Zabezpečení státu je tragické, varuje expert na kyberbezpečnost Půlpán

17. 2. 2019

Jádro firmy Huawei bylo úzce napojené na armádu a čínskou špionážní službu, varuje expert na kyberbezpečnost Martin Půlpán.

Jestli nějaká technologická firma nyní zažívá krizové období, pak je to Huawei. Nemine týden, aby některý západní stát či jeho tajná služba nevarovala před potenciálním nebezpečím čínských technologií, čímž se společnosti stále víc vzdaluje vidina na budování komunikačních sítí za miliardy. Pro zakladatele firmy net.pointers a odborníka na kyberbezpečnost Martina Půlpána není současné dění překvapivé. „Před deseti lety jsme diskutovali s Národním bezpečnostním úřadem o tom, že technologie Huawei jsou nebezpečné. Jejich odpověď byla, že nemůžou zasahovat do volného trhu,“ tvrdí Půlpán v rozhovoru pro týdeník Euro.

Můžou vaši zaměstnanci používat telefony Huawei?

Interně je nepoužíváme, problém je operační systém Android a jeho specifické verze. Před časem jsme jeden čerstvě koupený Huawei testovali v naší laboratoři a zjistili, že tam byla verze Androidu s integrovaným malwarem, který automaticky umožňoval posílat ven informace o vaší geolokaci, obsahy esemesek či seznamy hovorů.

Kam pak tato data odcházejí?

Všechno to jde nějakým šifrovaným kanálem sítí do Číny, ale i jinam. Hackeři se snaží sbírat všechny informace. Díky dnešním technologiím se všechno ukládá do obrovského cloudu. A pak se mezi zdánlivě nesouvisejícími věcmi hledají vazby.

Jak to může vypadat konkrétně?

Používáte nějaké heslo do e-mailu nebo k e-shopu, ale zároveň toto heslo použijete ještě k citlivější službě. Hackeři jsou tímto sociálním inženýringem schopni dobrat se k zajímavým vazbám a vaše heslo zneužít. Například německá firma G Data zjistila, že v určité verzi Androidu, kterou prodávali Huawei, Lenovo a další tři výrobci, byl malware. A ten byl aktivní a fungoval. Týkalo se to pěti milionů přístrojů.

Stalo se něco podobného i v Česku?

Minulý rok s Českou spořitelnou. Aplikace QRecorder pro Android, která umožňovala nahrávat hovory nebo hlasové poznámky, měla v sobě malware, jenž dokázal odposlechnout heslo vašeho internetového bankovnictví i verifikační esemesku a tyto údaje odeslat pryč.

Rusové se snaží rozložit evropské státy zevnitř, což vidíme třeba na našem prezidentovi a politických špičkách. Někdy si člověk až říká, že to jsou snad placení agenti Ruska a Číny, říká Martin Půlpán.

Co tedy člověka ochrání?

Například Apple je mnohem uzavřenější a je těžší do něj cokoliv doinstalovat, aniž by to bylo prověřeno výrobcem. Android je mnohem otevřenější systém. Ale žádná platforma není stoprocentně bezpečná.

Zásadní problém firmy Huawei ale není její operační systém...

To hlavní je, že společnost vznikla v roce 1987 s jasným cílem vytvořit vlastní komunikační technologii. V té době byla Čína výborem CoCom (Coordinating Committee for Multilateral Export Controls) zařazena na blacklist a nebylo tam možné dovézt sofistikované a pokročilé komunikační technologie. Takže čínská vláda zadala stranický úkol vytvořit komunikační firmu s vlastními technologiemi. To je velmi kontroverzní začátek, jádro firmy Huawei bylo úzce napojené na armádu a čínskou špionážní službu, pracovali tam její bývalí důstojníci. Cílem bylo dělat reverzní inženýring a kopírovat pokročilé technologie ze západní Evropy, a tím pádem se dostat k jejich know-how.

Jak to probíhalo?

To je známá aféra z let 2003 a 2004. Tehdy jsem pracoval ve firmě Cisco a měli jsme velký problém s tím, že se na trhu najednou objevily naprosté kopie našich routerů. Stejná technologie, stejný tvar, jen přední panýlek byl nalakovaný jiným odstínem barvy. Daly se tam najít i copyrighty Cisca. V roce 2010 měla s Huawei velký problém Motorola, kdy část mobilní technologie zmizela směrem do Číny, z výzkumné laboratoře T-Mobile v USA zase ukradli technologie na testování mobilních telefonů.

