如何阻止網路間諜活動

許多人開始懷疑網路是否是美國送給世界的偉大「特洛伊木馬」禮物，一種跨越障礙並獲取每個人私人資訊的巧妙方式。最近的 PRISM 間諜活動披露尤其引人注目 激怒了歐洲人。但荷蘭技術專家 Arjen Kamphuis 表示，有一些反擊的技巧。

阿爾詹‧坎普伊斯 (Arjen Kamphuis)

11年2001月XNUMX日，歐洲議會發表了 report 梯隊間諜網及其對歐洲公民和企業的影響。 測 關於這個由英國及其前殖民地組成的網絡的存在已經持續多年，但直到 1999 年才有一名記者發表了一篇文章 report 這將主題移出了錫箔帽區域。

歐盟議會的報告包含了非常實際和明智的建議，但由於兩個月後大西洋彼岸發生的事件，這些建議從未實施。或甚至進一步討論。

該報告在「鼓勵公民和企業自我保護的措施」標題下列出了幾項改善歐盟公民資料安全和通訊保密的具體建議。該文件呼籲議會告知公民梯隊的存在及其對隱私的影響，並補充說，這些資訊必須“伴隨著設計和實施全面保護措施的實際援助，包括資訊科技的安全。”

該報告還敦促“採取適當措施，促進、開發和製造歐洲加密技術和軟體，最重要的是，支持旨在開發開源用戶加密技術的項目”，並“促進源文本公開的軟體項目，從而保證該軟體沒有內建'後門'（即所謂的'開源軟體'）。”

文件指出，安全和加密技術的不可靠性，其原始碼未公開。在荷蘭和英國關於政府 IT 戰略的討論中，這個主題是一個嚴格的禁忌（可能是因為某些主要的北約合作夥伴可能會感到被冒犯）。

報告還表示，各國政府必須透過“系統地使用電子郵件加密技術，為彼此及其公民樹立良好榜樣，以便從長遠來看這將成為常態。”在實踐中，這應該透過「透過必要的實踐培訓和課程，確保員工接受新的加密技術和技巧的培訓和出版」來實現。

報告稱，即使是歐盟候選國，“如果它們因缺乏技術獨立性而無法提供必要的保護”，也應該得到幫助。

2001 年夏天的一段話，在合理的安全政策被9/11 徹底摧毀之前，描述了堅實的IT 政策的基礎，以確保公民的安全和隱私免受外國行為者和政府本身（歷史上總是最偉大的威脅）的威脅。對公民的威脅以及我們制定憲法的原因）。

如果這些政策是在過去十年中實施的，那麼最近棱鏡門事件的曝光將受到大多數人的冷漠對待。歐洲公民、政府和公司將在歐洲組織控制的系統上執行大部分計算和通信，運行在歐洲共同開發並實際位於歐洲土地上的軟體。

美國的問題在於間諜機構的影響力過大，就像青少年擁有機關槍或缺乏全民健保一樣，這只是他們在美國為了獲得「自由」而做出的瘋狂事情中的又一例。

從煎鍋到火

大約在那個時候，我正在與 Kees Vendrik（荷蘭議員）談論存在問題的歐洲軟體市場。不僅無法在不購買 Microsoft Windows 授權的情況下購買品牌筆記型電腦，而且在不使用 Internet Explorer 的情況下也無法存取許多網站（市政、鐵路等）。從那時起，後一個領域有了很大的改進，今天我可以使用我選擇的作業系統和瀏覽器來生活。

然而，荷蘭對 MS Windows/Office 等產品的依賴並沒有真正減少，儘管議會表達了所有願望並嘗試 政府政策。如今，如果不擁有和使用多種專有軟體，學生就不可能完成中學學業，這使得學生很容易受到監視。

想像一下，學校強制要求使用某種品牌的筆，並選擇有間諜麥克風（不受使用者控制）的筆。這就是荷蘭和英國等國家目前的實際情況。德國、法國和西班牙至少承認了這個問題，做得稍微好一點。

同時，1995 年發生的技術巨變讓微軟的比爾蓋茲 (Bill Gates) 非常害怕（網路讓作業系統變得無關緊要）正迅速成為現實。 IT 巨頭和專家討論的幾乎所有新開發都是基於 Web 或基於開放規範，並且最常用的應用程式在瀏覽器中作為服務運作得很好。

