Kto żabą wojuje...

Nie należę do obrońców spamu, ale trudno mi akceptować działania mające DDoS'ować spamerów - w ten sposób cofamy się nieco w rozwoju społecznym. Na przykładzie niebieskiej żaby (Blue Frog) widać, że w Sieci toczy się krwawa wojna. System obrony przed spamem pod naporem zwrotnego ataku poddał się wczoraj presji (w Światowy Dzień Telekomunikacji). Pewnie tylko do czasu, aż wymyślą strategię obrony przed zwrotnymi atakami.

Eran Reshef z izraleskiej firmy Blue Security Inc. wpadł na taki pomysł, by walczyć ze spamem za pomocą spamu właśnie. Gdy ktoś wysyłał niezamówione wcześniej, elektroniczne reklamy, mógł liczyć na to, że ze wszystkich maszyn klientów Blue Security (a tych klientów jest ponoć 522 tysiące) uzyskają specjalnie spreparowaną zautomatyzowaną "odpowiedź" w tym samym czasie. Efekt jest wiadomy - wyłączenie usługi, DOS (operator witryny reklamującej się metodami spamerskimi miał wcześniej szansę uchronić się przed atakiem odwetowym żaby, wystarczyło, by usunął chronione przez . Blue Security adresy ze swojej bazy; zresztą o działaniu systemu poniżej)

Tego typu przeszkadzanie spamerom w dystrybucji treści reklamowych nie mogło się im spodobać, dlatego przypuścili atak. W wyniku ataku Distributed Denial of Service (atak wyłączenia usługi) ucierpiały również inne serwisy: jeden z popularnych serwisów blogowych, do którego twórcy żaby przekierowali domenę swojej strony głównej, a obsługiwany przez Six Apart Ltd., również firma Tucows Inc., która hostowała domeny Blue Security... Do kontrataku wykorzystano spamerskie botnety

Przemoc rodzi przemoc. Wydaje mi się, że działania, które - przynajmniej w mojej ocenie - nie powinny być uznane za zgodne z prawem (nie przekonują mnie argumenty na podstawie których można w tym przypadku uznać działanie systemu Blue Frog za działanie w stanie wyższej konieczności czy też, by to działanie mieściło się w granicach obrony koniecznej), nie powinny być uzasadniane walką o szczytne idee. Również złoczyńca ma jakieś prawa (tu nawiązuje do dzisiejszej mojej polemiki na ten temat z Mariuszem, którą sobie toczyliśmy w realu). W moim odczuciu działający jako przestępca nie stawia się poza systemem prawnym (spamer również powinien być chroniony przed DDoSem, a cywilizowanym sposobem rozstrzygania sporów jest sąd, zaś przeciwdziałaniem przestępstwom winien się zajmować skutecznie działający system aparat ścigania i wymiar sprawiedliwości).

Jasne, że ciężko dziś walczyć ze spamem za pomocą niedoskonałego prawa, którego nie ma na razie jeszcze jak egzekwować, zwłaszcza w świecie globalnym, w którym spamerzy beztrosko "przekraczają wszelkie granice" (zarówno państwowe jak i przyzwoitości). Ale zastanawiam się nad tym stanem wyższej konieczności. By można było mówić o działaniu w stanie wyższej konieczności, to takie działanie podjęte w celu ratowania dobra (prywatności, niezakłóconego działania infrastruktury) winno być zgodne z zasadą subsydiarności (czyli, że musi być jedynym wyjściem). Wydaje mi się, że DDoS na spemerskie serwisy nie był jedynym wyjściem (chociaż zdaje sobie sprawę, że z tą tezą można dyskutować). Należy też wziąć pod uwagę zasadę proporcjonalności, czyli, że dobro ratowane musi przedstawiać wartość wyższą niż dobro poświęcone. Każdy taki atak z botnetu (obsługiwanego przez gości w czarnych ale i białych kapeluszach) generuje w Sieci niezwykle dużo zbędnego ruchu, który jest dla infrastruktury niezwykle szkodliwy. Siłą rzeczy cierpią również osoby trzecie, zupełnie nie zaangażowane w "spór". Stan wyższej konieczności uregulowany jest w Polsce w art. 26 kodeksu karnego (poniżej przywołanego).

System Blue Frog być może stanowił sposób na odparcie "bezpośredniego, bezprawnego zamachu na dobro chronione prawem" (jw.: prywatność, niezakłócone działanie infrastruktury, etc). Wydaje mi się jednak, że DDoSowanie spamerskiego serwisu stanowi w istocie przekroczenie granic obrony koniecznej (nie dość, że sprawca zastosował sposób obrony niewspółmierny do niebezpieczeństwa zamachu - eksces intensywny, to jeszcze obrona nastąpiła po ataku - eksces ekstensywny, chociaż przyjmuję, że działanie spamerów można uznać za ciągłe)...

Elliot Noss z Tucows skomentował całe zajście (czyli atak na żabę) w następujący sposób: to było jak próba zabicia komara za pomocą bomby atomowej ("This attack really was like trying to take out a mosquito with an atomic bomb"). Myślę, że w podobny sposób można opisać wyłączenie usługi spamera za pomocą botnetu żaby.

