Police backdoor discovered in Italian alternative server

やっぱりParanoiaを運営するAustistici/Inventatiのサーバにバックドアが仕掛けられていたようです。

Austisticiのウェブサイトには一時的にかもう閉鎖されたのか分かりませんが、アクセス出来なくなっています。
X-No-Archiveヘッダがないので、USENETに投稿されていた記事と日本語訳を載せておきます。英語には余り自信がないので、原文をチェックして下さい。

---------- 日本語訳 ----------

2005年6月21日にAustistici/Inventatiは警察にバックドアを仕掛けられているのを発見した。
そのサーバは多くのNGOや一般の活動家や公共の組織の為に、ウェブサイト、メ－ルボックス、メーリングリストをホストしていた。
バックドアは一年以上前の2004年6月15日にアナーキストの団体のCroceneraを捜査する為にボローニャの検察官の命令によりサーバを差し押さえて仕掛けられた。

それをサーバの法的な所有者は警察からも検察官からも知らされず、ISPは一時的な電源異常だと説明していた。

そして、警察はサーバ上のSSL証明書を手に入れ、そのサーバを通る捜査に関係のない人のデータも含めモニター、インターセプト、暗号解読出来る様々なツールをインストールした。
捜査に関係のない人のデータが集められた証拠はないが、その可能性は確実にある。

３万人を超える人のそのサーバを通った全てのトラフィックはインターセプトされた可能性がある。
イタリアの憲法で保証されているプライバシーと有罪が証明されるまでは無罪と見なされる基本的な権利が破られた。
Austistici/Inventatiはサーバが１年間に渡り、秘密裏にモニター、インターセプト、暗号解読されていた事実にもっとも怒っている。

それは３７５日間の個人的なあるいはデリケートな情報を盗み見していた可能性の後に発見された。
最初のステップはItalian Data Protection Authorityに正式に訴える事になるだろう。
一般的な法的戦略はまだ議論されている。

サーバはまだISP Aruba (based in Arezzo, Italy)にホストされている。
Autistici/InventatiははっきりとArubaのサーバを通る通信は安全ではないと考えられるとみんなに警告している。
そして彼らは新しいhousing providerを探している。

PRC (Partito della Rifondazione Comunista)のメンバーのTitti de SimoneとElettra Deiana、そしてGreen PartyのメンバーのMauro BulgarelliとPaoloCentoは警察とArubaがプライバシーと表現の自由に関するイタリアの法律に沿って行動したか調べるためにすでに 正式な質問状をthe Minister of
Communicationsに出した。

Arubaはイタリアの刑法に従っただけで、Autistici/Inventatiまたはそれ以外でも誹謗・中傷する関係者を訴える権利があるとプレスリリースを行った。

---------- USENETに投稿された原文 ----------

Date: Wed, 29 Jun 2005 21:19:17 +0200
From: "Thomas J. Boschloo"
Newsgroups: alt.privacy.anon-server
Subject: Source: EDRI-gram Number 3.13, 29 June 2005
Message-ID: <42c2f421$0$58579$e4fe514c@news.xs4all.nl>

-----BEGIN PGP SIGNED MESSAGE-----

============================================================
3. Police backdoor discovered in Italian alternative server
============================================================

On 21 June 2005 the Italian collective Austistici/Inventati discovered a
major police backdoor in their server. The server hosts a large number
of websites, mailboxes, mailing lists and Internet services for NGOs,
grassroots activists and public interest associations. The backdoor was
installed over a year ago, on 15 June 2004 by the Italian "Polizia
Postale" (Postal Police), after a seizure ordered by the Procura di
Bologna (Office of the Public Prosecutor in Bologna) in the context of
an investigation into the anarchist collective Crocenera.

The legal owners of the server ('Investici', a legally recognised
association) were not informed, nor by the police nor by the public
prosecutor. The provider claimed that the downtime - caused by the
Police putting the server off-line - was due to a power outage.

The police gained access to the private SSL certificate stored on the
server and installed several tools to monitor, intercept and decrypt all
the traffic going through the server - not only the traffic that was
actually relevant to the investigations. There is no actual proof that
any data (not relevant to the case under investigation) were collected,
but the possibility is definitively there.

Austistici/Inventati are most furious about the fact that the server was
secretly monitored, intercepted and decrypted for a whole year. All the
traffic that passed through the server from over 30.000 people was
potentially intercepted. Their basic rights to privacy and presumption
of innocence until proven guilty, as granted under the Italian
constitution, have been violated.

The collective discovered the backdoor on 21 June 2005, after three
hundred, seventy-one days of potential snooping of personal and/or
sensitive information. A first step will be a formal complaint to the
Italian Data Protection Authority; the general legal strategy is still
being discussed.

The server is still being hosted by ISP Aruba (based in Arezzo, Italy),
but Autistici/Inventati has clearly warned everyone that communication
going through that server is to be considered highly insecure and they
are looking for a new housing provider.

PRC (Partito della Rifondazione Comunista) members Titti de Simone and
Elettra Deiana, and Green Party members Mauro Bulgarelli and Paolo Cento
have already issued formal questions to the Minister of Communications
in order to find out whether the Postal Police, the Procura di Bologna
and Aruba S.p.a. have acted according to Italian laws on privacy and
freedom of speech.

Aruba has issued a public press release, stating that it just complied
to Italian criminal laws and that it would reserve its right to sue
Autistici/Inventati and/or any other interested party for libel and
slander.

Autistici/Inventati web site
http://www.inventati.org/

English summary: "It's not a private matter - it's a matter of privacy"
(21.06.2005)
http://www.autistici.org/ai/crackdown/

Press releases (in Italian)
http://www.autistici.org/ai/crackdown/stampa.html

Reply from the ISP: Caso Autistici, la replica di Aruba (28.06.2005)
http://punto-informatico.it/p.asp?i=53734&r=PI

(Contribution by Andrea Glorioso, Italian consultant on digital policies)

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (MingW32)
Comment: Using GnuPG with Thunderbird - http://enigmail.mozdev.org

iQB5AwUBQsL0NQEP2l8iXKAJAQFY4wMgkc1z78N3UVYqovGnbpDjveVFkyuXAtuu
QEE0FUjPaaprVda3+BMrHA+rXWN2FCFoodLsEXLrJfliQW3jcIXDTbNZg044jFf/
oaUJsVXYihT3OEaA8erNDP9Xd3edt/6CyfyBUA==
=oWyL
-----END PGP SIGNATURE-----