Femte juli

Nätet till folket!

Kryptering

Kryptering är viktig för säker kommunikation online. Med EU och Europol i spetsen vill myndigheterna nu ha tillgång till bakdörrar till kryptering, även där sådana idag inte finns. Öppnar man sådana bakdörrar för myndigheterna, då öppnar man dem även för kriminella, främmande makt och andra illasinnade aktörer.

Pegasus: Övervakning, ändamålsglidning och dubbelmoral

av

NSO-gruppens spionprogramvara Pegasus har väckt uppmärksamhet i internationell press den senaste tiden. Bland annat tycks den ha använts för politiskt spionage i Mexiko och för att spionera på journalister i Ungern.

Även om ett land skaffar sig möjlighet att övervaka människors telekommunikationer i syfte att bekämpa brottslighet och terrorism – så tenderar sådana verktyg alltid att användas för mindre ädla syften.

Vilket är värt att hålla i minne – då mycket talar för att även svensk polis använder just Pegasus för sin hemliga dataavläsning.

Dessutom finns ett grundläggande problem, som ständigt måste påpekas: För att spionprogram skall kunna användas för till exempel hemlig dataavläsning krävs att säkerhetshål i vår IT-infrastruktur lämnas öppna och oskyddade, för att kunna användas av myndigheterna. På så sätt blir vi alla mindre säkra – när dessa säkerhetsluckor lämnas öppna även för till exempel kriminella och främmande makt.

Runt om i EU vrider politikerna nu på sig. Hur skall de till exempel kunna kritisera Ungerns påstådda spioneri mot media och medborgarrättsaktivister när de själva ofta använder samma spionprogramvara; när de givit Europol i uppdrag att knäcka krypterad kommunikation – och när de givit grönt ljus för meddelandetjänster och e-post-företag att avkryptera och granska sina användares kommunikationer i jakt på olämpligt innehåll?

#ChatControl 2.0 – ett slag mot end-to-end-krypterad e-post?

av

I veckan antog Europaparlamentet EU:s nya regelverk som låter operatörerna av-kryptera och gå igenom sina användares elektroniska meddelanden och e-post, i namn av att bekämpa sexuella övergrepp mot barn. I höst kommer nästa steg, där detta är tänkt att bli obligatoriskt.

MEP Patrick Breyer (PP, DE) skriver:

»But this is not the end of the story: For autumn 2021, European Commission announced that it will propose a follow-up legislation that will make the use of chatcontrol mandatory for all e-mail and messenger providers. This legislation might then also affect securely end-to-end encrypted communications. However, a public consultation by the Commission on this project showed that the majority of respondents, both citizens and stakeholders, were opposed to an obligation to use chat control. Over 80% of respondents opposed its application to end-to-end encrypted communications. As a result, the Commission postponed the draft law announced for July to September 2021.«

Hur man tänkt sig komma åt end-to-end-krypterade meddelanden är en gåta. Vi får se vad kommissionen föreslår efter EU:s sommarlov, som börjar nu eft parlamentets juli-session.

• MEP Patrick Breyer (PP, DE): Messaging and ChatControl »

Relaterat:

• #ChatControl – kommentarer dagen efter »
• Klart att klubbas i EU – avkryptering och granskning av e-post och meddelanden (med länksamling) »

Chatcontrol - graf över omröstningen i Europaparlamentet

#ChatControl – kommentarer dagen efter

av

I går röstade Europaparlamentet – som vi rapporterat – för att elektroniska meddelanden och e-post skall avkrypteras och analyseras i jakt på övergrepp mot barn. Här kommer en del reaktioner och information.

Till att börja med röstade de tre svenska miljöpartisterna mot sin grupplinje – och gav alltså sitt stöd till förslaget. Det börjar bli ett mönster att MP:s ledamöter överger partiets tidigare linje för medborgarnas rätt till privatliv.

