Форум ''Интернет и Право''

Я решил написать работу, посвящённую безопасности беспроводных сетей. Заинтересовался и правовыми вопросами, связанными с безопасностью.
При изучении литературы (Гордейчик, Дубровин "Безопасность беспроводных сетей") обратил внимание на один очень интересный факт.
Операторы беспроводной связи, предоставляющие услуги WiFi доступа, чаще всего не применяют методы защиты информации. "Билайн Вайфай" (Совинтел) ввёл шифрование канала для частных пользователей только 14 декабря, да и то с большими ограничениями. Это значит, что передаваемый трафик передаётся в эфир в открытом виде, что позволяет любому пользователю в радиусе действия точки доступа его прослушать. Специальное оборудование и ПО для этого не нужно, достаточно обычного ПК с сетевым адаптером и свободно распространяемым ПО.
Также устройства абонентов идентифицируются по MAC-адресам, которые также легко обнаруживаются. Изменив свой MAC-адрес (это является функцией драйвера сетевого адаптера, следовательно, предусмотрено производителем и не является несанкционированным изменением информации, в отличие от смены IMEI сотового телефона), любой человек может прикинуться для системы легальным пользователем и войти в Интернет от его имени.
Вопросы:
1. Нарушает ли оператор связи законодательство, предоставляя услугу связи таким образом (ст. 63 Закона о связи - оператор обязан обеспечить соблюдение тайны связи)? Является это основанием для лишения провайдера лицензии?
2. Может ли оператор быть привлечён к ответственности по 138 или другой статье УК?
3. Может ли быть привлечён к ответственности по 138 статье тот, кто осуществляет перехват и изучение информации, передающейся в открытом виде в радиоэфир? Чем прослушивание радиоэфира беспроводной сети отличается с точки зрения права от прослушивания любого другого радиоэфира, в т.ч. ТВ и радиотрансляций? И как дело может быть возбуждено? (см. 20ю статью УПК - дела по 138 (ч.1) статье возбуждаются только по заявлению потерпевшего или его представителя. А как потерпевший узнает, что его данные были перехвачены? Никак, это же радиосвязь, а не телефонная линия). Считается, что перехваченная информация не используется для несанкционированного доступа к сетевым ресурсам.
4. (вопрос скорее технический, чем правовой) Как можно выявить и идентифицировать злоумышленника, подменившего MAC-адрес? (только применением постоянного радиомониторинга с использованием направленных антенн и прочего спецоборудования, или есть и другие способы?) Считается, что злоумышленник подключается к сети с разных мест и на небольшое время, и не передаёт информацию о себе, например, свой личный e-mail адрес.
5 Относятся ли эти замечания к бесплатным точкам доступа (хотспотам)? Ведь компания, которая их установила, скорее всего не является оператором связи.


Меня интересует, как можно организовать публичный доступ по вайфаю так, чтобы он был защищён от перехвата, и был совместим с широким спектром оборудования и ПО.

    Первое - относится к области права, а второе - нет.
     Или же Вы хотите получить ответы как с правовой, так и с технической точек зрения? Вы, уж, пж-ста, определитесь!  :D
    В соответствии с ФЗ "О связи" это сеть электросвязи общего пользования, где информация передается в открытом виде, также как она передается по другим сетям связи общего пользования - телефонной, радиотелефонной, телеграфной и др. :D
     Для организации сети засекреченной или шифрованной электросвязи необходимы специальные лицензии... ;)
    Путем радиопеленгации его радиомодема по специальной методике. ;)
    Чтобы ответить на этот вопрос необходимо в каждом конкретном случае изучать содержание Договора, заключенного между оператором связи и лицом (физ/юр), установившем у себя точку радиообмена Wi-Fi. :D

В первую очередь меня интересуют правовые вопросы. Как технически сделать защищённый хотспот - я уже догадываюсь.


 
А как же использование протокола защиты WPA, использующего шифрование? На его использование оператору связи нужно получать специальную лицензию от ФСБ? Это же замечание относится и к технологии GSM.
Если так, то как вообще пользоваться радиосетями? С шифрованием
 - нужно много мороки с лицензиями, стандартами (ведь стандарты безопасности WPA наверняка у нас официально не сертифицированы). Без шифрования - будут перехватывать.

