Najnowsze badania ujawniają, jak aplikacje wojskowe Kremla korzystają z infrastruktury Amazon, Google i innych gigantów technologicznych do prowadzenia działań w Ukrainie.
Analiza (w całości dostępna w materiałach 17. Międzynarodowej Konferencji na temat Konfliktów Cybernetycznych: Następny Krok) przeprowadzona przez Volodymra Styrana, eksperta ds. cyberbezpieczeństwa z ukraińskiego Państwowego Centrum Ochrony Cybernetycznej, dla prestiżowego Królewskiego Instytutu Służb Zbrojnych (RUSI) w Londynie pokazuje, jak 62 rosyjskie aplikacje wojskowe polegają na serwisach Amazon Web Services, Google Cloud i Cloudflare – firmach z krajów, które oficjalnie sankcjonują Rosję za jej agresję na Ukrainę.
Najnowsze badania pokazują, że rosyjskie aplikacje wojskowe korzystają z infrastruktury chmurowej firm takich jak Amazon, Google i Cloudflare. Narzędzia te wspierają działania artylerii, jednostek rozpoznawczych oraz operatorów dronów podczas wojny w Ukrainie.
Państwa zachodnie rozszerzają sankcje, które mają ograniczać technologiczne i militarne możliwości Rosji. Jednocześnie część rosyjskiego oprogramowania wojskowego nadal wykorzystuje serwery, interfejsy programistyczne oraz dane dostarczane przez przedsiębiorstwa działające w państwach nakładających te sankcje.
Zjawisko opisał Volodymyr Styran, ekspert ukraińskiego Państwowego Centrum Ochrony Cybernetycznej. Wyniki przedstawił w pracy „The Cloud of War: How Russian Military Mobile Applications Exploit Western Tech in the War Against Ukraine”, opublikowanej w materiałach 17. Międzynarodowej Konferencji Konfliktów Cybernetycznych. Autor omówił je również w komentarzu opublikowanym przez londyński Royal United Services Institute. (RUSI)
Styran przeanalizował 243 aplikacje mobilne używane przez rosyjskie siły zbrojne. Po odrzuceniu programów cywilnych, narzędzi podwójnego zastosowania oraz aplikacji ukraińskich zmodyfikowanych przez Rosjan wyodrębnił 62 programy o zastosowaniu ściśle wojskowym. Służyły one między innymi do zarządzania ostrzałem artyleryjskim, obsługi dronów, prowadzenia rozpoznania, obliczeń balistycznych, nawigacji i pozyskiwania danych pogodowych.
Zachodnia infrastruktura po obu stronach wojny
Wyniki analizy ujawniają jeden z paradoksów współczesnej wojny technologicznej. Zachodnie przedsiębiorstwa zapewniają ważne wsparcie dla cyfrowej odporności Ukrainy, lecz ich ogólnodostępna infrastruktura obsługuje również rosyjskie aplikacje wojskowe.
Nie oznacza to świadomej współpracy tych firm z rosyjską armią. Globalne platformy chmurowe obsługują miliony klientów, a część ich funkcji pozostaje dostępna bezpłatnie. Rozproszona struktura internetu utrudnia rozpoznanie rzeczywistych użytkowników oraz sposobu, w jaki wykorzystują oni określone usługi.
Analiza objęła aplikacje przeznaczone dla urządzeń z systemem Android. Użytkownicy pobierali je spoza oficjalnych sklepów, zazwyczaj za pośrednictwem kanałów na Telegramie związanych z rosyjskimi działaniami wojennymi.
Android dopuszcza instalowanie aplikacji z alternatywnych źródeł. Dzięki temu rosyjscy twórcy mogli rozpowszechniać swoje programy bez kontroli stosowanej w Google Play. Aplikacje pozostawały poza standardowym systemem weryfikacji, zgłaszania naruszeń i usuwania niebezpiecznego oprogramowania. Powstała w ten sposób rozproszona sieć dystrybucji, którą znacznie trudniej obserwować niż oficjalny sklep z aplikacjami. (RUSI)
Amerykańskie serwery w rosyjskich aplikacjach wojskowych
Volodymyr Styran zidentyfikował w analizowanych programach 323 odrębne nazwy hostów oraz 387 adresów IP. Aż 283 adresy, czyli 73 procent całego zbioru, prowadziły do infrastruktury znajdującej się w Stanach Zjednoczonych.
