本文演示一个关于监视技术出口调查的开源情报分析，并提供一些相应的资源。希望更多公民社会组织加入到揭露工作中来
Privacy International 的新报告显示，拥有强大安全机构的国家一直在为其他国家培训、装备监视设备，甚至直接为外国监视机构提供资金。在技术进步的推动下，加强监视既有助于全球威权主义的增强，也有助于增强提供国的权威主义本身，这是对民主、人民权利和法治构成严重攻击的行为。
该报告探讨了一系列“监视援助”计划的例子：
提供了美国国务院、国防部和司法部如何促进外国监视能力的实例，以及大型武器公司如何融入这些计划的概述，包括美国的监视培训基地；
欧盟和欧洲各国正在全球范围内提供监视技术。欧盟已经花费数十亿美元在国外开发边境控制和监视能力，以阻止向欧洲的移民；
中国政府在“一带一路”倡议和其他扩展国际市场的努力中也得到了监视能力的支持。
这些计划不是将资源投入到长期发展解决方案中，而是进一步巩固了威权主义，并在世界范围内引发了权力滥用 —— 首先就是导致不安全的因素。隐私国际组织表示，如果这些“援助”国家真正想要帮助其他国家保持安全和稳定，他们应该建立学校、医院和其他基础设施，并促进民主和人权，而不是推广监视技术。
本文是一个指南，介绍一些可用于研究和调查的开源数据资料，即 #OSINT 开源情报资源，欢迎中国读者加入调查。
培训和资金
外国安全部队的培训和资金由国际机构、执法部门、军事和情报机构、以及司法和涉外部门完成。因此，获取数据取决于上述这些相关机构。其中许多提供了一些这些程序的一般信息，这些程序也可用于进一步的研究。
下面来演示这一调查。
—— 美国 ——
在美国，州（DoS）和国防部（DoD）部门向国会提交联合年度报告，描述向外国机构提供的所谓“安全援助” - 就是监视技术和资金援助。这些资料可以在这里找到，这里还包含了有关国家和机构的细目。例如，如果您希望查看某个国家/地区以及在哪个区域提供的培训，就可以查看这些年度报告，这些年度报告通常描述所提供的培训类型、美国实体和机构。
如上图：美国政府将监视技术培训课程提供给菲律宾的代理机构，而鉴于菲律宾的人权状况，这一“援助”是非常令人厌恶的。就在上周，菲律宾总统杜特尔特表示“美国中情局会要刺杀他”。我们对此表示怀疑，虽然中情局负责在海外刺杀外国领导人的历史已经众所周知。
Security Assistance Monitor 是一个美国的研究项目，它整理了这些数据并定期提供专家分析和新的数据，可在此处找到。该项目还提供有关如何使用数据的指南，以及如何访问由其提供的美国机构的原始数据，方便新手的使用。
其他与政策和预算有关的国防部信息可在其开放政府门户网站 Open Government portal 上找到; 预算文件描述了关于一些资金使用的一般细节。例如，“反恐伙伴关系”基金用于资助与博科圣地作战的外国机构，包括喀麦隆的安全部队，最近大赦国际指控他们严厉侵犯人权，包括使用酷刑，以及作为其犯罪的一部分的战争罪行，打击武装团体。
一些从事融资和培训外国机构的美国机构也向美国援助透明度门户网站 foreignassistance.gov 提供数据，包括国防部、国家、内政部、司法部和国土安全部。例如，可以为特定机构、项目和国家（例如世界各地的 DoD Train 和装备计划）或移民和海关执法局（ICE）与世界各地的其他安全机构合作开展的工作。
具体的美国机构和计划有时会提供自己的公开审计报告。例如，美国国务院国际麻醉品和执法事务局（INL）与外国安全机构合作，其任务是减少“到达美国海岸的犯罪和非法药物的数量。”该机构编制年度报告，概述了趋势和美国对国外能力的促进，以及（截至2009年的）最终用途监测报告，例如显示了 INL 为乌拉圭电信窃听提供的资金。
没有公开的信息可以涵盖美国国家安全局等情报机构所做的工作，该机构与外国间谍机构合作，例如资助和培训埃塞俄比亚的监视机构。
—— 欧洲 ——
欧洲国家和欧盟（EU）机构提供有关监视技术培训和筹资活动的各种数据。
欧盟通过各种基金、工具和机构，为非欧盟国家提供实质性支持，特别是与愿意实施边境管制措施的政府并且接近欧盟边境的国家，尤其是包括人权状况堪忧的土耳其。有关各种项目的信息可通过各欧盟机构的网页获得。
欧盟边境管制机构 Frontex 与18个国家的当局进行了正式的工作安排、协调活动，并提供边境控制措施和其他监视技术援助方面的培训。
总部设在匈牙利的欧盟执法培训局对欧盟和非欧盟执法机构进行监视技术培训。
欧盟对外行动服务处是欧盟的外交政策机构，负责管理各种基金; 例如对非洲的紧急信托基金，分配了 33 亿欧元的预算，支持 26 个国家，以提高抵御粮食不安全，创造支持就业，并解决侵犯人权的行为等。
但该基金的一个重点面向是移民，例如投入 2800 万欧元用于开发塞内加尔的全国生物识别系统（由一家私营安保公司 - 以前是法国内政部的一部分 - 实施）。这些项目可在各种专题和区域网页下获得。
欧盟委员会是欧盟的执行机构，有多个部门与其他国家合作。欧盟的财务透明度系统提供了委员会通过其部门、欧盟代表处的工作人员或通过执行机构授予的所有基金受益人的可搜索信息。
外交政策部门实施的项目旨在，例如，赋予妇女权力、排雷和选举监测，以及促进稳定与和平（IcSP），该项目资助预防冲突和建设和平，但其中一些项目有助于国外的监视和边境管制。这里提供了详细介绍该项目的地图。
欧盟各国还发布有关与外国安防合作的一般信息，例如，英国的冲突，稳定和安全基金（CSSF）在40多个国家进行了价值10亿英镑的项目，包括在国外培训警察和武装部队，例如 培训约旦的“内部安全机构使用[反恐]警务工具“。英国政府网站上提供了一些项目的一般描述。联合议会委员会最近得出的结论是，基金运作方式的保密程度意味着它无法“为通过 CSSF 支出的纳税人的钱提供议会问责制”。
—— 监视设备的转移 ——
政府机构使用的监视设备由世界各地的数百家公司制作提供，这些公司主要位于拥有最大间谍机构的大型武器出口国。Privacy International 与 Transparency Toolkit 一起收集了 528 家监控公司的信息，作为监控行业指数（SII）的一部分，其中包括有关公司位置、产品和销售的信息，可在sii.transparencytoolkit.org上获取。并且，这里提供了一份对此行业的总结报告。
由于过度的所谓“国家安全”和监视公司的保密性，获取有关销售和出口的信息非常困难，因此只能依赖于我们介绍给过的诸多调查研究技术、信息自由法案下的请求、内部文件泄漏和政府举报人。但后者如今变得越来越困难了，比如在美国，奥巴马政府八年内逮捕的举报人是他所有前任的总合还多，并且如今的特朗普政府看起来仍在延续这一逮捕判刑的措施，就在上周，第一个将内部文件提供给媒体以警告俄罗斯预计在大选前攻击选举系统的举报人，被判刑。
所有以美国为参照模版的国家都将效仿这种政府保密措施，对揭露黑幕的人予以严惩。其结果就是为更多国家的政治揭黑调查造成严重的障碍。
由于政治透明度越来越低，目前此处的开源调查只能使用 SII，它旨在通过提供公司信息帮助研究人员获取数据; 使用这种方法也可以进行进一步的研究，例如依照信息自由法案提交请求，虽然有难度，而且耗时。有一些一般信息可以在政府报告中找到。
信息自由法案听起来不错，但也不是万能的。许多二战后美国进行心理战的详细文件一直以来尘封于世，属于绝密文件受特殊法律保护，无法通过信息自由法案或任何正常渠道获得解密。直到国会对水门事件的调查才让一些实施心理战的神秘机构首次露出冰山一角。
一些国家，例如印度，公布了有关进口和出口的运输数据。在此数据中搜索监控公司名称（在 SII 中可用），或者使用监控行业常用的行业术语，可以找到进口监控设备。
运往印度的进口数据可在多个站点上获取（这一示例来自这里）
政府采购数据是查找销售监视技术相关信息的最佳开源之一。除了机构专用网站上的招标文件外，还有集中的政府采购网站，但更多可深入调查的细节往往受到限制。公司、监视产品和功能可以在 SII 中找到：例如，搜索特定的监控公司或设备类型有时会能检索相关数据。
美国联邦采购网站，显示了一家名为 SS8 的提供拦截电信网络的监控公司，与美国驻巴哈马大使馆之间的合同。
通过在网站上搜索特定公司或政府部门，可以找到有关美国政府合同的信息。
同样，欧盟在其网站 TED 上公布的采购数据，此搜索可显示欧盟面部识别技术的合同。
一些国家还公布了可公开获得的采购数据，例如孟加拉国国家采购点，此处显示各种监测设备的各种招标通知。
以下是孟加拉国“快速行动营”的招标通知，这是一个臭名昭着的安全机构，因其滥用职权而被称为“死亡小组”。
导出控制数据
大多数大型武器出口国都有一个出口管制系统，这使得公司有法律义务在出口物品之前寻求政府的事先许可。
政府通常决定哪些项目需要通过国际机制加以控制，例如 Wassenaar Arrangement，规定参与国决定应该控制哪些军事和“双重用途”项目。目前列表中有几个监视项目，这意味着参与国也控制其出口。每个项目在清单上都有一个代码，各国也在其国家控制清单中使用; 该清单是公开的，附件中列出了最相关的类别。
其中一些国家随后公开报告了他们批准或拒绝了哪些许可，这意味着可以获得有关哪些出口公司寻求许可的数据。因此，这些数据提供了监视技术出口的详细信息。根据数据量显示，它可以提供有关监视技术公司、产品、出口价值以及产品最终用户的信息。
例如，瑞士每个季度都会在出口管制机构的网页上公布数据，但在提供有关该国公司或最终用户的信息方面做得不够。英国每个季度都会在一个专用平台上发布数据，但该平台太特殊了且难以解释。“反武器贸易运动：组织开发了一种资源，简化了这一步骤，可在其网站上公开获取。斯德哥尔摩国际和平研究所列出了所有在其网站上提供有关出口的公开信息的国家。
其他数据来自临时议会审查; 例如，德国于 2015 年进行了一次审查，提供了德国所有类别的出口信息，部分信息可被解释为有利于监测。
然而，大多数国家，包括许多监视公司所在地的国家，如法国，德国，以色列，意大利和瑞典，都没有提供足够详细的信息，无法了解出口的设备类型。它们要么根本不提供任何数据（即使在欧盟通常对军用和军民双用设备出口采取更多透明度措施的情况下，28个成员国中有11个国家在记者询问时拒绝提供任何细节），或者当局只提供一般统计数据。
然而，利用信息自由法案请求，部分记者获得了有关出口的信息。
例如，主板已成功获得向英国出口管理机构申请出口许可证的公司名单，并绘制了英国的出口图。
SpyTechExports 获得了有关来自美国、英国和其他地方的秘密监听设备出口的数据。
BBC 和 Information Dagbladet 已经能够从丹麦获得出口许可证文件的副本，证实了 BAE Systems 在向世界各地的专制国家销售互联网监控设备方面所发挥的作用。
计算机周刊还能够获得英国政府的内部通信，显示不同的政府部门如何评估许可申请，并确认在英国签署将 IMSI Catcher 出口到马其顿的代理商的许可时缺乏合适的风险分析，随后导致 2万名活动家、政治家和记者遭到大规模窃听。
Telerama 已经能够获得有关在中东和北非销售大规模互联网监控设备的法国监控公司的数据。
芬兰政府提供了有关电信拦截设备出口的详细信息，以响应 Privacy International 提出的信息自由要求。
但是，通过此类请求获取信息很困难，并且取决于有关机构的限制性政策。直接装备国外同行的情报机构的行为，比如在英国等一些国家，会完全置身于任何信息自由立法案之外。
世界各地的隐私权国际组织和其他非政府组织一直呼吁欧盟通过具有约束力的立法，而不是依赖此类披露，使欧盟强制要求监视技术出口的透明度报告 - 希望能在 2019 年的下一次欧洲议会选举之前通过。根据欧盟立法者准备采取的措施，最终要追求监视出口商、产品和最终用户的信息定期公开发布。
