venerdì 14 giugno 2013

Migliaia di società americane scambiano dati con i servizi segreti

Di Michael Riley - 14 Giugno, 2013
Migliaia di società tecnologiche, finanziarie e di produzione stanno lavorando a stretto contatto con le agenzie di sicurezza nazionale degli Stati Uniti, che forniscono informazioni sensibili e in cambio ricevono benefici che includono l'accesso a documenti riservati dei servizi segreti, secondo quattro persone che hanno familiarità con il processo.

Questi programmi, i cui partecipanti sono conosciuti come partner di fiducia, vanno ben oltre ciò che è stato rivelato da Edward Snowden, un tecnico di computer che ha lavorato per la National Security Agency. Il ruolo delle imprese private è diventata oggetto di attento esame da quando la sua rivelazione questo mese che la NSA sta raccogliendo milioni di registrazioni telefoniche dei residenti negli Stati Uniti e le comunicazioni informatiche di stranieri da Google e altre società Internet a seguito di ordini del tribunale.

Molte di queste stesse società Internet e di telecomunicazioni forniscono volontariamente dati aggiuntivi alle organizzazioni di intelligence statunitensi, quali le specifiche delle apparecchiature, che non coinvolgono le comunicazioni private dei loro clienti, hanno riferito le quattro persone.

I produttori di hardware e software, le banche, i fornitori di sicurezza di Internet, le aziende di telecomunicazioni satellitari e anche molte altre aziende partecipano ai programmi del governo. In alcuni casi, le informazioni raccolte possono essere utilizzate non solo per difendere la nazione, ma per contribuire a infiltrarsi nei computer dei suoi avversari.

Insieme alla NSA, la CIA, l'FBI e rami delle forze armate degli Stati Uniti hanno accordi con tali società per raccogliere dati che potrebbero sembrare innocui, ma che possono essere molto utili nelle mani dei servizi segreti americani o delle unità di cyber warfare, secondo queste persone, che hanno o lavorato per il governo o che sono in società che hanno questi accordi.

I Bug di Microsoft
Microsoft, la più grande società di software al mondo, fornisce alle agenzie di intelligence informazioni sui bug del suo popolare software prima di rilasciare pubblicamente una correzione, in base a due persone che hanno familiarità con il processo. Tali informazioni possono essere usate per proteggere i computer del governo e per accedere ai computer di terroristi o nemici militari.

La Microsoft e altre società di sicurezza software o Internet sono a conoscenza del fatto che questo tipo di allerta precoce ha consentito agli Stati Uniti di sfruttare le vulnerabilità dei software venduti a governi stranieri, secondo due funzionari americani. La Microsoft non chiede e non gli può essere detto come il governo usi queste soffiate, hanno detto i funzionari, che hanno chiesto di non essere identificati, perché la materia è riservata.

Frank Shaw, un portavoce di Microsoft, ha dichiarato che tali rilasci si verificano in collaborazione con diverse agenzie e sono progettati dare al governo "un intervento precoce" in materia di valutazione e mitigazione dei rischi.

Cooperazione Volontaria
una delle quattro persone ha detto che alcune compagnie di telecomunicazioni statunitensi forniscono volontariamente alle agenzie di intelligence l'accesso a strutture e dati all'estero, che richiederebbero l'ordine di un giudice se venissero fatte negli Stati Uniti.

In questi casi, secondo il Foreign Intelligence Surveillance Act non è necessaria nessuna supervisione, e le aziende stanno volontariamente fornendo le informazioni.

L'estesa collaborazione tra le imprese commerciali e le agenzie di intelligence è legale e tocca profondamente molti aspetti della vita di tutti i giorni, anche se poco ne viene esaminato se non da un piccolo numero di avvocati, dirigenti aziendali e spie. I dirigenti delle Società vengono motivati ​​dal desiderio di aiutare la difesa nazionale ma anche per aiutare le proprie aziende, hanno detto le persone che hanno familiarità con gli accordi.

La maggior parte degli accordi sono così sensibili che solo una manciata di persone in una società ne conosce l'esistenza, e a volte vengono concordate direttamente tra amministratori delegati e i responsabili delle principali agenzie di spionaggio degli USA, riferiscono le persone che hanno familiarità con questi programmi.

'Grazie a loro'
Michael Hayden, ex dirigente della NSA e della CIA, ha descritto l'attenzione verso importanti partner aziendali: "Se io fossi il direttore e avessi una relazione con una società che fa delle cose che non sono solo imposte per legge, ma che sono utili alla difesa della Repubblica, uscirei dagli schemi per ringraziarli e dargli un senso del perché ciò è utile e necessario".

"Te lo terresti stretto all'interno della società e molto pochi ne sarebbero a conoscenza", ha detto Hayden.

La cooperazione tra le nove aziende Internet americane e l'unità Special Source Operations della NSA è venuta alla luce insieme ad un programma segreto chiamato Prism. Secondo le diapositive di una presentazione fornita da Snowden, il programma raccoglie le e-mail, video e altri dati privati ​​degli obiettivi di sorveglianza stranieri attraverso modalità che variano da azienda ad azienda, supervisionato da un gruppo segreto di giudici.

