{"id":20668,"date":"2021-02-04T18:46:59","date_gmt":"2021-02-04T17:46:59","guid":{"rendered":"https:\/\/informnapalm.org\/sv\/?p=20668"},"modified":"2023-12-04T02:31:41","modified_gmt":"2023-12-04T01:31:41","slug":"ukrainas-cyberallians","status":"publish","type":"post","link":"https:\/\/informnapalm.org\/sv\/ukrainas-cyberallians\/","title":{"rendered":"Hacktivister, cyberkrig och s\u00e5rbarheter i den offentliga sektorn – Ukrainas Cyberallians"},"content":{"rendered":"

Den 4 februari 2021 publicerades en intressant intervju med talaren f\u00f6r Ukrainas Cyberallians (UCA) Andrij Baranovitj p\u00e5 webbplatsen DOU<\/a><\/span>. Vi publicerar denna intervju f\u00f6r l\u00e4sarna p\u00e5 webbplatsen f\u00f6r det internationella informationskollektivet InformNapalm, som p\u00e5 ett visst historiskt stadium ocks\u00e5 spelade en viktig roll f\u00f6r att f\u00f6rena olika grupper av ukrainska hacktivister till ett effektivt UCA-team.<\/strong><\/span><\/p>\n

Flera publikationer<\/a><\/span><\/strong> p\u00e5 v\u00e5r webbplats kom ut tack vare samarbetet mellan InformNapalms OSINT-utredare och UCA-hacktivister och andra separata grupper av ukrainska IT-specialister. F\u00f6r exakt 4 \u00e5r sedan, i b\u00f6rjan av februari 2017, sl\u00e4pptes ocks\u00e5 v\u00e5r korta dokument\u00e4r<\/a><\/span><\/strong> “Cyberkrig – En \u00f6versikt \u00f6ver framg\u00e5ngsrika UCA-operationer 2016”, vilken kan tj\u00e4na som komplement till denna intervju.<\/span><\/p>\n

Om Ukrainas Cyberallians<\/span><\/strong><\/h2>\n

Ukrainas Cyberallians \u00e4r en grupp ukrainska hacktivister<\/a><\/span><\/strong> som uppstod 2016 efter sammanslagningen av flera hackargrupper. Enligt pressekreteraren f\u00f6r Ukrainas Cyberallians Andrij Baranovitj<\/a><\/span><\/strong> var deras huvudsakliga m\u00e5l att f\u00e5 information om Ryssland och dess deltagande i kriget. Senare lanserade Ukrainas Cyberallians ocks\u00e5 flashmoben #FuckResponsibleDisclosure i syfte att bed\u00f6ma s\u00e4kerheten f\u00f6r Ukrainas statliga resurser. I en intervju med DOU ber\u00e4ttade Andrij Baranovitj om UCA:s verksamhet, individuella \u00e5tg\u00e4rder, cyberkrig och SBU-efters\u00f6kningar av organisationens medlemmar. Han delade ocks\u00e5 sin \u00e5sikt om Diya-applikationen, online-val och internets\u00e4kerhet i Ukraina.<\/span><\/p>\n

\"Talaren<\/p>\n

– Den f\u00f6rsta fr\u00e5gan \u00e4r allm\u00e4n. Vem \u00e4r hackare?<\/span><\/strong><\/p>\n

F\u00f6rst och fr\u00e4mst ser jag mig sj\u00e4lv inte som en hackare utan som en specialist inom n\u00e4tverk, programvara och s\u00e4kerhet. Jag b\u00f6rjade med offentliga hackningsaktivistaktiviteter f\u00f6rst efter krigets utbrott. Mina kollegor och jag best\u00e4mde oss f\u00f6r att detta var ett nytt s\u00e4tt att till\u00e4mpa v\u00e5r kunskap p\u00e5.<\/span><\/p>\n

N\u00e4r allt kommer omkring, om du vet hur du skyddar system, vet du hur du ska attackera dem. Det vill s\u00e4ga, till skillnad fr\u00e5n svarta hackare som g\u00f6r detta f\u00f6r pengar, och vita hackare som g\u00f6r det bara av nyfikenhet, f\u00f6r att f\u00f6rst\u00e5 hur tekniken fungerar, anser vi oss vara hacktivister, eftersom vi anv\u00e4nder informationen vi h\u00e4mtar f\u00f6r milit\u00e4ra och politiska \u00e4ndam\u00e5l.<\/span><\/p>\n

– Jag kommer att citera dina intervjuer s\u00e5 att du kan kommentera dem. I en intervju s\u00e4ger du att “P\u00e5 de svarta plattformarna undertrycker administrationen politik. Egenintresse ligger \u00f6ver de nationella”. G\u00e4ller detta f\u00f6r den ukrainska hackargemenskapen i allm\u00e4nhet?<\/span><\/strong><\/p>\n

Citatet avser uteslutande svarta hackare som hackar f\u00f6r att tj\u00e4na pengar. Som informationss\u00e4kerhetsspecialist har jag ocks\u00e5 tillg\u00e5ng till privata hackerforum. Eftersom vi bland annat samlar in data om hur svarta hackare fungerar, observerar dem i deras naturliga livsmilj\u00f6, studerar deras regler, l\u00e4r oss om nya saker. Och naturligtvis \u00e4r politik inte v\u00e4lkommen d\u00e4r, f\u00f6r det skadar verksamheten kraftigt. Svarta hackare kan ocks\u00e5 ses som aff\u00e4rsm\u00e4n, \u00e4ven om de \u00e4r engagerade i olagliga aktiviteter. D\u00e4rf\u00f6r f\u00f6rs\u00f6ker de att inte diskutera politik. Internetbrott har ingen nationalitet.<\/span><\/p>\n

– Du har b\u00f6rjat prata om skapandet av Ukrainas Cyberallians. Kan du ber\u00e4tta mer detaljerat hur den bildades?<\/span><\/strong><\/p>\n

F\u00f6rst hade vi en separat grupp som hette RUH8. Mina kollegor och jag genomf\u00f6rde flera \u00e5tg\u00e4rder, inklusive hackning av den ryska statsduman, federationsr\u00e5det och de regionala myndigheterna i Astrakhan och Orenburg. V\u00e5rt samarbete med andra hackargrupper f\u00f6rb\u00e4ttrades tack vare InformNapalms webbplats, d\u00e4r vi alla l\u00e4mnade information f\u00f6r bearbetning och publicering. S\u00e5 i juni 2016 bildades Ukrainas Cyberallians i sin helhet av grupperna RUH8, FalconsFlame, Trinity och CyberHunta. Alla hade olika f\u00e4rdigheter, olika specialiseringar och tack vare det kompletterade vi varandra. P\u00e5 det s\u00e4ttet fortsatte vi att arbeta fram till 2019, och sedan i februari 2020 kom cyberpolisen och Ukrainas s\u00e4kerhetstj\u00e4nst till oss med helt l\u00f6jliga anklagelser.<\/span><\/p>\n

– Vi kommer tillbaka till detta \u00e4mne. F\u00f6rst vill jag veta om organisationen i allm\u00e4nhet. Hur m\u00e5nga medlemmar finns det? Vem \u00e4r de, bor de i Ukraina, eller finns det utl\u00e4nningar som ocks\u00e5 deltar i aktiviteterna?<\/span><\/strong><\/p>\n

