Kategori: Säkerhet

Nya rutiner för online-betalningar i EU

Henrik Alexandersson Lämna en kommentar

Den 14 september träder EU:s »Strong Customer Authentication« (SCA) i kraft. Det handlar om nya krav för onlinebetalningar, som alla företag som är verksamma online måste anpassa sig till. Guillaume Princen på TNW skriver…

SCA will require an extra layer of authentication for online payments. Where a card number and address once sufficed, customers will now be required to include at least two of the following three factors to do anything as simple as order a taxi or pay for a music streaming service. Something they know (like a password or PIN), something they own (like a token or smartphone), and something they are (like a fingerprint or biometric facial features).

Detta kommer att ställa helt nya krav på alla europeiska företag som är verksamma online – och en hel del krångel för alla användare. Syftet är att minska antalet online-bedrägerier.

Syftet må vara gott, men detta tycks komma som en överraskning för många företag och innebära att många onlineköp kommer att avbrytas – eftersom de blir för krångliga. En beräkning hävdar att detta kommer att minska omsättningen för onlinebetalningar i EU med 25%, från 600 till 450 miljarder euro per år. I den länkade artikeln hävdas också att endast en fjärdedel av alla europeiska företag är medvetna om förändringen.

Undantag kommer att gälla för betalningar under 30 euro, återkommande betalningar och betalningar till företag som kunden i förväg »vitlistat« hos sin bank.

Kommer detta att väcka lika mycket yrvaken panik som när GDPR trädde ikraft?

Länk: Your business passed the GDPR challenge — but SCA is next »

Österrike: Ny lag skall göra det möjligt att begära ut nätanvändares personuppgifter

Henrik Alexandersson Lämna en kommentar

Österrike är på väg att införa en lag som kan få högst oönskade konsekvenser: Plattformar och forum skall tvingas lagra detaljerad persondata om sina användare. Dessa uppgifter skall sedan kunna begäras ut – ifall myndigheter eller någon annan överväger rättsliga åtgärder mot användaren ifråga.

Det kommer alltså att räcka med att någon påstår sig överväga rättsliga åtgärder för att till exempel få ut en enskild användares namn och adress. I dessa tider av näthat, de-plattformering och politisk polarisering är det inte svårt att räkna ut vad det kan få för konsekvenser. EDRi kommenterar…

Rather than improving safety online, the resulting “chilling effect” will lead to individuals avoiding sharing their most controversial opinions on a forum that possesses their detailed personal data. In essence, this is a way of imposing self-censorship on individuals.

Vi kan redan se hur bland andra vänster- som högerextrema grupper hotar personer vars åsikter de inte delar, hur enskilda utsätts för politiskt motiverat våld och hur människors bostäder utsatts för skadegörelse och attacker. Är det verkligen klokt att underlätta sådant?

EDRi » Austria: New “responsibility” law will lead to self-censorship »

Massövervakningens verktyg i fel händer

Henrik Alexandersson 1 kommentar

Det visar sig att Kina använt sig av ett av amerikanska NSA:s spionprogram – DoublePulsar – långt innan detta blev allmänt känt genom den så kallade Shadow Brokers-läckan.

Detta är inte första gången det visat sig att spion- och övervakningsprogram hamnat i fel händer. Och det behöver inte handla om främmande makt. Det kan lika gärna vara kriminella nätverk.

Massövervakningen riskerar, ironiskt nog, att göra oss alla mindre säkra.

Tekniska detaljer finns i dessa länkar: Ars Technica » | ZDnet » | BoingBoing »

ID-krav för nätuppkoppling och resor?

Henrik Alexandersson 3 kommentarer

En statlig utredning föreslår att endast av polisen utfärdade ID-kort och pass skall vara giltig ID-handling.

Korten skall lagra biometrisk information. Dessutom skall polisen använda sig av ansiktsidentifikation när ID-kort eller pass lämnas ut, för att försäkra sig om att det handlar om rätt person.

Vad man måste vara uppmärksam på är de många, små stegen mot ökad övervakning och kontroll. Att ID-handlingars biometriska information bara lagras på kortens chip kan lätt ändras. Det krävs bara ett beslut och en knapptryckning så kan denna information börja lagras centralt. Och passpolisens ansiktsigenkänning kan lika snabbt integreras i andra register.

Dessutom menar utredaren att detta ID-kort skall fungera som statlig e-legitimation för identifikation på nätet.

