Článek
Jaké jsou hlavní výhrady operátorů a IT průmyslu proti tzv. kyberzákonu, který by měl Vojenskému zpravodajství dát možnost sledovat internet?
Určitě podobný zákon potřebujeme, každý stát na světě dneska musí kyberprostor brát vážně jako další bojiště. Problém je v tom, že Vojenské zpravodajství od roku 2016 chce umísťovat k provozovatelům sítí a k poskytovatelům služeb šmírovací krabičky, které se postupně tři roky v různých návrzích zákonů přejmenovávaly z nástrojů detekce na sondy a podobně, ale jde pořád o totéž. A to se přirozeně nelíbí operátorům a odborné veřejnosti.
Hrozí, že data nebude dostávat jen tajná služba, ale i výrobce šmírovací krabičky
Přitom mohlo Vojenské zpravodajství už v roce 2016 jít vyzkoušenou cestou, jako je tomu v oblasti odposlechů. Tam soudce na základě žádosti policie povolí sledování na určitou dobu, ale samotné odposlechy nedělá policie ani tajné služby, ale operátor, který požadovaná data nasbírá a předá policii. Ví, co předává, a ví, že předává něco na základě oprávněného nároku schváleného soudem. A policie ať si s tím pak podle trestního řádu dělá, co chce.
Vojáci se zapojili do obnovy lesů po kalamitách
Ale Vojenské zpravodajství chce umístit do sítí operátorů krabičky, které budou snímat a sbírat všechno, co se v síti operátora děje 24 hodin 365 dní v roce. Bez předchozího povolení a souhlasu kohokoliv třetího. A bůh ví, co ty krabičky budou doopravdy odesílat směrem k Vojenskému zpravodajství, a nedej bože, pokud to bude krabička od pochybného dodavatele, jestli to nebude posílat ještě kamsi jinam.
Nevyzradili by svými požadavky, co mají operátoři sledovat, vojenští zpravodajci své postupy a svou práci?
Nikdo nechce, aby prozrazovali svoje postupy. Pokud budou dostávat od provozovatelů sítí nějakou sadu dat, tak z toho přece nikdo nemůže dovodit, jakým způsobem je analyzují, která data konkrétně využívají a jaké tajnosti s tím dělají.
A v čem je ta krabička nebezpečná?
Dlouhou dobu v návrhu zákona nebylo, že Vojenské zpravodajství nesmí skrze tu krabičku vykonat aktivní kybernetický útok proti nepříteli. Teď se to zaplať pán bůh zlomilo a vojenští zpravodajci jsou ochotni to do zákona napsat. Kdyby tu krabičku v síti operátora někdy použili k aktivnímu zásahu, tak by z ní udělali civilní štít.
Představte si, že poskytovateli – ať už to bude 02, T-Mobile, Seznam, nebo jiná firma – umístíte do sítě krabičku a pak z ní zasáhnete vůči znepřátelené zemi. Tak ta přirozeně bude reagovat na místo, odkud útok přišel. Takové riziko je naprosto nepřípustné. Takové útoky si mají dělat vojáci ze své infrastruktury, které mají dostatek. Civilní štíty k tomu nepotřebují.
Piráti mají stále připomínky k aktivnímu útoku, protože zpravodajci vůbec neříkají, jak by odvetné akce dělali.
Dneska žádný stát na světě neřekne: Neudělám nikdy aktivní útok. Ale logicky připustí, že pokud uzná za vhodné, tak svými prostředky aktivní útok udělá. Důležité je si říct obecně, jakým způsobem ho udělá a zda k tomu využije, nebo nevyužije civilní infrastrukturu, kterou v tu chvíli zároveň ohrožuje pro případný protiútok, který pravděpodobně přijde. Není potřeba k tomu psát do zákona žádné konkrétní detaily.
Více než třetina Čechů nezná kybernetická rizika
Pokud si zpravodajci vytvoří fiktivní firmu, která se připojí k internetu a z této infrastruktury bude útočit proti nepřátelům, tak to je naprosto v pořádku. Krycí firmy přeci zpravodajci často zakládají pro různé potřeby, nejenom pro online útoky, ale i pro převody prostředků nebo krytí lidí, a dělají to takto všechny zpravodajské služby na světě.
Jak to funguje?
Agent nebo nějaký spolupracovník zpravodajské služby založí firmu, která začne naoko podnikat. Samozřejmě se připojí na internet, pořídí si IT vybavení, tváří se, že to používá pro své podnikání, ale ve skutečnosti to čas od času použije třeba právě k aktivnímu zásahu nebo k výzvědné činnosti. Takto si zpravodajské služby samy nesou rizika zpětné reakce. Stát ale nemůže vzít jakoukoliv privátní firmu, umístit jí něco do její sítě a z ní útočit a dělat z ní potenciální cíl.