Wśród najczęściej wykorzystywanych dostawców znalazły się Amazon, Google i Cloudflare. W aplikacjach pojawiały się również usługi Microsoftu, DigitalOcean, Fastly, Akamai, Alibaba, Huawei, Hetzner i OVH. Rosyjscy dostawcy odgrywali znacznie mniejszą rolę.
Aplikacje korzystały z zagranicznych usług podczas przechowywania danych, wyświetlania map, przesyłania telemetrii i prowadzenia komunikacji. Część programów wspierała planowanie ostrzału, określanie pozycji, rozpoznanie terenu oraz obsługę dronów.
Szczególne znaczenie miały dane meteorologiczne i kartograficzne. Dokładność ostrzału artyleryjskiego zależy między innymi od temperatury, ciśnienia, wilgotności oraz siły i kierunku wiatru. Mapy pozwalają natomiast wyznaczać pozycje, planować trasy i lokalizować cele.
Rosja od lat korzysta z zagranicznych danych pogodowych, których dostępność może mieć znaczenie dla planowania operacji wojskowych. Problem ten opisywał między innymi Reuters. (RUSI)
Cywilne mapy wykorzystywane na polu walki
Rosyjscy twórcy aplikacji korzystali z danych i usług udostępnianych przez platformy takie jak OpenStreetMap, Mapbox, OpenTopoMap, Thunderforest, ArcGIS Online oraz HERE.
Platformy te powstały głównie z myślą o zastosowaniach cywilnych. Ich dane mogą jednak wspierać także działania wojskowe. Otwarty dostęp do map, gotowych interfejsów i narzędzi programistycznych pozwala budować zaawansowane systemy bez tworzenia własnej infrastruktury kartograficznej.
W kodzie analizowanych aplikacji Styran znalazł 132 odwołania do usług CloudMade oraz 110 odwołań do OpenStreetMap. Dane kartograficzne należały więc do najczęściej wykorzystywanych zasobów zewnętrznych.
Autor badań zwrócił uwagę na wynikający z tego paradoks:
„Zachodnie firmy technologiczne, chwalone za zapewnienie ważnego wsparcia dla cyfrowej odporności Ukrainy, nieświadomie wspierają również infrastrukturę używaną przez rosyjskie aplikacje kierujące artylerią i dronami”.
Jak działają rosyjskie aplikacje wojskowe
Jednym z analizowanych narzędzi była aplikacja ZeVs—METEO ALPHA, która dostarczała artylerzystom dane pogodowe. W jej kodzie znajdowały się odwołania do OpenStreetMap, Google Maps i usług CloudMade.
Dane meteorologiczne pozwalały użytkownikom uwzględniać warunki atmosferyczne podczas obliczania parametrów ostrzału. Bez takich informacji artyleria może mieć trudności z precyzyjnym określeniem toru lotu pocisku.
Aplikacja Karlson3 wspierała obsługę dronów DJI podczas misji rozpoznawczych i korygowania ognia artyleryjskiego. Korzystała między innymi z Mapbox, Amazon Web Services oraz GitHub.
Program Veterok stanowił część systemu przeznaczonego dla jednostek rozpoznawczych i artyleryjskich. Wykorzystywał OpenStreetMap, ArcGIS Online i interfejs HERE. Narzędzie wspierało wymianę danych między rozpoznaniem a jednostkami odpowiedzialnymi za ostrzał.
W analizowanych aplikacjach pojawiały się także usługi Google Firebase, repozytoria GitHub oraz komunikator Telegram. Część platform oferuje bezpłatny dostęp lub pakiety, które wystarczają do obsługi niewielkich projektów. (RUSI)
Gotowe usługi znacznie obniżają koszty tworzenia aplikacji. Programiści nie budują własnych serwerów, map, baz danych i mechanizmów komunikacji. Łączą program z istniejącą infrastrukturą, która zapewnia odpowiednią wydajność, dokumentację i niezawodność.