Europaparlamentets vice talman Marcel Kolaja (PP, CZ) är kritisk:

»According to Kolaja, it is necessary to protect children, but mass surveillance through private messages scanning is not the proper solution, saying it could affect many citizens. The adopted derogation is “a big blow to our digital privacy,” Kolaja said.«

EDRi kommenterar:

»Diego Naranjo, head of policy at European Digital Rights (EDRi), told EURACTIV the proposal was “rushed”, and failed to strike a balance between the right to privacy and the need to protect children online because “the discussion was instead shifted from rational to emotional arguments.”«

Ur samma artikel:

»Alexander Hanff, a former victim of child abuse (…) openly criticised the provision, arguing it will deprive victims of channels for confidential counselling. “It will not prevent children from being abused, it will simply drive the abuse further underground, make it more and more difficult to discover it. It will ultimately lead to more children being abused,” Hanff said.«

MEP Patrick Breyer (PP, DE) kommenterar:

»The adoption of the first ever EU regulation on mass surveillance is a sad day for all those who rely on free and confidential communications and advice, including abuse victims and press sources. The regulation deals a death blow to the confidentiality of digital correspondence. It is a general breach of the dam to permit indiscriminate surveillance of private spaces by corporations – by this totalitarian logic, our post, our smartphones or our bedrooms could also be generally monitored. Unleashing such denunciation machines on us is ineffective, illegal and irresponsible.

Indiscriminate searches will not protect children and even endanger them by exposing their private photos to unknown persons, and by criminalising children themselves. Already overburdened investigators are kept busy with having to sort out thousands of criminally irrelevant messages. The victims of such a terrible crime as child sexual abuse deserve measures that prevent abuse in the first place. The right approach would be, for example, to intensify undercover investigations into child porn rings and reduce of the years-long processing backlogs in searches and evaluations of seized data.«

MEP Sophie in ‘t Veld (LIB, NL) säger:

»Whenever we asked critical questions about the legislative proposals, immediately the suggestion was created that I wasn’t sufficiently committed to fighting child sexual abuse.«

Detta är som vi tidigare noterat en tillfälliga regler. Nu gäller det att vara uppmärksam vad gäller nästa steg, som blir en mer permanent lagstiftning – som kan komma att bli mer omfattande och omfatta fler syften.

Länkar:
• EP vice-president slams ePrivacy derogation »
• New EU law allows screening of online messages to detect child abuse »
• EU Parliament lets companies look for child abuse on their platforms, with reservations »
•  MEP Patrick Breyer »
• #ChatControl – idag klubbas EU:s övervakning av elektronisk kommunikation »

Kryptering och brevhemlighet i fara när EU bekämpar droger

av

EU håller på att ta fram en Drugs Action Plan 2021-25. I den föreslår man bland annat ökade möjligheter för att knäcka kryptering.

Punkt 7:

»Improve possibilities to tackle encryption in line with the resolution on security through encryption and security despite encryption adopted by the Council in December 2020, and other new technology-related methods employed by organised crime groups active in the drug markets to avoid detection and hide their communications. In this context, Europol analytical and technical capacities to support the Member States in this area should be strengthened and mutual legal assistance should be facilitated and strengthened, in particular regarding standard measures (e.g. subscriber identification) to improve information exchange.«

Det är inte direkt som att EU behöver fler skäl för att kringgå och underminera kryptering. Det finns redan flera andra förslag (t.ex. ChatControl). Och Europol har redan som prioriterad uppgift att knäcka krypterade kommunikationer. Men här presenterar man alltså ytterligare ett skäl.

Men det stannar inte vid detta. Även brevhemligheten (för fysiska brev) är i fara. Punkt 19:

»Promote the development, use and exchange of best practices and equipment among Member States on monitoring of suspicious postal items by employing solutions such as detection dogs and/or x-ray machines. Notably, the role of new technologies and especially of artificial intelligence should be examined, while preserving the fundamental right of privacy of correspondence.«

Att knarkhundar och röntgenmaskiner används gör att jaga droger i posten är kanske ingen nyhet. Och nu vill man alltså toppa detta med AI, utan att närmare beskriva hur det är tänkt att gå till.

I detta sammanhang är det också intressant att notera att flera EU-länder börjat med unika, kodade frimärken – vilket kan göra det möjligt att följa ett brev maskinellt.

