Femte juli

Nätet till folket!

Övervakning

I denna kategori samlar vi nyheter som har med övervakning och massövervakning att göra. Det gäller såväl på nätet som i den fysiska världen.

Moderat krav på mer övervakning är i princip redan verklighet

av

Efter Encrochat vill Moderaterna ha större möjligheter till avlyssning och övervakning. »Nu behöver svensk lagstiftning ta ett ordentligt kliv framåt för att ge vår egen polis samma möjligheter som den franska.« skriver partiets rättspolitiske talesman Johan Forsell. Han menar vidare att det är ett problem att det i Sverige inte är lagligt att »avlyssna en hel meddelandetjänst«. Han vill vidare sänka ribban för användning av hemlig dataavläsning. Och så till hans huvudnummer:

»En verkligt mönsterbrytande åtgärd mot gängbrottsligheten skulle vara att göra det möjligt att använda hemliga tvångsmedel mot aktiva gängmedlemmar även utan konkret brottsmisstanke.«

Konkret vill han sänka ribban för hemlig dataavläsning. Jag vill minnas att vi varnade för ändamålsglidning redan när den lagen infördes.

Advokat Thomas Olsson har skrivit en replik. Låt oss lyfta fram och reflektera över några delar.

»För det andra verkar Johan Forssell inte riktigt förstå innebörden av att hemliga tvångsmedel riktas mot en ”meddelandetjänst”. En sådan åtgärd innebär att alla som använder ”meddelandetjänsten” blir föremål för övervakning, och det alldeles oavsett om de är ”gängkriminella” eller inte.«

Frågan är hur det alls är tänkt. Encrochat finns inte längre. Så det måste handla om vanliga meddelandetjänster. Och där är Forsell inte först på bollen. EU vill redan avkryptera och skanna alla meddelanden och så mycket av e-posttrafiken som möjligt. Fast i namn av kampen mot övergrepp mot barn. Men det kan ju lätt utökas.

Är det något sådant Johan Forsell vill göra om han blir inrikesminister? Eller hade han tänkt sig att FRA skall hacka WhatsApp, G-mail och Telegram? Förslaget lämnar massor av frågetecken.

»För det fjärde är det intressant att Johan Forssell konstaterar att det som fransmännen gjort är olagligt i Sverige. Anledningen till att det är olagligt är att Frankrike saknat tillstånd från en svensk domstol att utföra åtgärden på svenskt territorium. Och, precis som Johan Forssell konstaterar, skulle Frankrike aldrig kunnat få ett sådant tillstånd, eftersom åtgärden inte är tillåten enligt svensk lag.«

Detta pekar på ett större problem. Det är inte ovanligt att länder som inte har rätt att övervaka sina egna medborgare (utan brottsmisstanke) låter andra länder göra det. Vilket är att kringgå lagen.

(För övrigt har FRA tillgång till ”spionernas Google” – databasen XKeyscore. Då den enligt Snowden-läckan innehåller det mesta av smått och gott som USA, UK, Australien, Nya Zeeland och Kanada samlat in i sin globala massövervakning – då innehåller den med säkerhet även information om svenskar och svenska förhållanden.)

Låt mig slutligen kommentera Johan Forsells krav på hemliga tvångsmedel även utan konkret brottsmisstanke.

Någonstans måste det gå en gräns mellan vilka staten får övervaka och vilka den inte får övervaka. Idag går den i stort sett vid att det måste finnas en misstanke om brott. Det är en princip som bland annat väglett EU-domstolen när den upphävde EU:s datalagringsdirektiv. Skall det förekomma övervakning, då måste det finnas något lags misstanke. Vanligt hederligt folk skall inte övervakas. Rätten till privatliv är en grundläggande mänsklig rättighet.

