Krüptosõjad Eesti moodi? 2020-07-23 side, turvalisus, siseministeerium, rumalus perestroika.pw

OTP on lihtne ja murdmatu algoritm,
mille kasutamiseks piisab juhuarvudest
ja oskusest jäägiga liita-lahutada.

Allikas: meie ise
Litsents: public domain

ERR vahendab, et siseministeerium soovib tagaust krüpteeritud sõnumirakendustesse ning lisaks kõigi kõnekaartide registreerimist. Delfi on avaldanud uudise, et majandus- ja kommunikatsioonimisteerium tunneb muret, kas Eesti kavatseb hakata tarkvarasse tagauksi nõudma.

Alljärgnevad 5 punkti seletavad ilma ropendamata, miks soov on sotsiaalselt, tehniliselt ja matemaatiliselt lühinägelik ja tsiviilkaitse seisukohast kahjulik. Alustame sellest, mida arvab asekantsler:

"Veiko Kommusaar ütleb, et korrakaitsjad võiks saada rakendustelt samasuguseid andmeid, nagu täna saadakse telefonifirmadelt. /../ Kommusaar rääkis, et sõnumisaladus on oluline, kuid see ei tohi takistada korrakaitsjate tööd."

Pigem ikka: korrakaitsjate töö on oluline, aga see ei tohiks kaotada ära turvalisust sidevõrkudes. Antud soov kaotab ära turvalisuse sidevõrkudes.

Telefonifirmadelt saavad aga korrakaitsjad praegu Euroopa Kohtu poolt keelatud määral andmeid, ning Eesti seadusandja eirab kohtu otsust juba üle 10 aasta. Kes ei usu, loeb kohtuotsust direktiivi 2006/24/EC osas, seejärel lugege palun advokaat Carri Ginterit:

"See on karauul, on aeg appi karjuda. Kui Euroopa Kohus ütleb, et asi mitte mingil juhul ei tohi eksisteerida, inimõiguste kohus ütles viimati septembris 2018, et selline asi ei tohi mingil juhul olla, siis meil kuidagi on pead liiva all ja ootame kuni probleem kohtus materialiseerub."

Siseministeeriumi praegune soov on nagu nädal otsa kommi söönud lapse soov, et järsku saaks jäätisetordi. Neile, kelle töö on inimesi jälitada, meeldiks loomulikult, kui see hõlbus oleks. Seadused paraku pole tehtud politsei pärast, vaid politsei on tehtud seaduste pärast.

1. Sotsiaalselt ebareaalne

Oletame, et rakendustes on politseile tagauks (variandis A on tegemist kaugligipääsu uksega seadmetesse, variandis B võtme nõrgendamisega ja võtmeosa deponeerimisega võimude käes). Oletame, et Eesti politsei kasutab seda hoolsalt. Tagaukse koodid ei leki iial GRU, FSB, CIA ega mistahes põneva teenistuse kätte, samuti ei väärkasutata neid maja sees...

( päriselus paraku lekivad ning väärkasutatakse )

Paraku on omale tagaukse küsinud ka USA, Hiina, India, Venemaa, Zimbabwe, Myanmar, Palau, Tuvalu, Marshalli saared, Mikroneesia ja need viis politseinikku, kes Islandil sides nuhivad. Kas popis rakenduses on tagauksi terve kari, või on loogiline vastus null? Kas riigid lepivad kokku, et sõbralikult käsikäes nuhkida, või sunnivad arendajatele peale tagauksi "nagu jumal juhatab ja jõudu jätkub"?

Kui lepivad kokku, siis lubage muiata. See tähendaks, et kogu maailma kasutajad on palja tagumikuga ja eriti just totalitaarsed riigid ujuvad infos, mille alusel inimesi taga kiusata.

Kui ei lepi kokku, siis Eesti suurusele riigile visataks arendaja poolt keskmine sõrm üles. "Keelake siis ära" oleks levinud vastus. Kui aga suured (USA) suudaks end arendajatele peale suruda, rikuks nemad kõigi turvalisuse võrgus. Teised suured ei jätaks nende tagauksi kasutamata. Hetkel seda ei toimu, kuna "krüptosõdade" tulemus oli nullseis ja mõne tegelase pikast proovimisest hoolimata ei nõua USA tagauksi.