• Statewatch: EU – Drugs strategy includes actions to ”tackle encryption” and postal snooping »
• EU-kommissionen: Draft EU Drugs Action Plan 2021 – 2025 (PDF) »

Graf: Så röstade utskottet LIBE om Chatcontrol

#Chatcontrol klar för slutlig votering

av

I Europaparlamentet har Utskottet för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor – LIBE – nu röstat ja till avkryptering och skanning av innehållet i dina meddelanden och din epost i jakt på barnporr och olämpliga kontakter med barn.

Läs vår tidigare post om detta – och varför det är problematiskt. Med länksamling. »

Med detta kan frågan gå vidare till votering i plenum, kanske redan så snart som 7-10 juni. Där kommer #Chatcontrol att godkännas, med applåder och en förkrossande majoritet.

Röstsiffrorna i LIBE (ovan) ger en fingervisning. I sammanhanget kan man notera att Alice Bah Kuhnke (MP) röstade emot den gröna grupplinjen i utskottet.

Nästa steg blir att hålla ögonen på denna övervakning – så att den inte missbrukas, så att oskyldiga inte drabbas och så att den inte råkar ut för ändamålsglidning.

Läs mer hos MEP Patrick Breyer (PP, DE) och se även ovan nämnda bloggpost.

Video: Saker på gång i EU som du bör känna till

av

En sammanställning över aktuella EU-frågor som rör internet, det fria ordet, fri- och rättigheter och övervakning. 17 ämnen på elva minuter, för att inte slösa med din tid.

 

Artificiell Intelligens och övervakning • ChatControl • Code of Conduct on countering illegal hate speech online • Corona-pass • Datalagring • eBevis • EU-ID • European Democracy Action Plan • Europol • Interconnected bank account registers • Länkskatt • Patientjournaler • PNR • ROXANNE • TERREG • Trusted flaggers • Uppladdningsfilter

EU:s satsning mot kryptering är ogenomtänkt, farlig och kan ändå kringgås

av

Som vi rapporterat tänker EU göra en samordnad insats för att komma runt kryptering av privata meddelanden och e-post.

Med sitt förslag öppnar EU:s ministerråd dammluckorna. Nu är det inte bara terrorister eller fula gubbar som avses. Avkryptering med tillhörande analys kommer nu att kunna användas för brottsbekämpning på bred front.

Om man utgår från hur det är tänkt med den relaterade frågan om #ChatControl, då blir det tjänsteleverantörernas uppgift att avkryptera sina användares meddelanden – och i förekommande fall sända dessa till myndigheterna för vidare utredning och åtgärd. Men det kan bli på något annat sätt.

Att polisen skall förhindra och lösa brott är i princip alla överens om. Och med all rädsla som rubriker om terrorism och gängvåld skapar, så är de flesta svenskar förmodligen positivt inställda till ökad övervakning. Men som med allt annat bör man tänka sig för innan man gör något som inte kan göras ogjort.

Vilka blir konsekvenserna när vi vet att alla våra meddelanden som rör familje- eller arbetsfrågor kommer att avkrypteras och granskas i jakt på något misstänkt? Hur skall visselblåsare kunna kontakta journalister utan att staten får tillgång till innehållet i deras kommunikationer? Tänk om algoritmerna misstolkar en vanlig sexchat mellan samtyckande vuxna. Skall man inte kunna kommunicera med sin doktor eller terapeut utan att få allt granskat?

Detta för att nu inte nämna hur detta verktyg skulle kunna användas av en auktoritär regering, av överambitiösa eller inkompetenta befattningshavare – eller av politiska krafter som vill skaffa sig ett försprång i maktkampen. Om verktygen finns är risken stor för att de kommer att missbrukas.

Sedan har vi problemet att avkryptering av meddelanden – som kan ske genom till exempel bakdörrar eller genom att tjänsteoperatören gör avkryptering till en intern feature – minskar vår säkerhet online. Antingen har man stark och säker kryptering, eller så har man det inte. Om det skapas vägar för att komma åt krypterad kommunikation då kommer de förr eller senare att läcka ut – och användas av exempelvis nätbedragare, andra kriminella och främmande makt.

Är vi villiga att ge upp vår rätt till privatliv och vår säkerhet online – för att låta maskiner granskar allt vi skriver till varandra, i jakt på något olämpligt?

