Details geopenbaard over afluistersysteem FBI

Met een beroep op de Freedom of Information Act heeft de EFF informatie over het afluistersysteem van de FBI in handen gekregen. De software blijkt tot veel in staat, maar zou een rammelende beveiliging hebben.

De FBI heeft zijn software DCSNet gedoopt. Het versleutelde, en los van het internet staande, afluisternetwerk is gekoppeld met de hubs van voip-aanbieders en de knooppunten van telecombedrijven die vaste en mobiele telefonie aanbieden. Met een druk op de knop kan het federale onderzoeksbureau vrijwel elke communicatiestroom binnen de VS afluisteren, en voor toepassingen als datamining in een centrale database opslaan. De software is in staat om bij mobiele gesprekken grofweg de locatie van het doel te bepalen en deze informatie direct door te spelen aan bijvoorbeeld naburige politieauto's.

Hoewel veel technische details uit de vrijgegeven informatie onleesbaar zijn gemaakt, blijkt dat DCSNet bestaat uit minimaal drie verzamelsystemen die allemaal onder Windows draaien. Het eerste systeem, het tien miljoen dollar kostende DCS-3000, registreert uitsluitend gegevens als gebelde telefoonnummers. DCS-6000 kan ook gesprekken opnemen, terwijl DCS-5000 ingezet wordt voor het afluisteren van potentiële spionnen en terroristen.

Ondanks de vele miljarden die de Amerikaanse overheid jaarlijks in zijn federale opsporingsdienst pompt, blijkt DCSNet verre van perfect. De software kan bijvoorbeeld niet overweg met Skype-gesprekken, omdat de voip-software is gebaseerd op een p2p-netwerk zonder centraal toegangspunt. Ook het spoofen van telefoonnummers en nummerportabiliteit levert de experts de nodige hoofdbrekens op.

De beveiliging van DCSNet lijkt ook te rammelen. Uit de vrijgegeven documenten blijkt dat in 2003 bij een intern onderzoek naar het systeem veel mankementen aan het licht kwamen. Zo zou het loggen en het wachtwoordbeheer niet goed werken, draaien de systemen geen antivirus-software en werd de toegang niet automatisch geblokkeerd na het ingeven van onjuiste wachtwoorden.

Een ander probleem is dat de afluistersoftware alleen met beheerdersrechten kan draaien. In theorie hoeft een hacker slechts een systeem te kraken om zo vrij spel te krijgen op het gehele DCSNet. In 2005 slaagde een Griekse hacker er in om een soortgelijk systeem te kraken. Hij wist met de tools die tot zijn beschikking stonden honderd overheidsmedewerkers af te luisteren. De FBI zegt dat zijn afluisternetwerk voldoende beveiligd is en nimmer ten prooi is gevallen aan een hacker.

Reacties (55)

[the_shadow]

Zo zou het loggen en het wachtwoordbeheer niet goed werken, draaien de systemen geen antivirus-software en werd de toegang niet automatisch geblokkeerd na het ingeven van onjuiste wachtwoorden.

Ik lees hier (sectie 7.3) toch echt wat anders (gaat over de DCS-3000). Namelijk dat er na te veel pogingen een account 30 min gelockt wordt, dat wachtwoorden iedere 90 dagen worden veranderd naar een nieuwe random string met min. lengte 8 en dat er wel degelijk dingen worden bijgehouden:

• Successful and unsuccessful logons and logoffs.
• Accesses to security-relevant objects and directories, including opens, closes,
modifications, and deletions.
• Activities at the system console (either physical or logical consoles), and other
system-level accesses by privileged users.

Ook staan die systemen achter meerdere filters, dus direct er op in-hacken en inloggen lijkt me niet zo eenvoudig als de meesten hier proberen te beweren (onderlinge communicatie tussen systemen gebeurt doormiddel van PCAnywhere). Ook zijn de workstations (Win 2000) en servers (Win 2003) voorzien van virusscanner (McAfee).

De routers die gebruikt worden, routeren verkeer statisch (als het verkeer van adres A afkomt, dan gaat het naar B toe en nergens anders), dus 'even aftappen gaat niet lukken'.

[Reactie gewijzigd door the_shadow op 23 juli 2024 21:53]

[coretx]

PCAnywhere is al al lek sinds het bestaan er van.
Ik lees nergens iets over stack/heap bescherming. Dus het is te exploiteren.
Tevens weet jij niet op welke layer er word gerouteerd.
Er kan altijd nog sprake zijn van ARP cache posoining e.d

[Mars Warrior]

Het systeem hangt niet aan het internet, dus de kans op hackers lijkt me dan ook een stuk kleiner dan dat het aan internet gehangen zou hebben, toch?