Wojskowa symbolika w nazwach aplikacji
Nazwy części aplikacji nawiązują do rosyjskiej propagandy wojennej. Prefiks „ZeVs” odwołuje się do liter Z i V, umieszczanych na rosyjskim sprzęcie wojskowym.
Symbole te stały się elementem przekazu popierającego agresję na Ukrainę. Literę Z łączono między innymi ze słowem „Zapad”, czyli „Zachód”, albo wyrażeniem „Za pobedu”, czyli „Za zwycięstwo”. Litera V może odnosić się do słowa „Vostok”, oznaczającego „Wschód”, albo angielskiego słowa „Victory”. Autor badania zaznacza jednak, że znaczenie tych oznaczeń nie zostało jednoznacznie ustalone.
Nazwa Karlson3 prawdopodobnie odwołuje się do Karlssona z dachu, bohatera książek Astrid Lindgren. Postać poruszała się dzięki śmigłu umieszczonemu na plecach, dlatego nazwa pasowała do aplikacji związanej z obsługą dronów.
Czy dostawca chmury może zachować neutralność?
Analiza prowadzi do pytań o odpowiedzialność globalnych dostawców technologii. Platformy chmurowe świadczą usługi przedsiębiorstwom, instytucjom publicznym, organizacjom społecznym i osobom prywatnym. W czasie wojny ta sama infrastruktura może obsługiwać podmioty działające po przeciwnych stronach konfliktu.
Firma może zapewniać Ukrainie narzędzia chroniące dane i podtrzymujące ciągłość działania. Jednocześnie rosyjscy programiści mogą korzystać z jej ogólnodostępnych usług podczas budowy aplikacji wojskowych.
Problem komplikuje sposób działania infrastruktury chmurowej. Rosyjskie aplikacje mogą ukrywać ruch za usługami pośredniczącymi, sieciami dostarczania treści i serwerami znajdującymi się poza Rosją. Dostawca nie zawsze wie, że jego zasoby wspierają narzędzie używane na polu walki.
Powstaje jednak pytanie, gdzie przebiega granica między neutralnym świadczeniem infrastruktury a utrzymywaniem usług wykorzystywanych do prowadzenia wojny.
Luka w systemie sankcji
Wykorzystywanie zachodniej infrastruktury przez rosyjskie aplikacje wojskowe osłabia skuteczność sankcji technologicznych.
Rosyjskie podmioty mogą korzystać z darmowych pakietów, usług pośredników, zagranicznych kont i infrastruktury zarejestrowanej na inne osoby. Mogą również umieszczać swoje zasoby na platformach obsługujących miliony legalnych klientów.
Takie praktyki utrudniają rozpoznawanie i blokowanie infrastruktury wojskowej. Adres IP należący do dużego dostawcy chmurowego nie wzbudza automatycznie podejrzeń. Zablokowanie całej usługi mogłoby natomiast uderzyć w licznych użytkowników, którzy nie mają żadnych związków z rosyjskimi działaniami wojennymi.
Dostawcy potrzebują więc bardziej precyzyjnych metod analizy. Znaczenie mają lokalizacja użytkownika, sposób korzystania z usługi, struktura ruchu, powiązane domeny, charakter aplikacji oraz przeznaczenie przesyłanych danych.
Jak ograniczyć wojskowe wykorzystanie zachodniej infrastruktury
Volodymyr Styran proponuje, aby dostawcy usług chmurowych dokładniej analizowali wzorce wykorzystania swoich platform. Nietypowy ruch, związki z wojskowymi kanałami na Telegramie oraz połączenia ze znanymi aplikacjami bojowymi mogą wskazywać na naruszenie regulaminu albo przepisów sankcyjnych.
Dostawcy mogą stosować ograniczenia geograficzne i blokady na poziomie interfejsów API. Mechanizmy te nie zapewniają pełnej skuteczności, ponieważ użytkownicy mogą korzystać z sieci VPN, serwerów pośredniczących i podmiotów zarejestrowanych w innych państwach. Utrudniają jednak dostęp do usług i zwiększają koszty utrzymania aplikacji.
