Tag Archives: whistleblowers

Speakers Censored at AISA Conference in Melbourne

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2019/10/speakers_censor.html

Two speakers were censored at the Australian Information Security Association’s annual conference this week in Melbourne. Thomas Drake, former NSA employee and whistleblower, was scheduled to give a talk on the golden age of surveillance, both government and corporate. Suelette Dreyfus, lecturer at the University of Melbourne, was scheduled to give a talk on her work — funded by the EU government — on anonymous whistleblowing technologies like SecureDrop and how they reduce corruption in countries where that is a problem.

Both were put on the program months ago. But just before the event, the Australian government’s ACSC (the Australian Cyber Security Centre) demanded they both be removed from the program.

It’s really kind of stupid. Australia has been benefiting a lot from whistleblowers in recent years — exposing corruption and bad behavior on the part of the government — and the government doesn’t like it. It’s cracking down on the whistleblowers and reporters who write their stories. My guess is that someone high up in ACSC saw the word “whistleblower” in the descriptions of those two speakers and talks and panicked.

You can read details of their talks, including abstracts and slides, here. Of course, now everyone is writing about the story. The two censored speakers spent a lot of the day yesterday on the phone with reporters, and they have a bunch of TV and radio interviews today.

I am at this conference, speaking on Wednesday morning (today in Australia, as I write this). ACSC used to have its own government cybersecurity conference. This is the first year it combined with AISA. I hope it’s the last. And that AISA invites the two speakers back next year to give their censored talks.

EDITED TO ADD (10/9): More on the censored talks, and my comments from the stage at the conference.

Slashdot thread.

The Importance of Protecting Cybersecurity Whistleblowers

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2019/06/the_importance_3.html

Interesting essay arguing that we need better legislation to protect cybersecurity whistleblowers.

Congress should act to protect cybersecurity whistleblowers because information security has never been so important, or so challenging. In the wake of a barrage of shocking revelations about data breaches and companies mishandling of customer data, a bipartisan consensus has emerged in support of legislation to give consumers more control over their personal information, require companies to disclose how they collect and use consumer data, and impose penalties for data breaches and misuse of consumer data. The Federal Trade Commission (“FTC”) has been held out as the best agency to implement this new regulation. But for any such legislation to be effective, it must protect the courageous whistleblowers who risk their careers to expose data breaches and unauthorized use of consumers’ private data.

Whistleblowers strengthen regulatory regimes, and cybersecurity regulation would be no exception. Republican and Democratic leaders from the executive and legislative branches have extolled the virtues of whistleblowers. High-profile cases abound. Recently, Christopher Wylie exposed Cambridge Analytica’s misuse of Facebook user data to manipulate voters, including its apparent theft of data from 50 million Facebook users as part of a psychological profiling campaign. Though additional research is needed, the existing empirical data reinforces the consensus that whistleblowers help prevent, detect, and remedy misconduct. Therefore it is reasonable to conclude that protecting and incentivizing whistleblowers could help the government address the many complex challenges facing our nation’s information systems.

Another NSA Leaker Identified and Charged

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2019/05/another_nsa_lea.html

In 2015, the Intercept started publishing “The Drone Papers,” based on classified documents leaked by an unknown whistleblower. Today, someone who worked at the NSA, and then at the National Geospatial-Intelligence Agency, was charged with the crime. It is unclear how he was initially identified. It might have been this: “At the agency, prosecutors said, Mr. Hale printed 36 documents from his Top Secret computer.”

The article talks about evidence collected after he was identified and searched:

According to the indictment, in August 2014, Mr. Hale’s cellphone contact list included information for the reporter, and he possessed two thumb drives. One thumb drive contained a page marked “secret” from a classified document that Mr. Hale had printed in February 2014. Prosecutors said Mr. Hale had tried to delete the document from the thumb drive.

The other thumb drive contained Tor software and the Tails operating system, which were recommended by the reporter’s online news outlet in an article published on its website regarding how to anonymously leak documents.

Journalists Generally Do Not Use Secure Communication

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2017/08/journalists_gen.html

This should come as no surprise:

Alas, our findings suggest that secure communications haven’t yet attracted mass adoption among journalists. We looked at 2,515 Washington journalists with permanent credentials to cover Congress, and we found only 2.5 percent of them solicit end-to-end encrypted communication via their Twitter bios. That’s just 62 out of all the broadcast, newspaper, wire service, and digital reporters. Just 28 list a way to reach them via Signal or another secure messaging app. Only 22 provide a PGP public key, a method that allows sources to send encrypted messages. A paltry seven advertise a secure email address. In an era when anything that can be hacked will be and when the president has declared outright war on the media, this should serve as a frightening wake-up call.