[r0b]

Het hangt wellicht niet aan het internet, maar het is wel verbonden met TelCo's en VOIP-aanbieders; wat dus een opening biedt.
Kort gestelt; als het een IP-adres heeft, dan valt het te bereiken, en dus te hacken.

En zoals in de bron ook genoemd wordt; DCS-1000 wordt gebruikt om verkeer bij ISP's te onderscheppen. Dit is wél internet.

[houseparty]

Het hangt wel degelijk aan het internet. Misschien niet direct het internet zoals jij het herkent.

Dit systeem zou 0% kans op hacks moeten hebben. De informatie is dusdanig gevoelig dat ermee geen enkel risico gelopen mag worden.

Wat nou als iemand voor 10.000 euro een hacker inhuurt om bij iemand die 'm niet aanstaat data aan te passen? De data die op dit systeem staat bepaalt bijvoorbeeld of ze je "zonder einde" en zonder rechtsvertegenwoordiging in Guantanamo mogen opsluiten!

Lijkt me een aardige optie om iemand uit te schakelen, vergelijkbaar met het inhuren van een huurmoordenaar.

[edit]
@GTACrime
10.000 euro is nog steeds véél geld in sommige landen waar hacken de laatste tijd erg populair lijkt te zijn. (China, India, Nigeria, Belarus)

Bovendien kun je er elk willekeurig bedrag van maken. Het gaat om 't principe dat je er iemand totaal mee ten gronde kan richten.

[Reactie gewijzigd door houseparty op 23 juli 2024 21:53]

[GTACrime]

Zit wat in, al lijkt die €10.000 me een beetje onrealistisch gezien de benodigde kennis en alle bijkomende risico's.

[WhiteDog]

Hangt er vanaf. Als je als middelgroot bedrijf je concurrent wat wil pesten kan je gerust een hacker voor een paar 1000 euro zijn site een paar weekjes laten lamleggen. Eer die goed en wel beseft wat er gebeurt is de hacker al lang vertrokken. Zelfs al gaat hij dan naar de politie is de kans dat hij ooit gepakt word quasi nihil, prioriteiten(en kennis) bij de politie liggen elders...

[Onderzetter]

De NSA doet dit toch ook?

[fevenhuis]

De NSA is een inlichtingendient wat zich bezig houdt met zaken van National belang (militairy) maar voornamelijk alleen het verzamelen van inlichtingen en FBI vooral met zaken van Federal belang (police) en ook het afhandelen (arrestaties etc.) van justitie, wat het NSA allemaal kan krijgen we dus niet op deze manier te horen.

[Reactie gewijzigd door fevenhuis op 23 juli 2024 21:53]

[Sakete]

De NSA is een dienst van de overheid wat zich o.a. bezig houdt met encryptie en het versleutelen van communicatiestromen die vooral extern verlopen (dus het buitenland). Verder doen ze ook aan afluisteren en het kraken van beveiligingen van bijvoorbeeld Rusland tijdens de koude oorlog. Maar het zou ook goed kunnen dat ze binnen de grenzen van de VS ook actief zijn.

De FBI is belast met de binnenlandse veiligheid. Denk dan aan het bespioneren van verdachte personen binnen de grenzen van de VS, het afluisteren van, opsporen, rechtelijk vervolgen en is verder verantwoordelijk voor het handhaven van de Federale wetgeving. (er is ook nog wetgeving op Staat niveau, zoals Californië of Florida, maar daar is dan weer de State police verantwoordelijk voor)

De CIA is de inlichtingendienst die o.a. belast is met het bespioneren van personen en instanties en verzamelen van gegevens buiten de grenzen van de VS. Officieel heeft de CIA dus niets te zoeken binnen de grenzen van de VS. Officieel

[Reactie gewijzigd door Sakete op 23 juli 2024 21:53]

[arjankoole]

Maar het zou ook goed kunnen dat ze binnen de grenzen van de VS ook actief zijn.

Sinds kort wel ja, maar in de koude oorlog was het voor de NSA verboden op eigen bodem af te luisteren, een bepaalde wet van Bush heeft nog niet zo gek lang geleden hier verandering in gebracht. De domestische taps waren altijd het exclusieve terrein van de FBI en de lokale PD's, waar (wederom tot voorkort) altijd een gerechtelijk bevel voor nodig was. (en daarvoor was al redelijk wat bewijs nodig - om vermoedelijike betrokkenheid bij een strafbaar feit bij een rechter aannemelijk te maken).