因此，雖然長達 15 到 20 年的軟體依賴問題從未真正解決（擁有數萬名 IT 員工的政府仍然無法擺脫熟悉的 Microsoft 技術堆疊），但其影響力正在慢慢變得越來越重要。不太相關。同時，事實證明，基於「雲端」提供者的新依賴關係更加有害。

過度使用專有軟體會帶來外國操縱的風險以及對關鍵基礎設施的潛在攻擊（參見 Stuxnet的）。但至少如果您的系統受到這種方式的攻擊，有一些方法可以追蹤它。如果您正在不屬於您的電腦上工作，該電腦位於國外並且由您不認識的人以您無法檢查的方式管理，那麼將很難對其進行任何控制 您的資料會發生什麼情況.

舊的假設，即使用本地伺服器可能是解決方案的一部分，不幸的是，在 9/11 後的帝國下，這似乎是一種幻想。總部位於美國的公司提供的所有「雲端」服務均受美國立法的約束，即使伺服器實際上位於另一個國家。可以說，美國法律現在有些問題。

即使沒有證據，只要指控參與“恐怖主義”，系統就可以被關閉或接管——沒有任何警告或對抗性司法審查的可能性。到目前為止，「恐怖主義」一詞已經被延伸，任何涉嫌違反美國法律的人，即使他們不是美國公民，即使他們不在美國，仍然可以被視為「恐怖分子」。就在眾多三個字母的機構之一（FBI、CIA、NSA、DIA、DHS、TSA 等）的訊息中。

歐盟對此並不滿意，但在棱鏡洩漏事件發生之前，歐盟不想建議其公民和其他政府不再使用此類服務。 PRISM 讓至少第一次對此進行認真的討論成為可能。

美國愛國者法案的長臂甚至超越了美國公司在歐洲土地上的伺服器。因此，網域可能會被“奪取”並以高度偏見的方式標記，例如“該網站涉及處理兒童 色情」。嘗試以商業或非營利組織的身份向您的客戶、貢獻者或業務合作夥伴解釋這一點。

現在只需使用一個 .com、.org 或 .net 擴展名作為您的域名 使您根據美國法律承擔責任。現在，所有歐洲人都可以因違反美國法律而被從家中抓走。因此，.com 網域使您的伺服器實際上成為美國領土。

我們已經意識到，Windows 和 Google Docs 等專有平台不適合用於運行公共或關鍵基礎設施等重要任務的系統。然而，現在事實證明，透過 .com / .org / .net 網域提供的每項服務都將您置於事實上的外國控制之下。

解決方案？盡可能更改為本地伺服器上的免費/開源軟體。幸運的是，歐洲有不少有能力的託管公司和企業。使用 .nl、.de、.fr 等當地國家/地區域名，或者，如果您確實想防彈，請使用 .ch 域名。這些由一個 瑞士基金會 這些人非常重視自己的獨立性。

如果您仍想使用 Google（包括 Google Docs）、Facebook、Evernote、Mind Meister、Ning.com、Hotmail 或 Office 365，請在使用時意識到您沒有隱私，公民權利也比英國貴族少。 年 1215.

打擊惡人

幾個月前，一位政府發言人在一次會議上為「清潔 IT」計畫辯護。 RIPE （為歐洲和亞洲分配 IP 位址的組織）。 打掃 是一個源自荷蘭的歐洲項目，旨在打擊「利用網路進行恐怖主義活動」。這個目標的問題在於，「網路」、「使用」和「恐怖主義」仍然沒有定義，而且似乎沒有人對解決這個問題非常感興趣。

如果您是政府，這種缺乏清晰度本身就很有用，因為您可以按照自己喜歡的任何方向進行專案。有點像 2005 年歐盟議會強行要求保留數據，並承諾僅用於打擊「恐怖主義」——但這一承諾在幾個月內就被打破了。

在德國，資料保留現已被宣布違憲並被廢除，而荷蘭的電話竊聽現象十分猖獗，儘管完全缺乏證據證明這些措施的有效性。所有保留電信資料的資料庫 自己成為目標 在威脅分析中似乎沒有認真考慮這一點。對政府來說，這一切相當令人擔憂，因為政府通常仍然無法正確保護自己的系統或確保外部承包商這樣做。

此外，在有關 Clean-IT 的講座中，重點強調了公私合作夥伴關係，以消除聽眾的疑慮。奇怪的是，政府首先透過外包所有專業知識而使自己無能，然後十年後又回來聲稱它無法控制這些公司，實際上也無法控制它們的分包商。

