Cyfrowa wizja Orwella

W czasach globalnej inwigilacji Polska potrzebuje własnych rozwiązań kryptologicznych. Stawką jest bezpieczeństwo i suwerenność państwa oraz ochrona prywatności jego obywateli. Pamiętajmy, że to nie my zbieramy informacje w internecie, to internet zbiera informacje o nas.

Cywilizacja wkroczyła w okres gwałtownej, globalnej cyfryzacji, która ogarnęła wszystkie sfery życia społeczeństw. Towarzyszy jej, niestety, inwigilacja użytkowników internetu. Informacje ujawnione przez media zerwały zmowę milczenia wokół kwestii podsłuchu systemów łączności na całym świecie. Proceder ten nie odbiega znacząco od wizji autorów fantastyki naukowej, prezentujących w swych działach ludzkość poddaną permanentnej i wszechobecnej kontroli, choć jego skala znacznie przekracza ich wyobrażenia. Działające globalnie służby specjalne oraz firmy komercyjne wielu krajów gromadzą przechwycone drogą elektroniczną informacje i dane dotyczące obronności państw, gospodarki, bankowości i polityki. W wielu przypadkach taka wiedza jest bezcenna, ponieważ pozwala uzyskiwać przewagę w trakcie negocjacji politycznych, działań militarnych czy przygotowywać najlepsze oferty handlowe.

Dotychczas obrona kraju i jego obywateli przed globalnym wywiadem elektronicznym nie była w Polsce priorytetem. Nie było na to ani środków, ani ambicji. Brakowało również świadomości o konieczności przeciwdziałania temu procederowi.

Globalna inwigilacja

Czy jednak procesy globalizacyjne oraz rozwój współpracy międzynarodowej mogą uzasadniać abdykację państw narodowych wobec globalnej inwigilacji? Obowiązkiem suwerennego państwa jest dbałość o zachowanie prywatności swoich obywateli oraz zapewnienie im wolności słowa i bezpieczeństwa komunikacji. Suwerenne państwo pozostaje w naturalnej opozycji do komercyjnej inwigilacji ze strony wielkich cyberkorporacji. Bazy danych dotyczące Polaków powinny się znajdować w Polsce i być chronione polską kryptografią.

Zautomatyzowany proces profilowania użytkowników cyberprzestrzeni według zainteresowań, zachowań i preferencji, codzienne odnawianie tych profili tworzą ogromny rynek metadanych. A współczesny handel profilami użytkowników internetu ma coraz większą wartość nie tylko informacyjną, ale i komercyjną, dającą ogromną przewagę nad konkurencją w polityce i gospodarce.

Potrzeby państwa

Jak z tymi wyzwaniami powinniśmy sobie radzić? Konieczne jest wprowadzenie w Polsce – podobnie jak w innych krajach wysoko rozwiniętych – państwowej polityki kryptologicznej.

Kryptologia jako nauka o szyfrach i łamaniu różnego rodzaju zabezpieczeń dotyczy w coraz większym stopniu internetu. Odpowiednie mechanizmy kryptograficzne mogą być z powodzeniem zastosowane do ochrony prywatności i przeciwdziałania inwigilacji komercyjnej. Własne rozwiązania kryptologiczne stają się dziś istotnym atrybutem suwerenności państwowej. Aby rozwiązań kryptograficznych użyć, a zagrożenia prawidłowo przeanalizować, wymagana jest wola rządu i spójna państwowa polityka kryptologiczna.

W ramach polityki kryptologicznej państwo powinno jasno wyartykułować swoje potrzeby i wymagania. Polityka taka musi gwarantować suwerenność nad własnymi systemami łączności. Miałaby ona na celu konsolidację potencjału naukowego i przemysłowego oraz powszechne wprowadzenie zunifikowanych, narodowych rozwiązań kryptograficznych w strategicznych sektorach państwa, takich jak: obronność, telekomunikacja, energetyka, bankowość, łączność elektroniczna i transport. Powinna również uregulować kwestię nadzoru państwa nad kryptologią narodową, poprzez uznanie jej za istotną i integralną część systemu obronności i bezpieczeństwa państwa.

Kryptologia narodowa staje się bowiem jednym z czynników określających poziom suwerenności. Albo będziemy w stanie zbudować i wdrożyć własne rozwiązania kryptograficzne oraz stworzyć potencjał w zakresie kryptoanalizy, albo skażemy się na korzystanie z obcych rozwiązań.

