Zero-Days: BND in Državna varnostna služba naj bi postala "super obveščevalna služba"

Nemška vlada je predlagala pomembno reformo svojega obveščevalnega zakona, ki vključuje določbe, ki bi zahtevale, da zvezni urad za informacijsko varnost (BSI) deli informacije o znanih ranljivostih nultega dne z tujo obveščevalno agencijo, zvezno obveščevalno službo (BND).

V skladu z osnutkom zakonodaje bi lahko javni organi BND posredovali informacije, vključno z osebnimi podatki, takoj, ko obstaja konkreten pokazatelj, da bi bili ti podatki lahko pomembni za tuje obveščevalne operacije. BSI, ki je zakonsko pooblaščena za delovanje kot osrednji organ za informacijsko varnost na nacionalni ravni, bi morala izrecno sodelovati z BND. Ta ukrep predstavlja temeljni premik v pristopu Nemčije k politiki digitalne varnosti, ki se oddaljuje od modela, ki temelji na medsebojnem zaupanju, v model, za katerega je značilna povečana sumljivost in proaktivni poseg.

Načrt zakona opisuje celovito preoblikovanje nemške arhitekture digitalne varnosti, s poudarkom na aktivnih ukrepih za obravnavo groženj v kibernetskem prostoru. Raziskovalnim agencijam omogoča, da bolj svobodno delujejo na področjih, ki so jih prej obravnavali kot zaščitene po ustavnih pravicah. Poleg tega predlog zakona predlaga, da se tretje osebe lahko vse bolj vključijo v digitalne preiskovalne ukrepe, ki jih izvaja država. Vključitev obveznosti sodelovanja med BSI in BND je brezhibno usklajena s tem novim okvirom, kar povzroča zaskrbljenost zaradi morebitne zlorabe ranljivosti kritične infrastrukture.

Predlagane spremembe so namenjene izkoriščanju obdobja med odkrivanjem ranljivosti, obveščanjem proizvajalcev programske opreme in morebitnim popravkom pomanjkljivosti za namene obveščevalne službe. Ta časovni okvir, ki je trenutno namenjen hitremu reševanju varnostnih vprašanj, bi se namesto tega uporabil za izkoriščanje teh slabosti za strateško prednost.

Če bi BSI imel prednost v obveščevalnih operacijah pred hitrim popravljanjem ranljivosti, bi to lahko odvrnilo organizacije in raziskovalce od poročanja o novo odkritih pomanjkljivostih. To bi lahko privedlo do povečanja nezadržanih ranljivosti v kritični infrastrukturi, zlasti v času, ko naraščajo geopolitične napetosti in hibridne grožnje.

Medtem ko ministrstvo navaja povečane grožnje kot utemeljitev za širitev nadzornih pooblastil, nasprotniki trdijo, da takšni ukrepi ogrožajo nadaljnjo erozijo digitalnih svoboščin.

Na primer, če obveščevalna služba odkrije zlonamerno programsko opremo v infrastrukturi napadalca, preden lahko organi kazenskega pregona odgovorijo, bi lahko sprejeli takojšnje protiukrepe, namesto da bi čakali na tradicionalne pravne postopke.

Javni subjekti bi morali v zgodnejših fazah napada, včasih celo samodejno, posredovati vpogled v varnost BND. Razlog za to je, da lahko BND zaradi svojih strateških dejavnosti spremljanja komunikacij bolje kontekstualizira ločene incidente v širšem globalnem okviru, kar omogoča zgodnejše odkrivanje groženj.

V zvezi z zero-day exploits - ranljivostmi brez razpoložljivih popravkov - BMI trdi, da se ta časovni okvir lahko uporabi za ključno delo BND. Zamude pri reševanju teh vprašanj bi znatno zmanjšali njihovo uporabnost. To bi BSI postavilo v težek položaj, saj bi bilo treba prednost dati obveščevalnim operacijam pred hitrim zaprtjem varnostnih vrzeli, v nasprotju s prvotnim namenom koalicijske vlade. Finančno pobuda pomeni znatno širitev kibernetskih zmogljivosti, kar kaže na zavezo k povečanju operativnega dosega BND.

Vendar pa je obseg nadzornih mehanizmov še vedno omejen, nadzorne odgovornosti pa so združene v okviru Neodvisnega nadzornega sveta (UKRat), ki bi lahko izvajal sodni predhodni nadzor, vendar z omejenim obsegom.