Радиосвязь принципиально отличается от проводной связи тем, что для перехвата передаваемых данных не нужен контакт с оборудованием.  
Если я решу подключиться к чей-то телефонной линии, чтобы записывать звонки, мне понадобится установить свое оборудование рядом с кабелем, как-то обеспечить контакт телефонного кабеля и моего съёмника... Это можно установить, осмотрев кабель или заметив изменение его физических характеристик. Исследовав оборудование, можно выяснить, куда передаётся перехваченная информация.
А в случае использования радиосети я могу с обычного компьютера (без спецсредств) прехватывать данные. Причём на достаточном расстоянии (для вайфай сетей до нескольких сотен метров, для других и еще больше).

Думаю, не нарушает.

Во-первых, обязанность обеспечить тайну связи не может трактоваться как обязанность защитить всё от всех типов угроз. Представляется, что трактовать её следует как обязанность обеспечить неразглашение содержания личных сообщений при обычных условиях эксплуатации. Проведите аналогию с телефонной проводной связью. Замок на телефонном щитке считается достаточным обеспечением тайны связи.

Во-вторых, оператор обязан обеспечить лишь в зоне своей ответственности. Причём границы этой зоны не только географические (пространственные), но также временнЫе и уровневые.

В-третьих, особенности применяемых технологий ограничивают обязанности оператора. Вспомните про почтовые открытки или телеграммы, текст которых телеграфист должен прочесть при наборе. Подобные технологические ограничения традиционно рассматриваются как естественные. Максимум, чего можно требовать от оператора - предупредить пользователей об этих особенностях.

Рекомендую ещё вспомнить "Норд-Ост" и то, как легко был открыт теоретически защищённый GSM канал. Просто провайдерам позвонили наверное. Кроме того, если операторы связи получили соответствующие лицензии, то скорее всего в соответствующих органах хорошо знают про уязвимость протоколов шифрования...

Внимательно читаем про СОРМ.

Хотите бороться с уязвимостью, пользуйтесь OpenSource системами криптозащиты. Ну, вроде ещё Skype не скурвился...

Напомню, если ещё не поняли НЕ СУЩЕСТВУЕТ абсолютных средств криптозащиты. Даже военные шифры ломаются на ура... Вопрос только в том, через сколько минут, часов, дней, или лет.
WPA, насколько помню, ломается за минуты.


Никак. Только от лохов... Ливанская война это показала. Было блокировано всё америкосское сетевое оборудование. Китайское при этом продолжало работать.

     Полностью согласен с ННФ!  :D
    Эт-точно! :)

1. Можно считать, что при обычных условиях эксплуатации оператор как раз разглашает личную информацию пользователей. При работе вайфай сети никакого разделения в пределах одного или даже нескольких соседних каналов нет, сетевой адаптер принимает все данные, в том числе и принадлежащие другим пользователям, а потом фильтрует их, выделяя те, которые предназначены для его сети и конкретно его компьютера (или широковещательные, предназначенные всем компьютерам его сети). А может и не фильтровать (так называемый режим монитора).
2. Зона ответственности оператора, по-моему, лежит в том пространстве, где есть сигнал его сети, и в том времени, пока он есть. Если перехватчик перехватывает сигнал оператора, значит, он есть, этот сигнал - за разглашение закодированной информации ответственность несёт оператор.
3. Аналогия с телеграфистом неверная. Телеграфист является сотрудником оператора связи, и он должен прочитать сообщение, чтобы его передать (технологическое ограничение). В случае беспроводной сети перехватывать данные может кто угодно в радиусе действия точки доступа. Естественно, пользователи о такой замечательной особенности этого вида связи нигде не предупреждаются.
Я думаю, что там проще. Данные снимались не из эфира, а с коммутатора или базовой станции по проводам, где они уже расшифрованными передаются. Впрочем, я подробно GSM не разбирал.
А я не разбираю системы для военных применений. Конечно, при желании можно всё заглушить нафиг, и работать ничего не будет.
Путаете с более старым стандартом WEP. Его, действительно, легко сломать.
WPA2 на основе алгоритма AES еще никто не ломал. Конечно, если пароль простой, подобрать и там можно. Но я считал, что если пароль 12-значный и букв, цифр и знаков препинания, время перебора на моём компе составит около 15 триллионов лет. Если даже у спецслужб стоит в триллион раз более мощная система (в чём я сомневаюсь), все равно 15 лет - это очень долго.
Терморектальный криптоанализ проще.

ОФФТОП!!


Ну, вот снова началось  :)
Пора бы уже создать на форуме новый раздел:
"Терморектальные средства. Защита и применение."
 ;D ;D ;D

Да какая там может быть защита? Только жестко забитый пробковый чопик.

