AFLYTTET RELOADING: BlackHats i Forsvaret?

Forsvarets Efterretningstjeneste, FE, søger nu helt åbent BLACK-HAT-talenter….hvilket egentlig burde bekymre os: Definitionen af en Black Hat hacker lyder nemlig sådan her: ‘A black hat hacker is a hacker who “violates computer security for little reason beyond maliciousness or for personal gain’.
Umiddelbart skulle man derfor mene, at det en organisation som FE og CFCS har brug for er de to andre kategorier, White Hat og måske især Grey Hat Hackere – sidste kategori er mennesker, der har kendskab til hackingens sorte-kunster, men kun anvender dem defensivt eller for at opklare forbrydelser – aka i den GODE SAGS tjeneste.

På den anden side, så har Danmark som bekendt sit eget offensive cybervåben nu, det har været ‘under udvikling’ siden 2015, hvor der blev afsat 465 millioner kroner til det.
Der har været nogen kritik at de ‘offensive kapaciteter’ – for hvad nu, hvis fjenden slår igen – med rigtige våben? Og rammer man det rigtige?
- Den store fare i doktrinen er utilsigtet spredning. Hvis man som et lille land slipper et cyber-våben løs, så har man brug for at være meget sikker på, at det rammer målet og intet andet end målet. Og det er ret svært, sagde assisterende professor Jan Lemnitzer fra Center for War Studies ved Syddansk Universitet (SDU) til dr.dk for en måned siden.
Hvad ER det så for nogen systemer, FE bruger? Well…..det ved vi ikke så meget om – med mindre, hvilket virker HELT usandsynligt(?) at FE er kommet til at give et seriøst hint i videoen herover, hvor der konstant står FENIX på skærmene i de dystre, lavtbelyste lokaler hvor FEs BlackHattere åbenbart skal hærge.
Fenix kan selvfølgelig være mange ting, inklusive et røgslør – men måske er det noget fra dem her: https://fenixgroup.io/ – ret mig endelig på lyt@aflyttet.dk hvis jeg tager rungende meget fejl – eller hvis du har et bedre bud? (Og jeg er allerede blevet klogere, det er et styresystem, som FE bruger til CTF…hvad det så kan udover træning…det ved jeg ikke endnu – mere her: https://hackerakademi.dk/ )
Det hele kan selvfølgelig også være en honey-pot – søg og fortæl om dine evner og giv os noget dokumentation – så anholder vi dig?
Ekstra nyhed – breaking: Stephan Engberg, informationsarkitekt og mangeårig gæst af flere omgange i AFLYTTET, har nu annonceret, at hans CITZEN-KEY-projekt går live:
‘Det er med stor stolthed,. at vi kan annoncere, at vi har indgået samarbejdsaftaler om at lancere et biometrisk tamnperresistent borgerkort, som på samme tid er tiltænkt at hæve sikkerheden i MitID ved at agere Client (give borgeren reel egenkontrol over nøgler fremfor NøgleApps og simple tokens) og samtidig skabe datasikkerhed ved at understøtte Trustworhty Identiteter, hvor borgeren kan signere og dele data uden at afgive kontrollen
Det sker selvføgelig ikke i vakuum, men skal ske i et samarbejde med både MitID, brokerne og bankerne – Citizen First, som skal understøtte CitizenKey, vil hverken blive en broker, en bank eller et alternativ til MitID, men vil understøtte alle tre’, skriver han.
Stephen Engberg har været med i aflyttet siden begyndelsen – du kan høre ham HER fra 2013 hvor han giver sine tanker om, hvordan vi burde lave nettet:


Der er åbenbart også Black Hats i Danmarks Radio – ihvertfald er de trådt i karakter som Techgiganterne Google, Apple og Facebooks bedste venner: DR Medier har gjort det »bekvemt for brugerne« ved at give mulighed for at logge ind på det nye DRTV med sin Facebook-, Apple- eller Google-profil, siger kanalchef. Men flere eksperter er stærk forundrede over, at landets største public service-virksomhed skal give techgiganter flere data om danskerne – læs mere om DET her: https://politiken.dk/kultur/medier/art7506281/DR-lader-brugere-logge-ind-via-Facebook-Apple-eller-Google

Men der er mere: BSides, som aflyttet dækkede for nylig, har nu lagt deres OSINT/CTF-øvelser online, så DU kan teste dem, hvis du keder dig i julen – klik her: https://ctf.bsideskbh.dk/home

Og husk – vi leder stadig efter sandheden, i en sjæl og et legeme, det bliver ikke ligenu, men måske om lidt?

TILLID OG KONTROL?

LYT: https://www.24syv.dk/programmer/aflyttet/56592434/tillid-og-kontrol
Mette Frederiksen, statsminister, gik direkte fra at tale om tillid ved jordbærboderne til at annoncere massivt øget overvågning af alle danskere for at forsvare den danske samfundsmodel. Nu er snakket endt i et udspil – Aflyttet gennemgår regeringens nye ‘tryghedspakke’, der indholder markant flere overvågningskameraer, mere nummerpladegenkendelse og et udvidet banderegister sammen Jacob Mchangama, direktør for tænketanken Justitia, Jesper Lund, Formand IT-politisk forening og Kasper Skov Mikkelsen, direktør i sikkerhedsbranchen.
Men ikke nok med det: Vi har også talt med Anders Albrechtslund, leder af Center for Overvågningsstudier og hørt hans bud på, om det overhovedet virker?
Vi har også besøg af Kim Stensdal, Chef for kommunikation og viden i DANSK IT og Martin Eberhard, Direktør for forretningsudvikling i Rambøll Management Consulting, der har lavet en undersøgelse af, om danskernes tillid til staten, når det handler om data, og så kommer Esben Warming Pedersen, der i sin tid blev politi-anmeldt af KMD for hacking, fordi han gjorde opmærksom på en fejl i den digitale pladsanvisning, som i 12 år har gjorde det muligt for folk at få adgang til andres cpr-numre og navne i studiet med en god nyhed: Han er blevet pure frikendt.
FOTOS; Ninette Birck
UGENS LINKS: Esbens sag droppet: https://www.version2.dk/artikel/blev-anmeldt-hacking-kmd-nu-sagen-droppet-1089137
Tidligere i aflyttet: https://www.24syv.dk/programmer/aflyttet/17918965/hacker-eller-fejlfinder
Regeringens ‘Tryghedspakke’: http://www.justitsministeriet.dk/nyt-og-presse/pressemeddelelser/2019/invitation-til-pressemoede-tryghed-og-sikkerhed-i-det

Internet-Sikkerhedsguide 2016-17

UNDER KONTRUKTION/WORK IN PROGRESS: Har du tips – send til lyt@aflyttet.dk
(senest opdateret 31.3.2017)
Regel nr. 1:
KEEP EVERYTHING IMPORTANT OFFLINE!


Al information, der har værdi, risikerer at blive hacket over tid. Væn dig til det.
Sådan er det. Derfor: Hvis noget virkelig er vigtigt for dig – så lad være med at bruge nettet til at snakke om det – hvis du kan!
Men da vi ikke kan undvære at have følsom information on-line, som den gennemdigitaliserede verden ser ud nu, er vi nød til at benytte os af, hvad man nu kan, for at beskytte os nogenlunde  – det kommer der eksempler på længere ned i teksten.
Tænk generelt over, HVAD du lægger ud – behøver du fortælle fuld fødselsdato og år til Facebook eller Google? For hvis du gør det, så har evt. hackere allerede de første seks cifre af dit cpr-nummer=de mangler kun fire tal=det tager få minutter at gætte sig til de sidste for en computer…
Og med dit CPR nummer og fulde navn, kan der laves mange ulykker.
Vær forsigtig.
Husk den gyldne regel: Ville du fortælle det her til en vildt fremmed på gaden? Hvad du hedder – hvor du bor? Give dem et billede af dig selv? Af dine børn?
For selvom vedkommende smiler, er det som bekendt ikke sikkert, det er en sød person? Vel.
Sund Fornuft i førersædet.
Og hvis noget LYDER for godt til at være sandt – ja, så ER det nok for godt til at være sandt!

