Nyligen publicerades en analys av ett spionprogram som skulle kunna vara Finspy, en del av FinFisher som säljs till myndigheter av Gamma International UK Ltd. Det är en trojan som kan användas för att stjäla lösenord, avlyssna vad som skrivs på en dator, kopiera filer och samtal med Skype med mera. Trojanen har skickats med e-post till demokratiförespråkare i Bahrain för att infektera deras datorer.
Analysen visade att Finspy verkar innehålla kod från GNU Multi-Precision arithmetic library, även kallat GMP. Därför passar vi på att ställa några frågor till DFRI:s medlem Torbjörn Granlund.
Vad är GMP och vad är din koppling?
GMP är ett programbibliotek som tillhandahåller snabb aritmetik på stora heltal. Det används för kryptotillämpningar, för forskning inom beräkningsinriktad talteori och dito algebra.
Jag startade GMP-projektet 1991 och har skrivit den mesta koden. På senare tid har GMP dessutom blivit mitt forskningsprojekt på KTH.
Hur fick du redan på att GMP används i Finspy?
Jag fick höra om detta från EFF:s John Gilmore. Han skickade dessutom en länk till en utredning av detta: From Bahrain With Love: FinFisher’s Spy Kit Exposed?
Vad tycker du om att koden används i trojaner?
Trojaner är ju alltid obehagliga program, och en trojan som är avsedd för bruk mot aktivister i totalitära länder är ju helt enkelt vidrig. Att det är ett till synes normalt företag som ligger bakom det hela gör saken extra upprörande.
Kan du säga något om ifall Finspy använder GMP enligt licensvillkoren?
Licensen kräver att användare får information om licensen och om att de har rätt till källkod och omlänkningsbar objektkod. Såvitt jag har förstått har demokratiförespråkarna inte fått sådan information tillsammans med trojanderna…
Det fina företaget bör därför anses ha stulit GMP. De säljer nu alltså en GMP-baserad produkt till diktaturer i strid med GMP-licensen.
Vidtar du några åtgärder mot företaget?
Utgå från att vi inte kommer acceptera detta. Precis vad vi kommer göra är inte helt klart ännu.
Har du tidigare råkat ut för att någon brutit mot licensvillkor för mjukvara som du utvecklat?
Det har hänt ett par gånger. Jag har rapporterat detta till FSF och SFLC, som har hanterat det.
Fast inget så här allvarligt har hänt tidigare.
Hur kommer det sig att du är medlem i föreningen DFRI?
Jag är med i DFRI eftersom jag är mycket orolig för utvecklingen i västvärlden när det gäller övervakning och rättighetsinskränkningar.Nyligen publicerades en analys av ett spionprogram som skulle kunna vara Finspy, en del av FinFisher som säljs till myndigheter av Gamma International UK Ltd. Det är en trojan som kan användas för att stjäla lösenord, avlyssna vad som skrivs på en dator, kopiera filer och samtal med Skype med mera. Trojanen har skickats med e-post till demokratiförespråkare i Bahrain för att infektera deras datorer.
Analysen visade att Finspy verkar innehålla kod från GNU Multi-Precision arithmetic library, även kallat GMP. Därför passar vi på att ställa några frågor till DFRI:s medlem Torbjörn Granlund.
Vad är GMP och vad är din koppling?
GMP är ett programbibliotek som tillhandahåller snabb aritmetik på stora heltal. Det används för kryptotillämpningar, för forskning inom beräkningsinriktad talteori och dito algebra.
Jag startade GMP-projektet 1991 och har skrivit den mesta koden. På senare tid har GMP dessutom blivit mitt forskningsprojekt på KTH.
Hur fick du redan på att GMP används i Finspy?
Jag fick höra om detta från EFF:s John Gilmore. Han skickade dessutom en länk till en utredning av detta: From Bahrain With Love: FinFisher’s Spy Kit Exposed?
Vad tycker du om att koden används i trojaner?
Trojaner är ju alltid obehagliga program, och en trojan som är avsedd för bruk mot aktivister i totalitära länder är ju helt enkelt vidrig. Att det är ett till synes normalt företag som ligger bakom det hela gör saken extra upprörande.
Kan du säga något om ifall Finspy använder GMP enligt licensvillkoren?
Licensen kräver att användare får information om licensen och om att de har rätt till källkod och omlänkningsbar objektkod. Såvitt jag har förstått har demokratiförespråkarna inte fått sådan information tillsammans med trojanderna…
Det fina företaget bör därför anses ha stulit GMP. De säljer nu alltså en GMP-baserad produkt till diktaturer i strid med GMP-licensen.
Vidtar du några åtgärder mot företaget?
Utgå från att vi inte kommer acceptera detta. Precis vad vi kommer göra är inte helt klart ännu.
Har du tidigare råkat ut för att någon brutit mot licensvillkor för mjukvara som du utvecklat?
Det har hänt ett par gånger. Jag har rapporterat detta till FSF och SFLC, som har hanterat det.
Fast inget så här allvarligt har hänt tidigare.
Hur kommer det sig att du är medlem i föreningen DFRI?
Jag är med i DFRI eftersom jag är mycket orolig för utvecklingen i västvärlden när det gäller övervakning och rättighetsinskränkningar.
