NÅR INGEN LÆNGERE VED HVAD KLOKKEN ER

Anmeldelse: Edward Snowden: I Offentlighedens Tjeneste(Informations Forlag)


Af Anders Kjærulff, teknologikritiker og radiovært på AFLYTTET, radio24syv.



Jeg elsker Edward Snowden.
Jeg elsker ham, fordi han i 2013 flyttede sådan nogen privatlivsnørder som mig ud af den kiste, man normalt begraver konspirationsteoretikere og sølvpapirshatte i, og ud på torvet blandt rigtige mennesker, der stod vi så, ligepludselig, alle sammen og kunne med fuld ret sige: Hvad sagde vi? 
Det vi havde sagt siden ECHELON-sagen, var at USA overvågede og gemte stort set alt der foregik på elektronisk kommunikation, satellitter, telefax, internettet, at de havde adgang til hvad der passede dem og at de brugte de informationer til deres fordel. 
Og dengang i juni 2013, sad Edward Snowden så på The Guardians hjemmeside, på video fra sit hotelværelse i Hong Kong og formulerede det endnu skarpere end nogen af os nogensinde kunne have gjort det: Vi bliver overvåget og optaget alle sammen, vi sidder pænt på række i et nøglefærdigt tyranni, hvor det kun er den til enhver tid gældende politik, der afgør, om døren bliver åbnet – eller låst.
Det var i 2013, mine damer og herrer. Og nej, det er ikke blevet voldsomt meget bedre siden. Åh jo, vi har fået bedre værktøjer, https og nye, krypterede beskedtjenester som signal og protonmail, men overvågningskapitalisme er stadig nettets eneste forretningsmodel, techgiganterne lever af os og sælger os tilbage til os – og, ifølge Snowden, til efterretningstjenesterne. 
Hvert et klik og tastetryk gemmes og analyseres. 
Nothing to see here. Move on.
Her i Danmark er vi stadig ikke nået længere end til automatreaktionen: At ‘myndighederne her i landet ikke har noget grundlag for at antage, at der skulle foregå ulovlige amerikanske efterretningsaktiviteter rettet mod Danmark eller danske interesser,’, en sætning som Helle Thorning Schmidt, Karen Hækkerup og Nikolaj Vammen gentog i en uendelighed dengang i 2013, mens beviserne på det modsatte haglede ned over dem, og os der hørte på hvad de sagde blev klar over, at det man skulle bide mærke i her, var ordene ‘ANTAGE’ og ‘ULOVLIG’. 
Nogen dybere undersøgelse af USAs forbindelser til danske netværk og ikke mindst danske efterretningstjenester blev det som bekendt ikke engang til – omend Tilsynet med Efterretningstjenesterne, TET, klart fortæller i deres rapporter, at der naturligvis deles ‘rådata’, med ‘udenlandske samarbejdspartnere’.


Jeg elsker Edward Snowden, og det er jeg ikke den eneste, der gør.
Det er også virkelig svært at gøre andet. Snowden er rolig, velovervejet og blid, han taler aldrig grimt om enkeltmennesker og han beskæftiger sig med det, vi alle sammen burde tænke over hver dag: Vores rettigheder, statens og især USAs urimelige hang til kontrol af borgere over hele verden og hvad det gør ved forholdet mellem stat og mennesker.
Jeg elsker Edward Snowden fordi han, om nogen, har sat ord og beviser på ting, jeg selv har gået og sagt, men ikke nær så godt som ham. Han er min generations største og vigtigste whistleblower, og har som bekendt betalt prisen – dømt til udlændighed i Moskva, langt væk fra det USA, han tydeligvis stadig elsker og savner og hele tiden bejler til, det USA han ikke kan forstå ikke ser det, han har gjort som en god amerikansk-sindet frihedshandling, et forsøg på at holde forfatningen i form, og et ønske om at USA stadig kunne være det, det kalder sig: Land of the Free, Home of the Brave.


