răsfoiești slide-urile unei prezentări Powerpoint ca să
afli ce trebuie să facă un program, dar, cu cât înțelegi mai bine mecanica unui program, cu atât înțelegi mai bine și potențialul său de a genera abuzuri.
Asta însemna că nu mă interesau foarte mult materialele de informare – de exemplu, ceea ce a devenit probabil cel mai cunoscut fișier pe care l-am dezvăluit, un slide dintr-o prezentare Powerpoint din 2011 care arăta noua postură de supraveghere a NSA ca fiind alcătuită din șase protocoale: „Mirosiți tot, Știți tot.
Colectați tot, Procesați tot, Exploatați tot, Asociați tot.”
Era doar limbaj de PR, jargon de marketing. Scopul era să impresioneze, dar nu să le ofere frânturi de tehnologie aliaților Americii: Australia, Canada, Noua Zeelandă și Regatul Unit, principalele țări cu care SUA împărtășește informațiile. (împreună cu SUA, aceste țări
sunt cunoscute drept Cei Cinci Ochi.) Mirosiți tot înseamnă să găsești datele sursă; Știți tot înseamnă să
descoperiri ce sunt acele date. Colectați toc se referă la culegerea datelor; Procesați tot înseamnă să transformi datele în informații utilizabile; Exploatați tot înseamnă să
folosești informații în interesul agenției; Asociați tot se referă la practicarea împărtășirii reciproce de date cu aliații; și Deși această taxonomie cu șase laturi este ușor de reținut, ușor de vândut, o măsură adecvată a dimensiunii ambiției acestei agenții și a gradului de complicitate cu guvernele străine, nu mi-a arătat exact în ce fel această ambiție era realizată în termeni tehnologici.
Mult mai grăitoare a fost o hotărâre pe care am găsit-o de la o instanță FISA, o cerere legală pentru ca o companie privată să predea informațiile private ale clienților săi către guvernul federal. Hotărâri ca aceasta erau teoretic emise în baza autorității legislației publice; totuși, conținutul și chiar existența lor erau clasificate ca strict secrete. Potrivit Secțiunii 215 din Patriot Act, adică
prevederea „registrele de business”, guvernul era autorizat să obțină hotărâri de la instanța FISA care obliga terții să transmită „orice lucru tangibil” care era
„relevant” către serviciul de informații externe sau pentru investigațiile legate de terorism. Dar, după cum dovedea hotărârea judecătorească pe care am găsit-o,
NSA interpretase unilateral această autorizație ca o autorizație de a colecta toate „registrele de business”
sau metadatele comunicațiilor telefonice care se realizau prin telecomunicațiile americane, precum Verizon și AT&T, „permanent, zi de zi”. Asta includea, bineînțeles, istoricul comunicațiilor telefonice între cetățenii americani, pe care era neconstituțional să-i supraveghezi.
În plus, Secțiunea 702 din FISA Amendments Act permite IC-ului să țintească orice străin din afara Statelor Unite care ar putea deține „informații secrete străine” – o categorie largă de posibile ținte ce include jurnaliști, corporatiști, oameni de știință, voluntari și nenumărați alți oameni care nu au făcut nimic rău.
Această legislație era folosită de către NSA ca să justifice cele două metode principale de supraveghere pe internet: programul PRISM și colectarea upscream.
PRISM permitea NSA să colecteze date în mod curent de la Microsoft, Yahoo, Google, Facebook, Paltalk, Youtube, Skype, AOL și Apple, inclusiv e-mailuri, fotografii, filmări și discuții audio, conținutul browserelor web, căutările pe motoarele de căutare și toate celelalte date depozitate în cloud, transformând companiile în complici conștienți. Colectarea upstream, pe de altă parte, era, fără îndoială, și mai invazivă.
Permitea colectarea datelor direct din infrastructura de
internet din sectorul privat – switch-uri și routere care deviază traficul pe internet la nivel mondial, prin sateliții de pe orbită și prin cablurile cu fibră optică de mare capacitate care se întind pe sub ocean. Această
colectare era condusă de unitatea NSA Special Sources Operations, care construia echipamente secrete de ascultare și le încorpora în filialele furnizorilor de servicii de internet din jurul lumii. Împreună, PRISM
(colectarea directă din serverele furnizorilor principali de servicii) și colectarea upscream (colectarea directă din infrastructura de internet) garantau că ansamblul informațiilor din lume, atât stocate, cât și în tranzit, putea fi supravegheat.
Următoarea etapă a investigației era să-mi dau seama cum se realizează colectarea – adică să cercetez documentele care explicau ce unelte erau folosite pentru a susține programul și cum reușeau ele să
selecteze din vasta rețea de comunicații tocmai acele documente care să merite o cercetare mai amănunțită.
