Mnohem víc než Modrá velryba: Někdo se dívá

Strachujeme se o zabezpečení svého internetového bankovnictví, zaheslováváme maily, ale skutečně se na internetu bát – čeho? Nejen prezident Zeman považuje útoky hackerů za nafouknutou bublinu. A to navzdory množícím se zprávám, jak anonymní organizované skupiny manipulovaly volbami pomocí vypuštěných smyšlenek v dalším státě v řadě. Že se to v Česku nemůže stát? Že jsme příliš malí a nezajímaví? Redakce Neovlivní.cz požádala o rozhovor muže, který toho o kyberbezpečnosti ví jako málokdo. Roky se pohybuje na pomezí státní správy a byznysu. Spolupracuje s tajnými službami, zná hackery a přístup státu k oblasti IT. Svoji identitu ze všech těchto důvodů nechce zveřejnit. To byla ostatně podmínka pro unikátní rozhovor ze staršího magazínu Neovlivní.cz, který vám teď odemykáme.

Plejtvák obrovský, známý také jako modrá velryba, je největším živočichem planety. Jde o fascinujícího savce, kterému se (kromě jiného) připisují sebevražedné sklony. Zapluje do mělkých vod, na pobřeží, kde nachází smrt. Vědecky dosud nevysvětlenému zkázonosnému chování podléhají i další kytovci, ale modrá velryba zní lépe než třeba kulohlavec černý, tedy ideální pro název hry, v níž se mají děti sebepoškozovat.

Když modrou velrybu vylovila česká policie a označila ji za jedno z možných vysvětlení několika tragických úmrtí teenagerů, povedlo se jí přinejmenším to, že se o nebezpečí na internetu začalo veřejně mluvit. „Přitom je to blbost. Čirý výmysl,“ říká expert na kybernetickou bezpečnost, jehož identitu redakce zná, ale slíbila nezveřejnit.

Sám hovoří o naprosto jiných hrozbách, které na nás číhají. Nikoli mytický kytovec, ale čínští hackeři. Společnost Huawei. Fakt, že politici dosud na kyberbezpečnost kašlali, protože z toho u voličů nekoukají žádné body. Promluvil i o tom, zda se kyberútoky využívají i v tuzemské politice. „Aktuálně se mluví o jedné z politických stran, která si služby hackerů najala. Detaily po mně nechtějte, důkazy nemám.“

Neo: Takže modrá velryba vážně neexistuje?

Všichni o tom mluví a všichni to řeší, ale prostě to neexistuje. Je to klasický hoax, čili mystifikace sdílená ve virtuálním světě. Vzniklo to v Rusku jako marketingový tah, který měl přivést nové uživatele na sociální sítě. A tím se samozřejmě zvýší zisk správců těch konkrétních diskusních skupin.

Neo: No ale proč tedy ta panika? Jak si vysvětlit, že řada teenagerů tvrdí, že hru hrají a řídí je správce? A česká policie sama vydala prohlášení, ve kterém tvrdila, že modrá velryba existuje.

Postup policie nechápu, má dost odborníků na to, aby v tomto případě věděla, jaká je realita. Spíš mi to přišlo jako nešťastná formulace, kdy chtěli varovat a vyšlo z toho, že velryba existuje. A obecně je to problém v tom, čemu všemu jsme ochotni a schopni věřit. Jak neprověřujeme důvěryhodnost daných informací a jak vůbec přistupujeme k virtuálnímu prostoru. Chováme se zkrátka lehkomyslně.

Neo: Z čeho vycházíte, když tvrdíte, že velryba neexistuje?

Nikdy jsem ji nepotkal a neznám nikoho, kdo by ji potkal. Ale vážně: ověřoval jsem to, mluvil o tom se spoustou lidí, kterým věřím a kteří by to z titulu toho, čím se živí, věděli. A proto mohu zodpovědně říct, že to je skutečně hoax.

Neo: Roky se pohybujete v oblasti IT zakázek, kyberbezpečnosti. Jak byste popsal fungování státu na tomto poli?

