Takaovi salattuun viestintään viranomaisia varten?

Viranomaisten halu päästä lukemaan salattuja viestiyhteyksiä on autoilijoiden gps-seurannan tavoin ikuisuushanke, joka pullahtaa esiin säännöllisin väliajoin. Uusin tapaus on ajankohtainen juuri nyt ja sitä on (kuinka sattuukin!) valmisteltu melkein salassa.

Kiista alkoi jo 1990-luvulla, kun ensimmäiset kuluttajille suunnatut digitaaliset viestintäkanavat alkoivat yleistyä (USA:n Clipper-hanke). Kerta toisensa jälkeen länsimaat ovat joutuneet luopumaan haluamastaan takaovesta. Tai no, NSA:lla kumppaneineen on ollut siihen omia, laittomia keinoja, kuten salausalgoritmien tahallinen heikentäminen ja tuotteisiin salaa upotetut takaovet, mutta perinteinen poliisityö on joutunut turvautumaan muihin keinoihin.

Viimeksi asia oli laajemmin esillä Ranskan ja San Bernardinon terrori-iskujen yhteydessä (2015) sekä vähän myöhemmin Suomessa tiedustelulain valmistelun vuoksi. Tiedustelu arvioitiin tehokkaaksi salauksesta huolimatta, mikä sekin kertoo jotain.

It-ammattilaisten kanta on selvä: kaikkinaiset takaovet poliisia varten ovat huono idea, koska niillä on taipumus vuotaa muidenkin käyttöön. Tiedonsiirrosta pitää tehdä mahdollisimman turvallista, ei lisätä sen keskelle tahallisia heikkoja kohtia.

Tämä on tietenkin pelkkä insinöörinäkökulma eikä ota huomioon yhteiskunnan muita tarpeita. Mutta nekin huomioiden poliisin takaovi herättää paljon enemmän kysymyksiä kuin vastauksia.

Terroriteot ovat fyysisiä tapahtumia, joiden valmistelusta jää runsaasti jälkiä. Viime aikojen tekijät ovat toimineet yksin, mikä kieltämättä vaikeuttaa perinteistä poliisityötä ja suunnitelmien paljastumista, mutta toisaalta lähes kaikki tekijät ovat olleet jo ennestään poliisin tiedossa. Resurssit eivät vain riitä kaikkien valvontaan, joten viestiliikenteen urkinnasta halutaan nopeaa apua.

Ennen arviointia pitäisi tietää, kuinka paljon terroristit ovat oikeasti käyttäneet salattuja viestintäsovelluksia kuten WhatsApp, Telegram ja Signal. Salatut ryhmät ovat luultavasti suurin ongelma, ne radikalisoivat ja levittävät vaarallisia viestejä ulkopuolisten näkemättä. Tällaisia ryhmiä on myös Facebookissa ja muilla somealustoilla. Ryhmät ovat joukkoviestinnän rajalla, eivät enää henkilökohtaista käyttöä. Ehkä ryhmien valvontaa voisi lisätä, vaikka sitten tekoälyn voimin, kunhan kahdenvälinen salattu viestintä jätetään rauhaan.

Jos tunnetut palvelut velvoitetaan avaamaan takaovia, niiden käyttäjiksi jäävät vain tavalliset kansalaiset. Rikolliset ja terroristit löytävät aina uusia keinoja salattuun viestintään. Chat-ohjelmia on lukuisia, monet niistä länsimaiden ulkopuolelta, eikä niitä kaikkia voida velvoittaa takaoviin.

Takaovi on tässä yhteydessä turhan raflaava termi. EU haluaa lopettaa päästä-päähän salatut yhteydet, joissa edes palvelu itse ei pääse näkemään viestinnän sisältöä. Tähän asti päästä-päähän-salausta on pidetty turvallisuuden takeena, koska se estää palvelua urkkimasta liikennettä -- esimerkiksi Facebookia katsomasta asiakkaiden keskinäistä WhatsApp-viestintää. 

