Matagumpay na na-crack ng mga ahensya ng paniktik ng US at British ang karamihan sa online na pag-encrypt na pinagkakatiwalaan ng daan-daang milyong tao upang protektahan ang privacy ng kanilang personal na data, mga online na transaksyon at mga email, ayon sa mga sekretong dokumento na isiniwalat ng dating kontratista na si Edward Snowden.
Ang mga file ay nagpapakita na ang National Security Agency at ang UK counterpart nito na GCHQ ay malawak na nakompromiso ang mga garantiya na ibinigay ng mga kumpanya sa internet sa mga consumer upang tiyakin sa kanila na ang kanilang mga komunikasyon, online banking at mga medikal na rekord ay hindi maiintindihan ng mga kriminal o pamahalaan.
Ang mga ahensya, ayon sa mga dokumento, ay nagpatibay ng isang baterya ng mga pamamaraan sa kanilang sistematiko at patuloy na pag-atake sa kung ano ang nakikita nila bilang isa sa mga pinakamalaking banta sa kanilang kakayahang ma-access ang malaking bahagi ng trapiko sa internet - "ang paggamit ng ubiquitous encryption sa internet" .
Kasama sa mga pamamaraang iyon ang mga lihim na hakbang upang matiyak ang kontrol ng NSA sa pagtatakda ng mga internasyonal na pamantayan sa pag-encrypt, ang paggamit ng mga supercomputer upang sirain ang pag-encrypt gamit ang "brute force", at – ang pinaka mahigpit na binabantayang sikreto sa lahat – ang pakikipagtulungan sa mga kumpanya ng teknolohiya at mismong mga provider ng serbisyo sa internet.
Sa pamamagitan ng mga patagong partnership na ito, ang mga ahensya ay nagpasok ng mga lihim na kahinaan – kilala bilang backdoors o trapdoors – sa komersyal na software ng pag-encrypt.
Ang mga file, mula sa parehong NSA at GCHQ, ay nakuha ng Guardian, at ang mga detalye ay ginagawa inilathala ngayon sa pakikipagtulungan sa New York Times at ProPublica. Inihayag nila:
-
Ang isang 10-taong programa ng NSA laban sa mga teknolohiya ng pag-encrypt ay gumawa ng isang pambihirang tagumpay noong 2010 na gumawa ng "napakalaking halaga" ng data na nakolekta sa pamamagitan ng mga internet cable taps na bagong "exploitable".
-
Ang NSA ay gumugugol ng $250ma taon sa isang programa na, bukod sa iba pang mga layunin, ay nakikipagtulungan sa mga kumpanya ng teknolohiya upang "lihim na maimpluwensyahan" ang kanilang mga disenyo ng produkto.
-
Ang lihim ng kanilang mga kakayahan laban sa pag-encrypt ay mahigpit na binabantayan, na may babala ang mga analyst: "Huwag magtanong o mag-isip tungkol sa mga mapagkukunan o pamamaraan."
-
Inilalarawan ng NSA ang malakas na mga programa sa pag-decryption bilang "presyo ng pagpasok para sa US upang mapanatili ang walang limitasyong pag-access at paggamit ng cyberspace".
-
Ang isang pangkat ng GCHQ ay nagsusumikap na bumuo ng mga paraan sa naka-encrypt na trapiko sa "big four" na mga service provider, na pinangalanang Hotmail, Google, Yahoo at Facebook.
Iginigiit ng mga ahensya na ang kakayahang talunin ang pag-encrypt ay mahalaga sa kanilang mga pangunahing misyon ng kontra-terorismo at pagtitipon ng dayuhang paniktik.
Ngunit inakusahan sila ng mga eksperto sa seguridad ng pag-atake sa internet mismo at sa privacy ng lahat ng mga gumagamit. "Cryptography forms the basis for trust online," sabi ni Bruce Schneier, isang encryption specialist at fellow sa Harvard's Berkman Center for Internet and Society. "Sa pamamagitan ng sadyang pagpapahina sa online na seguridad sa isang maikling-sighted na pagsisikap na mag-eavesdrop, ang NSA ay pinapahina ang mismong tela ng internet." Ipinagdiriwang ng mga classified briefing sa pagitan ng mga ahensya ang kanilang tagumpay sa "pagtalo sa seguridad at privacy ng network".