Kauza skvělého úspěchu: Huawei je bezpečnostní hrozba prvního kalibru

Jen tím by se ale Huawei nedostal tam, kde je dneska.

Druhý krok, s nímž přišel Huawei, je kupování si trhu. Oni začali penetrovat s 3G a 4G sítěmi do mobilních operátorů, což v minulosti ovládaly pouze firmy Nokia a Ericsson. Firma Huawei přinesla velmi agresivní obchodní tlak. Přišla do výběrových řízení a měla úplně jiné motivace než tradiční akciové společnosti řízené ziskem. Takže třeba v Česku, Německu, Velké Británii, Jižní Americe a částečně i v USA kompletně vyluxovali trh. Cena pro ně není rozhodující. Řekli, že vždycky budou levnější a ať si zákazníci určí cenu. A operátoři samozřejmě šli do těchto levných technologií, které navíc v poslední době nejsou špatné - třeba v 5G je Huawei na absolutní technologické špičce.

V čem vidíte hlavní hrozbu?

V Číně to funguje tak, že když je jakákoliv firma či občan vyzván vládou ke spolupráci či špionáži, tak musí poslechnout. To je dáno zákonem. A 5G sítě se dají použít ke spoustě sofistikovaných věcí, jako jsou autonomní auta, sběr citlivých dat z jakýchkoliv technologií, internet věcí a podobně. Už nejde jen o telefonování a brouzdání na internetu. Na sítích budou závislé i státy a jejich obrana, čili je to velké riziko. Máte partnera, který veřejně deklaruje, že do roku 2025 chce být technologickou jedničkou a lídrem na světě, ale je v rukou jasně totalitního státu s prvky kapitalismu. To je ten problém.

Není to až moc skeptické?

Vidíme, že kybernetická válka probíhá. Na jedné straně je Čína a Rusko a síly proti Evropě, my jsme na druhé straně. Rusové se snaží rozložit evropské státy zevnitř, což vidíme třeba na našem prezidentovi a politických špičkách. Někdy si člověk až říká, že to jsou snad placení agenti Ruska a Číny. A Čína se snaží dostat zejména k cennému know-how, a to nejen kybernetickou špionáží, ale třeba i akvizicemi firem. Známý je případ českého výrobce baterií HE3DA, kde šlo čínským investorům pouze o získání jejich patentované technologie.

Přečtěte si komentář: Jak krteček přidusil pandu

Jak se tedy firmy a státy mají chovat?

Na Huawei se upozorňuje více než patnáct let. A to i v Česku. Před deseti lety jsme diskutovali s Národním bezpečnostním úřadem o tom, že technologie Huawei jsou nebezpečné. Jejich odpověď byla, že nemůžou zasahovat do volného trhu.

Když dá někdo nejlepší cenu, obchodní diskuse prostě končí...

Všechno tendrovat na cenu je úplný nesmysl. Obzvlášť když jde o kritickou infrastrukturu státu a firem. V oblasti bezpečnosti se takhle nedá uvažovat.

Co teď?

Určité řešení je nekupovat to. Ale když jste v situaci, že už máte zainvestováno, není jednoduché to vyhodit. Jediná cesta je pořídit si bezpečnostní vrstvu, která bude na zařízení dohlížet a zjistí, když dojde k pokusu o zneužití. Jinak to nejde.

Jak jsou na tom státní instituce?

To je tragédie. Když si vezmeme zabezpečení státní správy, je to tragické. Začíná to lidmi a končí tím, že spousta tendrů byla v minulosti zmanipulovaná. Dochází i k tomu, že zakoupená technologie není třeba ani nainstalovaná. Je to o investicích a lidech, kteří tomu rozumějí. Ve státní správě je zoufalý nedostatek odborníků, takže se vlastně není ani s kým bavit.

Jaké řešení navrhujete?