Jednoduše řečeno – komplexně nefunguje nijak. Není v tom žádný systém. Je to rozdrobené, náhodné, a tudíž neúčinné.

Neo: To by se ale teď přece mělo změnit. Vláda se pustila do vybudování Národního centra kybernetické bezpečnosti, které má postavení státu vylepšit a fakticky má začít fungovat už letos.

To ano, ale jen se podívejte, v jakých bolestech, a hlavně s jakým zpožděním vzniká. Dříve tu byl vlastně jen jeden jediný pokus s tím něco komplexně udělat. A to byl takzvaný KIVS, komunikační infrastruktura státní správy z éry Ivana Langera. Kromě centrálních nákupů služeb, což měla být jeho hlavní náplň, počítali s jednou dobrou věcí: sítí státní správy, která by byla oddělená třeba od internetu. A to se, mírně řečeno, nepovedlo.

Neo: Kdyby se to povedlo, tak by byla ochrana našich dat ve veřejné správě lepší?

Bylo by to na trošku lepší úrovni. Problém ale je, jak zjistil v minulosti například i bývalý Český Telecom, že nejslabším článkem je vnitřní napadnutelnost. Můžete mít super zabezpečenou síť zvenčí, ale pokud do té sítě existují – byť neveřejné – vstupní body, je to na nic.

Neo: Co je takový vstupní bod?

Typicky třeba připojení pro zaměstnance z domova, různé VPN brány, servisní vstupy, prostě takovéhle legrace, kterými se dostáváte dovnitř do sítě. Samozřejmě že to většinou existuje v zabezpečeném módu, ale vždycky se po nějaké době ukáže, že ta zařízení mají v sobě bezpečnostní díry. Takže aby síť byla úplně bezpečná, musela by být fyzicky oddělená. A to je dneska téměř nereálné.

Neo: Opravte mě, jestli se pletu, ale můj dojem je, že tahle problematika politiky nikdy moc nezajímala. Je to nákladná věc a taky na tom nezískáte žádné politické body.

Bohužel je to tak. Je to drahé. Musíte vědět, co chcete, proč to chcete, a taky si to umět obhájit.

Neo: Vy jste někdy byl u takových politických jednání?

Ano, několikrát. Pamatuji si, že jsme jednali například o riziku, které se s námi táhne už dlouho, je totálně podceněné a jmenuje se Huawei. Je to čínská firma, která podléhá přímo čínské vládě a podle zpravodajských poznatků také přímo vojenské rozvědce. Riziko spočívá v tom, že Huawei v České republice nastavil takovou cenovou politiku, aby se dostal ke všem operátorům. Což se mu skutečně podařilo. Takže dnes jsme v situaci, kdy jsou mobilní sítě kompletně obhospodařovány zařízeními značky Huawei.

K tomuto tématu

» Detaily hackerského útoku na českou diplomacii

» Útok hackerů na Sobotkův mail byl na objednávku

» Jaká data ukradli hackeři u Zaorálka?

Neo: Vysvětlete laikovi, proč se má bát víc zařízení od firmy Huawei než toho identického od firmy Apple?

No, na to je ta nejjednodušší odpověď: Apple jako americká firma je naším spojencem, kdežto o Číně bych to tak úplně netvrdil. V lepším případě to je obchodní partner. Každopádně už ta jejich snaha o proniknutí na český trh byla tak úporná, že to vyvolává přinejmenším velké otazníky o jejich motivaci.

Neo: Jak se projevovala ta úporná snaha?

Jeden vysoce postavený manažer telekomunikační společnosti mi to tehdy popsal tak, že mu zástupce Huawei sdělil: Přines nám jakoukoli konkurenční nabídku a my ti ji cenově podsekneme o dvacet procent. Čili z toho usuzuji, že Huawei vůbec nešlo o to, za kolik prodají. Jim šlo o to, se tam dostat.

Neo: A proč by se čínská společnost chtěla dostat do českých telekomunikačních firem?

No třeba proto, aby měli svoje zařízení v sítích v členském státu Evropské unie a členském státu NATO. U nás se jim povedlo penetrovat naplno.