Blue Frog ma w moim odczuciu więcej wspólnego z samosądem (czy też czymś na kształt historycznego kontratypu samopomocy, np. "krwawej zemsty") niż funkcjonowaniem demokratycznego państwa prawa (chociaż w erze globalizacji nie ma jednolitego globalnego państwa, nie ma jednolitego globalnego prawa, nie ma jednolitego, globalnego aparatu ścigania i takiegoż samego wymiaru sprawiedliwości). Wniosek z tego taki, że mamy globalny "dziki zachód" i "prawo pięści".

Okazuje się (co zresztą nie jest żadną nowiną), że przepustowość Sieci ma swoje granice. Atak na Blue Security obrazuje możliwości jakimi dysponują dziś spamerzy (sieci zainfekowanych komputerów zombie, które przy okazji jeszcze innych technik ataku potrafią skutecznie wyłączyć działania infrastruktury przedsiębiorstwa takiego jak Prolexic, specjalizującego się ponoć w obronie przed DDoS'em). Słuszne wydają się wnioski komentatorów, że internet nie spełnia tych założeń, które leżały u podstaw jego projektu (miało być tak, że gdy wyłączyć jeden z węzłów sieci, sama sieć dalej będzie sobie działać). Słuszne są też w mojej opini obawy tych, którzy pochylają się nad zagrożeniem, jakie stanowią botnety, komputery zombie, etc pod palcami złoczyńców (przeczytaj felieton: Wirtualny terror).

Z mojej perspektywy - do rozważenia jednak pozostaje wiele kwestii prawnych (tak, tak, znam ten argument, że prawo nie nadąża za postępem technicznym i społecznym), w szczególności odpowiedzialności za międzynarodowe działania ścigane przez prawo karne (zarówno w przypadku spamerów, jak również w przypadku stworzonego ad hoc botnetu Niebieskiej Żaby i prywatnego systemu ochrony adresów pocztowych - Do Not Intrude Registry, DNIR). Pozostaje kwestia odpowiedzialności za szkodę w przypadku serwisów (osób), które ucierpiały przy okazji tej wojny. Wszak możemy mówić o odpowiedzialności odszkodowawczej za działania własne, za przyczynienie się do powstania szkody, za działania osób trzecich... A przecież zgodnie z ogólnymi zasadami odpowiedzialności odszkodowawczej: "Kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia" (Art. 415). Można też rozważać odpowiedzialność za naruszenie dóbr osobistych (art. 24 kc), gdzie dobrem osobistym jest właśnie niezakłócone działanie infrastruktury telekomunikacyjnej... Ufff. Problemów jest masa.

O Blue Security u Tonida: "W 2004 roku Eran Reshef i Amir Hirsch z Izraela założyli firmę Blue Security. W 2005 roku firma wydała na świat swoje dziecko, czyli program Blue Frog. Jednocześnie uzyskała spore fundusze inwestycyjne, 3 mln USD od Benchmark Capital". Tam również opis działania systemu Blue Frog, na temat którego można znaleźć informacje w angielskojęzycznych źródłach:

• Washingtonpost.com: In the Fight Against Spam E-Mail, Goliath Wins Again
• Slashdot: Blue Security Gives up the Fight
• Wired: Under Attack, Spam Fighter Folds

Kodeks Karny (wybór)

Art. 25. (obrona konieczna)

§ 1. Nie popełnia przestępstwa, kto w obronie koniecznej odpiera bezpośredni, bezprawny zamach na jakiekolwiek dobro chronione prawem.

§ 2. W razie przekroczenia granic obrony koniecznej, w szczególności gdy sprawca zastosował sposób obrony niewspółmierny do niebezpieczeństwa zamachu, sąd może zastosować nadzwyczajne złagodzenie kary, a nawet odstąpić od jej wymierzenia.

§ 3. Sąd odstępuje od wymierzenia kary, jeżeli przekroczenie granic obrony koniecznej było wynikiem strachu lub wzburzenia usprawiedliwionych okolicznościami zamachu.

Art. 26. (stan wyższej konieczności)

§ 1. Nie popełnia przestępstwa, kto działa w celu uchylenia bezpośredniego niebezpieczeństwa grożącego jakiemukolwiek dobru chronionemu prawem, jeżeli niebezpieczeństwa nie można inaczej uniknąć, a dobro poświęcone przedstawia wartość niższą od dobra ratowanego.

§ 2. Nie popełnia przestępstwa także ten, kto, ratując dobro chronione prawem w warunkach określonych w § 1, poświęca dobro, które nie przedstawia wartości oczywiście wyższej od dobra ratowanego.

§ 3. W razie przekroczenia granic stanu wyższej konieczności, sąd może zastosować nadzwyczajne złagodzenie kary, a nawet odstąpić od jej wymierzenia.

§ 4. Przepisu § 2 nie stosuje się, jeżeli sprawca poświęca dobro, które ma szczególny obowiązek chronić nawet z narażeniem się na niebezpieczeństwo osobiste.

§ 5. Przepisy § 1-3 stosuje się odpowiednio w wypadku, gdy z ciążących na sprawcy obowiązków tylko jeden może być spełniony.