Cincinnatus, który nie mógł się doczekać
Jak jeden niezainstalowany program omal nie pogrzebał największego przecieku w historii wywiadu - i czego uczy nas sprawa Edwarda Snowdena.
W grudniu 2012 roku Glenn Greenwald, dziennikarz piszący dla „Guardiana”, dostał wiadomość od kogoś, kto podpisywał się „Cincinnatus”. Nieznajomy twierdził, że ma coś ważnego, i prosił tylko o jedno: żeby Greenwald zainstalował PGP - program do szyfrowania poczty. Kiedy odpowiedź nie nadchodziła, Cincinnatus nagrał nawet krótki film instruktażowy, krok po kroku. Greenwald miał na głowie inne sprawy. Odkładał to tygodniami. Nie zainstalował.
Jedna z najważniejszych historii dziennikarskich XXI wieku omal przepadła, bo dziennikarz nie znalazł godziny na konfigurację szyfrowania.
Drugie podejście
Cincinnatus się nie poddał. Na początku 2013 roku napisał do Laury Poitras, amerykańskiej dokumentalistki, która od lat była na celowniku służb - po filmach o wojnie w Iraku zatrzymywano ją na lotniskach dziesiątki razy. Tym razem podpisał się „Citizenfour”. Poitras szyfrowania używała. Korespondencja trwała miesiącami, zanim nadawca zdecydował się na kolejny krok.
W maju 2013 roku Poitras i Greenwald polecieli do Hongkongu. W hotelu Mira umówili się z nieznajomym w określonym miejscu - miał trzymać kostkę Rubika. Zobaczyli szczupłego, bladego 29-latka. Nazywał się Edward Snowden. Był informatykiem, wcześniej pracował dla CIA, a ostatnio - jako pracownik kontraktowy firmy Booz Allen Hamilton - w ośrodku NSA na Hawajach. Miał przy sobie dokumenty, których liczbę amerykańskie władze szacowały później na setki tysięcy, a nawet ponad milion.
W pokoju hotelowym Snowden prosił gości, by wkładali telefony do lodówki. Dźwięk z mikrofonu mógł zostać przechwycony nawet z wyłączonego aparatu. Przy wpisywaniu haseł zakrywał głowę i laptopa kocem - na wypadek kamer. Wyglądało to na paranoję. Kilka tygodni później cały świat wiedział, że to była po prostu znajomość realiów.
„Nie świadomie”
Dlaczego to zrobił? Snowden wielokrotnie wskazywał jeden moment. 12 marca 2013 roku senator Ron Wyden zadał w Kongresie pytanie dyrektorowi wywiadu krajowego Jamesowi Clapperowi: czy NSA zbiera jakiekolwiek dane o milionach lub setkach milionów Amerykanów? Clapper odpowiedział: „Nie, panie senatorze”. Po chwili dodał: „Nie świadomie”.
Snowden wiedział, że to nieprawda. Siedział przy systemach, które robiły dokładnie to, czemu zaprzeczano pod przysięgą. Jak twierdzi, wcześniej próbował zgłaszać wątpliwości wewnętrznymi kanałami - NSA utrzymuje, że nie ma na to dowodów. Doszedł do wniosku, że skoro najwyżsi urzędnicy mogą okłamywać parlament bez konsekwencji, jedynym sposobem, by społeczeństwo mogło o czymkolwiek zdecydować, jest pokazanie mu dowodów. Nie chciał sam wybierać, co opublikować - przekazał dokumenty dziennikarzom, zastrzegając, że mają ocenić, co leży w interesie publicznym, a co mogłoby komuś zaszkodzić.
Pięć dni w czerwcu
5 czerwca 2013 roku „Guardian” opublikował tajny nakaz sądowy, na mocy którego operator Verizon codziennie przekazywał NSA metadane milionów rozmów telefonicznych Amerykanów: kto dzwonił, do kogo, kiedy i jak długo. Nie była to inwigilacja podejrzanych. To była inwigilacja wszystkich.
Dzień później „Guardian” i „Washington Post” ujawniły PRISM - program, w ramach którego NSA miała dostęp do danych użytkowników największych firm internetowych. Potem przyszły kolejne nazwy kodowe: XKeyscore - wyszukiwarka, w której analityk mógł przeglądać niemal wszystko, co ktoś robi w sieci, wpisując jedynie adres e-mail lub IP. Tempora - brytyjski program, w ramach którego GCHQ podłączył się do podmorskich kabli światłowodowych i przez kilka dni przechowywał całość przepływającego nimi ruchu. Boundless Informant - narzędzie, które w kolorowych mapach pokazywało, z których krajów agencja zbiera najwięcej danych.
9 czerwca Snowden sam ujawnił swoją tożsamość w nagraniu, które zarejestrowała Poitras. „Nie chcę żyć w świecie, w którym wszystko, co robię i mówię, jest rejestrowane” - powiedział. Kilka dni później zniknął z hotelu. 23 czerwca wsiadł do samolotu do Moskwy, skąd zamierzał lecieć dalej, do Ameryki Łacińskiej. W trakcie lotu Stany Zjednoczone unieważniły mu paszport. Utknął w strefie tranzytowej lotniska Szeremietiewo na 39 dni. W sierpniu otrzymał w Rosji tymczasowy azyl. Mieszka tam do dziś, a w 2022 roku dostał rosyjskie obywatelstwo - co dla jednych jest dowodem jego naiwności, dla innych konsekwencją tego, że żaden kraj Zachodu nie chciał go przyjąć.
