ตำรวจเยอรมนียอมรับใช้โทรจัน R2D2 สอดแนมประชาชนจริง

แม้จะมีการปฏิเสธอย่างเป็นทางการจากสำนักงานสอบสวนกลาง (Bundeskriminalamt) แต่รัฐจำนวนหนึ่งในเยอรมนีก็ได้ออกมายอมรับว่า ซอฟต์แวร์ม้าโทรจันที่ชื่อ R2D2 นั้นเป็นของเครื่องมือของรัฐบาลจริง ชมรมคอมพิวเตอร์เคออส (Chaos Computer Club: CCC) ในเยอรมนีประกาศทางเว็บไซต์ ccc.de เมื่อวันที่ 8 ต.ค. 2554 ว่าได้ทำวิศวกรรมย้อนรอยซอฟต์แวร์ “ดักรับข้อมูลอย่างถูกกฎหมาย” ตัวหนึ่งซึ่งใช้โดยตำรวจเยอรมนี และพบว่าซอฟต์แวร์ดังกล่าว ไม่ได้ถูกออกแบบมาตามข้อกำหนดที่ประกาศโดยศาลรัฐธรรมนูญกลาง CCC พบว่าซอฟต์แวร์ดังกล่าว ไม่เพียงสามารถส่งข้อมูลที่ถูกดักไปให้เครื่องอื่น แต่ยังมีความสามารถที่อนุญาตให้คอมพิวเตอร์เครื่องอื่นเข้ามาควบคุมและสั่งการคอมพิวเตอร์ที่ติดซอฟต์แวร์ดังกล่าวด้วย อีกทั้งความผิดพลาดในการออกแบบและสร้างซอฟต์แวร์ทำให้ใครก็ตามในอินเทอร์เน็ตสามารถใช้ความสามารถดังกล่าวได้ ทั้งหมดนี้ทำให้ซอฟต์แวร์ดังกล่าวข้ามเส้นไปจากที่กฎหมายอนุญาตให้ทำได้เฉพาะการดักฟังโทรศัพท์อินเทอร์เน็ต บล็อก Naked Security รายงานว่านอกจากซอฟต์แวร์ม้าโทรจันที่พบนี้จะสามารถติดต่อได้ทางแฟ้มแนบในอีเมลหรือลิงก์ไปยังเว็บไซต์แล้ว มันอาจจะถูกติดตั้งลงในเครื่องคอมพิวเตอร์ของผู้ต้องสงสัยระหว่างที่คอมพิวเตอร์กำลังผ่านด่านพิธีศุลกากร โดยยกกรณีที่เกิดขึ้นแล้วในสนามบินมิวนิก กฎหมายเยอรมนีอนุญาตให้ติดตั้งซอฟต์แวร์โทรจันลงในเครื่องของผู้ต้องสงสัยว่าจะเป็นอาชญากรได้ เพื่อดักฟังโทรศัพท์อินเทอร์เน็ต ถ้ามีเหตุจำเป็นเพียงพอ แต่ต้องทำภายใต้ข้อกำหนดและการควบคุมที่เคร่งครัด เช่นเดียวกับการดักฟังโทรศัพท์ปกติ โฆษกของสำนักงานสอบสวนกลางปฏิเสธว่าซอฟต์แวร์ม้าโทรจัน R2D2 ไม่ได้เป็นของรัฐบาล อย่างไรก็ตามบันทึกช่วยจำในปี 2008 ที่รั่วมาทางวิกิลีกส์ก็แสดงให้เห็นว่าบริษัทชื่อ DigiTask ได้พัฒนาซอฟต์แวร์แบบดังกล่าวให้กับตำรวจเยอรมนี สำนักข่าว DW-World รายงานว่า รัฐบาเยิร์น, บาเดน-เวือร์ทเทมแบร์ก, บรันเดนบูร์ก, และ นีเดอร์ซัคเซิน ยอมรับว่ามีการใช้ม้าโทรจัน R2D2 “ภายใต้ข้อกำหนดที่กฎหมายให้ไว้” แต่ได้ละเลยที่จะพูดถึงสิ่งที่ CCC ค้นพบว่าซอฟต์แวร์ดังกล่าวสามารถทำได้มากกว่าการดักฟังโทรศัพท์ และละเมิดกฎหมาย รัฐมนตรีมหาดไทยของรัฐบาเยิร์นสัญญาว่าจะดำเนินการพิจารณาการใช้ซอฟต์แวร์ดังกล่าว เพื่อรับประกันให้แน่ใจว่ามันเป็นไปตามข้อกำหนดการดักฟังที่ต้นทาง “Quellen-TKÜ” ตามที่ศาลรัฐธรรมนูญกลางของเยอรมนีได้ตัดสินในปี 2008 ในขณะที่รัฐมนตรียุติธรรมของรัฐบาลกลาง ได้สั่งการให้มีการสอบสวนเรื่องดังกล่าวร่วมกันระหว่างรัฐบาลท้องถิ่นและรัฐบาลกลาง ถามตอบข้อข้องใจ เรื่องโทรจัน R2D2 เกิดอะไรขึ้น ? มีการค้นพบซอฟต์แวร์ม้าโทรจัน ซึ่งสามารถสอดแนมดักฟังโทรศัพท์อินเทอร์เน็ต Skype, เฝ้ามองกิจกรรมออนไลน์ของคอมพิวเตอร์เครื่องที่ติดเชื้อ, บันทึกการกดปุ่มคีย์บอร์ด, และปรับปรุงความสามารถของมันได้ทางอินเทอร์เน็ต โทรจันดังกล่าว ซึ่งผู้ผลิตซอฟต์แวร์แอนตีไวรัสส่วนใหญ่เรียกมันว่า “R2D2″ และบางส่วนเรียกว่า “0zapftis” หรือ “Bundestrojaner” ถูกประกาศการค้นพบโดยชมรมคอมพิวเตอร์เคออส (Chaos Computer Club: CCC) ในเยอรมนี ทำไมถึงเรียกโทรจันดังกล่าวว่า R2D2 ? ชื่อดังกล่าวนำมาจากชุดอักขระซึ่งฝังอยู่ในชุดคำสั่งของโทรจันว่า: C3PO-r2d2-POE (C3PO และ R2D2 เป็นชื่อตัวละครหุ่นยนต์ในภาพยนตร์สตาร์วอร์ส) ใครคือ CCC ? Chaos Computer Club หรือ CCC เป็นชมรมนักคอมพิวเตอร์ใหญ่ที่สุดในยุโรป CCC สนับสนุนจริยธรรมแบบแฮกเกอร์ ความโปร่งใสในการปกครอง เสรีภาพของข้อมูลข่าวสาร สิทธิมนุษยชนในการสื่อสาร และการเข้าถึงคอมพิวเตอร์และโครงสร้างพื้นฐานทางเทคโนโลยีอย่างเสรีและทั่วถึง CCC ได้ซอฟต์แวร์ร้ายตัวนี้มาจากไหน ? นาย Patrick Schlaft ทนายชาวเยอรมนีบอกกับสื่อว่าซอฟต์แวร์ม้าโทรจันดังกล่าวถูกพบในฮาร์ดดิสก์ในคอมพิวเตอร์ของลูกความคนหนึ่งของเขา ซอฟต์แวร์ร้ายหรือมัลแวร์ดังกล่าวถูกกล่าวหาว่าถูกติดตั้งในคอมพิวเตอร์ระหว่างที่มันผ่านด่านศุลกากรที่สนามบินมิวนิก Schladt กำลังสู้คดีให้กับลูกความของเขาจากข้อกล่าวหาตามกฎหมายของเยอรมนีที่เกี่ยวข้องกับยารักษาโรค เมื่อผู้ต้องสงสัยและทีมกฎหมายได้พิจารณาหลักฐานดิจิทัลที่กล่าวหาพวกเขา พวกเขาพบหลักฐานที่น่าเชื่อว่าเคยมีโทรจันอยู่ – ฮาร์ดดิสก์ดังกล่าวถูกนำให้กับ CCC โดยความยินยอมของลูกความ CCC ได้ใช้ซอฟต์แวร์ทางนิติวิทยาศาสตร์เพื่อกู้ไฟล์ที่ถูกลบขึ้นมาจากฮาร์ดดิสก์ดังกล่าว และค้นพบม้าโทรจัน R2D2 ทำไมโทรจันดังกล่าวจึงสมควรเป็นข่าวได้ ? CCC บอกเป็นนัยว่ามัลแวร์ตัวนี้ถูกสร้างขึ้นให้กับและถูกใช้โดยหน่วยงานบังคับใช้กฎหมายของเยอรมนี เช่น สำนักงานสอบสวนกลาง (BKA) และสำนักงานสอบสวนประจำรัฐ (LKA) มากไปกว่านั้น Schaldt อ้างว่ากรมศุลกากรยังมีส่วนร่วมในการติดตั้งมัลแวร์ดังกล่าวด้วย ใครคือ BKA และ LKA ? BKA (Bundeskriminalamt) เป็นเป็นหน่วยงานสอบสวนระดับสหพันธรัฐของเยอรมนี ส่วน LKA (Landeskriminalamt) เป็นหน่วยงานสอบสวนระดับรัฐ BKA กล่าวว่าไฟล์ต่างๆ ที่ถูกค้นพบโดย CCC นั้น ไม่เกี่ยวข้องกับสำนักงานฯ แต่นั่นไม่เหมือนกับการกล่าวว่า BKA ไม่เคยใช้ซอฟต์แวร์สอดแนมหรือสปายแวร์ในกรณีอื่นๆ – เป็นเพียงการปฏิเสธอย่างเป็นทางการว่า BKA นั้นไม่เกี่ยวข้องกับมัลแวร์ในกรณีนี้เท่านั้น Steffen Seibert โฆษกของรัฐบาลกลางเยอรมนี ใช้ทวิตเตอร์ปฏิเสธการมีส่วนร่วมของ BKA LKA ของ 4 รัฐ ได้แก่ บาเยิร์น, บาเดน-เวือร์ทเทมแบร์ก, บรันเดนบูร์ก, และ นีเดอร์ซัคเซิน ยืนยันว่ามีการใช้โทรจันดังกล่าวจริง ภายใต้กรอบที่กฎหมายอนุญาต และปฏิเสธสิ่งที่ CCC ค้นพบว่า R2D2 สามารถปรับปรุงตัวเองและดำเนินกิจกรรมอื่นที่นอกเหนือจากที่กฎหมายอนุญาต ตำรวจใช้สปายแวร์ มันฟังเป็นเรื่องใหญ่ เรื่องใหญ่สิ นึกภาพของนักรณรงค์เพื่อสิทธิในความเป็นส่วนตัวเกิดอาการนอยแตก เมื่อได้รู้ว่าตำรวจสอบสวนสามารถสอดแนมกิจกรรมคอมพิวเตอร์ได้โดยผู้ใช้ไม่รู้ตัว มันถูกกฎหมายหรือ สำหรับผู้มีอำนาจในเยอรมนี ที่จะสอดแนมคอมพิวเตอร์ของพลเมือง ด้วยม้าโทรจัน ? ภายใต้กฎหมายเยอรมัน ตำรวจได้รับอนุญาตให้ใช้สปายแวร์เพื่อดักฟังผู้ต้องสงสัยว่าเป็นอาชญากร – แต่ก็ต่อเมื่ออยู่ภายใต้แนวปฏิบัติอันเข้มงวดเท่านั้น ตัวอย่างเช่น เจ้าหน้าที่จำเป็นต้องได้รับการอนุญาตตามกฎหมายเสียก่อน (เช่นเดียวกับการขอดักฟังโทรศัพท์) เมื่อจะบันทึกการสนทนาทางโทรศัพท์อินเทอร์เน็ต ก่อนที่มันจะถูกเข้ารหัส การดักฟังที่ต้นทางก่อนจะถูกเข้ารหัสนี้ รู้จักกันในชื่อ Quellen-TKÜ (Quellen-Telekommunikationsüberwachung) หรือ “source wiretapping” ศาลรัฐธรรมนูญของรัฐบาลกลาง (Bundesverfassungsgericht) ได้วางแนวปฏิบัติทางกฎหมายที่เข้มงวดในปี 2008 เพื่อจะจำกัดว่าซอฟต์แวร์สอดแนมของพนักงานสอบสวนจะทำอะไรได้บ้าง ตัวอย่างเช่น แม้จะอนุญาตให้บันทึกการสนทนาทางโทรศัพท์อินเทอร์เน็ตได้ แต่สปายแวร์นั้นจะต้องไม่แก้ไขโค้ดใดๆ บนคอมพิวเตอร์ของผู้ต้องสงสัย และกลไกการป้องกันจะต้องถูกวางเอาไว้เพื่อป้องกันไม่ให้โทรจันดังกล่าวถูกเปลี่ยนแปลงให้มีความสามารถเพิ่มเติม อะไรที่โทรจัน R2D2 ได้ทำนอกเหนือไปจากการดักฟังการสนทนา Skype ? นอกเหนือไปจากการบันทึกการพูดคุยทางโทรศัพท์อินเทอร์เน็ตอย่าง Skype แล้ว โทรจันดังกล่าวยังมีสามารถ: ดักข้อมูลจากโปรแกรมแชทอย่าง MSN Messenger และ Yahoo Messenger