2. Tehniliselt mõttetu

Kui leidub rakendusi, mille arendajad lasevad riikidel endale tagauksi peale suruda, siis leidub ka rakendusi, mille arendajad ei lase.

Eksisteerivad asjad nagu GPG, TOR ja I2P... maailm on täis tugeva krüptoga varustatud softi, mis laseb mitte ainult turvaliselt suhelda, vaid kohati ka tugeva anonüümsuse loori taga olla. Tegu on eranditult vaba tarkvaraga, mille lähtekoodi kasutaja muuta saab. Mõne programmi (I2P) puhul on isegi arendajad traditsiooniliselt anonüümsed, et neile survet avaldada raskem oleks. Uskuge mind, ma siseinfo najal ütlen, et nad ei hakka tegema koostööd väikeriigiga, mis paistab olevat reha otsa jooksnud ja vopsust ajunikastuse saanud.

Et säärane piirang jõustada, tuleb minna totalitaarseks: keelata vaba tarkvara või backdoor'ida opsüsteemid ja keelata muude paigaldamine. Ilmselt tuleks keelata ka Raspberry Pi ning Arduino import.

3. Matemaatiliselt mõttetu

Kes soovib andmeid šifreerida, saab iga kell kasutada ühekordset võtmejada (OTP). Ta peab vestluse teise osapoolega turvaliselt kohtuma, vahetama nummerdatud blokid juhuarvusid ja kokku leppima reegli, mille alusel järgmine juhuarvude blokk valitakse, näiteks "eelmist on proovitud kasutada". Seejärel, et saata sõnumit, peab ta oskama jäägiga liita ning lahutada, teisendades saadetava sõnumi iga märk kokkulepitud juhuarvude bloki vastaval positsioonil oleva märgiga. Krüptogrammi edastamise eel peab ta ütlema teisele poolele, mis numbriga võtmeblokki kasutab.

Eeldusel, et võtmematerjali ei korduvkasutata, on side täiuslikult turvaline. Kui oskad koolimatemaatikat, võid mistahes rakenduse kaudu, mis lubab edastada tähti, saata offline'is (väljaspool iga tagaukse mõju) valmis krüptitud sõnumi, mille teine pool krüptib lahti offline'is (väljaspool iga tagaukse mõju). OTP on lisaks täiuslikult turvaline, eeldusel et võtmetega õigesti ümber käiakse.

Krüpto vastased meetmed on olemuselt tsirkus, ja nende jõustajad on eriline sort kloune. Matemaatikat ei saa tühistada. Et keelata krüpto, tuleks alustada täringute ja müntide keelamisega, et inimesed ei saaks juhuarvusid. :)

4. Sidevahendite tsiviilkaitse seisukohalt ohtlik

Oletame, et mõttetus on moes ja maailm on täis siderakendusi, mis on täis tagauksi.

• tagauste isandad ei vaevu neid hooldada, tulemusena on maailm täis turvanõrkusi
• krüptoalgoritmid nõrgenevad, mõni murtakse katki, osadel puudub uuendamistee
• paljud seadmed tootmisest maas: puudub firma, mis tagaust turvalisena hoiaks
• politseiametid lekivad huvitatud suurriikide luureteenistuste suunas, tagauksed satuvad nuhkide vahel "ristkasutusse"

Põhimõtteliselt, tegemist on lollusega: miks peaks ühiskond muutma end pealt kuulatavaks ja häkitavaks, et kohalikul riigil mugav oleks?

5. Mis puudutab kõnekaarte

Kõnekaardid on mugavad, et lapsed ei saaks telefoniga meeletuid arveid põhjustada ning välismaalastele, kes on Eestis ajutiselt ning ei soovi lepingut.

Mugavus on asi, mida riigid on suutnud edukalt likvideerida kontrolli saavutamise nimel. Kui riik kaotab kõnekaardid, sest ametkondade mugavus on inimeste omast tähtsam, on see nahhaalsuse akt, aga ta kindlasti suudab seda.

Vastuseks sobib, et krüptoanarhistid teevad rakendused ja seadmed, et suhelda ilma mobiilvõrgu abita, oma loodud võrgus, kus terminalseade ei vaja operaatorit ega SIM-i.