"Sa nakalipas na dekada, pinangunahan ng NSA ang isang agresibo, multi-pronged na pagsisikap na sirain ang malawakang ginagamit na mga teknolohiya sa pag-encrypt ng internet," sabi ng isang 2010 GCHQ na dokumento. "Ang napakaraming naka-encrypt na data sa internet na hanggang ngayon ay itinapon ay magagamit na ngayon."
Ang isang panloob na memo ng ahensya ay nagsabi na sa mga British analyst ay nagpakita ng isang pagtatanghal sa pag-unlad ng NSA: "Ang mga hindi pa naka-brief ay nabigla!"
Ang pambihirang tagumpay, na hindi inilarawan nang detalyado sa mga dokumento, ay nangangahulugan na ang mga ahensya ng paniktik ay nasubaybayan ang "malaking halaga" ng data na dumadaloy sa mga fiber-optic cable sa mundo at nasira ang encryption nito, sa kabila ng mga pagtitiyak mula sa mga executive ng kumpanya ng internet na ang data na ito ay lampas sa abot ng pamahalaan.
Ang pangunahing bahagi ng labanan ng NSA laban sa pag-encrypt, ang pakikipagtulungan nito sa mga kumpanya ng teknolohiya, ay nakadetalye sa nangungunang lihim na kahilingan sa badyet para sa 2013 ng komunidad ng paniktik ng US sa ilalim ng pamagat na "Pag-enable ng Signal [signals intelligence].
Ang pagpopondo para sa programa - $254.9m para sa taong ito - ay mas mababa kaysa sa Prism program, na tumatakbo sa halagang $20ma taon, ayon sa mga nakaraang dokumento ng NSA. Mula noong 2011, ang kabuuang paggasta sa pagpapagana ng Signint ay umabot sa $800m. Ang programa ay "aktibong nakikipag-ugnayan sa mga industriya ng IT sa US at dayuhang palihim na impluwensyahan at/o hayagang gamitin ang mga disenyo ng kanilang mga komersyal na produkto", sabi ng dokumento. Wala sa mga kumpanyang kasangkot sa naturang mga pakikipagsosyo ang pinangalanan; ang mga detalyeng ito ay binabantayan ng mas mataas na antas ng klasipikasyon.
Sa iba pang mga bagay, ang programa ay idinisenyo upang "magpasok ng mga kahinaan sa mga komersyal na sistema ng pag-encrypt". Ang mga ito ay malalaman ng NSA, ngunit walang ibang tao, kabilang ang mga ordinaryong customer, na sinasabing tinutukoy sa dokumento bilang "mga kalaban".
"Ang mga pagbabagong ito sa disenyo ay ginagawang mapagsamantalahan ang mga system na pinag-uusapan sa pamamagitan ng pagkolekta ng Sigint ... na may paunang kaalaman sa pagbabago. Gayunpaman, sa consumer at iba pang mga kalaban, nananatiling buo ang seguridad ng mga system."
Itinakda ng dokumento sa malinaw na mga termino ang malawak na layunin ng programa, kabilang ang paggawa ng komersyal na software ng pag-encrypt na "mas madadaanan" sa mga pag-atake ng NSA sa pamamagitan ng "paghubog" sa pandaigdigang pamilihan at patuloy na pagsisikap na makapasok sa encryption na ginagamit ng susunod na henerasyon ng mga 4G na telepono.
Kabilang sa mga partikular na nagawa para sa 2013, inaasahan ng NSA na ang programa ay makakakuha ng access sa "data na dumadaloy sa isang hub para sa isang pangunahing provider ng komunikasyon" at sa isang "pangunahing internet peer-to-peer voice at text communications system".