Neo: Můžete mi popsat praktická rizika, která z toho plynou?

Neexistuje nějaký podrobný popis, co všechno ta jejich zařízení umí. Ale z těch neveřejných informací, které jsou k dispozici, můžeme předpokládat, že se například umí přepnout do režimu, kdy umí zachytávat klíčová slova, kdy umí vyhledávat nějaký určitý hlas. Takže umí monitorovat, odposlouchávat, lokalizovat, aniž by o tom ten operátor věděl. A aniž by o tom náš stát věděl.

Neo: Američani právě z těchto důvodů zakázali vstup společnosti Huawei do federálních úřadů. Proč jsme to neudělali taky?

Protože Amerika na to má legislativu. U nás na to žádné paragrafy nepamatují. Prostě to plošně zakázat nejde. Ale je fakt, že přece jen je cítit obrat oproti té době, kdy politici nechali Huawei opanovat tuzemské operátory. Například ministerstvo vnitra se loni postavilo proti tomu, aby Huawei dodával své výrobky pilotně do jednoho z krajů. Plán byl dokonce takový, že se to vyzkouší a následně rozšíří plošně. To naštěstí neprošlo.

Neo: Ale vždyť tajná služba BIS to výslovně napsala do své veřejné zprávy, že Huawei je riziko. Takže to nikoho nezajímá?

Prostě politici nevědí, co s tím. Nechce se jim do toho vstupovat.

Neo: Proč?

Je to potenciálně ožehavé téma, z kterého nic dobrého nekouká. A to ještě původně hrozilo, že v úplném finále Huawei vyhraje další výběrové řízení u Telecomu na management sítě, čímž by měli dnes totální nadvládu nad sítí O2. Tehdejší Telecom ovládali Španělé a těm bylo úplně jedno, kdo jim to bude dodávat. A jediná věc, která to tehdy zarazila, bylo striktní oznámení ministerstva obrany: Máte právo si vybrat, koho chcete, ale pokud to bude Huawei, my jako státní správa od vás odcházíme. To byl jediný nátlakový nástroj, který vedl k tomu, že si Telecom na management sítě nevybral Číňany. To už hořelo a bylo opravdu zle, bylo to maximum možného, co stát udělal.

Neo: Spojené státy ve svých oficiálních zprávách uvádějí ještě jedno riziko spojené s výrobky od Huawei, a to je vyřazení celé sítě. Odpovídá to tomu, co se o firmě ví tady?

Víte co, vypnout to zařízení je úplně nejjednodušší, co můžete udělat. Je tu reálné podezření, že Huawei má nepochybně schopnost vzdáleného řízení. V praxi má pak tedy jedno řízení operátor, který to celé musí ovládat. Ale pak jsou ta nepopsaná rozhraní pro vzdálené řízení. A to má bohužel ještě vyšší prioritu než to operátorské.

Neo: Operátoři to vědí?
Tuší. Vím, že i lidi z jejich bezpečnostních oddělení z toho byli pološílení, ale zkrátka rozhodovala cena.

Neo: Překvapil vás v kontextu toho, o čem mluvíme a jak se stát staví ke kyberbezpečnosti, nedávný masivní kyberútok na českou diplomacii?

Jedině v tom, jak dlouho to trvalo, než se tu něco takového stalo. Čekal jsem, že to přijde podstatně dřív. To celé má dva aspekty. Ten první je technické vybavení z hlediska zabezpečení sítě, což tedy bohužel na zamini měli zanedbané a dlouhodobě v zoufalém stavu. Datuje se to ještě k éře Karla Schwarzenberga, který vyhlásil úsporné škrty, a škrtalo se holt na IT. Rušily se dokonce smlouvy, které na to byly s externími dodavateli už uzavřené. Zdálo se to tehdy zkrátka zbytečné. IT v Černínu bilo na poplach, ale nebylo vyslyšeno.

