infa.lt

JAV federaliniame tyrime prieš 19-metį dvigubą – JAV ir Estijos pilietį Peterį Stokesą, siejamą su kibernetinių nusikaltėlių grupuote „Scattered Spider“, paaiškėjo techninės detalės, atskleidžiančios „Microsoft“ operacinės sistemos naudotojų sekimo mastą.

Nors įtariamasis naudojo VPN paslaugas, „ngrok“ tuneliavimą ir keitė IP adresus tarp Talino, Niujorko bei Bankoko, teisėsaugai pavyko nustatyti tikslią jo tapatybę per operacinės sistemos siunčiamus duomenis.

Remiantis federalinio skundo duomenimis, „Microsoft“ užfiksavo tikslią minutę, kada iš konkretaus įrenginio buvo atidarytas „ngrok“ registracijos puslapis, vėliau naudotas 8 mln. JAV dolerių išpirkos reikalavimui iš juvelyrikos įmonės.

Identifikacija buvo atlikta ne per IP adresą, o naudojant GDID (Global Device Identifier) – unikalų pasaulinį įrenginio identifikatorių.

Kas yra GDID ir kaip jis veikia?

GDID yra unikalus numeris, kurį kiekviena „Windows 10“ ir „Windows 11“ instaliacija gauna pirmojo susisiekimo su „Microsoft“ serveriais metu. Tai nėra techninės įrangos (kodinio ID) kodas, todėl komponentų keitimas jo nepakeičia. Šis identifikatorius lieka galioti tol, kol operacinė sistema nėra pilnai perrašoma iš naujo.

Šis identifikatorius perduodamas per kelis fone veikiančius kanalus:

• Sistemos paleidimas: Nadotojų pastebėjimais, tam tikros fone veikiančios programos sistemos paleidimo metu į „Microsoft“ serverius išsiunčia nuo 250 iki 300 megabaitų duomenų.
• Atnaujinimai ir diagnostika: Diagnostikos duomenų paketai periodiškai siunčia informaciją kartu su naudotojo apytiksle lokacija. Jei telemetrijos nustatymai nėra pilnai išjungti, siunčiami ir naršyklės adresai bei svetainių nuorodos, kurias realiuoju laiku tikrina „Windows Defender“.
• Vietinės paskyros: Vietinės naudotojo paskyros naudojimas (local account) neapsaugo nuo šio identifikatoriaus sukūrimo – sistema įrenginį užregistruoja automatiškai be naudotojo įsikišimo. Šį kodą galima rasti sistemos registre adresu: HKCU\SOFTWARE\Microsoft\IdentityCRL\ExtendedProperties.

Panašią sistemą naudoja ir „Apple“ operacinės sistemos, kur analogiškas identifikatorius vadinamas DSID (Directory Services Identifier). Jis susiejamas su naudotojo „Apple ID“, asmens duomenimis ir yra siunčiamas atliekant veiksmus „App Store“ ar „Apple Music“ platformose, nepaisant išjungtos analitikos dalinimosi funkcijos. Tačiau tai tik pačios „Apple“ paslaugų naudojimo metu.

Tuo tarpu „Linux“ sistemose generuojamas aparatinis ID (/etc/machine-id) išlieka lokalus ir nėra nukopijuojamas į centralizuotus gamintojo serverius, o vartotojas gali jį bet kada ištrinti ir sugeneruoti iš naujo.

Teisiniai konfliktai Europos Sąjungoje ir JAV

Pagal Europos Sąjungos teisę, bet koks pastovus identifikatorius, kurį galima susieti su konkrečiu asmeniu (įskaitant dinaminius IP adresus), yra laikomas asmens duomenimis. Šiuo klausimu „Microsoft“ telemetrijos praktika ES jau kelis kartus susidūrė su teisinėmis kliūtimis:

2017 m. Nyderlandų duomenų apsaugos regulatorius pripažino šį duomenų rinkimą neteisėtu. Nors po metų buvo atlikti pakeitimai, tarnyba vėl konstatavo galimus pažeidimus.

Vokietijos Heseno žemė uždraudė naudoti „Office 365“ programų paketą mokyklose dėl rizikos, kad nepilnamečių duomenys gali tapti prieinami JAV pareigūnams.

Pagrindinis teisinis ginčas kyla dėl duomenų perdavimo į JAV. Ankstesni susitarimai – „Safe Harbor“ (panaikintas 2015 m.) ir „Privacy Shield“ (panaikintas 2020 m.) – ES Teisingumo Teismo buvo pripažinti negaliojančiais dėl per plačių JAV žvalgybos institucijų galių rinkti duomenis.

Dabartinis, 2023 m. priimtas „ES-JAV duomenų privatumo pagrindas“ (EU-US Data Privacy Framework), remiasi prielaida, kad JAV Federalinė prekybos komisija (FTC) yra nepriklausoma institucija.

Tačiau JAV Aukščiausiojo Teismo sprendimas, leidžiantis prezidentui be priežasties atleisti FTC komisarus, sukėlė naujų abejonių dėl šios institucijos nepriklausomumo.

Austrijos teisininkas ir privatumo aktyvistas Maxas Schremsas jau yra pateikęs trečiąjį teisinį ieškinį (vadinamą „Schrems III“), siekdamas panaikinti ir šį susitarimą.

Priežiūros sistemos disfunkciją gilina ir tai, kad JAV Teisingumo departamento struktūroje esantis Duomenų apsaugos peržiūros teismas (Data Protection Review Court) dėl politinių paskyrimų ir narių trūkumo pastaruoju metu negalėjo priimti sprendimų.

Šaltinis: „Substack“ autoriaus N01 analitinis straipsnis, paremtas JAV federaliniu skundu prieš P. Stokesą, „Bloomberg“, „Politico“ ir Europos Sąjungos Teisingumo Teismo medžiaga.