Zachodnie rządy dwoją się i troją w nakładaniu kolejnych sankcji na Rosję, próbując ograniczyć jej zdolności wojskowe, tymczasem nowe badania ujawniają niepokojącą prawdę: rosyjskie aplikacje wojskowe wykorzystują amerykańską i europejską infrastrukturę chmury obliczeniowej do kierowania artylerią i dronami na ukraińskim polu bitwy.

‍

Analiza (w całości dostępna w materiałach 17. Międzynarodowej Konferencji na temat Konfliktów Cybernetycznych: Następny Krok) przeprowadzona przez Volodymra Styrana, eksperta ds. cyberbezpieczeństwa z ukraińskiego Państwowego Centrum Ochrony Cybernetycznej, dla prestiżowego Królewskiego Instytutu Służb Zbrojnych (RUSI) w Londynie pokazuje, jak 62 rosyjskie aplikacje wojskowe polegają na serwisach Amazon Web Services, Google Cloud i Cloudflare – firmach z krajów, które oficjalnie sankcjonują Rosję za jej agresję na Ukrainę.

‍

Ukryty paradoks wojny technologicznej

‍

Odkrycie to ujawnia paradoks obecnego konfliktu. Te same zachodnie firmy technologiczne, które są chwalone za zapewnienie kluczowego wsparcia dla cyfrowej odporności Ukrainy, nieświadomie wspierają także infrastrukturę używaną przez rosyjskie aplikacje kierujące artylerią i dronami.

‍

Analiza przeprowadzona przez Volodymra Styrana objęła aplikacje mobilne na system Android używane przez rosyjskie siły zbrojne i ich sojuszników. Wszystkie były rozprowadzane poza oficjalnymi sklepami z aplikacjami – zazwyczaj przez kanały Telegram związane z wojną – wykorzystując model "sideloadingu" Androida, który umożliwia zdecentralizowaną i w dużej mierze niewidoczną sieć dystrybucji aplikacji, która omija nadzór Google'a lub innych regulatorów.

‍

Amerykańskie serwery dla rosyjskich rakiet

‍

Skala zależności od zachodniej infrastruktury jest oszałamiająca. Volodymyr Styran zidentyfikował 323 nazwy domen i 387 adresów IP wbudowanych w te aplikacje, z których ponad 70% było hostowanych w Stanach Zjednoczonych. Rosyjskie aplikacje wojskowe używają tych serwisów do przechowywania danych, renderowania map, telemetrii i komunikacji.

Szczególnie krytyczne są dane meteorologiczne i mapowe, których Rosja nie jest w stanie samodzielnie wyprodukować. Wiele analizowanych aplikacji korzysta z otwartych źródeł danych mapowych, takich jak OpenStreetMap, Mapbox czy OpenTopoMap – platform projektowanych dla użytku publicznego, ale przekształconych na potrzeby wojenne.

Konkretne przykłady wykorzystania open source

‍

Volodymyr Styran przeanalizował 62 aplikacje wojskowe, ujawniając szokujące przykłady wykorzystania zachodnich rozwiązań open source:

• ZeVs—METEO ALPHA - aplikacja meteorologiczna dla artylerii wykorzystuje OpenStreetMap (110 wystąpień w kodzie), Google Maps oraz CloudMade do dostarczania danych o pogodzie kluczowych dla precyzji ostrzału artyleryjskiego.
• Karlson3 - aplikacja do zarządzania dronami wykorzystuje platformy Mapbox (103 wystąpienia), Amazon Web Services oraz GitHub do obsługi dronów DJI w misjach rozpoznawczych i korekty ognia artyleryjskiego.
• Veterok - część kompleksu taktycznego dla jednostek rozpoznawczych i artyleryjskich wykorzystuje OpenStreetMap, ArcGIS Online oraz platformę HERE API do automatyzacji kompleksu rozpoznawczo-uderzeniowego.

