Europol: Carrier grade NAT giver massive efterforskningsmæssige problemer
Det er hverken nødvendigt at bruge Tor eller andre anonymiseringstjenester for at gøre det bøvlet at finde frem til, hvem der gemmer sig bag en given ip-adresse.
Det europæiske politisamarbejde Europol har netop udgivet en rapport, The Internet Organised Crime Threat Assessment (IOCTA) 2016, der beskriver tingenes tilstand på cyberfronten set med politimæssige briller her i 2016.
En af udfordringerne ved at opklare cyberkriminalitet er såkaldt Carrier Grade Nat, som internetudbydere anvender i stor stil. CGN har flere gange tidligere været beskrevet på Version2, blandt andet af blogger og Kviknet-direktør Yoel Caspersen.
Teknologien betyder, at mange brugere bliver tildelt den samme offentlige ip-adresse. Og det kan gøre det svært at finde ud af, hvilken specifik bruger, der har anvendt ip-adressen på et givent tidspunkt.
Så hvis eksempelvis det danske politi har en ip-adresse i en serverlog som deres primære efterforskningsspor, kan det vanskeliggøre efterforskningen, hvis mange brugere har været knyttet til den samme ip-adresse.
Rapporten fra Europol fortæller, at nye teknologier på det seneste har trukket overskrifter, fordi de forhindrer politiet i at følge kriminelle spor og tilskrive en forbrydelse til en identitet.
På engelsk kaldes dette attribution.
I den forbindelse nævner Europol teknologier som proxy-servere, Tor-netværk og apps med krypteret kommunikation.
»En langt mere diffus teknologi udgør massive tilskrivelses-problemer (eng. attribution) for politimyndigheds-samfundet.«
Mangel på ip-adresser
Herefter fortsætter rapporten med at forklare, hvorfor internetudbydere tildeler deres kunder den samme offentlige ip. Det har noget at gøre med det begrænsede antal IPV4-adresser, der er til rådighed.
En mulighed i den sammenhæng kunne være at overgå til IPV6, der er langt flere adresser, men overgangen er gået langsommere end forventet, bemærkes det i rapporten.
Som Version2 tidligere har fortalt, rettede Rigspolitiets cybercrime-enhed, NC3, i 2014 henvendelse til de fire store udbydere TDC, 3, Telia og Telenor. Her gav NC3 udtryk for, at politienheden oplever, at udbyderne ikke altid kan udlevere en brugeridentitet alene på baggrund af en ip-adresse og et kommunikationstidspunkt – data, som NC3 mener, udbyderne i henhold til den såkaldte logningsbekendtgørelse skal kunne levere.
Europol-rapporten eksemplificerer problemet med en konkret sag vedrørende materiale, hvor børn bliver misbrugt, benævnt Child Sexual Exploitation Material (CSEM).
Rapporten fortæller, at en medlemsstat har oplyst, at efterforskerne i den konkrete sag, hvor CSEM blev distribueret via en cloud-tjeneste, måtte undersøge hver eneste af 50 klienter, der på et givent tidspunkt anvendte udbyderens offentlige ip-adresse, for at finde frem til, hvem der uploadede CSEM.
Beretningen melder umiddelbart ikke noget om, hvad resultatet blev af opklaringsarbejdet.
Muligt at finde slutbruger
Ifølge en undersøgelse (“Internal survey conducted by the European Cybercrime Centre among all EU Member States cyber divisions”, står der i noten), som Europol-rapporten refererer til, så har 90 pct. af respondenterne svaret, at de jævnligt oplever problemer med efterforskningen som følge af CGN-teknologi.
»I et antal sager blev efterforskningen stoppet. Alternativt, så blev efterforskningerne forsinket, fordi efterforskerne blev nødt til at ty til langvarige og muligvis mere invaderende efterforskningsteknikker for at identificere slutbrugeren,« står der i rapporten, som ikke uddyber, hvad der menes med ‘mere invaderende efterforskningsteknikker’.
Det er muligt at finde frem til, hvem der har været tildelt den offentlige adresse på et givent tidspunkt forudsat, udbyderen har logget de rette oplysninger (portnumre, ip-adresser, tidspunkt), bemærkes det i rapporten.
Europol anbefaler i den forbindelse, at tjenesteudbydere lovgivningsmæssigt tvinges til at logge data, der kan bruges til at identificere brugere, selvom kommunikationen foregår via CGN.
APT, phishing, kryptovaluta etc.
Rapporten handler også om en masse andet end CGN.
Eksempelvis nævnes det, at Crime-as-a-Service betyder, at hackerværktøjer bliver leveret til et bred vifte af aktører på flere niveauer.
Som flere vil vide dækker Crime-as-a-Service-begrebet over hele platforme, der typisk i ganske brugervenligt format, tilbyder diverse lyssky værktøjer til kriminelle - for en pris. Men så kommer det - fra tid til anden - også med kundeservice.
I den forbindelse nævnes det, at grænsen mellem gængse it-kriminelle og APT-aktører fortsat udviskes. APT-aktører (advanced persistent threat) henviser til avancerede cyberangreb, der ofte tilskrives statsstøttede aktører.
Med andre ord er de avancerede angrebsteknikker blevet mere tilgængelige for andre end de statsstøttede aktører.
Desuden nævnes et stigende antal fora på darknet - altså Tor og lignende - som et problem i forhold til at facilitere blandt andet CSEM-indhold.
Europol kan også fortælle, at kvaliteten af phishing-kampagner er blevet meget bedre. Ikke mindst i kraft af målrettede phishing-kampagner, også kaldet spear-phishing.
Det vil eksempelvis sige, at den ondsindede mail starter med "Kære Hans Hansen, direktør i Virksomhed A/S" i stedet for "Dear Mr/Mrs ..."
I den forbindelse nævnes det også, at CEO-fraud er blevet rapporteret af både den private sektor og politimyndigheder som en nøgletrussel.
CEO-fraud vil sige, at eksempelvis en regnskabsmedarbejder i en virksomhed får en mail, der på overfladen ser ud til at være fra direktøren i den pågældende virksomhed, men som i virkeligheden er fra en svindler.
Tricket havde nær kostet Patent- og Varemærkestyrelsen et millionbeløb tidligere på året.
Og så bliver DDoS-angreb kraftigere og kraftigere, kryptovaluta er de it-kriminelles foretrukne valuta og en helt masse andet står at læse i rapporten, der kan findes i sin helhed via dette link.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