Pinaninindigan ng mga kumpanya ng teknolohiya na nakikipagtulungan lamang sila sa mga ahensya ng paniktik kapag napipilitan ng batas na gawin ito. Nauna nang iniulat ng Guardian na ang Microsoft ay nakipagtulungan sa NSA upang iwasan ang pag-encrypt sa Outlook.com email at mga serbisyo sa chat. Iginiit ng kumpanya na obligado itong sumunod sa "umiiral o hinaharap na legal na mga kahilingan" kapag nagdidisenyo ng mga produkto nito.
Ipinapakita ng mga dokumento na nakamit na ng ahensya ang isa pa sa mga layuning inilatag sa kahilingan sa badyet: upang maimpluwensyahan ang mga internasyonal na pamantayan kung saan umaasa ang mga sistema ng pag-encrypt.
Matagal nang pinaghihinalaan ng mga independiyenteng eksperto sa seguridad na ang NSA ay nagpapakilala ng mga kahinaan sa mga pamantayan ng seguridad, isang katotohanang nakumpirma sa unang pagkakataon ng isa pang lihim na dokumento. Ipinapakita nito na ang ahensya ay nagtrabaho nang patago upang makakuha ng sarili nitong bersyon ng isang draft na pamantayan sa seguridad na inisyu ng US National Institute of Standards and Technology na inaprubahan para sa pandaigdigang paggamit noong 2006.
"Sa kalaunan, ang NSA ang naging nag-iisang editor," sabi ng dokumento.
Ang codeword ng NSA para sa decryption program nito, Bullrun, ay kinuha mula sa isang malaking labanan ng digmaang sibil ng Amerika. Ang British counterpart nito, Edgehill, ay pinangalanan pagkatapos ng unang malaking pakikipag-ugnayan ng English civil war, mahigit 200 taon na ang nakalilipas.
Ang isang gabay sa pag-uuri para sa mga empleyado at kontratista ng NSA sa Bullrun ay binabalangkas sa malawak na mga termino ang mga layunin nito.
"Ang Project Bullrun ay tumatalakay sa mga kakayahan ng NSA na talunin ang encryption na ginagamit sa mga partikular na teknolohiya ng komunikasyon sa network. Ang Bullrun ay nagsasangkot ng maraming mapagkukunan, na lahat ay lubhang sensitibo." Ang dokumento ay nagpapakita na ang ahensya ay may mga kakayahan laban sa malawakang ginagamit na mga online na protocol, tulad ng HTTPS, voice-over-IP at Secure Sockets Layer (SSL), na ginagamit upang protektahan ang online shopping at pagbabangko.
Ipinapakita rin ng dokumento na ang Commercial Solutions Center ng NSA, na tila ang katawan kung saan maaaring masuri ng mga kumpanya ng teknolohiya ang kanilang mga produkto ng seguridad at iharap sa mga prospective na mamimili ng gobyerno, ay may isa pa, mas lihim na tungkulin.
Ginagamit ito ng NSA upang "gamitin ang sensitibo, pakikipagtulungang mga relasyon sa mga partikular na kasosyo sa industriya" upang magpasok ng mga kahinaan sa mga produktong panseguridad. Ang mga operatiba ay binigyan ng babala na ang impormasyong ito ay dapat na itago nang lihim "sa pinakamababa".
Ang isang mas pangkalahatang gabay sa pag-uuri ng NSA ay nagpapakita ng higit pang detalye sa malalim na pakikipagsosyo ng ahensya sa industriya, at ang kakayahan nitong baguhin ang mga produkto. Ito ay nagbabala sa mga analyst na dalawang katotohanan ang dapat manatiling lihim: na ang NSA ay gumagawa ng mga pagbabago sa komersyal na encryption software at mga device "upang gawin ang mga ito na mapagsamantalahan", at ang NSA ay "kumukuha ng mga detalye ng cryptographic ng komersyal na cryptographic information security system sa pamamagitan ng mga relasyon sa industriya."
