Femte juli

Nätet till folket!

Skriv på mot Apples övervakningsplaner

av

Gör som 5 juli-stiftelsens ordförande, Oscar Swartz, och skriv på EFF:s upprop mot Apples planer på att granska sina användares bilder och meddelanden.

I nästa uppdatering av operativsystemen för mobiler och datorer kommer Apple att rulla ut en funktion för att granska sina användares bildalbum och meddelanden. Detta kommer i ett första skede att gälla i USA, men sådant brukar ju sprida sig. Dessutom överväger EU ett liknande system för alla mobiltelefoner, när Apple väl öppnat den dörren.

Protestera du också. Uppropets text är kort och koncis:

Don’t Scan Our Phones
The “child safety” changes Apple plans to install on iOS 15 and macOS Monterey undermine user privacy, and break the promise of end-to-end encryption.

I urge Apple to reconsider these systems. Continuous scanning of images won’t make kids safer, and may well put more of them in danger. Installing the photo-scanning software on our phones will spur governments around the world to ask for more surveillance and censorship abilities than they already have.

Länk: Tell Apple: Don’t Scan Our Phones »

Uppladdningsfilter, datalagring, statligt godkända nätgranskare, av-kryptering och granskning av meddelanden och e-post på höstens politiska dagordning

av

Sommarlovet är över och det är dags att se över vilka nät-, yttrandefrihets- och övervakningsfrågor som finns på den politiska dagordningen i höst.

Sverige

  • Redan i somras skulle EU:s nya upphovsrättsdirektiv ha varit svensk lag. Någon remiss eller proposition har dock inte synts till. Delvis kan det bero på att EU-kommissionen dragit benen efter sig i den kontroversiella frågan om uppladdningsfilter. En annan sak att hålla ögonen på är hur direktivets absurda länkskatt är tänkt att implementeras i svensk lag.
  • Efter att EU-domstolen meddelat att den svenska lagen om datalagring måste skrivas om har regeringen tillsatt en utredning. Visserligen skall utredningen presenteras först våren 2023, men det är viktigt att hålla frågan levande – och då inte minst det faktum att den svenska datalagringen fortfarande kolliderar med domstolens nej till svepande lagring av data om alla medborgares alla tele- och datakommunikationer utan misstanke om brott.

EU

  • EU:s nya Digital Services Act (DSA) föreslår så kallade Trusted Flaggers – som är tänkta att vara organisationer som är statligt godkända nätgranskare, med direktlinje till sociala medias abuse-avdelningar.
  • Det finns krafter i både Europaparlamentet och ministerrådet som vill att DSA också skall innehålla allmänna uppladdningsfilter.
  • EU:s ministerråd vill i ett inspel kopplat till DSA att inte bara olagligt material skall plockas bort på nätet. Man vill även att icke olagligt hat och hot skall bort, vilket i så fall innebär att yttrandefrihetens gränser inte längre sätts av lag.
  • Under hösten väntas dom i EU-domstolen, där Polen överklagat artikel 17 i det nya upphovsrättsdirektivet, som kommer att leda till automatiska uppladdningsfilter. Domstolens generaladvokat ger (med vissa förbehåll) grönt ljus till artikel 17, men det händer emellanåt att domstolen går på en annan linje än dennes rekommendationer.
  • ChatControl 2.0 är uppföljningen till beslutet att ge meddelande- och e-post-tjänster möjlighet att av-kryptera och granska användarnas kommunikationer i jakt på sexuellt utnyttjande av barn. Under vintern kommer nästa steg, som förvänts göra detta obligatoriskt.
  • Kopplat till detta har EU presenterat ett diskussionspapper där man överväger att använda den metod som Apple valt (i vart fall i USA) för att komma åt bilder och sexuella övergrepp på barn. Det vill säga att kringgå kryptering genom att med något slags spionprogram granska bilder och meddelanden redan på användarens telefon. Vilket är ett av flera olika förslag man skissar på.
  • EU-kommissionen och ministerrådet överväger hur de skall kunna komma runt EU-domstolens nej till urskiljningslös datalagring utan misstanke om brott.
  • EU-kommissionen har föreslagit European Digital Identity Wallets, som är tänkta att användas för ID, pass, licenser, körkort, kollektivtrafikkort, sjukvårdsinformation, recept, inloggning på nätplttformar, betalningmedel med mera. Vilket kan öppna för ett omfattande övervakningssamhälle i vilket vi får blippa oss fram.
  • Europaparlamentets utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (LIBE) har sagt nej till till AI och biometrisk analys för massövervakning. Delar av minsterrådet och då speciellt Frankrike vill gå åt andra hållet och använda dessa verktyg.
  • I EU-kommissionens Code of Practice on Disinformation vill man att nätplattformarna i högre utsträckning skall av-monetarisera oönskat innehåll.
  • EU-kommissionen vill förbjuda anonyma betalningar med kryptovalutor och kontantbetalningar på över 10.000 euro.
  • Det pågår en diskussion (framförallt i ministerrådet) om att utöka registreringen av våra flygresor (PNR) till att även gälla tågresor, båtresor, bilhyra och hotellövernattningar.

