2024.07.08. 公正經濟 — 多邊網路治理協議會（KIGA）上月28日在首爾中區天主教聖方濟會修道院教育會館舉辦的「第13屆韓國網路治理論壇（KrIGF）」上，網路安全、人工智慧（AI）、治理領域的專家齊聚一堂，共同討論網路管理與營運相關議題。
Lee Jin網路安全研究所所長以《電信網路犯罪偵查技巧探討－以語音釣魚詐騙案例為中心》為題，發表了網路犯罪趨勢、應對與偵查技巧，以及法律與制度層面的改善方案等內容。
在這場演講內容中，貫穿國家情報院的網路安全活動、檢警的網路犯罪偵查，以及軍方網路作戰執行的共同關鍵詞，正是「監聽」。
Lee Jin所長強調：「要迅速、準確地進行監聽活動，監聽系統的自動化與標準化是必要的。」
─您如何看待韓國的監聽制度？
「韓國政府正在推動加入的國際公約中，有一項是《布達佩斯公約》。2022年5月通過的《布達佩斯公約第二附加議定書》規定了對網路犯罪進行更廣泛的證據蒐集與共享，並強化個人資料保護，目前基本公約已有60餘個國家加入。該公約將非法監聽、電腦使用詐欺、散布兒童色情內容、侵犯著作權法、攻擊電腦伺服器及駭客入侵等行為規定為網路犯罪。
此外，公約內容還包括提供即時流量或內容的協助、迅速資料保存請求、緊急狀況下的協助請求，以及為犯罪行為引渡建立法律依據等。其中值得關注的是提供即時流量或內容的協助。簡單來說，就是締約國之間可以互相傳遞對網路犯罪嫌疑人監聽所得的結果。
不過，各國的司法制度各不相同。有像韓國一樣，進行監聽前必須事先取得法院令狀的國家，也有像美國一樣採行事後令狀制度的國家。值得一提的是，美國在9.11恐怖攻擊事件後，為了國家安全目的，修訂了法律，使監聽行動可以在未事先取得令狀的情況下進行。
美國根據《通信協助執法法》（Communications Assistance for Law Enforcement Act，CALEA Act）在國內建置了監聽與通訊紀錄查詢系統，這套系統的名稱也稱為CALEA。美國大多數電信業者與網路服務提供商（ISP）都已建置並運作CALEA系統，美國政府在初期建置專案中也曾提供補助。
相較之下，韓國目前並未運作這類監聽及通訊紀錄查詢系統。此外，從令狀申請、核發到執行的過程，大部分仍以人工方式進行。由於缺乏標準化、自動化的監聽系統，在國際合作上難免顯現出其限制。」
─監聽制度要如何改善？
「有必要在韓國國內導入並運作所謂的『K-CALEA（暫稱）』，也就是韓國版的CALEA系統。
首先，應將《電氣通信事業法》所規定的電信業者，以及依《互助儲蓄銀行法》、《銀行法》、《專業信貸金融業法》、《網路專業銀行設立與營運特例法》等法律規範的所有金融機構，都指定為《關於刑事司法程序電子文件使用等之法律（刑事程序電子文件法）》所稱的『同意電子送達與通知之註冊使用者』。之後，依照《刑事程序電子文件法》第17條，由檢察官或警察以電子文件核發監聽令狀，並透過出示或傳送的方式執行令狀即可。
要實現令狀的電子化執行，技術上的作法就是建置能接收電子文件令狀、蒐集相關資料並回覆的K-CALEA系統。透過K-CALEA系統明確識別令狀上記載的時間與執行對象等資訊並生成回覆資料，不僅能確保令狀執行的透明度，也能讓受送達人累積日後用於判斷令狀執行過程是否違法的資料，有助於令狀執行對象維持最基本的防禦權。
韓國也可以像美國一樣，考慮對導入K-CALEA系統的機關、企業提供補助。建議在導入階段先要求電信業者、ISP、達一定標準以上的個人資料處理者等優先導入該系統，之後再逐步擴大系統運作的適用對象。
此外，監聽雖是偵查上不可或缺的措施，但比起監聽本身，更需要優先制定像『網路安全基本法』這類上位法律，以便將『民主監督』原則適用於監聽的執行程序。網路安全研究所也正持續進行立法支援活動，以促成該法律的制定。除此之外，應透過聯盟鏈（Consortium Blockchain）等『不可竄改的監聽活動紀錄體系』，積極防止公權力淪為監控民間的手段，並藉此爭取國民同意，這一點十分重要。」
─請詳細說明「聯盟鏈（Consortium Blockchain）」。
「研究所提出的聯盟鏈監控系統，是一套協助並監督國家權力的監聽等資訊蒐集行為，使其依照民主監督原則合法、正當執行的系統。
