14 Februarie 2006
Cum se obtine proba violului electronic
„Cineva mi-a spart contul de e-mail!“ E o acuzatie pe care o auzim din ce în ce mai des în ultima perioada. Foarte putini oameni stiu cum sa reactioneze atunci când au certitudinea ca o alta persoana le acceseaza e-mail-urile. Din pacate, nici autoritatile publice îndrituite de lege sa rezolve astfel de probleme nu ajuta prea mult.
Pastram în conturile noastre de e-mail oportunitati de afaceri, adrese, numere de telefon, planuri personale si multe alte informatii. Într-un fel, e ca si cum am avea o biblioteca plina cu dosare confidentiale. La un moment dat, informatiile respective sunt facute publice, fara ca noi sa ne explicam în ce fel s-a realizat acest lucru. Cum sa reactionam în astfel de situatii? Cui sa ne adresam mai întâi? Fapta respectiva este o infractiune, iar cercetarea ei este de competenta politiei si a procuraturii. Totusi, va sfatuim sa meditati temeinic înainte de a apela la oamenii legii.
Atentie la parola
Iata motivul. Mai toate serviciile de e-mail atentioneaza chiar de la înregistrare. „Contul dumneavoastra de e-mail va fi protejat prin intermediul unei parole. Va sfatuim sa nu dezvaluiti nimanui aceasta parola. Noi nu suntem raspunzatori pentru consecintele dezvaluirii parolei.“ Potrivit statisticilor, cele mai multe accesari neautorizate ale unor conturi de e-mail se fac de catre persoane care au aflat parola contului, direct sau indirect, chiar de la proprietarul acestuia. Textul de atentionare are, în acelasi timp, si o alta valoare: unii furnizori de e-mail declara ca nu e treaba lor sa ancheteze astfel de cazuri. În situatia în care utilizatorul reclama la furnizorul serviciului de e-mail faptul ca s-a produs o accesare neautorizata a contului sau, va primi un raspuns clasic deja: „Probabil ca ati dezvaluit parola contului. Din pacate, nu putem face nimic sa va ajutam“.
Nu exista solutii-minune
Ce va ramane de facut in fata unui astfel de raspuns? Fapta în sine - accesarea neautorizata de catre un hacker - se probeaza foarte greu.
Nu exista un program-minune care da acces direct si imediat la un cont de e-mail. Cu ani in urma, se folosea metoda „fortei brute“ - se încercau miliarde de parole, pâna când se gasea cea potrivita. Acum majoritatea furnizorilor de servicii de e-mail au implementat solutii de securitate, care blocheaza accesul la contul respectiv în momentul în care se introduce o parola gresita de mai multe ori la rând.
Exista insa si situatii în care accesul neautorizat la un cont de e-mail poate fi dovedit relativ simplu. Daca s-a folosit o metoda care „lasa urme“ si daca acestea nu au fost sterse de atacator, ar trebui sa poata fi prelevate prin intermediul rapoartelor de trafic înregistrate de serverul de e-mail. Se poate afla, spre exemplu, adresa IP a computerului de la care s-a realizat accesul, urmând ca ulterior, pe baza unui mandat emis de autoritatile competente, sa se identifice cât mai exact computerul-suport al infractiunii. În cazul fericit în care computerul este al unui utilizator casnic, lucrurile pot evolua, în sensul identificarii faptuitorului. Aceste situatii sunt însa extrem de rare.
De regula, avem de-a face cu atacuri puse la cale din cafenele-internet (hackeri amatori) sau cu atacuri realizate prin intermediul unor computere-zombie, controlate de la distanta.
Autoritatile si furnizorii nu coopereaza
Politistii se urnesc greu cand vine vorba de infractiuni de tipul violarii secretului corespondentei electronice. Pe de o parte, este foarte adevarat ca multe persoane striga mai întâi „Hotul!“ si ulterior îsi aduc aminte ca au dezvaluit chiar ele parole de acces. Pe de alta parte, sunt dese situatiile in care primul politist pe care partea vatamata îl întâlneste pur si simplu nu întelege cum vine treaba cu infractiunea reclamata.
