus. Ak ste cieľ, špionáži ťažko uniknete

Súvisiace články

Černákova exmanželka Iveta si po rokoch našla chlapa. Mladšieho a s politickými ambíciami

Zlatá baňa: Suskom zrušený analytický útvar stál milióny eur

Nielen Gröhling, ale aj jeho mama sa stala terčom nenávisti. Zažíva vyhrážky i útok na majetok

Výber pre vás