Detta är bara ett urval av sådant som är på gång i svensk och europeisk politik under hösten. Det händer också att nya frågor dyker upp väldigt plötsligt.

Vi bevakar dessa och fler frågor. Du följer utvecklingen här på bloggen.

Kameraövervakningen revisited

av

Förr i tiden var övervakningskameror den stora integritetsfrågan. Då var kamerorna ändå rätt dumma. De sände en signal till någon som tittade på en monitor. Eller så bandade man bara, ifall det skulle hända något, för att kunna titta i efterhand. Vilket nu plötsligt framstår som relativt oskyldigt.

Nu för tiden kan kameraövervakning – om man vill – kompletteras med automatisk ansiktsigenkänning och följa enskilda personer i realtid. Ditt ansikte skannas av kameror lite varstans på stan. Sedan kan myndigheterna skaffa sig en god bild av hur du rört dig och var du befunnit dig. (Skatteverket måste älska det här.)

För de myndigheter som till äventyrs vill registrera vilka personer som deltar i ett politiskt möte eller en demonstration är detta ett fantastiskt verktyg. Se till exempel hur tekniken används av Kina i Hong Kong.

Du behöver inte vara en person of interest för att bli aktivt övervakad. De nya systemen använder AI för att identifiera och rent av förutse problem. De analyserar allas beteende, flocken. Algoritmer studerar våra rörelsemönster, vårt humör och våra små egenheter. Gör du något som bryter mot mönstret noteras det. Ditt beteende matas in i matrisen.

EU har finansierat sådana här projekt i årtionden. Trots visst motstånd i Europaparlamentet. INDECT var mest på tapeten när jag jobbade där.

Än så länge är automatiserad ansiktsigenkänning allt för kontroversiellt i de flesta europeiska länder. Men tekniken finns där. Den är betald av EU:s skattebetalare. Och Frankrike, vars ledare är positiva till automatisk ansiktsigenkänning, ser sig som ett föregångsland.

Det är rätt tydligt vart vi är på väg om vi inte sätter stopp för det här. Men det är inte helt tydligt var gränsen mellan vad som är acceptabelt och massövervakning går.

För vad det är värt snubblade jag över en internationell studie från år 2019 om hur effektiv video/kameraövervakning egentligen är. Några slutsatser:

  • Kameraövervakning har ingen effekt mot våldsbrott. Däremot minskar den droghandel och egendomsbrott.
  • Kameraövervakning minkar brottsligheten på parkeringsplatser och i kollektivtrafiken, men inte lika mycket i bostadsområden och inte alls i stadskärnor och bostadshus.
  • Vill man stoppa brottslighet räcker det inte med att banda det som sker, utan det kräver även en aktivt bevakat live-feed och direkt respons.
  • Det räcker inte med bara kameraövervakning. För att bli effektiv behöver den kompletteras med allt från bättre gatubelysning till säkerhetsvakter.
  • Enligt erfarenheter från Sverige, USA och Kanada minskar kameraövervakning inte antalet brott – vilket däremot är fallet i Sydkorea och Storbritannien.

De flesta svenskar är positiva till mer kameraövervakning. Men då kan det vara värt att komma ihåg att den inte är någon universallösning – och att det mest är en tidsfråga innan den blir en del av den automatiserade massövervakning som inte gör någon skillnad mellan att hålla ett öga på kriminella och att övervaka vanliga, hederliga människor som bara sköter sitt.

Svensk lagstiftning gör oss mindre säkra mot zero-day-attacker

av

Computer Sweden har en läsvärd artikel om så kallade zero day-attacker – det vill säga IT-sårbarheter där mjuk- eller hårdvarutillverkare ännu inte hunnit utveckla en patch. De är med andra ord sårbarheter som vi i princip ännu inte kan skydda oss emot.

CS noterar helt korrekt att det inte bara är kriminella aktörer som drar nytta av zero-day-sårbarheter:

»Både kinesiska och amerikanska underrättelsetjänster samlar in information om dagnollsårbarheter för att kunna använda den för spioneri eller sabotage. Ett omtalat exempel är den sårbarhet i protokollet SMB (även känt som CIFS) i Microsoft WIndows som upptäcktes av USA:s signalspaningstjänst National security agency, NSA. NSA höll tyst om upptäckten och utvecklade nolldagsverktyget Eternalblue för att kunna utnyttja sårbarheten. Men Eternalblue stals senare av kriminella hackare som använde programmet för att skapa utpressningsprogrammet Wannacry.«

Det borde vara uppenbart att myndigheterna skall rapportera in säkerhetsluckor, så att de kan täppas till – istället för att lämna dem öppna för missbruk.

Detta är ett kärnproblemen med den svenska polisens hemliga dataavläsning. Den utnyttjar zero-day-sårbarheter och skapar ett intresse av att vissa av dem skall fortsätta existera – för att polisen skall ha möjlighet att installera sina spionprogram. Vilket gör oss alla mindre säkra.

Märkligt nog är det i princip helt tyst om detta i den svenska debatten. Inte ens när CS skriver om ämnet nämns den svenska hemliga dataavläsningen.

Zero-day-angrepp är alltså inte bara definitionsmässigt okända hot – utan även hot som förvärras och rent av möjliggörs genom svensk lagstiftning.

Kanada inför drakoniska nätlagar

av

Kanada är nästa land som inför långtgående inskränkningar av yttrandefriheten på internet. Det ser ut som om man bestämt sig för att ta det sämsta ur olika länders lagstiftning och göra det till nationell lag.

Det pågår uppenbarligen något slags kapplöpning bland västerländska demokratier för att införa internetlagstiftning som begränsar yttrandefriheten online. Senast ut är Kanada.

EFF sammanfattar de viktigaste punkterna:

  • Man ger sig på ”skadligt innehåll” som i sig inte är olagligt, men som kan bedömas som upprörande eller stötande.
  • 24 timmar för att plocka ner flaggat material, vilket varken ger tid för en rimlig kontextuell eller juridisk bedömning.
  • Krav som i praktiken kommer att leda till automatiska uppladdningsfilter.
  • Obligatorisk rapportering av potentiellt skadligt innehåll till polis och säkerhetstjänst.
  • Blockering av web-sidor med olämpligt material.
  • Datalagring.
  • Inrättandet av en ”internet speech czar” med omfattande befogenheter.
  • Böter på upp till tre procent av plattformens omsättning eller tio miljoner dollar för företag som bryter mot reglerna.

Kanadas nya ”internet speech czar” skall även få tillträde till alla platser (utom bostäder):

»in which they believe on reasonable grounds there is any document, information or any other thing, including computer algorithms and software, relevant to the purpose of verifying compliance and preventing non-compliance . . . and examine the document, information or thing or remove it for examination or reproduction”; to hold hearing in response to public complaints, and, “do any act or thing . . . necessary to ensure compliance.«

Privat kommunikation är dock undantagen – men kommer ändå att falla i och med att västliga regeringar i något slags samordnad attack nu försöker bereda sig tillgång till medborgarnas krypterade chattar, meddelanden och-epost.

EFF: O (No!) Canada: Fast-Moving Proposal Creates Filtering, Blocking and Reporting Rules—and Speech Police to Enforce Them »

USA: Nya långtgående krav på alla som har med kryptovaluta att göra

av

I USA:s nya infrastrukturpaket ställs långtgående krav på reglering och beskattning av digitala valutor. Vissa av dessa förefaller direkt orealistiska eller omöjliga.

Det föreskrivs bland annat att alla som har med kryptovalutor att göra skall se till att ha kundkännedom och redovisa alla transaktioner till skattemyndigheterna.

Vem som är att betrakta som mäklare av digitala valutor kommer också att utökas. Enligt en tolkning (lagen är inte helt glasklar) till den punkt där alla som möjliggör eller medverkar till transaktioner med kryptovalutor (till exempel den browser du använder och kanske till och med din ISP) omfattas av den nya rapporteringsplikten.

Den nya lagstiftningen träder ikraft år 2023, om den inte ändras innan dess. Se mer i videon nedan.