Да ладно там с терморектальным криптоанализом, перебором с помощью супермощных компьютеров и тому подобным! Меня не интересуют какие-то суперзащищённые корпоративные или военные системы. Я пользователь беспроводного хотспота в кафе, университете или где-то ещё. И я не хочу, чтобы кто-то подсматривал мои пароли, а тем более куда-то подключался от моего имени.
Тем более, если можно подменить MAC-адрес и подключиться от имени другого пользователя - это же раздолье для компьютерных преступников! Подсмотрел и поменял мак-адрес, подключился так, сел куда-нибудь на лавочку или в машину, быстренько так ломанул (оставил оскорбительное сообщение, или совершил другое противоправное деяние) и смотался. И как найдёшь такого? (эксперты-криминалисты, задачка для вас!) Чтобы такого поймать, кругом надо поставить видеокамеры и радиопеленгаторы с направленными антеннами.
Должен ли оператор по закону обеспечивать какую-нибудь защиту от несанкционированного подключения? (Можно продемонстрировать что-то типа того, когда покупается карточка оператора, один компьютер регистрируется и подключается к сети легально, а второй - несанкционированно? Если второй компьютер подключится к сети без регистрации и ввода пароля, неважно каким способом - к оператору появляются очень интересные вопросы?)

Я хочу попробовать провести такой эксперимент в университете, где используется аналогичная система (логин-пароль даётся в читальном зале), с разрешения преподавателя, к которому я записался на эту работу.

Уважаемый, nickm, понимает, что действия, которые он планирует совершить, подпадают под статьи 272, 273 Уголовного кодекса и что разрешение преподавателя не является индульгенцией ограждающей вас от преследования правоохранительными органами?

Глядишь, вы ВУЗ закончите не получением диплома и получением судимости.

Igor Michailov

Я могу легально получить пароль и попробовать перехватить доступ. Я уверен, что это не помешает остальным пользователям сети. В чём тут признаки преступления, предусмотренного 272-й, и, особенно, 273-й статьёй УК?

Вы будете  совсем один? Никого больше не будет? Не получится ли так, что пытаясь перехватить свой пароль вы перехватите чей то чужой (а потом еще радостно опишете это в своей работе)? Это и будет чистой 272.

Насчет 273. Вы понимаете, что программы, которыми вы воспользуетесь для перехвата пароля, экспертом будут признаны вредоносными?

     Как тут у вас все интересно получается!  ;D

     В начале ноября 2009 г. пришел на работу со своим "ноутбуком". Включил его. Он автоматически поймал чей-то слабенький Wi-Fi. Без всяких паролей, без ничего - халявный трафик!  :) Работаем по нему все вместе уже какой месяц подряд.
     Есть состав преступления или нет? ;)

     А вы тут какие-то сложности обсуждаете... ;D

Подход "может" не является аргументом в юридических спорах. Тем более, когда "может" кто-то другой. Если кто-то перехватывает чужой трафик, то он и несёт ответственность за нарушение тайны связи.  

В нормальных странах отсутствует ответственность за невоспрепятствование незаконным действиям иных лиц. Зато присутствует презумпция добросовестности. Ещё раз повторю: "обеспечить" не означает сделать невозможным перехват любыми существующими средствами.

И лучше не спорьте на словах. Если уверены, что ваше прочтение ст.63 ЗоС верное, а другие ошибаются - докажите на деле, выиграйте суд. А мы с удовольствием понаблюдаем.



Не забываем уточнять: "неправомерно признаны".

Про закон скажу просто.
Я был узлом FidoNet и нёс ответственность за сообщения сообщения входящие в сеть с моего узла. Это предполагало, разумеется, возможность просмотра этих сообщений. Однако одно дело просмотр, другое разглашение... Можно просматривать и блокировать, можно разглашать, или не разглашать.

Разлашение возможно только по решению суда, ну... или если очень попросят Терморектальным методом :)

Однако все эти законы не защищают от несанкционированного перехвата.
Если это технически возможно, то возможно...
nickm
У меня по WPA2/PSK подключились к точке доступа. Заметил только по выделению адреса по DHCP и форварду портов на DC++ Дешифровать таки действительно не просто, но вот ломануть... Сейчас кормлюсь от провода... И ключь был далеко не короткий.

Тем не менее, это отнюдь не мешает заработать судимость. Примеров - тьма.