A ten druhý aspekt, který v tomto konkrétním útoku nepochybně je, že to odhalilo nemalou dávku lemplovství ze strany uživatelů a administrátorů systému. Protože jestli nikoho netrkne, že když se ministr hlásí do své mailové schránky ze zahraničí, a přitom je fyzicky v Praze, tak je to přinejmenším o tom, že na to někdo kašlal.

Neo: Myslíte si, že těch útoků bude přibývat? Nebo to zamini byla jednorázová věc?

Rozhodně toho bude přibývat a přibývá. Statisticky byl zlomový rok 2014, kdy nastal v celém světě boom kyberútoků. Tehdy začaly být mnohem sofistikovanější a měly větší razanci. Nešlo jen o znepřístupnění nějakých stránek, podstatou útoků bylo získat nad nimi nadvládu a mít kontrolu nad informacemi.

Neo: Vy víte o dalších útocích na české cíle?

To zmiňuju obecně. Každý operátor vám řekne, že má desítky útoků za den. To je dnes už běžná věc.

Neo: Co je smyslem těchto útoků? Testovat zabezpečení sítě, nebo získávat data?

Útoky mají mnoho příčin. První je mapování si sítě, hledání slabých míst, takový řekněme kybernetický průzkum. Takzvané skenování sítě se dělá naprosto běžně. Dneska jsme na tom tak, že když připojíte k internetu úplně nový počítač, a pokud ho nemáte zabezpečený, do dvaceti minut vám ho někdo zhackuje. A je jedno, kde se připojujete.

Neo: Co tím takový hacker sleduje?

To je rozmanité. Buď chce mít ten počítač pod kontrolou pro případné budoucí využití například k nějakému DoS útoku, kterým vyřadí z provozu nějaký web, nebo zahltí celou vnitřní síť.

Neo: Nebo lze prostřednictvím toho hacknutého počítače napadat další systémy?

Ano. Na světě jsou miliony počítačů, které jsou ve skutečnosti pod kontrolou někoho jiného než jeho uživatele.

Neo: Mám šanci to jako běžný uživatel odhalit?

Musela byste zkoumat provoz, který ten váš počítač vede a s kým. Obecně se dá říct, že pokud je počítač alespoň standardně zabezpečený – v případě Windows by měl mít zapnutý firewall, správné aktualizace a u základních Windowsů není na škodu ani základní defender –, máte alespoň základní ochranu. Ale pokud někdo provozuje počítač s vypnutým firewallem, je blázen. Je to stejné, jako kdybych otevřel dveře u sebe doma a čekal, kdo přijde.

Neo: Proč jsme takoví lehkomyslní, když domů si taky každého nezveme?

Pořád převládá pocit, že ze světa počítačů a dalších technologií nám nic nehrozí. Vůbec si to neuvědomujeme, co všechno ta zařízení vlastně umí. Vzpomínám si na to nadšení, když přišly na trh chytré televize s kamerami a integrovaným Skypem. Chytal jsem se za hlavu a říkal si, který šílenec si tohle pořídí domů. Vždyť to je kukátko do jejich ložnic a obýváků.

Neo: Čekala bych, že osvěta bude jednou z agend vládních odborníků na kyberbezpečnost.

No fajn, ale kdo konkrétně?

Neo: Máme Národní bezpečnostní úřad, který to měl doposud na starost. Teď vzniká nové specializované centrum. Takže aparáty na to máme.

No, to se snad ani nebudu vyjadřovat. Sice i proto vznikly, ale skutek utek. Stát dneska umí jakž takž řešit kyberkriminalitu. Mám na mysli řešení situací, když se někdo pokouší elektronickou cestou někomu vykrást účet. S tím si stát poradí. Trošku umí řešit kybernetickou bezpečnost, neumí kybernetickou obranu a na samém začátku je kybernetické zpravodajství. To je úplně v plenkách.

Neo: Kybernetická obrana spočívá v čem?