REGEL nr. 2:
DÆK DIT WEBCAMERA TIL!
Du bruger iikke det webcamera til RET meget alligevel? Egentlig? Hvorfor så sidde og kigge direkte ind i det, hver gang du benytter din computer? Og hvorfor behøve at bekymre sig om, at nogen måske kigger med?

Sæt et klistermærke for – et stykke plaster eller endnu bedre: Et stykke maler-tape(som lader lys nok passere til at lysmåleren i computeren stadig virker) er faktisk tilstrækkeligt.
Og nu du ER igang: Hvad med dit smart-tv? Er der også et kamera der – der stirrer direkte ind i din stue? Frem med tapen! NU!
Hvorfor? Well. Læs f.eks. Phillips historie her: http://www.mx.dk/feature/coverfull/story/30635931

Regel nr. 3:
Opdater Opdater….

De fleste hardware producenter følger selv med i sikkerheden omkring deres produkt – når de beder dig om at opdatere – så er det ikke for sjov. Gør det!
Og det gælder også dine apps og styresystemet i en mobil.
MEN: Gør det ikke på Cafe eller når du er på ferie – vent til du er hjemme – risko for man-in-the-middle angreb er større på åbne, fremmede netværk-

Regel nr. 4:
Få styr på dine passwords
. Hav forskellige til hver tjeneste.
Skriv dem ned på et stykke papir, og gem dem et sted, du kan finde dem igen,  hvis du ikke er teknisk nok anlagt til at finde ud af password-managers.
Papir og gode passwords er en god kombination.
Risikoen for at nogen bryder ind i dit hjem og finder den seddel, er minimal i forhold til at nogen gætter et alt for nemt password – og det er farligt kun at have eet fast password, da en angriber så får adgang til ALT.
Brug 2-factor-autentication de steder du kan. Du kobler kort sagt din mobil sammen med din computer ifbm. at du bruger et site(som Facebook eller Google)=du får en besked og en kode til din mobil, når du(og andre) skal logge ind.

Regel nr. 5:
Brug VPN

Virtuelt Private Netværk beskytter dit privatliv og mindsker risikoen for angreb. Der er mange udbydere – men ikke alle er lige gode til det – hold fingrene fra HOLA, der spionerer mod dig samtidig og bruger dig i BOT-nets -
Her er en liste over VPN-services, rangeret efter grad af privatliv.
NB: Hvis du f.eks bruger (opdateret) Windows 7 eller 10 er det delvist indbygget – det er godt!
https://torrentfreak.com/vpn-anonymous-review-160220/

F-secure tilbyder services, der virker på både mobil og computer – det hedder Freedome

Regel nr. 6:
Opdater dine WEBbrowsere
Hele tiden!
Der er stor forskel på sikkerheden i den måde, du går på nettet via din webbrowser – mange hackere bruger webbrowseren til at køre skadelig kode på din maskine, og hvis du skal undgå det, skal du OPDATERE din browser – check om du har seneste version!
Det er lidt en religionssag hvilken browser der er sikrest og det kan ændre sig overtid. Firefox og Crome er opensource og ret sikre. Safari er solid. Anvend gerne forskellige webbrowsere til forskelige ting – en til netbank, en anden til almindelig surfing, en tredje (tor) til private sager.
Mange browsere(i default mode) lækker iøvrigt information til annoncører og data-miningselskaber – du kan tjekke HVOR meget via det her værktøj:
https://panopticlick.eff.org/

Regel 7:
Har jeg købt det for billigt?
Mange moderne ting har indbygget internet. Det kan være dit kamera, der selv via wifi kan lægge sine billeder på din harddisk, det kan være dit TV eller et overvågningskamera? Fælles for det hele er at de her dimser befinder sig på samme net, som du går på netbank med!
En dims, der skal på dit netværk, skal helt have et nyt password som DU har valgt – standard passwords er typisk nemme at gætte.
Kræver den ikke passwords for at gå på /kan du ikke ændre noget – så har du nok købt det lidt for billigt. Overvej om det bør være på nettet. Overhovedet.

Regel nr. 8:
Sociale Medier er Sladrende Medier

Facebook, Twitter, Instagram og YouTube og alle de andre, er gratis services som vi bruger mere og mere.
Men når det er gratis, gælder der en samlende regel: Det er DIG der er varen!
Sociale Mediers(og store dele af nettet i det hele taget) forretningsmodel er, at indsamle data om dig og sælge dem til annoncører i mere eller mindre anonymiseret form. Nogen services, som f.eks. Facebook og Google, sælger også til politikere og åbner gerne op for data hvis myndigheder som politi eller efterretningstjenester spørger efter dem med en dommerkendelse i ryggen.
Det skal man være klar over.
Du kan se en liste over, hvor mange data Facebook gemmer om dig hos Europe-VS-Facebook, et site drevet af østrigeren Max Schreems.
Generelt skal du regne med, at ALT du lægger på Sociale Medier er OFFENTLIGT – altså skal du være parat til at stå ved det over for hvem som helst – som stod du på gaden og delte foldere ud til forbipasserende.
Lad være med at give dit fulde navn på Some, LYV gerne om fødselsdato og år. Og læg ikke din fysiske adresse derud – det er der folk, der var glade for en ny computer, som de tog et billede af og lagde på Facebook, der fandt ud af var en dårlig ide, da indbrudstyvene kom et par dage efter…

Regel nr. 9:
Søgemaskiner der søger DIG!

Når du søger information på Google, gemmer de tre ting om dig:
1. De ord du søger på
2. Hvilke resultater du får
3. Hvilket af resultaterne du klikker på

Kig på de tre. Og tænk over, hvor meget man kan finde ud af om dig ved hjælp af de tre ting ud fra de tusindvis af søgninger de fleste af os laver om året.
Læg så oveni at google gemmer:
HVOR DU ER
DEN MÅDE DU TASTER PÅ (FINGERPRINT)
HVORDAN DU PLEJER AT HOLDE DIN COMPUTER
…og 42 andre ting….
…så begynder det at blive uhyggeligt!
Men der er alternativer:
duckduckgo.com og startpage.com er gratis søgemaskiner, der IKKE gemmer noget om dig – overhovedet. F-secure bruger Google, men blokerer for sporing OG tilbyder også advarsler mod farligt indhold – et eksempel her:
https://search.f-secure.com/search?query=fake%20news&fs_uo=provider&fs_p=freedome
Du får muligvis lidt andre, mindre personlige resultater – betragt ikke-sporende-søgemaskiner som en god bibliotekar, der ikke går og gemmer på informationer om hvilke bøger du læser.
Det er samtidig en måde at bryde ud af FILTERBOBLEN på – se hvad DET er..
HER:

Regel nr. 10: Brug sikker mail

Vi bruger alle sammen e-mail. Og mange af os bruger gratis services fra Facebook, Yahoo, Microsoft eller Google.
Her gælder igen reglen: Hvis det er gratis – er du varen.
Derfor LÆSER Google(og facebook) dine mails – scanner dem for ord, de kan bruge til at give dig ‘relevante’ annoncer og til at bygge en ‘skyggeprofil’af dig til andre markedsføringformål.
Men der er en række alternativer, her er et par stykker:
PROTONMAIL – ekstremt sikker schweitzisk løsning.
TUTANOTA – Tysk mailprodukt, nemt at sætte op, har app til telefon – fuldkrypteret mellem andre tutanota-konti – og man kan lave koder i enkelte mails til systemer udefra.
Kryptering er generelt godt – hvis du har lyst til at pusle med den tungere del af det, så skal du have fat i GPG, den åbne og gratis udgave af PGP(PrettyGoodPrivacy) og få dig en offentlig og privat nøgle.
Det her er ikke et mail-system – men software, der kan kode(kryptere) dine meddelelser, uanset system, så kun modtageren har adgang til dem.
Det er lidt kompliceret – men prøv at lege med det….