Większą rolę mogą odegrać także producenci systemów operacyjnych, sklepy z aplikacjami oraz firmy analizujące złośliwe oprogramowanie. Chociaż badane programy trafiały do użytkowników poza oficjalnymi sklepami, ich sygnatury, domeny i sposób działania nadal podlegają analizie.
Autor badania postuluje również zmianę podejścia do neutralności technologicznej. Platforma może zachować otwarty charakter, a równocześnie ograniczać dostęp do usług chmurowych, interfejsów programistycznych i wsparcia technicznego, gdy wykryje zastosowanie wojskowe albo ryzyko naruszenia sankcji. (RUSI)
Cyfrowe zaplecze rosyjskiej wojny
Rosyjska machina wojenna obejmuje pojazdy, uzbrojenie i amunicję, ale opiera się również na aplikacjach mobilnych, serwerach, bazach danych, mapach, komunikatorach i narzędziach analitycznych.
Infrastruktura ta pozostaje rozproszona między wieloma państwami i dostawcami. Część usług działa w modelu otwartym, dlatego dostęp do nich nie wymaga bezpośredniego kontaktu z operatorem.
Technologie stworzone z myślą o komunikacji, edukacji, logistyce i działalności gospodarczej mogą wspierać ostrzał artyleryjski, rozpoznanie terenu oraz operacje dronów.
Volodymyr Styran podsumował ten problem następująco:
„Otwartość bez odpowiedzialności zaprasza do nadużyć. Dopóki nie zostaną podjęte konkretne kroki, zachodnia infrastruktura pozostanie niewidzialnym pomocnikiem wojny. A my musimy przestać podtrzymywać wojnę, którą chcemy zakończyć”.
Współczesne działania wojenne przekraczają granice tradycyjnego pola walki. Wykorzystują cywilną infrastrukturę, globalne usługi chmurowe i projekty oparte na otwartym kodzie źródłowym. Granica między zasobem cywilnym a narzędziem wojskowym zależy coraz częściej od sposobu użycia danej technologii. (RUSI)
Skutki prawne dla firm technologicznych
Wyniki badań mają znaczenie dla dostawców usług chmurowych, operatorów platform cyfrowych oraz przedsiębiorstw rozwijających produkty na podstawie otwartego kodu źródłowego.
Firmy, które świadomie albo wskutek niedostatecznych kontroli obsługują podmioty objęte ograniczeniami, mogą narazić się na postępowania dotyczące naruszenia sankcji. Zakres odpowiedzialności zależy od jurysdykcji, rodzaju usługi, statusu odbiorcy oraz wiedzy dostawcy.
Amerykański Departament Skarbu wprowadził zakaz dostarczania osobom znajdującym się w Rosji części usług doradztwa informatycznego, projektowania systemów oraz wsparcia informatycznego i usług chmurowych związanych z oprogramowaniem do zarządzania przedsiębiorstwem, projektowania i produkcji. Ograniczenia weszły w życie 12 września 2024 roku. (U.S. Department of the Treasury)
Unia Europejska w dwunastym pakiecie sankcji z grudnia 2023 roku wprowadziła między innymi zakaz świadczenia na rzecz rosyjskich podmiotów określonych usług związanych z oprogramowaniem do zarządzania przedsiębiorstwem oraz projektowania przemysłowego. Szczegółowe przepisy znalazły się w rozporządzeniu Rady (UE) 2023/2878. (EUR‐Lex)
Przepisy nie wprowadzają automatycznego zakazu udostępniania każdego publicznego projektu lub fragmentu kodu. Inaczej ocenia się publiczne repozytorium, inaczej płatną usługę chmurową, indywidualne wsparcie techniczne lub obsługę konkretnego klienta.
Każdy dostawca powinien więc przeanalizować zakres oferowanych usług oraz sposób, w jaki mogą z nich korzystać podmioty objęte sankcjami.
Otwarty kod źródłowy a ograniczenia sankcyjne
Oprogramowanie o otwartym kodzie źródłowym opiera się na licencjach, które określają zasady korzystania z kodu, jego modyfikowania i rozpowszechniania. Standardowe licencje zazwyczaj nie wprowadzają ograniczeń ze względu na państwo, branżę lub dziedzinę zastosowania.