F\u00f6r n\u00e4rvarande existerar praktiskt taget inte Ukrainas Cyberallians som ett brett kollektiv. F\u00f6r ett \u00e5r sedan registrerade mina kollegor och jag v\u00e5r organisation officiellt hos justitieministeriet, s\u00e5 nu finns det en icke-statlig organisation som heter Ukrainas Cyberallians. Vi planerade att arbeta med s\u00e4kerhet, inklusive ukrainska system, eftersom krig inte bara best\u00e5r av attacker utan ocks\u00e5 av f\u00f6rsvar. Dessa fr\u00e5gor diskuterades med representanter f\u00f6r myndigheterna, inklusive i Ukrainas nationella s\u00e4kerhetsr\u00e5d h\u00f6sten 2019. Men d\u00e5 slutade n\u00e5gon att tycka om det hela. S\u00e5 nu har vi en icke-statlig organisation, som best\u00e5r av tre grundare.<\/span><\/p>\n

– Hur var situationen fram till f\u00f6rra \u00e5ret?<\/span><\/strong><\/p>\n

Jag kommer inte att n\u00e4mna det exakta antalet deltagare, men det var inte s\u00e5 m\u00e5nga, plus minus 10 personer. Vi accepterade inte och accepterar inget utl\u00e4ndskt bist\u00e5nd. Jag ville aldrig ta reda p\u00e5 vem de andra medlemmarna var. Vissa k\u00e4nner jag mer, andra mindre. Dessa \u00e4r fr\u00e4mst tekniska specialister. I allm\u00e4nhet st\u00e4lls s\u00e5dana fr\u00e5gor vanligtvis inte. Ju mindre du vet, desto b\u00e4ttre sover du.<\/span><\/p>\n

Teamet inkluderade specialister fr\u00e5n Ukraina. Och v\u00e5ra m\u00e5l var uteslutande i Ryssland och i de territorier som Ryssland ockuperade. Vi har alltid upprepat att v\u00e5rt m\u00e5l uteslutande var att f\u00e5 information om Ryssland, dess deltagande i kriget och det milit\u00e4ra och politiska ledarskapet. Inget annat har n\u00e5gonsin intresserat oss.<\/span><\/p>\n

Vi \u00e4r helt enkelt inte uppm\u00e4rksamma p\u00e5 hot<\/span><\/strong><\/h2>\n

– Du \u00e4r pressekreterare f\u00f6r Ukrainas Cyberallians. Blev du vald eller ville du sj\u00e4lv kommunicera med pressen p\u00e5 uppdrag av Ukrainas Cyberallians?<\/span><\/strong><\/p>\n

Jag har alltid f\u00f6rst\u00e5tt att om vi vill att v\u00e5r information ska aktuella h\u00e4ndelser, m\u00e5ste vi prata om dem i detalj, kommunicera med m\u00e4nniskor. Allt b\u00f6rjade med att tidningen Fokus bad om en intervju. Och jag \u00f6vertygade mina kollegor att intervjun borde ges s\u00e5 att m\u00e4nniskor f\u00f6rstod vem vi \u00e4r, vad vi g\u00f6r, s\u00e5 att de inte s\u00e5g oss som ett hot och inte f\u00f6rv\u00e4xlade oss med svarta hackare.<\/span><\/p>\n

– Kommunicerar du ofta med journalister?<\/span><\/strong><\/p>\n

Tillr\u00e4ckligt ofta. Jag ger kommentarer till m\u00e5nga media som s\u00e4kerhetsexpert eller skriver kolumner om aktuella h\u00e4ndelser.<\/span><\/p>\n

– Vilka kommunikationsmedel anv\u00e4nder du vanligtvis f\u00f6r att rapportera resultatet av dina handlingar?<\/span><\/strong><\/p>\n

Medan vi fokuserade p\u00e5 v\u00e5rt huvudprojekt riktat mot Ryssland var v\u00e5r plattform InformNapalm. Vi bearbetade information med dem. Dessutom skrev vi artiklar d\u00e4r vi lade upp l\u00e4nkar till material s\u00e5 att alla kunde ladda ner dem och verifiera inneh\u00e5llet i v\u00e5ra publikationer.<\/span><\/p>\n

– I olika intervjuer har du upprepade g\u00e5nger betonat att du agerar inom ramen f\u00f6r g\u00e4llande lagstiftning. Och \u00e4nd\u00e5 \u00e4r ordet “hackare” f\u00f6r m\u00e5nga associerat med begreppet “brottsling”. Hur fungerar detta i Ukrainas Cyberallians?<\/span><\/strong><\/p>\n

Naturligtvis bryter vi mot lagarna i Ryssland. Flera dussin utredningar har inletts mot oss av alla brottsbek\u00e4mpande organ som polisen, FSB och utredningskommitt\u00e9n. Vi sk\u00e4ms absolut inte f\u00f6r detta och \u00e4r inte r\u00e4dda, eftersom det inte finns n\u00e5got samarbete inom brottsbek\u00e4mpning mellan Ukraina och Ryssland. I de ockuperade omr\u00e5dena har Ukraina dragit sig tillbaka fr\u00e5n sina skyldigheter att uppr\u00e4tth\u00e5lla lag och ordning. Och Ryssland kan inte g\u00e5 till Interpol, f\u00f6r dessa \u00e5tg\u00e4rder har en politisk komponent.<\/span><\/p>\n

I Ukraina bryter vi naturligtvis inte mot lagen. \u00c4ven n\u00e4r vi lanserade kampanjen #FuckResponsibleDisclosure, vars syfte var att visa att ukrainska system var mycket utsatta f\u00f6r attacker fr\u00e5n b\u00e5de Ryssland och kriminella hackare, anv\u00e4nde vi icke-invasiva medel. Om vi hittar information som tillh\u00f6r Ukraina i det offentliga omr\u00e5det, s\u00e5 har detta inget att g\u00f6ra med hackning. Det kan vara d\u00e4r p\u00e5 grund av v\u00e5rdsl\u00f6shet. S\u00e5ledes visar vi att vem som helst, bokstavligen, som anv\u00e4nder Google, kan hitta hemliga dokument relaterade till v\u00e5r arm\u00e9, brottsbek\u00e4mpning och s\u00e5 vidare.<\/span><\/p>\n

– Du sa att du under \u00e5ren av UCA:s existens har f\u00e5tt st\u00e4ndigt hot. Fr\u00e5n vem och vilka typer av hot?<\/span><\/strong><\/p>\n

Naturligtvis gillar de vi hackar oss inte s\u00e5 mycket. L\u00e5t oss ta till exempel situationen med den ryska propagandisten Prokhanov. Jag tog \u00f6ver hans Facebook-sida, liksom hans utg\u00e5vor “The Day and Tomorrow”, och skrev n\u00e5gra roliga texter \u00e5 hans v\u00e4gnar. Sedan, i nyhetsprogrammet Vesti, visade han mycket uppr\u00f6rdhet \u00f6ver detta. Sedan kom hans son Andrei Fefelov med tomma hot. Vi tar ocks\u00e5 hela tiden emot alla slags ot\u00e4cka saker fr\u00e5n de ockuperade omr\u00e5dena. Vi t\u00e4nker bara inte hoten.<\/span><\/p>\n

Cyberkrig och Ukrainas Cyberallians
\n<\/span><\/strong><\/h2>\n

– Vilka av dina handlingar anser du vara mest framg\u00e5ngsrika?<\/span><\/strong><\/p>\n

Det \u00e4r sv\u00e5rt att v\u00e4lja en specifik sak. Ibland kunde vi hitta information, till exempel fr\u00e5n ryska federala s\u00e4kerhetstj\u00e4nsten, om s\u00e4kerheten f\u00f6r kritisk infrastruktur. D\u00e4rf\u00f6r var det inte l\u00e4tt att hitta s\u00e5dan information. De flesta omn\u00e4mnandena i pressen fick vi genom aktionen SurkovLeaks<\/a><\/span><\/strong>. Det var n\u00e4r vi fick tillg\u00e5ng till inboxarna p\u00e5 kontoret som tillh\u00f6r Vladislav Surkov, assistenten till Rysslands president. Sp\u00e4nningen steg eftersom \u00e5tg\u00e4rden sammanf\u00f6ll med valet av USA:s president. Rykten uppstod omedelbart att det kan vara USA:s h\u00e4mnd mot Ryssland f\u00f6r DNC-hackningen. Dessa rykten f\u00f6rnekades naturligtvis av den amerikanska underr\u00e4ttelsetj\u00e4nsten, men s\u00e5dan timing v\u00e4ckte stor uppm\u00e4rksamhet.<\/span><\/p>\n

