Femte juli

Nätet till folket!

Säkerhet

Under denna kategori samlar vi nyheter och notiser som handlar om säkerhet för nätanvändare. Det kan till exempel gälla persondata, kryptering, säkerhetsbrister eller läckor och illasinnade hack som exponerar användare.

Analys: Tyskland gör en u-sväng i övervakningsfrågorna

av

Kommer den nya tyska regeringen att lyckas vända marschen in i övervakningsstaten? Man tänker i vart fall göra ett försök.

Som vi tidigare rapporterat är den nya tyska regeringen betydligt mer skeptisk till massövervakning än ministären Merkel. Nu är frågan hur detta kommer att omsättas i praktisk handling.

• Kryptering

I koalitionsfördraget skriver man att rätten till kryptering skall garanteras. Detta kolliderar med bland andra Europols ambitioner att knäcka eller kringgå kryptering. Frågan är knepig. Man kan tänka sig något slags inriktning av krypto-knäckning som bara får omfatta misstänkta för brott. Men det löser inte grundproblemet med att bakdörrar (eller andra sätt att kringgå eller knäcka kryptering) kommer att leda till att all kryptering utsätts för risker. Vilket i så fall kommer att göra oss alla mindre säkra. Det skall bli intressant att se hur man tänkt leverera på denna punkt.

• ChatControl 2

Fördraget säger vidare nej till generell övervakning, speciellt av privat kommunikation. Vilket kolliderar med EU:s planer på att göra det obligatoriskt för meddelande- och mailtjänster att av-kryptera och granska innehållet i alla användares alla elektroniska kommunikationer. Här är även vad som ovan nämns om kryptering tillämpligt.

I alla EU:s institutioner finns idag ett brett stöd för ChatControl 2. Det skall bli mycket intressant att se vad som händer om unionens tyngsta medlemsland plötsligt säger nej. Förutsättningarna för Tyskland att stoppa förslaget i EU är inte jättegoda, men tyska regeringar med liberala justitieministrar har lyckats med liknande saker förr.

• Datalagring

Av samma skäl som när det gäller ChatControl lär den nya tyska regeringen säga nej till datalagring, så väl inom landet som planerna på ett nytt datalagringsdirektiv i EU.

Med detta ansluter sig den nya regeringen till EU-domstolens linje. Domstolen har upphävt EU:s tidigare datalagringsdirektiv – och vid upprepade tillfällen påpekat för medlemsstater att det inte är tillåtet med svepande insamling av data om alla medborgares alla tele- och datakommunikationer utan konkret brottsmisstanke.

Räkna med att den nya linjen kommer att möta hårt motstånd från polis och underrättelsetjänst.

• Hemlig dataavläsning

Koalitionsfördraget säger även att alla säkerhetsbrister inom IT skall rapporteras in. Vilket i så fall kolliderar med användningen av hemlig dataavläsning (”Bundestrojaner”). Sådan bygger på att hålla ännu icke allmänt kända säkerhetsbrister öppna – för att sedan myndigheterna skall kunna använda dem för installation av spionprogram. Men den nya regeringen sätter istället allas säkerhet online främst.

Så sent som i somras beslutade Bundestag om ökad användning av hemlig dataavläsning. Men nu är det alltså tänkt att man skall göra helt om i frågan. Vilket säkert kommer att orsaka en del gnissel.

• Nej till biometrisk massövervakning

Detta är möjligen en mer omstridd fråga i Tyskland än i EU. Medan tysk polis redan prövat kameraövervakning med automatisk ansiktsigenkänning, finns ett klart motstånd mot användning av sådan teknik på EU-nivå – inte minst i Europaparlamentet.

Detta är bara några exempel. Du hittar en mer utförlig lista här.

Nu återstår att se om den nya regeringen kan leverera enligt sin överenskommelse. Det finns skäl att misstänka att socialdemokraterna (som ju satt i den förra regeringen, vilken drev en annan politik) inte är helt förtjusta.