Dificultatea consta în faptul că aceste informații nu se regăseau în orice prezentare, indiferent de nivelul ei de clasificare, ci doar în diagramele tehnice și în schemele brute. Acestea erau cele mai importante materiale pe care trebuia să le găsesc. Spre deosebire de jargonul prezentărilor Celor Cinci Ochi, aveau să fie dovezi concrete că abilitățile despre care citeam nu reprezentau
doar fanteziile unui manager de proiect care bea prea multă cafea. Ca un specialist în sisteme mereu îndemnat să construiască mai repede și să livreze mai mult, eram perfect conștient că agențiile anunțau uneori tehnologiile înainte ca acestea să existe măcar – pentru că un vânzător de tipul lui Cliff făcuse prea multe promisiuni sau doar dintr-o ambiție sinceră.
În acest caz, tehnologiile de la baza colectării upstream existau cu adevărat. După cum mi-am dat seama, aceste instrumente sunt cele mai invazive elemente ale sistemului de supraveghere în masă al NSA, fie și pentru că sunt cele mai apropiate de utilizator – adică, de persoana supravegheată. Imaginați-vă că sunteți la calculator, sunteți pe cale să vizitați un site. Deschideți un browser Web, tastați un URL, apoi apăsați pe tasta ENTER. URL este, de fapt, o cerere și cererea caută
serverul de destinație. Undeva, pe la mijlocul drumului însă, înainte să ajungă cererea voastră la server, va trebui să treacă prin TURBULENCE, una dintre cele mai puternice arme ale NSA.
Cererea voastră trece prin câteva servere negre așezate unele peste altele, având la un loc mărimea unei biblioteci cu patru rafturi. Sunt instalate în camere speciale, în clădiri de telecomunicații, private, răspândite prin țările aliate, precum și în ambasadele SUA sau bazele militare ale SUA, și conțin două
instrumente principale. Primul, TURMOIL, se ocupă de
„colectarea pasivă”, ceea ce înseamnă că examinează
metadatele din tot ceea ce vede. Al doilea, TURBINE, se ocupă cu „colectarea activă” – adică intervine activ asupra utilizatorilor.
Vă puteți gândi la TURMOIL ca la un paznic poziționat în dreptul unui firewall invizibil, prin care trebuie să treacă tot traficul pe internet. Când îți vede cererea, verifică metadatele căutând selectori sau criterii care îl marchează în cazul în care necesită verificări suplimentare. Acești selectori pot fi orice alege NSA, orice consideră NSA că ar fi suspect: o adresă de e-mail deosebită, un card de credit sau un număr de telefon, originea sau destinația geografică a activității pe internet; sau anumite cuvinte-cheie cum ar fi „internet proxy anonim” ori „protest”.
Dacă TURMOIL semnalează traficul ca fiind suspect, îl direcționează spre TURBINE, care deviază apoi cererea ta spre serverele NSA. Acolo, algoritmii decid pe care dintre programele agenției – programele malware – să le folosească împotriva ta. Alegerea se bazează pe tipul de site pe care încerci să-l vizitezi, dar și pe software-ul de pe computer sau pe conexiunea la internet. Aceste programe selectate sunt trimise înapoi spre TURBINE (de programele din seria QUANTUM, în caz că vă întrebați), care le injectează în canalul de
trafic și ți le livrează împreună cu website-ul pe care l-ai cerut. Rezultatul final: obții tot conținutul pe care-l vrei, cu tot cu supravegherea pe care nu ți-o dorești, și totul se întâmplă în mai puțin de 686 de milisecunde. Și totul fără ca tu să știi.
Odată ce aceste programe se găsesc în computerul tău, NSA poate acum să-ți acceseze metadatele, dar și datele. Întreaga ta viață online aparține acum agenției.
21.
Whistleblower
Dacă vreun angajat al NSA care nu lucra cu software-ul Sharepoint pe care îl administram știa vreun amănunt despre Sharepoint, atunci știa despre calendare. Acestea erau aproximativ la fel ca orice calendar de organizație neguvernamentală, doar că
mult mai scumpe, care oferă interfața de bază de programare de tipul „când și unde trebuie să fiu la ședință” pentru personalul NSA din Hawaii. Vă puteți imagina cam cât de palpitant era pentru mine să mă
ocup de așa ceva. Prin urmare, am încercat să-l condimentez, asigurându-mă că avea memento-uri pentru toate sărbătorile, și mă refer la absolut toate, nu doar cele federale, ci și Rosh Hashanah, Eid al-Fitr, Eid al-Adha, Diwali.
Apoi mai era și preferata mea, data de 17 septembrie.