Det finns operationer som \u00e4r tekniskt mer intressanta.<\/span><\/p>\n

– Programmerare kommer att l\u00e4sa oss, s\u00e5 de \u00e4r mest intresserade av den tekniska delen.<\/span><\/strong><\/p>\n

Ur teknisk synvinkel var regionen Orenburg ett intressant fall. Vi anv\u00e4nde redan publicerade programbuggar. Det var “Heartbleed”, en minnesl\u00e4cka. Vi skannade ett stort antal ryska webbplatser, bland vilka vi hittade en mindre webbplats som ligger i Orenburgs regionala myndighets datacenter, och dess serverminnesl\u00e4ckage gav oss \u00e5tkomst. Men l\u00e4nge kunde ingenting g\u00f6ras d\u00e4r, f\u00f6r de har b\u00e5de en IT-avdelning och en informationss\u00e4kerhetsavdelning med strikt kontroll fr\u00e5n FSB. Men vid ett tillf\u00e4lle gjorde systemadministrat\u00f6ren ett misstag. Han monterade en n\u00e4tverksdelning p\u00e5 en offentlig webbserver. Tillr\u00e4ckligt med information l\u00e4ckte d\u00e4rifr\u00e5n f\u00f6r att ge oss tillg\u00e5ng till hela systemet och f\u00e5 fotf\u00e4ste. Sedan \u00f6vervakade vi alla delar av den regionala administrationen inklusive FSB.<\/span><\/p>\n

Vi var \u00e4ven tvungna att avvisa n\u00e5gra vilsna hackare som hade g\u00e5tt in i samma system f\u00f6r att inte f\u00f6rlora \u00e5tkomst till det. Och tillg\u00e5ngen bibeh\u00f6lls under mycket l\u00e5ng tid, ungef\u00e4r ett och ett halvt \u00e5r. Under denna tid pumpades allt som kunde pumpas ut d\u00e4rifr\u00e5n. Detta visar hur \u00e4ven mindre och kortvariga fel leder till l\u00e5ngsiktiga konsekvenser. Och om en APT-grupp (avancerat best\u00e4ndigt hot) redan har g\u00e5tt in i systemet och etablerat sig i det, kommer dessa hackare att vara sv\u00e5ra att hitta, de kommer att f\u00e5 information i flera \u00e5r. Ett liknande fall, den mest ber\u00f6mda historien, \u00e4r leveranskedjeangreppet p\u00e5 SolarWinds, n\u00e4r ryska hackare distribuerade en bakd\u00f6rr genom n\u00e4tverks\u00f6vervakningsprogram och beh\u00f6ll denna \u00e5tkomst i flera m\u00e5nader. De uppt\u00e4cktes n\u00e4stan av misstag.<\/span><\/p>\n

– Vad \u00e4r syftet med dina handlingar? Vad vill du uppn\u00e5?<\/span><\/strong><\/p>\n

Faktum \u00e4r att ryska hackare k\u00e4nner sig hemma i ukrainska system. Informationss\u00e4kerhetsl\u00e4get i v\u00e5r offentliga sektor \u00e4r skr\u00e4mmande. S\u00e5 det allra f\u00f6rsta budskapet som vi vill f\u00f6rmedla \u00e4r att vad du \u00e4n kan g\u00f6ra mot oss kan vi g\u00f6ra mot dig. Vi har tillr\u00e4ckligt m\u00e5nga kompetenta specialister f\u00f6r detta. Det andra m\u00e5let \u00e4r att f\u00e5 information direkt om vem som fattar beslut. S\u00e4rskilt i milit\u00e4ra fr\u00e5gor, hur beslut fattas, vad de t\u00e4nker i Rysslands presidentadministration, vad \u00e4r deras st\u00e4llning n\u00e4r det f\u00f6rhandlingarna i Minsk. Jag menar inte vad de s\u00e4ger offentligt, utan vad de diskuterar med varandra. Jag tror att detta \u00e4r v\u00e4rdefull information som det skulle vara sv\u00e5rt eller mycket dyrt att f\u00e5 p\u00e5 n\u00e5got annat s\u00e4tt.<\/span><\/p>\n

– I en av intervjuerna n\u00e4mnde du ocks\u00e5 att cyberkrig \u00e4r det billigaste kriget. Men hur effektivt \u00e4r det? Tror du att det kan l\u00f6sa problemet med klassiskt krig?<\/span><\/strong><\/p>\n

Om vi inte pratar om kriget som helhet utan bara om dess del, till exempel om cyberspionage, \u00e4r det mycket billigare \u00e4n traditionellt spionage. En vanlig id\u00e9 i all litteratur om detta \u00e4mne har blivit ett uttryck som redan k\u00e4nns utg\u00e5nget, att nu cyber \u00e4r det femte slagf\u00e4ltet, tillsammans med land, hav, luft och rymd. Naturligtvis vinns inte krig med hj\u00e4lp av en dator \u00e4nnu, vi \u00e4r inte s\u00e5 l\u00e5ngt i framtiden. Men detta \u00e4r en viktig komponent som kompletterar andra milit\u00e4ra grenar. Det finns inga officiella l\u00e4ror om detta i Ukraina. Omr\u00e5det f\u00f6rb\u00e4ttras inte vare sig n\u00e4r det g\u00e4ller f\u00f6rsvar eller angrepp. Det finns naturligtvis m\u00e5nga statliga cybercentra, inklusive cybercentret f\u00f6r s\u00e4kerhetstj\u00e4nsten i Ukraina, cybercentret f\u00f6r statens specialkommunikationstj\u00e4nst, cybercentret f\u00f6r f\u00f6rsvarsministeriet, men hittills har ingen betydande framg\u00e5ng setts fr\u00e5n deras sida.<\/span><\/p>\n

– Du har vissa principer. Du sa till exempel att du inte st\u00f6r Rysslands kritiska infrastruktur, “f\u00f6r det skulle i grunden vara en internationell terroristhandling”. Vilka andra liknande principer har Ukrainas Cyberallians?<\/span><\/strong><\/p>\n

N\u00e4r vi aktivt samlade in information om Ryssland var vi fr\u00e4mst intresserade av milit\u00e4ra och politiska m\u00e5l. Till exempel lyckades vi 2015 f\u00e5 tillg\u00e5ng till information fr\u00e5n hundra tusen ryska mobiltelefoner. Vi f\u00f6rs\u00f6kte bl\u00e4ddra igenom arkiven, till exempel f\u00f6r SMS-korrespondens, men hittade inget som f\u00f6rtj\u00e4nar uppm\u00e4rksamhet. D\u00e4rf\u00f6r var det ingen mening att sl\u00f6sa tid p\u00e5 vanliga medborgare, s\u00e4rskilt eftersom v\u00e5rt team inte \u00e4r s\u00e5 stort.<\/span><\/p>\n

I Ryssland \u00e4r s\u00e4kerheten n\u00e5got b\u00e4ttre \u00e4n i Ukraina. Mer pengar, fler specialister, men \u00e4nd\u00e5 kan jag inte s\u00e4ga att det \u00e4r s\u00e5 bra. Naturligtvis kan vi ocks\u00e5 komma in i Rysslands infrastruktur, hacka n\u00e5got d\u00e4r, orsaka allvarliga skador, men jag tror att det fortfarande \u00e4r tillr\u00e5dligt att avst\u00e5 fr\u00e5n s\u00e5dana handlingar och inte glida in i terrorism.<\/span><\/p>\n