[fevenhuis]

Een interresante noot is wel dat de NSA's beveilingadviezen voor encryptie etc. natuurljik vooral gebaseerd zijn op wat zij bij hun eigen afluisterkunsten leren.

[Verwijderd]

Dan Brown heeft een mooi boek geschreven over de NSA:

Juvenalis Dilemma

[Verwijderd]

Voor de mensen die engels lezen: Digital Fortress
Het gaat over een supercomputer van de NSA die elke code (encryptie algoritme) binnen enkele minuten kan kraken (bruteforce)

[Orsetto]

Waarschijnlijk wel. En er zal ook wel een dienst zijn die deze beide diensten weer afluistert.
Deze zit overigens in Peking

[Reactie gewijzigd door Orsetto op 23 juli 2024 21:53]

[sanzut]

CIA lijkt me logischer.

[fevenhuis]

De CIA is nog een stapje gevaarliker en houdt zich ook rustig bezig met buitenlandse "veiligheid" (of US belangen in de wereld), de NSA verzamelt ook inlichtingen voor de CIA.
Je kunt het zo zien de CIA ziet alles wat de NSA verzamelt maar de NSA ziet niks van wat de CIA verzamelt en uitspookt.

[Reactie gewijzigd door fevenhuis op 23 juli 2024 21:53]

[Laurens-R]

Sommige bureau's wil je ook niet met elkaar laten praten:

Plausible deniability

[arjankoole]

Je kunt het zo zien de CIA ziet alles wat de NSA verzamelt maar de NSA ziet niks van wat de CIA verzamelt en uitspookt.

dat is niet helemaal waar, bij beide agency's zitten analisten die elkaar kennen en met elkaar overleggen. Het schijnt dat er voor dat doeleinde ook een speciale microgolf straal verbinding was/is tussen de twee locaties.

Geen van dat alles kan ik niet bepaald bewijzen natuurlijk, dus een bron kan ik niet geven.

Wat wel te bewijzen is is de stand van zaken tegenwoordig: beide organisaties vallen onder Homeland Security, en die agency houdt precies in de gaten welke informatie binnenkomt, en verder gedistribueerd moet worden naar een andere agency. Zo kan informatie die de CIA pakt bijvoorbeeld nuttige leads geven voor het aftap netwerk van de NSA, waardoor een specifieke zoekinstructie in het systeem kunnen zetten aan de hand van die intel.

Nu geef ik Homeland Security wel erg veel credit dat ze dat goed kunnen, bureaucratieen zijn erg slecht in het herkennen van intressant matriaal, en je nek uitsteken is al helemaal niet iets wat een bureaucratie aanmoedigt.

[Cozm0]

Hopla, iedereen aan de Skype

[Verwijderd]

Of ze zeggen dat alleen omdat ze skype wel kunnen afluisteren.

en nu zet ik mijn aluminiumhoedje weer af

[Mizitras]

Closed protocol. Dan toch liever Teamspeak wat ook minder 'omslachtig' eruitziet en meer bevat van wat ik echt nodig heb, en dat is gewoon aan een goede kwaliteit kunnen praten. Hoe dat mijn buurman eruitziet weet ik ook, dus een fotootje moet ik niet zien alstie belt.

Al die geheimdoenerij, bah neeje, ik ben er niet voor.

[Cybergamer]

Teamspeak is ook closed tot zover ik weet. Daarbij is teamspeak meer voor in-game gebruik.

[Verwijderd]

Plus dat ik de kwaliteit van de gemiddelde TS server niet echt denderend vind. Laat staan het feit dat niet iedereen een tweaker is en dus ook niet allemaal weten hoe TS functioneerd en of zelfs een server weten op te zetten.

[Verwijderd]

Inderdaad, lekkere reclame voor Skype
Complot???

[Bloodshot]

Toch wel bizar dat een dergelijk "belangrijk" systeem dat zo verschrikkelijk veel geld heeft gekost nog zoveel relatief kleine problemen kent (draait alleen onder admin, password->lockout, etc.)

*Zegt maar niets over het op Windows draaien om een flame-war te voorkomen*

[RS_Jelle]

Erg bizar vind ik dat persoonlijk niet
Er zijn zo veel van die monsterprojecten die niet aan de verwachtingen voldoen. In België ging alles van justitie onder één overkoepelend systeem gestoken worden, maar naast het onderschatten van de kosten is men nu al van dat monsterproject afgestapt ... Ook het ontwikkelen van Windows Vista is er een voorbeeld van.

Het management van zulke projecten is echt geen lachertje en zoals je weet: 20% van de tijd voor 80% van het werk en 80% van de tijd voor de laatste 20% van het werk. Met de "war on terror" < moet > het ook snel gaan, goed afgewerkt of niet.