Nie oznacza to jednak, że firma musi świadczyć każdemu użytkownikowi dodatkowe usługi.
Przedsiębiorstwo może publicznie udostępniać kod, a równocześnie odmówić dostępu do hostingu, płatnych funkcji, pomocy technicznej lub infrastruktury API. Taka decyzja może wynikać z przepisów sankcyjnych, regulaminu platformy albo oceny ryzyka.
Różnica między samym kodem a usługą zbudowaną wokół tego kodu ma więc duże znaczenie. Licencja może zezwalać na korzystanie z programu, lecz nie gwarantuje dostępu do serwerów, konsultacji i dodatkowych funkcji zapewnianych przez konkretną firmę.
Ryzyko po stronie przedsiębiorców
Firmy technologiczne powinny uwzględniać sankcje w systemach zarządzania ryzykiem. Szczególne znaczenie mają relacje z podmiotami, które mogą działać na rzecz rosyjskiej administracji, wojska lub przemysłu obronnego.
Ryzyko może obejmować również sankcje wtórne. Amerykańskie organy ostrzegają zagraniczne instytucje finansowe, że obsługa znaczących transakcji związanych z rosyjską bazą wojskowo‐przemysłową może prowadzić do objęcia ich ograniczeniami. (U.S. Department of the Treasury)
Problemy pojawiają się także podczas stosowania blokad geograficznych. Sam adres IP nie zawsze pozwala ustalić miejsce pobytu użytkownika. Rosyjskie podmioty mogą korzystać z serwerów pośredniczących, zagranicznych rachunków i przedsiębiorstw zarejestrowanych poza Rosją.
Naruszenie sankcji może prowadzić do wysokich kar, postępowań administracyjnych i utraty dostępu do określonych rynków. Odpowiedzialność zależy jednak od konkretnych przepisów oraz okoliczności danej sprawy.
Nowe zadania dla dostawców technologii
Firmy technologiczne potrzebują procedur, które pozwolą im rozpoznawać wojskowe wykorzystanie usług. Kontrola klienta podczas zakładania konta nie wystarcza, jeżeli sposób używania platformy zmienia się w trakcie współpracy.
Dostawcy powinni obserwować powiązania infrastruktury z podmiotami objętymi sankcjami, analizować nietypowy ruch oraz reagować na informacje wskazujące na wojskowe przeznaczenie aplikacji.
Znaczenie ma również okresowy przegląd regulaminów, zasad licencyjnych i mechanizmów blokowania dostępu. Zakres sankcji zmienia się wraz z kolejnymi decyzjami Stanów Zjednoczonych, Unii Europejskiej oraz innych państw.
Audyt powinien obejmować klientów, pośredników, dostawców i wykorzystywane komponenty technologiczne. Firma potrzebuje wiedzy o tym, kto korzysta z jej infrastruktury, jakie usługi otrzymuje oraz czy może przekazywać je kolejnym podmiotom.
Precedens dla przyszłych konfliktów
Przypadek rosyjskich aplikacji wojskowych może wpłynąć na sposób zarządzania technologią podczas kolejnych konfliktów.
Państwa autorytarne mogą wykorzystywać otwartość demokratycznych systemów przeciwko krajom, które te systemy stworzyły. Darmowe usługi, publiczne repozytoria i globalne platformy chmurowe zapewniają dostęp do infrastruktury, której samodzielna budowa wymagałaby ogromnych nakładów.
Przedsiębiorstwa technologiczne będą więc podejmowały coraz trudniejsze decyzje. Muszą pogodzić dostępność usług, rozwój innowacji, ochronę prywatności oraz obowiązki wynikające z sankcji.
Analiza Volodymyra Styrana pokazuje, że otwartość technologiczna wymaga skutecznych zabezpieczeń. Bez nich cywilna infrastruktura może stać się zapleczem działań wojennych, nawet gdy jej operatorzy wspierają państwo zaatakowane przez agresora.
Artykuł został napisany w oparciu o rzetelne źródła akademickie, prawne i branżowe, z głównym naciskiem na badania RUSI – jednej z najbardziej renomowanych instytucji badawczych w dziedzinie bezpieczeństwa międzynarodowego.
