צופר מעצבן: תוכנית חטיפת חנויות האפליקציות
מסמכים שהודלפו חושפים לכאורה תוכנית של סוכנויות ביון לחטוף את תעבורת חנויות האפליקציות של גוגל וסמסונג, במטרה להזריק נוזקות למכשירי אנדרואיד.
כמה פעמים עדכנתם אפליקציות בטלפון שלכם השבוע? הפעולה הזאת, כמעט אוטומטית ויומיומית, מתבססת על אמון עיוור. אנחנו סומכים על גוגל, על סמסונג או על אפל, שיספקו לנו קוד נקי ובטוח. אנחנו מניחים שהערוץ בין המכשיר שלנו לשרתים שלהן מאובטח. אבל מה אם ההנחה הזאת שגויה מיסודה? מה אם גורמים ממשלתיים החליטו להפוך את צינור העדכונים הזה לנשק? לפי מסמכים מסווגים, זה בדיוק מה שקרה. שם הקוד של המבצע לכאורה הוא IRRITANT HORN, צופר מעצבן. והוא מעצבן בדיוק בגלל שהוא מכרסם ביסודות האמון הדיגיטלי שלנו.
הסיפור הרשמי שחברות הטכנולוגיה מספרות לנו הוא סיפור על גנים סגורים ומאובטחים. חנויות האפליקציות, כך נטען, הן סביבות מבוקרות שבהן כל תוכנה נבדקת בקפידה כדי להגן על המשתמשים. הן משקיעות מיליארדים באבטחה, בהצפנה ובצוותים של מומחים שאמורים לאתר כל חריגה. זו החזות הציבורית. אלא שבצד השני של המראה, במציאות החשאית של עולם המודיעין, מתנהל לכאורה משחק אחר לגמרי. מסמכים שהודלפו על ידי אדוארד סנודן ופורסמו בין היתר על ידי The Intercept, מציגים תמונה שונה בתכלית. במקום מבצר מאובטח, חנות האפליקציות הופכת למגרש משחקים של סוכנויות ריגול.
לפי הטענות העולות מהמסמכים, IRRITANT HORN הייתה תוכנית משותפת של ברית המודיעין 'חמש העיניים', הכוללת את ארצות הברית, בריטניה, קנדה, אוסטרליה וניו זילנד. מטרת התוכנית, שהוצגה לפי הפרסומים בכנס סודי ב 2012, הייתה פשוטה ונועזת. ליירט את התקשורת של משתמשי סמארטפונים עם שרתי חנויות האפליקציות של גוגל וסמסונג, ולנצל את היירוט הזה כדי להשתיל נוזקות וסוסים טרויאנים במכשירים של מטרות ספציפיות, ואולי גם של אזרחים תמימים רבים.
כיצד זה עובד, טכנית? השיטה המתוארת היא התקפת 'אדם באמצע' (Man in the Middle) בקנה מידה עצום. נסו לדמיין את התרחיש. אתם פותחים את חנות ה Google Play כדי להוריד אפליקציה. הבקשה שלכם יוצאת מהטלפון, אבל בדרך לשרת של גוגל היא מיורטת על ידי שרת שנמצא בשליטת סוכנות ביון, למשל ה NSA האמריקאי. השרת המודיעיני מתחזה לשרת של גוגל ומשיב לכם את האפליקציה שביקשתם, אבל עם תוספת קטנה. קוד זדוני שמעתה יאפשר לסוכנות גישה מלאה למידע במכשיר שלכם. כל זה קורה לכאורה בשקט, בלי שום סימן חיצוני מחשיד. לחצו כאן כדי לעיין במסמכים דומים מארכיון סנודן באתר שלנו /category/snowden-archive.
אחד הגילויים המטרידים במסמכים הוא התפקיד המרכזי שלקחה על עצמה לכאורה הסוכנות הקנדית CSEC. לעיתים קרובות הדיון הציבורי מתמקד ב NSA, אך הדלפות אלו מראות תמונה של שיתוף פעולה רחב. השאלה המתבקשת היא מדוע דווקא הקנדים והאם הפרויקט הזה היה רק פיילוט או מבצע מתגלגל ורחב היקף? המצגת שהודלפה מדברת על תוכניות לניתוח מידע של מיליוני משתמשים כדי לזהות אותם ולקשר בין הפעילות שלהם בטלפון לפעילות ברשת. זה לא נשמע כמו מבצע ממוקד נגד יעדי טרור בודדים, אלא יותר כמו תשתית למעקב המוני.