În situatia conturilor gratuite de e-mail, gazduite de obicei pe servere celebre din strainatate (Gmail.com, Yahoo.com etc.), lucrurile se complica si mai tare. În aceste cazuri, problemele abunda atunci când este nevoie sa se dovedeasca accesul neautorizat. Utilizatorul trebuie sa-si probeze, in primul rand, calitatea de „proprietar“ al contului. În anticiparea acestui moment, este util (desi nu suficient întotdeauna) sa completati toate câmpurile formularului de înregistrare (adresa alternativa de e-mail, întrebarea secreta, raspunsul secret etc.). În unele cazuri, faptul ca utilizatorul stie ce informatii a completat la înregistrare este echivalent cu recunoasterea calitatii sale de „proprietar“ al contului.
O problema cu mult mai grava este nepasarea marilor servicii de furnizare de e-mail. Este notorie lipsa de cooperare dintre furnizori si autori-tatile care ancheteaza cazurile de acces neautorizat.
Dovada care nu e proba
Conform statisticii, cel mai adesea se incearca accesarea contului de e-mail al sotului/sotiei. Chiar daca tentativa reuseste si se constata infidelitatea, un e-mail si mai ales unul obtinut pe cai ilicite (violarea secretului corespondentei) nu este acceptat ca proba in instanta.
Cam la fel stau lucrurile in cazul angajatorilor tentati sa citeasca e-mail-urile salariatilor, din dorinta de a evita scurgerile de informatii. Chiar daca ar avea cunostinta de fapte reprobabile ale angajatilor în urma citirii mesajelor acestora, patronii ar fi neputinciosi in fata unui judecator.
In Codul Penal se precizeaza clar la articolul 195: „Deschiderea unei corespondente adresate altuia ori interceptarea unei convorbiri sau comunicari efectuate prin telefon, telegraf sau prin alte mijloace de transmitere la distanta, fara drept, se pedepseste cu închisoare de la 6 luni la 3 ani“. Legea nr. 161 din 2003, în capitolul III, dedicat prevenirii si combaterii criminalitatii informatice, sanctioneaza, de asemenea, „interceptarea, fara drept, a unei transmisii de date informatice care nu este publica si care este destinata unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaza în cadrul unui sistem informatic“. Fapta sus-mentionata constituie infractiune si se pedepseste cu închisoare de la 2 la 7 ani.
Unii angajatori romani aplica modelul american, prevazand în regulamente de ordine interioara obligatia salariatilor de a accepta scanarea e-mail-urilor personale. O astfel de practica este la limita legalitatii si nu garanteaza succesul in cazul unui proces. Ar fi chiar indicat ca angajatorul sa gaseasca o alta cale pentru a se debarasa de salariatul prins in offsaid: fie prin demitere cu o motivatie legala, fie convingandu-l sa demisioneze.
Atentie la parola
Iata motivul. Mai toate serviciile de e-mail atentioneaza chiar de la înregistrare. „Contul dumneavoastra de e-mail va fi protejat prin intermediul unei parole. Va sfatuim sa nu dezvaluiti nimanui aceasta parola. Noi nu suntem raspunzatori pentru consecintele dezvaluirii parolei.“ Potrivit statisticilor, cele mai multe accesari neautorizate ale unor conturi de e-mail se fac de catre persoane care au aflat parola contului, direct sau indirect, chiar de la proprietarul acestuia. Textul de atentionare are, în acelasi timp, si o alta valoare: unii furnizori de e-mail declara ca nu e treaba lor sa ancheteze astfel de cazuri. În situatia în care utilizatorul reclama la furnizorul serviciului de e-mail faptul ca s-a produs o accesare neautorizata a contului sau, va primi un raspuns clasic deja: „Probabil ca ati dezvaluit parola contului. Din pacate, nu putem face nimic sa va ajutam“.
Nu exista solutii-minune
Ce va ramane de facut in fata unui astfel de raspuns? Fapta în sine - accesarea neautorizata de catre un hacker - se probeaza foarte greu.
Nu exista un program-minune care da acces direct si imediat la un cont de e-mail. Cu ani in urma, se folosea metoda „fortei brute“ - se încercau miliarde de parole, pâna când se gasea cea potrivita. Acum majoritatea furnizorilor de servicii de e-mail au implementat solutii de securitate, care blocheaza accesul la contul respectiv în momentul în care se introduce o parola gresita de mai multe ori la rând.