I servizi segreti degli Stati Uniti sono diventati sempre più dipendenti da tali accordi man mano che il flusso di gran parte delle informazioni a livello mondiale è cresciuto in modo esponenziale attraverso switch, cavi e altre apparecchiature di rete gestite da società statunitensi.

Specifiche delle attrezzature
Oltre alle comunicazioni private, per i servizi segreti, funzionari di polizia e i militari degli Stati Uniti sono importanti le informazioni sulle specifiche delle apparecchiature e i dati necessari per far funzionare Internet, la maggior parte delle quali non è soggetta a controllo perché non comporta comunicazioni private.

Tipicamente, un dirigente chiave nella società e un piccolo numero di tecnici collaborano con le diverse agenzie e talvolta unità multiple all'interno di una agenzia, secondo le quattro persone che hanno descritto le modalità.

Committing Officer
Se necessario, al dirigente di azienda, conosciuto come "committing officer", vengono dati i documenti che gli garantiscono immunità da azioni civili derivanti dal trasferimento dei dati. Alle aziende vengono forniti regolari aggiornamenti, che possono comprendere i principali parametri di come vengano utilizzate queste informazioni.

L'unità McAfee della Intel, che produce software per la sicurezza su Internet, collabora regolarmente con la NSA, l'FBI e la CIA, per esempio, ed è un partner prezioso per la sua ampia visione del traffico Internet dannoso, comprese le operazioni di spionaggio da parte di potenze straniere, secondo una delle quattro persone, che ha familiarità con gli accordi.
Tale rapporto inizierebbe con un approccio al dirigente della McAfee, che libera alcuni individui specifici per poter lavorare con gli investigatori o fornire i dati richiesti, ha riferito. Il pubblico sarà sorpreso di quanto aiuto cerca il governo, ha riferito.

I firewall di McAfee raccolgono informazioni sugli hacker che utilizzano i server legittimi per fare il loro lavoro, e i dati della società possono essere utilizzati per individuare dove iniziano gli attacchi. La società ha anche la conoscenza delle architetture di rete di tutto il mondo, alle quali che può essere utile per le agenzie di spionaggio attingervi, ha detto.

I dati di McAfee
Dati e analisi della McAfee non includono informazioni sulle persone, ha detto Michael Fey, dirigente della società.

"Noi non condividiamo alcun tipo di informazioni personali con le agenzie governative di cui siamo partner," ha Fey detto in una e-mail informativa. "La funzione di McAfee è quella di fornire la tecnologia sulla sicurezza, istruzione, e sulle minacce ai governi. Queste analisi sulle minacce includono i dati di tendenza sulle nuove minacce emergenti, modelli di Cyber-attacco e attività vettore, così come l'analisi dell'integrità del software, le vulnerabilità di sistema, e attività di gruppi di hacker".

In cambio, i dirigenti delle società vengono coperti di attenzione e di informazioni da parte delle agenzie per aiutarli a mantenere il rapporto, ha riferito.

In altri casi, alle società vengono dati veloci avvisi sulle minacce che potrebbero influenzarli, inclusi gli attacchi Internet gravi e chi c'è dietro.

La Cina Militare
Nel 2010 a Sergey Brin, co-fondatore di Google, a seguito di un attacco alla sua azienda da parte di hacker cinesi, è stato fornito dai servizi segreti del governo di informazioni altamente sensibili che collegano l'attacco ad una specifica unità dell'Esercito di Liberazione del Popolo, i militar Cinesi, secondo una delle persone che ha familiarità con le indagini del governo. A Brin è stato consentito un accesso temporaneo per partecipare ad una riunione riservata, ha riferito.

Secondo le informazioni fornite da Snowden, Google, proprietario del motore di ricerca più popolare al mondo, a quel punto è diventato partecipe di Prism per più di un anno.

Il 7 giugno Larry Page, CEO di Google, in un post del blog ha detto che non aveva sentito parlare di un programma chiamato Prism fino alle rivelazioni di Snowden e che l'azienda californiana di Mountain View non ha permesso che il governo degli Stati Uniti avesse l'accesso diretto ai propri server o a qualche back-door verso i suoi centri dati. Ha detto che Google fornisce dati utili per i governi "solo in conformità con la legge."

Leslie Miller, portavoce di Google, ieri non ha fornito una risposta immediata.

Le informazioni fornite da Snowden hanno anche esposto un programma segreto NSA noto come Blarney. Per come è stato descritto il programma dal Washington Post, l'agenzia raccoglie metadati su computer e dispositivi che vengono utilizzati per inviare messaggi e-mail o navigare in Internet attraverso i principali percorsi di dati, noti come dorsali (backbone).