Vojenské zpravodajství by chtělo atomový kufřík, který vidí vše, co se děje v ČR na internetu bez souhlasu soudů
Navíc zákon o elektronických komunikacích říká, že provozovatel má ze zákona povinnost svou síť zabezpečit proti všem možným rizikům, která mohou nastat. Ale jak provozovatel může síť bránit proti rizikům, když mu tam někdo strčí krabičku, o které neví, co dělá, jak se chová, co komu kam posílá? Navíc nikdo mu k tomu nic neřekne a jediné, co dostane za informaci, je: Nesahej na to, ze zákona máš zákaz s tím cokoliv dělat. Prostě ti to tady připojíme, strčíme tam kabely a ty okolo toho choď obloukem.
Ale teď zpravodajci přistoupili na to, že se nebudou bránit, aby si operátoři nasadili do sítě vlastní krabičky, které budou dodávat zpravodajství pouze požadovaný obsah.
Podle posledních debat se zpravodajci by to skutečně mělo fungovat jinak. Nejdříve na základě spolupráce, kdy si Vojenské zpravodajství řekne, co potřebuje, a firmy jim informace dodají. Teprve pokud nebudou ochotny nebo schopny to dodat, tak jim budou moci zpravodajci nasadit do sítě svůj vlastní nástroj.
Podle zpravodajců je to velký ústupek.
Nemyslím si. Několik let průmysl a odborná veřejnost neříkaly nic jiného, než nedávejte nám černé skříňky, o kterých nic nevíme, o kterých nic možná nebudete vědět ani vy. Protože si třeba od nějaké firmy koupíte spousty krabiček, které rozesejete do sítí operátorů po celé republice.
Hackeři se ve velkém zaměřují na nezaměstnané
A dodavatel vám může tisíckrát napsat, že to předává nasbíraná data jen Vojenskému zpravodajství, ale co když to ve skutečnosti bude posílat informace i výrobci, který je bude moci prodat komukoli? Nepovažuji to za ústupek, ale za návrat k vyváženému nastavení.
Počítám, že si Vojenské zpravodajství dobře prohlédne, co kupuje.
Jak chcete takovéto věci garantovat? Aby se operátor ujistil, že data chodí jenom Vojenskému zpravodajství a nikam jinam, tak by musel kolem zařízení Vojenského zpravodajství postavit jinou svoji krabičku, která bude téhle stát v cestě a bude non-stop hlídat, že cokoliv teče z krabičky směrem k Vojenskému zpravodajství, tak nechodí nikam jinam. To mně přijde jako absurdní řešení.
Jak operátor zaručí, že data, která budou posílat zpravodajcům, nebudou sdílet s nikým jiným?
Stejně jako to dělá u odposlechů, kdy policie přijde s papírem a řekne: Soud povolil sledování konkrétní stanice. Operátor pak přes auditovaný mechanismus zahájí sledování komunikace na dané stanici a po určeném čase výstup předá policistům.
Zpravodajci matou veřejnost, když slibují, že ochrání nemocnice od hackerů
Vše se u provozovatelů síti zaznamenává, vše řeší jen úzký okruh prověřených lidí, je tam více úrovní kontroly a celý proces je rozdroben mezi policii, soudy a provozovatele sítí.
Ten nový model, který umožní operátorům nasadit vlastní nástroje, je podle vás přijatelný?
Naprosto. Vrací nás to zpátky tam, kde jsme dnes s režimem odposlechů. Existuje někdo, kdo vydal rozhodnutí o potřebě něco sledovat, a někdo jiný, kdo na základě toho zajistí samotné sledování. Už to není, že si někdo možná natajno na krabičce něco zapne, protože mu zároveň ta krabička patří. Jak vy se dozvíte, že někdo na krabičce na dálku zapnul sledování něčeho, co vlastně v zákoně ani nemá povolené? Mohou mít v zákoně napsáno, že nesmíte sledovat to a to, jenom pro potřeby obrany atd., ale to je jen deklaratorní. Papír snese cokoliv, ale už to nikdy neohlídáte.
Když jsem se na to ptal zpravodajců, jestli ta krabička bude technicky monitorovat vše, nebo jen, co jim povolí zákon, tak to nechtěli komentovat.
Protože to tak je, protože vědí, že přes tu krabičku půjde prakticky všechen provoz. Uvidí všechno a může ukládat nebo i odesílat všechno, když to zpravodajci budou chtít, nebo jí to bude moci někdo na dálku nařídit.
Šéf zpravodajství generál Beroun říká, že je to otázka důvěry, že je to stejné, jako kdybychom nemohli dát policajtovi pistoli, protože může na ulici místo vraha zastřelit někoho nevinného.
Ten argument kulhá. Policistovi dáváme pistoli, ale ne atomový kufřík, protože kdyby zmáčkl atomové tlačítko, tak je z toho ohromný problém. S pistolí dostane důvěru, která je adekvátní riziku. A podle mého nasazením krabiček do hlavních sítí 02 nebo T-Mobile zpravodajci získají atomový kufřík, s možností vidět úplně všechno, co se děje v České republice na internetu. Bez souhlasu a dohledu soudů, jako je tomu u odposlechů.
