【資訊人權貴專欄】別再裝沒事了!手機大廠就是打壓人權的幫兇!

《TO》編按:

政府當「老大哥」監聽民眾的情節我們在電影中看多了,電影中主角總會在這種情況下對抗政府,並在過程中遇到種種危機,出生入死。

然而當監聽發生在現實社會裡頭時,我們卻毫無反應。或許大家都認為自己是普通老百姓,沒有偷沒有搶沒有販毒,沒有內線交易沒有關說,更沒有要謀反,因此電話、Mail、電腦裡的內容,就任政府去聽吧!

有這種念頭那是因為我們仍算幸福,生活在民主又法制的中華民國。如果今天我們是生活在共產國家如中國、越南,又或者是政治動盪的敘利亞、埃及,那麼在一言一行受到監聽之下,人民就很難有推翻政局、尋求自由民主的機會,弄不好,甚至會落得家破人亡。

如果推翻政局無法讓人產生共鳴,那麼更直接一點例子的就是,今天我們在網路上發表「擁同」、「反同」、「反核四」種種言論,甚至在電話中跟朋友聊這些話題,其實對政府來說,我們都是異議份子。如果政府因此打壓我們,那麼這個國家就永遠不可能有更多元、更開放的一天。

言論自由的權利不是因為我們是民主國家,所以才配擁有;它是所有人的值得擁有的權利。若我們無法接受說這些話就要被抓去關,那我們也該起身反對不當監聽,讓世界上的人都能擁有更自由、更開放的一天。

2012 年在巴林, 民運人士收到可疑的 e-mail, 於是轉交給加拿大多倫多大學的 Citizen Lab。 C.Lab 的專家 分析  之後, 發現這些「偽裝成圖檔的可執行檔」內含 FinSpy,它入侵電腦之後, 很刻意地隱匿自身行蹤,還特別製造一些陷阱讓除錯器當掉(以便讓分析研究變得更困難),並且針對不同的防毒軟體(甚至同一套軟體的不同版本)採取不同的攻擊手段。

它竊取的資料包含螢幕快照、鍵盤輸入側錄、skype 通話側錄、各廠牌的即時通密碼、各廠牌瀏覽器所儲存的密碼。 FinSpy 會把偷到的資料先加密,再傳回某些伺服器,並隨時等候伺服器發出指令。

令人不安的是: 這隻神秘的竊聽軟體竟然獲得蘋果電腦、 Nokia、 RIM(出黑莓機的公司)等等手機大廠某種程度的認證。  中文只找到一則簡短報導 ; 本文主要摘要 C.Lab 一系列文章 報導一下這一系列的重要舊聞。

  •  幾乎所有手機廠都開後門,讓 FinSpy 監聽軟體進入使用者的手機裡,看光你的對話和密碼

事實上早在 2011 年,  維基解密的 Spyfiles 就已揭露,德國公司 Gamma International 的英國分公司有一項產品「FinFisher」專門賣木馬軟體給各國政府。 Gamma 宣稱,這是要用來協助政府打擊罪犯的工具,政府如果在某人的電腦與手機當中植成功地植入 FinSpy(FinFisher 其中的一個元件), 就可以遠端監視 / 監聽 / 控制他候電腦 / 手機。

但因為一般人無從(有意識地)取得 / 得知自己的手機是否受感染, 所以網路上甚少關於它的技術資料。 隨著 C.Lab 刊出電腦版的分析, 各國許多爭取民主人權的異議人士發現類似可疑的樣本時, 便寄給他們分析。 於是在 2012 年 8 月, C.Lab 又發表另一份  分析手機版 FinSpy 的報告

FinSpy  iOS 版的開發者 Martin Muench 正是 Gamma 的總監; iOS 版的程式碼甚至獲得蘋果電腦的認證(含有 Apple Root CA、 Apple Worldwide Developer Relations Certification Authority、 以及 Martin Muench 的簽章)它會竊取通話記錄、 通訊錄、 手機位置、 簡訊、 手機的 IMEI/IMSI(類似手機的身份證字號)等等資訊。

C.Lab 所拿到的 FinSpy Android 版似乎還在測試當中。 安裝之後, 它自稱是「Android Services」, 它索求的權限包含: 取得手機位置、讀取通訊錄、 讀 / 收 / 寫 / 寄簡訊、 連網、 藍芽……。 因為它似乎隱藏了一些資訊, 分析很有限,後來 另有資安專家的分析向前推進一小步