Hindi pa na-crack ng mga ahensya ang lahat ng teknolohiya ng pag-encrypt, gayunpaman, iminumungkahi ng mga dokumento. Lumitaw si Snowden upang kumpirmahin ito sa isang live na Q&A sa mga mambabasa ng Guardian noong Hunyo. "Gumagana ang pag-encrypt. Ang wastong ipinatupad na malakas na mga crypto system ay isa sa ilang bagay na maaasahan mo," aniya bago nagbabala na ang NSA ay madalas na makakahanap ng mga paraan sa paligid nito bilang resulta ng mahinang seguridad sa mga computer sa magkabilang dulo ng komunikasyon.
Ang mga dokumento ay nakakalat sa mga babala sa kahalagahan ng pagpapanatili ng ganap na lihim sa paligid ng mga kakayahan sa pag-decryption.
Ang mga mahigpit na alituntunin ay inilatag sa GCHQ complex sa Cheltenham, Gloucestershire, kung paano tatalakayin ang mga proyektong nauugnay sa decryption. Ang mga analyst ay tinagubilinan: "Huwag magtanong tungkol o mag-isip-isip tungkol sa mga pinagmumulan o mga pamamaraan na nagpapatibay sa Bullrun." Ang impormasyong ito ay mahigpit na binantayan, ayon sa isang dokumento, na maging ang mga may access sa mga aspeto ng programa ay binigyan ng babala: "Walang 'kailangang malaman'."
Ang mga ahensya ay dapat na "pumipili kung saan ang mga kontratista ay binibigyan ng pagkakalantad sa impormasyong ito", ngunit sa huli ay nakita ito ni Snowden, isa sa 850,000 katao sa US na may top-secret clearance. Ang isang 2009 na dokumento ng GCHQ ay nagsasaad ng mga makabuluhang potensyal na kahihinatnan ng anumang paglabas, kabilang ang "pinsala sa mga relasyon sa industriya."
"Ang pagkawala ng kumpiyansa sa aming kakayahang sumunod sa mga kasunduan sa pagiging kumpidensyal ay hahantong sa pagkawala ng pag-access sa pagmamay-ari na impormasyon na maaaring makatipid ng oras kapag bumubuo ng bagong kakayahan," sinabi sa mga manggagawang paniktik. Medyo hindi gaanong mahalaga sa GCHQ ang tiwala ng publiko na minarkahan bilang isang katamtamang panganib, nakasaad sa dokumento.
"Ang ilang mga mapagsamantalang produkto ay ginagamit ng pangkalahatang publiko; ang ilang mga mapagsamantalang kahinaan ay kilalang-kilala eg ang posibilidad na mabawi ang mga hindi magandang napiling password," sabi nito. "Ang kaalaman na sinasamantala ng GCHQ ang mga produktong ito at ang laki ng aming kakayahan ay magpapalaki ng kamalayan ng publiko na nagdudulot ng hindi kanais-nais na publisidad para sa amin at sa aming mga pinuno sa pulitika."
Ang pagsisikap sa pag-decryption ay partikular na mahalaga sa GCHQ. Ang estratehikong bentahe nito mula sa Tempora program nito - ang direktang pag-tap sa mga transatlantic fiber-optic cable ng mga pangunahing korporasyon ng telekomunikasyon - ay nasa panganib na mabura dahil mas maraming malalaking kumpanya sa internet ang nag-encrypt ng kanilang trapiko, na tumutugon sa mga kahilingan ng customer para sa garantisadong privacy.
Nang walang pansin, ang 2010 na dokumento ng GCHQ ay nagbabala, ang "Sigint utility ng UK ay magpapababa habang dumadaloy ang impormasyon sa mga pagbabago, ang mga bagong application ay binuo (at ipinakalat) nang mabilis at ang malawakang pag-encrypt ay nagiging mas karaniwan." Ipinapakita ng mga dokumento na ang unang layunin ng Edgehill ay i-decode ang naka-encrypt na trapiko na na-certify ng tatlong malalaking (hindi pinangalanan) na kumpanya sa internet at 30 uri ng Virtual Private Network (VPN) – na ginagamit ng mga negosyo upang magbigay ng secure na malayuang pag-access sa kanilang mga system. Sa pamamagitan ng 2015, inaasahan ng GCHQ na ma-crack ang mga code na ginamit ng 15 pangunahing kumpanya sa internet, at 300 VPN.