Obrana před útoky. Strategicky významné cíle by měly být chráněny první v řadě. Ale zase – víte, jaká je praxe? Už v zákoně je řada nedomyšleností. Když se budeme bavit třeba o dopravě v Praze, kdy se shodneme, že to je bezesporu strategický cíl. Kdo ji má na triku? Technická správa komunikací především. A světe div se, TSK v těch strategických sítích není. Takže můžete vyřadit dopravu a nic se neděje. Loni a letos probíhala prověrka toho, jak jsou vybrané státní úřady a ministerstva zabezpečeny z hlediska kybernetické bezpečnosti. Dvanáct z patnácti jich v prověrce neprošlo. Takže asi tak.

Neo: A kybernetické zpravodajství?

Tím myslím monitorování podhoubí z hlediska zločinu. Například když někdo začne třeba na Facebooku dávat dohromady skupinu a verbovat příznivce islámu. To stát neumí podchytit.

Neo: To bych čekala, že má na starost oddělení islámského terorismu policie nebo tajné služby.

No, ale to se o tom nedozví. Jedna věc je projíždět veřejná fóra a druhá dostat se do uzavřených skupin. Tam už máme problém.

Neo: Vy sám nerad komunikujete po telefonu, řešíte jen základní věci a používáte šifrovací aplikace. Vážně je to nutné?

Asi se shodneme, že na rozhovor s babičkou, pokud není atomová vědkyně, žádné šifry nepotřebujete. Ale dnešní svět stojí na informacích. A proč to protistraně usnadňovat? Je ale dobré vědět, že na všechna šifrovací komunikátka existují protizbraně. Na trhu jsou momentálně dva produkty, které jsou z mého pohledu bezpečné. Využívá je malý okruh lidí a nikomu zatím nestálo za to investovat do prolomení jejich šifer.

Digitální svět má ještě jednu nevýhodu, kterou si většina lidí neuvědomuje. Ta komunikace, byť zašifrovaná, se může někam uložit a třeba za pár let se najde cesta, jak se to dešifruje. Pak si to může někdo poslechnout. Takže určité věci se prostě nedají říkat elektronickou cestou. Pokud si ovšem do šifrovaného telefonu řekneme: sejdeme se zítra tam a tam, protože nechceme, aby nás u toho někdo odposlouchával, tak ta informace nemá za čtrnáct dní žádnou hodnotu.

Neo: Vám to z principu nevadí?

Když vás poslouchá někdo, kdo k tomu má oprávnění, policie a tajné služby, tak až na některé výjimky s tím nemám problém.

Neo: Počkejte. Vždyť jsme byli opakovaně svědky situací, jak se s takovými informacemi z tajných služeb či policie, i když byly získány legální cestou, vesele obchoduje.

To s vámi souhlasím, ale jak říkám: co nechci, aby někdo slyšel, prostě do telefonu neříkám.

Neo: Kdo jsou v Česku nejaktivnější hackeři?

Hodně aktivní je tu skutečně Čína, platí to obecně, i jen pro Českou republiku.

Neo: A proč se tedy neustále mluví o Rusech?

To je ideologie. Ale faktem je, že toho mají na kontě také hodně.

Neo: O jejich hackerech se toho, na rozdíl od těch čínských, ví mnohem víc. Jaké jsou mezi nimi rozdíly? Nebo je to tak, že hacker prostě jen dělá to, na co si ho někdo najal?

Zpravodajské služby mají za to, že čínští hackeři jsou v podstatě státní zaměstnanci. Ono to vlastně v Číně ani jinak nejde. Jsou díky tomu předvídatelní, zhruba víte, po čem jdou a proč. Jejich hlavním cílem je průmyslová špionáž. A v posledních letech se dostává do popředí i politická motivace, proniknutí do nových oblastí.

S ruskými hackery je to složitější, ve srovnání s Číňany jsou jako pytel blech. Sice se předpokládá, že ti nejvýznamnější spadají pod kremelské tajné služby, ale pak jsou tu i další, kteří se chovají, jako kdyby žádné velení neměli. Jsou nečitelní, nepředvídatelní a stává se, že se utrhnou ze řetězu a úplně zbytečně tlačí na pilu. Je to možná dané tím, že nejsou oficiální strukturou těch služeb, ale jsou jen nájemní žoldáci.

