Poslední aféra kolem serveru Wikileaks obsahuje snad vše, co by měl napínavý špionážní thriller obsahovat: je tu zhrzený homosexuální voják, odhalené soukromí nejvyšších představitelů států, odkryté supertajné diplomatické depeše a mysteriózní kybernetický útok na server Wikileaks. Jediné co tento příběh postrádá je odpověď na nejdůležitější otázku…Jak se to vlastně mohlo vůbec stát?!

Tato kauza rozhodně není první případ masivního úniku tajných informací americké vlády. V roce 1969 Daniel Ellsberg dokázal utajovanou vládní analýzu o Vietnamu. Zveřejnění dokumentů, které byly následně souhrnně označovány jako „the Pentagons papers“ podnítilo veřejnou diskuzi, která později vedla ke stažení amerických vojsk z Vietnamu.

Daniel Elsberg musel však na rozdíl od Bradleyho Manninga ve své době strávit dny, ne li měsíce u tehdejšího výkřiku techniky – zeroxu aby okopíroval jednu podruhé všech sedm tisíc stránek, které později vynesl.

Dnes by se celá databáze obsahující utajované informace ministerstva zahraničí spojených států vešla v textové podobě do jednoho DVD-čka nebo či do flash disku. A bude ještě hůř – s rozšířením vysokorychlostního internetu a pokračováním stávajícího trendu propojování státní sféry s internetem bude stáhnutí národních databází pomocí kybernetického útoku záležitostí vteřin. Pokud nebudou tedy přijata důsledná opatření v oblasti bezpečnosti informačních systémů (kontrola kdo, kam, jak a proč přistupuje a co s daty dělá) a v oblasti kybernetické obrany (ochran proti škodlivým kódům) nebudou tedy kolosální úniky rozměrů Wikileaks vzácnou záležitostí.

Zpátky ale k původní otázce: Jak se to vlastně vůbec mohlo stát?

Představte si, že sedíte u stolu, na kterém jsou dva počítače – v jednom je červený kabel, což značí, že je připojený k utajované síti a ve druhém je kabel šedivý, kterým je počítač připojený k internetu.

Toto je příležitost.

Nyní si představte, že neexistuje nikdo, či žádný automatický systém, který by dohlížel na to, co s danými systémy děláte, co čtete, jak s informacemi nakládáte.

Toto je zranitelnost.

A nyní otočte kameru a představte si, že na židli sedí 23 americký vojín, který je frustrován přehlíživým chováním svých nadřízených, a který má spoustu času uvažovat o tom, jak to dát náležitě světu na vědomí.

Toto je hrozba.

Vidíte ho, jak vytahuje červený drát z jednoho počítače a zastrkuje jej do druhého, čímž umožní celému světu se připojit do sítě s označením SECRET…

Toto je útok.

Teď jsem to možná zjednodušil, ale trendy jsou jasné: propojovat, propojovat a propojovat – Po 11. záři se zjistilo, že je potřeba lépe sdílet informace mezi vládními agenturami. Nyní v Afghánistánu zjišťujeme, že je potřeba lépe sdílet informace mezi spojenci a afghánskou vládou. Koncept Network Enabled Capabilities NATO dokonce stanovuje, že sdílení má být povinností.

V čase kdy 80 procent informací zpravodajských složek je čerpáno z otevřených zdrojů (rozuměj internet a tištěná média) nikterak nepřekvapí, že do systému obsahujícího utajované informace má přístup více než 2 500 000 Američanů po celém světě. A pokud chcete sdílet informace, musíte být připraveni, že může být sdíleno… až moc.

Bradley Manning měl několik způsobů jak informace vynést – mohl je přenést flash diskem, připojením internetového kabelu do utajované sítě i za pomocí vypálených CD s označením Lady GaGa, což byl nakonec zvolený způsob. Další varianta, která se může stát i vám všem je, že virus naprogramuje váš USB disk tak, aby bez vašeho vědomí sbíral informace a posléze je po připojení na internet zasílal zpět útočníkům.

Jak tomu zabránit?
Bezpečnost informačních zní často jako velmi složitá záležitost, kterou mohou porozumět jenom vládní experti a elitní hackeři – ve skutečnosti lze základy nastavit pomocí zdravého rozumu… Pojďme si tedy klást pár zdravých otázek:

Jak je možné, že měl Bradley Manning přístup ke všem těmto informacím?
Představte si, že informační systém funguje jako knihovna – a pan Manning byl voják, který má za úkol připravovat studii o Iráku. Předpokládám, že pokud byste byli knihovníky, pak byste se přinejmenším podivili, kdyby si Manning chtěl např. vypůjčit knihu ze sekce „diplomacie, oddělení Čína“, natož kdyby se přehraboval v soukromé knihovničce vašeho ředitele.