Ten slotte, open source gebruiken kan niet. Dat is iets voor de communisten

[GC-Martijn]

De FBI zegt dat zijn afluisternetwerk voldoende beveiligd is en nimmer ten prooi is gevallen aan een hacker.

fout nr 1, zeggen dat het voldoende is beveiligd

[Evilslayer]

Fout nr2

Windows gebruiken

Editje

Had wel verwacht dat ik naar onder gemod zou worden, maar zoals men hieronder al duidelijk maakt doelde ik op het feit dat Windows wereldwijd het meest gebruikte en dus ook meest interessante OS is (voor hackers dan toch) .

Nu ja mensen houden er blijkbaar niet van als je iets slechts zegt over windows

[Reactie gewijzigd door Evilslayer op 23 juli 2024 21:53]

[arjankoole]

ook al ben je natuurlijk onmiddelijk de grond in gemod, je hebt opzich wel gelijk.

waarom? Windows wordt zoveel gebruikt, dat het een vreselijk intressant doelwit is voor hackers. Met een keuze van honderden mogelijk ingangen in het systeem is het natuurlijk erg veel makkelijker, dan dat men een obscuur ander besturingssysteem zou gebruiken, wat vrijwel nergens bekend is. (ik gok dat de NSA zo'n besturingssysteem vast wel op de plank heeft liggen voor haar eigen communicatie systemen).

Security through obscurity is eigelijk helemaal niet zo'n slecht concept. Van windows is nu eenmaal veel te veel bekend.

[Cybergamer]

Windows, Linux of OSX. Het maakt niet uit, alles is te kraken. Ze zouden naar mijn idee gewoon een eigen systeem moeten bouwen. Of kost dat dan weer teveel geld ofzo?

Ik bedoel, een Systeem gebaseerd op BSD ofzo moet toch niet al te moeilijk zijn lijkt mij. Voor hackers is het absoluut niet interessant om dat te willen kraken.

Wel even voor de goeie orde: Ik gebruik zelf Windows, maar ben me wel terdege bewust van de lekken. Linux of OSX zou mijn eerste keuze zijn, maar de games heh... Daarbij, als Linux nou nr. 1 OS van de wereld zou zijn hadden we denk ik hetzelfde probleem...

[Reactie gewijzigd door Cybergamer op 23 juli 2024 21:53]

[kidde]

Toch is er aangetoond door middel van een audit dat bij het schrijven van de Linux kernel, er uiteindelijk in de broncode veel minder lekken zitten dan in het industriëël gemiddelde, zoals in bijv. closed source software. Verder zijn in bijv. OpenBSD fouten die aan het licht komen vaak al in het verleden gepatcht omdat OpenBSD als een van de weinige besturingssystemen preventieve audits uitvoert (fouten zelf gaan zoeken en kwalitatief slechte software fixen, voordat anderen de bugs exploiten. Een voorbeeld hiervan is het vervangen van alle 'unsigned ints' door 'signed ints' waar mogelijk, om buffer-overflows wegens negatieve onverwachte waarden te voorkomen).

In Windows Vista zit overigens een nieuwe netwerk-stack omdat de oude XP netwerk-stack, die iedere keer uitgebouwd is vanaf zijn wortels van de BSD-stack in Win95 - zo complex was geworden dat er geen nieuwe features aan toe te voegen vielen zonder de huidige stack te breken. Dat geeft al aan dat de Windows XP stack dusdanig complex is (volgens Microsoft programmeurs zelf overigens), dat hij niet te onderhouden is, laat staan te conroleren op veiligeid.

Persoonlijk, maar dat kan ook aan mij liggen, ken ik geen besturingssysteem dat vandaag de dag nog verkocht wordt, dat onveiliger is dan Windows. Ehhm, dat is Windows zonder virusscanner niet meegeteld.

[Reactie gewijzigd door kidde op 23 juli 2024 21:53]

[SED]

weer een typische reactie. Welke windows bedoel je eigenlijk. je gooit zoals zo vaak weer alles op een hoop. dat terwijl je zelf al aangeeft dat de Vista stack veel beter is dan de XP stack.
Windows blijft men afrekene op een systeem uit 95 of 98 terwijl sinds 2000 er in het OS feitelijk weinig gaten gevonden zijn.
Dat is trouwens aangetoond, ik verzin dit niet zelf zoals zo vaak hier gebeurt.

Als je puur naar het OS kijkt is Windows gewoon veilig. Een slecht geinstallerde Linux is net zo onveilig als windows 98 .