When journalists don’t step up, sources with sensitive information face the burden of using riskier modes of communication to initiate contact­ — and possibly conduct all of their exchanges­ — with reporters. It increases their chances of getting caught, putting them in danger of losing their job or facing prosecution. It’s burden enough to make them think twice about whistleblowing.

I forgive them for not using secure e-mail. It’s hard to use and confusing. But secure messaging is easy.

Who Are the Shadow Brokers?

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2017/05/who_are_the_sha.html

In 2013, a mysterious group of hackers that calls itself the Shadow Brokers stole a few disks full of NSA secrets. Since last summer, they’ve been dumping these secrets on the Internet. They have publicly embarrassed the NSA and damaged its intelligence-gathering capabilities, while at the same time have put sophisticated cyberweapons in the hands of anyone who wants them. They have exposed major vulnerabilities in Cisco routers, Microsoft Windows, and Linux mail servers, forcing those companies and their customers to scramble. And they gave the authors of the WannaCry ransomware the exploit they needed to infect hundreds of thousands of computer worldwide this month.

After the WannaCry outbreak, the Shadow Brokers threatened to release more NSA secrets every month, giving cybercriminals and other governments worldwide even more exploits and hacking tools.

Who are these guys? And how did they steal this information? The short answer is: we don’t know. But we can make some educated guesses based on the material they’ve published.

The Shadow Brokers suddenly appeared last August, when they published a series of hacking tools and computer exploits­ — vulnerabilities in common software — ­from the NSA. The material was from autumn 2013, and seems to have been collected from an external NSA staging server, a machine that is owned, leased, or otherwise controlled by the US, but with no connection to the agency. NSA hackers find obscure corners of the Internet to hide the tools they need as they go about their work, and it seems the Shadow Brokers successfully hacked one of those caches.

In total, the group has published four sets of NSA material: a set of exploits and hacking tools against routers, the devices that direct data throughout computer networks; a similar collection against mail servers; another collection against Microsoft Windows; and a working directory of an NSA analyst breaking into the SWIFT banking network. Looking at the time stamps on the files and other material, they all come from around 2013. The Windows attack tools, published last month, might be a year or so older, based on which versions of Windows the tools support.

The releases are so different that they’re almost certainly from multiple sources at the NSA. The SWIFT files seem to come from an internal NSA computer, albeit one connected to the Internet. The Microsoft files seem different, too; they don’t have the same identifying information that the router and mail server files do. The Shadow Brokers have released all the material unredacted, without the care journalists took with the Snowden documents or even the care WikiLeaks has taken with the CIA secrets it’s publishing. They also posted anonymous messages in bad English but with American cultural references.

Given all of this, I don’t think the agent responsible is a whistleblower. While possible, it seems like a whistleblower wouldn’t sit on attack tools for three years before publishing. They would act more like Edward Snowden or Chelsea Manning, collecting for a time and then publishing immediately­ — and publishing documents that discuss what the US is doing to whom. That’s not what we’re seeing here; it’s simply a bunch of exploit code, which doesn’t have the political or ethical implications that a whistleblower would want to highlight. The SWIFT documents are records of an NSA operation, and the other posted files demonstrate that the NSA is hoarding vulnerabilities for attack rather than helping fix them and improve all of our security.

I also don’t think that it’s random hackers who stumbled on these tools and are just trying to harm the NSA or the US. Again, the three-year wait makes no sense. These documents and tools are cyber-Kryptonite; anyone who is secretly hoarding them is in danger from half the intelligence agencies in the world. Additionally, the publication schedule doesn’t make sense for the leakers to be cybercriminals. Criminals would use the hacking tools for themselves, incorporating the exploits into worms and viruses, and generally profiting from the theft.

That leaves a nation state. Whoever got this information years before and is leaking it now has to be both capable of hacking the NSA and willing to publish it all. Countries like Israel and France are capable, but would never publish, because they wouldn’t want to incur the wrath of the US. Country like North Korea or Iran probably aren’t capable. (Additionally, North Korea is suspected of being behind WannaCry, which was written after the Shadow Brokers released that vulnerability to the public.) As I’ve written previously, the obvious list of countries who fit my two criteria is small: Russia, China, and­ — I’m out of ideas. And China is currently trying to make nice with the US.