Här gäller det att vara vaksam. Och gärna en smula misstänksam. Även om inget konkret förslag har lagts fram, så finns det en pågående diskussion inom EU om obligatorisk identifikation när du kopplar upp dig på nätet. Här passar det nya svenska ID-kortet som hand i handske. Och liknande planer finns i andra EU-länder.

Så även om det inte finns något förslag om ID-krav vid nätuppkoppling ännu, så är det nya svenska ID-kortet ett perfekt verktyg för ett sådant system.

Hur som helst krattar ID-utredningen manegen för en framtid där du måste ha ett statligt ID-kort för att över huvud taget kunna fungera i vårt samhälle.

Och även om Schengen-samarbetet ger oss fri rörlighet inom stora delar av EU – så är det mycket som talar för att det nya ID-kortet kommer att behövas för till exempel all form av resor, för att hyra bil eller för att ta in på hotell i framtiden. Eftersom staten vill veta var du befinner dig. PNR-systemet (Passenger Name Record) finns redan och tenderar ständigt att bli allt mer omfattande.

Länkar:
• Utredning föreslår nytt statligt id-kort och e-legitimation »
• Utredningen (SOU 2019:14) som PDF »
• Mycket riktigt – staten vill slopa körkort som ID för att registrera biometri »
• Körkort föreslås ej vara giltlig ID-handling – välkommen till Kösverige »

/ HAX

Tysk säkerhetsskandal med ironisk twist

Henrik Alexandersson Lämna en kommentar

I Tyskland har ett antal offentliga personer, främst politiker blivit doxade. På Twitter har spridits bilder av dem från Facebook, hemliga mobilnummer, räkningar och sådant. Detta hann pågå i form av en adventskalender med en tweet varje dag under hela december månad, innan någon kom sig för att reagera.

Den 20-årige gärningsmannen är studerande och bor i sitt pojkrum hemma hos mamma och pappa. Han är nu försatt på fri fot. Vilket i sig är lite uppseendeväckande. Köpte statens högsta säkerhetsapparat verkligen förklaringen att landets ledning blivit doxad på kul, bara sådär? Håller den tyska statsförvaltningen på att utveckla humor?

Ynglingen har faktiskt medgivit ett slags politiskt motiv. Att han har doxat personer som han tycker sagt dumma saker. Sedan finns naturligtvis reservationen i att ingen från AfD blivit uthängd.

Däremot har det blivit ett himla hallå i regeringskretsar. Krismöten, presskonferenser, kraftåtgärder och muller. Av tv-nyheterna förstod jag att man nu avser att öka säkerheten. Men jag är inte riktigt säker på att det framgick hur. Eller för vem.

Kalabalik i en statsapparat som själv suger upp information om medborgarna. Som feedar amerikanska NSA & Co med astronomiska mängder insamlad data om människors kommunikationer. Och som sedan får skrivet på näsan att information läcker. Detta är närmast sedelärande.

Plötsligt dök det alltså upp en Twittrare – mitt i övervakningsstaten – som hann lägga ut lite privata data om överheten. Merkels senaste räkning från Amazon, kanske. Och säkert en hel del rätt känsliga saker.

Detta har varit huvudnyhet på tyska tv-nyheterna i flera dagar. Men ironin tycks än så länge ha gått journalistkåren förbi. Och tanken är ju faktiskt att folket skall veta allt om makten. Om överheten inte har något att dölja – då har den enligt sitt eget sätt att resonera inte heller något att frukta. Eller hur?

Men vad staten vet om medborgarna, det är allt för få bekymrade över. (Och då bor jag ändå i Tyskland, där det faktiskt finns en ideologiskt driven och rättighetsmedveten nätfrihetsrörelse.)

Samtidigt växer övervakningen av folket över tid, i takt med teknikhopp och politiska initiativ. Frågan medborgarna förr eller senare bör ställa sig är om de verkligen är redo att utelämna sig helt, inför överhetens granskande ögon.

Detta gäller ju inte bara Tyskland, utan nästan alla länder. Inte minst Sverige. Är det någon som över huvud taget har en helhetsbild av den svenska övervakningsstatens totala verksamhet och verktyg?

Hela historien om Twitter-doxaren, på engelska, med detaljer, hittar du hos The Local.de.

/ HAX

Ingen kommer undan Facebook

Henrik Alexandersson Lämna en kommentar

En majoritet (61%) av de Android-appar som testats sänder data till Facebook – även om du inte är inloggad där, eller ens har Facebook. Detta avslöjade den brittiska organisationen Privacy International på Chaos Communication Congress i mellandagarna.

