Londýňany mají špehovat brigádníci

Privatizace sledovacího státu

CCTV kamery jsou pro mě nejužitečnějším nástrojem ve výzbroji vyšetřovatelů, které metropolitní policie a další policejní složky po celé zemi používají. Způsobem, kterým kamery využíváme, jsme ve vedoucím postavení, říká detektiv a šéfinspektor londýnské policie Julian Worker. Využívání kamer pro policejní práci je nicméně velmi náročné a také drahé. Někteří proto hodnotí využití kamerového systému negativně.

Vedoucí úředník „metropolitních“ Mick Neville prohlásil, že využití CCTV sítě je v jeho očích „naprosté fiasko“, protože na vyřešení jednoho případu je potřeba sledovat asi 1000 kamer ročně. A právě na tomto faktu staví firma Internet Eyes ze South Devonu svůj nápad. Princip celého podniku spočívá v tom, že vlastníci kamer, ať už státní nebo soukromí, budou firmě poskytovat záběry ze svých kamer. Ty se dostanou do internetového systému, kde je budou sledovat dobrovolníci. V současné době je stanovena odměna tisíce liber sledovači, který získá nejvíc bodů. Sledovač se přitom dívá na záběry a zjistí-li podezřelé skutečnosti, nahlásí je okamžitě vlastníkovi kamery. Ten pak potvrdí, jestli bylo varování na místě a dobrovolník tak dostane body.

Dnešní internetové generaci je už jen popis takového zařízení k smíchu. Jakou obranu proti zneužití plánují provozovatelé systému? Podle Morgana bude po více než třech planých poplaších uživatel odstřižen ze systému (neboli „dostane ban“) a uživatelé budou sledovat náhodné záběry, u kterých nebude napsáno, odkud jsou.

Ihned po oznámení plánu společností se v britských médiích rozvířila vzrušená debata a ozvali s prudkým nesouhlasem odborníci na lidská práva a sledování občanů Británie, případně Evropské unie. Charles Farrier z aktivity proti kamerovému sledování obyvatel Londýna No CCTV říká: To, co se tady připravuje je hnusné a zneklidňující. Soukromá společnost používá soukromé kamery a žádá soukromé osoby, občany, aby špehovali jeden druhého. Jde tady o privatizaci sledovacího státu. Jeho výrok následují další stížnosti na Information Commissioners Office. Jsou tyto obavy ze sledovacího systému opodstatněné?

Nezvládli ani přihlašovací formulář

Bomba tady nevybuchne, protože před několika týdny prodavač nahlásil, že si někdo prohlíží umístění CCTV kamer. Nespoléhejte se na ostatní. Pokud někoho podezříváte, nahlaste to. Taková hesla si Britové mohli přečíst na billboardech, které v rámci své kampaně nechala rozesít po celé zemi metropolitní policie v rámci používání Důvěrné protiteroristické linky. Teď však občanům Velké Británie hrozí, že teroristé nebudou muset být přítomni na místě, kam budou později směřovat svůj útok. Morganova firma Internet Eyes, která chce sledování provozovat, totiž není právě expertem na počítačovou bezpečnost a je tak pravděpodobné, že by její systém byl ke sledování cílů teroristů zneužitelný.

Přesto, že provozovatelé spuštění systému proti původně avizovanému datu odkládají a systém tak neběží živě, není nemožné zjistit, jak se firma orientuje v problematice internetové bezpečnosti. Exkluzivně jsme tak nechali vypracovat bezpečnostní prověrku přihlašovacího systému firmy na adrese http://interne­teyes.co.uk. Výsledky nejsou moc růžové.

V přihlašovacím poli registračního formuláře Date of birth se nachází XSS zranitelnost. XSS je podceňovaná zranitelnost, přestože je velmi vážná, pokud má útočník dostatek znalosti k jejímu zneužití. Na základě útoku je například možné změnit obsah stránky, říká Martin Klubal, nezávislý bezpečnostní analytik vystupující na Internetu pod přezdívkou Emkei. Klubal také upozorňuje, že přihlašovací formulář není zabezpečený proti zneužití robotickými programy a stránky neběží na vlastním serveru, ale na sdíleném hostingu s jinými projekty. Ačkoliv provozovatelé systému tvrdí, že přihlásit se můžou jen občané EU, nijak si neověřují skutečnou identitu dobrovolníků a není problém se na stránky přihlásit z jakéhokoliv místa na světě pomocí anonymizačních služeb, například sítě TOR. Přestože služba nebyla dosud spuštěna, již dnes se na jejich stránkách vyskytují bezpečnostní nedostatky, uzavírá prověrku Klubal.

Firma Internet Eyes tak ještě nenastartovala avizovanou činnost a už je její server děravý a obsahuje zásadní problémy. Lze tedy předpokládat, že na základě napadení systému bude možné ovlivnit jeho funkci a dívat se například na vybrané záběry kamer z požadovaných míst. Celý podnik by tak snadno mohli zneužít teroristé či jiní kriminálníci pro sledování svých cílů. Další hrozbou je použití záběrů pro vydírání, zveřejňování intimních záběrů lidí na veřejnosti i v soukromí, případně využití záběrů k zesměšnění obětí sledování – a k posledně jmenovanému by útočník nemusel mít žádné hackerské zkušenosti.

Možná je to jen provokace

Londýnské plány možná připomínají známou Orwellovu knihu či technologické paranoiky zvěstující brzké čipování, ani u nás však není právo na soukromí trvalou jistotou. Úprava kamerových systémů je v ČR dost roztříštěná a nejasná, což je jeden z důvodů, proč naše organizace již několik let volá po komplexní právní úpravě kamerových systémů, říká Filip Pospíšil, expert projektu Lidská práva a technologie organizace Iuridicum remedium.

Podle Pospíšila na základě tlaku organizace a dalších expertů však na konci listopadu vláda přijala usnesení, které ukládá ministrovi pro lidská práva a ministrovi vnitra vypracovat novelu zákona, která by zkrotila rozbujelé užívání kamerových a sledovacích systémů soukromníky i státem. Vláda jim přitom stanovila lhůtu do 30. června 2010.

Máme se nicméně bát zavedené obdobného systému, jaký plánují v Británii? Podle Pospíšila nikoliv. V České republice by podobný projekt byl považován za nezákonný, jak vyplývá i z několika dosud publikovaných stanovisek Úřadu na ochranu osobních údajů vztahujících se ke kamerovým systémům, vysvětluje Pospíšil.

Možný rozpor s evropskou legislativou ovšem Pospíšil vidí i u avizovaného britského projektu. Systém podle něj zřejmě porušuje principy stanovené Úmluvou o ochraně osob se zřetelem na automatizované zpracování osobních dat. Morganova špionážní manufaktura měla původně odstartovat během listopadu v městě Stratford nad Avonem a v roce 2010 se rozběhnout po celé zemi. Internet Eyes však zatím se spuštěním váhá a není jisté, jestli se projekt nakonec opravdu rozběhne. Může také jít jen o šikovnou provokaci spojenou s levnou reklamou pro novou firmu. Jak se k celému případu postaví metropolitní londýnská policie, která se zatím nevyjadřuje, ukáže čas.