En liten tröst i sammanhanget är att EU knappast kommer att komma åt end2end-krypterad e-post där avsändare och mottagare använder sig av PGP-kryptering – eller där innehållet i ett textmeddelande krypterats med en tredjeparts-applikation där bara de inblandade känner till lösenordet.

Det skall även bli intressant att se hur man kommer att hantera till exempel ProtonMail – som ju är baserat i Schweiz (utanför EU) och som har säker kommunikation som sin själva affärsidé.

Min gissning är att alla vanliga e-post-tjänster (GMail m.fl.) och meddelandeappar (Messenger, WhatsApp m.fl.) kommer att omfattas av EU:s satsning mot kryptering – men att man inte kommer att komma åt kommunikation som endast sker i avsändarens och mottagarens datorer. I vart fall inte med mindre än användning av hemlig dataavläsning. Och för sådan krävs något slags verklig brottsmisstanke.

• Länk: EU gör ny satsning för att komma åt krypterad kommunikation »

EU gör ny satsning för att komma åt krypterad kommunikation

av

EU:s portugisiska ordförandeskap föreslår att EU skall ta ett samlat grepp för att kunna kringgå krypterad kommunikation. I detta vill man inte bara komma åt vad som kan tänkas döljas på olika meddelande- och kommunikationsplattformar – utan även hårdvara. Tillverkare som inte följer nya riktlinjer kan förbjudas att sälja sina produkter i EU.

Förslaget om #ChatControl – det vill säga avkryptering och analys av e-post och elektroniska meddelanden – har inte ens hunnit klubbas i Europaparlamentet innan ändamålsglidningen börjar. Även om de aktuella policy-dokumenten inte pekar ut något särskilt område, så talar man om behovet av att kunna avkryptera meddelanden för att bekämpa till exempel terrorism, organiserad brottslighet, droghandel och penningtvätt.

Tidigare har EU-linjen varit att kampen mot kryptering är en nationell fråga. Men det håller på att ändras.

Initiativet till att göra kampen mot kryptering till en EU-fråga fördes fram under det förra tyska ordförandeskapet och drivs nu av det portugisiska dito. Man räknar med att kunna nå resultat under det kommande slovenska ordförandeskapet. (Och då Slovenien är ett litet land med små resurser kan man räkna med att dess ordförandeskap till stor del kommer att fjärrstyras av EU-kommissionen.)

Detta kan komma att sammanfalla väl i tiden med att EU-kommissionen lägger fram sitt förslag till en permanent fortsättning för den nu aktuella, tillfälliga lagstiftningen om #ChatControl.

Läs mer:
• EU Council and Commission: New roadmap for access to encryption »
• EU: Undermining encryption: Council Presidency sets out ”next steps” »

17 områden där EU vill bygga ut övervakning, kontroll och censur

av

Massor av internet-och IT-relaterad lagstiftning har redan klubbats eller är på väg genom EU-apparaten. Det är så mycket att det blir svårt att få en överblick. Låt oss därför ge en ögonblicksbild av vad som är att vänta under den innevarande europeiska mandatperioden (2019-24).

Artificiell Intelligens: EU uppmanar visserligen till försiktighet vad gäller användning av AI för övervakning – men öppnar samtidigt för en lång rad undantag där AI ändå kan användas för övervakning från myndigheternas sida.

ChatControl: Meddelanden och e-post skall av-krypteras för att kontrollera om det förekommer sexuellt utnyttjande av minderåriga. Detta kan lätt utökas till andra syften.

Code of Conduct on countering illegal hate speech online: EU-kommissionär Ylva Johansson har flaggat för att en ny EU-gemensam uppförandekod skall sättas upp vad gäller hat och hot på nätet.

Corona-pass: EU vill se en gemensam app för att möjliggöra en återgång till normalt liv för vaccinerade, testade och personer med antikroppar. Detta öppnar även nya möjligheter för övervakning.