\u00c5r 2015 st\u00f6rde<\/a><\/span><\/strong> Ryssland verksamheten i ukrainska kraftsystem i Kyiv och Karpaterna. Detta \u00e4r ett exempel p\u00e5 internationell terrorism och jag blev mycket f\u00f6rv\u00e5nad \u00f6ver den ukrainska regeringens milda reaktion p\u00e5 dessa h\u00e4ndelser. I utlandet diskuteras attacker mot v\u00e5ra kraftverk mycket mer \u00e4n i Ukraina. Av n\u00e5gon anledning sa v\u00e5rt utrikesministerium inte att Ryssland i grunden gick \u00f6ver till terroristmetoder, vilket skulle vara ett ytterligare steg mot att Ryssland skulle betraktas som en skurkstat, som Iran eller Nordkorea. Unders\u00f6kningen genomf\u00f6rdes inte ordentligt. Det \u00e4r inte klart hur de kom in i kraftverkssystemet, vad de f\u00f6rs\u00f6kte uppn\u00e5, om det var en testk\u00f6rning, en olycka eller om det kommer att bli en systematisk aktivitet fr\u00e5n deras sida.<\/span><\/p>\n

Ukrainas Cyberallians och #FuckResponsibleDisclosure<\/strong><\/span><\/h2>\n

– Hur bytte du fr\u00e5n det f\u00f6rsta projektet riktat ut\u00e5t till ett inhemskt f\u00f6r att skydda ukrainska statliga strukturer?<\/span><\/strong><\/p>\n

Allt detta skedde parallellt. N\u00e4r lagen om grunden f\u00f6r att s\u00e4kerst\u00e4lla cybers\u00e4kerheten i Ukraina antogs uppstod m\u00e5nga diskussioner p\u00e5 Facebook. M\u00e5nga regeringstj\u00e4nstem\u00e4n sade: “Ser du! Och du sa att ingenting f\u00f6r\u00e4ndras. Titta p\u00e5 den underbara lagen vi har antagit. Nu \u00e4ntligen kommer allt att vara okej”. M\u00e5let med kampanjen<\/a><\/span><\/strong> #FuckResponsibleDisclosure var att visa att inga lagar i sig fixar n\u00e5got eller p\u00e5verkar n\u00e5got. F\u00f6r att illustrera denna punkt pekade vi p\u00e5 flera utsatta statliga informationssystem. Och sedan gjorde vi s\u00f6kandet efter dessa s\u00e5rbarheter till ett dedikerat projekt.<\/span><\/p>\n

Som sagt var det aldrig n\u00e5got dataintr\u00e5ng. Som j\u00e4mf\u00f6relse kan vi n\u00e4mna en situation d\u00e4r vi till exempel g\u00e5r p\u00e5 gatan runt huset och m\u00e4rker att det finns en nyckel under en matta. Eller en pl\u00e5nbok p\u00e5 v\u00e4gen. Du g\u00e5r upp och pekar p\u00e5 f\u00f6rem\u00e5let: “Du har en nyckel under mattan”, eller “din pl\u00e5nbok f\u00f6ll ut”. Men varken nyckeln eller pl\u00e5nboken lyfts eller anv\u00e4nds. Samma sak med en s\u00e5rbarhet. Vi hittade det, vi vet hur det kan anv\u00e4ndas, vad det kan leda till. Vi visar bara att det finns en lucka h\u00e4r.<\/span><\/p>\n

– Hur utv\u00e4rderar du expertisen hos IT-specialister som arbetar f\u00f6r statliga strukturer?<\/span><\/strong><\/p>\n

I Ukraina finns det cirka hundra tusen olika organisationer och statliga f\u00f6retag. Den offentliga sektorn \u00e4r enorm. P\u00e5 vissa st\u00e4llen finns det anst\u00e4ndiga specialister som till\u00e4mpar sin kunskap ordentligt. Men det \u00e4r v\u00e4ldigt f\u00e5 av dem. Det \u00e4r absolut om\u00f6jligt att f\u00f6rse varje institution med minst en systemadministrat\u00f6r. Det finns cirka 200 tusen IT-specialister i hela Ukraina. S\u00e5 \u00e4ven om de alla gick till jobbet i den offentliga sektorn, skulle det fortfarande inte finnas tillr\u00e4ckligt m\u00e5nga m\u00e4nniskor.<\/span><\/p>\n

N\u00e4r vi lanserade #FuckResponsibleDisclosure f\u00f6r tre \u00e5r sedan, inom ett par m\u00e5nader, hittade vi h\u00e5l i \u00e5tminstone h\u00e4lften av ministerierna, presidentens administration, m\u00e5nga grenar av regeringen, inklusive datorberedskapen vid statens s\u00e4rskilda kommunikationstj\u00e4nst. De l\u00e4mnade ett helt enkelt l\u00f6senordet en av brevl\u00e5dorna p\u00e5 sin webbplats. Och till exempel l\u00e4mnade Akademin f\u00f6r inrikesministeriet en \u00f6ppen, l\u00f6senordsfri delad enhet p\u00e5 Internet med databasen \u00f6ver all personal, b\u00e5de de som studerar och de som \u00e4r utbildade. Det var detsamma med polisen i Kyiv.<\/span><\/p>\n

Naturligtvis st\u00f6r vi inte d\u00e4r. Och om det finns n\u00e5gon information som kan hj\u00e4lpa en skadlig hackare att b\u00e4nda upp det h\u00e4r h\u00e5let \u00f6ppet och bryta in, publicerar vi det inte. \u00c4ven om det enda som ofta p\u00e5verkar tj\u00e4nstem\u00e4n \u00e4r n\u00e4r vi sk\u00e4mmer dem offentligt. P\u00e5 detta s\u00e4tt har de flesta ofrivilliga s\u00e4kerhetsh\u00e5len t\u00e4ppts till. M\u00e5nga har f\u00f6rs\u00f6kt agera p\u00e5 ett annat s\u00e4tt och direkt varnat administrat\u00f6rer och ledning om befintliga h\u00e5l. Till exempel skickade Zjenja Dokukin (grundare av Ukrainas Cybertrupper) ut flera hundra likartade varningar. I 99% av fallen svarade tj\u00e4nstem\u00e4nnen inte p\u00e5 varningarna.<\/span><\/p>\n

M\u00e5let med kampanjen #FuckResponsibleDisclosure var inte att t\u00e4ppa igen alla s\u00e4kerhetsh\u00e5l, eftersom det inte \u00e4r bara m\u00f6jligt genom frivilliga insatser. Syftet var att visa att informationss\u00e4kerhetsl\u00e4get i Ukraina \u00e4r i ett otillfredsst\u00e4llande, otillr\u00e4ckligt tillst\u00e5nd. Inga enskilda lagar eller f\u00f6rordningar fr\u00e5n ministerr\u00e5det kan leda till systemf\u00f6r\u00e4ndringar. Det \u00e4r n\u00f6dv\u00e4ndigt att ompr\u00f6va sj\u00e4lva metoden, annars kommer hackarna att forts\u00e4tta. Vi kommer alla ih\u00e5g NotPetya, som orsakade skador uppg\u00e5ende till 10 miljarder dollar i skada. Koden orsakade m\u00e5nga l\u00e4ckor fr\u00e5n inrikesministeriet, SBU, hackning av stora f\u00f6retag som Antonov, de tidigare n\u00e4mnda blackouterna i Kyiv och Karpaterna. Om inget g\u00f6rs f\u00f6r att uppm\u00e4rksamma problemen kan konsekvenserna bli katastrofala.<\/span><\/p>\n

