V tomto příspěvku bych chtěl zmínit některé incidenty, které řešil v minulém roce bezpečnostní tým CSIRT.CZ, a o kterých nebylo z nejrůznějších důvodů vhodné se zmiňovat ihned po jejich vyřešení.

Zneužitý hosting
V srpnu jsme přijali hlášení o incidentu, jehož původce neváhal investovat do nákupu legálního hostingu. Nejprve si u jednoho velkého operátora pronajal celou síť, v níž provozoval různé aktivity, které na první pohled nevzbuzují podezření. Jednalo se například o provozování on-line kasin, e-shopů s podezřele levným software a se značkovými hodinkami Rolex :). Operátor se bohužel pravděpodobně nechtěl dostat do konfliktu se zákazníkem a tak raději zvolil taktiku mrtvého brouka. Na situaci si stěžovalo čím dál více subjektů ze zahraničí, což vedlo až k problémům s blokováním některých jeho služeb. Smlouvu tomuto zákazníkovi vypověděl v říjnu, kdy už pro něj situace byla neúnosná. Provozovatel webů se však pouze přesunul k jinému velkému ISP. Zde se situace opakovala. Až ve chvíli, kdy důsledky chování tohoto zákazníka dopadly na další zákazníky, došlo na výpověď smlouvy. Poté proběhlo stěhování k menšímu rovozovateli webhostingových služeb. Ten sice také nechtěl zákazníka odpojit, ale byl ochotný o celé věci diskutovat. Když jsme mu vysvětlili, že provozovat kasina lze v České republice pouze po nahlášení u Ministerstva financí ČR a poukázali na předchozí události spojené s provozováním těchto webů, rozhodl se sám aktivně smlouvu vypovědět. Zatím to tedy vypadá, že tato poslední zkušenost konečně odradila provozovatele těchto webů od jejich dalšího provozování v naší zemi, neboť národní csirt od té doby již žádnou další stížnost neobdržel. Byl to běh na dlouhou trať, ale pro pověst České republiky je dobré, že se nakonec podařilo tyto weby vytlačit mimo „internetový rozsah ČR“. Pokud by se takováto síť u nás dlouhodobě udržela, mohly by se k nám začít stěhovat také weby s daleko nebezpečnějším obsahem. To by potom mohlo znamenat větší rizika i pro uživatele internetu u nás.

Varování ICS-CERT
V listopadu náš tým obdržel od týmu ICS-CERT seznam přibližně osmdesáti potenciálně ohrožených ICS (Industrial control system) systémů v Česku. ICS systémy zahrnují systémy SCADA, DCS a PLC. Tyto systémy nebyly přímo napadeny, ale jejich provozovatelé je měli dostupné z internetu a mnohdy pouze s minimálním zabezpečením, či dokonce s defaultním jménem a heslem. Informace jsme zpracovali a individuálně předali všem provozovatelům těchto systémů. Záměrem této preventivní akce bylo tedy upozornit provozovatele těchto zařízení, že mají takovýto systém dostupný z internetu, a předejít tak zneužití či poškození těchto systémů v budoucnosti. Více informací lze nalézt například na této adrese.

Spolupráce s FBI
V říjnu náš tým ve spolupráci s MVČR pomáhal FBI s předběžným zajištěním důkazů. Jednalo se o server, který sloužil několik let jako hlava botnetu. Protože existovala reálná možnost, že by po sobě vlastník tohoto serveru mohl zamést stopy, byli jsme požádáni o vyjednání předběžných záloh dat důležitých pro další vyšetřování. Protože neznáme podrobnosti o průběhu dalšího vyšetřování, nemohu bohužel zacházet do přílišných podrobností. V každém případě, to oč jsme byli požádáni se nám podařilo s provozovatelem služeb domluvit.

Pavel Bašta

Ústavní soud na návrh Obvodního soudu pro Prahu 6 vyhověl návrhu na zrušení ustanovení § 88a trestního řádu. Nález ještě není k dispozici, ale jak vyplynulo z vyjádření JUDr. Rychetského pro Českou televizi, lze očekávat obdobnou argumentaci, jako v případě tzv. data retention, tedy uchovávání provozních a lokalizačních údajů.

Toto ustanovení trestního řádu totiž umožňuje policii požádat telekomunikačního operátora o poskytnutí údajů o uskutečněném telekomunikačním provozu, které jsou předmětem telekomunikačního tajemství nebo se na ně vztahuje ochrana osobních a zprostředkovacích dat – řeč je nejen o telefonních číslech, ale třeba také o IP adresách, e-mailu a podobně. Údaje o uskutečněném telekomunikačním provozu jsou podle názoru Ústavního soudu, stejně, jako samotný obsah komunikace, údaji způsobilými zasáhnout do soukromí dotčených subjektů (k tomu se ÚS vyslovil již dříve v rozhodnutí sp. zn. II. ÚS 789/06), podléhají ochraně dle čl. 13 Listiny základních práv a svobod (IV. ÚS 78/01).

Trestní řád v tuto chvíli nestanoví limity, které je nutno dodržet, aby byl možný zásah do soukromí tohoto charakteru, jako je tomu v případě mediálně známých odposlechů. Není řečeno, pro jaké kategorie trestných činů může vůbec policie tyto údaje po operátorech vyžadovat, jak s těmito údaji má dále nakládat, informovat průběžně o jejich užití soud, alespoň po skončení trestního řízení informovat subjekty, jichž se data týkala a podobně. Jediné, co policie potřebuje, je souhlas soudu, aby si mohla takové údaje vyžádat. Úprava tak umožňuje poměrně široké využití těchto údajů v rámci trestního řízení, a to i v případech, kdy není odůvodněné závažností trestného činu, a může tak dojít k nepřiměřenému zásahu do práva na soukromí jednotlivce.

Stávající právní úprava zůstává v platnosti do konce září a může být orgány činnými v trestním řízení nadále aplikována (údaje, které policie získá postupem dle zákona, lze použít v trestním řízení jako důkazní prostředek), avšak naši zákonodárci mají devět měsíců na to, aby přijali novelu trestního řádu, která bude nález ÚS reflektovat.

Zuzana Průchová Durajová

Děkujeme za vaši pozornost a doufáme, že budete mít důvod vracet se na tyto stránky i v roce 2012, že vás budou informace od nás zajímat i nadále.