Nyt EU siis vaatii, että Facebookin pitäisi tarjota poliisivoimille ja tiedustelulle mahdollisuus liikenteen salakuunteluun. Vaatimus on täysin käänteinen GDPR:ään verrattuna, koska siinä EU-tuomioistuin viimeksi heinäkuussa päätti, ettei EU-kansalaisten tietoja voi säilyttää jenkkipalvelimilla niiden turvattomuuden ja tiedustelun vuoksi. Nyt EU haluaa siis itse tehdä päinvastoin kuin mitä tuomioistuin juuri päätti.

Ehkä meidän on vain hyväksyttävä, että kaikella teknologialla on kielteisiä seurauksia. Autoja ei voida kieltää, vaikka niitä on ajettu tahallaan päin ihmisiä ja aiheutettu suuria vahinkoja. Veitset ovat ehkä turhankin triviaali esimerkki siitä, miten samalla laitteella voi tehdä sekä hyvää että pahaa.

Salauksen purkamisen sijaan olisi parempi panostaa jälkien lisäämiseen. Rahaliikenne, autoilu, nettiseuranta, mainosten kohdentaminen ja monet muut tuottavat valtavia datamassoja joka päivä. Valvontakameroita on kaikkialla. Lisää lokitietoja voidaan määrätä kerättäväksi, se on pienempi paha kuin viestinnän luottamuksellisuuteen puuttuminen.

Data on oikein käytettynä mahtava ase -- myös terroristien paljastamiseksi.

Huawei-kiistassa ei ole kyse enää takaovista

"Huawein 5G-verkossa Kiinan valtionpoliisi pääsee taskuusi", pelotteli demokraattijohtaja Nancy Pelosi maansa Nato-liittolaisia kiinalaisen Huawei-yhtiön vakoilusta. Epäasiallinen heitto kertoo, miten vakavasti ja tunteenomaisesti Yhdysvallat suhtautuu asiaan. Kiinan uhka riittää yhdistämään jopa demokraatit ja republikaanit, mikä on nykyoloissa harvinaista

Meille eurooppalaisille Pelosin lausahdus kertoo, ettei tässä ole enää kyse vakoilusta vaan Kiinan tulevasta asemasta lännen taloudellisena kilpailijana. Kiina on Yhdysvalloille uusi Venäjä. Kiina ei enää tyydy rooliinsa kopioijana ja koko maailman tehtaana, vaan on noussut teknologisen kehityksen kärkeen ja uhkaa ensi kertaa lännen johtoasemaa. Kiina on paitsi 5G-laitteiden valmistaja, myös niiden suurin käyttäjä. Eikä Applella ole vielä yhtään 5G-iPhonea.

Teknologian myötä tulee valtaa vaikuttaa muuhunkin kehitykseen, muistellaan vain paljonko Yhdysvallat on vaikuttanut maailmaan internetin kehittäjänä.

5G-verkkojen kautta tapahtuva vakoilu on hyvä keppihevonen Kiinan vastustamiselle. Asiassa on monta kysymysmerkkiä. Uutistoimisto Reuters kertoi toukokuussa 2019, miten Yhdysvallat muka heräsi 5G-uhkaan vasta Australiassa alkuvuodesta 2018 järjestetyn kyberturvaharjoituksen jälkeen. Mitä siellä on oikein mahdettu harjoitella? Eihän laitteita vielä olekaan. Ovatko NSA/CIA:n henkilöt täysin epäpäteviä, jos tällainen uhka tulee heille yllätyksenä? Uutisen on pakko olla ankka, tai ainakin tahallista informaatiovaikuttamista.

USA:lta perätään todisteita Huawein takaovista. Se on turhaa. Vaikka todisteita olisi, niitä ei kerrota julkisuuteen, koska vastapuolen ei haluta tietävän, mitä itse tiedetään. Lisäksi USA joutuisi paljastamaan tehneensä itse samanlaisia jekkuja.