Regel 11: Hardware kan være ude på noget….

Regel nr. 12: BESKEDAPPS TIL SMARTTELEFONEN

Sikre krypterede beskedapps er ikke ulovlige at bruge. De sikrer, at dine beskeder ikke kan læses af andre end modtageren undervejs, og nøglen ligger på telefonerne.
De fleste moderne er ligeså nemme at bruge som almindelig sms.
Eksempler på krypterede beskedapps er SIGNAL, Telegram, Whatsapp og Wickr, og der kommer hele tiden nye til.
Det danske firma DENCRYPT laver en professionel krypteret beskedapp(der benytter patentet dynamisk kryptering), der ligesom flere af de andre også understøtter krypteret nettelefoni.
SIGNAL og Whatsapp bruger samme krypteringssystem fra Openwhispersystems.
Myndighederne i Storbritannien ønsker p.t. adgang til Whatsapp, som hævdes at anvendes at terrorister.

Regel nr.13: Tænk styresystem?
IKKE FOR AMATØRER: Hvis du har lyst til at være meget sikker og er meget dygtig – så kan du installere styresystemet QUBES eller TAILS  i din maskine…
Guide til QUBES: https://matrixedu.dk/index.php/2016/12/03/installation-og-konfiguration-af-qubes-os-3-2/
Guides til TAILS: https://matrixedu.dk/index.php/blog/#
https://tails.boum.org/

billede af guide til selvforsvar https://ssd.eff.org/

 

 

 

 

 

LINKS til mere viden:
Electronic Frontier Foundation er en uafhængig borgerrettighedsorganisation, der specialiserer sig i dit digital liv: Her er en fuld guide til digitalt selvforsvar – værd at læse og benytte: https://ssd.eff.org/

Tidligere guides fra AFLYTTET:
Den store sikkerhed- og privatlivs-Guide 2014-15
KRYPTER: Pas På dig SELV

 

Kort tale ved ‘drivingIT16′ – 4.11.2016

#drivingit16

Hvad er det JEG mener med ‘PRIVACY’ – privatliv?
Det er:
retten til at rulle gardinet for
retten til at være fri for uinviterede gæster.
retten til at kunne være i fred
retten til at være anonym

 

Jeg mener ikke, vi reelt har de rettigheder længere, som det ser ud nu.

Jeg har ikke som sådan noget IMOD ny teknologi.

Jeg har til gengæld meget imod fantasiløs, desperat, grådig og farlig brug af ny teknologi.

Jeg mener, vi er i gang med at reducere og varegøre mennesker.

At vi laves om til dataleverandører, data vi ovenikøbet selv er ansvarlige for at få tastet korrekt ind på maskiner, vi selv skal vedligeholde og opdatere.

Jeg mener at Big Data – som det praktiseres nu – er luskeri, hvor man snyder data ud af folk.

Jeg stiller spørgsmålstegn ved, om der overhovedet kommer vækst ud af big data – eller det bare ender med mere overvågning – igen!

Jeg mener forretningsmodellen på det nuværende internet er vanvittig og vil dø….
Og nej, jeg mener IKKE man behøver komme med et alternativ for at påpege, at der er noget rivende galt!

Jeg mener vi trænger til en ny Forretningsmodel på nettet, hvor ting koster det de gør=slut med frivillig overvågning/overvågningskapitalisme.
Slut med at gemme for mange data

.

Jeg mener vi skal have styr på efterretningstjenesterne – og de skal åbne mere op

Jeg mener vi skal (Gen)Opbygge kritisk infrastruktur, og vi bør beholder visse analoge systemer – enten som backup eller simpelthen som løsningen!

Vi skal droppe dårlige IOT-løsninger med lav sikkerhed(scada)

Vi skal bevare kontanter!

Vi skal adskille registre!




Jeg mener vi skal: 
GEMME SÅ FÅ DATA OM OS SOM MULIGT
!

VI SKAL BRUGE TID PÅ AT TÆNKE OVER, HVORDAN VI FÅR DANSKERNE VÆK FRA SKÆRMEN – IKKE HEN FORAN DEN, FOR HER SIDDER DE ALLEREDE OG DE SIDDER NÆSTEN ALLEREDE FAST…

NB: TALEN ER UDDRAG OG LØST REDUCERET FRA STOR UDGAVE klik HER

USA Freedom Act sikrer hverken mod virksomheder eller NSA

Af Stephan Engberg, Systemarkitekt
, Privacyekspert.


Edward Snowdens afsløringer medførte enorm ballade, ikke kun i USA, men praktisk talt i hele verden. Dog er det først nu vi begynder at se konkrete politiske tiltag i kølevandet af de omfattende afsløringer.

Efter Appeal Court for nylig fastslog , at overvågning i betydningen af “Bulk Collection” af metadata er ulovlig, har de amerikanske lovgivere haft travlt. Det Amerikanske Senat undlod at forlænge den omdiskuterede USA Patriot Act, og godkendte i samme ombæring den nye og mere indskrænkende USA Freedom Act.

USA Freedom Act er optimisme-skabende for mange. På papiret forbyder den NSA at opsamle metadata på amerikanere, og fastlægger desuden, at denne opgave ligger hos teleselskaberne, så NSA kun kan få fat i disse data ved hjælp af en dommerkendelse og ikke selv må ligge inde med disse data. Dermed sikres amerikanerne samtidig en vis transparens i logningen og FISAs praksis (den hemmelige domstol, der efter Watergate blev etableret for at holde øje med efterretningstjenesten, herunder specielt NSA).

Vi taler altså om, at USA – nærmest for første gang siden 9/11 – styrker borgernes rettigheder . Det kan ses som en sejr for det amerikanske retssystem og US Civil Liberties, her Electronic Frontier Front, praksis med at anlægge sag mod staten.

Før man begynder at glæde sig for meget, så bør tre aspekter stå helt klart:

  1. USA Freedom Act sikrer kun amerikanernes rettigheder mod NSA beføjelser, dvs. europæerne er stadig et fuldt ud legitimt mål for NSAs overvågning.
  1. NSA har en lang historie med, at finde kreative metoder hvorpå man omgår lovgivningen, netop med det formål, at overvåge i det skjulte, såsom fx når NSA og UK GCHQ “bytter overvågning” – dvs. NSA overvåger englænderne på vegne af UK GCHQ, og omvendt.
  1. Godt nok er loven ind indskrænkning af NSAs beføjelser, men loven kan principielt læses som en legitimering af den kommercielle overvågning, dvs. man forpligter kommerciel logning, når nu NSA ikke “må”.

USA Freedom Act beskytter ikke borgerne

For at forstå USA Freedom Act, skal man se det som et udslag af det, som Lawrence Lessig kalder Lesterland.

Lessigs Lesterland er et udtryk for, at ingen væsentlig demokratisk valgt post i USA i praksis kan opnås uden økonomisk valgkampstøtte fra de 1% rigeste. Dermed mener Lessing, at man har opnået en form for institutionel korruption, hvor de opstillede, for overhovedet at have en chance for at trænge ind til vælgerne ved at finansiere dyre mediekampagner, på forhånd må binde sig til at støtte de riges kommercielle interesser, og Lessing konklusion er så, at de demokratiske kræfter og principper reelt sejt må ses som værende undergravet.

Baggrunden for USA Freedom Act kan reelt ses som et udtryk for, at US BigTech industrien med deres betydelige kampagnebidrag i amerikansk politik, forsøger at vende kritikken af Snowdens afsløringer (at NSA har snablen dybt nede i deres datasystemer). Kritikken har ikke kun været i medierne, men medført omfattende økonomiske tilbageslag, fordi virksomheder er blevet tilbageholdende med at bruge specielt US BigTech cloud-løsninger. US BigTech har således fået travlt med at flytte databaser til Europa (primært Irland), for at påberåbe sig, at EU’s persondatalovgivning beskytter kunderne mod udlevering til NSA.

Problemet er, at US Patriot Act forpligter amerikanske virksomheder til at udlevere data til NSA. US BigTech har således en egeninteresse i, at bruge deres købte indflydelse i de folkevalgte forsamlinger til at fremme USA Freedom Act, så de kan portrættere det således, at de kan sige nej til NSA uden dommerkendelse.

På den måde forsøger fx Google, Apple, IBM, CSC, Amazon, VISA, Verizon, MasterCard, Facebook, etc. – til brug for deres markedsføring – at skabe illusionen af, at sikkerhed drejer sig om at de krypterer data mod eksterne ”kriminelle”, her inkl. NSA, Kina og andres aflytning af internettets backbone, mens de kun vil udlevere kundernes data til f.eks. NSA og statens øvrige institutioner mod eksplicit dommerkendelse. En dommerkendelse, som de naturligvis officielt vil bekæmpe til det sidste. Googles PR lader ingen chance gå forbi for at påstå, at de bekæmper censur eller adgang til data fra sociale medier for ikke-demokratiske regimers forsøg på at begrænse ytringsfriheden eller bekæmpe kritik af staten.

Problemet er bare, at alt det her, af flere grunde ikke beskytter borgerne – specielt ikke i Europa.

a) US BigTechs kryptering mod eksterne gør intet mod hovedproblemet: At virksomhederne selv fortsat har fuld adgang til data, til brug for deres kommercielle interesser og profilering af både borgere og virksomheder, ligesom USA Freedom Act, og øvrig amerikansk lovgivning, reelt ikke beskytter persondata.

b) Så længe metadata ikke er sikret mod identifikation af borgerne, og data ikke er end-to-end krypteret, så må NSA antages at have masser af muligheder for at få adgang til data, ligesom USA Freedom Act eksplicit kun beskytter amerikanske statsborgere. Data ligger hos virksomheder og er dermed ikke sikre mod udlevering eller anden adgang.

Hvad så – skal vi bare give op? Skal vi stoppe artiklen her, opgive Grundlovens pgs. 71 om den personlige friheds ukrænkelighed, og krybe sammen i skræk? Nej, selvfølgelig skal vi ikke det – af både økonomiske, sikkerhedsmæssige og navnlig retssikkerhedsmæssige grunde.

Løsningen er Privacy by Design

Man kunne starte med ét af de få temaer, som kan få Folketinget og centraladministrationen til at tage noget alvorligt, nemlig, at overvågningen ødelægger den danske samfundsøkonomi.

Når den kommercielle og statslige infrastruktur overvåger og styrer borgerne og samfundsprocesserne, således at innovation, konkurrence og markedsprocesser begrænses eller helt ødelægges, ja, så har det helt konkrete samfundsøkonomiske konsekvenser (selvom det i sagens natur er vanskelige at kvantificere, fordi økonomi på dette plan ikke er en eksakt videnskab, hvor man kan foretage eksperimenter med de samme forudsætninger).

I den offentlige sektor skaber og dikterer man dårlige monopol– og ensrettende strukturer fremfor at skabe mekanismer, der tilpasser sig borgernes behov. Det skyldes i høj grad, at man ikke måler værdi, men fokuserer på omkostninger og fremmer one-size-fits-all, selvom det reducerer velfærden.

I den private sektor kan virksomheder ikke konkurrere og investeringer ikke forrentes, hvis infrastrukturen opsamler viden om deres kundeinteraktioner og sælger de bedste kunder til højestbydende, eller begrænser/beskatter adgangen til kunder.

Tilsvarende værger både forbrugere og leverandører sig mod, at andre blander sig i deres interne forhold for at profitere med selv med undskyldningen, at det er ”for deres egen skyld”.

Hverken demokrati eller markedsøkonomi kan basere sig på transparente borgere  – begge dele bryder sammen.

Løsningen er Privacy by Design, eller helt præcist tekniske mekanismer, som muliggør samfundsprocesser, uden at borgerne og virksomhederne mister kontrollen over deres egne (kunde)data.

I Privacy by Design er tillid og samtykke ikke løsninger, fordi samtykke ikke giver mening i stadigt flere sammenhænge uden tekniske mekanismer til at isolere samtykkets omfang.

Privacy by Design indebærer i praktisk forståelse at eliminere behovet for samtykke ved at fjerne misbrugsmuligheden. Samtykke er noget, der skal være givet af selve teknologidesignet, dvs. både det implicitte opt-in, og det garanterede opt-out efter transaktionen er slut (både for den offentlige og private sektor). I sådanne setup er persondatalovens principper nærmest garanterede uden bureaukrati om samtykke og snærende begrænsninger.

Privacy by Design drejer sig IKKE om polices, uigennemskuelig jura a la USA Freedom Act og forsøg på at beskytte borgernes data – det drejer sig om principper, bæredygtigt design og fokus på at skabe løsninger, der kun skaber data, der ikke behøver yderligere sikkerhed, men kan bruges frit, fordi de ikke udgør en trussel mod borgere og virksomheder.

Privacy by Design kan operationelt deles op i fem stigende niveauer, hvor det første niveau er absolut minimum, for at vi overhovedet kan tale om et marked og demokrati i en digital verden.

 

Niveau Mål Formål
1 Beskytte borgere og services fra 3. parts overvågning og markedskontrol. Antager tillid og samtykke afklares i forhold til den primære serviceudbyder, men ikke andre. Eliminere magtstrukturer i infrastruktur med henblik på reetablering af markedsdannelsen
2 Sikre applikationer og services. Antager hverken tillid eller samtykke. Sikre borgeren kontrol og ejerskab over data samt forebygge misbrug og angreb. Gøre data til OpenData. Sikring af cloud.
3 Eliminere identifikation og overvågning i den kommercielle infrastruktur. Beskytte hjemmet og den fysiske person mod invasiv overvågning. Sikre borgere og den basale infrastruktur  mod både intern og ekstern (via angreb). Sikring af IoT. Åben for infrastrukturkonkurrence.
4 Sikre mod efterretningstjenesternes misbrug Styrke tilliden til efterretningstjenesterne og domstolene ved at sikre transparens og undgå adgang til data om lovlydige borgere.
5 Sikre mod invasioner og magtovertagelser Tilsikre at kritiske funktioner kan lukkes ned for at forebygge  overtagelse af ikke-demokratiske kræfter

 

Den fysiske verden før internettet var typisk beskyttet af ikke-registrering og omfattende ressourcemæssige barriere mod angreb og misbrug. I den digitale verden er magten skredet og angreb blevet nemme – de færreste funktioner og services kan leve op til det absolutte minimum i niveau 1, fordi selv lovlydige service-leverandører har vanskeligt ved at forhindre infrastrukturen i at opsamle og misbruge data om digitale interaktioner.

Det første niveau er applikations-udbyderens ansvar og er reelt allerede dækket af f.eks. persondataloven, ePrivacy samt marketing– og konkurrencelovgivningen selvom disse i stigende grad ikke overholdes. De efterfølgende fire niveauer kræver en demokratisk stat til at sætte rammerne for infrastruktur og services.

Niveau 1: Sikring mod den kommercielle og statslige infrastruktur

I praksis indebærer Privacy By Design på det første niveau, at alle tredjeparter udelukkes via brug af f.eks. kryptering, proxy-mekanismer og andre tekniske mekanismer fra samtidig at kunne vide hvem borgeren er, og hvad hun foretager sig.

EU’s ePrivacy direktiv sondrer mellem den nødvendige infrastruktur adgang til devices af hensyn til kommunikationen, og på den anden side alle former for tredje-parts services, som kræver forudgående samtykke, herunder f.eks. måling af unikke besøgende. Infrastruktur er omfattet af strenge krav om anonymisering, så snart formålet er opfyldt.

Hovedproblemet her er det, som vi kan kalde den virtuelle infrastruktur, eller services, der aktivt blander sig i og opsamler viden om transaktioner, og dermed har interesser i at udnytte viden i andre sammenhænge. Hertil medregnes enhver servicefunktion, der ikke holder sig 100% til det nødvendige.

Den første type infrastruktur (f.eks. telefonselskaber,  banker, transport) vil med normale tekniske standarder kende borgeren og må derfor via yderligere Privacy by Design-baserede service forhindres i at kende indholdet på services, samtidig med at borgerens rigtige identitet ikke eksponeres overfor tredje-parts services over transaktionen.

F.eks. kan cloud ikke sikres mod sekundær misbrug af person/kundedata, hvilket i f.eks. EU har ført til diskussioner om ”balkanisering” og overflytning af data til EU-lande uden synderlig effekt. Men hvis cloud services – via Privacy by Design-strukturer — forhindres i at kunne genkende slutkunder, er lokation ikke relevant, fordi tredjepart-servicens mulighed for misbrug er stort set elimineret.

Vi taler om en aktiv opdeling af infrastruktur i ren neutral infrastruktur som servicer den basale adgang til nettet, som ikke må kunne vide hvad borgeren gør, og den virtuelle infrastruktur, der er involveret i market making eller transaktionsservices, som ikke må kunne identificere/genkende borgeren – hverken før eller efter et valg.

På dette niveau blokeres såkaldte single-signon a la Twitter login og adfærdsbaseret profilering og markedsføring.

Helt konkret vil Google Analytics ikke kunne genkende borgeren, hvorved data fra transaktionen ikke kan bruges til at sælge virksomhedens kunder til virksomhedens konkurrenter, ligesom data låses til transaktionen, og dermed sikrer mod efterfølgende misbrug i søgninger til at fremme Googles ulovlige datakilder fremfor websites, der agerer lovligt.

Tilsvarende kan Facebook LIKEs ikke kobles til en Facebook-profil, fordi Facebook ikke får lov til at genkende personen i transaktionen. En udfordring er at forhindre iPhone/Android i at stjæle persondata fra Apps.

Portaler (fx PrizeRunner), virtuelle supermarkeder (fx Amazon, Coop, etc.) eller andre funktioner med mange ikke-relaterede processer (fx offentlig transport, rejsekort eller sundhedssektoren) betragtes her som tredjepart, hvor hver enkelt transaktion som udgangspunkt skal betragtes isoleret.

I den offentlige sektor lever ingen services i den såkaldt fælles-offentlige infrastruktur op til selv niveau 1, hvorimod fx Skats Tast-Selv og Bibliotekernes login kan overholde kravene på dette plan, selvom de kun er baseret på relativt simple adgangsmekanismer.

I henhold til ePrivacy direktivet (også kendt som Cookie-lovgivningen) vil Privacy by Design af niveau 1 eliminere tredjeparts cookies og reducere disse til 1. parts cookies, idet 3. part maksimalt vil kunne vide det samme som en niveau 1 serviceudbyder. Data kan altså højst henføres til websites kundenumre, men ikke relateres til andre transaktioner i andre sammenhænge med den samme person/device. Dermed forsvinder også hovedproblemet med de såkaldte pop-up samtykke erklæringer, der først og fremmest adresserer tredje-parts tracking mekanismer.

Niveau 2: Sikring af applikationer

Privacy by Design niveau 2 adresserer problemet med, at perimetersikkerheden hastigt bryder sammen. Det gælder applikations– og databaseservere generelt, og i særdeleshed cloud og Internet-of-things, hvor sikkerheden er teoretisk umulig .

Samtidig adresseres det problem, at serviceudbydere på niveau 1 kan have en interessekonflikt i forhold til kunderne i forbindelse med deling af persondata med tredjepart eller partnere.

På dette plan taler vi om kontekstuel eller formålsspecifik isolering, hvor formålet defineres fra borgerens synspunkt. Ingen server må kunne identificere eller koble ikke-relaterede transaktioner med den samme borger eller device brugt af borgeren, medmindre borgeren eksplicit i transaktionen har koblet tilbage til tidligere transaktioner eller relationer (et sæt af transaktioner).

I ePrivacy-sammenhæng taler vi om tekniske design, der som udgangspunkt altid er session-specifikke (implicit samtykke til at koble datapakker til samme session), mens 1. parts samtykke til at koble er eksplicit. En test er, at personer kan have flere transaktioner i det samme it-system, uden it-systemet kan vide, at det er den samme person –en kunde hos fx Coop kan styre adskillelse af private og erhvervsmæssige indkøb, uden Coop kan forveksle disse.

Det bør sige sig selv, at sikrede applikationer selvfølgelig er afhængig af sikre betalinger, dvs. digitale kontanter, der ikke i sig selv kan henføres til nogen konto eller sammenhæng. Samme kontanter skal selvfølgelig dels kobles med de legitime skattekrav og muligheden for at implementere et offentligt voucher-system, som muliggør frit valg for at effektivisere og gøre den offentlige sektor behovsdrevet uden at forudsætte privatisering og ændret omfordeling.

Privacy by Design niveau 2 vil ofte samtidig begynde at tale om Security by Design, fordi udbydere kun vil påtage sig risici, hvis disse dækkes af personen som er ansvarlig, dvs. betinget identificerbar.

Betinget Identificerbarhed bør implementere det princip, vi kender som frihed under ansvar, dvs. muligheden for at forhandle deponering af en envejsmekanisme, der fx af en dommer kan etablere en kobling mellem handling og den person, der var ansvarlig for handlingen, men uden at man kan gå den modsatte vej, og sammenstille alle handlinger foretaget af den samme person.

Privacy by Design niveau 2 er en forudsætning for ytringsfrihed, fordi man har afkoblet identifikation og ytring , så personen ikke dikterer eller blandes med ytringen, selvom ytringen stadig kan være ansvarlig, hvis serviceudbyderen kræver dette. Medieudbydere af debatfora vil på dette plan formentlig kræve såkaldte negative credentials, dvs. sikkerhedsmekanismer, der kan validere, at en borger ikke er udelukket fx grundet tidligere chikane. Her er troll-adfærd stærkt begrænset, og selv specialister, politikere og topledere, hvor jobbet tidligere har forhindret deltagelse i online medier uden selvcensur, vil kunne deltage frit i meningsdannelsen.

Væsentligt ved Privacy by Design niveau 2 er, at data som skabes på applikationsniveau i databaser normalt ikke er persondata, og dermed uden yderligere sikring, eller legale begrænsninger såsom samtykkekrav, kan betragtes som OpenData til brug for forskning.

Et eksempel på design af offentlige services i henhold til Privacy by Design på niveau 2 finder vi i rapporten om ”Nye Sikkerhedsmodeller” fra It– og Sikkerhedsstyrelsen fra 2011.

Endnu vigtigere, eftersom personen har nøglerne til at sammenstille data, så vil selv avanceret og særdeles nærgående forskning og analyser kunne gennemføres via borgeren selv, dvs. at forskeren definerer det logiske spørgsmål, hvorefter personen selv (borgerens egen agent) sammenstiller de nødvendige detaljer fra de mange kilder og anonymiserer resultatet uden brug af en trusted part. Den såkaldte Registerforskning kan på denne måde erstattes af en langt mere fremtidssikret og digitalt bæredygtig løsning, der både er transparent, effektiv og af langt højere kvalitet end den nuværende.

Niveau 3: Sikring af infrastruktur

Når vi taler Privacy by Design niveau 3 vokser kravene til infrastrukturen. Det indebærer f.eks. muligheden for ægte digitale betalinger, hvor end ikke banken eller en trusted part kan vide, hvem der betaler til hvem. Det indebærer mindre redesign af basale telekommunikationsprotokoller såsom GSM og IPv6 i retning af Peer-to-Peer, in-device virtualisering og den såkaldte RINA–standard, således at teleselskabet heller ikke er i stand til at genkende personen eller digitale devices i transaktioner.

På dette niveau vil teleselskaberne gøre brug af mere avancerede sikkerhedsmekanismer for at kunne afgøre, om en given session vedrører et abonnement eller en fremmed roaming kunde, men til gengæld vil teleselskaberne kunne frigøre sig fra de stærkt forretningsgrænsende lovregler, og begynde at servicere transaktioner på linje med den øvrige virtuelle infrastruktur.

Samtidig vil de fleste privacy-invasive services og overvågning være stort set elimineret, fordi alle transaktioner er så tæt på anonyme, som de kan være, uden at åbne for, at brugeren kan misbruge dette kriminelt.

Et eksempel på, hvordan lovgivning fungerer overfor infrastruktur og telekommunikationsprotokoller finder vi i ePrivacy Direktivet, hvor både WIFI (f.eks. IPhone random MAC), Bluetooth og RFID protokollerne de senere år er begyndt at tilpasse sig de lovgivningsmæssige krav om ikke at kunne trackes uden forudgående samtykke.

Til gengæld rejser det også krav om nye Privacy by Design-sikringsmekanismer. Fx vil grænsekontroller stille krav om bevis for nationalitet (og dermed ved indrejse starte en særskilt procedure for tidligere forsøg på indrejse og håndtering af fremmede på besøg i landet), for check mod en eftersøgningsliste (for at stoppe f.eks. kriminelle i at rejse ud af landet og undslippe straf), ligesom sikkerhedskrav på kritiske steder vil være koblet med trusselsniveauer, således at krav midlertidigt kan hæves lokalt i forbindelse med konkrete trusler, så man f.eks. laver check overfor konkrete eftersøgte i forbindelse med køb af længere togrejser.

På dette niveau vil kun PET og domstolene kunne tilsidesætte borgernes kontrol i forbindelse med stærkt kriminelle handlinger, dvs. vi har elimineret sårbarheden ved USA Freedom Act, fordi vi ikke længere behøver stole på teleselskabets kommercielle håndtering af metadata.

Niveau 4: Sikring mod PET

PET har en samfundskritisk funktion med at optrevle og forebygge, når fx Anders Breivik begår terrorhandlinger i Oslo, en habit-klædt bande begår kompleks momssvindel, rockere involveres i alvorlig bandekriminalitet, eller PET bliver bekendt med, at en konkret person kan være involveret i særdeles alvorlig kriminalitet eller terrorvirksomhed.

At sikre mod, at PET misbruger mekanismer, så som at overvåge uskyldige, kræver at vi inddrager nogle meget følsomme mekanismer, som skal overvejes nøje, førend vi eksempelvis opgraderer statssanktionerede light-anonymiseringsnetværk a la TOR baseret på onion routing til reelt ubrydelig anonymitet.

Fortsætter den nuværende negative samfundsudvikling, så borgerne helt mister tilliden til stats-konstruktionen, vil sådanne mekanismer utvivlsomt blive taget i brug. Det taler stærkt for, at vi holder op med at lege ”Retssamfund” og rent faktisk begynder at gøre noget for et re-etablere de basale borgerrettigheder, som samfundsøkonomien og it-sikkerheden samtidig er stærkt afhængige af.

Vi taler om en dobbelt balance. Hvis PET vil kunne få adgang til data i forbindelse med alvorlig kriminalitet, så skal PET først underlægge sig en stærkt kontrol og transparens, der stærkere  end hemmelige domstolle og folketingsudvalg. Omvendt, hvis borgeren vil have kontrollen og undgå identifikation i samfundsprocesser, så skal borgeren påtage sig at sikre modparterne og stå til ansvar for misbrug af nøglerne. Begge balancer, der kræver, at man designer teknologi med opmærksomhed på nuancerne.

Niveau 5: Retsstatens sammenbrud – Dead Man’s Button

Persondataloven indeholder en særlig klausul, paragraf 11, stk. 4, der omhandler invasioner eller andre former for coup d’etat, hvor retssamfundet og domstolene bryder sammen. Artiklen kræver, at myndighederne træffer foranstaltninger til at beskytte særligt sensitive data for sådanne eventualiteter.

Artiklen ville specielt omfatte CPR-registeret og en række andre systemer, såsom Hjemmeværnet, militær– og politiuddannede, oversigter over aktiver og sensitive værdier, kritisk infrastruktur, som det nye regime ville kunne bruge til hurtigt og effektivt at overtage kontrollen med landet og landets borgere.

Implementeringen af sådanne foranstaltninger ville kraftigt forebygge en sådan udvikling, fordi mekanismerne for alle praktiske formål ville kunne blokere landets kritiske funktioner for de nye magthavere og gøre dem blinde overfor borgernes, herunder fx hjemmeværnets modstand, hvorved hele formålet med magtovertagelsen i de fleste scenarier ville blive modgået.

Vi kunne eksempelvis konstruere mekanismer, hvor centralsystemets grundlæggende id og nøgle-strukturer forudsætter kontinuert støtte fra et antal – for central-administrationen ukendte – borgere. Og i tilfældet af, at denne støtte bortfalder, ville Dead Man’s Button-effekter, som kendt fra togførere, sætte ind og tvinge nedlukning af systemerne og total distribuering af nøglekontrol til hver enkelt borger. Dvs. at systemerne kun kunne reetableres i det omfang, hver enkelt borger selv frivilligt kobler ind og genopretter sin identitet.

Men i Danmark er man ikke i nærheden af at respektere paragraf 11, stk. 4. Den såkaldte CSC-sag dokumenterede med skræmmende tydelighed, hvordan man har ignoreret sikring af selv dybt sensitive systemer, ligesom vi tidligere har set sager, hvor fx bander uden problemer kunne skaffe sig adgang til data om danskere med hemmelig adresse og ny identitet, under vidnebeskyttelse, etc.

Myndighederne i Danmark har nærmest lagt landet til rette for et regime, via en ekstrem centralisering af kontrollen (fx borgernes private nøgler ligger reelt usikret i NemId) samtidig med, at del-systemer flyder med stærkt sensitive og usikrede data koncenteret omkring CPR-numre, baseret på en sikkerhedsforståelse, der allerede var forældet for 20 år siden og kun kommer stadigt mere ud af trit med realiteterne.

Konklusion

USA FreeDom Act gør reelt meget lidt for at beskytte de fundamentale principper , og skal ses i tæt sammenhæng med USA’s økonomiske interesser i at understøtte US Bigtech magtpositionen

Men samtidig står det også klart, at både det danske og europæiske demokrati har svigtet sig selv. Der er ingen grund til at acceptere en teknisk udvikling, hvor dårlig digitalisering underminerer både samfundsøkonomien og de helt basale rettigheder som både Grundloven og EU’s Charter repræsenterer. Hverken hensynet til at bekæmpe kriminalitet, forskning eller samfundsøkonomien taler for den ekstreme overvågning, som er vokset frem over de seneste årtier.

Danmark har gentagne gange taget teten og i fællesskab brudt vejen frem. Landboreformerne, realkreditsystemet, højskolerne, anpartsbevægelsen, 3-parts forhandlingerne, velfærdsmodellen, pensionsmodellen, CPR-modellen og Dan-kortet er nogle af de mange udtryk for, at Danmark og danskerne sammen havde modet til at gå foran, da tiden var til det.

Problemet er, at nu er tiden moden til at vende magtmodellen på hovedet og føre magten tilbage til borgeren via Privacy by Design – både af hensyn til demokratiet og markedsøkonomien. Privacy by Design er nøglen til på samme tid at styrke konkurrenceevnen, sikkerhed og re-etablere retssamfundet som alle har været eroderet de sidste årtier.

Men det forudsætter, at politikerne holder op med gammel-ideologiske taburet-lege, hvor man spilder tiden på personangreb og flytte kommaer på finansieringssiden,  mens huset brænder grundet fejldigitalisering og manglende fokus på de basale principper i en digital verden.

Spørgsmålet er, om den store offentlige sektor og tilhørende historisk meget stærke centraladministration kan, eller reelt har gjort civilsamfundet og Folkestyret så svagt, at Danmark har mistet den historiske evne til fornyelse, når det gjaldt. I så tilfælde har Grundloven og specielt den personlige friheds ukrænkelighed lidt ubodelig skade.

Amerikansk professor: Betænkelig bevisførelse i CSC-sag


I april måned går Gottfried Svartholm Wargs ankesag i gang – han blev dømt 3 år og 6 måneders fængsel og udvist af Danmark for bestandig for sin rolle i danmarkshistoriens største hackersag mod CSC, hvor blandt andet kørekort-registeret, kriminalregisteret(indeholder alle danskeres forbrydelse de sidste 25 år) og cpr-registeret blev downloadet og ikke er set siden…
Professor David Thaw, ekspert i computerkriminalitet, jurist og professor ved University of Pittsburgh og Fellow på Information Society Project ved Yale, mener ikke beviserne i sagen var helt fine i kanten – faktisk ville flere af dem blive afvist i en amerikansk retssal.
- Fjernstyring af computere er noget helt reelt, og det er en stor fejl, hvis det latterliggøres og mistænkeliggøres overfor en jury, siger han blandt andet.
Den chatlog som Warg og den medtiltalte dansker også blev dømt på, er særligt problematisk. Den er redigeret(i uddrag) og ligger som en ren tekstfil uden yderligere oplysninger.
- Jeg kan konstruere en mail i dit navn, sendt til mig, hvor du fortæller mig om en kriminel handling du har begået. Det kan man også med en chat. Men med mindre en ret kan bevise, at den rent faktisk er sendt fra din computer via serverspor, er den mail eller chat ikke noget værd. Hvis anklagemyndigheden anvender en chat-log, der kun er med i uddrag og ikke kan redegøre for hvem der har deltaget, ville jeg ikke kunne bruge den i en amerikansk retssal, siger Thaw
Men det mest problematiske i sagen er i følge David Thaw, at det kun er CSCs eget, selvvalgte og betalte konsulentfirma, der har haft direkte adgang til den hackede mainframe:
- Det er meget betænkeligt, siger han.

HØR MERE HER I AFLYTTET: http://www.radio24syv.dk/programmer/aflyttet/11437139/aflyttet-uge-13-2015/

CSC-mainframen der sladrede

Den store sal i Retten på Frederiksberg er noget ganske særligt.
Der er nemlig et tykt lag skudsikkert glas mellem tilhørerne på den ene side og anklagere, forsvarere, nævninge, dommere og de anklagede på den anden. Der er til gengæld aflange huller i glasset – muligvis for at lyden fra salen skal kunne nå os, publikummet og journalisterne, der sidder herude.
De gange jeg har siddet der, og det er en del gange, har jeg teoretiseret over, om man mon kunne få et pistolløb gennem de huller? Om nogen mon havde tænkt over det?CSC - making it real
Når man ser gennem glasset, ser man ind på en scene: De anklagede sidder til højre, Gottfried Swartholm Warg sammen med forsvarer Luise Høj, og den 21-årige medtiltalte dansker, med navneforbud, med sin forsvarer Michael Juul Eriksen. Til venstre holder de to anklagere til: senioranklager Maria Cingari og Anders Riisager fra Statsadvokaten.
Sidstnævnte indledte første retsdag med en erklæring om, at computere for ham var som ’kryptonit for Superman’ – en udtalelse, der på mange måder blev symptomatisk for hele sagen. Vi, tilskuerne, der talte en bred flok af journalister, familie og det, man kalder it-interesserede, fnes nervøst.
Gottfried Swartholm Warg, også kaldet Anakata, blev idømt tre og et halvt års fængsel, og den 21-årige med navneforbuddet fik seks måneder.
Tre dommere og fire nævninge mente, at Warg var hovedmand bag hackerangrebet og stod for selve udførelsen af angrebet.
De fandt det samtidig bevist, at den 21-årige havde medvirket til angrebet i den indledende fase.

Med den hårde dom på tre et halvt års ubetinget fængsel til Gottfried Swartholm Warg og den helt iskolde afvisning af muligheden af, at hans computer kunne have været fjernstyret, har retten, og dermed den danske stat, delt seriøse ørefigner ud. En hidtil ustraffet 21-årig dansk mand sidder varetægtsfængslet i 17 måneder og inkasserer så seks måneders ubetinget fængsel – alene for at have deltaget i en chat-samtale. Det er i den hårde ende. Ved at undlade at gøre sikkerhedsforholdene hos databehandleren CSC, Computer Sciences Corporation, til en del af sagen har det offentlige Danmark samtidig spredt gift rundt omkring sig selv og alle os andre.

Fem måneders frit spil

Det hele begynder i februar 2012. Nogen forsøger at logge ind på en ukrypteret FTP-server tilknyttet CSC’s IBM-mainframe. Men ingen er kommet ind. Endnu. Og ingen alarmer er gået hos CSC.
Den 7. april, 2012 trænger nogen så helt ind, angiveligt via en såkaldt zeroday-sårbarhed. Dagen efter overføres et script til CSC’s mainframe, og nu har indtrængerne administratorrettigheder. Den adgang bliver brugt til at lave tre bagdøre i systemet og sætte gang i en massiv kopiering og overførsel af data fra CSC’s systemer.
Der er downloadet filer og datasæt fra CPR-registeret, politiet, kriminalregisteret, kørekortregisteret og Schengen-informationssystemet. Det er de mest følsomme data, vi overhovedet har.
De data passerer gennem servere i Cambodia, Tyskland og Iran. Den sidste “uberettigede aktivitet” sker den 28. august!
De mest højlydte advarsler kommer fra svensk politi i juni 2012. De gentager dem tre gange mere i det efterår. Ingen lytter.
Samtidig, i juni 2012, undlader CSC og Rigspolitiet at reagere på en stærkt kritisk revisionsrapport fra Deloitte.
Svensk politi anholder Gottfried Swartholm Warg i Cambodia i august 2012. Hans computere er fyldt med data fra CSC’s servere og indeholder et program, der kan simulere en mainframe magen til den, CSC bruger. Det svenske politi ringer til Danmark igen.
I februar 2013 underretter dansk politi CSC om indbruddet. CSC får først lukket den sidste smækkende bagdør 6. marts 2013 – angiveligt for ikke at forstyrre kunderne på systemet for meget.

Det amerikansk ejede firma CSC er en af den danske stats største it-leverandører. CSC har siden maj 2001 stået for al it i Folketinget og stort set alle andre funktioner i det offentlige Danmark. Det kan undre, at et så betroet firma ikke har haft bedre sikkerhed, men det har hidtil ikke været sagens kerne: Medier og myndigheder har endnu en gang valgt at fokusere på symptomerne; i dette tilfælde den meget dygtige Warg og den dansker, han har været perifert i kontakt med via en chat.
Gottfried Swartholm Warg kan, yderst teoretisk, have haft det motiv at slette data om sig selv i Schengen-registreret, hvor han stod opført som undvegen fra dommen mod Pirate Bay i sin tid. Hvad angår den 21-årige, ja så kunne det måske have været interessant for anklagerne at se, hvad der gemte sig i den krypterede del af den computer, han med fuld ret har nægtet politiet adgang til – og dermed i øvrigt til fulde har bevist, at kryptering virker.
Men det er kun forestillinger. Selve meningen og beviserne kniber det med.
Dansk politi har ikke selv har haft adgang til CSC’s systemer. CSC hyrede et helt tredje firma til at gennemgå systemerne, og det er oplysningerne fra CSC’s egen “hired gun”, der er blevet brugt i retten.

– Basalt set er sagen ligesom alle andre. Der er nogle tekniske udfordringer, men det skal jo bare køres ned til, om der er foregået noget strafbart, sagde forsvarer Michael Juul Eriksen i mit radioprogram, “Aflyttet”, efter at den 21-årige sigtede dansker havde været gennem første afhøring.

Men sådan kom det ikke til at gå: Chatten var for eksempel et andet problem. Det er den, man har dømt den 21 årige og nogen grad også Warg ud fra. Den 21-årige har ikke benægtet, at han har deltaget i den chat. Han har forklaret, at det navn, han ifølge anklageren skulle have optrådt under, “Advanced Persisitant Terrorist Threat”, ikke var hans “handle”.

Der er god grund til at være mistænksom over for den chat: Den var nemlig kun lagret som en kopieret text-fil og er et uddrag af en længere chat-samtale. Og som de to nævninge, der ikke mente Warg var skyldig, udtalte i kendelsen: “…der er usikkerhed forbundet med at anse det for bevist, at det var tiltalte Warg, der under navnet “My Evil Twin” deltog i chatten”. To nævninge mener begge, at der er rimelig tvivl om, hvorvidt Warg er skyldig. Fire mener det modsatte, og mens Gottfried Swartholm Warg stadig er fængslet i Danmark under skærpede forhold, er sagen nu anket til landsretten. Anklagemyndigheden var tilfreds. Der blev sat præcedens. Nogen blev dømt. Hårdt.

– Borgerne er også potentielt blevet berørt og er det måske stadig. Blandt andet har Warg haft adgang til kriminalregistret, der er blevet kompromitteret, og det er i sig selv en enorm skadevirkning. Vi ved jo ikke, om der er ændret i oplysninger og straffeattester, sagde anklager Maria Cingari efter domsafsigelsen. Havde hun havde taget sine egne ord alvorligt, burde hun briste i gråd, og vi andre, os, borgerne, kræve de ansvarliges hoved på et fad.
Hvad gør vi?

Ud over de nu dømte, hvem er så de ansvarlige, der har sendt hele den danske registerkultur, grundlaget for retssamfundet, forvaltningens DNA, på en virtuel dødsrute via Iran, Tyskland, Cambodia?

Er det CSC?
Ja, Center For Cybersikkerhed (CFCS) har faktisk tildelt selskabet en forsigtig kindhest: “… myndighederne skal være mere opmærksomme på at stille passende sikkerhedsmæssige krav til leverandørerne og følge løbende op på, at leverandørerne efterlever kravene,” skriver CFCS i en hemmelig rapport, som Politiken fik indsigt i.
Hvordan den kontrol skal udføres i forhold til et stort udenlandsk firma uden danske statsansatte inden for murene – og med et dybt underbudgetteret datatilsyn, der ikke har kompetencerne – har hidtil fået lov til at stå uforklaret.
Hvis nogen har tænkt sig at lære af CSC-sagen, går de meget stille med dørene. Der er ellers nok af gode spørgsmål at tage fat på.
Det første er, om det overhovedet er en god ide at have så mange følsomme data liggende på et sted. På samme maskine. Og med adgang til internettet.
Det andet er, om det er forsvarligt at have dem liggende hos kommercielle, udenlandske firmaer, hvis logs, opdateringsrutiner og soft- og hardware vi ikke har en kinamands chance for at kontrollere.
Det tredje spørgsmål er, hvornår nogen stikker den der pistol ind gennem hullerne i det virtuelle glas, vi gemmer samfundets mest kritiske data bag, og begynder at fyre løs på må og få, så vi endegyldigt mister muligheden for at vide, om det, der står tilbage, nu er sandt eller falsk, hvis røgen nogensinde lægger sig.
Politikerne har råbt op, men alt for forsigtigt, da de selv står bag udliciteringerne, ikke tør ændre kurs, absolut intet ved om it-sikkerhed og derfor er afhængige af dyrt betalte konsulenter fra andre, udenlandske, firmaer.
Men de tror åbenbart, i ramme alvor, at man kan true sig til sikkerhed med kontrakter. De påstår igen og igen, at det kun handler om mere regulering og jura, mens de samtidig skærer ned på Datatilsynets bevillinger. Og som aben cykler syngende rundt der mellem datatilsyn, ministerier, ordensmagt og CSC, er vi nogle, der tæller ned til næste gang, det sker: Den store, endegyldige ofring af borgernes følsomme data på det naive forvaltningssjuskeris alter, der hvor man fejrer en Gud, der naturligvis aldrig vil stille sig tilfreds med et par “it-interesserede” mænd, men som vil blive ved med at kræve ind, til vi alle sammen ligger der, uden sikker viden, endnu flere syvmileskridt inde i et tvangsdigitaliseret Danmark med knuste logfiler i hjertet.

ARTIKLEN ER TIDLIGERE BRAGT I PROSABLADET HER: https://www.prosa.dk/aktuelt/prosabladet/artikel/artikel/csc-mainframen-der-sladrede/?tx_prosamag_pi1%5Bpageid%5D=5978