Aplikacje te wykorzystują także Github dla hostowania kodu, Firebase Google'a do baz danych w czasie rzeczywistym oraz Telegram jako platformę komunikacyjną - wszystkie są dostępne za darmo lub w ramach darmowych pakietów startowych

‍

‍Symbolika nazw i propaganda

‍

Nazwy aplikacji noszą wyraźne znamiona rosyjskiej propagandy wojennej. Prefiks "ZeVs" w aplikacjach meteorologicznych nawiązuje do liter Z i V - symboli malowanych na rosyjskim sprzęcie wojskowym, które stały się symbolami poparcia dla inwazji na Ukrainę. "Z" prawdopodobnie oznacza "Zapad" (Zachód) lub "Za pobedu" (Za zwycięstwo), podczas gdy "V" może oznaczać "Vostok" (Wschód) lub "Victory" (Zwycięstwo).

‍

Nazwa "Karlson3" to z kolei nawiązanie do postaci "Karlssona z dachu" ze szwedzkiej książki dla dzieci - mężczyzny ze śmigłem na plecach, co symbolicznie odnosi się do funkcji aplikacji związanej z operacjami dronów. Czy dostawcy usług chmurowych powinni być uważani podczas wojny za neutralnych dostawców infrastruktury? Czy firma może jednocześnie wspierać zaatakowany kraj, jednocześnie pomagając agresorowi w rozwoju technologii bojowych?

‍

Koszty ignorowania tej cyfrowej luki są wysokie. Po pierwsze, podkopuje to wiarygodność i możliwość egzekwowania sankcji – szczególnie tych skierowanych do sektora technologicznego. Po drugie, pozwala Rosji ukrywać infrastrukturę wojskową na zachodnich platformach, utrudniając jej wykrycie i neutralizowanie.

Dalsze kroki

‍

Eksperci RUSI proponują konkretne działania, które należy podjąć:

‍

• Monitorowanie wzorców użytkowania na platformach chmurowych, w celu wykrycia aktywności wojskowej przez podmioty prowadzące nielegalne wojny.
• Wprowadzenie geofencingu i ograniczeń na poziomie API, w celu zablokowania rosyjskim programistom (wojskowym i powiązanym z armią) wykorzystywania zachodniej infrastruktury chmurowej.
• Zwiększenie kontroli ekosystemu aplikacji, poprzez wezwanie sklepów z aplikacjami i analityków malware do identyfikacji i oznaczania narzędzi wojskowych instalowanych "z boku" (sideloading).
• Przewartościowanie polityk neutralności technologicznej dla platform chmurowych i open-source podczas wojny.

Wnioski z raportu

‍

Machina wojenna Rosji to nie tylko elementy fizyczne. Machina ta jest cyfrowa, rozproszona i – jak na ironię – demokratyczna w swoim wykorzystaniu otwartych technologii. Te same platformy, które służą wolności wypowiedzi i innowacjom obywatelskim na Zachodzie, są wykorzystywane przez Rosję jako broń do kierowania artylerią i koordynowania ataków dronów.

Jak konkluduje Volodymyr Styran w swoim raporcie:

‍

"Otwartość bez odpowiedzialności zaprasza do nadużyć. Dopóki nie zostaną podjęte konkretne kroki, zachodnia infrastruktura pozostanie niewidzialnym pomocnikiem wojny. A my musimy przestać podtrzymywać wojnę, którą chcemy zakończyć".

‍

Odkrycie autora podkreśla, jak bardzo współczesne konflikty wykraczają poza tradycyjne pola bitew, wkraczając w sferę cyfrową, gdzie linie między sojusznikami a przeciwnikami stają się nieoczekiwanie rozmyte.

‍

Skutki prawne dla przedsiębiorców - gdy open source staje się bronią

‍

Nowa rzeczywistość regulacyjna

‍

Analiza V. Styrana ujawnia niepokojące implikacje prawne dla dostawców usług chmurowych i twórców oprogramowania open source. Firmy technologiczne, które nieświadomie wspierają rosyjską machinę wojenną, mogą narazić się na zarzuty łamania międzynarodowych sankcji.