Datalagring: Ett nytt datalagringsdirektiv är på väg. Tanken är att lagra data om alla medborgares alla tele- och datakommunikationer för att kunna kontrollera vem som har kontakt med vem, var folk befunnit sig och när de har varit uppkopplade. Frankrike vill ändra EU:s fördrag och stadgan om de mänskliga rättigheterna för att EU-domstolen inte skall kunna stoppa direktivet.

eBevis: Polisiära myndigheter i alla EU:s medlemsstater kommer att kunna begära ut uppgifter om användare samt kommunikationsdata och lagrad information från till exempel en internetoperatör, social plattform eller app-tjänst i vilket medlemsland som helst.

EU-ID: Ett elektroniskt EU-ID finns på EU-kommissionens önskelista. Vilket i princip kommer att göra det omöjligt att vara anonym på nätet.

European Democracy Action Plan: Syftet är bland annat att bekämpa hat och desinformation online. Vilket alltid brukar landa i kontroversiella frågor om var gränsen går och vem som skall bestämma vad som är rätt och sant.

Europol: Den europeiska polismyndigheten arbetar intensivt för att knäcka krypterade kommunikationer. Man har flaggat för att man vill ha direkt tillgång till information hos privata aktörer (som till exempel internetoperatörer). Europol håller även på att utöka sitt mandat till att bekämpa desinformation.

Interconnected bank account registers: Den hårt kritiserade och misskötta överföringen av europeisk bankdata för analys hos amerikanska säkerhetsmyndigheter är tänkt att ersättas av ett centralt EU-register – för att lagra och analysera data om alla finansiella transaktioner inom det europeiska banksystemet.

Länkskatt: EU:s nya upphovsrättdirektiv kommer att leda till att det blir enklast för sociala media att sluta avtal med de stora mediehusen – på små, nya och alternativa medias bekostnad.

Patientjournaler: EU-kommissionen vill se ett heltäckande, centraliserat europeiskt system för medicinska journaler.

PNR: EU-kommissionen och ministerrådet vill utöka registreringen av våra resor (och om detaljer kring dessa). Detta gäller redan för flygresor, men man diskuterar att utöka registreringen till att även gälla hyrbilar, tågresor, båtresor och hotellövernattningar.

ROXANNE: Ett EU-finansierat projekt för röstigenkänning,

TERREG: Förordningen om terror-relaterat innehåll online innebär censur av åsikter online. Notera att det handlar om åsikter som inte nödvändigtvis är olagliga. Detta kan enkelt utvidgas till andra syften. TERREG kommer även att tvinga fram användning av uppladdningsfilter. Förordningen säger också att flaggat material skall plockas ner inom en timma (utan föregående rättslig prövning) och öppnar för att myndigheter i ett EU-land kan beordra nedtagning av innehåll på servrar i andra medlemsstater.

Trusted flaggers: EU:s nya Digital Services Act kommer att ge oss statligt godkända innehållsgranskare på nätet – vars anmälningar skall prioriteras av nätplattformarna.

Uppladdningsfilter: Allt som alla laddar upp kommer att inspekteras, analyseras och i förekommande fall censureras. Detta för att stoppa upphovsrättsskyddat material och terror-relaterad information. Dessa syften kan enkelt komma att utvidgas. Vissa EU-länder vill även se uppladdningsfilter som ett allmänt verktyg inom the Digital Services Act.

Detta är bara en del av allt som är på gång när det gäller internet, IT, övervakning och kontroll i EU. Nya förslag tillkommer hela tiden. Men vi tycker att det är viktigt att man inte bara gräver ner sig i enskilda förslag, utan även ser till den större bilden. Och sammantaget är det ingen tvekan om att EU är på väg att utvecklas till en kontroll- och övervakningsstat, som även begränsar det fria ordet online.

Moderat krav på mer övervakning är i princip redan verklighet

av

Efter Encrochat vill Moderaterna ha större möjligheter till avlyssning och övervakning. »Nu behöver svensk lagstiftning ta ett ordentligt kliv framåt för att ge vår egen polis samma möjligheter som den franska.« skriver partiets rättspolitiske talesman Johan Forsell. Han menar vidare att det är ett problem att det i Sverige inte är lagligt att »avlyssna en hel meddelandetjänst«. Han vill vidare sänka ribban för användning av hemlig dataavläsning. Och så till hans huvudnummer:

»En verkligt mönsterbrytande åtgärd mot gängbrottsligheten skulle vara att göra det möjligt att använda hemliga tvångsmedel mot aktiva gängmedlemmar även utan konkret brottsmisstanke.«

Konkret vill han sänka ribban för hemlig dataavläsning. Jag vill minnas att vi varnade för ändamålsglidning redan när den lagen infördes.