It was generally believed last August, when the first documents were released and before it became politically controversial to say so, that the Russians were behind the leak, and that it was a warning message to President Barack Obama not to retaliate for the Democratic National Committee hacks. Edward Snowden guessed Russia, too. But the problem with the Russia theory is, why? These leaked tools are much more valuable if kept secret. Russia could use the knowledge to detect NSA hacking in its own country and to attack other countries. By publishing the tools, the Shadow Brokers are signaling that they don’t care if the US knows the tools were stolen.

Sure, there’s a chance the attackers knew that the US knew that the attackers knew — ­and round and round we go. But the “we don’t give a damn” nature of the releases points to an attacker who isn’t thinking strategically: a lone hacker or hacking group, which clashes with the nation-state theory.

This is all speculation on my part, based on discussion with others who don’t have access to the classified forensic and intelligence analysis. Inside the NSA, they have a lot more information. Many of the files published include operational notes and identifying information. NSA researchers know exactly which servers were compromised, and through that know what other information the attackers would have access to. As with the Snowden documents, though, they only know what the attackers could have taken and not what they did take. But they did alert Microsoft about the Windows vulnerability the Shadow Brokers released months in advance. Did they have eavesdropping capability inside whoever stole the files, as they claimed to when the Russians attacked the State Department? We have no idea.

So, how did the Shadow Brokers do it? Did someone inside the NSA accidentally mount the wrong server on some external network? That’s possible, but seems very unlikely for the organization to make that kind of rookie mistake. Did someone hack the NSA itself? Could there be a mole inside the NSA?

If it is a mole, my guess is that the person was arrested before the Shadow Brokers released anything. No country would burn a mole working for it by publishing what that person delivered while he or she was still in danger. Intelligence agencies know that if they betray a source this severely, they’ll never get another one.

That points to two possibilities. The first is that the files came from Hal Martin. He’s the NSA contractor who was arrested in August for hoarding agency secrets in his house for two years. He can’t be the publisher, because the Shadow Brokers are in business even though he is in prison. But maybe the leaker got the documents from his stash, either because Martin gave the documents to them or because he himself was hacked. The dates line up, so it’s theoretically possible. There’s nothing in the public indictment against Martin that speaks to his selling secrets to a foreign power, but that’s just the sort of thing that would be left out. It’s not needed for a conviction.

If the source of the documents is Hal Martin, then we can speculate that a random hacker did in fact stumble on it — ­no need for nation-state cyberattack skills.

The other option is a mysterious second NSA leaker of cyberattack tools. Could this be the person who stole the NSA documents and passed them on to someone else? The only time I have ever heard about this was from a Washington Post story about Martin:

There was a second, previously undisclosed breach of cybertools, discovered in the summer of 2015, which was also carried out by a TAO employee [a worker in the Office of Tailored Access Operations], one official said. That individual also has been arrested, but his case has not been made public. The individual is not thought to have shared the material with another country, the official said.

Of course, “not thought to have” is not the same as not having done so.

It is interesting that there have been no public arrests of anyone in connection with these hacks. If the NSA knows where the files came from, it knows who had access to them — ­and it’s long since questioned everyone involved and should know if someone deliberately or accidentally lost control of them. I know that many people, both inside the government and out, think there is some sort of domestic involvement; things may be more complicated than I realize.

It’s also not over. Last week, the Shadow Brokers were back, with a rambling and taunting message announcing a “Data Dump of the Month” service. They’re offering to sell unreleased NSA attack tools­ — something they also tried last August­ — with the threat to publish them if no one pays. The group has made good on their previous boasts: In the coming months, we might see new exploits against web browsers, networking equipment, smartphones, and operating systems — Windows in particular. Even scarier, they’re threatening to release raw NSA intercepts: data from the SWIFT network and banks, and “compromised data from Russian, Chinese, Iranian, or North Korean nukes and missile programs.”

Whoever the Shadow Brokers are, however they stole these disks full of NSA secrets, and for whatever reason they’re releasing them, it’s going to be a long summer inside of Fort Meade­ — as it will be for the rest of us.

This essay previously appeared in the Atlantic, and is an update of this essay from Lawfare.

На чаша вино с Христо Иванов

Post Syndicated from Йовко Ламбрев original https://yovko.net/hristo-ivanov-2/

Продължение на разговора ми с Христо Иванов, първата част на която е публикувана тук.

