Femte juli

Nätet till folket!

Biometriskt ID-register kan ha fallit i talibanernas händer

av

Vi brukar varna för att övervakningsverktyg och databaser kan komma att användas av andra än de som införde dem. Detta är ett problem som just håller på att bli påtagligt i Afghanistan.

Under sin militära insats i Afghanistan började USA använda HIDE (Handheld Interagency Identity Detection Equipment), som är ett verktyg kopplat till en databas för att identifiera individer. Systemet använder sig av biometrisk data som iris-skanning, fingeravtryck och andra biometriska data.

Syftet var att registrera och kunna identifiera rebellkrigare. Av något slags effektivitetsskäl utökades användningen av HIDE till att även verifiera identiteten hos personer som arbetade för den västliga militära alliansen.

Nu fruktar man att HIDE har fallit i talibanernas händer, hos vilka det kan användas för att identifiera personer som samarbetat med USA och andra västländer. Med uppenbart potentiellt katastrofala konsekvenser för den enskilde.

Detta är egentligen ingen nyhet. Enligt uppgift skall HIDE ha använts av talibaner som stoppat bussar för att kontrollera passagerare redan 2016 och 2017. Så de kan ha haft HIDE-enheter redan för fem år sedan.

Inspirerade av det amerikanska systemet har även afghanska myndigheter introducerat ett nationellt ID-kort med biometriska data. Bland de registrerade finns studerande på universitet, soldater, samt innehavare av pass och körkort.

Fenomenet är inte unikt. Redan på 1930-talet registrerade man människors religion i Nederländerna, i syfte att fördela skattepengar till de olika samfunden. Detta register föll sedan i den tyska ockupationsmaktens händer – och kunde korsrefereras med medborgarnas ID-kort. På så sätt fick de ett effektivt sätt att skilja ut judar att sända till dödslägren. Den 27 mars 1943 genomförde motståndsrörelsen en attack för att förstöra registret. Tyvärr lyckades man bara förstöra ungefär 15% av registerkorten.

Vi kan lära något av detta. Förr eller senare kan vårt land komma att ledas eller kontrolleras av en regering med auktoritära tendenser, odemokratiska eller kriminella element inom förvaltningen eller rent av främmande makt. Då kommer olika register och former av biometrisk information att kunna användas emot oss. Därför bör man vara försiktig med att rulla ut sådana.

• The Conversation: The Taliban may have access to the biometric data of civilians who helped the U.S. military »

Utredningsförslag öppnar för ännu mer övervakning

av

Gängbrottsutredningen föreslår att även förberedelser till ringa narkotikabrott (innehav för personligt bruk samt bruk) skall kriminaliseras. Detta kommer att leda till en ökad användning av statens verktyg för övervakning av medborgarna.

I en upptrappning av kriget mot drogerna föreslår Gängbrottsutredningen att försök och förberedelse till ringa narkotikabrott skall kriminaliseras. Det vill säga att brott som ännu inte begåtts skall straffas, vilket inte hör till vanligheterna för ringa brott.

Övervakningsverktygen för att upprätthålla en sådan kriminalisering finns redan på plats. Inte minst kan datalagringen (lagring av data om alla medborgares alla tele- och datakommunikationer samt platsdata) komma till bruk. Trots att man lovade att den bara skulle användas för att bekämpa allvarlig brottslighet har vi kunnat se hur den har använts vid andra ringa brott som till exempel fildelning.

Man behöver inte vara raketforskare för att inse att detta kommer att leda till omfattande intrång i människors rätt till privatliv – och då även för helt oskyldiga. Det kommer att räcka med att vara ytligt bekant med någon som sålt eller köpt droger för att fastna i statens nät när den trålar i våra teledata.

Ur utredningen:

Forskare varnar för Apples nya meddelande- och bildkontroll

av

Forskare vid Princeton University har testkört en egen variant av Apples nya system för att övervaka och granska sina användares meddelanden och bilder. De kom fram till att det är farligt.

Som vi tidigare rapporterat tänker Apple börja skanna sina användares meddelanden och bilder i jakt på sexuellt utnyttjande av barn, till en början i USA. Även EU överväger ett liknande system, för alla. Men detta kommer inte utan risk för missbruk och ändamålsglidning.

Princeton-forskarna skapade faktiskt en test-version av ett system liknande Apples redan innan Apple själva lanserade det. Och man kom fram till att det finns risker. Den mest uppenbara är ändamålsglidning.

»Our system could be easily repurposed for surveillance and censorship. The design wasn’t restricted to a specific category of content; a service could simply swap in any content-matching database, and the person using that service would be none the wiser.«

Man ser även ett problem med falska flaggningar.

»The content-matching process could have false positives, and malicious users could game the system to subject innocent users to scrutiny.«

Apple har tidigare – när man stod på användarnas sida – uttalat att enda sättet att undvika att kraftfulla övervakningsverktyg missbrukas är att aldrig skapa dem. Men det var då.

• Washington Post: We built a system like Apple’s to flag child sexual abuse material — and concluded the tech was dangerous »

Nandez, columbiansk twink på Onlyfans

Bankernas sexualskräck stoppar OnlyFans

av

Återigen stoppar banker och betalningsförmedlare en laglig tjänst online. Detta är en del i ett mönster där företrädesvis amerikanska bankers moralpanik och feghet drabbar verksamhet online. Idag är det OnlyFans, tidigare har det funnits exempel på allt från postorderföretag som säljer sexleksaker till Wikileaks som fått sina betalningskanaler stoppade.

OnlyFans är en verksamhet där sexarbetare , nakenmodeller och glada amatörer kunnat publicera sitt material för personligt kopplade prenumeranter. Grundat 2016 har företaget 150 miljoner användare och 1,5 miljoner skapare av innehåll som tjänat över tre miljarder USD.

Det om nu skett är att företaget – efter påtryckningar från bankerna – kommer att förbjuda explicit sexuellt innehåll, även om nakenbilder som sådana kan vara tillåtna. Exakt var gränsen går är ännu oklart. De nya reglerna börjar gälla i oktober.

TechCrunch har en bra beskrivning av verksamheten:

»The OnlyFans platform has become the de facto standard for independent creators doing adult content. Over the pandemic it grew increasingly popular as the adult industry, like others, had its normal operations interrupted. It has proved an invaluable asset for many creators, professional and aspiring, who used the platform to directly monetize fans without interacting with notoriously predatory established adult industry companies.«

Detta handlar om mer än sexarbetares och nakenmodellers möjlighet att interagera med sina fans och att tjäna pengar på ett säkert sätt. Kärnfrågan handlar om att banker, kreditkortsföretag och betalningsförmedlare – som ofta har en dominerande marknadsställning – stryper betalkanalerna för fullt laglig verksamhet.

För att ta ett icke-sexuellt exempel stoppade amerikanska banker, kreditkortsföretag och PayPal 2011 alla bidrag till Wikileaks och dess verksamhet. Den gången gick bankerna den amerikanska administrationens ärenden, då den senare själv saknade lagliga möjligheter att blockera Wikileaks finansiering. Vilket är tveksamt och problematiskt på flera sätt.

Vilken verksamhet som skall vara tillåten respektive förbjuden måste styras genom lag, stiftad i god demokratisk ordning efter en öppen, offentlig debatt.

Även om banker och betalningsförmedlare skall ha rätt att välja om de vill göra affärer med enskilda aktörer – så bör de noga fundera igenom sitt ansvar när de har en dominerande ställning på marknaden. Därför bör de också acceptera all laglig verksamhet som kunder.

Sådant här beteende kommer i längden att skada betalningsförmedlarna själva, då det bara påskyndar en övergång till Bitcoin och andra kryptovalutor.

Läxan man kan lära sig av detta är att ingen som driver en onlineverksamhet som på något sätt, av någon kan uppfattas som moraliskt tveksam går säker – även om det man sysslar med är fullständigt lagligt.

Länkar:
• TechCrunch: OnlyFans bans explicit content »
• TechCrunch: OnlyFans’ porn ban is crypto’s opportunity of a lifetime »
• ArsTechnica: OnlyFans bans sexually explicit content to appease banks and payment services »
• Bloomberg: OnlyFans to Bar Sexually Explicit Videos Starting in October »

Bild: Sidhuvud för colombianske Nandez Onlyfans.

Skriv på mot Apples övervakningsplaner

av

Gör som 5 juli-stiftelsens ordförande, Oscar Swartz, och skriv på EFF:s upprop mot Apples planer på att granska sina användares bilder och meddelanden.

I nästa uppdatering av operativsystemen för mobiler och datorer kommer Apple att rulla ut en funktion för att granska sina användares bildalbum och meddelanden. Detta kommer i ett första skede att gälla i USA, men sådant brukar ju sprida sig. Dessutom överväger EU ett liknande system för alla mobiltelefoner, när Apple väl öppnat den dörren.

Protestera du också. Uppropets text är kort och koncis:

Don’t Scan Our Phones
The “child safety” changes Apple plans to install on iOS 15 and macOS Monterey undermine user privacy, and break the promise of end-to-end encryption.

I urge Apple to reconsider these systems. Continuous scanning of images won’t make kids safer, and may well put more of them in danger. Installing the photo-scanning software on our phones will spur governments around the world to ask for more surveillance and censorship abilities than they already have.

Länk: Tell Apple: Don’t Scan Our Phones »

Uppladdningsfilter, datalagring, statligt godkända nätgranskare, av-kryptering och granskning av meddelanden och e-post på höstens politiska dagordning

av

Sommarlovet är över och det är dags att se över vilka nät-, yttrandefrihets- och övervakningsfrågor som finns på den politiska dagordningen i höst.

Sverige

  • Redan i somras skulle EU:s nya upphovsrättsdirektiv ha varit svensk lag. Någon remiss eller proposition har dock inte synts till. Delvis kan det bero på att EU-kommissionen dragit benen efter sig i den kontroversiella frågan om uppladdningsfilter. En annan sak att hålla ögonen på är hur direktivets absurda länkskatt är tänkt att implementeras i svensk lag.
  • Efter att EU-domstolen meddelat att den svenska lagen om datalagring måste skrivas om har regeringen tillsatt en utredning. Visserligen skall utredningen presenteras först våren 2023, men det är viktigt att hålla frågan levande – och då inte minst det faktum att den svenska datalagringen fortfarande kolliderar med domstolens nej till svepande lagring av data om alla medborgares alla tele- och datakommunikationer utan misstanke om brott.

EU

  • EU:s nya Digital Services Act (DSA) föreslår så kallade Trusted Flaggers – som är tänkta att vara organisationer som är statligt godkända nätgranskare, med direktlinje till sociala medias abuse-avdelningar.
  • Det finns krafter i både Europaparlamentet och ministerrådet som vill att DSA också skall innehålla allmänna uppladdningsfilter.
  • EU:s ministerråd vill i ett inspel kopplat till DSA att inte bara olagligt material skall plockas bort på nätet. Man vill även att icke olagligt hat och hot skall bort, vilket i så fall innebär att yttrandefrihetens gränser inte längre sätts av lag.
  • Under hösten väntas dom i EU-domstolen, där Polen överklagat artikel 17 i det nya upphovsrättsdirektivet, som kommer att leda till automatiska uppladdningsfilter. Domstolens generaladvokat ger (med vissa förbehåll) grönt ljus till artikel 17, men det händer emellanåt att domstolen går på en annan linje än dennes rekommendationer.
  • ChatControl 2.0 är uppföljningen till beslutet att ge meddelande- och e-post-tjänster möjlighet att av-kryptera och granska användarnas kommunikationer i jakt på sexuellt utnyttjande av barn. Under vintern kommer nästa steg, som förvänts göra detta obligatoriskt.
  • Kopplat till detta har EU presenterat ett diskussionspapper där man överväger att använda den metod som Apple valt (i vart fall i USA) för att komma åt bilder och sexuella övergrepp på barn. Det vill säga att kringgå kryptering genom att med något slags spionprogram granska bilder och meddelanden redan på användarens telefon. Vilket är ett av flera olika förslag man skissar på.
  • EU-kommissionen och ministerrådet överväger hur de skall kunna komma runt EU-domstolens nej till urskiljningslös datalagring utan misstanke om brott.
  • EU-kommissionen har föreslagit European Digital Identity Wallets, som är tänkta att användas för ID, pass, licenser, körkort, kollektivtrafikkort, sjukvårdsinformation, recept, inloggning på nätplttformar, betalningmedel med mera. Vilket kan öppna för ett omfattande övervakningssamhälle i vilket vi får blippa oss fram.
  • Europaparlamentets utskott för medborgerliga fri- och rättigheter samt rättsliga och inrikes frågor (LIBE) har sagt nej till till AI och biometrisk analys för massövervakning. Delar av minsterrådet och då speciellt Frankrike vill gå åt andra hållet och använda dessa verktyg.
  • I EU-kommissionens Code of Practice on Disinformation vill man att nätplattformarna i högre utsträckning skall av-monetarisera oönskat innehåll.
  • EU-kommissionen vill förbjuda anonyma betalningar med kryptovalutor och kontantbetalningar på över 10.000 euro.
  • Det pågår en diskussion (framförallt i ministerrådet) om att utöka registreringen av våra flygresor (PNR) till att även gälla tågresor, båtresor, bilhyra och hotellövernattningar.

Detta är bara ett urval av sådant som är på gång i svensk och europeisk politik under hösten. Det händer också att nya frågor dyker upp väldigt plötsligt.

Vi bevakar dessa och fler frågor. Du följer utvecklingen här på bloggen.

Kameraövervakningen revisited

av

Förr i tiden var övervakningskameror den stora integritetsfrågan. Då var kamerorna ändå rätt dumma. De sände en signal till någon som tittade på en monitor. Eller så bandade man bara, ifall det skulle hända något, för att kunna titta i efterhand. Vilket nu plötsligt framstår som relativt oskyldigt.

Nu för tiden kan kameraövervakning – om man vill – kompletteras med automatisk ansiktsigenkänning och följa enskilda personer i realtid. Ditt ansikte skannas av kameror lite varstans på stan. Sedan kan myndigheterna skaffa sig en god bild av hur du rört dig och var du befunnit dig. (Skatteverket måste älska det här.)

För de myndigheter som till äventyrs vill registrera vilka personer som deltar i ett politiskt möte eller en demonstration är detta ett fantastiskt verktyg. Se till exempel hur tekniken används av Kina i Hong Kong.

Du behöver inte vara en person of interest för att bli aktivt övervakad. De nya systemen använder AI för att identifiera och rent av förutse problem. De analyserar allas beteende, flocken. Algoritmer studerar våra rörelsemönster, vårt humör och våra små egenheter. Gör du något som bryter mot mönstret noteras det. Ditt beteende matas in i matrisen.

EU har finansierat sådana här projekt i årtionden. Trots visst motstånd i Europaparlamentet. INDECT var mest på tapeten när jag jobbade där.

Än så länge är automatiserad ansiktsigenkänning allt för kontroversiellt i de flesta europeiska länder. Men tekniken finns där. Den är betald av EU:s skattebetalare. Och Frankrike, vars ledare är positiva till automatisk ansiktsigenkänning, ser sig som ett föregångsland.

Det är rätt tydligt vart vi är på väg om vi inte sätter stopp för det här. Men det är inte helt tydligt var gränsen mellan vad som är acceptabelt och massövervakning går.

För vad det är värt snubblade jag över en internationell studie från år 2019 om hur effektiv video/kameraövervakning egentligen är. Några slutsatser:

  • Kameraövervakning har ingen effekt mot våldsbrott. Däremot minskar den droghandel och egendomsbrott.
  • Kameraövervakning minkar brottsligheten på parkeringsplatser och i kollektivtrafiken, men inte lika mycket i bostadsområden och inte alls i stadskärnor och bostadshus.
  • Vill man stoppa brottslighet räcker det inte med att banda det som sker, utan det kräver även en aktivt bevakat live-feed och direkt respons.
  • Det räcker inte med bara kameraövervakning. För att bli effektiv behöver den kompletteras med allt från bättre gatubelysning till säkerhetsvakter.
  • Enligt erfarenheter från Sverige, USA och Kanada minskar kameraövervakning inte antalet brott – vilket däremot är fallet i Sydkorea och Storbritannien.

De flesta svenskar är positiva till mer kameraövervakning. Men då kan det vara värt att komma ihåg att den inte är någon universallösning – och att det mest är en tidsfråga innan den blir en del av den automatiserade massövervakning som inte gör någon skillnad mellan att hålla ett öga på kriminella och att övervaka vanliga, hederliga människor som bara sköter sitt.

Svensk lagstiftning gör oss mindre säkra mot zero-day-attacker

av

Computer Sweden har en läsvärd artikel om så kallade zero day-attacker – det vill säga IT-sårbarheter där mjuk- eller hårdvarutillverkare ännu inte hunnit utveckla en patch. De är med andra ord sårbarheter som vi i princip ännu inte kan skydda oss emot.

CS noterar helt korrekt att det inte bara är kriminella aktörer som drar nytta av zero-day-sårbarheter:

»Både kinesiska och amerikanska underrättelsetjänster samlar in information om dagnollsårbarheter för att kunna använda den för spioneri eller sabotage. Ett omtalat exempel är den sårbarhet i protokollet SMB (även känt som CIFS) i Microsoft WIndows som upptäcktes av USA:s signalspaningstjänst National security agency, NSA. NSA höll tyst om upptäckten och utvecklade nolldagsverktyget Eternalblue för att kunna utnyttja sårbarheten. Men Eternalblue stals senare av kriminella hackare som använde programmet för att skapa utpressningsprogrammet Wannacry.«

Det borde vara uppenbart att myndigheterna skall rapportera in säkerhetsluckor, så att de kan täppas till – istället för att lämna dem öppna för missbruk.

Detta är ett kärnproblemen med den svenska polisens hemliga dataavläsning. Den utnyttjar zero-day-sårbarheter och skapar ett intresse av att vissa av dem skall fortsätta existera – för att polisen skall ha möjlighet att installera sina spionprogram. Vilket gör oss alla mindre säkra.

Märkligt nog är det i princip helt tyst om detta i den svenska debatten. Inte ens när CS skriver om ämnet nämns den svenska hemliga dataavläsningen.

Zero-day-angrepp är alltså inte bara definitionsmässigt okända hot – utan även hot som förvärras och rent av möjliggörs genom svensk lagstiftning.

Kanada inför drakoniska nätlagar

av

Kanada är nästa land som inför långtgående inskränkningar av yttrandefriheten på internet. Det ser ut som om man bestämt sig för att ta det sämsta ur olika länders lagstiftning och göra det till nationell lag.

Det pågår uppenbarligen något slags kapplöpning bland västerländska demokratier för att införa internetlagstiftning som begränsar yttrandefriheten online. Senast ut är Kanada.

EFF sammanfattar de viktigaste punkterna:

  • Man ger sig på ”skadligt innehåll” som i sig inte är olagligt, men som kan bedömas som upprörande eller stötande.
  • 24 timmar för att plocka ner flaggat material, vilket varken ger tid för en rimlig kontextuell eller juridisk bedömning.
  • Krav som i praktiken kommer att leda till automatiska uppladdningsfilter.
  • Obligatorisk rapportering av potentiellt skadligt innehåll till polis och säkerhetstjänst.
  • Blockering av web-sidor med olämpligt material.
  • Datalagring.
  • Inrättandet av en ”internet speech czar” med omfattande befogenheter.
  • Böter på upp till tre procent av plattformens omsättning eller tio miljoner dollar för företag som bryter mot reglerna.

Kanadas nya ”internet speech czar” skall även få tillträde till alla platser (utom bostäder):

»in which they believe on reasonable grounds there is any document, information or any other thing, including computer algorithms and software, relevant to the purpose of verifying compliance and preventing non-compliance . . . and examine the document, information or thing or remove it for examination or reproduction”; to hold hearing in response to public complaints, and, “do any act or thing . . . necessary to ensure compliance.«

Privat kommunikation är dock undantagen – men kommer ändå att falla i och med att västliga regeringar i något slags samordnad attack nu försöker bereda sig tillgång till medborgarnas krypterade chattar, meddelanden och-epost.

EFF: O (No!) Canada: Fast-Moving Proposal Creates Filtering, Blocking and Reporting Rules—and Speech Police to Enforce Them »