Symbian 版(舊的 Nokia 手機的作業系統)索求了 TrustedUI 權限。 令人好奇的是,Nokia 開發者手冊裡提到:「Trusted UI 鮮少用到。只有在極機密與安全的情況下才應用到它 -- 例如輸入密碼的對話框,與使用者一般的互動並不需要用到它。」它獲得 Cyan Engineering Services SAL(offshore)的 Symbian CA I。(Symbian 的某種認證吧)

黑莓機版的檔案獲得官方三個簽章(RBB/RCR/RRT),具有處理 Apps、 使用加解密函式庫、 存取簡訊等等權限。 C.Lab 仔細研究, 發現這個版本有一個「SpyCall」功能: 控制中心可以偷偷打電話進來,仿佛是在通話狀況下一樣聽到手機持有人身邊的聲音。 除了監聽黑莓機自身的 BBM messages 之外, 也側錄 e-mail、 WhatsApp(含畫面快照)

Windows Mobile 版似乎是 demo 版, 但也含有 GPS、 通話記錄、 通訊錄等多種監聽 / 監視功能。

  •  FinSpy 把資料傳回 36 個國家的伺服器,不乏打壓人權、共產體制的國家

(曾出現過 FinFisher 伺服器的國家)

一些伺服器(command & control servers)專門負責蒐集這些竊聽 / 側錄資訊以及送出命令。 C.Lab 指出 : 前前後後偵側到的伺服器(有些已離線)總共出現在 36 個國家。

這些國家並不必然就等於使用 FinFisher 的政府 -- 例如其中有一部是 Amazon EC2 上面, 商業出租的虛擬主機。但另一方面, 諸如位於土庫曼通訊部的主機、位於巴林 / 新加坡 / 汶萊 / 印尼 / 衣索比亞 / 蒙古 / 阿聯各國電信公司的主機, 至少跟地主國的關係可能就非常密切了。

其他報告進一步顯示,除了  踐踏人權的巴林政府  可能已向 Gamma 購買 FinFisher 之外, 先前  埃及獨裁者穆巴拉克也有意購買 。 在墨西哥,「政府使用 FinFisher」一事同時也扯上浮報價格貪腐醜聞,人權團體透過資訊透明法(聽說臺灣也有「陽光法案」, 可是我怎麼從來沒聽說過它曾被成功拿來揭弊?)要求政府釋出相關資訊,現在墨西哥政府已承認有在使用,而人權團體也正在  持續施壓要求政府全面調查

C.Lab 今年三月的報告  特別分析衣索比亞跟越南的案例, 指出 FinFisher 似乎經常被人權評等有問題的政府拿來跟監異議人士 。  四月的報告  當中提到: 有一個馬來語的版本似乎是針對馬來西亞今年五月的大選所設計的。

FinFisher 甚至 假冒 firefox 名義入侵電腦 , 導致  Mozilla 跳腳警告 Gamma。 Gamma International 也在今年被無國界記者列為 網路五大公敵  之一。

搜尋「finfisher detection」可以找到一些聲稱具有偵測能力的軟體, 但因為沒有原始碼, 我個人不推薦使用。搜尋「finfisher samples」沒找到樣本。

可以想像的是:  這 36 個國家  很多民眾的手機可能已中鏢, 但因為它不像病毒明顯搞破壞,又能躲過防毒軟體, 所以大家都沒察覺。 好可惜, 先前  替馬總統上監聽課  的時候, 還沒讀過這麼多關於 FinFisher 的詳細報導。 不過也很難講, 馬總統身邊那麼多人才, 其中如果有些人被賦予重要任務、 比貴哥更密切關心監聽技術, 這也大有可能啊……

貴哥(洪朝貴)在大學裡擔任資訊管理系副教授,在他眼裡,「網路」就是顛覆恐龍世界的廿一世紀最有趣、不必開發的現成玩具。現在,他的興趣是善用網路從事社會運動。想看更多,歡迎到他的個人部落格  資訊人權貴ㄓ疑

(封面圖片來源:nolifebeforecoffee, CC Licensed)

點關鍵字看更多相關文章: