Pavol Lupták: Najlepší spôsob ako bojovať so štátom, je nechať ho vyhladovať

Pavol Lupták založil v roku 2007 slovenskú firmu na IT bezpečnosť Nethemba s.r.o. špecializujúcu sa na penetračné testy, bezpečnostné audity a ochranu digitálneho súkromia. Prednedávnom sa rozhodol rozbehnúť iniciatívu Nepracujeme pre štát, ktorej obsahom je ignorovanie projektov pre štátny sektor. Pavol je už povahy svojho podnikania expertom na spôsoby, ktorými Veľký Brat získava informácie o svojich občanoch.
O jeho snahe nešpiniť si ruky v skorumpovaných štátnych tendroch, odpočúvaní, sledovaní a mnohom inom sme sa rozprávali v rozsiahlom interview.

Zaujal ma váš projekt Nepracujeme pre štát. Hlavne prvých 5 bodov, v ktorých vysvetľujete vašu iniciatívu, pretože mám úplne rovnakú skúsenosť so spoluprácou s verejným sektorom. Máte už za sebou nejaké štátne projekty?
Robili sme rôzne štátne projekty v Českej republike a na Slovensku a takmer vždy to bolo nadštandardne náročné, hlavne čo sa týka úvodnej presales fázy. A potom sme si jedného pekného dňa povedali, že stačilo. Tých dôvodov bolo veľa a osobne si vyčítam len to, že sme to nespravili už skôr.

Ja som si všimol, že existujú v podstate dva druhy firiem, ktoré sa nie veľmi prelínajú – tie čo investujú do tzv. kontaktov a špecializujú sa čisto na štátne projekty a ostatné, ktoré sa snažia bojovať o zákazníka zvyšovaním svojej konkurencieschopnosti. Ale ty tvrdíš, že aj bežná firma sa dostane k štátnej zákazke.
Dovolím si tvrdiť, že to, čím sa zaoberáme my, je na slovenské pomery celkom unikátne, takže to nerobí až tak veľa konkurenčných firiem. V minulosti nás teda štátne inštitúcie oslovovali celkom bežne a častokrát aj priamo. Verejných tendrov sme sa zúčastňovali bez akýchkoľvek známostí. Bohužiaľ, častokrát boli naše ponuky zneužité ako krycie.

Čo to znamená krycia ponuka?
Pred pár rokmi minister Mikloš robil reformy verejných obstarávaní v oblasti IT. Platí pravidlo, že vo verejnom obstarávaní musí byť isté minimálne množstvo konkurenčných ponúk, aby bolo platné. V praxi to znamená, že firma, ktorá to má vopred dohodnuté, potrebuje zabezpečiť ďalšie „konkurenčné“ ponuky. Minimálne v IT sa toto celkom bežne deje. Vy pripravíte kryciu ponuku teraz nám a my nabudúce zase pripravíme kryciu ponuku pre vás. Naša spoločnosť v svojich etických podmienkach od začiatku takéto praktiky odmietala a odmieta.

Ako ste sa dozvedeli, že vaša ponuka vôbec nebola braná do úvahy?
Podľa rôznych indícií. Boli sme vylúčení kvôli formálnym nedostatkom. Napríklad nás oslovila jedna štátna inštitúcia. Chcela vedieť koľko stojí štandardný penetračný test. My sme im povedali cenu. Následne chcela vedieť, koľko stojí 15 takýchto testov. Ponúkli sme im na to 20 percentnú množstevnú zľavu. Oni nás následne vylúčili bez toho, aby nám dali čokoľvek vedieť. Keď sme sa informovali prečo, tak nám oznámili, že tá výsledná cena pre 15 testov nezodpovedá cene jedného testu krát 15.
Tak teraz neviem, či nás skúšali zo základnej násobilky alebo bol dôvod vylúčenia úplne iný. Keď obchodujeme so súkromnou firmou, ktorá reálne chce naše služby, tá nás nikdy nevylúči z tendra za formálne nedostatky. Súkromná firma primárne potrebuje dodať službu a to kvalitne a za rozumnú cenu. A ak sú akékoľvek nejasnosti, tak sa ti jednoducho ozvú a rieši sa to.

Je možné aby poctivá súkromná firma, ktorá nemá kontakty, získavala štátne zákazky?
Ja by som IT spoločnosti na Slovensku rozdelil do troch kategórií. Sú tu firmy, ktoré parazitujú na verejnom sektore a ich klientom je výhradne iba štát. To sú firmy, ktoré v závislosti od toho, aká strana vyhrá voľby, buď vyhodia 70 zamestnancov alebo ich 70 príjmu.
Druhou kategóriou sú relatívne normálne firmy, ktoré sem tam pracujú pre štát, ale fungujú aj v súkromnom biznise. A tretiu kategóriu firiem práve zavádzame našou iniciatívou Nepracujeme pre štát.

Tá prvá kategória tzv. štátnych podnikateľov, nemajú to poistené na obe strany?
Áno, väčšinou to už teraz funguje takýmto spôsobom. Ak si napojený na štát, tak si buď kamarát s „červenými“ alebo s „modrými“. Ak si kamarát s „červenými“, tak to vyhrá tvoja firma. Zaúčtuješ si adekvátnu províziu a necháš to spraviť „modrých“. A samozrejme naopak. Niekedy je to celé ale o dosť komplikovanejšie a podstatne nejasnejšie. Takže v konečnom dôsledku je to win-win situácia a je teda úplne jedno, či sú pri moci „modrí“ alebo „červení“.
Preto ako firma máme etické pravidlo – akceptujeme len projekty na ktorých participuje medzi koncovým klientom a nami jeden, maximálne dvaja dodávatelia v obchodnom reťazci.

Z mojej skúsenosti vyhrávajú obrovské štátne zákazky firmy, ktoré ani nemajú kapacity takéto zadanie dodať.
Verejné obstarávania sú častokrát organizované na extrémne obrovské projekty. Technicky to použitím len vlastných zdrojov nedokáže realizovať žiadna firma. Takže to vyhrá nejaká spoločnosť, do ktorej sa zaobalí ďalších 20 nakontrahovaných firiem, ktoré na tom potom reálne participujú. Toto je bežná situácia.
Problém je, že keď máš zadanie takto komplexne definované, do výberového konania dokáže vstúpiť iba jedna takáto spoločnosť. Tým pádom neexistuje reálna konkurencia. To spôsobí, že výsledné ceny sú potom úplne prestrelené. Naopak, keby sa tento veľký projekt rozdelil na obrovské množstvo čiastkových subprojektov, na ktoré by sa robilo samostatné obstarávanie, podstatne väčší počet vzájomne si konkurujúcich firiem by boli schopné sa ho zúčastniť. Tie by si navzájom šliapali po pätách – dávali nižšie ceny a poskytovali vyššiu kvalitu.
Keďže sú ale tie projekty megalomanské za niekoľko miliónov eur, tak do toho tendra ide vo finále len jedna firma plus dve ďalšie, ktoré poskytnú krycie ponuky.

Politici neustále vyzývajú občanov k nahlasovaniu korupcie. Má význam sa o niečo také pokúšať v prípade, ak je úplne zjavné, že firma vyhrala tender nefér spôsobom?
V týchto veľkých biznisoch, o ktorých sa teraz bavíme, sa to robí tak, že ten dopredu určený kandidát má vyčlenených pár miliónov euro pre konkurentov na druhom a treťom mieste na úplatky alebo na prípadné súdne procesy. Tí to potom ďalej nerozvíjajú a v konečnom stave je vlk sýty aj koza celá.

A štvrtý, piaty kandidát môže spôsobiť problém?
Tí sa tam častokrát vôbec nedostanú. Splniť RFP (Request For Proposal) je niekedy tak byrokraticky náročné, že iné/malé firmy nie sú schopné tak komplexnú ponuku pripraviť bez toho, aby ich to neohrozilo. Radšej sa budú venovať normálnemu biznisu, kde je podstatne pravdepodobnejšie, že ich zákazník osloví.
My sme robili ponuku pre nemenovanú štátnu inštitúciu a mesiac sme len dávali dohromady tie formálne požiadavky. Získavali sme materiály z rôznych štátnych inštitúcií, zo sociálky, výpisy z registra trestov… Obvolávali sme kopec úradov a získavali sto strán dokumentov, ktoré sme potrebovali len priložiť k tej technickej ponuke. Malá alebo stredná firma, ak to nemá dopredu dohodnuté, si toto z dlhodobého hľadiska nemôže dovoliť.
Treba podotknúť, že tu ide o celkom paradoxnú situáciu – čím viac sa štát snaží mať proces výberu kandidáta dôslednejší a čím viac kladie rôzne vstupné podmienky na uchádzačov, tým menej kandidátov ich dokáže reálne splniť. Tým sa pripravuje o konkurenčné ponuky, ktoré by reálne znižovali výslednú cenu. Má to potom úplne opačný efekt ako si politici myslia. Všetky tie kritéria, ktoré sú v obstarávaniach vyžadované, stoja firmy nemalé peniaze. Kvôli vyšším nákladom potom musia dať firmy štátu adekvátne vyššiu cenu. Celý projekt sa podstatne predraží oproti situácii, keby daná služba alebo produkt bol ponúkaný súkromnému zákazníkovi, ktorý si nepotrpí na tejto presales byrokracii.

Vašou odpoveďou na daný stav je spomenutá iniciatíva Nepracujem pre štát?
Ja osobne to vnímam ako priamu ekonomickú blokádu voči štátu. Myslím si, že takáto ekonomická diskriminácia štátu zo strany firiem, ktoré sa rozhodnú pre štát nepracovať, je podstatne účinnejšia spätná väzba voči štátnemu aparátu, ako môj voličský hlas s reálnou váhou jedna k miliónom. Myslím si, že každý človek a každá firma má právo diskriminovať ľudí a klientov, ktorí sú jej nesympatickí a robia nemorálne veci.
Považujem to preto primárne za morálny problém. Napríklad už len to cestovanie železnicou zadarmo vnímam ako čisto nemorálnu vec. Fico rozhoduje bez súhlasu daňových poplatníkov o tom ako budú použité ich peniaze. Robia to síce všetci politici, ale veľa ľudí s tým nesúhlasí. A hlavne je to ekonomický nezmysel čisto zameraný na získanie politického kreditu u svojich voličov.

Čo je ešte obsahom vašej iniciatívy?
Rozhodli sme sa nielen diskriminovať zákazníkov, ktorí sa nám nepáčia, ale aj zvýhodňovať klientov, ktorí sú nám naopak sympatickí. A to vo forme zliav vo výške 10 až 20 percent pre firmy, ktoré sa k nám pridajú a tiež sa rozhodnú ekonomicky bojkotovať štátne inštitúcie. Tiež pozitívne diskriminujeme spoločnosti, ktoré bez dotácií priamo konkurujú štátu. Ak si teda firma, ktorá reálne konkuruje nejakej štátnej službe, dostaneš u nás zľavu. A keďže máme ešte aj radi decentralizované kryptomeny, tak poskytujeme tiež zľavu spoločnostiam, ktoré sa rozhodnú faktúry neplatiť vo fiat peniazoch, ale v bitcoinoch, litecoinoch, či iných kryptomenách. Osobne sa mi veľmi páči myšlienka decentralizovaných kryptomien bez centrálnej banky ako aj myšlienka free bankingu.

Takže nad snahou politicky vyriešiť problém skorumpovaného štátu si v podstate zlomil palicu?
Ako som už spomenul, som vnútorne presvedčený o tom, že touto ekonomickou blokádou dosiahneme viac ako naším hlasom vo voľbách. Najlepší spôsob ako bojovať so štátom, je nechať ho vyhladovať. Neposkytovať mu žiadne know-how, neposkytovať mu žiadnu hodnotu, ktorú ako ľudia a firmy vytvárame a v rámci legálnych možností mu platiť čo najnižšie dane. Myslím si, že toto správanie je zmysluplné pre veľa ľudí. Sám som zvedavý, aký to bude mať dopad na spoločnosť a či to politici dokážu reflektovať.

Z tvojich blogov sa človek veľa dozvie o spôsoboch ako štátne inštitúcie špehujú a odpočúvajú svojich občanov. Aká je situácia u nás? Telekomunikácie majú zo zákona povinnosť nahrávať telefónne hovory.
Áno, túto povinnosť mali podľa zákona o elektronických komunikáciach a týkalo sa to hlavičiek akejkoľvek komunikácie. Ten zákon bol pred pár mesiacmi vyhlásený Európskym súdnym dvorom za protiústavný a momentálne je neúčinný. Oficiálny dôvod zavedenia tohto špehovania bola „vojna proti terorizmu“. Sami dobre viete, aký reálny problém máme na Slovensku s terorizmom.

A nahrávajú ich?
Pre „legálne“ účely určite.

Ako dlho museli operátori hovory archivovať?
To rozmedzie bolo 6 mesiacov až 2 roky.
Boli to informácie o hlavičkách akejkoľvek komunikácie. To znamená – kto, s kým, kedy, z akého zariadenia a z akého miesta telefonoval alebo mailoval a bolo to celoplošné.

Kto má potom k tomu prístup?
Ukladá sa to na serveroch internetových poskytovateľov alebo mobilných operátorov a prístup k tomu má štát – polícia, tajné služby.
Oni musia mať samozrejme súdny príkaz, ale neviem ako často sa stáva, že by ho SIS nedostala.

Ale samotný telefónny rozhovor sa v hlavičke komunikácie nenachádza?
Nie. V prípade celoplošného špehovania podľa data retention zákona tam rozhovor nebol nahratý, len hlavičky komunikácie. Kompletný rozhovor sa nahráva iba na základe súdneho príkazu.

Koľkým ľuďom sa asi takto hovory nahrávajú.
Neviem. Odhadujem, že sú to stovky až tisíce ľudí.

Nahrávajú sa hovory aj bez súdneho príkazu?
Do akej miery sa pri súčasnom skorumpovanom systéme dodržujú súdne príkazy neviem. Ja štátne spravodajské služby vnímam ako súkromné firmy so štátnym VIP statusom umožňujúcich im robiť veci, ktoré iné firmy podľa zákona nemôžu. Bohužiaľ sme svedkami toho, že robia veci aj na politickú objednávku, prípadne pre vplyvných a bohatých ľudí. Osobne mám morálny problém s akýmkoľvek štátnym mechanizmom, ktorý je zo zákona netransparentný. Ako daňový poplatník nemám prakticky žiadnu možnosť overiť, na čo boli moje peniaze zneužité… pardón použité.

Ako ty vnímaš tajnú spravodajskú službu? Spomínal si, že funguje skôr ako nástroj pre ľudí, ktorí sú za informácie ochotní platiť.
Ja vnímam tajné spravodajské služby ako postava Celine z knihy Illuminatus! Trilogy: „National Security is the chief cause of national insecurity.“
Vnímam to veľmi kriticky. Oni majú výnimky v zákonoch, čiže môžu páchať činy, ktoré bežní ľudia nemôžu. Majú prakticky neobmedzenú moc a sú netransparentní. V autoritatívnom systéme na bezpečnosť dohliada štátna polícia. Aby jej právomoci neboli zneužívané, tak na ňu dohliada ďalšia tajná polícia alebo iná inštitúcia. Na ňu následne dohliada nejaká super tajná polícia a tak ďalej. Prvé pravidlo Celine hovorí o tom, že posledný článok kontroly bude vo finále vždy predmetom korupcie a zneužívania. Takáto nekonečná rekurzia vyčerpá všetky zdroje systému.
Preto pokladám tajné spravodajské agentúry za primárny dôvod silnej asymetrie v našej spoločnosti medzi štátom a občanmi. Legislatívou totiž majú schválené božské práva a aplikujú ich na ľudí, ktorí ich ale nemajú.

V článku na našom webe si spomínal, že existujú indície, že slovenská vláda nakúpila špehovací softwér FinFisher. O čo ide?
Je to softwér, ktorý sa využíva na špehovanie a monitorovanie ľudí. Dokáže sa nabúrať do ich počítačov a mobilných zariadení. Používa takzvané zero day zraniteľnosti, čiže chyby, na ktoré ešte neexistujú bezpečnostné záplaty. To znamená, že sa voči nemu nedá rozumne brániť.

Ako sa dostane na môj notebook?
Vyhodí sa ti napríklad pop-up okno, že sa ti inštaluje nová aktualizácia Adobe alebo Javy. Ty to odklikneš a máš to tam. Alebo ti dôjde špeciálne upravená sms správa na mobil.

Kto si takýto softwér obvykle kupuje?
Sú to primárne vlády.
Existujú nezávisle zverejnené informácie, že ho používal v Egypte počas arabskej jari Mubarak na špehovanie svojich odporcov. V Etiópií je využívaný proti politickej opozícií. Je teda celkom dobre zdokumentované, že výrobca je firma, ktorá očividne podporuje diktátorské systémy. Ak slovenská vláda kupuje softwér od firmy, ktorá podporuje fašistické a diktátorské režimy, tak podľa mňa tieto režimy nepriamo podporuje. Ja osobne si fakt neželám, aby Slovenská republika na toto vynakladala moje peniaze a túto firmu podporovala.

Kto ho ešte v našom okolí využíva?
Napríklad Nemecko. Oni sú v tomto celkom schizofrenickí. Na jednej strane je Merkelová úplne znechutená, že ju Američania špehujú a pritom nemecká vláda nemá problém nakúpiť FinFisher na sledovanie vlastných občanov, prípadne používať Bundestrojaner (štátom sponzorovaný počítačový trójsky kôň).

Existujú aj súkromné firmy, ktoré takýto softwér využívajú?
Nedá sa to samozrejme vylúčiť. Obvykle si ho ale kupujú štáty, kedže tento softvér je fakt veľmi drahý a málo firiem si ho môže dovoliť.

Ako sa takýto softwér vyvíja?
Firmy, ktoré ho vyvíjajú, používajú zero day exploity – nástroje na zneužívanie zero day zraniteľností. Vyvíjajú ich buď u seba alebo externe nakupujú od iných zero day vývojárskych firiem (ako napríklad VUPEN). Tie zamestnávajú veľké množstvo hackerov, ktorí hľadajú zraniteľnosti vo všetkých masovo používaných softwéroch. Primárne majoritné platformy a majoritné aplikácie. Hľadajú tam bezpečnostné chyby, ktoré nezverejnia, ale predávajú svojim klientom. Napríklad Gamma International – spoločnosť, čo vyvíja FinFisher.

Čo keď sa nájde na danú dieru záplata?
Funguje to nasledovným spôsobom. Chceš si kúpiť exploit na kritickú zraniteľnosť pre iOS. Ten býva extrémne drahý, povedzme pol milióna dolárov. Objednáš si samotný exploit, ale pol milióna dolárov nezaplatíš hneď, ale platíš to v pravidelných, napríklad mesačných, splátkach. Ak sa daná zraniteľnosť zverejní, platiť prestaneš. Znamená to, že ja ako vývojár a predajca exploitu som maximálne ekonomicky motivovaný k tomu, aby som uvedenú zraniteľnosť udržal v tajnosti a nikdy ho nezverejnil.

Ako sa k tomuto biznisu stavajú oficiálne autority?
Podľa mňa dosť nekonzistentne. Na jednej strane EÚ a USA investuje milióny dolárov do boja proti cyberzločinu, na druhej strane vlády týchto krajín nakupujú zero day exploity a podporujú neverejný zero day biznis. Vytvárajú tým silnú informačnú asymetriu medzi vládami, ktoré týmito exploitami disponujú a občanmi, ktorí sú voči nim zraniteľní.

Aká je situácia v Spojených štátoch?
IT korporácie ako Microsoft, Google, Apple podnikajú hlavne v USA a tým pádom podliehajú americkej jurisdikcii. V praxi to znamená, že keď im príde akákoľvek požiadavka od vládnej agentúry, tak ju musia vybaviť. Google, Facebook, či Twitter sa snažia byť transparentní a zverejňovať tzv. transparency report. To sú informácie o tom, koľko žiadostí (napríklad na zverejnenie osobných údajov v daných službách) dostanú od vlád z rôznych krajín sveta.
Prednedávnom americké úrady napadli Twitter za to, že zverejňovaním týchto štatistík transparentnosti napomáhajú terorizmu. Twitter to ale pokladá za porušenie americkej ústavy a momentálne sa súdi s federálnou vládou.
Pri používaní všetkých týchto služieb je potrebné si uvedomiť, že prístup k všetkým vašim osobným údajom môže mať americká vláda. A keďže vzťahy medzi Európou a Amerikou sú relatívne dobré, tak treba skepticky počítať s tým, že akýkoľvek súdny príkaz zo Slovenska Google bez nejakých väčších problémov spracuje a vybaví.

Chodia často požiadavky zo Slovenska?
Tak to si môžeme hneď pozrieť transparency report. Od januára do júna 2014 Slovensko poslalo 29 žiadostí týkajúcich sa informácii o používateľských účtoch 50-tich ľudí. Ale existujú ešte aj iné druhy požiadaviek, ako napríklad vymazanie nejakej linky z vyhladávača.
Ako som spomenul Federálna vláda tvrdí, že dokonca aj tieto agregované štatistiky môžu napomáhať teroristom. Vychádza z domnienky, že keď teroristi zistia, že daná spoločnosť spolupracuje s vládou, tak jej služby prestanú používať. Je dôležité zdôrazniť, že ak používate služby Google, Twitteru, Facebook a iných obrovských spoločností, tak na absolútne digitálne súkromie môžete zabudnúť. Našťastie, minimálne čo sa týka bezpečnej komunikácie, existujú alternatívy.

Keby si na záver mohol porovnať úroveň slobody v Amerike a v Európe, ktorá z nich vychádza lepšie?
Navštívil som veľa krajín na svete. Bol som v Ázií, Južnej a Strednej Amerike, v Afrike a stále si dovolím tvrdiť, že najvyššiu osobnú slobodu máme v Európe. Mám na myslí napríklad slobodu vyjadrovania sa bez nejakej vážnej kriminalizácie či cenzúry. Horšie sme na tom podľa mňa s ekonomickou slobodou. V porovnaní s niektorými ázijskými krajinami je tu normálny ekonomický socializmus a centrálne plánovanie. Vo veľa veciach zaostávame aj za Spojenými štátmi. Myslím, že nízka ekonomická sloboda v Európe bude mať za následok v budúcnosti jej ekonomickú stagnáciu a zníženie kompetitívnosti voči iným svetadielom a krajinám.

A ty by si dal prednosť osobnej slobode alebo ekonomickej? Európa, alebo Ázia?
Asi nejaký vyvážený kompromis. Za veľmi slobodnú krajinu považujem napríklad Hong Kong. Je tam relatívne vysoký stupeň demokracie, nemajú tam dovozné clá, dane sú nízke a firmu založíš veľmi rýchlo. Bohužiaľ to tam teraz čínski komunisti trochu ničia.

Rozhovor bol autorizovaný.