U těch organizovaných skupin ruských hackerů víme, že velmi často útočí na jeden konkrétní cíl dvojice. Byl to případ počítačové sítě Demokratické strany, kdy nejprve skupina Cozy Bear našla cestu dovnitř a získala všechny přístupové kódy. A faktický útok, při němž byly vyluxovány stovky tisíc e-mailů demokratů, pak s nějakým odstupem provedla skupina Fancy Bear.

Neo: Ty poslední velké útoky v Německu, Nizozemsku, ale i třeba Polsku tamní tajné služby připsaly jednoznačně Rusům. Důkazy ale veřejnosti nedaly. Můžeme tomu věřit?

Co se týče například těch zmiňovaných Němců, tak mají sami máslo na hlavě. Většina těch útoků šla přes Německo. Je to země s kvalitní infrastrukturou, jsou tam velká datová centra, takže je možné, že i proto byly hostovací adresy v Německu. Spousta lidí má prostě servery v Německu, není to nic neobvyklého. Mají je tam, dá se říci, kvůli bezpečnosti, Němci jsou v tomto směru spolehliví, nemají tendenci v tom moc čmuchat. Což se jim tedy s ohledem na terorismus možná i trochu vymstilo. Navíc – na rozdíl třeba od Francie – nemáte v Německu problém se šifrováním. Ve Francii smíte používat jen státem schválené šifry.

Neo: Takže tím zároveň ale státu dáváte ty kódy k prolomení.

Ano. Tam je dokonce použití jiné šifry než schválené trestným činem.

Neo: Stát v posledních letech začal sbírat nebývalé množství informací o lidech, ale jak vyplývá z toho, o čem spolu mluvíme, nedělá moc pro to, aby ta data dostatečně ochránil. Jak to?

Vidím určité posuny ke zlepšení, ale jsme hodně na začátku. Bude to stát hodně peněz a úsilí. Dá se říci, že zaplať pánbůh za ten útok na ministerstvo zahraničí, že se konečně někdo probral.

Neo: Myslíte, že ten útok mohl být inscenovaný někým z tajných služeb, aby se tím politici začali zabývat?

To si úplně nemyslím. Kolem toho zamini běhá spousta teorií a tahle je hodně za vlasy přitažená. V Americe bych si to představit uměl, ale české služby takhle nefungují. Když to řeknu natvrdo: Nejsou na to dost sofistikované.

Neo: V minulém magazínu jsme psali o jedné z vyšetřovacích verzí, kterou je možná příprava na ovlivnění podzimních a prezidentských voleb. Dovedete si takovou věc představit?

Určitou logiku to dává, ale nejsou pro to tvrdá data. Asi tak.

Neo: Čistě technicky, tak jak znáte státní správu: je to možné?

Ano, technicky se to udělat dá. Ale organizačně to bude horší, není to úplně jednoduché. A navíc je to rizikové, zpětně by se na to při kontrole zřejmě přišlo. Jsou ale lidi, kteří by to zvládli.

Neo: Lidi, co pracují pro stát? Nebo ti, co jsou v privátu?

Z toho, co vím, tak takové lidi má i státní správa. Ne moc, ale má je.

Neo: Kdybych zastupovala nějakou politickou partaj a chtěla si najmout hackera na takovou věc: Je těžké se k nim dostat?

Není, musíte ale vědět, za kým jít. Ta komunita je uzavřená. Navíc by to rozhodně nebylo na přímé lince hacker–partaj. I v jiných případech se to řeší přes prostředníka, hacker neví, kdo si ho najímá. A zadavatel zpravidla neví, kdo pro něj pracuje.

Neo: V jakých cenových relacích se pohybujeme?

V milionech korun, u těch větších zakázek v desítkách milionů. A u voleb si to netroufám vůbec odhadnout.

Neo: Používají podle vás politici hackery?

Aktuálně se mluví o jedné z politických stran, která si služby hackerů najala. Detaily po mně nechtějte, důkazy nemám.