Američki vojnik dobio 70 mjeseci zatvora jer je telekomunikacijske divove shvatio kao kasicu prasicu

Sto milijuna ljudi. Toliko je brojeva telefona, poziva, poruka i metapodataka o tome kome se javljalo u tri ujutro i s kim se prekidalo u jedan poslije ponoći iscurilo iz AT&T-a i Verizona, a sve zato što je jedan čovjek u uniformi američke vojske shvatio da su telekomunikacijski divovi — koji desetljećima prodaju priču o nacionalnoj sigurnosti i zaštiti podataka — otvoreni kao seoska štala u četiri ujutro. Sedamdeset mjeseci zatvora. Skoro tri stotine tisuća dolara odštete. I jedna rečenica koja bi trebala stajati na ulazu u svaku telekomunikacijsku upravnu zgradu: ako ti podatke može ukrasti jedan vojnik s pristupom, koji kurac prodaješ sigurnost?

Ovaj čovjek nije bio neki haker genijalac iz holivudskog filma, onaj tip koji u mračnoj sobi tipka po tri tipkovnice istovremeno dok na zidu visi poster Matrixa. Bio je vojnik. Imao je pristup, imao je vremena, i imao je — što je najvažnije — dovoljno niskog mišljenja o tome kako su te firme posložile svoju infrastrukturu da proba. I pokazalo se da je imao pravo. Ne treba ti nuklearka. Ne treba ti kvantno računalo. Ne treba ti državni sponzor s milijardama dolara i timom doktora znanosti. Treba ti lozinka koja je negdje zapisana na papiriću, pristup koji nikad nije revidiran, i sustav koji je toliko velik da nitko više ne zna tko je sve unutra.

I onda, kad te uhvate, dobiješ pedeset i osam mjeseci. Za sto milijuna ljudi. To je otprilike sedam mjeseci po deset milijuna žrtava. Preračunaj si to u neku normu, ako možeš. U Hrvatskoj za pronevjeru od parsto tisuća eura u komunalnom poduzeću dobiješ uvjetnu i savjetodavni razgovor s novinarom koji te pita kako je bilo. Ovdje je čovjek uzeo metapodatke cijele jedne nacije i dobio manje od šest godina. Nije ubio nikoga. Ali je znao gdje je svatko bio, kome je zvonio, kad je prekinuo vezu, s kim se dogovarao. U Americi, gdje su ti metapodaci pravno gotovo pa svetinja, ovo bi trebalo biti ravno izdaji. Ali nije. Jer je sustav toliko velik da je i kazna — simbolična.

A sada ono što boli. AT&T i Verizon, dvije firme koje svake godine potroše milijarde na reklame u kojima ti objašnjavaju kako su tvoji podaci sigurni kao u trezoru švicarske banke, ispale su kao dvije kuće bez brave u ulici u kojoj netko upravo prodaje katalog svih stanara. I nitko odgovoran nije otišao kući. Nitko nije izgubio bonus. Nitko nije dao ostavku. Glavni sigurnosni direktor nije dobio otkaz, nije se pojavio pred kongresnim odborom s onom licem čovjeka koji je upravo shvatio da mu karijera visi o niti, nije čak ni javno rekao "jebote, kako smo to dopustili". Samo su izdali priopćenje u kojem piše da su "poduzeli korake" i da "surađuju s vlastima". Priopćenje je vjerojatno napisao isti odjel koji je pisao i ono o "industrijski najboljim standardima zaštite".

I tu dolazimo do srži. Telekomunikacijske firme ne prodaju sigurnost. One prodaju iluziju sigurnosti. A iluzija je jeftina dok je nitko ne testira. Kad je testiraš, dobiješ sto milijuna kompromitiranih brojeva i tipa u zatvoru koji je, ironično, jedini u cijeloj priči odgovarao za posljedicu, a ne za uzrok. Jer uzrok nije bio on. Uzrok je bio sustav koji je dopuštao da jedan čovjek s pristupom može izvući metapodatke cijele države, a da to nitko ne primijeti tjednima. Mjesecima. Možda godinama. Ne znamo točno, jer nitko od tih firmi nije bio voljan javno reći koliko je trajalo prije nego što su shvatili da ih netko dere.

