A német kormány kiberbiztonsági törvénytervezete jelentősen kibővítené az állami szervek aktív beavatkozási lehetőségeit kibertámadások esetén. Az augusztusban benyújtott módosítás felhatalmazná a Szövetségi Alkotmányvédelmi Hivatalt (BfV – Bundesamt für Verfassungsschutz), valamint a Szövetségi Hírszerző Szolgálatot (BND – Bundesnachrichtendienst), hogy egyes szigorúan meghatározott esetekben aktívan beavatkozzanak különböző rendszerekbe.

A szövetségi rendőri szervek (Bundespolizei, Bundeskriminalamt) jogköre is bővülne: letilthatnának informatikai rendszereket, átirányíthatnának vagy rögzíthetnének adatforgalmat, illetve adatokat olvashatnának ki, törölhetnének vagy módosíthatnának akár az érintettek tudta nélkül is. A német információbiztonsági hivatal (BSI – Bundesamt für Sicherheit in der Informationstechnik) pedig utasíthatná a szolgáltatókat káros adatforgalom átirányítására vagy domainek semlegesítésére.

A lényeges változás az, hogy a hangsúly a megelőző védekezésről az aktív kiberelhárításra helyeződik.

A tervezet a Bundestag belügyi bizottsága előtt van, amely tegnap szakértőket hallgatott meg a módosításról. A szakértők által megfogalmazott kritikák nem az aktív megközelítés jogosságát vitatták. Olyan elvi kérdéseket vetettek fel, amelyekkel valószínűleg sok tagállam szembesül, ha úgy dönt: a német útra lép.

Szükséges vagy csak veszélyes?

Dr. Dennis-Kenji Kipker, a cyberintelligence.institute kutatási igazgatója a Computerwoche oldalán foglalta össze a felmerült kérdéseket.

Ki, mikor és mit tehet? Mivel kibertámadás minden területen és szinten érkezhet, a tervezet a rendőrségtől a hírszerzésen át a hadseregig számos szervezetnek biztosít lehetőséget az aktív cselekvésre. Ha azonban nincs világosan körülhatárolva, hogy egy konkrét támadásnál kinek van elsődleges hatásköre, könnyen összemosódhatnak a szerepkörök, például a rendőrségi kiberelhárítás és a katonai védelem.

Az információbiztonsági hivatal helyzete. A BSI a kiberbiztonság civil, szakmai és koordinációs központja. Ha aktív műveletekben is részt vesz, óhatatlan, hogy bizalmas (vállalati) információkat adjon pl. a hírszerzésnek. Ez alááshatja a szervezetbe vetett bizalmat.

A zero day sérülékenységek kezelése. Az aktív kiberhadviselés is hekkermunka, azaz sok esetben épül nulladik napi sérülékenységekre. Ha az állam tudatosan visszatart ilyen információkat, azzal segíti támadása sikerét, de veszélyeztet rengeteg védendő rendszert. Ugyanazt a sérülékenységet ugyanis a támadók is megtalálhatják.

Szuverenitási kérdések. Ha a kibertámadások nem ismernek határokat, akkor az ellentámadások sem. Ám egy külföldön lévő rendszer elleni akció sértheti más állam szuverenitását. Ráadásul ez a hozzáállás azzal sem számol, hogy a támadók gyakran használják ártatlan harmadik felek infrastruktúráját.

Az állam keze sem végtelen hosszú

A német megközelítéssel azonban az a legnagyobb probléma, állítja Kipker, hogy az aktív kiberelhárítás önmagában nem segít. Hiába okoztak a digitális lopások, a kémkedés vagy a szabotázs okozta százmilliárdos nagyságrendű gazdasági károkat, természetesen euróban, az államok védelmi kapacitásai korlátozottak.

Azaz a digitális ellencsapás lehetősége nem helyettesíti a valódi kiberrezilienciát. Az pedig megfelelő javításmenedzsmenttel, hálózatszegmentációval, működőképes detektálással, hatékony és begyakorolt vészhelyzeti tervekkel teremthető meg, és nem azzal, ha az állam minden bit mögé állít egy bitkatonát.

Ezzel együtt az aktív kiberelhárításnak lehet helye az állami eszköztárban, véli Kipker, de csak szigorú kontroll mellett és végső eszközként. A német törvénymódosítás kapcsán is érdemes felidézni Benjamin Franklin híres mondatát: "Azok, akik képesek feladni az alapvető szabadságot az ideiglenes biztonságért, sem a szabadságot, sem a biztonságot nem érdemlik meg."