这些改革的通过是很重要的; 透明度不仅对于提供有关监视技术行业和贸易的信息非常重要，而且对于解决腐败问题也至关重要，这也是民主的必要条件：这些决定是在政府政策的基础上作出的。如果监督机构 - 议会和公众不知道这些决定是什么，他们就无法知道政策是否得到了遵守，更不用说政策本身是否是人民的民主意愿。
虽然威权政府继续保密，并且随着更民主的政府继续使用过于宽泛的所谓“国家安全”定义并优先考虑公司保密，世界各地的研究人员也都应该寻找和揭露监控技术的转移。否则只能看到监视技术被用来剥夺人民的权利，进一步推动威权主义以破坏民主。
—— 附：目前在国际出口管制清单内的监测项目 ——
“5.A.1.f 移动电信拦截或干扰设备及其监控设备，如下所述，以及为此专门设计的部件”
这包括诸如“ IMSI 捕手 ”之类的项目，它们可以定位、跟踪和拦截特定区域内所有移动电话的通信，以及卫星电话拦截设备。
“5.A.1.j IP 网络通信监视系统或设备，以及为此专门设计的组件”
这包括大规模的互联网监控工具，例如 BAE Systems 出口到世界各地的威权国家的工具。
“4.A.5 为”入侵软件“的生成、指挥和控制或交付而特别设计或修改的系统、设备及其组件
这可以包括用于控制监视黑客操作中使用的恶意软件的系统，其能够攻击设备以访问所有可用数据和控制功能，例如相机和麦克风。各国也可以使用此类别来控制对保护隐私至关重要的活动，例如 IT 安全研究（PI 和其他非政府组织正在迫使当局更新此类别以保护 IT 研究）。
“6.A.5.G '激光声学检测设备'”
通常被称为激光麦克风，可用于例如通过利用窗户来监听对话。我们在这篇《反侦察技巧》补充的文章中简单介绍过这东西，以及抵御它的方法。
“5.A.2”“信息监控”系统，设备和部件如下......“
就如在《监视之恶》系列中我们指出过的，各国还控制抵抗监视技术的加密技术的出口，与此同时却不控制监视技术的出口。密码学对于保护数据免受犯罪集团的侵害至关重要，现在更加重要，因为我们的设备以及持有我们信息的公司和政府会生成和储存更多数据。虽然这个类别自 90 年代以来已经大大淡化（就是在密码朋克兴起并发动加密战争的时期），但它仍然控制着广泛的项目，包括一些可以用于监视的项目，并且没有明确列在任何其他类别中，也就是说无法查找。
“ML11.A 电子系统或设备，设计用于军事情报或安全目的监视和监测电磁频谱，或用于抵制此类监视和监视的技术”
与加密技术类似，此类别控制“专门为军事用途设计”的各种设备，包括例如红外或热成像监视设备、和军用监视飞机。（这里我们曾经介绍过抵制前者监视的方法）
“9.A.12” 无人驾驶飞行器“（”无人机“）、无人驾驶”飞艇“，相关设备及部件，如下”
此类别控制无人机或浮空器，这些无人机或无人机设计为能够在某些性能水平之外飞行。无人机可配备先进的持久性空中监视系统，可以一次多小时监视地面上的移动，以及可用于监视移动电话通信的电子信号拦截设备。手机使用产生的数据被用于暗杀无人机瞄准地面上的人。（这篇文章中可以看到更多介绍，和中国对此技术的使用）
此前我们编译过中国的监视技术向俄罗斯出口的消息：俄罗斯调查委员从美亚柏科采购取证魔方去检测和解码消息应用 Telegram、Skype 和 Viber 等的存档。根据政府采购文件，调查委员会上个月在采购取证魔方上花了 500 万卢布。（我们三年多前介绍过“美亚柏科”，这个中国互联网监视技术生产商，你可以在这里看到）
取证魔方能破解 Android OS 和 iOS，自动提取设备 ID，包括用户名，电子邮件和电话号码。它还能获取社交网络 Facebook 和 Twitter 的数据。取证魔方解码的是 Telegram 的普通消息，而非启用端对端加密的加密消息。
关于中国国内，已经有数据显示，自2016年初以来几乎每个省份的警察局都试图购买智能手机数据提取技术，同时内部安全支出大幅增加，全力以赴为打击异议。这些文件提供了一个罕见的一瞥，当政府压制不同意见时，中国努力推动使用高科技监控工具武装安全部队。
扫描仪是手持式或桌面式设备，可以入侵智能手机，提取和分析联系人列表，照片，视频，社交媒体帖子和电子邮件等。手持设备还允许警察快速窃听街道上的电话内容。被揭露的数据包括来自33个省份，地区和直辖市中的32个、171个警察局的监视请求，似乎只显示了总支出的一部分。
该数据显示，自2016年初以来，这种监视设备的预算或支出超过1.29亿元（1900万美元），数量在2017年和2018年再次加速。上海的监视技术预算约为60万元人民币，用于购买手机扫描仪和数据抓取工具。
据称全国各地的警察局都可以查询和提取电子设备扫描数据的集中存储库，“几乎每个派出所都有这种入侵设备……根据今年早些时候在北京举行的警察技术展览会上看到的价格，中国制造的设备成本仅为1万元人民币，而其他设备成本则高达数十万元人民币。
需要提醒注意的是：采购文件显示，一些警察局要求提供工具，可以从Twitter，Facebook 及其WhatsApp聊天服务，Alphabet Inc（GOOGL.O）谷歌 Chrome浏览器上的用户帐户中提取数据，还有日本的 Line 消息平台。
该文件称，“基本数据收集功能”必须包括“手机密码，通讯录，通话记录，短信记录，彩信，图片，音频和视频数据，日历，备忘录和移动应用数据”。其他被列出的工具可能会破坏知名智能手机品牌，如三星电子，黑莓，中国自己的小米和华为，以及对苹果 iPhone 的暴力破解。三星，黑莓，小米和华为没有回应置评请求。苹果拒绝发表评论。
2017年，中国在国内维稳方面的支出约为1.24万亿元，占政府总支出的6.1％，超过军费支出。在北京新疆等地区，内部安全预算（其中监控技术的部分）已经翻了一番。在北京科技区的一个狭窄的培训中心里，工程师展示了一台这样的机器：灰色的鞋盒大小，它可以从三星智能手机中提取数据。
该扫描仪由以色列公司 Cellebrite 制造，但中国厦门美亚柏科、海信科技和 Pwnzen Infotech 等公司也在中国广泛使用。这种技术有望破解大多数智能手机，包括 iPhone。
没有理由相信中国的监视技术除了向俄罗斯出口之外不会再向其他国家出口，事实上我们在早前的报道中已经介绍过：中国公司向玻利维亚、委内瑞拉和厄瓜多尔提供监控技术能力。在厄瓜多尔，中国电子公司向该国 24 个省提供了监视摄像头网络 — — 包括一些配备面部识别功能的摄像头、以及一个定位和识别手机的系统。
尤其是被“一带一路”计划带动的有可能是大面积的输出，令人焦虑。
并且需要重点提醒的是：中国是多家提供电话破解服务和取证软件的公司的所在地，而不仅仅是 Cellebrite 和 Grayshift，尽管这两者最出名的是向美国执法部门出售技术。电话破解在中国并非必不可少，大多数公民在被要求时会及时交出密码，以免于被拘押。
值得注意的不只有技术。这种技术无处不在。除了全面的面部识别和其他生物识别跟踪外，美国执法部门还可以获得大部分内容，板式读卡器、取证设备、众多执法数据库、社交媒体跟踪软件等……这些都已经在使用中。中国也一样。
中国部署的大部分内容都是以所谓的“安全”名义进行的。这与911事件后美国建立的大规模监视设备的理由相同。极权主义国家的框架已经到位。美国与中国区别的唯一因素是美国的宪法权利，但斯诺登提供的文件显示，大面积违宪行为是如此的普遍和深远。
目前为止没有关于中国的更多消息了。虽然“信息自由法案”不怎么好用，但中国彻底没有；虽然部分中国人已经明白，透明度革命是当下几乎唯一的选择，但是中国没有 Snowden 和 Wikileaks 的精神；虽然中国有很专业的黑客，但目前为止还没有具备这一层面上的正义感的行动者。于是当局可以保持封闭，一切都无从知晓（我们怀疑俄罗斯监视设备的购买是俄罗斯方面有意透露的，参见这里：关于中俄军事关系的升级分析）
所以，关于“怎么办”的答案就在上述。◾️
感谢帮助 iYouPort！
PayPal 捐赠渠道已开通 https://paypal.me/iyouport
Comments