Η F-Secure βλέπει ψηφιακή εξάρτηση από τις ΗΠΑ

Ας ξεκινήσουμε από μια πολύ πρακτική εικόνα: μια υπάλληλος νοσοκομείου φτάνει στη βάρδια της το πρωί της Δευτέρας. Το κτίριο λειτουργεί, τα καλώδια είναι στη θέση τους, οι διακομιστές στο υπόγειο δουλεύουν κανονικά. Όμως η οθόνη σύνδεσης δεν δέχεται τον κωδικό της. Όχι επειδή έγινε κυβερνοεπίθεση ή διακοπή ρεύματος, αλλά επειδή η αμερικανική εταιρεία που διαχειρίζεται το σύστημα ταυτοποίησης του νοσοκομείου άλλαξε τους όρους πρόσβασης. Οι φάκελοι των ασθενών βρίσκονται λίγα μέτρα μακριά. Η ίδια δεν μπορεί να τους ανοίξει.

Αυτή είναι η ψηφιακή εξάρτηση στην πράξη. Δεν χρειάζεται να κοπούν καλώδια ούτε να καούν κέντρα δεδομένων. Αρκεί ο ιδιοκτήτης του ψηφιακού «κλειδιού» να αλλάξει τον κωδικό της πόρτας όσο κοιμάσαι. Όταν ο διευθύνων σύμβουλος της φινλανδικής F-Secure, Τίμο Λάακσονεν, προειδοποίησε αυτόν τον μήνα ότι η Ευρώπη εξαρτάται βαθιά από κρίσιμες υπηρεσίες που ελέγχονται από τις ΗΠΑ, περιέγραφε ακριβώς αυτό το είδος σιωπηλής, δομικής έκθεσης (Yle).

Ο κωδικός της πόρτας δεν βρίσκεται στην Ευρώπη

Για να φανεί πού ακριβώς βρίσκεται η ευαλωτότητα, αρκεί να δούμε τι συμβαίνει πριν η υπάλληλος του νοσοκομείου ανοίξει τα εισερχόμενά της.

Πληκτρολογεί τα στοιχεία της σε ένα σύστημα σύνδεσης. Πολλοί ευρωπαϊκοί οργανισμοί βασίζονται σε υπηρεσίες ταυτοποίησης που λειτουργούν από αμερικανικές εταιρείες, με πιο διαδεδομένο παράδειγμα το Entra ID της Microsoft, ώστε να επιβεβαιώνουν ποιος είναι κάθε εργαζόμενος. Αν ο πάροχος πέσει ή αποσύρει την πρόσβαση, όλες οι εφαρμογές που βρίσκονται πίσω από αυτόν γίνονται ταυτόχρονα απρόσιτες (Hypergate). Μία κλειδωμένη πόρτα, δεκάδες δωμάτια πίσω της.

Υπάρχει έπειτα το «τηλεχειριστήριο» της υποδομής στο νέφος: ο πίνακας ελέγχου από τον οποίο οι ομάδες πληροφορικής δημιουργούν διακομιστές, διαχειρίζονται βάσεις δεδομένων και χειρίζονται τα ψηφιακά κλειδιά που προστατεύουν ευαίσθητα δεδομένα. Οι φάκελοι ενός νοσοκομείου μπορεί να βρίσκονται φυσικά σε διακομιστή στη Φρανκφούρτη. Αν όμως ο πίνακας ελέγχου, ο λογαριασμός χρέωσης και τα ψηφιακά κλειδιά ανήκουν σε αμερικανική μητρική εταιρεία, το «φιλοξενείται στην Ευρώπη» δεν σημαίνει αυτομάτως «ελέγχεται από την Ευρώπη» (JRC).

Το ίδιο μοτίβο επαναλαμβάνεται στο ηλεκτρονικό ταχυδρομείο, στην αποθήκευση εγγράφων, στις ενημερώσεις λογισμικού, ακόμη και στο σύστημα ονοματοδοσίας του διαδικτύου, το DNS, δηλαδή το «βιβλίο διευθύνσεων» που λέει στους φυλλομετρητές πού βρίσκεται κάθε ιστοσελίδα. Γερμανική έρευνα διαπίστωσε ότι περίπου το 96% των γερμανικών επιχειρήσεων εξαρτάται από εισαγόμενες ψηφιακές τεχνολογίες, ενώ οι αμερικανικοί πάροχοι νέφους κατέχουν πάνω από το 70% της ευρωπαϊκής αγοράς (egovernment.de).

Όταν η κλειδαριά γύρισε στην πράξη

Τρεις πρόσφατες υποθέσεις δείχνουν ότι η ανησυχία δεν είναι θεωρητική.