Така се случи, че съм свидетел на календара ти и затова един чисто човешки въпрос – за последните два месеца колко пъти имаше време да спреш на едно място и, както казва един приятел, да позволиш на душата ти да те настигне?

Ха! Ами, не много… Знаеш ли, много е странно. Както вече казах, винаги съм бил много частен човек, но трябва да кажа, че отдавайки се на това да послужа на хората за възел, в който техните мечти да се съединяват, виждам, че така човек някак си не се отдалечава от душата си. Служенето – защото аз смятам, че ключовият елемент на лидерството е именно съзнанието, че трябва да служиш – всъщност е достатъчно пълноценно, достатъчно носи единство със себе си. Така че не бих седнал да се жалвам. Има си своите напрежения и трудности, но наличието на яснота за какво го правиш всичко това, усещането и ежедневното удивление от това какви чудесни хора има навсякъде, където отида…

Аз намерих цяла кошница нови приятели…

Да, и то страхотни хора, наистина, из цялата страна. Всичко това стократно изплаща каквито и там негативи човек да понася от цялото това нещо.

А как обичаше да почиваш преди три месеца?

Не помня! (смях) Не, шегувам се, разбира се. Ами, нищо екстравагантно. Една книга и малко хубава музика е всичко, което ми е нужно.

Едно нещо, което винаги съм правил и много ми липсваше, е излизането извън града, извън София. Това за софиянци най-често е Витоша, и беше много хубаво, че оня ден качихме Черни връх, въпреки че по средата на кампанията, малко неочаквано. Трябва да кажа, че горе в мъглите и снеговете, които валяха, доста добре ме настигна душата, ако трябва да използвам този израз.

И усещането… Хайде малко, бидейки в Пловдив, да поговоря за София. Много важно за София е, че върхът е свързан с Алеко. Ние тръгнахме от една точка на Морените, на която имам снимка като тригодишен, когато нашите за първи път са ме качили на ски. На тези места е минал целият ми живот. Аз съм много запален скиор и турист…

И там, на това място изведнъж си дадох сметка, че всичко това е Алеко. И колко много от това, което политически искам да направим, е Алеко. Неговият страхотен хуманизъм и хумор, това негово особено отношение към българското общество, с хумор, с любов, с разбиране, с желание да е по-европейско, по-просветено, този негов великолепен демократизъм – всичко това в огромна степен съответства на мечтата ми “Да, България!” да се превърне в едно продължение на това дело. И се сетих за последните изречения в “Бай Ганьо в Русия” – забележи, колко символично – там казва: “Поставен под правилно, добро управление, българинът може да прави чудеса.” Та, ключът е наистина да имаме добро, човешко, просветено управление и тогава българинът може да прави чудеса.

Това ли е твоята представа за България, ако не бяхме в ситуация да трябваше да правим политическа структура, която да върне справедливостта в обществото?

Ами, да, Алеко като образ със сигурност е много близо до моята представа за това какви би трябвало да са идеалите и авторитетите на нашето общество. И е чудесно, че той е. Чудесно е, че всички епохи, всички промени не са се отразили на неговото присъствие.

Сега дано не е рязка смяната на темата, но като човек от света на технологиите да те попитам… Светът е на прага на така наречената четвърта индустриална революция, ако следваме общите терминологии, която на всичкото отгоре този път е тотално различна спрямо предходните. Защото имаме сблъсък на една еволюция на нещата от физическия свят – нови материали, автомобили, които нямат нужда от шофьор, триизмерно отпечатване на неща, дори тъкани и органи за имплантиране на хората; втора еволюция на дигиталния свят, информационните технологии – носим мощни компютри в джобовете си вместо телефони; и в биологията и генетиката има революция, която доскоро не си представяхме. Всичко това се случва едновременно, в синхрон, като перфектна технологична буря, с всичките плюсове и минуси, защото както ни дава огромни възможности, така и крие сериозни рискове, които може би не съзнаваме още какви са…

И колко тъжно е в същия този момент ние да си говорим за връщането на нормалността в обществото, вместо да…

… да полетим, да. Виж, това е едно много интересно сравнение. Аз мисля, че се случва нещо много повече от поредната индустриална революция – защото всяка от предишните се свързва с развитието на ограничен кръг технологии, и вероятно от гледната точка на поколенията, които са живяли преди и след това, промяната да е била жестоко-епохална – но тук ми се струва, че става дума за нещо много повече. Разделя се траекторията на човечеството на оня етап, в който се е считало, че човекът е бил животно сред животните и е еволюирал по правилата на биологичната еволюция, след което, ставайки обществено животно, дълго време се е смятало, че с това той спира еволюционния процес.