Ang isa pang programa, na may codenamed na Cheesy Name, ay naglalayong itangi ang mga susi sa pag-encrypt, na kilala bilang 'mga sertipiko', na maaaring madaling ma-crack ng mga supercomputer ng GCHQ.
Ang mga analyst sa proyektong Edgehill ay gumagawa ng mga paraan sa mga network ng mga pangunahing tagapagbigay ng webmail bilang bahagi ng proyekto ng pag-decryption. Ang isang quarterly update mula 2012 ay nagsasaad na ang koponan ng proyekto ay "patuloy na magtrabaho sa pag-unawa" sa malaking apat na tagapagbigay ng komunikasyon, na pinangalanan sa dokumento bilang Hotmail, Google, Yahoo at Facebook, na idinagdag na "ang trabaho ay higit na nakatutok sa quarter na ito sa Google dahil sa bagong access nabubuo ang mga pagkakataon."
Para makatulong sa pag-secure ng insider advantage, nagtatag din ang GCHQ ng Humint Operations Team (HOT). Ang Humint, na maikli para sa "katalinuhan ng tao" ay tumutukoy sa impormasyong direktang nakuha mula sa mga mapagkukunan o mga undercover na ahente.
Ang pangkat ng GCHQ na ito ay, ayon sa isang panloob na dokumento, "responsable sa pagtukoy, pag-recruit at pagpapatakbo ng mga tago na ahente sa pandaigdigang industriya ng telekomunikasyon."
"Ito ay nagbibigay-daan sa GCHQ na harapin ang ilan sa mga pinaka-mapaghamong target nito," sabi ng ulat. Ang mga pagsisikap na ginawa ng NSA at GCHQ laban sa mga teknolohiya ng pag-encrypt ay maaaring magkaroon ng negatibong kahihinatnan para sa lahat ng mga gumagamit ng internet, babala ng mga eksperto.
"Ang mga backdoors ay pangunahing salungat sa mabuting seguridad," sabi ni Christopher Soghoian, punong technologist at senior policy analyst sa American Civil Liberties Union. "Inilantad ng mga backdoor ang lahat ng mga gumagamit ng isang backdoored system, hindi lamang ang mga target ng ahensya ng intelligence, sa mas mataas na panganib ng kompromiso sa data." Ito ay dahil ang paglalagay ng mga backdoors sa isang software na produkto, lalo na ang mga magagamit upang makakuha ng hindi naka-encrypt na mga komunikasyon o data ng user, ay makabuluhang nagpapataas ng kahirapan sa pagdidisenyo ng isang secure na produkto."
Ito ay isang view na umalingawngaw isang kamakailang papel ni Stephanie Pell, isang dating tagausig sa US Department of Justice at hindi residenteng kapwa sa Center for Internet and Security sa Stanford Law School.
"Ang [isang] naka-encrypt na sistema ng komunikasyon na may legal na interception sa likod na pinto ay mas malamang na magresulta sa malaking pagkawala ng pagiging kumpidensyal ng mga komunikasyon kaysa sa isang sistema na hindi kailanman may access sa mga hindi naka-encrypt na komunikasyon ng mga gumagamit nito," sabi niya.
Hiniling ng mga opisyal ng katalinuhan sa Guardian, New York Times at ProPublica na huwag i-publish ang artikulong ito, na nagsasabi na maaari itong mag-udyok sa mga dayuhang target na lumipat sa mga bagong anyo ng pag-encrypt o mga komunikasyon na mas mahirap kolektahin o basahin.
Inalis ng tatlong organisasyon ang ilang partikular na katotohanan ngunit nagpasyang i-publish ang kuwento dahil sa kahalagahan ng isang pampublikong debate tungkol sa mga aksyon ng pamahalaan na nagpapahina sa pinakamakapangyarihang mga tool para sa pagprotekta sa privacy ng mga user ng internet sa US at sa buong mundo.
Ang ZNetwork ay pinondohan lamang sa pamamagitan ng kabutihang-loob ng mga mambabasa nito.
mag-abuloy