Edward Snowden er også den mand, jeg nok aldrig får et interview med, pakket ind i eksklusivaftaler og advokater og foreninger som han er nu, og han er samtidig den mand, jeg har talt mest om, i mit radioprogram ‘Aflyttet’. Jeg har mødt andre Whistleblowere, jeg har talt med William Binney, jeg har talt med Thomas Drake og jeg har sågar interviewet Laura Poitras, kvinden, der lavede filmen, ‘CitizenFour’ om Snowden og som var helt instrumentel i, at han turde træde frem. 
Men ikke manden selv. 
Efter at have læst hans selvbiografi, på dansk ‘I Offentlighedens Tjeneste’, med den noget mere rammende amerikanske titel ‘Permanent Record’, tænker jeg, at det måske ikke gør så meget? 
Siden 2013 har han alligevel antaget virtuel karakter, han taler og taler verden over via web-kamera og en avanceret robot, der giver ham det, man kalder ‘teleprecence’, blandt andet på Roskildefestivalen i 2016, hvor de også elskede Edward Snowden, de fleste uden at forstå hvorfor. Roskilde Festvalen selv har i år bestemt sig til at gå kontantløst og indføre chip-armbånd til gæsterne. Det tror jeg Snowden ville synes var en rigtig dårlig ide. 
Når hans plan om at kopiere en masse data fra sin arbejdsgiver, NSA og give dem til pressen, lykkes, skyldes det blandt andet, at han brugte sine ikke sporbare kontanter til at købe sin fly-billet til Hong Kong.
Snowden ved at alle kreditkorttransaktioner bliver sporet og gemt.


Når Snowden er vor tids helt, er det fordi han tager virkeligheden alvorligt. Den virkelige virkelighed. Fordi han helt uironisk har fortalt os, hvad han vidste, og hvad det betyder. 
Selv om der er enkelte nye informationer, skal man ikke forvente nye afslørringer i ‘I offentlighedens tjeneste’, Snowden er som bekendt ude af efterretningsverdenen, bogen er snarere et politisk manifest for frihed og demokrati. 
Snowden som menneske virker egentlig ikke som noget særligt, han er, logisk nok, meget privat, tydeligvis højt begavet, opfatter sig selv som hacker, han lod sig rive med ovenpå 11. September, meldte sig til hæren, klarede ikke de fysiske optagelsesprøver til den enhed han ville ind i og fortsatte istedet bag computerne, hos CIA og NSA som SystemAdministrator med højeste sikkerhedsgodkendelse og adgang til alt, han har en kæreste, Lindsay, som han holder meget af, han drikker ikke(overhovedet!), han har aldrig røget og slet ikke inhaleret noget som helst, han elsker sine forældre og sine søskende og rigtig ind under huden på ham kommer man ikke. 
Måske fordi der ikke er mere, end en nysgerrig dreng, der vokser op med et internet, der dengang godt kunne ligne frihed og virkelig globalisering, men som meget hurtigt viser sig at være et middel til kontrol, udnyttelse og overvågning, masseovervågning.

Så når ‘I Offentlighedens Tjeneste’ faktisk er en yderst læsværdig bog, så er det altså ikke på grund af mennesket Edward Snowden, men fordi det system, han selv var en del af, fortæller os noget om hvem vi er blevet til – og hvor vi er på vej hen, hvis vi ikke øjeblikkeligt får slået øjnene op. 


“Friheden i et land kan kun måles på dets respekt for borgernes rettigheder, og det er min overbevising, at disse rettigheder reelt består af at begrænse statsmagten med helt præcise regler for hvor og hvornår en stat må bevæge sig ind på det personlige eller individuelle råderum, som på den amerikanske revolutions tid blev kaldt *Frihed’ og i internetrevolutionens tid bliver kaldt ‘Privatliv’”
Edward Snowden, *I Offentlighedens Tjeneste*

Snowden er hacker. Han hacker sin sengetid som lille dreng, ved at stille alle urene tilbage i hele huset, det giver ham to timer mere og han nyder aftenen, vægtløst lykkelig og falder i søvn og vågner næste morgen ved, at hans far har stillet alle urene tilbage til normaltid, efter at have set på sit armbåndsur. 
Som Snowden tørt konstaterer – i dag ved vi ikke engang hvad klokken er? Den tid, du har på din smartphone, er netværksbaseret og kan i princippet manipuleres.
Tiden er i netværket.
Tiden er ude af kontrol. 
Eller rettere: Det er ikke længere os selv, der stiller urene,.