„Tor Stinks”
Wśród dokumentów była prezentacja NSA o wymownym tytule „Tor Stinks” - „Tor śmierdzi”. Opublikowana przez „Guardiana” w październiku 2013 roku, zawierała zdanie, które stało się jednym z najczęściej cytowanych w historii prywatności w internecie: „Nigdy nie będziemy w stanie zdeanonimizować wszystkich użytkowników Tora przez cały czas”.
Agencja dysponująca największym budżetem wywiadowczym na świecie przyznawała we własnym, tajnym dokumencie, że nie potrafi złamać sieci, z której mógł korzystać każdy student. Udawało jej się najwyżej wyłowić pojedynczych użytkowników - i to nie przez złamanie Tora, tylko atakując to, co go otaczało. Inny ujawniony dokument opisywał program EgotisticalGiraffe, wykorzystujący luki w przeglądarce Firefox, na której oparta była paczka Tor Browser. Celem nie był sam Tor. Celem była przeglądarka, z której użytkownik otwierał strony.
To jedna z najważniejszych lekcji całej afery: dobrze zaprojektowana kryptografia działa. Zawodzi to, co wokół niej - nieaktualne oprogramowanie, źle skonfigurowany system, ludzkie przyzwyczajenia. Snowden ujął to w czerwcu 2013 roku, odpowiadając na pytania czytelników „Guardiana”: „Szyfrowanie działa. Prawidłowo wdrożone, silne systemy kryptograficzne to jedna z niewielu rzeczy, na których można polegać. Niestety, bezpieczeństwo urządzeń końcowych jest tak przerażająco słabe, że NSA często znajduje sposoby, by je obejść”.
Co się zmieniło
Sporo. W 2015 roku Kongres USA uchwalił USA Freedom Act, który zakończył masowe gromadzenie metadanych telefonicznych przez NSA - dane miały odtąd zostawać u operatorów. W 2020 roku federalny sąd apelacyjny uznał, że program ujawniony przez Snowdena był najprawdopodobniej niezgodny z prawem. W Europie Trybunał Sprawiedliwości UE dwukrotnie unieważnił porozumienia o przekazywaniu danych do USA, powołując się właśnie na skalę amerykańskiej inwigilacji.
Zmieniła się też technologia. Przed 2013 rokiem większość stron internetowych działała bez szyfrowania - dziś HTTPS jest standardem. Komunikatory, takie jak Signal, szyfrują rozmowy od końca do końca, a Apple i Google wprowadziły domyślne szyfrowanie telefonów. Film Laury Poitras „Citizenfour” zdobył w 2015 roku Oscara. Wielu inżynierów przyznawało potem, że to właśnie dokumenty Snowdena przekonały ich firmy do inwestycji w szyfrowanie.
Zmienił się wreszcie sam Snowden - z sygnalisty w jednego z najbardziej słuchanych głosów w sprawach prywatności. Od lat wskazuje narzędzia, którym sam ufa: komunikator Signal, sieć Tor, system Tails, z którego korzystał przy kontaktach z dziennikarzami, a przede wszystkim Qubes OS - system stworzony przez polską badaczkę Joannę Rutkowską. „Jeśli poważnie traktujesz bezpieczeństwo, Qubes OS jest najlepszym dostępnym dziś systemem. To jest to, czego używam. I jest darmowy” - napisał. Trudno o mocniejszą rekomendację niż ta od człowieka, który z bliska widział, do czego zdolna jest NSA.
Ale nie zmieniło się wszystko. Metadane wciąż są zbierane - przez państwa i przez firmy. W wielu krajach, także w Unii Europejskiej, wraca pomysł retencji danych telekomunikacyjnych i skanowania prywatnej korespondencji. Telefony wysyłają telemetrię. Systemy operacyjne „dzwonią do domu”. Aplikacje znają Twoją lokalizację lepiej niż Ty sam. Różnica polega na tym, że od 2013 roku nikt nie może powiedzieć, że nie wiedział.
Lekcja Greenwalda
Wróćmy na początek. Snowden miał dostęp do najtajniejszych systemów świata. Potrafił wynieść z nich dokumenty, przejść przez kontrole i dotrzeć do Hongkongu. A jego największym problemem okazał się dziennikarz, który nie zainstalował PGP.
Nie dlatego, że było to trudne. Po prostu wydawało się niepotrzebne. Greenwald nie miał wtedy powodu sądzić, że ktoś obserwuje jego pocztę. Nie czuł zagrożenia - więc nie widział sensu w wysiłku. Aż do dnia, w którym okazało się, że od tej jednej godziny zależy, czy historia w ogóle ujrzy światło dzienne.
To najczęstszy błąd, jaki widzimy: bezpieczeństwo traktowane jako coś, czym zajmiemy się później, gdy pojawi się realne zagrożenie. Tylko że gdy się pojawi, zwykle jest już za późno. Źródło nie napisze drugi raz. Dane, które wyciekły, nie wrócą. Rozmowy, które zostały przechwycone, nie zostaną „odsłuchane z powrotem”.
Bezpieczeństwo nie zaczyna się w chwili, gdy go potrzebujesz. Zaczyna się wcześniej. Albo wcale.