Но ние навлизаме в един период, в който всяка една от тези технологии и особено комбинацията от тях всъщност поставя въпроса за това, че ние можем да започнем да направляваме и планираме една промяна. И в крайна сметка се изправяме пред огромния въпрос, пред който не съм сигурен колко пъти в такава степен се е поставяло човечеството: Какво е човек? Кое от онова да си човек сме готови да заменим? Кое е онова, което искаме да запазим? Сигурни ли сме, че знаем какво означава да се откажем от идеята за смъртта, например? За стареенето, за болестите? За самотата и това да си с часове несвързан с Фейсбук?

В крайна сметка сингулярността е едно състояние, което важи абсолютно за всички нас. Но даже носи някаква доза успокоение идеята, че докато всичко това се изправя пред нас – защото аз съм уверен, че някъде под кризите, които в момента се случват – мигрантската криза, която на пръв поглед е просто свързана със сирийската криза, но сирийската криза е всъщност климатична криза, която обхваща целия регион между Северна Африка и Афганистан, която е и цивилизационна криза, дълбоката криза на сблъсъка между исляма и Запада, и икономическата криза, която на пръв поглед е просто една криза на някакви деривати, които продължават да тровят; и демократичната и политическата криза също…

Под всичко това, ако слезем едно ниво надолу, е една криза на индустриалните отношения, на производствените отношения. Всичко това, което Маркс и класиците на икономикса са описали, започва да става невярно и да се променя, и все по-сериозно се изправя на хоризонта проблемът, че страшно много професии и човешки дейности ще изчезнат. Какво ще се случи с това население? Когато шофьорите престанат да бъдат шофьори, какви ще станат? Дизайнери? И как демокрацията и демократичният процес ще оцелеят? Какво всъщност представлява електронното управление като процес? Къде прокарваме границата между частното и публичното в дигиталната епоха? Как оцелява репрезентативната демокрация в епоха, в която решенията могат да се вземат през всеки смартфон? И къде остава ролята на все пак някаква… как да кажа… хайде да не говоря за професионализация, но някакъв опит политически? Как решаваме проблема с контрола върху службите в този контекст?

И най-базовото нещо – за първи път от гутенберговата революция насам възниква едно ново разделение между грамотния и неграмотния. Досега просвещенският проект беше базиран на презумпцията, че демокрацията се случва в една среда на еднакво, базово компетентни хора, които разбират процесите в нея от гледна точка на инструментите.

Демокрацията какво е? Вестник, участие в дебат, гласуване, където на хартия с писалката правиш нещо и го слагаш в кутия и всички могат да видят това нещо, да преброят протоколите. В крайна сметка нашата демокрация е направена от мастило, азбука, способност за четене, училища, вестници, кафенета – този свят изчезва. Сега вие сте една съвършено нова каста от ексклузивно грамотни хора, които могат да управляват базови, ежедневни технологии, които аз например съм неспособен да верифицирам как работят.

Йовко, ако ти ми покажеш на екрана на моя телефон, че температурата навън в момента не е 15 градуса, колкото е, а минус 15, ти като ИТ човек може би можеш да произведеш тази картина. Аз по никакъв начин не мога да те хвана, защото съм технологично неграмотен, освен да прочета това, което излиза на екрана и да му повярвам.

Но можеш да го провериш чрез паралелни източници.

Все по-малко. Защото аз си спомням преди няколко години как се случи земетресение в България и всички отидоха да проверят във Фейсбук каква е причината. Изобщо животът ни поддържа паралелни източници на информация. И от тази гледна точка един политически процес, един институционален процес, който все повече зависи от дигиталния свят, а неговото естество, неговата регулация зависи от една много малка каста ексклузивно грамотни хора, е много особено състояние на обществото.

Вие имате вече несравнимо по-голям ефект, отколкото един юрист би могъл да има върху нещо на най-ежедневно ниво, но сте абсолютно нерегулирана професия. И необходимостта от тази регулация все още не е станала очевидна, защото нивото на злоупотреби от гледна точка на представителите на вашата професия с огромното доверие и усмотрение, което ви е поверено, остава забележително ниско.