這套系統透過分散式帳本技術，將情報機關所記錄的資訊共享給所有參與者，並藉由資訊加密及延遲公開功能來保護敏感資訊。由於資料以加密方式儲存，可防止外洩事故；同時將敏感資訊在一定期間內不予公開，也能消除因過早公開蒐集資訊而產生的安全顧慮。
此外，由於區塊鏈技術的特性，即使部分聯盟參與者任意竄改資料，構成該區塊鏈的所有參與者的資料也不會因此被竄改。結果是，連竄改行為本身的紀錄也會一併保存下來，因此還具有防止非法竄改資料的效果。
聯盟鏈網路是由政府、監督機構、情報機關、國家安全機關、公民代表等多方利害關係人共同參與的結構。國會等監督機構負責核准及稽核資訊蒐集活動、決定資訊分類與公開、管理資訊安全，以及確保透明度等工作。情報機關提出資訊蒐集請求，獲核准後執行資訊蒐集活動，並將整個過程全部記錄並儲存於聯盟鏈中。國家安全機關負責國家安全相關資訊的請求與審查。公民代表則透過區塊鏈網路查閱及驗證資訊，並監督監督機構的資訊安全管理與透明度確保情況。
在聯盟鏈體系下，可以將資訊蒐集請求、核准、執行、稽核、報告等程序自動化，並明確定義資訊分類與公開規則，藉此也能達成保護公民權利的目標。」
─談到監聽，讓人想起最近KT的客戶監聽爭議。
「簡單整理KT的行為，就是調換了網路硬碟更新伺服器的流量，在未經使用者同意的情況下安裝了程式。
網路硬碟服務業者會要求使用者在個人電腦上安裝Grid程式。Grid程式的作用，是讓網路硬碟服務使用者下載檔案時，不是從網路硬碟伺服器下載，而是從持有該檔案的其他網路硬碟使用者端取得。結果就是能夠減少網路硬碟伺服器的流量負擔。
這種Grid程式會對像KT這樣的ISP造成損失。ISP會計算網路硬碟伺服器產生的流量，向網路硬碟服務業者收取費用，但若使用Grid程式，流量就會發生在使用定額制網路服務的客戶身上。由於無法向定額制費率的使用者額外收費，ISP因此蒙受相應的損失。
ISP也沒有合適的方法可以制裁網路硬碟服務業者，因為安裝Grid程式的主體是一般客戶。因此，外界認為KT是透過擷取客戶的通信封包，偵測是否使用網路硬碟用的Grid程式，並以封包調換的手法，對Grid使用者散布Grid失效化程式。」
─擷取客戶通信封包的行為，不算是監聽嗎？
「從技術上來說，自動分析通信封包內容是否應被視為監聽，這一爭議早已存在。
例如，我們來看看『網站封鎖違憲確認案（2019憲馬158）』。放送通信審議委員會與7家資訊通信服務提供業者（ISP）於2018年6月組成協議機構，協議引進可利用伺服器名稱指示（Server Name Indication，SNI）欄位阻擋含有害資訊之網路網站的『SNI欄位阻擋方式』。
使用安全連線協定時，雙方傳輸的數據大多會被加密，但使用者最初傳送給伺服器端的資料中，用於指定欲連線目的地的SNI部分會以未加密的狀態顯露出來，而SNI阻擋方式就是偵測這一點來阻擋連線。
隨著安全連線協定的使用日益普及，以既有方式已無法掌握使用者想要存取的網站為何並加以阻擋，因此為了阻擋對非法資訊等內容的存取，即使使用者採用安全連線協定，也必須動用像SNI欄位阻擋方式這類更進階的技術手段才能達成阻擋效果，這是無可避免的。
憲法法院認為，SNI阻擋方式雖然是在使用者與伺服器間的加密通信中閱覽部分內容，但其中僅是由自動化系統確認並阻擋以未加密狀態公開的SNI部分而已。換言之，法院認定這並非解除加密後閱覽未公開的內容，因此不構成監聽。」
─那麼，是否應該認為KT沒有過錯？
「依照憲法法院的決定，KT透過確認通信封包標頭等方式來判斷是否使用Grid程式的行為，不能算是監聽。
此外，KT與網路服務使用客戶之間的條款中，有為提升服務品質而進行通信封包分析等的免責條款。由於Grid程式越活躍，網路負載就會越大，因此可以認為，站在KT的立場，為了提升KT網路本身的網際網路品質，KT有權偵測是否使用Grid程式。
真正有問題的部分，在於散布Grid失效化程式。首先，KT在散布這個程式時，並未取得使用者的同意。散布方式採用封包調換手法也是問題所在。簡單來說，就是在使用者不知情的情況下，將通信封包調換成Grid失效化程式後傳送出去。結果，使用者等於是安裝了自己並未打算安裝的程式。這一部分顯然是KT的過錯，看來有必要針對此事進行徹底反省、道歉，並公布防止再次發生的對策。」
0 條評論
暫無評論。