Kina installerar spionprogram på turisters mobiltelefoner

Vice Motherboard rapporterar:

Foreigners crossing certain Chinese borders into the Xinjiang region, where authorities are conducting a massive campaign of surveillance and oppression against the local Muslim population, are being forced to install a piece of malware on their phones that gives all of their text messages as well as other pieces of data to the authorities, a collaboration by Motherboard, Süddeutsche Zeitung, the Guardian, the New York Times, and the German public broadcaster NDR has found.

Vilket naturligtvis är en oacceptabel integritetskränkning. Men hur skall västvärlden kunna protestera med trovärdighet, när vi själva använder »statstrojaner« och spionprogram? I Sverige är nya lagar om »hemlig dataavläsning« just nu på väg genom det politiska systemet.

Länk: China Is Forcing Tourists to Install Text-Stealing Malware at its Border »

Dating app Grindr collage

Dejtingappen Grindr skvallrar om sina användares sexuella preferenser och exakta position – läs och darra!

Grindr, som beskriver sig som ”världens största dejtingapp för HBTQ-personer”, har länge hävdat att de bara avslöjar sina användares ungefärliga position. Nu visar en snillrik användning av appens API att man kan ta reda på den exakta positionen – på metern när.

Tredjepartsappen Fuckr utvecklades för att visa just detta. Appen använder triangulering för att få en mer exakt position på användarnas telefoner än den som Grindr tillhandahåller.

Det ska nämnas att Grindrs huvudsakliga funktion är att låta användarna se vilka andra användare som befinner sig i samma område. Telefoners positionsfunktion är alltså själva förutsättningen för appen och anledningen till dess framgång.

Spionage från fåtöljen

En journalist på Queer Europe följde en väns lördagskväll genom Fuckr:

While sitting behind my laptop, I could see in which restaurants he was eating, in which cafes he was drinking, and in which nightclubs he was dancing. I could also see that he went to the gay sauna at 1 a.m. and then slept at a stranger’s house at 3 a.m.

Lägg till detta att Grindr knappt har några begränsningar för antalet API-förfrågningar: Man kan söka på 600 användare per förfrågning – och det är tillåtet att göra flera förfrågningar samtidigt.

I praktiken innebär det att man kan kartlägga samtliga Grindr-användare i till exempel Stockholm med deras exakta position varje minut under en vecka.

Sexuella preferenser och hivstatus

Men inte nog med det: Man kan också få tillgång till dessa användares personliga data såsom profilnamn, foto, ålder, längd, vikt, etnicitet, kroppstyp, förhållandestatus, sexuella preferenser, och – inte minst – hivstatus.

Detta är varje övervakares våta dröm. Ja, det överträffar rentav Bahnhofs gamla aprilskämt P.st, där man kunde kolla ”vad som helst om vem som helst”.

För att vrida skruven ett varv till kan vi nämna att Grindr är kinesiskt sedan grundarna i januari 2018 sålde företaget till Kunlun Group.

Trevligt.

Dubbelmackning avslöjar positionen

Det ska finnas sätt att undgå att bli positionerad på detta sätt. Grindr-användarna kan till exempel i inställningarna välja att inte avslöja sin position, men detta döljer bara positionen för andra användare och tredjepartsappar. Grindr placerar en fortfarande i listan över inloggade användare baserat på distans. Och då är det bara att ta reda på positionen för dem som kommer före och efter i listan – man kan så att säga ”sandwicha” fram positionen även för den som valt att inte avslöja den.

Man kan invända att ”sandwichning” inte fungerar i ett område där de flesta användare väljer att dölja sin position. Men även där kan en kartläggare skapa ett antal fejkkonton med öppen position. Dessa konton kan sedan användas för att dubbelmacka sig fram till positionen för andra användare.

Kartläggning av bögar

Grindr har efter tidigare kritik stängt av distansfunktionen för användare i öppet homofoba länder som Ryssland, Nigera, Egypten, Irak och Saudiarabien.

Men det är fortfarande fritt fram att kartlägga användare (eller låt oss tala klarspråk: bögar) i tveksamma länder som Algeriet, Turkiet, Vitryssland, Etiopien, Qatar, Oman, Azerbajdzjan, Kina, Malaysia och Indonesien.

Avstängd från Github

Fuckr utvecklades som ett ”proof of concept” för att visa hur stora företag sätter sina användares säkerhet på spel. Notera att det inte på något vis handlar om hackning, utan om att använda de möjligheter som Grindr ger via sitt API.

Appen har nu tagits bort från Github, men inget hindrar att någon annan utvecklar en liknande tredjepartsapp.

Läs mer

Queer Europe: It is Still Possible to Obtain the Exact Location of Millions of Cruising Men on Grindr

VPN-leverantör flyr Sydkorea inför eventuellt tillslag

Private Internet Access drar sig ur Sydkorea. Det meddelar den amerikanska VPN-leverantören på sin blogg.

Beslutet kommer efter att företaget fått information om att sydkoreanska myndigheter kommer att gå in i serverhallen i morgon – den 24 januari 2018 – för att spegla PIAs servrar. PIA har därför tagit servrarna ur bruk och raderat allt innehåll från dem.

Private Internet Access har tidigare dragit sig ur Ryssland för att de inte kunnat garantera sina användares integritet. Enligt en intervju med företagets vd Ted Kim följer företaget situationen i Storbritannien noggrant sedan införandet av Investigatory Powers Act 2016 – lagen som fått öknamnet ”Snooper’s Charter”.

Samtidigt i Kina

Det finns uppgifter om att Kina ska ha dragit åt snaran ytterligare kring användande av VPN-tjänster. Företag som använder VPN-tjänster måste registrera sig, annars kommer internetleverantören att blockera deras åtkomst till webben, enligt uppgifterna. Det är oklart om dessa eventuella regleringar även gäller privatpersoner.

VPN-tjänster har existerat i en juridisk gråzon i Kina. Så sent som i december 2017 fick en man som drev en VPN-tjänst fem års fängelse, men samtidigt har myndigheterna sett genom fingrarna på företag som använt VPN-tjänster.

Det har tidigare rapporterats att kinesiska internetleverantörer beordrats blockera privatpersoners användande av VPN från den 1 februari 2018.

VPN betyder Virtual Private Network och är ett sätt att undgå övervakning genom att låta ens internettrafik gå genom en server placerad i annat land, till exempel.

Transparens

Svenska 5 juli-stiftelsen, som står bakom nyhetsbloggen Femte juli, driver Integrity VPN.

Kina kräver ID av alla som kommenterar på webben

Kina har ålagt landets internetplattformar att fastställa identiteten på sina användare i sociala nätverk och diskussionsforum. Varje inlägg ska gå att koppla till en verklig person.

De nya reglerna, som egentligen är en åtstramning av redan existerande lagstiftning, ska börja gälla den 1 oktober 2017.

Liksom tidigare blockerar Cyberspace Administration of China webbplatser som ”skadar nationell stolthet”, ”stör den ekonomiska eller sociala ordningen” eller är som vill ”störta det socialistiska systemet”.

Femte julis webbplatser är tillgängliga i Kina, enligt Greatfirewallofchina.org.

Kina må vara ett extremt exempel, men det ska noteras att krav på att kunna koppla en kommentar på webben till en riktig person hörts även i här i väst. I vårt fall är det hatkommentarer man vill få bukt med.

Läs mer

Shanghaiist: Internet platforms must verify real identity of users, in new guidelines which take effect October 1

Kina stramar åt censuren av meddelandeappar

Kinesiska internetcensurbyrån CAC (Cyberspace Administration of China) har slagit ner på meddelandeappen Wechat och appar från Baidu och Weibo för att användarna spridit ”terroristinnehåll, rykten och porr”. Företagen som driver apparna har lovat bättring.

Det är lätt att göra sig lustig över att Kina vill censurera rykten och porr, men vad gäller terroristinnehåll har den kinesiska censuren sin direkta motsvarighet i EUs terrorismdirektiv, som fått kritik för att innehålla diffusa definitioner av begreppet terroristinnehåll.

Läs mer

TNW: China’s censorship crackdown targets WeChat, Weibo, and Baidu

Lyssna

Vi har diskuterat EUs terrorismdirektiv flera gånger i 5 juli-podden, bland annat i avsnitt 29:

Klicka här för att visa innehåll från SoundCloud