Wybór drugiej opcji będzie w praktyce oznaczać rezygnację przez państwo z jednego z atrybutów suwerenności i zgodę na poddanie polskich obywateli globalnej inwigilacji. Dlatego konieczne jest podjęcie kroków w zakresie odbudowy kompetencji i zdolności narodowych w dziedzinie kryptologii.

Usankcjonowane niebezpieczeństwo

Polska ma w tym zakresie wielkie tradycje. W dwudziestoleciu międzywojennym polscy kryptolodzy prezentowali najwyższy poziom światowy. Polskie wojsko i administracja rządowa używały polskich szyfrów i urządzeń kryptograficznych. Złamanie przez Polaków szyfru i odtworzenie zasad działania niemieckiej maszyny szyfrującej Enigma na stałe zapisało się w historii świata.

Niestety, osiągnięcia polskiej kryptologii mają obecnie wymiar już tylko historyczny. Wprawdzie polski przemysł kryptograficzny oraz ośrodki naukowe prowadzące badania nad kryptologią jeszcze istnieją, ale prowadzone prace nad budową narodowych rozwiązań są w zaniku. Dzieje się tak z powodu braku jasnej polityki państwa.

Dodatkowym czynnikiem zniechęcającym polskich producentów jest długotrwały i kosztowny proces certyfikacji urządzeń kryptograficznych w kraju, bez gwarancji ich późniejszego zamówienia i wdrożenia. Wieloletni brak narodowego ośrodka kompetencji w dziedzinie kryptologii oraz brak świadomości znaczenia tej dziedziny doprowadziły do stałej praktyki pozyskiwania gotowych, niepolskich rozwiązań. Interoperacyjność naszych Sił Zbrojnych w NATO zapewnia się poprzez zakupy za granicą. Nie dba się przy tym o zagwarantowanie praw do ich modyfikacji lub serwisu.

Kolejną patologią jest stosowanie prawa zamówień publicznych do zakupu kryptografii. Nie dość, że nie znamy szczegółów technicznych pozyskiwanych rozwiązań (prawa do wiedzy intelektualnej należą do zagranicznych producentów), to jeszcze wybieramy oferty najtańsze, dostępne komercyjnie. Tworzący zamówienia w polskiej armii nie wymagają polskiej kryptografii i nie są zainteresowani pozyskiwaniem polskich produktów. Tym samym, w istotnej dziedzinie bezpieczeństwa stosujemy głównie produkty zagraniczne, które wprawdzie spełniają formalne wymogi (m.in. posiadają odpowiednie certyfikaty NATO), ale nie mamy do nich żadnych praw.

Faktycznie, pod pozorem bezpieczeństwa kupujemy i sankcjonujemy niebezpieczeństwo. Nie można przecież wykluczyć sytuacji, kiedy pozyskane rozwiązania zostaną wyłączone, przejęte, podsłuchane lub zakłócone z woli obcego państwa, ze względu na jego interes polityczny lub gospodarczy.

Polska kryptografia nie obsługuje polskich banków, telekomunikacji, infrastruktury energetycznej, rejestrów państwowych czy komunikacji urzędów z obywatelami. Trzeba niestety również przyznać, że polskie prawo nie definiuje takich wymagań. Ponieważ nie wymaga ono stosowania polskich szyfrów, to administracja i wojsko ich nie zamawiają. Brak jest również zamówień rządowych, które kreowałyby polski rynek kryptograficzny. Polscy naukowcy nie są w zasadzie adresatem oczekiwań zarówno administracji, jak i przemysłu oraz nie prowadzą innowacyjnych prac badawczo-wdrożeniowych w ramach zamówień rządowych.

Filar niepodległości

Właściwa polityka kryptologiczna państwa powinna to zmienić. Z tego względu niezbędne jest wprowadzenie w Polsce państwowych standardów i norm kryptograficznych. Konieczne jest również określenie wymagań w zakresie implementacji polskich rozwiązań krypto w sferze cywilnej i wojskowej. Wsparcie państwa powinno również się przejawiać wystosowywaniem zamówień rządowych do polskiego przemysłu kryptograficznego, przy jednoczesnym wprowadzeniu wymagań w zakresie „polonizacji" rozwiązań zagranicznych. Synergia wymienionych działań pozwoli na restaurację narodowych kompetencji kryptologicznych, przy jednoczesnej odbudowie rynku rozwiązań kryptograficznych w Polsce.