Men framförallt är det i EU som den nya tyska linjen kan komma att skapa oreda. Förhoppningsvis blir det en ögonöppnare när det största EU-landet säger nej till mer kontroll och övervakning. Det kan bli ett tillfälle för mindre länder (som tidigare tyckt att motstånd är meningslöst) att ta sitt förnuft till fånga.

Tyskarna vet ju hur det kan gå. Så de har en viss avsändarlegitimitet i dessa frågor.

Tyskland tar steget in i internetåldern

av

Vi har fått tag i den nya tyska regeringens koalitionsfördrag – och hittar mycket positivt vad gäller nät- och IT-frågorna.

Efter att ha dammsugit vårt nyhetsflöde har vi nu hittat ett par översättningar till engelska av samarbetsavtalet mellan de nya tyska regeringspartierna – socialdemokraterna, liberalerna och de gröna. Än så länge finns en google-översatt variant av hela fördraget samt en preliminär manuellt översättning av de delar som rör de digitala frågorna (PDF).

Som alltid i sådana här sammanhang är det mycket blomspråk, men här är några intressanta nedslag i texten.

  • Man slår fast att öppen standard skall vara regeln för offentliga IT-projekt.
  • Man tänker se till att täcka in de vita fläckarna på uppkopplingskartan och erbjuda medborgarna garanterad bandvidd.
  • Mobiluppkoppling och wifi på tågen skall förbättras.
  • Man tänker garantera rätten till kryptering.
  • Man vill även se en rätt till interoperabilitet och portabilitet.
  • Alla säkerhetsbrister inom IT skall rapporteras in. Detta skall gälla alla myndigheter, vilket även lär omfatta polisen som idag använder sig av säkerhetsluckor för hemlig dataavläsning (Bundestrojaner).
  • Man vill se över landets kritiserade Netzwerkdurchsetzungsgesetz (NetzDG) som inskränker yttrandefriheten online.
  • Man säger nej till generell övervakning, övervakning av privat kommunikation och ID-krav online. (Det lär till exempel innebära ett nej till generell datalagring och meddelandekontroll.)
  • Man vill garantera rätten att vara anonym och att använda pseudonym online.
  • Man flaggar för omfattande investeringar på IT-området. Till exempel nämns AI, kvant-teknologi, cybersäkerhet, blockkedje-teknologi och robotisering.
  • Man säger nej till biometrisk massövervakning och social scoring.
  • Man tänker underlätta för start-ups och småföretag inom IT, till exempel vad gäller finansiering.
  • Man vill stimulera delägarskap (som optioner?) för anställda i IT-företag.

Detta är bara några nedslag i en preliminär översättning av texten.

Som boende i Tyskland kan jag konstatera att det är på tiden att landet tar steget in i den digitala tidsåldern. Till exempel kan det närmast komma att leda till en revolution av den tungrodda och svårnavigerade tyska byråkratin, som idag i stora delar är manuell.

Och vad gäller nätfrihetsfrågorna är det bara att tacka och ta emot. Nu återstår att se om man klarar av att leverera.

EU: Ministerrådet vill ha ”lösningar” vad gäller datalagring, kryptering, eBevis och Darknet

av

På ett möte i slutet av veckan kommer EU:s inrikesministrar att göra ett nytt försök att återuppväcka datalagringen och kringgå kryptering av meddelanden. På kuppen riskerar man våra grundläggande fri- och rättigheter och säkerheten för elektronisk kommunikation.

Den 11-12 november håller EU:s inrikes- och justitieministrar möte i Slovenien. På dagordningen finns ”appropriate solutions regarding data retention, encryption, e-evidence and the darknet”. Detta i namn av att bekämpa sexuella övergrepp mot barn online (CSAM). Till mötet har man även bjudit in representanter för USA, västra Balkan, EU-kommissionen, Europol, Eurojust och Europaparlamentet.