I detta fall handlar det om individer i (och kring?) kriminella nätverk. Man kan tycka att om ett gäng är att betrakta som kriminellt, då bör det rimligen också finnas något slags misstankar om kriminalitet. Frågan är hur konkreta dessa misstankar behöver vara. Om ett brott är förestående är svaret rätt enkelt. Men om det inte finns misstanke om att någon tänker göra något kriminellt? Var har Forsell i så fall tänkt dra gränsen?

Det känns tryggare om vi inriktar övervakningen och polisens resurser mot människor som faktiskt är misstänkta för brottslig verksamhet – och lämnar alla andra ifred.

Moderaternas utspel känns lite krystat, som att de säger något bara för att de måste. Och hemlig dataavläsning får faktiskt redan användas i brottsmisstänktas fysiska och sociala närmiljö, även om det kan drabba oskyldiga. Så det känns lite som om man sparkar in en öppen dörr. Vi är redan där. Tyvärr.

• Johan Forsell, M: Ge svensk polis samma möjligheter som i Frankrike »
• Thomas Olsson: Moderaternas förslag slår mot allas integritet »

EU satsar 5M€ på att knäcka 5G-kryptering

av

Bloggaren Matthias Monroy skriver:

»The EU Commission announces new efforts to break end-to-end encrypted communications. This is according to the work programme of the Horizon 2020 research framework programme, which proposes numerous new projects in the area of „Civil Security for Society“ for the next two years. According to this, the Commission wants to spend five million euros on a platform for penetrating encrypted telephony.

The focus is on intercepting connections of the fifth mobile phone generation, which makes encrypted and anonymised connections technically possible.«

Vad man vill komma runt är att telefonens och SIM-kortets ID-nummer enligt uppgift krypteras i 5G-systemet. Vilket gör det svårt att sortera ut de kommunikationer som myndigheterna är intresserade av.

Den nya projektgrupp som skall sköta detta skall tydligen även fundera kring lösningar vad gäller kvantdatorer och avlyssning.

Länk: Security research – EU Commission to fund technology to decrypt 5G connections »

Problemen med automatiserad ansiktsigenkänning

av

Man måste hålla isär saker och ting när man talar om automatiserad ansiktsigenkänning.

Det kan handla om verktyg som i efterhand går igenom till exempel övervakningsfilm kopplad till en brottsplats för att utreda om vissa personer befunnit sig där. Detta är i stort sett oproblematiskt, då det handlar om att automatisera något som annars hade utförts ändå, fast av människor. (Även om datorerna inte kan göra samma breda analys av en bild och dess allmänna kontext som en människa, vilket kan leda till att annat som är av intressant i en utredning missas.)

Sedan har vi poliser som på eget bevåg använder Clearview-appen för att identifiera folk med hjälp av aggregerad information från sociala media m.m. Vilket inte är och inte bör vara tillåtet. Skall ansiktsigenkänning alls användas, då skall det ske under ordnade och rättssäkra former med myndighetens egna verktyg.

Vi har också företag som använder ansiktsigenkänning för att kunna identifiera sina kunder och därmed förbättra kundupplevelsen. Och Big Data som vill kunna kartlägga oss och våra vanor, i utbyte mot användbara gratis tjänster som mail, online-dokument, lagring, kommunikation och sociala plattformar. Vilket delvis är en annan och större fråga.

Sedan har vi kameraövervakning i realtid kopplad till automatiserad ansiktsigenkänning. Det vill säga att man inte nödvändigtvis söker efter någon speciell person – utan är mer intresserade av om någon av intresse skulle dyka upp i folkströmmarna. Sådan övervakning kan även användas för att punktbevaka en enskild individ, om det finns tillräckligt mycket kameror (som i t.ex.London). Detta är problematiskt.

För det första innebär det att man övervakar hederliga medborgare, som inte är misstänkta för något brott. Att behandla alla som potentiella brottslingar och att urskiljningslöst övervaka alla som råkar befinna sig på allmän plats hör inte hemma i en demokratisk rättsstat.

Det handlar även om att fritt kunna röra sig i det samhälle man lever i, utan att ständigt behöva känna sig övervakad.

Sedan är detta ett verktyg som lätt kan användas av staten för att förtrycka sin befolkning, kartlägga oppositionella och förfölja oliktänkande. Det behöver inte handla om ondska. Det kan lika gärna vara fråga om överdriven ambition, missriktad välvilja eller inkompetens.

Medborgarrättsaktivister har framfört kritik mot denna utveckling under lång tid. EU har i årtionden finansierat utvecklingsprojekt som INDECT – vars mål har varit just kameraövervakning med automatiserad ansiktsigenkänning i realtid, kopplad till beteendeanalys och myndigheternas olika register. Och nu befinner vi oss vid den punkt där dessa system är klara att rullas ut.

Reclaim your face har en lista över hur automatiserad ansiktsigenkänning används på olika, problematiska sätt runt om i Europa. Där kan man även skriva under ett Europeiskt Medborgarinitiativ som kräver att EU reglerar användningen på ett sätt som respekterar individens rätt till privatliv.

Nygammal tysk lag om massövervakning klubbad

av

2013 avslöjade Edward Snowden den globala massövervakningen. Dessa avslöjanden rörde inte bara USA, utan även samarbetsländer som Tyskland (och Sverige).

Trots all kritik som följde på avslöjandet fortsatte Tyskland sin verksamhet – genom att man antog en ny lag som i stora drag gjorde sådant som var förbjudet och kontroversiellt lagligt. Denna lag underkändes dock av den tyska författningsdomstolen.

Nu har man antagit en ny lag som påminner väldigt mycket om den förra, med närmast kosmetiska förändringar.

Den nya lagen innebär bland annat:

  • Man får rätt att samla in, processa och exportera ofantliga mängder data. Det talas om en kapacitet på upp till en tredjedel av alla globala telekommunikationer.
  • Man kommer att få lov att i hemlighet hacka nätföretag som Facebook, Google, Appole, Amazon och Microsoft.
  • Man får även rätt att övervaka inrikes kommunikationer i Tyskland, med undantag för kommunikationer mellan två fysiska personer. Vilket är en gummi-paragraf, eftersom en stor del av all kommunikation betraktas som kommunikaterion mellan människa och maskin, snarare än människa och människa.

CDU/CSU och SPD röstade för den nya lagen och hela oppositionen (FDP, Grüne, Linke & AfD) emot. Kritik kommer även från Amnesty och Reportrar utan gränser.

Detta kommer med säkerhet – återigen – att bli en fråga för den tyska författningsdomstolen.

Länk: Bundesnachrichtendienst erhält so viele Überwachungsbefugnisse wie noch nie »

Chat Control – slutet för privat korrespondens online

av

»The EU wants to have all private chats, messages, and emails automatically searched for suspicious content, generally and indiscriminately. The stated aim: To prosecute child pornography. The result: Mass surveillance through fully automated real-time messaging and chat control and the end of secrecy of digital correspondence.«

Patrick Breyer, ledamot av Europaparlamentet för Piratpartiet, DE.

Länk: Messaging and chat control – The End of the Privacy of Digital Correspondence »

Frågetecken kring polisens hemliga dataavläsning

av

Ett år har gått sedan polisen fick möjlighet till hemlig dataavläsning. Den innebär att myndigheterna kan installera spionprogram hos personer som är misstänkta för brott (och i deras omgivning) som ger tillgång till allt som görs och allt som finns lagrat i en dator eller på en surfplatta eller mobiltelefon.

Sveriges Radio meddelar:

»I den statliga utredningen som låg till grund för lagförslaget bedömde man att den här sortens övervakning skulle användas i liknande omfattning som hemlig rumsavlyssning, alltså buggning, vilket godkänns omkring 100 gånger per år.

På knappt ett år har svenska domstolar fattat beslut i nära 500 ansökningar om hemlig dataavläsning, enligt siffror från Säkerhets- och integritetsskyddsnämnden, som Ekot tagit del av.

Nämnden vill inte svara på hur många som godkänts, men i regel brukar den här sortens ansökningar beviljas, säger nämndens ordförande Gunnel Lindberg.«

Det vore värdefullt att få reda på varför denna övervakning är fem gånger vanligare än man tänkt sig. Framförallt vore det intressant att få veta vilka typer av brott den hemliga dataavläsningen använts för att utreda. Här finns starka skäl att misstänka något slags ändamålsglidning – där verktyget använts mer generöst än bara mot de mycket allvarliga brott som var tänkt från början. Som det brukar bli med övervakningslagar.

Dessutom är grundproblemet detsamma som tidigare: För att kunna använda hemlig dataavläsning måste myndigheterna använda sig av säkerhetsbrister i våra IT-system. Dessa brister förblir då utan åtgärd, istället för att täppas till. Vilket gör hela vår IT-infrastruktur mer sårbar vad gäller till exempel kriminell verksamhet, spioneri och dataintrång.

Och det blir värre:

»Det är Säkerhets- och integritetsskyddsnämnden som ska granska hur den hemliga dataavläsningen används, och ordförande Gunnel Lindberg säger att det är svårt att få resurserna att räcka till för en effektiv tillsyn.«

SR: Polisen använder spionprogram mer än väntat »

Medborgarrättsorganisationer rasar mot EU:s nya nätcensur

av

Ett 60-tal organisationer har skrivit brev till Europaparlamentets ledamöter och vädjat till dem om att rösta nej till förordningen om terror-relaterat innehåll online (TERREG/TCO).

Bland undertecknarna finns bland andra Amnesty, Europeiska Medborgarrätsuniuonen, EFF, EDRi, Polska Helsingfors-kommittén, Human Rights Watch, Internationella Juristkommissionen, CCC, La Quadrature Du Net,  Reportrar utan gränser, Statewatch, Wikimedia och svenska DFRI.

De praktiska problemen med TERREG är:

  • Flaggat material skall som huvudregel plockas ner inom en timma, vilket blir praktiskt svårt att hantera för mindre plattformar.
  • Denna snäva tidsram ger inget utrymme för rättsliga överväganden – och någon föregående rättslig prövning kommer inte att ske.
  • Myndigheter i ett EU-land kan beordra nedtagning av material i en annan medlemsstat, utan klartecken från den senare.
  • Nerplockat material skall inte kunna laddas upp igen. Även om texten (efter förhandlingar) noga undviker ordet ”uppladdningsfilter” – så är användning av just automatiska uppladdningsfilter den enda praktiskt användbara metoden. Och uppladdningsfilter innebär att allt som du och alla andra laddar upp måste granskas av maskiner inna det kan publiceras.

Det finns även invändningar mot att detta kan komma att drabba journalistisk verksamhet, forskning, dokumentation och lagföring av övergrepp.

Förslaget är dessutom oroväckande svävande när det gäller att definiera vad som egentligen anses vara terrorism och terror-relaterat.

Elefanten i rummet – som tyvärr inte berörs i brevet – är att detta även etablerar en censur av åsikter online i EU. Förvisso terroristers åsikter. Men när principen väl är etablerad kan det ändras med ett klubbslag.

Tar man ett steg tillbaka och betraktar den större bilden – då kan man konstatera att samtidigt som TERREG är på väg att bli lag, så är EU-apparaten även på väg att kräva av-kryptering och granskning av nätanvändarnas meddelanden och e-post i namn av att skydda barn mot övergrepp. Sammantaget blir detta en storebrorsstat som granskar, analyserar och i förekommande fall censurerar det mesta som sker online.

Länkar:
• DW: Rights groups slam EU online terrorist content law »
• Liberties: Free Speech Advocates Urge EU Legislators to Vote ’No’ to Automated Censorship Online »

Om rätten till privatliv och privat kommunikation

av

Decennier av krypskytte mot kryptering från regeringar världen över; EU:s idéer om avkryptering och granskning av meddelanden och e-post; FRA-lagen med sin ändamålsglidning som ger allt fler myndigheter tillgång till innehållet i våra elektroniska kommunikationer… Exemplen på hoten mot vår rätt till privatliv och privat kommunikation online är många.

Men varför är denna rätt så viktig att den betraktas som en grundläggande mänsklig rättighet?

Man kan resonera längs flera olika spår.

Till exempel är fri åsiktsbildning och fri debatt en förutsättning för en fungerande demokrati. Det finns goda skäl att anta att själva vetskapen eller misstanken om att någon kikar över vår axel inskränker denna fria åsiktsbildning. Mycket av framstegen i vårt samhälle bygger på idéer som till en början var kontroversiella eller till och med olagliga.

Man kan också fundera i banorna av att laglydiga medborgare skall lämnas i fred av staten. En stat som betraktar alla sina medborgare som potentiella brottslingar som måste övervakas och vars kommunikationer måste granskas – det är en stat som inte respekterar sitt folk. Staten skall vara till för medborgarna, inte behandla oss som undersåtar.

Om man ansluter sig till idén om att människan har vissa naturliga rättigheter (liv, säkerhet och egendom) då anser man förmodligen också att frihet har ett positivt värde för såväl individen som samhället. Denna frihet inskränks om man är övervakad och därmed måste anpassa sitt beteende för att inte göra något som kan misstolkas. I övervakningsstaten har även den som är oskyldig mycket att frukta.

Även om du har rent mjöl i påsen och även om du själv aldrig kommer att få övervakningsstatens ögon på dig – så bör du ändå vara för rätten till privatliv. Visselblåsaren Edward Snowden uttryckte saken så här: Att vara emot rätten till privatliv bara för att man inte har något att dölja, det är som att vara emot yttrandefriheten bara för att man inte har något att säga.

Sedan har vi naturligtvis risken för att vi någon gång kommer att få en regering med auktoritära böjelser. För en sådan är övervakning av medborgarnas kommunikationer ett utmärkt verktyg för att komma åt dissidenter, för att kartlägga oliktänkande och för att hindra att oppositionella organiserar sig. Varför ge överheten ett sådant verktyg?

Det behöver inte vara en ondskefull regering. Det räcker med någon obalanserad befattningshavare på mellannivå för att dessa verktyg skall kunna missbrukas. Eller överdriven ambition. Missriktad välvilja. Eller inkompetens.

Steg för steg blir övervakningsstaten allt mer omfattande – på bekostnad av medborgarnas rätt till privatliv. Oavsett vilket slags regering vi har kan det inte fortsätta hur långt som helst. I vart fall inte utan att samhället blir outhärdligt att leva i.

Hela idén med grundläggande mänskliga rättigheter är att de utgör individens skydd mot staten. Därför skall man inte kompromissa om dem. Utan dem kan staten göra precis som den vill och individen blir då rättslös.

EU hotar rätten till privat korrespondens online

av

EU är på väg att ge grönt ljus för granskning av dina meddelanden och även din e-post.

Vi har skrivit om detta tidigare – men vi tänker fortsätta tjata, eftersom debatten om detta är närmast obefintlig.

Motivet man anger den här gången är att man vill kontrollera så att du inte ägnar dig åt sexuella övergrepp på barn. Vilket tycks räcka för att tysta all kritik.

Få känner till förslaget, det finns i princip ingen debatt om det, media är ointresserade, Europaparlamentet har i stort sett sagt ja redan i förväg – och givet syftet är det möjligt att de flesta människor anser att ändamålet helgar medlen.

Men innan vi ställs inför fullbordat faktum tycker vi att det är en del saker du bör känna till.

Det handlar alltså om dina meddelanden och din e-post. (Möjligen undantaget e-post som är PGP-krypterad användare till användare, som i princip är omöjlig att komma åt.) Men vanliga meddelanden i olika appar och vanliga e-postmeddelanden skall kunna avkrypteras, granskas och analyseras. Det gäller även bilder och videofilmer som du sänder – samt video-mötestjänster som Skype, Zoom med flera.

Detta är en gigantisk uppgift. Därför kommer det att ske automatiskt.

Problemet är att algoritmerna inte är speciellt bra på detta. När Schweiz provade något liknande gick det nio falska flaggningar på en äkta.

Det innebär alltså att i nio fall av tio kommer misstanken om sexuella övergrepp mot barn att riktas mot någon oskyldig. Vilket innebär att den som är oskyldig har mest att frukta.

Flaggade meddelanden kommer sedan att överföras till en privat organisation i USA. Där skall de granskas igen och i förekommande fall översändas till polis eller andra myndigheter och organisationer.

Och när det gäller sexuella övergrepp mot barn kommer det att räcka med en misstanke – även om den är felaktig – för att du skall få problem.

Du kan vara oskyldigt misstänkt utan att ens veta om det förrän polisen knackar på dörren – eller innan du stoppas i något främmande lands passkontroll. Den som är oskyldig har, som sagt, mest att frukta.

Men det är inte det enda problemet.

I och med att dina meddelanden och din e-post kommer att kunna avkrypteras blir de även tillgängliga för allehanda myndigheter och underrättelseorgan. Kom ihåg amerikanska NSA:s devis: Collect it all.

Man kan även fundera på hur EU resonerar. Ena stunden vill man skydda användarnas data mot företag som Google, Facebook med flera. Och i nästa ögonblick vill man att våra meddelanden och vår e-post skall avkrypteras – vilket kommer att göra innehållet i dessa tillgängligt för just Google, Facebook och alla andra företag du använder för dina meddelanden och din e-post.

Vi vet dessutom att sådana här lagar alltid drabbas av ändamålsglidning.

När man väl använt sexuella övergrepp mot barn som murbräcka – då kommer man med största säkerhet att utvidga mandatet för att även kunna söka efter annat. Så är det i princip alltid. Finns verktygen, då kommer man ständigt att hitta nya användningsområden.

Europeiska datatillsynsmyndigheten (EDPS) anser att lagförslaget varken är nödvändigt eller proportionerligt. Det saknar laglig grund, tydliga regler och tillräckliga skyddsåtgärder.

EU-parlamentets utredningstjänst (EPRS) anser att en sådan här lag endast bör inriktas mot personer som är misstänkta för att ägna sig åt något brottsligt. Man pekar även på att förslaget strider mot dataskyddsförordningen, GDPR.

UNICEF menar att förbättrad integritet och dataskydd för barn är bättre än automatisk övervakning av deras kommunikation.

Men i Europaparlamentet har en stor majoritet sagt ja till att gå vidare med lagstiftningsarbetet. Trilogförhandlingar pågår. Samtliga svenska partier i parlamentet har röstat ja till att gå vidare, utom Vänsterpartiet som är avvaktande.

Sedan blir det snabbehandling. Den konsoliderade texten väntas släppas av EU-kommissionen i april och godkännas i Europaparlamentet under sessionen i maj månad.

Även om alla sympatiserar med syftet och även om det råder stor politisk enighet – så är detta ett hot mot rätten till privat kommunikation online.

Vilket är allvarligt. Rätten till privatliv och privat korrespondens är en grundläggande rättighet – fastlagen i bland annat Europakonventionen om de mänskliga rättigheterna. Men det tycks ingen bry sig om.

Hur som helst bör du vara medveten om att det i princip är slut med privat korrespondens online. I den mån sådan i praktiken alls existerat.

Länkar:
• EU öppnar för automatisk granskning och analys av alla dina meddelanden och all din e-post »
• Fyra problem med förslaget om automatisk granskning av privat kommunikation »
• The End of the Privacy of Digital Correspondence »
• SD, MP, S, M, C, L och KD är för övervakning av chatt, email och videosamtal »
• EU allt närmare kontroll av innehållet i alla nätanvändares alla meddelanden »