Youtube: New Infrastructure Bill Could KILL Crypto »

Assange: Huvudförhandling hålls 27-28 oktober

av

Idag har man hållit en förberedande domstolsförhandling med anledning av att USA överklagat en brittsik domstols beslut om att inte utlämna Assange. (Läs mer här.)

Den amerikanska administrationen tycks ha haft viss framgång med att hävda vissa (men inte alla) sina grunder för att ett överklagande skall tillåtas.

Detta behöver dock inte innebära att det amerikanska åtalet mot Wikileaks grundare stärks som sådant. Speciellt inte som den amerikanska administrationens nyckelvittne tagit tillbaka sina uppgifter.

Datum för nästa domstolsförhandling är satt till 27-28 oktober.

Läs en mer utförlig beskrivning från rätten här »

Ny rättslig prövning av fallet Assange

av

I morgon, onsdag den 11 augusti, påbörjas en ny rättslig prövning av USA:s begäran om utlämning av Wikileaks grundare Julian Assange från Storbritannien.

Tidigare har brittisk domstol underkänt de amerikanska myndigheternas begäran om utlämning av Julian Assange på humanitära grunder – med hänvisning till hans psykiska hälsa. Han hålls isolerad i ett brittiskt högsäkerhetsfängelse, vilket påverkat hans hälsa negativt. Det finns även frågetecken om han skulle klara att avtjäna sitt straff i ett amerikanskt specialfängelse. Det brittiska beslutet att inte utlämna Assange överklagades av Trump-administrationen, under dess sista dagar.

Om Assange utlämnas kommer han bland annat att åtalas för spioneri, syftande till Wikileaks publicering av uppgifter om bland annat USA:s militära insatser i Irak och Afghanistan. Vilket blir märkligt eftersom man inte gjort något annat än vad till exempel New York Times och The Guardian också gjort – det vill säga publicerat information från visselblåsare. Straffet kan bli upp till 175 (!) år i fängelse.

Som vi tidigare rapporterat vilar mycket av det amerikanska åtalet på uppgifter från en källa som nu medgivit att dennes uppgifter är falska.

I USA valde Obma-administrationen att inte söka åtal mot Assange, eftersom det skulle få allvarliga konsekvenser för den fria pressen. Detta ändrades av Trump-adminitrationen, som sökte åtal. Än så länge håller den nya Biden-administrationen fast vid den senare linjen. Det är i sammanhanget värt att notera att President Biden var vicepresident under Obama, som alltså valde att inte driva målet.

Samtidigt skall man hålla i minne att Wikileaks även publicerat avslöjande amerikanska ambassadtelegram och besvärande e-post från det demokratiska partiets mailserver – vilket knappast förbättrat relationerna mellan Wikilieaks / Assange och Demokraterna. Så här kan finnas ett visst inslag av hämndbegär som faller utanför de formella åtalspunkterna.

Läs mer om de juridiska frågorna inför morgondagens förhandling här. Se även Amnesty International: President Biden must drop politically motivated charges against Assange »

Vad Wikileaks gjort är att avslöja för amerikanska folket (och resten av världen) vad USA gjort i dess namn och på skattebetalarnas bekostnad. Detta är information som bland annat är relevant för att medborgarna skall kunna skaffa sig en rättvisande bild av vad deras ledare och administration sysslar med. Vilket kan ses som ett demokratiskt hygienkrav.

Det är dags för det amerikanska justitiedepartementet att lägga ner målet mot Assange. Speciellt som det är ett hot mot en fri och oberoende press.

Och det brittiska rättsväsendet bör åter avvisa USA:s begäran om utlämning – och försätta Assange på fri fot.

EU överväger Apples lösning för att identifiera övergrepp mot barn online

av

Förra veckan rapporterade vi om Apples plan på att granska meddelanden och bilder på avsändarens telefon och på så sätt föregripa att de sänds redan innan de krypterats – i syfte att bekämpa sexuella övergrepp mot barn (CSA). Det visade sig att detta är en lösning som Apple främst tänkt sig använda i USA. Men snabbt dök det upp information som visar att EU överväger samma modell.

I ett läckt diskussionspapper från EU-kommissionen (PDF) visar det sig att man överväger att göra i princip samma sak som Apple presenterade förra veckan och fick hård kritik för. Man kan till exempel fråga sig vad som alls är vitsen med end-to-end-krypterad (E2EE) kommunikation om den ändå granskas redan innan den hunnit krypteras och sändas. Dessutom finns en berättigad oro för ändamålsglidning, då denna metod även kan användas i andra syften och på så sätt undergräva rätten till privat kommunikation i ett vidare perspektiv.