– N\u00e4r du rapporterade s\u00e4kerhetsluckor, kollade du efter en tid f\u00f6r att se om du hade \u00f6vertygat de ansvariga?<\/span><\/strong><\/p>\n

Det varierade. L\u00e5t mig ge dig ett exempel. Det fanns offentligt tillg\u00e4nglig vattenf\u00f6rs\u00f6rjningsutrustning, inklusive fj\u00e4rrkontroll av mekanik, n\u00e5gon form av spj\u00e4ll, pluggar… Jag kan inte tillr\u00e4ckligt mycket om vattenf\u00f6rs\u00f6rjning, men jag f\u00f6rst\u00e5r att detta var en direkt m\u00f6jlighet att komma \u00e5t utrustning, inloggningar, l\u00f6senord p\u00e5 distans och g\u00f6ra n\u00e5got. Vi larmade tj\u00e4nstem\u00e4n fr\u00e5n Ukrainas s\u00e4kerhetstj\u00e4nst som vi k\u00e4nde. N\u00e4r allt kommer omkring var detta ett omedelbart hot. Som ett resultat av en attack kunde flera omr\u00e5den l\u00e4mnas utan vatten. SBU f\u00f6rs\u00f6kte fixa detta, data f\u00f6rsvann fr\u00e5n \u00f6ppen \u00e5tkomst, men vattenverket visade sig ha en s\u00e5 listig ledning att den lyckades skicka SBU \u00e5r fanders med sina krav.<\/span><\/p>\n

– Det \u00e4r vanligt i v\u00e5rt land idag att mer skrivs om negativa saker. Jag undrar om det n\u00e5gonsin har h\u00e4nt att du har uppt\u00e4ckt v\u00e4lskyddade system eller m\u00f6tt ett adekvat svar fr\u00e5n tj\u00e4nstem\u00e4n?<\/span><\/strong><\/p>\n

Ja, inte s\u00e5 ofta, men vi har m\u00f6tt lugn professionell reaktion fr\u00e5n tj\u00e4nstem\u00e4n, n\u00e4r de snabbt fixade s\u00e5rbarheter, skrev om det, tackade offentligt. De handlade som de borde ha gjort. \u00c4nd\u00e5 vill jag notera att om tj\u00e4nstem\u00e4n reagerar, kan detta inte j\u00e4mf\u00f6ras med hur f\u00f6retag, s\u00e4rskilt stora, reagerar.<\/span><\/p>\n

N\u00e4r exempelvis informationen fr\u00e5n en mobiloperat\u00f6r blev allm\u00e4nt tillg\u00e4nglig var svarstiden p\u00e5 s\u00e4kerhetsincidensen 30 sekunder. Det vill s\u00e4ga vi publicerade omslaget till dokumentet (det fanns inget hemligt i sj\u00e4lva omslaget), och en halv minut senare skrev en s\u00e4kerhetsingenj\u00f6r till oss och bad artigt om alla detaljer. Inom 24 timmar genomf\u00f6rde de sin egen interna utredning, hittade orsaken till l\u00e4ckan och eliminerade den. Det var detsamma n\u00e4r sp\u00e5r efter ett dataintr\u00e5ng i den amerikanska kongressen hittades offentligt. N\u00e5gra ok\u00e4nda hackare kr\u00f6p in d\u00e4r, och en av v\u00e5ra volont\u00e4rer hittade en mellanliggande server genom vilken informationen laddades ner. \u00c5terigen, bokstavligen n\u00e5gra timmar senare, fr\u00e5gade amerikanerna redan om det h\u00e4r var all information eller om det fanns n\u00e5got annat som vi inte ville prata om offentligt.<\/span><\/p>\n

Och i v\u00e5rt land h\u00e4nder det tyv\u00e4rr ofta att n\u00e4r vi uppt\u00e4cker en s\u00e5rbarhet, kommer organisationens chef eller pressekreterare och b\u00f6rjar h\u00e4vda att detta inte \u00e4r en s\u00e5rbarhet. Att allt detta \u00e4r oviktigt och l\u00e4mnades av f\u00f6reg\u00e5ngarna. De b\u00f6rjar hota med att anm\u00e4la oss till polisen och Ukrainas s\u00e4kerhetstj\u00e4nst, visa all slags motst\u00e5nd och g\u00e5 igenom alla faser fr\u00e5n f\u00f6rnekelse till acceptans. Av n\u00e5gon anledning \u00e4r de s\u00e4kra p\u00e5 att detta medvetet planerades mot dem personligen f\u00f6r att f\u00f6rnedra dem och undergr\u00e4va dem.<\/span><\/p>\n

\"Talaren<\/p>\n

Efters\u00f6kning och domstolar<\/span><\/strong><\/h2>\n

– Hur interagerade Ukrainas Cyberallians med statliga myndigheter initialt?<\/span><\/strong><\/p>\n

Vi vidarebefordrade den information som vi ans\u00e5g vara viktig f\u00f6r milit\u00e4ren eller specialtj\u00e4nsterna. Det var inte n\u00e5gon form av formell interaktion, bara kommunikation genom v\u00e4lbekanta officerare som man kan lita p\u00e5. F\u00f6r att hitta s\u00e4kerhetsluckor i den offentliga sektorn dokumenterades huvuddelen av informationen med en beskrivning av s\u00e5rbarheten och vad som kunde g\u00f6ras f\u00f6r att f\u00f6rb\u00e4ttra situationen.<\/span><\/p>\n

Det diskuterades hur den statliga metoden f\u00f6r informationss\u00e4kerhet kan reformeras och kombineras med digitaliseringsplanerna f\u00f6r vice premi\u00e4rministern Mykhailo Fedorov. Han talade ocks\u00e5 vid detta m\u00f6te och pratade om sina planer. Efter det h\u00f6ll vi flera m\u00f6ten med tj\u00e4nstem\u00e4n och lyssnade p\u00e5 vad de sa. Vi bildade en liten grupp, diskuterade allt med varandra, inte bara inom Ukrainas Cyberallians utan ocks\u00e5 med m\u00e5nga k\u00e4nda IT-specialister. Vi diskuterade en vision om hur det befintliga systemet kan \u00e4ndras. Och det var det. Vi satt och pratade, sedan \u00e5kte vi hem.<\/span><\/p>\n

– Och innan det, privat, kontaktade statliga myndigheter dig i n\u00e5gra specifika fr\u00e5gor?<\/span><\/strong><\/p>\n

Nej, det gjorde de inte.<\/span><\/p>\n

– Efter anklagelsen i februari 2020 och efterf\u00f6ljande r\u00e4ttsliga f\u00f6rfaranden har du nu avslutat ditt samarbete med myndigheterna? Ber\u00e4tta om kronologin f\u00f6r h\u00e4ndelserna.<\/span><\/strong><\/p>\n

L\u00e5t oss b\u00f6rja med att ledningen av IT-enheter i b\u00e5de SBU och polisen f\u00f6r\u00e4ndrades h\u00f6sten 2019 i Ukraina. Nya m\u00e4nniskor b\u00f6rjade arbeta och av n\u00e5gon anledning b\u00f6rjade dessa h\u00e4ndelser utvecklas. I oktober 2019 laddade en ok\u00e4nd person upp en st\u00f6tande bild av Greta Thunberg till en elektronisk display p\u00e5 Odesas flygplats. Alla skrattade och ryckte p\u00e5 axlarna. “Tja, det \u00e4r precis vad som h\u00e4nder.” N\u00e5gra veckor f\u00f6re denna incident varnade en av v\u00e5ra volont\u00e4rer, Andrij Perevezij, om att det fanns en s\u00e4kerhetslucka i flygplatsens system.<\/span><\/p>\n