I sammanhanget skall nämnas att Chatcontrol 2 – obligatorisk avkryptering och granskning av alla användares alla meddelanden – drabbats av ändamålsglidning redan innan det finns något konkret förslag på papper. Barns säkerhet på nätet används här som murbräcka för en mer omfattande övervakning av folkets nätkommunikationer.

Det är intressant att se att man vill blåsa nytt liv i datalagringen. EU:s datalagringsdirektiv upphävdes som bekant av EU-domstolen – som menar att svepande lagring av alla medborgares alla telekommunikationer utan misstanke om brott strider mot de mänskliga rättigheterna.

Hur man tänkt ta sig runt EU-domstolens beslut är oklart. Men veckans möte tyder på att man vill göra ett nytt försök.

Man kan även undra vilka ”lämpliga lösningar” ministerrådet tänkt sig vad gäller kryptering. Som påpekats många gånger finns inga lösningar som upprätthåller krypteringens funktion och integritet och samtidigt ger myndigheterna en bakdörr. Kringgår man kryptering, då blir nätet mindre säkert för oss alla.

Det känns som om vi sett liknande möten förr. Och precis som förr önskar man sig saker som inte är förenliga med medborgarnas rätt till privatliv och säker elektronisk kommunikation.

• Statewatch: Policing the internet: interior ministers to seek ”solutions regarding data retention, encryption, e-evidence and the darknet” »

EU: ChatControl 2.0 skjuts på framtiden?

av

Den nya reglering som kommer att göra det obligatoriskt för alla nätets meddelandetjänster att av-kryptera och granska sina användares kommunikationer var tänkt att presenteras till månadsskiftet. Nu har den skjutits på framtiden. Det är oklart varför – men en möjlighet är att EU-kommissionen vill utvidga meddelandekontrollen till fler syften.

Tidigare i år beslutade EU om tillfälliga regler för ChatControl – det vill säga av-kryptering och granskning av nätanvändarnas meddelanden och kommunikationer i syfte att bekämpa sexuella övergrepp på barn (CSAM). De reglerna gör det möjligt men inte obligatoriskt med sådan granskning. Samtidigt meddelades att ChatControl 2.0 är på väg, som gör detta obligatoriskt för alla meddelande- och kommunikationsplattformar.

ChatControl 2.0 var tänkt att presenteras den 1 december. Nu verkar det dock som om frågan i vart fall tillfälligt har plockats bort från EU-kommissionens agenda.

Vi vet inte varför. Men det finns ett antal tänkbara förklaringar.

Det kan handla om att sådan övervakning strider mot förbudet mot krav på generell övervakning, GDPR och/eller ePrivacy-förordningen.

Relaterat till detta kan nämnas att EU-domstolen som bekant förbjudit urskiljningslös lagring av data om alla medborgares tele- och datakommunikationer med mindre än att det finns en misstanke mot enskilda eller grupper av användare. Detta kan även appliceras på ChatControl – vilket kommer att kräva en del kreativitet från EU-kommissionens sida för att komma runt.

Alternativt kan man ha upptäckt praktiska hinder vad gäller att tvinga alla meddelandeoperatörer i hela världen att av-kryptera och granska alla europeiska användares meddelanden. Det saknas inte heller kritiker bland människorättsaktivister, krypteringsexperter, ledamöter av Europaparlamentet med flera.

En annan tolkning är att man behöver tid för att inkludera andra syften i ChatControl. Kommissionen (med flera) har till exempel nämnt terrorism och inre säkerhet.

Det är också tänkbart att man vill samordna lagstiftningen med andra länder, främst då USA och Balkan-länderna.

Möjligen är det en kombination av två eller flera av de ovanstående skälen.

Vad vi dock vet är att det – förr eller senare – kommer ett förslag om obligatorisk av-kryptering och granskning av alla användares alla elektroniska meddelanden på alla plattformar.

Länkar:
• EU Commission postpones mandatory screening of encrypted chats »
• Chatcontrol – irriterat i Europaparlamentet »
• Wrong strategy: The Commission fails to tackle child sexual abuse (video) »
• EU to attack safe encryption (video) »

Facebook slutar med ansiktsigenkänning

av

Facebook slutar med ansiktsigenkänning vad gäller foton – men fortsätter utveckla tekniken för att till exempel låsa upp låsta konton, verifiera ekonomiska transaktioner och öppna enheter.

EFF sammanfattar:

”Facebook announced it is, for now, shutting down its face recognition program, which created face prints of users and automatically recognized them in uploaded photos. The decision to end the program comes at a time when face recognition technology is receiving push back, criticisms, and legislative bans across the United States, and the globe. Close to 20 U.S. cities, including San Francisco and Boston have banned government use of face recognition. There is also growing momentum to legislate against biometric surveillance in the European Union and in New Zealand.”

Taking your face out of Facebook, typ.

• EFF: Face Recognition Is So Toxic, Facebook Is Dumping It »
• Meta/Facebook: An Update On Our Use of Face Recognition »

EU vill förbjuda anonyma web-sidor

av

I sin nya lagstiftning om cybersäkerhet – NIS 2 – vill EU se ett stopp för anonyma web-sidor. Vilket är ett hot mot till exempel oppositionella i skurkstater, människorättsaktivister, personer med sexuella preferenser som ogillas av deras regimer, visselblåsare, aktivister och vanliga människor som vill ge uttryck för en åsikt utan att för den sakens skull behöva bli en offentlig person.

Förslaget kommer att innebära slutet för de tjänster som erbjuder ”whois-privacy”.

Att kriminella och krafter som medvetet försöker underminera samhällets stabilitet kan gömma sig bakom anonymitet är förvisso ett problem. Men det innebär inte att man kan bortse från att anonymitet ofta är ett helt berättigat önskemål, i vissa situationer rent av livsviktigt.

Den tyske piratpartistiske ledamoten av Europaparlamentet Patrick Breyer säger:

»This indiscriminate identification policy for domain holders is a big step towards abolishing anonymous publications and leaks on the Internet.

This policy endangers website owners, because only anonymity effectively protects against data theft and loss, stalking and identity theft, doxxing and ‘death lists’. The right to anonymity online is particularly indispensable for women, children, minorities and vulnerable persons, victims of abuse and stalking, for example. Whistleblowers and press informants, political activists and people in need of counselling, fall silent without the protection of anonymity. Only anonymity prevents the persecution and discrimination of courageous people in need of help and ensures the free exchange of sometimes vital information. If Wikileaks activists, for example, had had to register the platform’s website in their name, they would have been immediately prosecuted in the United States.

I welcome the aim of increasing network security. But indiscriminate identification has nothing to do with network security. That is why my group and I are calling for the deletion of the identification requirement from the draft Directive.«

Är det till exempel lämpligt att den som driver en anti-rasistisk site skall få namn, hemadress och telefonnummer exponerat för alla nynazister som är intresserade? Eller att den som har en site som problematiserar invandringens konsekvenser skall få sina privata uppgifter uthängda inför våldsvänstern?

Anonymitet är inget brott.

• Läs mer hos MEP Patrick Breyer (PP, DE) »

FBI hemlighöll dekrypterings-nyckel för företag som drabbats av ransomware

av

The Washington Post:

»The FBI refrained for almost three weeks from helping to unlock the computers of hundreds of businesses and institutions hobbled by a major ransomware attack this summer, even though the bureau had secretly obtained the digital key needed to do so, according to several current and former U.S. officials. The key was obtained through access to the servers of the Russia-based criminal gang behind the July attack. Deploying it immediately could have helped the victims, including schools and hospitals, avoid what analysts estimate was millions of dollars in recovery costs. But the FBI held on to the key, with the agreement of other agencies, in part because it was planning to carry out an operation to disrupt the hackers, a group known as REvil, and the bureau did not want to tip them off.«

Det hela påminner lite om hur svensk polis hemlighåller nya säkerhetsluckor, för att själv kunna utnyttja dem för hemlig dataavläsning.

Nya FRA-lagen: Sveriges dubbla lojaliteter

av

Den nya FRA-lagen öppnar dörrarna för utökat samarbete vad gäller underrättelseverksamhet och signalspaning med USA och dess närmaste allierade. Samtidigt kan den leda till intressekonflikter gentemot EU:s haltande underrättelsesamarbete.

När regeringen nu vill ge utländska underrättelsetjänster direkt tillgång till Försvarets Radioanstalts (FRA) signalspaning är det uppenbart amerikanska NSA och Five Eyes-länderna (USA, Kanada, UK, Australien och Nya Zeeland) det handlar om.

Detta är i och för sig ingen nyhet. Sverige har till och med status som särskild samarbetspartner (kodnamn SARDINE) i Five Eyes och tillgång till NSA:s ”spion-google” XKeyscore. Och i april 2007 (året innan FRA-lagen antogs) skrev regeringen Reinfeldt ett avtal med USA om fördjupat underrättelsesamarbete.

Som FRA själva uttrycker saken, så lagregleras nu saker som tidigare befunnit sig i en gråzon. Det vill säga att sådant man gjort hela tiden nu blir lagligt.

Att Sverige tillhör den västliga, USA-ledda militära sfären är välkänt och samarbete i underrättelsefrågor har pågått ända sedan 1950-talet. En faktor som komplicerar det hela är att Sverige nu även är med i EU och att de flesta EU-länder inte har samma nära, speciella samarbete med USA / Five Eyes som Sverige.

Däremot har EU ett eget underrättelsesamarbete. Det handlar framförallt som informationsutbyte. Men det fungerar sådär, eftersom medlemsstaterna uppenbarligen är ovilliga att dela information till andra medlemsstater, som alla är potentiella läckor eller kan ha andra intressen. Dessutom är nationell säkerhet utanför EU:s formella kompetens – och är upp till respektive EU-land.

Man kan ana att ett ännu närmare samarbete mellan Sverige och USA / Five Eyes kommer att väcka viss irritation i EU. I sammanhanget kan nämnas att Europaparlamentet uttalat att Sverige bör se över sitt samarbete med NSA. Och Europadomstolen vill att Sverige skriver om FRA-lagen bland annat på grund av bristande dataskydd vid utbyte av information med andra länder.

Sverige har å sin sida vägrat låta FRA medverka vid Europaparlamentets utfrågningar om massövervakningen. Sverige har även varit med och blockerat en bredare utredning av massövervakningen i EU. Och 2015 stoppade riksdagen med överväldigande majoritet en utredning av samarbetet mellan FRA och NSA.

I slutet av förra året kom nyheten att Danmark hjälpt NSA att spionera på svensk försvarsindustri och möjligen också på svenska politiker och andra svenska mål. Detta var något som försvarsministern lovade att gå till botten med. Men det tycks ha runnit ut i sanden… I det perspektivet är det en smula uppseendeväckande att nu ge NSA direkttillgång till svensk signalspaning, dess information och persondata.

Förmodligen är USA/Nato/Five Eyes bättre att hålla i handen än EU om det bränner till i säkerhetspolitiken. Men det ändrar inte det faktum att Sverige sitter på två stolar vad gäller underrättelsesamarbete. Vilket kan bli komplicerat, till exempel nu när relationerna mellan Frankrike och USA/UK plötsligt blivit iskalla. Intressekonflikter kommer att bli möjliga, rent av troliga.

Detta kan bli intressant. Och möjligen lite snärjigt för regeringen, oavsett dess färg.

G7: Kamp mot kryptering, ökad registrering av resor och mer resurser till Interpol

av

G7-länderna har hållit möte med sina inrikes- och justitieministrar. Åter reser man kravet på bakdörrar till krypterade meddelandetjänster, samtidigt som man påstår att detta inte kommer att påverka vårt behov av säkra kommunikationer. Man vill även utöka registreringen av våra resor samt utöka Interpols mandat.

G7-gruppen (Frankrike, Italien, Japan, Kanada, Storbritannien, Tyskland och USA plus EU) skriver efter sitt möte i London bland annat följande om kryptering:

»We reject that, in democratic societies with strong human rights laws and procedural safeguards, there is inevitably a choice to be made between either protecting the confidentiality of digital communications and other activities or protecting our citizens from harm.«

Vilket är lite som att uttala att månen är en grön ost. Antingen är kryptering säker. Eller så har man bakdörrar – och då är krypteringen inte längre säker.

Man förväntar sig bland annat att internetföretagen skall vara samarbetsvilliga i att ge myndigheterna tillgång till krypterad kommunikation..

Vidare vill man utsöka Interpols mandat. Här skall man hålla i minne att även skurkstater är medlemmar i Interpol, så till exempel ökad informationsdelning kan vara problematisk.

Och så vill man se mer registrering av våra resor genom att utvidga det rådande PNR-systemet (Passenger Name Record).

Utöver detta fastnade jag för punkt 8 i G7-mötets slutdokument. Det handlar om våldsam extremism och terrorism. Man talar här om »anti-government, anti-authority and other violent grievances«.

Det verkar alltså som att man ser motstånd mot staten eller sittande regim samt anti-auktoritär verksamhet som ett problem. Och man kopplar detta till våld. Det kan naturligtvis förekomma. Men det kan vara värt att påpeka att sådan verksamhet till sin natur ofta är baserad på principer om anti-våld och lika rättigheter.

Statewatch: G7: Still coming after encryption, plans to reinforce Interpol and global travel surveillance »

Biometriskt ID-register kan ha fallit i talibanernas händer

av

Vi brukar varna för att övervakningsverktyg och databaser kan komma att användas av andra än de som införde dem. Detta är ett problem som just håller på att bli påtagligt i Afghanistan.

Under sin militära insats i Afghanistan började USA använda HIDE (Handheld Interagency Identity Detection Equipment), som är ett verktyg kopplat till en databas för att identifiera individer. Systemet använder sig av biometrisk data som iris-skanning, fingeravtryck och andra biometriska data.

Syftet var att registrera och kunna identifiera rebellkrigare. Av något slags effektivitetsskäl utökades användningen av HIDE till att även verifiera identiteten hos personer som arbetade för den västliga militära alliansen.

Nu fruktar man att HIDE har fallit i talibanernas händer, hos vilka det kan användas för att identifiera personer som samarbetat med USA och andra västländer. Med uppenbart potentiellt katastrofala konsekvenser för den enskilde.

Detta är egentligen ingen nyhet. Enligt uppgift skall HIDE ha använts av talibaner som stoppat bussar för att kontrollera passagerare redan 2016 och 2017. Så de kan ha haft HIDE-enheter redan för fem år sedan.

Inspirerade av det amerikanska systemet har även afghanska myndigheter introducerat ett nationellt ID-kort med biometriska data. Bland de registrerade finns studerande på universitet, soldater, samt innehavare av pass och körkort.

Fenomenet är inte unikt. Redan på 1930-talet registrerade man människors religion i Nederländerna, i syfte att fördela skattepengar till de olika samfunden. Detta register föll sedan i den tyska ockupationsmaktens händer – och kunde korsrefereras med medborgarnas ID-kort. På så sätt fick de ett effektivt sätt att skilja ut judar att sända till dödslägren. Den 27 mars 1943 genomförde motståndsrörelsen en attack för att förstöra registret. Tyvärr lyckades man bara förstöra ungefär 15% av registerkorten.

Vi kan lära något av detta. Förr eller senare kan vårt land komma att ledas eller kontrolleras av en regering med auktoritära tendenser, odemokratiska eller kriminella element inom förvaltningen eller rent av främmande makt. Då kommer olika register och former av biometrisk information att kunna användas emot oss. Därför bör man vara försiktig med att rulla ut sådana.

• The Conversation: The Taliban may have access to the biometric data of civilians who helped the U.S. military »