[Rixard]

Je kunt het ook anders bekijken. Omdat Windows zo vaak gebruikt wordt, komen fouten eerder aan het licht en is er duidelijkheid over de zwakheden. Er is namelijk simpelweg meer onderzoek naar (zowel door onderzoekers, hackers als crackers).

Een eigen besturingssysteem zal mogelijk nog meer fouten kunnen bevatten. Ga maar na dat wanneer er al in Windows fouten zitten, terwijl Microsoft hier een gigantisch budget voor uitwijdt, dat een 'privé-OS' ook fouten zal hebben, mogelijk zelfs meer. Deze fouten zijn echter (nog) niet bekend.

[GoBieN-Be]

In linux komen volgens mij toch meer fouten aan het licht, omdat de bron inkijkbaar is ... dan dat onderzoekers moeten reverse engineeren om fouten in windows te ontdekken.

Voordeel van linux is dan dat de mensen die ze ontdekken vrijwel altijd het oplossen, of ze doorspelen aan de personen die ze kunnen oplossen.

[engelbertus]

Ook al heb je gelijk, het heeft niets met het onderwerp te maken. ik denk dat het feit dat het om dcs gaat voor een hacker veel interesanter is dan al die miljoenen windows pc's.

of het moet een commerciele hacker zijn die het voor de spamverzending doet. maar daarvoor zijn al kant en klare tools beschikbaar die ongepatchte windows systemen opsporen volgens mij.

je post kan hoogstens als grappig door het leven gaan, maar die grap is al zovaak gemaakt dat dat ook bijna geen positive bijdrage meer genoemd kan worden.

[dasiro]

als het niet aan het internet hangt, dan is het al een uitdaging voor hackers om nog maar op het netwerk te geraken, laat staan dat ze er zomaar in kunnen beginnen rommelen

[Blokker_1999]

Het systeem hangt wel vast aan telefoonnetwerken en VOIP systemen, mogelijk is op die manier wel een toegang te forceren.

[Mijiru]

Ik zie het al komen, een nieuwe spawn van Phreaks die het hele systeem gaan misbruiken vanuit een telefooncel

[onox]

Moeten we alleen nog even wachten tot er een blokfluitje in de Kellogs verpakking zit

[RM-rf]

de gevolgtrekking is ook behoorlijk fout... de bewering dat 'als een systeem nooit gekraakt is, het vast veilig moet zijn'...
meestal betekent dat enkel dat het wachten op het moment dat dit wél gebeurd...

en gezien de gepubliceerde architectuur is het nu net zo dat aangezien er geen enkele vorm van interne rechtenbeveiliging bestaat, een basale fout al kan leiden tot het corupt worden van het gehele systeem...
Ook lijkt dit systeem me ontzettend kwetsbaar voor bv sabotage van binnenuit

[SH4D3H]

Nu is er vast wel iemand die dat gaat (proberen te) weerleggen

[Verwijderd]

Als het goed is controleerd de een de ander....maargoed dat moet ook geheim blijven natuurlijk.

[Sakete]

In principe controleert de één niet de ander in de VS. Er zijn bepaalde commissies bestaande uit gewone burgers die toezicht houden op de inlichtingendiensten. Bijvoorbeeld, de CIA heeft een toezichthouder boven zich bestaande uit burgers. Dan moet je dan natuurlijk wel denken aan senatoren e.d., niet aan Jan-met-de-pet.

Maar goed, in hoeverre zo'n toezichthouder nou echt effect heeft, dat moet je je dan natuurlijk ook weer afvragen. Je maakt mij niet wijs dat zo'n toezichthouder alles te weten komt van wat zo'n instantie allemaal uitspookt. Wellicht is het allemaal één grote poppenkast om de gewone burger de indruk te geven dat het allemaal binnen bepaalde grenzen gehouden wordt, wat mij persoonlijk niet erg waarschijnlijk lijkt, maar dat is een kwestie van opinie. Feiten heb ik niet

[Verwijderd]

en de systemen 1000 , 2000 , 4000 en etc.... dan??

[Kalief]

De FBI kan niet in een winkel om de hoek éen van de zoveel afluisterpakketten van de plank trekken. Het is iets wat met trial and error moet worden ontwikkeld. En een one size fits all toepassing is er ook niet van te maken. Het verbaast me dus niets dat het ze een hoop geld kost.

[r0b]

Geen password-lockout en onder admin rechten moeten draaien noem ik geen "trial and error".

[donderdraak]

Ik vraag me alleen nog af of videoconferencing ook door de FBI onder afluisteren wordt verstaan, of zou de FBI dat achter wege gelaten hebben?