Jsou hlavní operátoři schopni Vojenskému zpravodajství dodávat data v množství a kvalitě, kterou budou chtít?
Jistě. Každý operátor musí dneska řešit bezpečnost své sítě kvůli svým zákazníkům, aby jeho síť nerozmlátili různí hackeři na padrť. Nástroje k analýze své sítě má každý provozovatel různé podle své velikosti. Každý se musí o svou komunikační síť nějak starat.
Kyberšpionáž byla namířena na tisícovku cílů. Hackeři se zaměřili také na Česko
Proto se mi nelíbí argument, který říkají zpravodajci, že pokud se zákon schválí, tak dokážou zabránit útokům na nemocnice, které jsme před nedávnem zažili. To je falešný argument a měli bychom se tomu vyhnout. Tím mateme veřejnost.
Ve skutečnosti nemocnice, stejně jako to dělají všechny firmy připojené na internet, musí udělat svoje vlastní bezpečnostní opatření – firewally, audity provozu, aktualizace, bezpečnostní postupy atd. Když to nebudou mít, tak je žádná černá krabička od Vojenského zpravodajství nezachrání. Mají se bránit každý sám.
Stát může pomoci koncepčně, může pomoci chránit kritickou infrastrukturu, ale v danou chvíli žádnému kyberútoku prostě nezabrání. Ani v nemocnici, ani u operátora. Tohle si musí ohlídat oni sami.
A v čem je bezpečnější, když budou dodávat data zpravodajcům operátoři?
Rozdělení rolí. Když budou muset žádat operátora, vzniká síť lidí, kteří by se museli všichni spolčit stejně, jako by se musel spolčit policista se soudcem nebo s někým u provozovatele sítě, aby mohl udělat nezákonný odposlech. Více stupňů kontroly, rozdělení rolí, podobně jako u odposlechů. To je celé, po čem odborná veřejnost volá.
Jsou tam ještě nějaké jiné výhrady?
Nejzásadnější jsou právě ty výhrady k aktivnímu zásahu a umísťování krabiček k operátorům. Další se týkají dozorových mechanismů, tedy kdo bude v rámci Vojenského zpravodajství dohlížet nad tím, že to funguje dobře.
Zpravodajci si v návrhu zákona původně naprojektovali systém, kdy voják hlídá vojáka. Nejdříve se jmenoval inspektor, pak z inspektora udělali ombudsmana a vlastně je to pořád to samé a pořád je tam otázka, do jaké míry může nezávisle člověk, který sedí na Vojenském zpravodajství, kontrolovat svoje kolegy z Vojenského zpravodajství. Tam by byl asi vhodnější model kontroly někým zvenčí.
Jsem ale rád, že se ty zásadní připomínky podařilo přes léto se zpravodajci úspěšně vyřešit.
Je podle vás správný krok, že ostatní tajné služby do zákona prosadily, že budou nasbírané informace na internetu sdílet s Vojenským zpravodajstvím?
Odbočím k novele zákona o policii, kterou bude brzy řešit parlament a se kterou váš dotaz souvisí. Část II. článek 2, bod 4 této novely říká, že informace získané zpravodajskými metodami – pomocí vyhledávání, otvírání, zkoumání a vyhodnocování dopravovaných zásilek, odposlechu telekomunikačního provozu – mohou za určitých podmínek sloužit jako důkaz.
Na norský parlament zaútočili hackeři, dostali se do e-mailů
Tady se otvírá nebezpečná situace, kdy zpravodajci by mohli mít krabičky nastrkané do všech možných míst po České republice, ty něco nepřetržitě sbírají, nikdo neví co, a vedle toho je tu policie, která může cokoliv z toho jejich nekonečného záznamu chtít jako důkaz do trestního řízení. Tohle rybaření důkazů by bylo strašidelné.
Proto je dobré být ve vztahu k novele zákona o Vojenském zpravodajství kritický. Ne proto, že bychom neměli chtít, aby Vojenské zpravodajství mělo informace potřebné k zajišťování obrany České republiky. Ale pokud se tu současně objevila novela zákona o policii s takovýmito formulacemi, tak o to víc buďme k sobě přísní, jaký mechanismus nastavíme.
Na jedné straně by to mělo splňovat to, co potřebuje každá zpravodajská služba v každé zemi na světě, ale zároveň, aby pod tím byla nějaká možnost kontrolovat, co se tam děje. Když necháme někoho nastrkat na klíčová místa do všech sítí černé krabičky, nikdo nic už nezkontroluje.
Jak jsem pochopil, když zákon zpravodajci změní, jak teď slíbili, tak myslíte, že by měl být puštěn do prvního čtení?
Pokud to splní, tak stojí za to pustit zákon do prvního čtení.