My se teď musíme rozhodnout. Jestli budeme kamarádi s Ruskem a Čínou, nebo s USA. Nic není ideální, ale možná je lepší používat kombinaci například amerických a izraelských technologií. Evropa technologicky zaspala. Je tady navíc tlak z NATO, abychom byli důvěryhodným partnerem. V okamžiku, kdy nebudeme do kybernetické bezpečnosti investovat, nikdo s námi nebude komunikovat, protože budeme potenciálně nebezpeční.

Co pro to udělat?

Nechat to na odbornících. Třeba na tajných službách, které máme na výborné úrovni a dobře vědí, co dělají. Sdílejí informace se západním světem. Speciálně pro kybernetickou obranu je naprosto nezbytná kooperace mezi státy.

Některé klienty máte v Austrálii, kde se o kybernetické obraně mluví dlouho. Jak to vypadá tam?

Je to o osobní odpovědnosti. Když jste ve firmě odpovědný za bezpečnost a zjistíte problém, musíte něco udělat. Jdete za ředitelem, upozorníte na problém a řeknete, že je potřeba udělat to a to a do něčeho investovat. A když pak utečou citlivé informace, australské bezpečnostní úřady jdou za bezpečnostním ředitelem a zjišťují, kde se stala chyba. Musíte dokázat, že jste udělali maximum. Když ne, jdete k soudu. Je to o rychlosti konání. U nás si ani jeden manažer nešel sednout, jsou přitom desítky případů, kdy firmy bezpečnostní problémy neřeší a snaží se je ututlat. V Austrálii mnohem lépe funguje státní dohled, ale i represe ve formě rychlého soudního rozhodnutí.

Nejnebezpečnější lidé na internetu: Trump, Putin, Zuckerberg

Co se dá odtamtud převést do Česka?

Vzdělávání, hodně se tam investuje do technických škol. Bude to vidět za pět deset let. Zatímco my se dostáváme do obrovského skluzu, protože chybí odborná síla, která by to v budoucnu řešila. Stát musí investovat do vytváření vlastních odborníků. Jsme montovnou pro evropský automotive, dostáváme se do robotizace, takže kybernetická bezpečnost je naprosto klíčová. Když se něco stane, bude to mít obrovské následky.

Na co konkrétně si musí dát Česko pozor?

Je tady spousta vývojových center a problémem je technologická špionáž. Potíž je i v povědomí lidí o kybernetické bezpečnosti. Nejúčinnější metoda útoku je pořád phishingový e-mail. To by se mělo učit už na základních školách. Pravidla jsou relativně jednoduchá, ale lidi je neznají.

Může dojít i k tomu, že by Huawei mohl vypnout celou národní 5G síť, jak třeba varuje německá tajná služba?

Je to reálný problém. Jste rukojmí a má to obrovský dopad na celou společnost. Dneska bez mobilu nikdo neudělá ani krok.

Kolik ale bude stát řešení jiných firem?

Klidně o dvacet až třicet procent víc, což je hodně. Konkurenční technologie nikdy nebudou tak levné.

Co radíte lidem, jejichž telefony běží na Androidu?

Je potřeba zamyslet se, na co a jak telefon používám, a počítat s tím, že nikdy si nemůžu být jistý, že se ty informace nedostanou ven. Rozhodně bych se v telefonu snažil zakázat všechny sdílené informace o mě a aplikace, které po mně chtějí přístup ke kontaktům, hovorům či esemeskám. Když jsem výzkumný pracovník a mám v počítači výsledky své práce, asi nepůjdu do kavárny s otevřenou wi-fi posílat e-maily.

Martin Půlpán (47)
• Absolvoval Fakultu elektrotechniky ČVUT v Praze, podnikat začal při škole v 90. letech, kdy se soustředil na programování, sestavování počítačů a správu počítačových sítí.
• Na přelomu tisíciletí pracoval pro americkou společnost Cisco Systems, později se spolupodílel na transformaci Českého Telecomu a jeho přípravě na privatizaci.
• Poté pomáhal založit a rozvíjet v Česku pobočku slovenského Soitronu, v roce 2006 rozjel vlastní společnost net.pointers, která se zaměřuje především na kybernetickou bezpečnost a klienty má v Česku i zahraničí.
• Je autorem alternativních knížek zabývajících se zejména osobním rozvojem.

Dále čtěte: