Femte juli

Nätet till folket!

Säkerhet

Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.

Filmindustrin till attack mot Tor och VPN

av

Är du ”pirat” om du tittar på en streamingtjänst som du själv betalt för? Enligt filmindustrin är svaret ja, i vart fall ibland.

TorrentFreak rapporterar:

”The Motion Picture Association says that circumvention services such as VPNs, DNS masks and Tor networks can pose a direct threat to legitimate streaming services.” (…)

”While many of the concerns and complaints are not new, there are a few that stand out, starting with the MPA’s concern about ‘circumvention services’ such as VPNs and the Tor Network, which can be used by ‘geolocation pirates’.”

En ”geolocation pirate” kan till exempel vara någon som ser på sin vanliga – betalda – stremingtjänst från ett annat land under resa eller semester. Eller den som flyttat till ett visst land, men som av språkliga (dubbning, textning) skäl vill ha tillgång till t.ex. sitt ursprungslands Netflix.

Sedan används ibland VPN för att titta på stremingtjänster som visar material som bara är tillgängligt i ett annat land. Men är det verkligen ett jättelikt problem – om den som tittar faktiskt betalar för det?

Är ”geolocation piracy” över huvud taget ett stort problem? Och är det i så fall ett tillräckligt stort problem för att stoppa Tor och VPN-tjänster som används för säker kommunikation, för att kringgå censur, för att oppositionella i vissa länder skall kunna uttrycka sig anonymt, för att ge kineser och andra förtryckta folk tillgång till nyheter från omvärlden – eller för att ta del av innehåll på nätet som ingen annan har något med att göra?

Som vanligt är nöjesindustrin villig att offra ett fritt och öppet internet på upphovsrättens altare.

TorrentFreak – Movie Industry: VPNs and Tor Pose a Threat to Legitimate Streaming Platforms »

Ett oväntat hinder för övervakningsstaten: 5G

av

Som vi tidigare rapporterat satsar EU nu på att knäcka eller kringgå kryptering av meddelanden. Även länderna i det så kallade Five Eyes-samarbetet (US, UK, Kanada, Australien och Nya Zeeland) satsar på att skapa bakdörrar till kryptering. Japan och Indien är andra länder som satsar på området.

Utöver att bakdörrar till kryptering gör hela vår IT-infrastruktur osäker – så finns det ett problem som övervakningsstaten måste lösa först: 5G.

Statewatch rapporterar:

»A new senior police working group will try to advance the police demand to retain wiretapping abilities with 5G technology. However, the technical architecture of 5G makes this extremely difficult, if not impossible. The German Presidency is seeking formal recognition from the Council’s Law Enforcement Working Party for this new body, named the ’European Heads of Lawful Interception Units’. As well as EU and Schengen states, the UK will apparently also be involved.«

Det visar sig alltså att 5G-tekniken är ett påtagligt hinder för övervakning och avlyssning.

Och då har massövervakningens vänner ett mer akut problem än kryptering att hantera. Skall man över huvud taget kunna knäcka ett krypterat meddelande, då måste man ju komma åt det först.

Om 5G omöjliggör traditionell övervakning, då måste myndigheterna förmodligen kapa (den fortfarande krypterade) trafiken där den övergått i kabel på väg in till meddelandetjänsten. Förmodligen i samarbete med varje respektive meddelandetjänst, som vanligtvis finns i andra jurisdiktioner.

Det blir krångligt att hantera, om alls möjligt. Därav EU:s nyvaknade intresse för hemlig dataavläsning (stats-trojaner med tillgång till allt som finns och sker på en dator, smartphone eller annan enhet). Men i stor skala kan sådan nog bara genomföras med för ändamålet förinstallerad mjuk- eller hårdvara. Vilket i sin tur rimligen bör kräva lagstiftning, i en öppen demokratisk process.

Vi får se om förslaget till EU:s nya Digital Services Act ger några ledtrådar, när det släpps i början av december.

Flash: Förslag om digitalt EU-ID

av

EU-kommissionens ordförande Ursula von der Leyen har just levererat sitt första linjetal i Europaparlamentet.

Bland annat flaggar hon för en europeisk digital identitet.

Tanken har varit uppe länge. Bland annat har det talats om att det skall krävas ett EU-ID för att kunna koppla upp sig på internet.

Detta kan bli ett hot såväl mot rätten till privatliv / anonymitet som ett verktyg för att kringgå kryptering (nycklar kopplade till EUeID).

Nu är det dags att vara vaksam.

EU och Europol satsar på att knäcka kryptering

av

EU-kommissionen arbetar just nu på en ny studie om hur man kan forcera end-to-end-krypterade meddelanden.

Europols European Centre for Cybercrime (EC3) i Haag arbetar redan med att knäcka krypterat innehåll och krypterade lagringsmedia. Enligt uppgift lyckas man i 39% av fallen. Målet är att i framtiden även kunna forcera krypterade meddelanden.

Matthias Monroy skriver på sin blogg:

»In the future, the „decryption platform“ is to use supercomputers of the European Union. For this purpose, Europol has concluded an agreement with the Joint Research Centre of the EU Commission, according to which the attacks on encrypted content are to be carried out in Ispra, Italy, at Lake Maggiore. Europol says, however, that the commissioning of the facility, which was planned last year, has been delayed and is now to take place in the summer of this year. Problems have therefore arisen with the secure connection between Ispra and Europol’s control room in The Hague.«

En särskild expertgrupp har nu tillsatts för att ta sig an frågan om krypterade meddelanden. I ett dokument från EU-kommissionen flaggas även för en ny approach. Monroy:

»Internet service providers such as Google, Facebook and Microsoft are to create opportunities to read end-to-end encrypted communications. If criminal content is found, it should be reported to the relevant law enforcement authorities. To this end, the Commission has initiated an „expert process“ with the companies in the framework of the EU Internet Forum, which is to make proposals in a study.«

Detta är intressant. Man vill alltså tvinga nätjättarna att läsa krypterad kommunikation. Vilket kan bli komplicerat för de företag som valt system för kryptering som inte ens de själva kan knäcka. Om de sedan hittar något misstänkt skall det anmälas till relevanta myndigheter.

Utöver att staten bereder sig tillgång till medborgarnas privata kommunikation (och därmed kränker rätten till privatliv och privat korrespondens) innebär knäckt kryptering ett mindre säkert internet för oss alla – oavsett om det handlar om bakdörrar eller att forcera krypterad kommunikation. Sådana verktyg blir, förr eller senare, även tillgängliga för andra – som kan ha en helt annan agenda. Till exempel bör man komma ihåg att en läcka avslöjade många av de verktyg för övervakning och dataintrång som används av amerikanska myndigheter – vilka nu hamnat i händerna på kriminella element runt om i världen.

Länk: European Commission starts new attack on end-to-end encryption »

TikTok och storpolitiken

av

»Lika illavarslande är att när ingreppen kommer från presidenten skapas krav på tacksamhet och lojalitet från företagens sida, vilket lätt slår över i ett likriktat medieklimat. För Trump är detta en föga dold ambition, han är särskilt kritisk mot företag som äger medier som kritiserar honom.

Den fria världen är under sådant styre på väg att underminera sina unika fördelar: lagstyre, fri konkurrens, medial pluralism och öppenhet mot omvärlden – kanske till och med den en gång så starka dominansen inom popkulturen.«

Mattias Svensson i DN: Tiktok påminner om att popkultur är storpolitik och att den fria världen har motvind »

Tyskland vill ha hjälp av IT-branschen för att installera statstrojaner

av

Tyskland var ett av de första länderna att lagstifta om »statstrojaner« – det vill säga spyware som ger myndigheterna tillgång till allt som görs och finns på en dator, mobiltelefon, sufrplatta m.m. Det är detta som Sverige nu infört under benämningen hemlig dataavläsning.

Nu vill Tyskland ta metoden ett steg längre . I ett arbetspapper inför ett kommande regeringsförslag diskuteras möjligheten att tvinga plattformar och meddelandetjänster att hjälpa till med att i smyg installera dessa statstrojaner hos användare.

Branschen vill, föga förvånande, inte ha något med saken att göra. Dels vill de inte bli delaktiga i statens övervakning av medborgarna. Dels vill de att säkerhetsbrister skall bli kända och täppas till – istället för att hållas öppna för att kunna utnyttjas av myndigheterna.

Detta kan vara relevant även för oss svenskar. Dels ger det en indikation om hur den hemliga dataavläsningen kan komma att utvecklas. Dels kan metoden komma att bli vägledande för lagstiftning eller praxis inom EU / Europol.

Läs mer: Staatstrojaner: WhatsApp & Co. sollen Netzverkehr an Geheimdienste umleiten »

Regeringen vill smyglansera automatiserad ansiktsigenkänning

av

SVT rapporterar:

»Efterlysta personer eller misstänkta för allvarlig brottslighet ska avslöjas vid gränsen – genom ansiktsigenkänning. Det föreslår regeringen i ett nytt lagförslag som ska göra det möjligt för polisen att testa tekniken på Skavsta flygplats.« (…)

»Passagerare kommer att fotograferas vid gränskontrollen. Med hjälp av biometrisk ansiktsverifiering jämförs bilden sedan med den biometriska bild som finns lagrad på en minneskrets i passagerarens pass.«

I sig är detta kanske inte så uppseendeväckande: Man vill kontrollera att personen vid gränskontrollen är samma person som i passet.

Justitieminister Morgan Johansson (S) säger »Jag tror att det finns en stor förståelse bland svenska folket för att vi behöver den här tekniken vid våra gränspassager.«

Detta är en trojansk häst.

Regeringen banar väg för automatiserad ansiktsigenkänning genom en någorlunda rimlig applikation som kan antas vara godtagbar eller rent av önskvärd bland befolkningen.

Men automatiserad ansiktsigenkänning kan även vara ständig övervakning och spårning av alla som rör sig i samhället, i realtid. Det kan vara automatiserad registrering eller identifiering av deltagare på ett politiskt möte. Det kan vara skattemyndigheten som vill snoka i dina förehavanden. Det kan vara myndigheter som vill bygga sociogram ör att kartlägga människors förhållande till varandra. Och som vanligt kommer antalet falska positiva att vara överväldigande – även om träffsäkerheten skulle vara 99%, vilket inget system kommer i närheten av idag.

Om vi skall ha gränskontroller är det naturligtvis rimligt att man kan kontrollera att den inresande är den han eller hon uppger sig vara i sin identitetshandling. Men det gäller att se upp, så att detta inte blir en bakdörr för att öppna upp för en teknik för massövervakning och kontroll av vanligt, hederligt folk.

SVT: Regeringen vill testa ansiktsigenkänning på svensk flygplats »

EU:s samordnare mot terrorism vill se EU-lag för att kringgå kryptering

av

EU:s samordnare mot terrorism, belgaren Gilles de Kerchove vill att den nya Digital Services Act skall omfatta lagstiftning om kryptering.

Enligt tyska Netzpolitik vill han att service providers skall åläggas att tillhandahålla läsbar, okrypterad tillgång till meddelanden som myndigheterna är intresserade av.

Netzpolitik skriver (med reservation för översättningen):

»Kryptering är inte bara allmänt förekommande på Internet, den är också viktig. Den skyddar konfidentialitet och äkthet mot allestädes närvarande attacker från alla – såväl underrättelsetjänster som brottslingar. Det finns ingen kryptering som kan de-krypteras av polisen i Berlin och Budapest, men inte av internetbrottslingar och ryska myndigheter. de Kerchove känner till detta dilemma, men han ignorerar det. Han kräver en ”optimal lösning” som gör det möjligt för användare att ”njuta av fördelarna med kryptering när det gäller integritet och dataskydd”, samtidigt som den europeiska polisen och underrättelsetjänsterna får tillgång till okrypterat innehåll. Han säger inte hur den lösningen ska se ut – eftersom den inte existerar. Han förnekar att han vill ha en statlig bakdörr, som enligt hans definition skulle vara ”permanent tillgång” för stater. Istället vill han ha åtkomst när polis och underrättelsetjänster begär ut  okrypterad data, vilket han kallar ”en ytterdörr”. Denna definitionsmässiga akrobatik förändrar inte det grundläggande problemet: kryptering skyddar antingen mot alla – eller mot ingen.«

Debatten står med andra ord och stampar på samma ställe som för tio år sedan.

»de Kerchove kritiserar att tillverkare som Google introducerar kryptering utan att först be EU om tillstånd. Han kräver en ”laglig skyldighet för leverantörer” att ”arbeta tillsammans med statliga myndigheter på teknisk nivå” och diskutera deras kryptering tillsammans.«

Att de Kerchove ger sig in i debatten just nu beror naturligtvis på att han vill ha in lagstiftning om kryptering i EU:s nya Digital Services Act, som just nu håller på att utformas.

Artikeln avslutas med en engelskspråkig text som ger en översikt över krypteringsfrågan i EU.

Netzpolitik: Anti-Terror-Koordinator der EU fordert Gesetz gegen Verschlüsselung »

USA:s Attorney General mullrar mot Apples försvar av användarnas rätt till privatliv och säkerhet

av

Attorney General Bill Barr uttrycker sig i hotfulla termer efter att Apple inte velat – och inte kunnat – låsa upp en misstänkt skytts telefon. Detta trots att FBI lyckats låsa upp telefonen i fråga utan Apples hjälp. Barr hotar nu med lagstiftning för att skapa en bakdörr. Och Apple slår tillbaka:

»It is because we take our responsibility to national security so seriously that we do not believe in the creation of a backdoor — one which will make every device vulnerable to bad actors who threaten our national security and the data security of our customers.«

»There is no such thing as a backdoor just for the good guys, and the American people do not have to choose between weakening encryption and effective investigations.«

Detta är ett ställningskrig som pågått länge nu. Myndigheterna hoppas kanske vinna genom att ständigt återkomma med sina krav om bakdörrar, som något slags utmattningstaktik. Men eftersom det skulle hota säkerheten för alla användare måste teknikföretagen stå fast och säga nej.

Men detta är inte det enda hotet från den amerikanska staten mot nätanvändarnas rätt till privatliv. Vox skriver:

»Barr raising the legislative solution specter is well-timed. A bipartisan bill called the EARN IT Act, which would essentially force platforms like Facebook, Reddit, and even end-to-end encrypted apps like WhatsApp and Signal to give the government a backdoor to any and all customer information is currently making its way through the Senate. There’s also the bill reauthorizing the Patriot Act, for which a painfully close Senate vote defeated an attempt to exclude web search history and browser information from warrantless surveillance by the FBI. The bill, once resolved by the House and Senate, will go to President Trump’s desk to sign.«

I sammanhanget skall man komma ihåg att lagar som rör övervakning i USA har en förmåga att leta sig över till EU med tiden. Vilket bland annat kan bero på ett nära underrättelsesamarbete (i vilket Sverige tycks spela en framträdande roll).

Vox: Why Attorney General Bill Barr is mad at Apple »

Bruce Schneier: Corona-appar är värdelösa

av

Den välkände dataskyddsexpeerten Bruce Schneier sågar planerna på smittspårningsappar.

BuzzFeedNews:

”My problem with contact tracing apps is that they have absolutely no value,” Bruce Schneier, a privacy expert and fellow at the Berkman Klein Center for Internet & Society at Harvard University, told BuzzFeed News. ”I’m not even talking about the privacy concerns, I mean the efficacy. Does anybody think this will do something useful? … This is just something governments want to do for the hell of it. To me, it’s just techies doing techie things because they don’t know what else to do.”

På sin egen blogg förklarar Schneier problemet med falska positiva och falska negativa statusmeddelanden:

False positives: Any app will have a precise definition of a contact: let’s say it’s less than six feet for more than ten minutes. The false positive rate is the percentage of contacts that don’t result in transmissions. This will be because of several reasons. One, the app’s location and proximity systems — based on GPS and Bluetooth — just aren’t accurate enough to capture every contact. Two, the app won’t be aware of any extenuating circumstances, like walls or partitions. And three, not every contact results in transmission; the disease has some transmission rate that’s less than 100% (and I don’t know what that is).

False negatives: This is the rate the app fails to register a contact when an infection occurs. This also will be because of several reasons. One, errors in the app’s location and proximity systems. Two, transmissions that occur from people who don’t have the app (even Singapore didn’t get above a 20% adoption rate for the app). And three, not every transmission is a result of that precisely defined contact — the virus sometimes travels further.

Han påpekar också att utan tillgång till snabb och enkel provtagning blir det hela än mer meningslöst.

Schneier on Security: Me on COVID-19 Contact Tracing Apps »