היכולת להחדיר נוזקה למכשיר היא כמובן המטרה העיקרית, אך ההשלכות מרחיקות לכת הרבה יותר. תארו לעצמכם מה עוד אפשר לעשות עם שליטה כזו על צינור העדכונים. אפשר לחסום הורדה של אפליקציה מסוימת במדינה מסוימת, למשל אפליקציית תקשורת מוצפנת שמשמשת פעילים פוליטיים. אפשר להחליף אפליקציית חדשות לגיטימית בגרסה שמציגה מידע כוזב או דיסאינפורמציה ממוקדת. השליטה על תוכנה היא שליטה על תפיסת המציאות. הכוח הזה, בידי סוכנות חשאית הפועלת ללא פיקוח ציבורי, הוא כוח מפחיד.
הגילויים על IRRITANT HORN מעמידים את גוגל וסמסונג במצב מביך. האם הן ידעו על הפריצה לשרתים שלהן? האם הן היו קורבנות תמימים, או שאולי שיתפו פעולה בלית ברירה תחת לחץ ממשלתי וצווי סתר? התגובה הרשמית של החברות, אם בכלל הגיעה, הייתה מינורית וצפויה. הכחשה גורפת או הצהרה כללית על מחויבותן לאבטחת המשתמשים. אך הוואקום שנוצר בהיעדר תשובות ברורות רק מגביר את החשדנות. כפי שראינו במסמכים אחרים, למשל אלו הנוגעים ל CIA, היכולות של סוכנויות הביון לפרוץ למכשירים הן לעיתים קרובות מעבר למה שהציבור יכול לדמיין. ניתן לעיין בחלק מהיכולות הללו כאן /category/cia-documents.
התוכנית לכאורה מייצגת חציית קו אדום. היא לא רק מפירה את הפרטיות של משתמשים, אלא מערערת על המודל העסקי והאבטחתי של כלל המערכת האקולוגית של המובייל. אם אי אפשר לסמוך על העדכונים הרשמיים שמגיעים מהיצרנית, על מי כן אפשר לסמוך? זהו איום ישיר על ריבונות המשתמש על המכשיר שלו. הטלפון שאתם מחזיקים ביד, לכאורה רכושכם הפרטי, הופך בשדה הקרב הדיגיטלי הזה לשטח הפקר. כל פיסת קוד שרצה עליו עלולה להיות טעונה במשמעות נסתרת.
נקודה מהותית שיש לתת עליה את הדעת היא שהמסמכים המדוברים הם מ 2012. עשור שלם חלף בעולם הטכנולוגיה. האם IRRITANT HORN עדיין פעיל? האם חורי האבטחה שנוצלו אז נסגרו? או שמא, וזו האפשרות המטרידה יותר, התוכנית פשוט השתכללה, שינתה את שמה והפכה למתוחכמת וקשה יותר לגילוי? סביר להניח שהסוכנויות לא ויתרו על יכולת כה אסטרטגית. הן פשוט למדו מן ההדלפות והפכו את פעולותיהן לחשאיות אפילו יותר.
הסיפור של IRRITANT HORN הוא תזכורת כואבת לכך שהמאבק על הפרטיות והחופש הדיגיטלי מתרחש בחזיתות בלתי נראות. הוא מתנהל בתוך שורות קוד, בפרוטוקולים של תקשורת ובחדרים אפלים שבהם מתקבלות החלטות המשפיעות על מיליארדי אנשים. הוא מחייב אותנו כצרכנים וכאזרחים לגלות ספקנות בריאה, לא לקבל את הנרטיבים הרשמיים כתורה מסיני, ולדרוש שקיפות ואחריות. תוכלו לקרוא מאמרים נוספים בנושא באתר תחת הקטגוריה /articles.
בסופו של יום, נשאלת השאלה מי באמת שולט במכשיר שבכיס שלנו. האם זה אנחנו, המשתמשים? האם זו יצרנית החומרה או מפתחת מערכת ההפעלה? או שאולי ישנם שחקנים נוספים, חזקים וחשאיים, שרואים בטלפון שלנו לא יותר מאשר נקודת קצה ברשת איסוף המידע הגלובלית שלהם? התשובה, ככל הנראה, מורכבת ומטרידה הרבה יותר ממה שהיינו רוצים להאמין.