Пароли в этих системах передаются в защищённом виде. Я собираюсь получить доступ без знания пароля, подменив мак-адрес одного из двух своих компьютеров. Мак-адрес другого своего компьютера я знаю, и он с очень большой вероятностью будет уникальным (если только производитель не присваивает одинаковые мак-адреса, либо больше никто не проводит эксперименты с мак-адресами). Но это тоже можно проверить, посмотрев мак-адреса в сети до подключения и после. Или просмотр адресов в сети тоже может быть признан незаконным? Тогда можно адреса не смотреть, а просто поменять и всё.
Статья 273.
"Создание программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к несанкционированному уничтожению, блокированию, модификации либо копированию информации, нарушению работы ЭВМ, системы ЭВМ или их сети, а равно использование либо распространение таких программ или машинных носителей с такими программами"
http://consumer.stormway.ru/malware.htm
Все программы, которые будут использоваться, доступны в репозиториях Linux. Если бы они были бы признаны вредоносными, то они были бы исключены оттуда.
Также http://forum.kaspersky.com/lofiversion/index.php/t18292.html
(программы для исследования безопасности не считаются вредоносными).
При желании "эксперт" практически любую программу может признать вредоносной.

Николай Николаевич Федотов

А как же статья 7 Закона о связи?
ст.7, ч.3: "Операторы связи при эксплуатации сетей связи и сооружений связи обязаны обеспечивать защиту средств связи и сооружений связи от несанкционированного доступа к ним."

Поэтому можно сказать, что не обеспечивая защиту средств связи от НСД, оператор нарушает законодательство.


Да сколько угодно вариантов можно придумать. Либо ключ был каким-нибудь словом из словаря, либо по проводу (или еще как-то) трояна закинули, либо просто подсмотрели ключ на бумажке  :)

Ну тогда любой оператор нарушает законодательство, ибо слабые стороны есть везде.

Вот интересную точку зрения нашёл:

http://consumer.stormway.ru/ch28ofcc.htm

Под указанными действиями имеются в виду те, которые перечислены в 272 статье УК.
Получается, что раз средства защиты трафика не предусмотрены - перехват трафика даже других пользователей не подпадает под 272, т.к. не является несанкционированным! И подключение, про которое писал CyberCop, тоже в этом случае не будет несанкционированным.
Хотя 272 статья тут никак не подойдёт в любом случае: там говорится об информации на машинном носителе, а не в радиоэфире. В принципе возможно применить ст. 138, ч.1 (нарушение тайны "иных" сообщений), но для возбуждения дела необходимо заявление потерпевшего - ст. 20 УПК). А откуда он узнает об этом? (если злоумышленник ему сам не признается)
Более того, 272-я не пойдёт даже в случае входа в Интернет за легального пользователя по описанной выше схеме, где пароль не разглашается злоумышленнику:

МГТУ им.Баумана?

Поскольку достоверно установлено, что гражданин nickm не владеет навыком чтения юридических текстов, перевожу приведённую цитату на русский язык. "Оператор связи не должен пускать кого попало в здания узлов связи, а телефонные щитки должен запирать на замок."

Я понял, что тут имеется в виду: есть несанкционированный доступ к средствам связи, а есть несанкционированный доступ к информации, как в том примере, что я давал. А средства связи и информация - совершенно разные вещи.
Это невнимательность.

Да, я из Бауманки. Я технарь, а не юрист (хотя кафедра юриспруденции у нас есть). И правовые аспекты построения компьютерных систем нам не даются. А зря, было бы интересно и практически полезно.

Насколько я помню, МГТУ им.Баумана, пока единственный ВУЗ в котором можно получить образование по специальности судебный эксперт со специализацией в СКТЭ. Что-то мне слабо верится, что там не преподают правовые основы.

Не является несанкционированным лишь тот доступ, который был санкционирован надлежащим лицом. Очень странно, что приходится объяснять столь простые вещи.


Вот ещё новость! Там говорится про "компьютерную информацию". Кто осмелится утверждать, что фреймы протоколов 802.11 не являются компьютерной информацией?

И, кстати, радиоволны - вполне себе носитель. И очень даже машинный.

Эту точку зрения на несанкционированный доступ не я придумал, она была приведена в статье, на которую я дал ссылку. Если кто-то не устанавливает защиту (хотя мог бы установить) - значит, он санкционирует доступ. Если дверь открыта - значит, в помещение разрешено заходить.

