Запись разговоров, копирование почты в Штатах – продолжение

7. June 2013, 11:36 Безопасность, Интернет

Штатовская история, начавшаяся с информации о возможной записи всех телефонных разговоров на уровне операторов, – развивается: теперь обсуждают неограниченный доступ NSA к информации крупнейших интернет-сервисов, в том числе, к электронной почте и другим пользовательским данным. Занятно, что сами компании уже отрицают, что предоставляют “доступ к серверам и аккаунтам”. Возможно, оно так и есть.

Хитрость в том, что правильно организованный механизм сбора данных и не должен основываться на доступе к серверам. Это архитектурная ошибка, которая приносит большие дополнительные проблемы. Например, компания, предоставляющая такой доступ, будет видеть, куда и как ходили специалисты спецслужбы, за кем они наблюдают, какие данные им интересны больше других. Это – утечка. Естественно, такой побочный эффект – не единственный недостаток тривиальной системы “мониторинга”.

Поэтому, вероятно, используется другая, вполне традиционная, схема: сетевой трафик полностью зеркалируется в системы DPI, используемые NSA, а дальше агентство разбирает этот трафик самостоятельно. Естественно, напрашивается вопрос: как быть с шифрованным трафиком (HTTPS и т.п.)? Ответ на него такой: зеркалируются и ключи, в том числе, сеансовые, если речь идёт о нормальных реализациях HTTPS. Сделать это не так сложно, потому что часто в нагруженных системах массового обслуживания защищённый канал оканчивается на специальном шлюзе, а внутри сети сервиса трафик ходит в открытом виде. Соответственно, при необходимости, никто не мешает передавать по открытой сети и сеансовый ключ (понятно, что обычно это не требуется – трафик и так открыт).

Добротные аппаратные DPI-решения для анализа интернет-трафика сейчас доступны даже для обычных коммерческих компаний. Очевидно, у АНБ с такой аппаратурой проблем давно нет. А доступ к серверам – нет, не требуется.

Адрес записки: https://dxdt.ru/2013/06/07/5898/

Похожие записки:



Далее - мнения и дискуссии

(Сообщения ниже добавляются читателями сайта, через форму, расположенную в конце страницы.)

Комментарии читателей блога: 10

  • 1. 7th June 2013, 12:34 // Читатель jno написал:

    родимый СОРМ именно так построен – зеркалом “туда”…

  • 2. 7th June 2013, 12:37 // Александр Венедюхин:

    Да, потому что это правильная архитектура.

  • 3. 7th June 2013, 18:26 // Читатель jno написал:

    пожалуй, единственная, не требующая оформления допусков/подписок для техперсонала компаний…

    а так – канал нужен жирный и недешёвый.
    а органы платить не любят…

  • 4. 7th June 2013, 22:29 // Читатель basil написал:

    Интересно как они определяют гражданство пользователя интернет-сервса? “Диагноз по юзерпику”?

  • 5. 8th June 2013, 00:15 // Читатель jno написал:

    Тут пояснили (собссно, ихний афропрезидент и пояснил), что (1) не ведётся наблюдение за гражданами США и проживающими в США, да к тому же (2) не ведётся собссно “глубокая инспекция” (анализ контента), а, вместо того, собираются частотные и т.п. характеристики трафика.

    Вот так вот.

  • 6. 8th June 2013, 05:10 // Читатель Al написал:

    Не понимаю, как они могут расшифровывать https, даже если он зеркалится “туда”. На том конце должны быть сертификаты от множества сайтов.
    Поясните новичку пожалуйста.

  • 7. 8th June 2013, 06:39 // Читатель Jeff Zanooda написал:

    Там язык эзопов: “cannot be used to intentionally target any U.S. citizen”. Но если записать весь трафик, а потом в нём искать неграждан, то такая деятельность не будет подпадать под определение intentionally.

  • 8. 8th June 2013, 09:24 // Александр Венедюхин:

    > Не понимаю, как они могут расшифровывать https

    Да, для расшифровки нужны секретные ключи, обычно, будет достаточно сеансовых, потому что аутентификация не требуется. Детали зависят от реализации протоколов (TLS). Ключи могут передавать. Но, как я отметил, трафик обычно расшифровывается (зашифровывается, если исходящий) на специальных шлюзах, которые, грубо говоря, стоят на входе – так называемые SSL termination proxy.

    Это распространённая практика крупных интернет-сервисов, так делается для снижения нагрузки и упрощения программной архитектуры – работать с зашифрованным трафиком сложно, и в вычислительном плане, и в “инженерно-программном”. Поэтому, _внутри_ сети сервиса, за SSL-прокси, трафик ходит в открытом виде. Соответственно, если точка зеркалирования находится “внутри периметра”, то и трафик туда идёт уже расшифрованный.

  • 9. 8th June 2013, 10:38 // Читатель basil написал:

    Я так полагаю если собирать частотные и т.п. характеристики трафика (напр. графы), то надо _всех_ пользователей собирать, иначе цельность информации весьма пострадает. Не говоря о том что даже теоретически невозможно отделить граждан от неграждан.

  • 10. 8th June 2013, 15:49 // Читатель jno написал:

    по сути, гражданин может (всё ещё, хе-хе) впарить иск родному государству, если данные, собранные таким вот способом, на него всплывут где-нибудь. и не просто впарить, а и выиграть.

    к этому, собссно, и сводятся разъяснения.
    как я их понял :)