Така че, да, има киберпрестъпления, няма никакво съмнение, но истината е, че в момента, доколкото изобщо киберпроблематиката става все по-сериозна, тя не е защото има спонтанно организирали се мафиотски групи. Става дума, че държавата в един момент започва да набира и корумпира ИТ хора и имаме цяла поредица от катарзиси на представители на тези ИТ професии, които в един момент казват “Аз повече не мога да го правя това!”, излизат и започват да стават whistleblowers (бел.ред. разобличители). Сноудън и други са примери за това, че в тази професионална общност има някаква вътрешна резистентност. Това е страшно интересно!

Дълго време основната базова траектория на информационното общество е била неформалната територия на контакт между една малка общност от фенове и професионалисти. Аз ги помня тези времена, те съвсем скоро свършиха.

В същия момент обаче, ако се върнем пак в чисто обществено-политическия план, имаме сякаш нужда от един изцяло нов тип човек, широкоскроен, динамичен, който да е готов да се променя спрямо нещата около него. В контекста на онези конфликти, за които си говорихме – климатични, военни, обществени – за много хора светът в момента е неуютен, заради това че някакви крайъгълни доскоро обществено-политически шаблони вече не са валидни.

Йовко, аз трябва да призная, че голяма част от моята мотивация да се захвана с този тип политическа кариера, е свързана със сериозно притеснение. Видно е, че стигнахме до някаква междина между епохите. И понеже и преди в световната история са се редували етапи на по-голяма глобализация с етапи на връщане на махалото – аз не съм сигурен епохата, в която навлизаме, как ще изглежда. Презумпциите, които имаме, багажът, който носим от 90-те, от първото десетилетие на настоящата епоха – не съм сигурен колко добре ще ни послужат. И в този смисъл съм много загрижен в максимална степен да започнем изграждането на силни, национални институции, не защото те трябва по някакъв начин да опонират на Европейския съюз, а защото ние трябва да имаме готовност да посрещнем една епоха, в която част от проблемите ще трябва да ги решаваме сами и в кръга на хора, на които заедно ще ни изгори чергата, ако бъде подпалена от някой от краищата. Така че какъв нов човек ще ни трябва, не мога да прогнозирам, но изобретяването на нов човек винаги е кървава работа и доста болезнена.

Аз го казах като метафора…

Да, да. Но това, което бих искал да осигуря за нас и за семействата ни, е колкото се може по-здрава държава за епохата, в която ще можем да изобретяваме този нов човек.

Добре. Стига, че те уморих…

Не, не, аз съм добре.

И може би разговорът стана малко философски…

Да, доста. (смях) Но наистина, не съм уморен, можем да продължим.

Ами, искаше ми се и за Пловдив да поговорим. В допълнение на пловдивските теми, които ти засегна на срещата в Дома на културата в неделя.

Например за Европейската столица на културата, понеже никак не е малка вероятността да се превърне в пълен провал. Дори да бъдат отпуснати всички пари, които кошмарно закъсняха, времето започва да ни притиска и вече е проблем.

Защото от една страна Пловдив има дух, ти си го усетил. Аз също като теб живях една година навън и след дълго време, живеейки в София, реших да се върна в родния си Пловдив точно заради този дух, който усетих, че е в някакъв подем. Дали е стечение на обстоятелства, дали просто защото сега е дошъл моментът, дали защото хората започнаха да вярват в собствените си, макар и малки сили като индивиди – но и тук започват да се случват лесно неща, които съвсем естествено се случват в Барселона, където живях. Едни хора от един квартал се събират, решават и си правят фестивал или панаир на един или друг продукт, който е характерен за този квартал. И си говорят. Някак си в България като че ли малко си говорим. Ти го каза в едно интервю наскоро – спряхме да мечтаем колективно.

И си мисля, че от тук може да се случи пропукване точно в тази посока. Ето, дори хората, които се ангажираха с “Да, България!” в Пловдив, виждам, че те сякаш са чакали, както ти каза, някой да ги побутне, за да могат да се почувстват част от това нещо, което се оказа, че много лесно може да постига неща дори без пари. Вярно, има един такъв импулс, който в момента помага на всички ни, но аз съм сигурен, че те, както и аз, са намерили нови приятели и контакти, които ще останат и извън контекста на “Да, България!”.