Och i februari 2020 stormade SBU och polisen mitt hus tillsammans med den kraftigt bev\u00e4pnade KORD-specialenheten med skyddsutrustning och ytterligare magasin f\u00f6r sina gev\u00e4r. Kommer de att b\u00f6rja ett litet krig i mitt k\u00f6k eller n\u00e5got, t\u00e4nkte jag. Enligt myndigheterna hade vi tre, Andriy Perevezij och Alex Galusjtjenko (han arbetar nu p\u00e5 IT-avdelningen i s\u00e4kerhetsr\u00e5det) g\u00e5tt sig in i systemet p\u00e5 Odesas internationella flygplats. Det h\u00e4r \u00e4r naturligtvis helt l\u00f6jliga anklagelser och naturligtvis ett konstigt fall.<\/span><\/p>\n

Vi f\u00f6rblev inte tysta och anordnade en presskonferens<\/a><\/span><\/strong> n\u00e4sta dag d\u00e4r vi meddelade att detta var ett politiskt tryck. Tv\u00e5 domstolsf\u00f6rhandlingar \u00e4gde rum sedan p\u00e5 den konfiskerade egendomen. Vid den f\u00f6rsta r\u00e4tteg\u00e5ngen motbevisade v\u00e5rt f\u00f6rsvar \u00e5klagarens st\u00e5ndpunkt helt, men under en paus mellan tv\u00e5 r\u00e4tteg\u00e5ngar samma dag gick domaren p\u00e5 sjukfr\u00e5nvaro. Jag tror att de brottsbek\u00e4mpande myndigheterna pressade honom att inte fatta ett r\u00e4ttvist beslut. Sedan ersattes domaren och den nya arresterade v\u00e5r egendom som konfiskerades under processen. Det var datorer och h\u00e5rddiskar.<\/span><\/p>\n

Elva m\u00e5nader har g\u00e5tt sedan dess, utan framsteg. Vi har inte ens status. Vi \u00e4r inte vittnen, inte anklagade, vi har inte f\u00e5tt n\u00e5gon officiell ers\u00e4ttning. Polisen unders\u00f6ker nu \u00e4rendet och f\u00f6rs\u00f6ker f\u00f6rmodligen vinna tid. Personligen hoppas jag att vi med hj\u00e4lp av v\u00e5ra underbara advokater inte bara kan uppn\u00e5 r\u00e4ttvisa i domstol utan ocks\u00e5 straffa de ansvariga.<\/span><\/p>\n

– I en intervju sa du att du ser situationen med Odesas flygplats som en urs\u00e4kt f\u00f6r att “g\u00f6ra husrannsakan, konfiskera utrustning och uppt\u00e4cka n\u00e5got”. Vad tror du att de ville hitta?<\/span><\/strong><\/p>\n

Jag vet inte, kanske finns det material som de kan anv\u00e4nda f\u00f6r att s\u00e4tta press p\u00e5 oss eller tvinga oss att g\u00f6ra n\u00e5got. Men jag tror inte det eftersom allt blev offentligt omedelbart. Inga avtal kan g\u00f6ras under s\u00e5dana f\u00f6rh\u00e5llanden. Jag \u00e4r helt \u00f6vertygad om att om det inte fanns en flygplats i Odesa, skulle de ha anv\u00e4nt en annan urs\u00e4kt f\u00f6r att genomf\u00f6ra razzian p\u00e5 samma s\u00e4tt.<\/span><\/p>\n

– Har du f\u00f6rs\u00f6kt unders\u00f6ka situationen med flygplatsen sj\u00e4lv?<\/span><\/strong><\/p>\n

Jag gjorde mig bekant med de tekniska detaljerna i filen. Jag tror att det inte blir l\u00e4tt att hitta den verkliga g\u00e4rningsmannen. Det \u00e4r b\u00e4st att genomf\u00f6ra en s\u00e4kerhetsrevision och skydda flygplatsens system. Det drivs av ett privat f\u00f6retag i Odesa, och jag tror att de kan g\u00f6ra det.<\/span><\/p>\n

– Vid den ovann\u00e4mnda konferensen avsl\u00f6jade flera UCA-deltagare sin identitet, \u00e4ven om de tidigare hade varit anonyma. \u00c5ngrar du detta beslut? Hur har det p\u00e5verkat dig?<\/span><\/strong><\/p>\n

Det gjorde det enklare. Dessutom var v\u00e5r anonymitet symbolisk. Det var mer som en del av bilden, masker och balaklavor fick uppm\u00e4rksamhet. Naturligtvis tror jag att b\u00e5de SBU och inrikesministeriet har vetat v\u00e5ra namn under l\u00e5ng tid. I praktiken var det ingen mening att forts\u00e4tta spela anonymt. S\u00e5 vi gick till presskonferensen under v\u00e5ra riktiga namn: Jag, Artyom Karpinskij, Andrij Perevezij och Olexander Galusjtjenko. Vi hade ocks\u00e5 en jurist med oss \u200b\u200bf\u00f6r att ge juridiska kommentarer.<\/span><\/p>\n

– B\u00f6r ukrainska hacktivister enligt din \u00e5sikt ha immunitet, dvs skydd mot straffr\u00e4ttsligt \u00e5tal? Eller kommer det att leda till underkastelse?<\/span><\/strong><\/p>\n

F\u00f6rst och fr\u00e4mst tror jag att ingen ska ha immunitet mot straffr\u00e4ttsligt \u00e5tal. Att vara en “trevlig kille” \u00e4r inte ett f\u00f6rsvar. Men v\u00e5rt system f\u00f6r brottsbek\u00e4mpning \u00e4r helt korrupt och f\u00f6rst\u00f6rt och jag ser det som ett problem. Om vi \u200b\u200binte bryter mot ukrainska lagar f\u00f6rst\u00e5r jag inte vilka fr\u00e5gor de kan st\u00e4lla vare sig vi \u00e4r hackare, bagare eller n\u00e5got annat.<\/span><\/p>\n

\"Presskonferens<\/p>\n

– Vid samma presskonferens sa att om Ukrainas Cyberallians alltid hade kontaktat internationella institutioner direkt, skulle Ukraina f\u00f6r l\u00e4nge sedan ha f\u00f6rlorat viseringsfri inresa till Europa. Vad menade du exakt?<\/span><\/strong><\/p>\n

S\u00e5 vitt jag kan minnas sa Andrij Perevezij detta. Som jag f\u00f6rst\u00e5r det menade han att k\u00e4rnkraftverk och flygplatser \u00e4r en del av den kritiska infrastrukturen och Ukraina har vissa internationella skyldigheter n\u00e4r det g\u00e4ller s\u00e4kerheten f\u00f6r dessa anl\u00e4ggningar. F\u00f6r om ett civilt flygplan kraschar eller en olycka intr\u00e4ffar i ett k\u00e4rnkraftverk \u00e4r det inte bara Ukraina som p\u00e5verkas. Om de internationella organisationer som \u00e4r involverade i kontrollen av k\u00e4rnenergi och flygs\u00e4kerhet (IAEA och ICAO) finge reda p\u00e5 hur l\u00e5g skyddsniv\u00e5n f\u00f6r dessa kritiska anl\u00e4ggningar \u00e4r, skulle de ha m\u00e5nga fr\u00e5gor till den ukrainska regeringen.<\/span><\/p>\n

– I ett av dina inl\u00e4gg skrev du att till skillnad fr\u00e5n internet \u00e4r mobilkommunikation i Ukraina inte s\u00e4ker. Ber\u00e4tta f\u00f6r oss om det.<\/span><\/strong><\/p>\n

