0‑day dla Firefoksa w rękach FBI. Czy to zagrożenie bezpieczeństwa państwa?

Sprawa sięga marca 2015 roku, kiedy to FBI zdemaskowało izlokalizowało serwer, na którym działał serwis sieci Tor,wykorzystywany przez użytkowników do wymiany zdjęć z dziecięcąpornografią. Zamiast go wyłączyć, agenci FBI zamienili go wpułapkę. 137 internautów ze Stanów Zjednoczonych zostałonamierzonych i w konsekwencji oskarżonych o posiadanie irozpowszechnianie tych zakazanych prawem treści.

Podczas pierwszych rozpraw, FBI twierdziło, że do zlokalizowaniaoskarżonych wykorzystano bliżej nieokreślone sieciowe technikiśledcze. Adwokaci jednego znich, Jaya Michauda, nie wzięli tego za dobrą monetę i zażądaliujawnienia metody, za pomocą której namierzono ich klienta, byustalić prawomocność jej zastosowania i rzetelność pozyskanych wten sposób danych. Prowadzący sprawę sędzia Robert J. Bryanprzychylił się do tego wniosku. Stwierdziłże bez względu na kwestie techniczne, władze muszą ujawnić przedsądem metodę, która została wykorzystana do namierzenia ioskarżenia podejrzanego. Samo powołanie się na jakieś sieciowetechniki śledcze jest w świetle amerykańskiego prawaproblematyczne – sądy mogą uznać zebrane w ten sposób dowody zaowoce zatrutego drzewa i wykluczyć je z postępowania karnego.

Z tego co w końcu przyznałpodczas przesłuchania jeden ze świadków, agent specjalny FBIDaniel Alfin, zastosowana sieciowa technika śledcza wiązała się zserwowaniem użytkownikom wchodzącym przez link prowadzący dopornograficznego forum złośliwego kodu z innego komputera w centrumdanych w stanie Virginia. Kod pozwalał na przechwycenie ich realnegoadresu IP, adresu MAC karty sieciowej, danych o architekturzesprzętowej i systemie operacyjnym. Nic więcej jednak FBI niechciało ujawnić – dowiedzieliśmy się jedynie, że atak byłwymierzony w przeglądarkę Tor Browser, wykorzystując exploit 0-dayw jej rdzeniu.

Samo posiadanie przez FBI takiegoexploitu może wiązać się z naruszeniem federalnych regulacji,szczególnie w świetle ogłoszonego przez Biały Dom w 2014 rokusystemu o nazwie Vulnerabilities Equities Process. Zakłada on, żewładze zobowiązane są do ujawniania posiadanej wiedzy o lukach woprogramowaniu – chyba że ich ukrycie konieczne jest ze względuna bezpieczeństwo narodowe lub ważny interes organów ścigania.Sęk w tym, że taka luka w popularnym oprogramowaniu sama jestzagrożeniem dla bezpieczeństwa narodowego, otwierając drogęcyberprzestępcom i zagranicznym szpiegom do komputerówamerykańskich obywateli, urzędów i firm – uważaNicholas Weaver.

O ile bowiem samego Tor Browseramożna nie uznawać za „popularne oprogramowanie”, to trzebapamiętać, że przeglądarka ta jest niczym innym, jak tylkoFirefoksem ESR (wydanie o rozszerzonym okresie wsparcia), zdodatkowymi zabezpieczeniami. Exploity działające w Tor Browserzebędą działały też w Firefoksie. A ujawnienie informacji o takimexploicie jest dla FBI katastrofą, i to wcale nie dlatego, żeagenci federalni nie będą mogli kontynuować swojej wojny zpedofilią, narkotykami i innymi ciemnymi stronami ukrytej sieci,lecz ze względu na to, że nikt im już więcej exploita nie da.

Christopher Soghoian, głównyekspert od techniki komputerowej Amerykańskiej Unii SwobódObywatelskich (ACLU) twierdzi bowiem, że samo FBI samo nie posiadaumiejętności, które pozwoliłyby na znalezienie luki w Firefoksiei napisanie działającego exploita. Jeśli FBI miało w swoichrękach taki kod, to dostało go od strony trzeciej. Albo była toprywatna firma, która sprzedała exploita pod warunkiem dochowaniatajemnicy jego istnienia, albo było to NSA, które udostępniło kodsiostrzanej służbie na takich samych warunkach (w końcu samo NSApotrzebuje takich exploitów do znacznie poważniejszych zastosowań,niż ściganie ludzi wymieniających nielegalną pornografię).Wyjawienie kodu uczyni FBI niewiarygodnym w oczach partnerów – idlatego właśnie prawnicy Biura desperacko walczą przed sądem ouchylenie nakazu ujawnienia exploita.

Jeśli do kogokolwiek w tejsytuacji można mieć pretensje, to przede wszystkim do twórców TorBrowsera. Decyzja, by zbudować bezpieczną przeglądarkę na bazieFirefoksa może i kiedyś wyglądała dobrze, ale dziś sytuacja jestzgoła inna. Przypomnijmy, że w lutym, podczas tegorocznego konkursuPwn2Own za włamania do przeglądarki Mozilli nie dano złamanegocenta, bo uznano, że są one „zbyt łatwe”. Mozilla zajmuje siędziś głównie implementowaniem w Firefoksie modnych technologii znagłówków Hacker Newsa, opowiadaniem bajek o Firefox OS-ie dlaInternetu Rzeczy i walką o sprawiedliwość społeczną, ale mimowielu lat do tej pory nie potrafiła zapewnić należytego sandboksai izolacji procesów w kartach. Tor Browser powinien dziś byćbudowany od podstaw na bazie Chromium – co by nie mówić, Googledo bezpieczeństwa swojej przeglądarki przykłada znacznie więcejwagi.