Пловдив индуцира хората с градска култура. Не са много градовете в България, които имат този дух. Очевидно е, че сега Пловдив преживява една премия от нашата европейска интеграция, от това, че границите се разтвориха и в един момент той не е просто един сателит на София, с цялата институционалност на София като национално средище, а се връща към естественото си положение на град, положен в центъра на регион, който диша не с дробовете на България и на София, а с дробовете на Централна и Източна Европа, на Източното Средиземноморие. Тези пътища, които винаги са водели към Пловдив всъщност от тракийски времена насам и които по такъв жесток начин са били прекъснати и от комунизма, но и от едни определени обстоятелства преди това… Някак си Пловдив се връща като център на тази много по-голяма кръвоносна система сега заради този период на отваряне, и очевидно тази енергия се влива тук и се усеща. Пловдив е едно естествено място, което граничи културно и манталитетно с Египет, с Персия, с Италия, със Средиземноморието. Някак си тези места тук си дават среща като една роза на ветровете. И когато стените паднаха, ветровете се върнаха, и Пловдив пак е Пловдив. Това е чудесно.

Проблемът е, че този процес на връщане към един много по-голям контекст, в който Пловдив естествено плува и се чувства на мястото си, понеже иначе е като едно голямо животно, затворено в малка кутия, блъскащо се в стените ѝ… Проблемът е, че той продължава да бъде заложник на абсолютно примитивната, ограничена, късогледа българска политическа класа и процес, на това, че нас ни управляват… често пъти се казва селяни, но ако хората, които ни управляваха, бяха едни нормални селяни, щеше да бъде много по-добре. Най-лошото е да те управляват хора, които са изтръгнати. Те не са нито селяни, нито граждани, не принадлежат никъде, освен към тодорколевите герои – и Корнелия Нинова, и Бойко Борисов биха се чувствали абсолютно естествено във филмите на Тодор Колев като техни герои. Всеки любител на тези филми може да си ги представи ясно там. Така че, оставен на волята на този тип хора, естествено, че те направиха атентат срещу Пловдив. И естествено те направиха атентат срещу неговото отстояване като културно средище. Как може да очакваме от едни типажи като Борисов, като Нинова, като Вежди Рашидов, да работят за това да се случи такова голямо културно събитие?

Аз вярвам, че Пловдив е културна столица на България, със и без тази титла. Сега големият проблем пред нас е как да се мобилизираме като общество, за да се случи това нещо в Пловдив в името на цяла България. Това трябва да се случи като първостепенен национален проект. Следващото Народно събрание трябва да приеме план, който да се реализира с целия национален ресурс.

И пак искам да повторя, абсолютно не мога да си представя с какви очи Бойко Борисов пристига тук да иска пловдивчани да гласуват за него.

И доста пловдивчани не могат да си го представят. Но в подкрепа на това, което казваш – разбира се това е само мое впечатление, защото няма как да вляза в главата на текущия ни кмет – но ако се обърнем към темата за тютюневите складове, всички негови публични изказвания са, че него го боли, че споделя тъгата на пловдивчаните, но в същия момент аминистративното бездействие е очедвидно, а в чисто човешки план ми изглежда, че той сякаш вътре в себе си не разбира – защо градът така пази тези складове, защо хората отидоха и направиха жива верига, защо са готови да повторят това, защо наистина им е толкова тъжно за тези рушащи се сгради… Той сякаш не е свързан с това място.

Аз не го познавам и не мога да говоря за човека, но това, което мога да кажа от своите наблюдения върху българската политическа класа, е че това са хора-еднодневки. Техните глави са от стиропор. Те, естествено, си представят, че хоризонтът на човека опира до стиропора, итонга и евтиния стъклопакет. Те от това са направени като духовност.

Така че човекът вероятно се опитва да казва някакви неща, които да му намаляват натиска, но той не е част от паметта на Пловдив. Защото същият човек искаше да възстановява крепостите на Небет тепе. Той е доказал своята абсолютна непригодност да разбира този град, да бъде негова еманация, с цялото наелектризиращо усещане за памет и за слава. Паметта е уважение към нещата такива, каквито са наследени, включително елементи от тях, които са под мазилката и са скрити между тухлите и чакат своя момент да имат своя ефект. Това е нещо, което нашите управленци не могат да разберат. Така че очевидно е и многократно сме го наблюдавали, че това, което върви на повърхността, е евтина лъжа, а цялата поредица от действия е насочена към това тези складове да бъдат бутнати и на тяхно място да бъде построено нещо друго. Но е чудесно и е национален урок това, че в Пловдив има дух и хора, които разбират, че паметта и приемствеността на времената е всъщност ценност и съм сигурен, че те ще надделеят.

Христо Иванов е водач на листите на „Да, България!“ за град Пловдив и София – МИР25. За него и кандидатите на „Да, България!“ можете да гласувате с номер 16 в интегралната бюлетина.