Metadati
Quei metadati includono la versione del sistema operativo, il browser e il software Java che vengono utilizzati su milioni di dispositivi in ​​tutto il mondo, informazioni che le agenzie di spionaggio degli Stati Uniti potrebbero utilizzare per infiltrarsi nei computer o telefoni e spiare i propri utenti.

"Sono informazioni altamente offensive", ha detto Glenn Chisholm, l'ex chief information officer di Telstra, una delle più grandi società di telecomunicazioni in Australia, in contrasto ad informazioni difensive usate per proteggere i computer invece di infiltrarvicisi.

Secondo le informazioni di Snowden, il proposito di Blarney è "per accedere e sfruttare intelligence straniera", ha detto il Post.

Non è chiaro se i fornitori di servizi Internet negli Stati Uniti abbiano dato informazioni alla NSA come parte di Blarney, e in tal caso, se il trasferimento di tali dati richieda l'ordine di un giudice.

Meno esami
Stewart Baker, ex consigliere generale per la NSA, ha detto che se i metadati coinvolgono le comunicazioni tra due computer stranieri che dovessero attraversare un cavo in fibra ottica degli Stati Uniti "allora la probabilità è che viene richiesto un controllo legale minore rispetto a quando le comunicazioni vengono estratte una ad una".

I legislatori che supervisionano le agenzie di intelligence degli Stati Uniti non possono capire il significato di alcuni dei metadati raccolti, ha detto Jacob Olcott, un ex assistente sicurezza informatica del senatore John D. Rockefeller IV, del West Virginia, il presidente democratico della commissione Commercio del Senato.

"Questo è ciò che rende il tema di questa svista una sfida così impegnativa", ha detto Olcott, ora uno dei principali a Good Harbor Security Risk Management di Washington. "La situazione è quella dove la tecnologia e la politica tecnica supera di gran lunga l'esperienza e la competenza della maggior parte dei membri del Congresso o dei loro staff."

Mentre alle aziende sono offerti potenti incentivi per cooperare con l'intelligence USA, molti dirigenti sono motivati ​​da patriottismo o da un senso di difendere la sicurezza nazionale, hanno detto le persone che hanno familiarità con i programmi per i partner di fiducia.

Einstein 3
Le società di telecomunicazioni e Internet americane, le aziende elettriche e altri forniscono alle agenzie di intelligence degli Stati Uniti i dettagli delle architetture dei loro sistemi o gli schemi delle apparecchiature così che le agenzie possano analizzarne le potenziali vulnerabilità.

"E' un comportamento naturale per i governi desiderare di conoscere le infrastrutture critiche del Paese", ha detto Chisholm, Chief Security Officer di Irvine, California-based Cylance Inc.

Anche i sistemi strettamente difensivi possono avere conseguenze impreviste per la privacy. Einstein 3, un programma costoso originariamente sviluppato dalla NSA, ha lo scopo di proteggere i sistemi di governo da parte degli hacker. Il programma, che è stato reso pubblico ed è in fase di installazione, analizzerà da vicino i miliardi di e-mail inviate ai computer governativi ogni anno per vedere se contengono strumenti di spionaggio o di software dannoso.

Einstein 3 potrebbe anche esporre il contenuto privato delle e-mail in determinate circostanze, secondo una persona che ha familiarità con il sistema, che ha chiesto di rimanere anonimo perché non era autorizzato a discutere la questione.

AT&T, Verizon
Prima che accettassero di installare il sistema sulle loro reti, alcune delle cinque maggiori aziende Internet - AT&T, Verizon Communications, Sprint Nextel Corp., Level 3 Communications e CenturyLink - hanno chiesto garanzie che non siano ritenuti responsabili ai sensi delle leggi sulle intercettazioni degli Stati Uniti. Le aziende che lo hanno chiesto, hanno ricevuto una lettera firmata dal procuratore generale degli Stati Uniti indicando che tale esposizione non ricade nella definizione legale di una intercettazione telefonica e concedendo loro immunità da cause civili, ha detto la persona.

Mark Siegel, un portavoce della AT&T, il più grande operatore di telefonia del Paese, ha rifiutato di commentare. Edward McFadden, un portavoce di Verizon, la seconda compagnia telefonica più grande, ha rifiutato di commentare.

Scott Sloat, portavoce di Sprint, e Monica Martinez, portavoce di Level 3 Communications, non hanno risposto immediatamente alle richieste di commento.

Linda Johnson, portavoce di Centurylink, precedentemente Qwest, ha detto che la sua compagnia partecipa al programma di servizi avanzati di sicurezza informatica e al programma di servizi Intrusion Prevention Security, che comprende Einstein 3. Entrambi i programmi sono gestiti dal Dipartimento della Homeland Security.

Oltre a ciò, ha detto, "Qwest non commenta le questioni relative alla sicurezza nazionale".

Per contattare il reporter su questa storia: Michael Riley a Washington presso michaelriley@bloomberg.net

Per contattare l'editore responsabile di questa storia: Michael Hytha a mhytha@bloomberg.net

l'articolo originale su bloomberg.com:
U.S. Agencies Said to Swap Data With Thousands of Firms