最後一步是將監督職能也外包給公司，並向公民保證：「我們讓公司來做！您不用擔心我們會自己做任何困難的技術工作，所有這些工作都已正確外包給搞砸了之前 25 個項目的同一方。”

恐怖主義顯然是「通行所有地區的通行證」——儘管事實上，死於淋浴時滑倒或因不合適的輕便摩托車頭盔而死亡的歐洲人比死於「恐怖主義」的歐洲人要多得多。此外，我們歐洲人有應對恐怖主義的經驗。在過去的幾十年裡，透過警方的調查、談判和封裝，埃塔、愛爾蘭共和軍和英國皇家空軍變得無害。這樣做並沒有損害 5 億歐洲公民的公民權利。即使愛爾蘭共和軍的炸彈經常在倫敦爆炸，也沒有人建議在都柏林或貝爾法斯特投放白磷。

我希望歐盟議會 9/11 之前的願景能夠在某個時候被重新發現。當我們要求「自由西方」的某些部分停止這樣做時，如果他們能夠制定一項政策來證明我們對俄羅斯的道德優勢是合理的，那就太好了 政治審查 打著「安全」的幌子。

後備方案

如果一切都失敗了（這並非完全不可能），我們需要為公民制定一個後備計劃。因為儘管有所有請願、動議、行動和其他倡議，我們的公民自由仍在迅速減少。不知何故，一場緩慢的企業政變發生了，政府希望依靠大量對銀行業非常有效的 MBA 演講和企業管理智慧來提高「效率」。

政府的主要職能因此消失，這一事實似乎並沒有讓大多數公務員感到困擾。與此同時，這些公司本身顯然忙於盈利和互相爭鬥，無暇顧及民權和其他 20 世紀下半葉的過時概念。

因此，與其總是試圖影響一個明顯忽視我們利益的政治體系，我們可以簡單地直接照顧自己和彼此。這個結論可能並不令人愉快，但它清楚地表明了我們必須做什麼。

一個很好的例子是讓教育和公民自由組織提供 每週工作坊 向公民介紹如何安裝和使用加密軟體來重新獲得一些隱私。這些組織應該利用自己的影響力，讓「加密貨幣很酷」的口號掛在每個人的嘴邊。

技術人員和設計師應該將精力集中在提升這些軟體的時尚性和使用者友善性方面。這可能比遊說僵化的政治機構有趣得多，而且實際上提供了一些具體的隱私結果。

自 2006 年以來，我不再依賴法律，而是使用歐盟以外的伺服器，透過 VPN 隧道與其建立 SSL 連接，進入歐盟以外的開放互聯網，從而確保了自己的電子郵件隱私。我使用強大的加密技術單獨加密盡可能多的電子郵件（使用免費 GPG軟體).

事實上，所有這些成群結隊的恐怖分子（我們的政府聲稱，他們正在淹沒地球）無疑也採取了此類措施——每月花費不到20 歐元，這使得大多數低級別間諜活動完全是毫無意義的資源浪費。鑑於上述情況，假設真正的重點是打擊“恐怖主義”，這一點就變得有點可疑了。

儘管一些「但我沒有什麼可隱瞞的」辯護者說，我們擁有隱私權和其他公民自由，就像我們擁有憲法一樣。不是針對一切正常的情況，而是針對那些情況不太好的罕見情況。

隱私是政府的最後一道防線，政府忽視了其存在的理由（為人民服務）。因此，隱私不是安全的敵人，而是安全最基本的部分，因為政府比任何潛在的網路犯罪者甚至恐怖分子都要可怕得多。犯罪分子可能會偷一些錢，恐怖分子可能會殺死一些人，但當涉及到戰爭、大規模鎮壓或種族滅絕時，你總是需要一個政府。

歐洲各國政府應該採取哪些措施來促進其公民和國家的安全是非常明顯的。他們已經在 2001 年夏天把它寫下來了。事實上，這些措施從來都不是當前任何「網路安全」政策提案的一部分，這一事實應該讓人們非常懷疑，至少是他們政府的能力。

Arjen Kamphuis 是 Gendo 的共同創辦人兼技術長。他在烏得勒支大學學習科學與政策，並在 IBM 和 Twynstra Gudde 擔任 IT 架構師、培訓師和 IT 策略顧問。自 2001 年底以來，Arjen 一直就新技術發展的策略影響向客戶提供建議。