Advokat Thomas Olsson har skrivit en replik. Låt oss lyfta fram och reflektera över några delar.

»För det andra verkar Johan Forssell inte riktigt förstå innebörden av att hemliga tvångsmedel riktas mot en ”meddelandetjänst”. En sådan åtgärd innebär att alla som använder ”meddelandetjänsten” blir föremål för övervakning, och det alldeles oavsett om de är ”gängkriminella” eller inte.«

Frågan är hur det alls är tänkt. Encrochat finns inte längre. Så det måste handla om vanliga meddelandetjänster. Och där är Forsell inte först på bollen. EU vill redan avkryptera och skanna alla meddelanden och så mycket av e-posttrafiken som möjligt. Fast i namn av kampen mot övergrepp mot barn. Men det kan ju lätt utökas.

Är det något sådant Johan Forsell vill göra om han blir inrikesminister? Eller hade han tänkt sig att FRA skall hacka WhatsApp, G-mail och Telegram? Förslaget lämnar massor av frågetecken.

»För det fjärde är det intressant att Johan Forssell konstaterar att det som fransmännen gjort är olagligt i Sverige. Anledningen till att det är olagligt är att Frankrike saknat tillstånd från en svensk domstol att utföra åtgärden på svenskt territorium. Och, precis som Johan Forssell konstaterar, skulle Frankrike aldrig kunnat få ett sådant tillstånd, eftersom åtgärden inte är tillåten enligt svensk lag.«

Detta pekar på ett större problem. Det är inte ovanligt att länder som inte har rätt att övervaka sina egna medborgare (utan brottsmisstanke) låter andra länder göra det. Vilket är att kringgå lagen.

(För övrigt har FRA tillgång till ”spionernas Google” – databasen XKeyscore. Då den enligt Snowden-läckan innehåller det mesta av smått och gott som USA, UK, Australien, Nya Zeeland och Kanada samlat in i sin globala massövervakning – då innehåller den med säkerhet även information om svenskar och svenska förhållanden.)

Låt mig slutligen kommentera Johan Forsells krav på hemliga tvångsmedel även utan konkret brottsmisstanke.

Någonstans måste det gå en gräns mellan vilka staten får övervaka och vilka den inte får övervaka. Idag går den i stort sett vid att det måste finnas en misstanke om brott. Det är en princip som bland annat väglett EU-domstolen när den upphävde EU:s datalagringsdirektiv. Skall det förekomma övervakning, då måste det finnas något lags misstanke. Vanligt hederligt folk skall inte övervakas. Rätten till privatliv är en grundläggande mänsklig rättighet.

I detta fall handlar det om individer i (och kring?) kriminella nätverk. Man kan tycka att om ett gäng är att betrakta som kriminellt, då bör det rimligen också finnas något slags misstankar om kriminalitet. Frågan är hur konkreta dessa misstankar behöver vara. Om ett brott är förestående är svaret rätt enkelt. Men om det inte finns misstanke om att någon tänker göra något kriminellt? Var har Forsell i så fall tänkt dra gränsen?

Det känns tryggare om vi inriktar övervakningen och polisens resurser mot människor som faktiskt är misstänkta för brottslig verksamhet – och lämnar alla andra ifred.

Moderaternas utspel känns lite krystat, som att de säger något bara för att de måste. Och hemlig dataavläsning får faktiskt redan användas i brottsmisstänktas fysiska och sociala närmiljö, även om det kan drabba oskyldiga. Så det känns lite som om man sparkar in en öppen dörr. Vi är redan där. Tyvärr.

• Johan Forsell, M: Ge svensk polis samma möjligheter som i Frankrike »
• Thomas Olsson: Moderaternas förslag slår mot allas integritet »