I EU-kommissionens dokument skissas på en rad olika lösningar. Vissa är väldigt komplicerade och integritetskränkande. Några är lite enklare – till exempel ovanstående, som i princip är en kopia av vad Apple föreslagit. Men likväl illavarslande.

Vilken väg EU-kommissionen tänker föreslå är fortfarande okänt. Men det kan vara rimligt att anta att man kommer att vara öppna för en modell som redan används av en av de stora aktörerna på andra delar av dess marknad.

Apple börjar skanna meddelanden och bilder i jakt på övergrepp mot barn – vilket även öppnar dörren för övervakning i andra syften (uppdaterad)

av

Apple inför nu automatisk kontroll av alla bilder som går till eller från minderåriga användare i företagets meddelandetjänst. Man kommer även att kontrollera alla användares alla bilder, för att identifiera eventuella sexuella övergrepp mot barn. Även om syftet sägs vara gott är detta slutet för Apple som ett varumärke som sätter sina användares rätt till privatliv i främsta rummet.

Barnporr är vid sidan av terrorism myndigheternas effektivaste murbräcka vad gäller att inskränka vår rätt till privatliv på nätet och för att införa nya former av övervakning. För vem vill eller vågar säga emot – även om konsekvenserna av sådan övervakning blir långtgående och oönskade? När systemen väl är på plats är det bara en tidsfråga innan de börjar användas även för andra, mindre ädla, syften.

Till Apples försvar skall sägs att de försöker respektera användarnas rätt till privatliv längst möjligt. Analysen av bilder kommer inte att ske centralt, utan till en början på användarens mobil, dator eller platta. Vid ett visst antal misstänkta träffar kommer bilderna att översändas till Apple för mänsklig granskning innan de eventuellt sänds vidare till berörda organisationer och myndigheter.

Minderåriga (som är anslutna till ett familjekonto) kommer att få varningar om de försöker sända eller ta emot misstänkta bilder. Om de ändå väljer att gå vidare med att sända / titta på dem – då kommer deras föräldrar att aviseras. Vilket, om man tänker efter, också kan vara problematiskt i vissa fall där föräldrar och vårdnadshavare inte har barnens bästa för ögonen. Till exempel i familjer där föräldrarna själva utsätter sina barn för övergrepp eller där det råder så kallad hederskultur.

Den som vill ha mer detaljer kan följa länkarna nedan. Den större frågan är vad detta betyder i förhållande till den allt mer allomfattande övervakningsstaten. EFF skriver:

»Apple can explain at length how its technical implementation will preserve privacy and security in its proposed backdoor, but at the end of the day, even a thoroughly documented, carefully thought-out, and narrowly-scoped backdoor is still a backdoor.«

Diego Naranjo, Head of Policy på EDRi:

»Apple has decided to undermine end-to-end encryption and make all its users vulnerable to censorship and surveillance. By allowing scanning of photos in private communications and iCloud, Apple products will become a threat to their users. The company should take a step back, abandon these changes and defend people from corporate and government surveillance.«

Detta är en central punkt. Apple överger i praktiken end-to-end-kryptering (även om de själva formulerar saken på annat sätt) när innehåll som tidigare varit skyddat kan komma att granskas respektive överföras till andra aktörer. Det mest privacy-medvetna företaget blir nu ett av alla andra som lägger benen i vädret för Storebror.

När Apple öppnar dörren – då är det inte en fråga om ifall man kommer att öppna den även vad gäller alla andra förevändningar för övervakning, utan bara när.

Uppdatering: Enligt SR kommer denna verksamhet till en början att rullas ut i USA utan ytterligare information om när/om den kommer till EU. Vilket har en viss logik eftersom EU nyligen fattat beslut om ChatControl som ger meddelandetjänster möjlighet (och snart även skyldighet) att avkryptera och granska alla användares meddelanden i samma syfte. I EU ger nya regler om eBevis (med mera) även myndigheterna tillgång till filer i olika molntjänster som iCloud (där Apple-användares bilder m.m. lagras) och Dropbox – gränsöverskridande och utan föregående rättslig prövning. Så oavsett när eller om Apples nya kontroll kommer till Europa, så är vi i praktiken redan där.

Länkar:
• Apple: Expanded Protections for Children »
• EFF: Apple’s Plan to ”Think Different” About Encryption Opens a Backdoor to Your Private Life »
• EDRi: iSpy with my little eye: Apple’s u-turn on privacy sets a precedent and threatens everyone’s security «