Vähän väliä on uutisoitu löydöistä, jotka eivät sitten olekaan olleet uskottavia. Viime viikolla "savuava ase" oli viranomaiskuunteluun tarkoitettu liitäntä, johon USA väitti Huaweilla olevan pääsyn. Deutsche Telekom ja Vodafone kuitenkin ilmoittivat, ettei niillä ole mitään näyttöä yhdenkään valmistajan luvattomasta pääsystä verkkoihinsa.

Olisi loogista, että Huawein laitteisiin olisi upotettu hätätilanteita (esim. kyberhyökkäys) varten jonkinlainen kill-switch tai tehty tahallisia ohjelmointivirheitä. Niitä on mahdotonta todistaa suuntaan tai toiseen. Eikä sillä ole edes merkitystä, sillä jos laitteisiin halutaan salattuja toimintoja, ne tuodaan myöhemmin softapäivitysten yhteydessä. Tai käänteisesti: tiukassa tilanteessa softapäivitykset jätetään antamatta. Riippuvuus teknologiasta antaa tekijälle kiristyskeinon, jonka käytöstä Trump on itse antanut esimerkkejä kieltämällä Android-toimitukset Huaweille ja lopettamalla Adoben ohjelmien toiminnan Venezuelassa.

Tätä valta-asemaa USA pelkää. Se kuuluu vain lännelle, ja siitä halutaan pitää kiinni.

Sopivasti viime viikolla paljastui myös, että NSA omisti salaa sveitsiläinen Crypto AG:n ja vakoili sen asiakkaiden salaamaa dataliikennettä.

Huawei Europe retwiittasi uutisen, joka kertoo NSA:n vakoilusta.

Länsimaina hyväksymme, että USA vakoilee meitä, olemmehan samalla "hyvisten" puolella. Jos Kiina pääsee vastaavaan asemaan, se levittää maailmalle myös omia arvojaan ja suvaitsemattomia otteitaan. Tätä taustaa vasten on helppo yhtyä amerikkalaisten huoliin.

Mutta miten luotettava on USA:n tiedustelun tulevaisuus? Trump nimitti kansalliseksi tiedustelujohtajaksi Saksan suurlähettilään Richard Grenellin, jolla ei ole lainkaan tiedustelutaustaa, mutta sitäkin paremmat välit Trumpiin. Hänen nimityksensä on herättänyt runsaasti kritiikkiä.

Eurooppa on kahden tulen välissä. Olemme riippuvaisia Yhdysvaltojen sotilaallisesta tuesta, mutta talous on riippuvainen Kiinasta. Ilmapiirin kiristyessä tulee olemaan mahdotonta tasapainoilla näiden välissä. Kun toiselle kumartaa, tulee pyllistäneeksi toiselle.

Onneksi meillä on yksi valttikortti: Ericsson ja Nokia. Se kortti kannattaa pelata hyvin.

Onko Kiinan takaovista todisteita?

Yhdysvaltojen päätös kieltää yritysten yhteistyö Huawein kanssa on järeä toimi, joka osuu syyttömiin suomalaisiin. Googlen osalta kielto tuntuu pelkältä kiusanteolta: ei ole edes väitetty, että älypuhelimet vakoilisivat käyttäjiä. Jos jotain urkitaan, se tapahtuu pilvipalveluista, jotka ovat edelleen USA:n hallinnassa. Huawein puhelinbisnekseen isketään, koska se menestyy liian hyvin, ja koska uudet puhelinmallit ovat parempia kuin USA:n omat iPhonet. Huawein puhelimia ei myydä Yhdysvalloissa, mutta muualla maailmassa ne nousivat kakkossijalle ja pudottivat Applen kolmanneksi.

Verkon aktiivilaitteiden osalta tilanne on erilainen. Mikäli runkoverkon reitittimeen tai 5G-tukiasemaan todella laitettaisiin takaovi, sen kautta voisi vakoilla liikennettä ja kyberhyökkäyksen sattuessa lamaannuttaa koko verkon. Virallisen version mukaan Yhdysvallat on huolissaan juuri tästä vaihtoehdosta. Mutta onko se totta? Onko siitä mitään todisteita? Jos on, miksei niitä julkaista?