Edward Snowden bryder sig ikke om uddannelsesinstitutioner, og har brugt det meste af sin tid til at komme udenom dem, han hacker sit skoleskema, så han ikke behøver møde i skolen men kan sidde hjemme foran computeren, hans uddannelse er internettet. 
Det gamle internet, hvor information var fri og ingen vidste, at man i virkeligheden var en hund eller kun 12 år gammel. . 
Han er på, fra han var ganske ung. Da han er 12 år, skriver han med fremmende menesker – om tekniske emmer – og alle behandler ham som en voksen og hjælper, siger han. 
Alle er anonyme. Det er en god ting, siger Snowden. Sårer nogen een, kan man genstarte sig selv med en ny personlighed, som i DOOM eller et af de andre vintage-computerspil, Snowden ligesom mange af os andre er skabt af, og som trækker sit eget, indforståede narrativ gennem bogen. 
Han forsvarer stadig TOR-netværket, onion-browsing, hvor man er anonym hele tiden. 
*For mit eget vedkommende formåede Tor at ændre mit liv og bringe mig tilbage til min barndoms internet ved at tilbyde mig blot en svag smagsprøve på friheden fra at blive iagttaget’, skriver han. 
Og iagttagelsen, overvågningen, er aldrig holdt op: NSAs og CIAs mål er at kunne gemme alt om alle – vi er på ‘permanent record’, og noget vi har skrevet for ti år siden på nettet kan komme tilbage nu eller i morgen og blive brugt imod os, efterretningstjenesterne er ‘det altid vågne øre og det altid vågne øje, en søvnløs og permanent hukommelse’, og giver staten muligheden for at ‘udvælge sig en bestemt person eller gruppe som syndebuk og derefter begynde at søge – som jeg selv havde gjort i tjenestens arkiver- efter beviser på en passende forbrydelse’, skriver Snowden, og konstaterer samtidig, på baggrund af sine erfaringer fra indersiden af det vågne øje, at alle mennesker ser porno og alle lagrer billeder af sig selv og deres familier. 
Tiden er ude af vores hænder. Den kan spoles tilbage.
Og værre endnu: Tiden begynder i din browser. Og er ‘malware on demand’: Via NSAs TURBULENCE-program checkes alle de hjemmesider vi går ind på for interessante informationer, skriver Snowden: ‘Helt konkret passerer din anmodning gennem nogen sorte servere placeret ovenpå hinanden, tilsammen på størrelse med en bogreol med fire hylder. De er installeret i særlige lokaler i større private telekommunikationsbygninger overalt i såvel allierede lande som på amerikanske ambassader og amerikanske militærbaser…’ – inde i de sorte servere passerer din indtastede webadresse programmet TURMOIL, der laver en kopi af hvad du søger plus oplysninger om dig og din computer, det er ‘kun’ ‘metadata’ men hvis TURMOILs algoritmer synes, din trafik er interessant, sendes den videre til TURBINE, der sender din trafik tilbage til dig, inklusive en række malware-programmer, der inficerer din maskine, uset, som små, digitale rovfisk.
‘Når først rovfisken er kommet ind i din computer, kan NSA få adgang til ikke blot dine metadata, men også dine data. Hele dit digitale liv er nu deres’.

Jeg elsker Edward Snowden. Men kan vi stole på ham?