บันทึกการกดปุ่มคีย์บอร์ดในเบราว์เซอร์อย่าง Firefox, Opera, Internet Explorer, และ SeaMonkey ยังสามารถจับภาพเนื้อหาจากหน้าจอของผู้ใช้ ดาวน์โหลดตัวปรับปรุงความสามารถ และติดต่อสื่อสารกับเว็บไซต์ภายนอก เว็บไซต์อะไรที่โทรจันนี้ติดต่อด้วย ? โทรจันดังกล่าวเชื่อมต่อไปยังหมายเลขไอพี 83.236.140.90 ซึ่งปรากฏว่าตั้งอยู่ใน ดึสเซลดอร์ฟ หรือ นอยซ์ LKA ของรัฐนอร์ดไรน์-เวสท์ฟาเลิน ตั้งอยู่ที่ใด ? ดึสเซลดอร์ฟ เรารู้อะไรอีกเกี่ยวกับการใช้โทรจันโดย LKA ? ต้นปี 2008 วิกิลีกส์ได้ปล่อยบันทึกลับระหว่าง LKA และบริษัทซอฟต์แวร์ชื่อ DigiTask GmbH: อ่านรายงานจากวิกิลีกส์ (ภาษาอังกฤษ) หรือดูเอกสาร PDF ในภาษาเยอรมัน รายละเอียดที่ปล่อยออกมาโดยวิกิลีกส์นั้น ตรงกับพฤติกรรมของม้าโทรจัน R2D2 ที่ค้นพบโดย CCC แน่นอนว่า เป็นไปได้ที่ DigiTask จะไม่ได้เขียนมัลแวร์นี้ – แต่ความสามารถของซอฟต์แวร์นั้นตรงกัน DigiTask เคยนำเสนอไว้ก่อนหน้านี้ ถึงสรรพคุณของซอฟต์แวร์สอดส่องของตัวเอง ที่สามารถจับตาการสนทนา Skype ได้ คุณสามารถตรวจสอบได้ไหมว่าม้าโทรจัน R2D2 นั้นถูกเขียนให้กับและถูกใช้โดย LKA ? มันเป็นเรื่องที่เป็นไปไม่ได้ที่จะพิสูจน์ว่าใครเป็นผู้เขียนมัลแวร์ดังกล่าว นอกเสียจากหน่วยงานของเยอรมนีจะยืนยันการมีส่วนร่วมของพวกเขา อย่างไรก็ตาม จากสิ่งที่เรามีอยู่ตอนนี้ มันมีโอกาสที่พวกเขาจะมีส่วนร่วม มากกว่าที่จะไม่มี คอมพิวเตอร์จะติดเชื้อโทรจัน R2D2 ได้อย่างไร ? มัลแวร์ดังกล่าวพุ่งเป้าไปที่คอมพิวเตอร์ที่ใช้ระบบปฏิบัติการวินโดวส์ โดยทั่วไป คุณอาจจะได้รับอีเมลที่มีไฟล์แนบ หรือมีลิงก์ที่โยงไปหาเว็บไซต์ ซึ่งจะจากนั้นมันจะติดคอมพิวเตอร์คุณ เรียบเรียงจาก Chaos Computer Club analyzes government malware, CCC, 8 ต.ค. 255; German ‘Government’ R2D2 Trojan FAQ, Naked Security, 10 ต.ค. 2554; German police confirm R2D2 Trojan use, Thinq, 11 ต.ค. 2554 ภาพประกอบดัดแปลงจากภาพโดย Electronic Frontier Foundation สัญญาอนุญาตครีเอทีฟคอมมอนส์แบบแสดงที่มา ----------------------------------- “My Computer Law” เป็นโครงการเพื่อการเสนอร่างกฎหมายคอมพิวเตอร์จากภาคประชาชน โดยประกอบไปด้วยกิจกรรมรณรงค์ให้ความรู้เกี่ยวกับอินเทอร์เน็ตและกฎหมาย คอมพิวเตอร์, การรับฟังและแลกเปลี่ยนความคิดเห็นในหมู่ประชาชนและหน่วยงานที่เกี่ยวข้อง, การร่าง พ.ร.บ.คอมพิวเตอร์ฉบับประชาชน, การเสนอกฎหมายดังกล่าวเข้าสู่สภา, และการผลักดันร่างดังกล่าวในสภา