Насчёт машинного носителя - неправильно. Радиоволны не являются машинным носителем, т.к. они не могут хранить данные.
ГОСТ 25868-91: "Оборудование периферийное систем обработки информации. Термины и определения.":

Оба вывода неверны. Последний Вам легко проверить на практике.

Этот довод уже приводился на форуме и успешно оспаривался оппонентами.

Можно продолжить сравнение: например, если в двери стоит слабый замок, который смог взломать домушник, значит в помещение также можно было входить?  Абсурд? Абсурд!

В статье? Какой идиот написал такую статью?


Зайдите в Кремль через Спасские ворота. Они обычно открыты настежь. А ещё лучше - въезжайте на машине. Естественный отбор завершит нашу дискуссию.



Вы таки не поверите - могут. И хранят.

Выше я давал ссылку и цитату. Даю еще раз - для невнимательных.
http://consumer.stormway.ru/ch28ofcc.htm (http://consumer.stormway.ru/ch28ofcc.htm) "Новые виды компьютерных злоупотреблений и 28 глава уголовного кодекса России"
И цитату из этой статьи:
По ссылке указан автор статьи - Сергей Середа. Он на этом форуме зарегистрирован, тогда пусть зайдёт сюда и прокомментирует.
И приведите, пожалуйста, пример, как радиоволны в эфире могут хранить информацию. Не передавать, а именно хранить. Мне интересно очень стало.

Из БСЭ:

Я вынужден изменить своё мнение. Отсутствие каких-либо ограничений действительно делает доступ к информации разрешённым.

Статья 7 ЗоИИТЗИ: То есть отсутствие ограничений (технических и организационных и правовых) означает общедоступность. А общедоступность исключает неправомерность доступа. "Санкция" в таком случае как бы даётся самим законом.

Считается ли ограничением шифрование с коротким ключом шифрования (т.е. предполагается, что провайдер знает, что в любом случае зашифрованное будет дешифровано)?

Интересно получается. Тогда провайдер действительно нарушает закон о связи, делая частную информацию пользователей общедоступной (передавая её в открытом виде)?
А CyberCop закон не нарушил, подключившись к открытой точке доступа. Раз точка доступа открытая, значит, хозяева её не возражают против сторонних подключений, иначе они бы сделали её шифрованной.

Примером слабой защиты для WiFi сетей является шифрование по стандарту WEP, которое взламывается достаточно быстро.
Если пользователь знает, что его зашифрованное сообщение будет расшифровано - зачем ему тогда было шифровать его?
На мой взгляд, даже слабая защита исключает то, что доступ был санкционирован. Если хозяин точки доступа ставит шифрование по стандарту WEP, значит, он не хочет, чтобы к точке доступа подключались посторонние пользователи (иначе он бы сделал точку доступа открытой). Почему он это делает - это нас не волнует: по незнанию, из-за ограничений оборудования или по другим каким-то причинам.

Думаю, это просто правовая дыра.

Конечно, считается. Думаю, ограничением должна считаться даже предупредительная надпись "просмотр запрещён".


Отсутствие шифрования никак нельзя считать отсутствием ограничения доступа. Сам протокол устроен таким образом, что при обычных условиях эксплуатации к пользователю попадают лишь те фреймы, которые ему адресованы. Сама по себе техническая возможность перехвата чужих сообщений никогда не расценивалась и не будет расцениваться как отсутствие ограничений.

На машину пользователя в любом случае попадают все фреймы, это уже потом на машине пользователя производится их разбор и фильтрация в зависимости от выбранного режима работы. Режимов работы - несколько, и какой из них считать "обычными условиями эксплуатации"?
См. справочную систему по команде iwconfig:
Команда "режим" устанавливает режим работы устройства, который зависит от топологии сети. Режим может быть Ad-Hoc (сеть, состоящая только из одной ячейки без точки доступа), управляемый режим (узел подключается к сети, состоящей из многих точек доступа, с возможностью переключения между ними, мастер (узел работает как точка доступа), повторитель (узел перебрасывает пакеты между другими узлами), вторичный (узел работает как резервный мастер или повторитель), монитор (узел не связывается с ячейкой сети и пассивно наблюдает все пакеты на определённой частоте) или автоматический.

Вынужден снова напомнить уважаемому оппоненту, что закон регулирует отношения МЕЖДУ ЛЮДЬМИ. Для квалификации деяния не имеет значения, какие байтики по каким проводам бегают. Имеет значение только кто (какой субъект права) имеет доступ к той или иной информации.