Jag \u00e4r faktiskt f\u00f6rv\u00e5nad \u00f6ver att detta \u00e4r n\u00e5got nytt. Ukrainas s\u00e4kerhetstj\u00e4nst har haft direkt tillg\u00e5ng till operat\u00f6rernas telefonn\u00e4t sedan b\u00f6rjan av 2000-talet, d\u00e5 telekommunikationslagen antogs. Detta \u00e4r n\u00f6dv\u00e4ndigt f\u00f6r “icke-offentliga utredningsaktiviteter” eller helt enkelt f\u00f6r att avlyssna. Brottsbek\u00e4mpande myndigheter f\u00e5r upp till flera tusen order varje \u00e5r f\u00f6r att genomf\u00f6ra juridisk avlyssning. Och eftersom de har direkt tillg\u00e5ng till operat\u00f6rens system finns det naturligtvis mycket utrymme f\u00f6r missbruk. Det finns en svart marknad f\u00f6r tj\u00e4nster d\u00e4r du kan k\u00f6pa information fr\u00e5n statliga arkiv eller olagligt l\u00e5ta avlyssna andra f\u00f6r en mycket rimlig summa pengar.<\/span><\/p>\n

Och n\u00e4r det g\u00e4ller aktuella h\u00e4ndelser. Parlamentet har nu godk\u00e4nt den nya telekommunikationslagen nr 3014 f\u00f6r andra g\u00e5ngen. N\u00e4r lagen f\u00f6rst diskuterades i Verkhovna Rada blockerade president Zelenskij lagf\u00f6rslaget. Verkhovna Rada gjorde n\u00e5gra \u00e4ndringar och lade fram lagf\u00f6rslaget f\u00f6r signatur. Och det \u00e4r inte klart om presidenten kommer att underteckna eller avvisa f\u00f6rslaget. Med en del av formuleringen d\u00e4r kan best\u00e4mmelserna om avlyssning av telefonsamtal nu tolkas p\u00e5 ett s\u00e5dant s\u00e4tt att Internetleverant\u00f6rer tvingas ge s\u00e4kerhetstj\u00e4nsten SBU tillg\u00e5ng till sina n\u00e4t i Ukraina. Detta kommer naturligtvis att vara extremt betungande och opraktiskt, vilket \u00e4r synd.<\/span><\/p>\n

Ingen bestrider principen att brottsbek\u00e4mpande myndigheter ska ha ett lagligt s\u00e4tt att f\u00e5 information om abonnenter fr\u00e5n operat\u00f6rer och internetleverant\u00f6rer. Jag anser dock att det \u00e4r logiskt att de f\u00e5r en arresteringsorder och g\u00f6r den tillg\u00e4nglig f\u00f6r operat\u00f6ren som utan tvekan skulle registrera den information som kr\u00e4vs. Om brottsbek\u00e4mpande myndigheter har tillg\u00e5ng till enheter kommer de ocks\u00e5 att anv\u00e4nda dem f\u00f6r personliga \u00e4ndam\u00e5l. Och det \u00e4r korruption och en allvarlig kr\u00e4nkning av m\u00e4nniskors ekonomiska och medborgerliga r\u00e4ttigheter.<\/span><\/p>\n

Om applikationen Diya och internets\u00e4kerhet<\/span><\/strong><\/h2>\n

– Du n\u00e4mnde ocks\u00e5 nyligen bonusf\u00f6rfarandet f\u00f6r att uppt\u00e4cka s\u00e5rbarheter i Diya-applikationen. Deltog du i det? Hur s\u00e4ker tror du att den h\u00e4r applikationen \u00e4r?<\/span><\/strong><\/p>\n

Jag f\u00f6ljer noga massdigitaliseringsprojektet. Och jag tycker att detta \u00e4r tankesl\u00f6s digitalisering om de digitaliserar processer som inte alls beh\u00f6vs. Antag att jag beh\u00f6ver ett tillst\u00e5nd fr\u00e5n staten. Jag bryr mig inte om i vilken form tillst\u00e5ndet kommer. Jag vill inte ens att tillst\u00e5nd ska existera. Eller l\u00e5t oss ta det f\u00f6rsta de gjorde i Diya-applikationen. De lade till krav p\u00e5 ukrainska pass d\u00e4r. Jag f\u00f6rst\u00e5r inte riktigt varf\u00f6r? Enligt min mening \u00e4r det mycket l\u00e4ttare med avskaffade ID-kontroller n\u00e4r man s\u00e4ljer t\u00e5gbiljetter \u00e4n att h\u00e5lla p\u00e5 med pass via telefon. Enligt konstitutionen vill jag bara ha fri r\u00f6rlighet och r\u00f6relse utan pass. Jag tror att m\u00e5nga av id\u00e9erna i denna applikation antingen \u00e4r meningsl\u00f6sa eller kan orsaka extremt negativa konsekvenser.<\/span><\/p>\n

Vi vet att data fr\u00e5n registren regelbundet l\u00e4cks ut och f\u00f6rfalskas och inneh\u00e5ller ett stort antal fel. Och snarare \u00e4n att minska m\u00e4ngden information som samlas in om alla medborgare, b\u00f6r myndigheterna snarare se till att informationen skyddas p\u00e5 ett adekvat s\u00e4tt. Ist\u00e4llet f\u00f6rs\u00f6ker ministeriet f\u00f6r digital transformation integrera all information i ett stort system. Detta inneb\u00e4r att fler kommer att ha tillg\u00e5ng till olika register, med fler l\u00e4ckor och risker.<\/span><\/p>\n

N\u00e4r det g\u00e4ller kritiken om f\u00f6rekomsten av vissa s\u00e5rbarheter \u00e4r svaren fr\u00e5n ministeriet f\u00f6r digital transformation helt otillr\u00e4ckliga. M\u00e5nga journalister har officiellt beg\u00e4rt f\u00e5 \u00e5tminstone lite information om portalen och applikationen, inklusive ett intyg om \u00f6verensst\u00e4mmelse med datas\u00e4kerhet. Som svar gjorde ministeriet medvetet korrupta filer tillg\u00e4ngliga som inte kunde \u00f6ppnas. N\u00e4r de besvarar fr\u00e5gor f\u00f6rs\u00e4krar de dig att “allt \u00e4r bra, vi har utf\u00f6rt revisioner. Vi har tillst\u00e5nd. Men vi kommer inte att visa dem, du m\u00e5ste lita p\u00e5 v\u00e5rt ord”. Jag tror att informationss\u00e4kerhet inte \u00e4r ett omr\u00e5de d\u00e4r man kan lita p\u00e5 ord fr\u00e5n en tj\u00e4nsteman.<\/span><\/p>\n

Bug bounty-program<\/span><\/strong><\/h2>\n

Fels\u00f6kningslojalitetsprogrammet som tillk\u00e4nnagavs i december \u00e4r en kampanj<\/a><\/span><\/strong> f\u00f6r att f\u00f6rb\u00e4ttra ministeriets image. Personligen har jag inte deltagit i n\u00e5gon av dessa aktiviteter. Flera ukrainska f\u00f6retag och offentliga institutioner kontaktade dock ministeriet f\u00f6r digital transformation och ville delta men nekades.<\/span><\/p>\n

Detta indikerar att myndigheterna f\u00f6rs\u00f6ker g\u00f6ra allt i tysthet. De f\u00f6rs\u00f6ker bygga upp sitt rykte genom att anv\u00e4nda alla slags verktyg med s\u00e5 f\u00e5 deltagare som m\u00f6jligt. Om du redan \u00e4r helt s\u00e4ker p\u00e5 att du har gjort allt du kan f\u00f6r att s\u00e4kerst\u00e4lla s\u00e4kerheten, varf\u00f6r d\u00e5 erbjuda n\u00e5gon en bonus f\u00f6r att leta efter buggar? Inga oberoende deltagare var dock inblandad. Endast ett f\u00e5tal estniska ideella organisationer deltog. Det fanns dock ingen oberoende granskning, resultaten publicerades inte, men av n\u00e5gon anledning k\u00f6rdes ett bug bounty-program.<\/span><\/p>\n