Facebook routinely tracks users, non-users and logged-out users outside its platform through Facebook Business Tools. App developers share data with Facebook through the Facebook Software Development Kit (SDK), a set of software development tools that help developers build apps for a specific operating system. Using the free and open source software tool called ”mitmproxy”, an interactive HTTPS proxy, Privacy International has analyzed the data that 34 apps on Android, each with an install base from 10 to 500 million, transmit to Facebook through the Facebook SDK.

Detta kan alltså ha drabbat upp till en halv miljard användare världen runt.

Facebook lägger i sin tur ansvaret på app-utvecklarna. De säger också att detta inte är något som är specifikt för Facebook, utan att samma sak gäller för till exempel Amazon, Google och Twitter.

Detta väcker principiellt viktiga frågor. Är det över huvud taget möjligt för Andriod-användare att använda sina telefoner och plattor utan att mata nätjättarna med (ofta känslig) privat data? Med vilken rätt samlar man in data om användare som inte givit sitt samtycke?

I ett vidare perspektiv kan man även konstatera att det är ytterst oklart i vilken utsträckning nätjättarna delar information med olika myndigheter. (För att de måste, eller för att de helt enkelt säljer information till dem.)

Detta kan bli ett viktigt test vad gäller EU:s dataskyddsförordning, GDPR. Och det kan då komma att bli riktigt dyrt för Facebook.

För vanliga användare finns bara en slutsats att dra: Använder man modern teknik, då måste man alltid utgå från att det resulterar i att nätjättarna samlar in persondata om oss. Data, som sedan kan komma att delas med andra.

Länkar:
• Privacy International: How Apps on Android Share Data with Facebook – Report »
• Video, ljudfiler och slides från PI:s presentation på CCC »
• ZDNet: Privacy International hits out at unconsented Facebook tracking within apps »
• Computer Sweden: Populära appar skickar data till Facebook – även om du inte har ett konto »

/ HAX

EU-miljoner till white hat-hackare

Henrik Alexandersson Lämna en kommentar

Piratpartiets tyska ledamot av Europaparlamentet skriver på sin blogg…

In January the European Commission is launching 14 out of a total of 15 bug bounties on Free Software projects that the EU institutions rely on. A bug bounty is a prize for people who actively search for security issues. The amount of the bounty depends on the severity of the issue uncovered and the relative importance of the software. The software projects chosen were previously identified as candidates in the inventories and a public survey.

Se där vad som kan hända när man väljer in folk som begriper vad de sysslar med i parlamentet. Här görs inte bara EU:s tekniska infrastruktur säkrare – utan hela vår IT-ekosystem, eftersom detta handlar om teknik som vi alla är beroende av.

Länk: In January, the EU starts running Bug Bounties on Free and Open Source Software »

Säpo kräver datalagring och trojaner

Henrik Alexandersson 1 kommentar

Samtidigt som polisens användning av hemliga tvångsmedel (avlyssning) ökar, vill Säkerhetspolisen ha mer övervakning.

I ett pressutspel pekar Säpos chef, Klas Friberg, på tre punkter.

Den kanske minst kontroversiella punkten är att ge Säkerhetspolisen rätt att ta del av uppgifter från signalspaning även under pågående förundersökning. Detta är en konsekvens av FRA-lagstiftningen, som jag aldrig riktigt lyckats förstå. Om man ändå redan bedriver signalspaning är det bara märkligt denna information – som man alltså ändå samlar in – inte får användas i pågående förundersökningar. Eller missar jag något här?

Nästa punkt är att Säpo vill att datalagringen – som EU-domstolen upphävt på grund av att den strider mot grundläggande mänskliga rättigheter – skall återupptas.

Vilket får mig att undra: Om Säpos uppgift är att försvara den svenska demokratin, varför envisas man då med att vilja ha verktyg för övervakning som EU:s högsta domstol anser vara i strid med den demokratiska rättsstatens principer?

Den tredje punkten handlar om kryptering och stats-trojaner. Säpo ogillar kryptering, eftersom den gör det svårare för dem att övervaka folk. Samtidigt är kryptering ett viktigt, ofta nödvändigt verktyg för företag, organisationer och individer.

Att skapa bakdörrar till kryptering vore att underminera säkerheten för alla, inklusive för centrala samhällsfunktioner. Det skulle öppna dörren för allehanda cyberbrottslingar och främmande stater.

Detta vill Säpo lösa genom så kallad hemlig dataavläsning, det vill säga en stats-trojan. Genom att i hemlighet installera spionprogramvara på folks datorer, plattor och telefoner vill man kunna avlyssna, övervaka och se alla filer och allt som görs på enheten. På så sätt kommer man bland annat att komma åt information när den – i okrypterat tillstånd – skrivs in eller läses.

Återigen handlar detta om ett verktyg som – när det hamnar i orätta händer, vilket det förr eller senare kommer att göra – försämrar säkerheten för alla. Det är rena drömmen för brottslingar, spioner och trollfabriker.

Säpo borde vara angeläget om att öka IT-säkerheten, inte medvetet försvaga den.

Slutligen: Det är ingen som protesterar mot att man övervakar människor som är misstänkta för brott eller som utgör en påtaglig fara för andra. Men detta måste gå att lösa utan svepande massövervakning av hela folket – och utan att underminera vårt samhälles IT-säkerhet.

/ HAX

Online-event: How Encryption Saves Lives and Fuels our Economy

Henrik Alexandersson Lämna en kommentar

Tisdag den 27 november håller New America’s Open Technology Institute ett event med temat: How Encryption Saves Lives and Fuels our Economy.

Crypto Wars 2.0 has gone global. For five years, advocates for strong encryption have been locked in a debate with U.S. law enforcement officials over their demands that companies build encryption backdoors into their products. Yet both here and abroad, in countries like the U.K., France, and Australia, the focus has primarily been on whether it is feasible to build a secure backdoor. But what about the potential human costs of an encryption backdoor?

Bland programpunkterna:
• The Faces Behind the Algorithms: The Real People Encryption Protects
• A Discussion on Human Rights and the International Crypto Debate
• How Encryption Backdoors Would Affect Consumers and Innovation

Här kan du läsa mer, boka in en påminnelse för att följa eventet live / titta direkt den 27 november kl 18 »

 

Europaparlamentet kräver mer övervakning

Henrik Alexandersson Lämna en kommentar

Hur skall EU hantera terrorismen? Den frågan har stötts och blötts i ett specialinrättat utskott i Europaparlamentet – European Parliament’s Special Committee on Terrorism, förkortat TERR. Till skillnad från parlamentets övriga utskott har TERR de flesta av sina möten bakom stängda dörrar.

Nu har man producerat en rapport. Parlamentets egna initiativrapporter är egentligen rätt meningslösa papper. De har ingen lagstiftande effekt, utan sänds helt enkelt över till EU-kommissionen och andra eventuellt intresserade för påseende. Parlamentet tycker saker, helt enkelt.

Men ibland kan en sådan rapport användas för att EU:s enda folkvalda förtroendemän (ledamöterna i parlamentet) förväntas legitimera kontroversiella saker som EU-kommissionen och medlemsstaterna i ministerrådet redan jobbar med. Vad gäller rapporten från TERR tyder mycket på att den är just ett sådant beställningsarbete.

Till exempel kan TERR-rapporten kan användas för att backa upp EU-kommissionens förslag om nätcensur, som lades fram den 12 september.

Frankrikes president, Emanuel Macron, har för övrigt redan meddelat att EU-valet nästa vår till stor del kommer att handla om att sätta koppel på internet. Även här passar TERR-rapporten väl in i pusslet.

Bland de förslag som vädras finns bland annat utökad datalagring, urholkat krypteringsskydd, utökad registrering av medborgarnas resor – och inte minst en ny, gigantisk Storebrors-databas för hela EU.

Det har lagts fram 1.519 ändringsförslag till rapporten. En del är bra, andra förfärliga. Problemet med så omfattande voteringar är att de blir fullständigt kaotiska – och därmed lätta att styra från presidiet.

I en kritisk kommentar skriver EDRi:

”The fact that the TERR Committee draft’s “spontaneously” chose to propose similar wording to what the Commission proposed is important. It means that the two rapporteurs have led the European Parliament a long way towards adopting a position that fully aligns with the terms of the proposed Terrorist content Regulation before the vast majority of Parliamentarians were aware of what the Commission was about to propose as binding legislation. If deliberate, this would be a serious attack on institutional integrity of the European Parliament.”

I oktober och november bereds TERR-rapporten i sitt hemliga specialutskott. Preliminärt väntas den komma upp till votering i Europaparlamentets plenum i december.

Även om rapporten inte är lagstiftning måste den kritiseras, helst röstas ner – då den öppnar dörren för så mycket andra Storebrors-påfund.

 

Läs mer hos EDRi: EU Parliament’s anti-terrorism draft Report raises major concerns »