Loogisesti ajateltuna kiinalaisten kannattaisi lisätä laitteisiin takaovia. Kun kyse on kansallisesta turvallisuudesta, kaikki keinot ovat sallittuja. Takaoven löytäminen on liki mahdotonta, sillä se voidaan toteuttaa koodinpätkänä, joka aktivoidaan esimerkiksi tietyllä bittisekvenssillä. Ilman tuota herätettä takaovi on täysin näkymätön. Takaovi voidaan toteuttaa myös pienellä elektronisella komponentilla, mutta silloin sen paljastumisen vaara on ilmeinen.

Uutistoimisto Bloomberg kertoi viime syksynä takaovista, jotka oli löydetty Kiinassa alihankintana valmistetuista emolevyistä, ja joita käytettiin mm. Applen ja Amazonin palvelinkeskuksissa. Juttu oli melkoinen skuuppi -- harmi vain, ettei kukaan ole pystynyt vahvistamaan havaintoja.

Se ei kuitenkaan estänyt Bloombergia tarttumasta uudelleen aiheeseen. Pari viikkoa sitten Italian Vodafonen väitettiin löytäneen jo kymmenen vuotta sitten Huawein laitteista takaovia. Tämäkään uutinen ei ollut kovin vakuuttava; esimerkiksi Register-verkkojulkaisu ampui sen alas samantien. Uutisointia ihmettelivät muutkin.

Mikään ei silti lannista Bloombergia. Tuoreessa kolumnissa kirjoittaja ylistää Trumpin päätöstä ja hehkuttaa, miten teknologian kylmässä sodassa tarvitaan uhrauksia Kiinan uhkan torjumiseksi. Kolumnisti siteeraa nimetöntä kansallisen turvallisuuden virkailijaa: "One U.S. national security official told me that China would be able to bring U.S. cities to a standstill “with the push of a button” if American cell towers were outfitted with Huawei equipment." Tällainen pelottelu on tietenkin roskaa.

Äskeittäin hollantilainen sanomalehti uutisoi uudesta Huawein takaovesta, lisään linkin tähän kun löydän tai kun asia varmistuu. No nyt löytyi: de Volkskrant -lehden uutinen 16.5.2019: Huawei mogelijk betrokken bij Chinese spionage in Nederland. Nähdäkseni tästä ei ole uutisoitu muualla, joten tieto on yhä epävarma.

Mitä otsikon kysymykseen tulee, niin "jury is still out" sanoisi amerikkalainen.

Takaoven paljastuminen olisi paha isku laitetoimittajan luotettavuudelle. Itse uskon, että takaovet toteutetaan mieluummin ohjelmointivirheinä, jotka voidaan myöhemmin selittää parhain päin. Ja tämän pelin amerikkalaiset osaavat kiinalaisiakin paremmin. Jostain syystä Ciscon reitittimistä löytyy usein vakaviakin ohjelmointivirheitä, tuorein niistä pari viikkoa sitten: Sinister secret backdoor found in networking gear perfect for governement espionage.

Kuten tiedustelussa ja verkkovakoilussa yleensäkin, elämme varjojen maailmassa. On luultavaa, että niin amerikkalaisten kuin kiinalaistenkin laitteissa on piilotettuja toimintoja. Konkreettisia todisteita ei paljasteta, koska samalla vaarantuisi oma toiminta. Todisteet on voitu saada urkinnalla tai tavalla, joka paljastaisi liikaa omasta toiminnasta.

Me suomalaiset emme ole lännen tiedustelun sisäpiirissä, joten me saamme tiedon luultavasti viimeisten joukossa. Suojelupoliisin varoituksesta päätellen jotain tietoja on kuitenkin tihkunut.

Sopassa on mukana aimo annos kauppa... ei kun teknologiasotaa, jolla kiinalaisia yritetään estää harppaamasta lännen ohi teknologiseen johtoon. Sen vaikutukset olisivat niin suuria, että likaisetkin keinot ovat lännen näkökulmasta hyväksyttäviä.