‍

Od września 2024 roku przepisy amerykańskiego Biura ds. Kontroli Aktywów Zagranicznych (OFAC) zakazują świadczenia usług IT i wsparcia dla oprogramowania przedsiębiorstw oraz projektowania i produkcji software'u dla rosyjskich podmiotów. Unia Europejska nałożyła podobne ograniczenia w swoim 12. pakiecie sankcji z grudnia 2023 roku.

‍

Odpowiedzialność prawna przedsiębiorców

‍

Dla firm oferujących rozwiązania open source, sytuacja ta oznacza nową kategorię ryzyka prawnego. Licencje open source to prawnie wiążące umowy, a ich naruszenie może (i prowadzi) do konsekwencji prawnych i konieczności wypłaty odszkodowań.

‍

Przedsiębiorcy muszą teraz uwzględnić w swoich analizach prawnych:

‍

• Ryzyko sankcji wtórnych - OFAC ostrzega zagraniczne instytucje finansowe, że ryzykują sankcjami za prowadzenie znaczących transakcji z podmiotami objętymi sankcjami na podstawie rozporządzenia wykonawczego 14024.
• Problemy z geoblokowaniem - Choć standardowe licencje open source nie pozwalają na ograniczenia geograficzne, eksperci prawni wskazują, że nic nie zmusza dostawców oprogramowania lub usług zbudowanych wokół niego do obsługi klientów z danego regionu świata. Innymi słowy, licencja open source mówi, że możesz używać oprogramowania gdziekolwiek jesteś, ale nie zmusza nikogo, żeby Ci to oprogramowanie specjalnie "dostarczył" w formie płatnej usługi, jeśli nie chce (lub nie może - np. z powodu sankcji) tego robić w Twoim regionie.
• Koszty nieprzestrzegania - kary z tytułu nieprzestrzegania sankcji, szczególnie w przypadku dużych korporacji, często sięgają miliardów dolarów.

‍

Wyzwania dla dostawców open source

‍

Sytuacja ta stawia pytania o przyszłość modelu open source. Sankcje są uznawane za legalne przez państwo, które je nałożyło, ale są zazwyczaj uważane za nielegalne przez państwa, które są im przeciwne. To oznacza, że twórcy oprogramowania open source znaleźli się w centrum konfliktu geopolitycznego.

‍

Rekomendacje dla firm technologicznych

‍

Eksperci prawni zalecają firmom technologicznym:

‍

• Wdrożenie systemów monitorowania użycia ich platform w celu wykrycia aktywności wojskowej
• Przegląd umów licencyjnych pod kątem możliwości wprowadzenia ograniczeń geograficznych
• Konsultacje prawne dotyczące interpretacji najnowszych sankcji
• Audyt łańcucha dostaw w celu identyfikacji potencjalnych naruszeń

Aby złagodzić te obawy dotyczące odpowiedzialności, organizacje powinny przyjąć strategie zarządzania ryzykiem licencji open source, takie jak zapewnienie zgodności, edukacja zespołów programistycznych i wykorzystanie narzędzi do śledzenia licencji.

‍

Precedens dla przyszłości

‍

Przypadek rosyjskich aplikacji wojskowych może stać się precedensem dla przyszłych konfliktów. Eksperci ostrzegają, że inne autorytarne państwa mogą próbować wykorzystać otwartość demokratycznych platform technologicznych przeciwko nim samym, co wymaga przemyślenia zasad neutralności technologicznej w czasach wojny.

‍

Artykuł został napisany w oparciu o rzetelne źródła akademickie, prawne i branżowe, z głównym naciskiem na badania RUSI - jednej z najbardziej renomowanych instytucji badawczych w dziedzinie bezpieczeństwa międzynarodowego.

‍

‍

‍

‍

‍