Femte juli

Nätet till folket!

Säkerhet

Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.

Bättre skydd för användarnas privatliv i Apples nya mobil-OS

av

Med sitt senaste operativsystem för mobiler, iOS 13, lanserar Apple ett antal funktioner som gör det lättare för användare att skydda sitt privatliv. NYT förklarar en av funktionerna:

»When you use it [Apple ID] to register for a website or app, iOS 13 will present you with an option to hide your email address that is linked to your Apple ID. If you choose to use it, Apple will create what is essentially a burner email address so that you can sign up for the app or website while hiding your real email address from the third party.

Whenever the website or app then tries to contact you, it will email the burner address and not your real email address. Apple will forward the note to you so you are aware of it. Then if a business starts sending spam to the burner email address, you can easily delete your account and the business won’t have your real email address.«

Andra exempel är att man kan välja att ge appar engångstillstånd för tillgång till kamera, position m.m. samt möjlighet att dölja metadata (som position) när du delar en bild på sociala media.

NYT: How to Make the Most of Apple’s New Privacy Tools in iOS 13 »

Snowden: Utan kryptering, inget privatliv

av

NSA-visselblåsaren Edward Snowden i The Guardian:

»In every country of the world, the security of computers keeps the lights on, the shelves stocked, the dams closed, and transportation running. For more than half a decade, the vulnerability of our computers and computer networks has been ranked the number one risk in the US Intelligence Community’s Worldwide Threat Assessment – that’s higher than terrorism, higher than war. Your bank balance, the local hospital’s equipment, and the 2020 US presidential election, among many, many other things, all depend on computer safety.

And yet, in the midst of the greatest computer security crisis in history, the US government, along with the governments of the UK and Australia, is attempting to undermine the only method that currently exists for reliably protecting the world’s information: encryption. Should they succeed in their quest to undermine encryption, our public infrastructure and private lives will be rendered permanently unsafe.«

Länk: Without encryption, we will lose all privacy. This is our new battleground. »

Ny lag vill att internetoperatörer skall lämna ut information om innehåll i användares kommunikation

av

I september var det tänkt att regeringen skulle presentera en lagrådsremiss om hemlig dataavläsning. Och pengar har redan anslagits i budgeten till både polisen och Säpo för de kostnader detta kommer att medföra. (155 miljoner SEK.) Men ännu har något slutligt förslag inte presenterats.

Den hemliga dataavläsningen är tänkt att med hjälp av spionprogram ge myndigheterna tillgång till alla filer, alla kontakter, alla bilder, alla meddelanden (även innan kryptering och efter avkryptering) samt i vissa fall till kameror och mikrofoner på misstänkta brottslingars datorer, smartphones, plattor – samt övriga informationstjänster.

Det där sista – informationstjänster – är intressant. I utredningen (SOU 2017:89) skriver man på sidorna 26-27:

Den som bedriver anmälningspliktig verksamhet enligt 2 kap. 1 § lagen om elektronisk kommunikation får bistå den verkställande myndigheten i samband med verkställighet av hemlig dataavläsning. Den operatör som medverkar har rätt till ersättning för de kostnader som uppstår. Ersättning för medverkan betalas av den verkställande myndigheten.

Det betyder rimligen att även internetoperatörer kommer att omfattas. Och då inte bara vad gäller metadata, som vid datalagringen – utan även innehåll i meddelanden med mera.

Detta är en detalj som verkar ha flugit under radarn – medan den tyngsta kritiken har riktats mot att hemlig dataavläsning kommer att göra våra datorer och vår IT-infrastruktur sårbar.

Ylva Johansson: Inget EU-förbud mot kryptering

av

Den föreslagna svenska EU-kommissionären Ylva Johansson kommer som bekant att få hantera de så kallade inrikesfrågorna – det vill säga allt från migrationsfrågor till polissamarbete och inre säkerhet. Fokus har legat på migrationsfrågorna. Men Europaparlamentets muntliga utfrågning och skriftliga frågor ger viss ledning även i några av nätfrågorna.

Här är några nedslag i dokumenten. (Skärmdumpar, eftersom Europaparlamentet fortfarande gör PDF:er genom att skanna pappersutskrifter…)

Detta är faktiskt en god nyhet, om det går att lita på Johanssons ord: Inget förbud, ingen begränsning och ingen försvagning av kryptering.

Däremot kan man nog förvänta sig en ökad användning av statliga spionprogram ute i medlemsstaterna – det vill säga det som i Sverige kallas hemlig dataavläsning.

Ansiktsigenkänning är, som Ylva Johansson påpekar, en nationell fråga. Men – som hon snuddar vid – ägnar sig EU åt att finansiera forskningsprojekt där ansiktsigenkänning är en central funktion. (T.ex. Indect.) Så EU har ändå ett klart intresse i frågan.

Ylva Johansson vill alltså påskynda beslutet om avlägsnande av terrorrelaterat innehåll på nätet. Vilket, i sin nuvarande skrivning, kan resa krav på obligatorisk filtrering och analys av allt som alla användare laddar upp.

Sedan blir svaret mindre begripligt. För om man plockar bort innehåll – då kan det bli problematiskt för ordningsmakten, människorättsorganisationer, forskare, internationella juridiska institutioner, media m.fl. att få en bild av vad som verkligen sker. Vilket är en del av den kritik som framförts mot förslaget.

Tyvärr berördes inte datalagringen (vad jag kunnat hitta). Frågan är om det blir Ylva Johansson eller kommissionären för rättsliga frågor – belgaren Didier Reynders – som får i uppgift att ta fram ett eventuellt nytt datalagringsdirektiv. (Eller möjligen båda.)

Detta är bara några nedslag i det digra materialet. Här är länkar för den som är intresserad:

• Pressmeddelande: utfrågning av nominerade svenska EU-kommissionären Ylva Johansson »
• Video från utfrågningen och dokumentbank »
• Utskrift av utfrågningen (PDF) »
• Skriftliga svar (PDF) »
• Kompletterande skriftliga svar (PDF) »

155 miljoner kr till hemlig dataavläsning i regeringens budget

av

Regeringen satsar 155 miljoner kronor i budgeten på övervakning som ännu ej godkänts av riksdagen. (120 miljoner till polisen och 35 miljoner till Säpo.)

Ur Justitiedepartementets pressmeddelande:

Utöver tidigare beslutade anslagsökningar avseende 2020 föreslår regeringen att Polismyndigheten tillförs 120 miljoner kronor för att bland annat säkerställa satsningen på hemlig dataavläsning. (…)

Regeringen föreslår att Säkerhetspolisen tillförs 35 miljoner kronor från och med 2020 för att säkerställa satsningen på hemlig dataavläsning.

Även om denna nya form av övervakning förmodligen kommer att godkännas av riksdagen är det noterbart att man anslår pengar för att finansiera kontroversiella beslut som ännu ej är fattade.

Samtidigt är detta en signal om att propositionen (som redan dragits i långbänk i 4-5 år) kommer att läggas fram i närtid. Och att den nya lagen kommer att träda i kraft snabbt efter att den klubbats.

I sak är idén om hemlig dataavläsning lika tveksam som tidigare. Statstrojaner och statliga spionprogram på folks datorer, telefoner och plattor kommer att göra hela vår IT-infrastruktur mindre säker. I sammanhanget skall man komma ihåg att sådana verktyg förr eller senare alltid tycks hamna i orätta händer.

Nu återstår att se hur propositionen kommer att vara utformad. Till exempel skall det bli intressant att få veta hur regeringen tänkt sig att garantera att statliga hacknings-verktyg inte kommer att kunna användas för att plantera falska bevis.

Frankrike rullar ut ansiktsigenkänning

av

Landet som gav världen Minitel bygger nu sin egen Storebrorsstat.

France is poised to become the first European country to use facial recognition technology to give citizens a secure digital identity — whether they want it or not.

Saying it wants to make the state more efficient, President Emmanuel Macron’s government is pushing through plans to roll out an ID program, dubbed Alicem, in November, earlier than an initial Christmas target. The country’s data regulator says the program breaches the European rule of consent and a privacy group is challenging it in France’s highest administrative court. It took a hacker just over an hour to break into a “secure” government messaging app this year, raising concerns about the state’s security standards.

None of that is deterring the French interior ministry.

Bloomberg: France Set to Roll Out Nationwide Facial Recognition ID Program »

Hyppönen: Internet of things är som digital asbest

av

»[D]e flesta smarta saker är egentligen otroligt korkade ur säkerhetssynvinkel. Helt plötsligt sprejas internet med saker med urgamla Linux-kärnor, med alla portar öppna, som kör telnet och inte går att patcha.« (…)

»Kommer framtida generationer att hata oss för IoT? Kanske det. Mikko Hyppönen drar en parallell med asbest. Smarta saker är det nya digitala asbest. Asbest var ju ett fantastiskt material, en revolution. Det kunde användas till allt möjligt. Mikko Hyppönen visar ett klipp från en reklamfilm från 1960-talet. Reklamen går ut på att till och med en kvinna, en smart kvinna alltså, kan lägga golvplattor i köket. Golvplattor av asbest. Fantastiskt. Smart. Femtio år senare är asbest fortfarande ett miljöproblem. Blir det samma sak med smarta saker? Hur många decennier kommer det ta att senara världen från dumma smarta saker?»

IDG Techworld:
• Mikko Hyppönen: Smarta saker är det nya digitala asbest »

Tyska »statstrojaner« till författningsdomstolen

av

I Tyskland har Gesellschaft für Freiheitsrechte (GFF) anmält bruket av så kallade statstrojaner till författningsdomstolen.

Det handlar om program som myndigheterna kan låta installera på datorer, telefoner, plattor och andra enheter för att till exempel övervaka och avlyssna dess användare. Detta är relevant även för oss, då regeringen just nu förbereder en svensk variant – hemlig dataavläsning.

»As a form of government surveillance, state trojans present unique and grave threats to privacy and security. It has the potential to be far more intrusive than any other surveillance technique, permitting the government to remotely and surreptitiously access personal devices and all the intimate information they store. It also permits the government to conduct novel forms of real-time surveillance, by covertly turning on a device’s microphone, camera, or GPS-based locator technology, or by capturing continuous screenshots or seeing anything input into and output from the device. The use of trojans allows governments to manipulate data on devices, by deleting, corrupting or planting data; recovering data that has been deleted; or adding or editing code to alter or add capabilities, all while erasing any trace of the intrusion. These targets are not confined to devices. They can extend also to communications networks and their underlying infrastructure.

At the same time, the use of state trojans has the potential to undermine the security of targeted devices, networks or infrastructure, and potentially even the internet as a whole. Computer systems are complex and, almost with certainty, contain vulnerabilities that third parties can exploit to compromise their security. Government use of state trojans often depends on exploiting vulnerabilities in systems to facilitate a surveillance objective. Government hacking may also involve manipulating people to interfere with their own systems. These latter techniques prey on user trust, the loss of which can undermine the security of systems and the internet.«

Statewatch: GFF Challenge to use of government spyware (Germany) »

Tysk polis stormar cyber-bunker

av

Med 600 (!) poliser har tyska myndigheter slagit till mot en cyber-bunker i närheten av Mosel-dalen.

ArsTechnica:

»On September 26, a data center in a former NATO military bunker in the town of Traben-Trarbach, Germany, was raided by police, according to a report by the Associated Press. Set up by a man whom authorities describe as a 59-year-old Dutchman, the ”CyberBunker” offered ”bulletproof” hosting services—promising to keep hosted sites secure from law enforcement actions and operational regardless of legal demands.«

Länk: German police seize “bulletproof” hosting data center in former NATO bunker »