Szpieg w komputerze
-
- Krzysztof Gienas,
- 19.01.2004
Nie wolno, ale można
Warto przyjrzeć się prawnym aspektom rozpowszechniania w Internecie aplikacji typu spyware. Bez wątpienia przekazywanie bez naszej wiedzy informacji pochodzących z naszego komputera można uznać za karalny podsłuch komputerowy. Prawo europejskie w kwestii podsłuchu elektronicznego wypowiada się jednoznacznie - zgodnie z dyrektywami o prywatności oraz Konwencją Rady Europy z 2001 r. poświęconej problemowi cyberprzestępczości jest to przestępstwo. Tutaj należy wszakże zauważyć, iż został uczyniony w prawie istotny wyjątek - w zakres karalnego przekazywania informacji nie będzie wchodziło wykorzystanie plików cookies stosowanych w przeglądarce WWW.
Niestety, już stworzenie definicji spyware na potrzeby przepisów prawa nie należy do zadań łatwych. W listopadzie ub.r. pod szyldem działającej w USA organizacji obywatelskiej Center for Democracy and Technology opublikowano ciekawy raport na temat problemu spyware w Internecie - Duchy w naszych maszynach (Ghosts in Our Machines). Przedstawiono w nim m.in. projekt definicji programu spyware, za który należałoby uznać każdy program, który może być wykorzystany do przesyłania za pośrednictwem Internetu informacji o użytkowniku, sposobie, w jaki korzysta z komputera, i danych składowanych na dyskach twardych.
Warunkiem legalności stosowania tych aplikacji powinno być jasne i czytelne poinformowanie użytkowników o zasadach działania spyware przed zainstalowaniem ich na komputerze. W przeciwnym razie trudno powoływać się na wszelkiego rodzaju zastrzeżenia licencyjne i zgodę internauty na działanie programu. Każdy powinien mieć prawo wiedzieć, jak funkcjonują aplikacje zainstalowane w jego komputerze.
W Stanach Zjednoczonych pojawiły się propozycje rozwiązań prawnych ściśle ukierunkowanych na kwestię legalności stosowania rozwiązań spyware, ale do tej pory nie udało się tych propozycji przekształcić w obowiązujące akty prawne, m.in. właśnie ze względu na problemy z opracowaniem precyzyjnej definicji spyware. Projekty podobnych rozwiązań zapewne pojawią się również w Europie wraz z rosnącą - niestety - skalą zjawiska. Użytkownikom pozostaje na razie systematyczne tępienie tego rodzaju elektronicznych szkodników.
Oprogramowanie spyware można sklasyfikować ze względu na sposób, w jaki korzysta ono z komputerów użytkowników lub pod względem wykorzystywanych przez nie łączy internetowych:
- Programy, które zbierają informacje o użytkowniku, wysyłając je później do zewnętrznego serwera - oczywiście bez wiedzy użytkownika. Chodzi tutaj o podstawowe dane osobowe, takie jak imię i nazwisko, adres poczty elektronicznej, adres pocztowy (dostępne np. poprzez "nagrywanie" informacji wprowadzonych przez użytkownika w formularzach widocznych na stronach WWW). Takie programy mogą zapamiętywać naciskane przez użytkownika klawisze (a więc także hasła!), jak również dokonywać zrzutów ekranowych.
Dobrym przykładem jest program Gator firmy Claria czy nCase autorstwa 180Solutions. Oba te narzędzia są dołączane do wielu aplikacji freeware, kolekcjonując m.in. informacje o odwiedzanych stronach WWW i hasłach wprowadzanych do wyszkiwarek. 180Sultions chwali się, że posiada szczegółowe dane demograficzne o 40% użytkowników nCase, zebrane w sposób pasywny, czyli de facto bez wiedzy użytkowników. Firma może sprzedawać te dane na potrzeby akcji marketingu bezpośredniego, np. spersonalizowanych ogłoszeń banerowych.
- Programy, które przechwytują część łącza wykorzystywanego przez użytkownika do komunikacji z Internetem, np. w celu wykorzystania tego pasma jako elementu serwera spamowego, rozproszonej sieci komputerowej czy przesyłania niechcianych treści reklamowych do użytkownika.
W tej roli często można spotykać program Altnet, stworzony przez firmę Brilliant Digital Enterteinment. Okazało się, iż stanowił on załącznik do popularnego narzędzia Kazaa Media Desktop. Altnet nie zbierał żadnych danych o użytkowniku, ale mógł aktywować jego komputer, czyniąc go węzłem rozproszonej sieci, która mogła być wykorzystywana do prowadzenia obliczeń czy przechowywania danych. Gdy ktoś dokładniej wczytał się w licencję Kazaa, mógł się dowiedzieć, że użytkownik godzi się na to, aby jego komputer stał się elementem sieci Altnet i mógł być wykorzystywany na jej potrzeby bez ponoszenia przez jej właścicieli jakichkolwiek kosztów na rzecz użytkownika systemu Kazaa.
- Programy, które wykorzystują bez wiedzy użytkownika jego łącze do pobierania danych i programów bądź ich uzupełnień.
Tu najbardziej znanym przykładem oprogramowania (pierwszym, który zwrócił uwagę opinii publicznej na problem spyware) była aplikacja Aureate, znana też jako Radiate (co charakterystyczne, firmy wprowadzające na rynek programy spyware, zacierając ślady, często zmieniają swoje nazwy, by nie były źle kojarzone). Produkt ten, dołączany do wielu programów freeware, funkcjonuje w milionach kopii na komputerach na całym świecie, choć firma Radiate właściwie przestała istnieć. Aureate/Radiate pobiera reklamy z własnego serwera i wyświetla je w ramach aplikacji freeware. Tak jak w przypadku innych programów spyware, również tutaj użytkownik nigdy nie zostanie poinformowany, co tak naprawdę będzie robił ten program.
Większość narzędzi spyware charakteryzuje się trudnym procesem odinstalowania, na ogół dostępnym nie poprzez standardowe narzędzie zawarte w Microsoft Windows, lecz żmudną ręczną procedurę. Programy te potrafią odradzać się niczym głowa hydry, bo - pomimo deinstalacji - w systemie pozostaje mały programik, którego zadaniem jest potajemne, ponowne pobranie programu spyware. W przypadku, gdy spyware towarzyszy danej aplikacji freeware, na ogół usunięcie z systemu tej aplikacji bynajmniej nie skutkuje zniknięciem spyware. Co więcej, jakość programów spyware często pozostawia wiele do życzenia, co objawia się niespodziewanymi kłopotami z przeglądarką Internet Explorer czy całego systemu MS Windows. Szkody są więc czasem nieodwracalne i jest wymagana ponowna instalacja całego systemu.