Také je potřeba zmínit čas – pokud by pan Manning chtěl skutečně dané depeše číst a nikoliv vynést, musel by v případě, že by přečtení jedné depeše trvalo jednu minutu, strávit čtením necelé dva roky. Jakékoliv stahování v rychlejším tempu je jasná známka špatného úmyslu.

Jak je možné, že byl Bradley Manning schopný informaci uložit?
Ze zásady můžete utajovanou informaci použít pouze v utajovaném systému, jinak již není utajovaná. Jak je tedy možné, že byl pan Manning schopný utajované informace uložit na disk, který byl později čitelný na jiném počítači?

Řešení je v tomto případě je mnoho – pokud mají být informace přístupné jen pro čtení, tak mají být jen pro čtení. Lze to řešit například nastavením prohlížeče – stejně jako na flickru či na jiných serverech můžete informaci překrýt průhledným obrázkem a vypnout funkci print screen umožňující pořizovat snímky obrazovky.

Toto jsou pouze jednoduché funkce, které jsou běžně přístupné – dalším řešení je šifrování (obsah nelze zobrazit na jiném počítači) či monitorování souborů na výstupu (pointsec protector).

V dnešní době se také rozmáhá využívání virtualizace – v postatě to funguje tak, že spustíte oddělený operační systém, který vypne všechny mechaniky počítače a přes šifrovaný kanál Vám umožní se připojit ke vzdálenému serveru, kde se nachází informace. Na vašem počítači se tudíž nic neukládá – pokud tuto technologii zkombinujete například s GPS lokátorem, můžete nastavit, aby se počítač mohl ke vzdálenému serveru připojit jenom z určitých bezpečných míst jakým je třeba sídlo firmy.

Jak je možné, že se nikdo nedivil, že vojín stahuje tisíce utajovaných dokumentů?
Tohle je bohužel nejzásadnější a nejméně pochopená otázka – veškeré bezpečnostní předpisy lze nějakým způsobem obejít, a proto bezpečnost již není o tom někomu v něčem zabránit, ale spíše mu to ztížit natolik, že se mu to buď nevyplatí, nebo aby svým chováním upozornil bezpečnostního správce systému.

Největší hrozbou z tohoto pohledu mohou být právě administrátoři – administrátor je člověk, který má pravomoc upravovat kód a nastavení služeb, které využíváte včetně nastavení soukromí a bezpečnosti. Z tohoto pohledu jej lze přirovnat k absolutnímu pánu nad vašimi daty – může být vládcem dobrým, což se pravděpodobně vztahuje na většinu těchto lidí, ale také nemusí. Takový člověk má pak přístup ke VŠEMU co se na spravovaném serveru nachází – mějte toto na paměti, když využíváte hostované e-maily a jiné on-line služby pro uchování pracovních a citlivých údajů.

Z tohoto důvodu je nutné jasně oddělit správce sítí a systémů od lidí, kteří se starají o jejich bezpečnost. Administrátorům ani uživatelům nemůžete zabránit nakládat s daty – právě v tomto tkví smysl informačních systémů, ale můžete nastavit určitá pravidla toho, co dělat smí či nesmí a ty posléze kontrolovat.

Informační systémy lze přirovnat k velkým drbnám – na různých místech operačního systému se nacházejí soubory, kterým se říkají logy: ty říkají co a kdy uživatel, resp. systém dělá. Těchto informací generuje Váš systém denně tisíce, proto se nesleduje chování konkrétních uživatelů, ale využívá se dalších informačních systémů k tomu, aby tyto informace sbíraly a vyhodnocovaly pomocí statistickým metod.

Takový systém lze pak nastavit, aby upozornil příslušníka týmu kybernetické obrany na podezřelé události – např. na to, že uživatel nebo virus kopíruje soubory označené „SECRET“ na CD nebo že se nějaký program snaží přistupovat ke všem souborům v databázi najednou.

Čím jsme zpátky u knihovny – pokud by za vámi přišel pan Manning s kamionem a chtěl po vás vypůjčit VŠECHNY knihy v knihovně najednou, nebylo by vám to podezřelé? Zřejmě by mělo – u informačních systémů je to obdobné, akorát potřebujete sofistikovanější nástroje.

Bohužel během živelného způsobu, jakým se v minulosti stavěly informační systémy, nebylo příliš místo na zabezpečení. Pokud například využíváte čipovou kartu do zaměstnání, tak systém dokáže vyhodnotit, kde se právě nacházíte. Je pak více než zřejmé, že pokud se zároveň připojujete k systému například z Číny, že se nejedná o vás, ale o kybernetický útok. V běžném případě to však nikdo nezjistí, protože oba systémy dělaly odlišné firmy a jejich propojení by v dobách ekonomické krize stálo další peníze… Což nahrává právě lidem, jako je Bradley Manning.