Exista insa si situatii în care accesul neautorizat la un cont de e-mail poate fi dovedit relativ simplu. Daca s-a folosit o metoda care „lasa urme“ si daca acestea nu au fost sterse de atacator, ar trebui sa poata fi prelevate prin intermediul rapoartelor de trafic înregistrate de serverul de e-mail. Se poate afla, spre exemplu, adresa IP a computerului de la care s-a realizat accesul, urmând ca ulterior, pe baza unui mandat emis de autoritatile competente, sa se identifice cât mai exact computerul-suport al infractiunii. În cazul fericit în care computerul este al unui utilizator casnic, lucrurile pot evolua, în sensul identificarii faptuitorului. Aceste situatii sunt însa extrem de rare.
De regula, avem de-a face cu atacuri puse la cale din cafenele-internet (hackeri amatori) sau cu atacuri realizate prin intermediul unor computere-zombie, controlate de la distanta.
Autoritatile si furnizorii nu coopereaza
Politistii se urnesc greu cand vine vorba de infractiuni de tipul violarii secretului corespondentei electronice. Pe de o parte, este foarte adevarat ca multe persoane striga mai întâi „Hotul!“ si ulterior îsi aduc aminte ca au dezvaluit chiar ele parole de acces. Pe de alta parte, sunt dese situatiile in care primul politist pe care partea vatamata îl întâlneste pur si simplu nu întelege cum vine treaba cu infractiunea reclamata.
În situatia conturilor gratuite de e-mail, gazduite de obicei pe servere celebre din strainatate (Gmail.com, Yahoo.com etc.), lucrurile se complica si mai tare. În aceste cazuri, problemele abunda atunci când este nevoie sa se dovedeasca accesul neautorizat. Utilizatorul trebuie sa-si probeze, in primul rand, calitatea de „proprietar“ al contului. În anticiparea acestui moment, este util (desi nu suficient întotdeauna) sa completati toate câmpurile formularului de înregistrare (adresa alternativa de e-mail, întrebarea secreta, raspunsul secret etc.). În unele cazuri, faptul ca utilizatorul stie ce informatii a completat la înregistrare este echivalent cu recunoasterea calitatii sale de „proprietar“ al contului.
O problema cu mult mai grava este nepasarea marilor servicii de furnizare de e-mail. Este notorie lipsa de cooperare dintre furnizori si autori-tatile care ancheteaza cazurile de acces neautorizat.
Dovada care nu e proba
Conform statisticii, cel mai adesea se incearca accesarea contului de e-mail al sotului/sotiei. Chiar daca tentativa reuseste si se constata infidelitatea, un e-mail si mai ales unul obtinut pe cai ilicite (violarea secretului corespondentei) nu este acceptat ca proba in instanta.
Cam la fel stau lucrurile in cazul angajatorilor tentati sa citeasca e-mail-urile salariatilor, din dorinta de a evita scurgerile de informatii. Chiar daca ar avea cunostinta de fapte reprobabile ale angajatilor în urma citirii mesajelor acestora, patronii ar fi neputinciosi in fata unui judecator.
In Codul Penal se precizeaza clar la articolul 195: „Deschiderea unei corespondente adresate altuia ori interceptarea unei convorbiri sau comunicari efectuate prin telefon, telegraf sau prin alte mijloace de transmitere la distanta, fara drept, se pedepseste cu închisoare de la 6 luni la 3 ani“. Legea nr. 161 din 2003, în capitolul III, dedicat prevenirii si combaterii criminalitatii informatice, sanctioneaza, de asemenea, „interceptarea, fara drept, a unei transmisii de date informatice care nu este publica si care este destinata unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaza în cadrul unui sistem informatic“. Fapta sus-mentionata constituie infractiune si se pedepseste cu închisoare de la 2 la 7 ani.
Unii angajatori romani aplica modelul american, prevazand în regulamente de ordine interioara obligatia salariatilor de a accepta scanarea e-mail-urilor personale. O astfel de practica este la limita legalitatii si nu garanteaza succesul in cazul unui proces. Ar fi chiar indicat ca angajatorul sa gaseasca o alta cale pentru a se debarasa de salariatul prins in offsaid: fie prin demitere cu o motivatie legala, fie convingandu-l sa demisioneze.