– Ditt citat “Allt kan hackas, det \u00e4r en fr\u00e5ga om tid och anstr\u00e4ngning”. Beh\u00f6ver du ens applikationer som Diya med detta i \u00e5tanke?<\/span><\/strong><\/p>\n

Det faktum att n\u00e4stan vad som helst kan hackas betyder inte att ingenting beh\u00f6ver g\u00f6ras. Jag ber inte alla att \u00e5terv\u00e4nda till sten\u00e5ldern, ge upp sina telefoner och datorer och b\u00f6rja skriva p\u00e5 papper. Detta \u00e4r opraktiskt, inaktuellt, det finns inget behov av att \u00f6verge den tekniska utvecklingen. Alla uppgifter m\u00e5ste dock utf\u00f6ras korrekt. Vad \u00e4r m\u00e5let med Diya-applikationen? Ett m\u00e5l som regelbundet visas i uttalanden fr\u00e5n ledningen f\u00f6r ministeriet f\u00f6r digital transformation och Zelenskij sj\u00e4lv \u00e4r att appen i framtiden kommer att m\u00f6jligg\u00f6ra val i digital form.<\/span><\/p>\n

Men jag tror, \u200b\u200boch det \u00e4r inte bara min \u00e5sikt, utan i stort sett alla internationella val och experter p\u00e5 informationss\u00e4kerhet, att det f\u00f6r n\u00e4rvarande inte finns n\u00e5gon teknik som g\u00f6r det m\u00f6jligt att h\u00e5lla val online och \u00f6vertyga alla om att valet \u00e4r r\u00e4ttvist. Detta beror p\u00e5 att syftet med valet inte \u00e4r att best\u00e4mma vinnaren utan att \u00f6vertyga f\u00f6rloraren om att ingen har fuskat. N\u00e4r det g\u00e4ller digitala val \u00e4r det inte m\u00f6jligt, \u00e5tminstone f\u00f6r tillf\u00e4llet. Numera finns det inget annat land \u00e4n Estland d\u00e4r onlineval h\u00e5lls. Och \u00e4ven i det lilla Estland finns det m\u00e5nga missn\u00f6jda m\u00e4nniskor som vill g\u00e5 tillbaka till ett s\u00e4krare off-linesystem.<\/span><\/p>\n

Om ministeriet f\u00f6r digital omvandling vill f\u00f6rb\u00e4ttra n\u00e5got, l\u00f6nar det sig att f\u00f6rst och fr\u00e4mst ta itu med tj\u00e4nstem\u00e4nnens ansvar n\u00e4r det g\u00e4ller att skriva in felaktig information i register. Du vill antagligen anv\u00e4nda ett k\u00f6rkort i Diya-applikationen. Men om ett foto, k\u00f6rkort eller annat nonsens saknas m\u00e5ste du i princip f\u00e5 nya dokument. Jag tror att anv\u00e4ndbar digitalisering best\u00e5r i att tvinga tj\u00e4nstem\u00e4n som har angett felaktig information att korrigera sina misstag, s\u00e5 att du inte beh\u00f6ver springa runt och g\u00f6ra allt sj\u00e4lv. Eftersom systemet fungerar p\u00e5litligt off-line kan det automatiseras. Men om vi automatiserar kaos och bedr\u00e4gerier f\u00e5r vi automatiskt kaos och digitalt bedr\u00e4geri.<\/span><\/p>\n

– I en av dina intervjuer sa du att inkompetens och oansvar \u00e4r tv\u00e5 sk\u00e4l som g\u00f6r det m\u00f6jligt f\u00f6r ryska hackare att attackera v\u00e5r regerings- och aff\u00e4rsstruktur. Hur ser du l\u00f6sningen p\u00e5 dessa problem? Och \u00e4r det m\u00f6jligt att helt l\u00f6sa dem om, enligt dina egna ord, allt kan hackas?<\/span><\/strong><\/p>\n

Du kan hacka vem som helst, men att hacka vissa saker \u00e4r l\u00e4tt och andra saker \u00e4r sv\u00e5rare. Och intr\u00e5nget i sig spelar ingen roll, utan hur m\u00e4nniskor reagerar p\u00e5 hackningen och hur de f\u00f6rs\u00f6ker mildra skadan.<\/span><\/p>\n

Tj\u00e4nstem\u00e4n m\u00e5ste f\u00f6rst\u00e5 att de \u00e4r ansvariga f\u00f6r den information vi har anf\u00f6rtrott dem eftersom den \u00e4r v\u00e4rdefull. Vi kan till och med best\u00e4mma det exakta priset p\u00e5 den svarta marknaden. S\u00e5 det \u00e4r en v\u00e4rdefull egendom som beh\u00f6ver skyddas precis som fysiska f\u00f6rem\u00e5l. Ingen \u00e4r f\u00f6r n\u00e4rvarande ansvarig f\u00f6r integritet och skydd av information.<\/span><\/p>\n

Det finns ocks\u00e5 en annan sida av myntet. En person kan bara h\u00e5llas ansvarig f\u00f6r vad han vet. Naturligtvis, om det inte finns n\u00e5gon riktig systemadministrat\u00f6r i en statlig organisation, utan bara en d\u00e5ligt betald anst\u00e4lld som byter bl\u00e4ckpatroner i skrivare, s\u00e5 kan han naturligtvis inte vara ansvarig f\u00f6r n\u00e5gonting. Och om en organisation inte kan underh\u00e5lla sitt eget informationssystem, m\u00e5ste den \u00e5terv\u00e4nda till papper, kassask\u00e5p och s\u00e4kerhetsvakter vid ing\u00e5ngen. Som ansvarig l\u00e4r du dig antingen hur du underh\u00e5ller informationssystemet och tar ansvar f\u00f6r dess s\u00e4kerhet, inklusive straffr\u00e4ttsligt ansvar, upps\u00e4gningar, b\u00f6ter, eller s\u00e5 s\u00e4ger du nej till ansvaret.<\/span><\/p>\n

– I b\u00f6rjan av intervjun sa du att tre medlemmar av organisationen f\u00f6r n\u00e4rvarande \u00e4r aktiva. Vad g\u00f6r Ukrainas Cyberallians idag?<\/span><\/strong><\/p>\n

Just nu \u00e4r vi fr\u00e4mst intresserade av v\u00e5r egen verksamhet. \u00c4ven om vi naturligtvis deltar i alla slags diskussioner, inklusive lag\u00e4ndringar. Vi k\u00f6r dock f\u00f6r n\u00e4rvarande inga systemprojekt. Med det sagt vill vi f\u00f6rst f\u00e5 r\u00e4tt i domstolen och sedan best\u00e4mma vad vi ska g\u00f6ra.<\/span><\/p>\n

– Har du n\u00e5gra specifika planer eller id\u00e9er?<\/span><\/strong><\/p>\n

Det finns m\u00e5nga id\u00e9er om vad som kan g\u00f6ras p\u00e5 b\u00e5de defensiv och offensiv sida. Det \u00e4r upp till en “viss offentlig organisation” att f\u00f6resl\u00e5 s\u00e5dana projekt. Men vi h\u00e5ller dem p\u00e5 is eftersom vi f\u00f6rst m\u00e5ste ta itu med domstolen.<\/span><\/p>\n

L\u00e4s \u00e4ven<\/span><\/strong><\/h2>\n