Cómo el FBI obligó a Yahoo a modificar el filtro de la bandeja de entrada

Marissa Mayer ha sido criticada por su incapacidad para proporcionar medidas de seguridad bajo la presión de la inteligencia del gobierno. Foto: AP Photo / Michel Euler

Para el departamento de seguridad de Yahoo, la situación actual es como si la empresa fuera pirateada. A mediados de 2015, un atacante instaló una puerta trasera que escaneaba el tráfico de correo (el informe dice sobre la búsqueda de una "firma" específica, lo que sea que eso signifique). Esto podría hacerlo la inteligencia extranjera, que quiere encontrar información específica. Pero en este caso, la inteligencia extranjera no tenía la culpa. Como supo Reuters, los altos ejecutivos de Yahoo ayudaron a los agentes del gobierno de EE. UU. A establecer una puerta trasera especial para escanear el tráfico de Yahoo Mail.

Al final resultó que esto se hizo en secreto por parte del personal y el departamento de seguridad de Yahoo. Solo unos pocos de sus participantes sabían sobre la operación. Dicen que cuando el jefe del departamento de seguridad, un conocido especialista Alex Stamos se enteró de esto en junio de 2015, inmediatamente presentó una carta de renuncia. Alex no tuvo que buscar un nuevo trabajo por mucho tiempo .

Yahoo recibió una orden judicial para otorgar acceso a su sistema de correo de un tribunal secreto secreto de vigilancia para inteligencia extranjera (FISC). De acuerdo con FISA(Acto de vigilancia encubierta para inteligencia extranjera), el destinatario de dicha orden judicial no tiene derecho a revelar información sobre la recepción de la orden. Si la decisión se disputa, se considera nuevamente en un tribunal secreto, y la compañía nuevamente no tiene derecho a revelar información sobre la consideración de tal caso. Al final, ninguno de los usuarios debe recibir una notificación directa de que se ha instalado vigilancia en su cuenta.

Algunas empresas, por temor a recibir órdenes secretas de la FISC, utilizan un truco conocido como "evidencia canaria": publican por adelantado en el sitio web una declaración de que todavía no han recibido las órdenes judiciales de la FISC. Si se recibe dicho pedido, simplemente eliminan del sitio la declaración que se ha convertido en falsasin violar formalmente el requisito de no divulgación de información. La Electronic Frontier Foundation monitorea específicamente la evidencia canaria en varios sitios para que los usuarios puedan sacar conclusiones sobre las acciones encubiertas del gobierno de los EE. UU.

Inmediatamente después de la aparición del mensaje sobre el acceso de los servicios especiales del gobierno al tráfico de correo de Yahoo, casi todas las grandes empresas emitieron declaraciones oficiales de que no tenían dicho sistema para escanear mensajes confidenciales de los usuarios. Dichas declaraciones fueron hechas por Apple, Google, Twitter y Microsoft .

Yahoo emitió una típica "negación sin negación". Alex Stamos declinó hacer comentarios .

Por lo tanto, Yahoo se quedó solo. Marissa Mayer fue criticada por sus colegas por no poder proporcionar medidas de seguridad y proteger a los usuarios.

Yahoo está tratando de poner excusas: “El artículo en [Reuters] es engañoso. Interpretamos estrechamente cada solicitud estatal para minimizar la fuga de datos, dijo la compañía. "El escaneo de cartas descrito en el artículo no existe en nuestra empresa".

¿Qué pasó realmente?

En el pasado, apareció nueva información sobre cómo se podría organizar un sistema de escaneo de tráfico en los servidores de Yahoo Mail. Naturalmente, Yahoo tiene prohibido revelar esta información, pero en una entrevista con el NY Times, dos funcionarios del gobierno y otra persona compartieron información.a condición de anonimato. Confirmaron que el Departamento de Justicia de los Estados Unidos recibió el año pasado una orden de un juez del FISC para recibir información sobre una organización terrorista extranjera. Para cumplir con el requisito legal, Yahoo modificó el sistema existente para escanear el tráfico entrante , que en la situación normal se usa para filtrar malware y spam.

Después de tal modificación, el sistema encontró y guardó copias para el FBI de todos los mensajes que contenían la "firma digital" indicada. Por el momento, el sistema ya no funciona.

El abogado de EFF Andrew Crocker dice que las autoridades probablemente usaron el párrafo 702 Un acto de vigilancia encubierta para inteligencia extranjera, que permite la "recolección masiva de información de los canales de comunicación para recopilar datos sobre un individuo extranjero".



Tal solicitud no es del todo habitual, ya que obliga a la empresa a analizar sistemáticamente todo el tráfico, y no el contenido de buzones específicos. Como se mencionó anteriormente, varias grandes compañías de TI han declarado inequívocamente que no han encontrado tales solicitudes FISC.

Escanear el tráfico de 500 millones de usuarios de una empresa privada para encontrar rastros de un criminal es una operación bastante inusual de servicios especiales. Pero se llevó a cabo legalmente, al parecer.

Esta historia se convirtió en la ocasión para otra discusión sobre el equilibrio entre la seguridad nacional, el secreto y la protección de la correspondencia privada de los usuarios. No, el FBI no leyó las cartas de otras personas. Pero se infiltró en el sistema y rebuscó en su bandeja de entrada, buscando la información correcta. Deja que esto suceda automáticamente. Deje que los filtros de spam y los sistemas contextuales de selección de anuncios para analizar el contenido de los correos electrónicos de Google hagan lo mismo. Pero sigue siendo desagradable.

Algunos expertos creen que el momento del escándalo que desacredita la reputación de Yahoo y Marissa Mayer fue elegido muy bien. "No puedo deshacerme de la sensación de que una posible compra de los activos de Yahoo y una posible recompensa para Marissa Mayer de esta transacción podría provocar especulaciones mal informadas sobre lo que hicieron con el correo de los usuarios, -dice el profesor Alan Woodward, especialista en seguridad de la Universidad de Surrey (Reino Unido). "Sospecho que las acciones de Yahoo no son muy diferentes de lo que están haciendo otros proveedores de servicios estadounidenses".

Al mismo tiempo, el diablo se esconde en los detalles. Si el FBI tenía acceso a un sistema para escanear el tráfico de correo electrónico en busca de palabras clave arbitrarias , entonces esto es realmente un problema. La legalidad de tal sistema es dudosa, este tema necesita ser discutido seriamente.

Un informe de Reuters sobre la estrecha colaboración de Yahoo con el FBI se produjo dos semanas después de la noticia de la filtración de credenciales de los 500 millones de usuarios de Yahoo .

Parece que a Marissa Mayer le resultará difícil llegar a un acuerdo rentable para vender los activos de Yahoo y obtener una tarifa decente.



PS El párrafo 702 de la Ley de Vigilancia de Inteligencia Privada expira a fines de 2017. La Free Frontier Foundation organizó una campaña pública End 702 pidiendo al Congreso de los EE. UU. Que no extienda este párrafo porque simplifica enormemente las escuchas telefónicas masivas de las comunicaciones electrónicas por parte de los servicios gubernamentales y viola los derechos de los ciudadanos estadounidenses.

Source: https://habr.com/ru/post/es398043/