Whistleblower Investigative Report on NSA Suite B Cryptography

Post Syndicated from Bruce Schneier original https://www.schneier.com/blog/archives/2016/11/whistleblower_i.html

The NSA has been abandoning secret and proprietary cryptographic algorithms in favor of commercial public algorithms, generally known as “Suite B.” In 2010, an NSA employee filed some sort of whistleblower complaint, alleging that this move is both insecure and wasteful. The US DoD Inspector General investigated and wrote a report in 2011.

The report — slightly redacted and declassified — found that there was no wrongdoing. But the report is an interesting window into the NSA’s system of algorithm selection and testing (pages 5 and 6), as well as how they investigate whistleblower complaints.

The Yahoo-email-search story is garbage

Post Syndicated from Robert Graham original http://blog.erratasec.com/2016/10/the-yahoo-email-search-story-is-garbage.html

Joseph Menn (Reuters) is reporting that Yahoo! searched emails for the NSA. The details of the story are so mangled that it’s impossible to say what’s actually going on.

The first paragraph says this:

Yahoo Inc last year secretly built a custom software program to search all of its customers’ incoming emails

The second paragraph says this:

The company complied with a classified U.S. government demand, scanning hundreds of millions of Yahoo Mail accounts

Well? Which is it? Did they “search incoming emails” or did they “scan mail accounts”? Whether we are dealing with emails in transmit, or stored on the servers, is a BFD (Big Fucking Detail) that you can’t gloss over and confuse in a story like this. Whether searches are done indiscriminately across all emails, or only for specific accounts, is another BFD.

The third paragraph seems to resolve this, but it doesn’t:

Some surveillance experts said this represents the first case to surface of a U.S. Internet company agreeing to an intelligence agency’s request by searching all arriving messages, as opposed to examining stored messages or scanning a small number of accounts in real time.

Who are these “some surveillance experts”? Why is the story keeping their identities secret? Are they some whistleblowers afraid for their jobs? If so, then that should be mentioned. In reality, they are unlikely to be real surveillance experts, but just some random person that knows slightly more about the subject than Joseph Menn, and their identities are being kept secret in order to prevent us from challenging these experts — which is a violation of journalistic ethics.

And, are they analyzing the raw information the author sent them? Or are they opining on the garbled version of events that we see in the first two paragraphs.

The confusion continues:

It is not known what information intelligence officials were looking for, only that they wanted Yahoo to search for a set of characters. That could mean a phrase in an email or an attachment, said the sources, who did not want to be identified.

What the fuck is a “set of characters”??? Is this an exact quote for somewhere? Or something the author of the story made up? The clarification of what this “could mean” doesn’t clear this up, because if that’s what it “actually means”, then why not say this to begin with?

It’s not just technical terms, but also legal ones:

The request to search Yahoo Mail accounts came in the form of a classified edict sent to the company’s legal team, according to the three people familiar with the matter.

What the fuck is a “classified edict”? An NSL? A FISA court order? What? This is also a BFD.

We outsiders already know about the NSA/FBI’s ability to ask for strong selectors (email addresses). What what we don’t know about is their ability to search all emails, regardless of account, for arbitrary keywords/phases. If that’s what’s going on, then this would be a huge story. But the story doesn’t make it clear that this is actually what’s going on — just strongly implies it.

There are many other ways to interpret this story. For example, the government may simply be demanding that when Yahoo satisfies demands for emails (based on email addresses), that it does so from the raw incoming stream, before it hits spam/malware filters. Or, they may be demanding that Yahoo satisfies their demands with more secrecy, so that the entire company doesn’t learn of the email addresses that a FISA order demands. Or, the government may be demanding that the normal collection happen in real time, in the seconds that emails arrive, instead of minutes later.

Or maybe this isn’t an NSA/FISA story at all. Maybe the DHS has a cybersecurity information sharing program that distributes IoCs (indicators of compromise) to companies under NDA. Because it’s a separate program under NDA, Yahoo would need to setup a email malware scanning system separate from their existing malware system in order to use those IoCs. (@declanm‘s stream has further variations on this scenario).

My point is this: the story is full of mangled details that really tell us nothing. I can come up with multiple, unrelated scenarios that are consistent with the content in the story. The story certainly doesn’t say that Yahoo did anything wrong, or that the government is doing anything wrong (at least, wronger than we already know).

I’m convinced the government is up to no good, strong arming companies like Yahoo into compliance. The thing that’s stopping us from discovering malfeasance is poor reporting like this.