Η Anthropic, εταιρεία τεχνητής νοημοσύνης, ανέστειλε την πρόσβαση ορισμένων χρηστών στα νεότερα μοντέλα της, προκειμένου να συμμορφωθεί με τους αμερικανικούς ελέγχους εξαγωγών. Κανένας διακομιστής δεν αποσυνδέθηκε. Μια νομική υποχρέωση έκανε μια ψηφιακή δυνατότητα να εξαφανιστεί από συγκεκριμένες οθόνες (AP, Reuters).

Στην Ολλανδία, δικαστήριο μπλόκαρε την εξαγορά της Solvinity από την αμερικανική Kyndryl. Η Solvinity φιλοξενεί το DigiD, το σύστημα ψηφιακής ταυτότητας που χρησιμοποιούν οι Ολλανδοί πολίτες για φορολογικές και υγειονομικές υπηρεσίες. Το σκεπτικό ήταν απλό: βάσει της αμερικανικής νομοθεσίας, όπως ο νόμος CLOUD Act και το πλαίσιο FISA, εταιρείες αμερικανικής ιδιοκτησίας μπορεί να υποχρεωθούν να παραδώσουν δεδομένα ανεξάρτητα από το πού αυτά αποθηκεύονται. Ένα εθνικό σύστημα ταυτότητας δεν μπορεί να λειτουργεί κάτω από τέτοια νομική ομπρέλα (Ius Mentis).

Στη Γαλλία, έρευνα της Εθνοσυνέλευσης κατέληξε ότι περίπου το 80% των δημόσιων προμηθειών λογισμικού περνά από αμερικανικούς φορείς, με ετήσια αξία περίπου 1,5 δισ. ευρώ. Υπουργεία, ενεργειακοί φορείς και δίκτυα μεταφορών εξαρτώνται έτσι από προμηθευτές που, τουλάχιστον θεωρητικά, θα μπορούσαν να περιορίσουν την πρόσβαση υπό πολιτική ή νομική πίεση (Banque des Territoires, Clubic).

Εφεδρείες, όχι φαντασιώσεις

Η Ευρώπη δεν μπορεί να ξαναχτίσει από το μηδέν την αμερικανική τεχνολογική στοίβα. Οι οικονομίες κλίμακας το καθιστούν μη ρεαλιστικό στο άμεσο μέλλον. Μπορεί όμως να μειώσει το μέγεθος της βλάβης όταν εξαφανίζεται ένα κρίσιμο επίπεδο πρόσβασης.

Η Γαλλία απαιτεί πλέον οι υπηρεσίες νέφους που πιστοποιούνται για ευαίσθητη κρατική χρήση να μην μπορούν να εξαναγκαστούν από ξένη νομοθεσία να παραδώσουν τον έλεγχο (CER). Η Γερμανία αναπτύσσει το openDesk, μια σουίτα γραφείου ανοικτού κώδικα. Η Ευρωπαϊκή Επιτροπή, μέσα από το Tech Sovereignty Package, εντάσσει στο ίδιο πλαίσιο τα μικροτσίπ, την τεχνητή νοημοσύνη, το νέφος και το λογισμικό ανοικτού κώδικα (European Commission).

Ο Φινλανδός ερευνητής κυβερνοασφάλειας Μίκο Χιπόνεν προσθέτει μια διάσταση που συχνά υποτιμάται: ακόμη και τα αμυντικά εργαλεία μπορούν να γίνουν πηγή εξάρτησης. Ένα τείχος προστασίας εγκατεστημένο στο Ελσίνκι, το οποίο όμως τροφοδοτείται από το εξωτερικό με πληροφορίες απειλών, υπογραφές ιών και ενημερώσεις λογισμικού, εξακολουθεί να χρειάζεται αδιάλειπτη πρόσβαση σε ξένη υπηρεσία. Αν κοπεί αυτή η τροφοδοσία, ο τοίχος παύει να βλέπει (YouTube / Hyppönen).

Το πρακτικό τεστ για κάθε ευρωπαϊκό νοσοκομείο, δήμο ή υπουργείο είναι απλό: αν αύριο το πρωί χαθεί ένας λογαριασμός προμηθευτή, ένας πάροχος ταυτοποίησης ή μία ροή ενημερώσεων, μπορούν οι εργαζόμενοι να συνδεθούν, να ανακτήσουν αρχεία και να επικοινωνήσουν; Οι θεσμοί που μπορούν να απαντήσουν ναι διαθέτουν πραγματική ψηφιακή κυριαρχία. Οι υπόλοιποι παραμένουν ενοικιαστές που δεν έχουν ακόμη ελέγξει ποιος κρατά το κλειδί.