Sad, postoji jedna stvar koju ljudi koji ne rade u IT-u ne razumiju, a koja je ovdje ključna. Metapodaci nisu samo "podaci o podacima", to nije neka suhoparna kategorija iz udžbenika. Metapodaci su tvoj život u sažetom obliku. Oni govore gdje si bio, s kim si bio, koliko dugo, kako često, u koje doba dana. Iz metapodataka se da rekonstruirati afera, bolest, kriza, tajna veza, poslovni dogovor, politički dogovor, sve. Ono što je Edward Snowden rekao prije dvanaest godina — da metapodaci sami po sebi govore više od sadržaja — nije bila paranoja. Bilo je upozorenje. I to upozorenje nitko nije poslušao jer je bilo neugodno.

A najgori dio? Ovaj vojnik nije bio neki ideološki protivnik sustava. Nije bio zviždač. Nije bio aktivist. Bio je obični kriminalac u uniformi. Uzeo je podatke i pokušao izvući novac. To je sve. Nema tu nikakve više ideje, nema nikakve borbe protiv moći, nema nikakve plemenite motivacije koju bi čovjek mogao razumjeti ili čak podržati. Samo pohlepa. I upravo zato je ova priča tako jebeno poučna: ako je obična pohlepa dovoljna da probiješ sustav za koji dvije najveće telekomunikacijske firme na svijetu tvrde da je neprobojan, zamisli što bi napravio netko s mozgom, resursima i vremenom.

Ovdje se radi o nečemu što bi u mojoj branši, u kojoj se čovjek bavi serverima i mrežama od devedesetih, trebalo zvati elementarnom nepismenošću arhitekture. Kad gradiš sustav koji drži podatke o sto milijuna ljudi, prva stvar koju napraviš je da razdvojiš pristup. Da nitko ne može vidjeti sve. Da svaki pristup ostavlja trag. Da se podaci ne mogu izvući u komadu, nego samo u djelićima koji pojedinačno ne znače ništa. To nije raketna znanost. To je osnovna higijena. Ali higijena košta. Košta vrijeme, košta novac, košta ljude. A firme koje svake godine prikazuju rast kvartalnih prihoda ne vole trošiti na stvari koje se ne vide u bilanci. Sigurnost se ne vidi u bilanci. Do trenutka kad se vidi. A onda je prekasno.

I tako dobijemo situaciju u kojoj čovjek koji je ukrao podatke sto milijuna ljudi dobije pedeset i osam mjeseci, dok firma koja je te podatke izgubila — zbog svoje nemarnosti, zbog svoje arhitekture, zbog svoje kulture u kojoj je sigurnost trošak, a ne prioritet — nastavi poslovati kao da se ništa nije dogodilo. Dionicari ne trepnu. Uprava ne odgovara. Regulatori slegnu ramenima. Jer u Americi, gdje se sve svodi na to ko kome može naplatiti, kazna za korporativnu nemarnost praktički ne postoji. Postoji kazna za pojedinca. Pojedinac je uvijek kriv. Sustav nikad.

Ako je vaš poslovni model prodavati sigurnost, a onda vas razvali jedan čovjek s pristupom, možda nije problem u tome čovjeku. Možda je problem u tome što ste vi cijelo vrijeme prodavali nešto što ne posjedujete. I tako smo opet dobili lekciju koju smo trebali naučiti prije dvadeset godina: veličina nije sigurnost. Veličina je samo veći metа. Veći metа za metke, veći metа za lopove, veći metа za ljude koji znaju da unutra nitko ne gleda.

Sedamdeset mjeseci. Za sto milijuna ljudi. To je otprilike pola sekunde po žrtvi. Ako ti to zvuči kao pravda, onda si ili radnik u telekomunikacijskoj firmi ili čovjek koji nikad nije imao ništa što bi bilo vrijedno ukrasti.

Izvor: krebsonsecurity.com