Snowden er hacker, ja, men han er også spion, uddannet i faget hos CIA, og lige fra barnsben af står han i sit træhus og lurer på sine forældre, først på sin far, der spiller på sin Commodore 64, senere på hele verden, bag sin computerskærm. 
Spioner er mennesker med en hemmelig agenda, de holder skjult for andre. De er omvandrende virkelighedsforvrængning, de er terror, som James Joyce definerede den: ‘Terror is the feeling which arrests the mind in the presence of whatsoever is grave and constant in human sufferings and unites it with the secret cause’. 
I Snowdens tilfælde, er hans knap så hemmelige sag, at afsløre et urimeligt og krænkende system, for at lave det om. Men bogen er også på mange måder også en udstrakt hånd til det Amerika, der siger han er en forræder og til det efterretningsmiljø, der mener han burde sidde i en celle resten af sit liv. 
I bogen drypper han metodisk informationer om, hvordan han krypterede de stjålne efterretnings-dokumenter, så ingen andre end han, kunne få adgang, og hvordan han, før afgangen fra Hong Kong mod Ecuador, det egentlige mål for asyl, bevidst destruerer sine egne koder og laptops, så han ikke længere selv har adgang til de dokumenter, han tidligere har overgivet til journalister. 
Hans pas annulleres, belejligt(?) af USA, netop som han er nået til Rusland og han sidder fast der. 
Ved sit møde med den russiske efterretningstjeneste FSB i lufthavnen i Moskva, nægter han pure at samarbejde, støttet af sin advokat, Sarah Harrison, som Julian Assange fra WikiLeaks har sendt ham, og bogens og Snowdens påstand er, at russerne så simpelthen giver op, og lader ham blive, fordi hans ophold i lufthavnen er for pinligt og besværligt. 
Det lyder rigtigt og sandt i bogen. 
Men der er mange, der ikke tror på den. FSB er nogen hårde hunde og det er ganske svært at forestille sig, at de villle stille sig tilfredse med at have ham boende, uden at få noget igen? 
Jeg tror på Snowden. Det vil jeg helst. 
For hvis Snowden spiller dobbeltspil, og det er Putin og Oliver Stone og de andre overløbere, der sidder inde i ham og bruger ham som handskedukke, så er vi alle sammen på den, mere end vi på nogen måde kan forestille os.


I en verden af skæg og blå briller, er det efter min mening ikke usandsynligt, at netop russerne måske har forestillet sig, at de enten kunne få informationer ud af ham ved at overvåge ham, eller at det simple faktum, at de har givet ham asyl og nu statsborgerskab, i sig selv er en fuckfinger til USA, der er stor nok til, at man kan leve med en idealist, der efter NSA, CIAs og FBIs officielle udmeldinger, har ‘skadet’ efterretningsarbejdet i meget lang tid frem. 
Det sidste er der ingen tvivl om – indsigt i USAs metoder og kapaciteter KAN bruges af ‘fjenden’, den anonyme, evige terrorist fra den endeløse krig mod terror, det IRL-computerspil, der startede i 2001 og som ingen har kunnet finde en vej ud af siden. Men den kan også bruges af os borgere, til at få mere gennemsigtighed og mere kontrol med dem, der kontrollerer os.



Så lad os komme videre – ind i kærligheden, tilliden og en fremtid, hvor det enkelte menneske stadig er frit, og hvor vi ikke lagrer data om hinanden uden at spørge først. 
Hvor urene igen kommer til at gå rigtigt. 
Fordi vi ved hvad klokken er slået. 




Dette er originaludgaven af anmeldelse bragt i information, 17.9, 2019 – med anden overskrift – se den HER


LINKS: Interview med Whistleblower William Binney om STELLARWIND: https://soundcloud.com/garagen/bill-binney-stasi-on-steroids

Laura Poitras, instruktør af CITIZENFOUR: https://soundcloud.com/garagen/laura-poitras-director-of


Interview med THomas Drake: https://www.24syv.dk/programmer/aflyttet/8998595/de-digitale-unge-databaestet-nsa-og-nyt-om

FMSØNDAG1505: AFLYTTET AFLYTTER FORSVARETS EFTERRETNINGSTJENESTE

bemærk båndoptager ved siden af mikrofon
Vi er blevet inviteret til 50 års jubilæum hos FE og har aflyttet statsminister og forsvarsminister – efter aftale – vi har talt med en analytiker om FEs historie og vi har fået et interview med Lars Findsen, chef for FE.
DAGENS LINKS: FE JUBILÆUMSSKRIFT DOWNLOAD: https://fe-ddis.dk/…/nyhe…/2017/Pages/FEfejrerjubilaeum.aspx
FORBYD SELVTÆNKENDE DRÆBERDRONER: http://autonomousweapons.org/slaughterbots/

Edward vs Edward: Snowdens motiver genbesøgt

Edward Snowden har siden 2013 måttet lægge ryg til ikke så få beskyldninger om forrædderi, spionage og slet skjulte motiver til at afsløre omfanget og karakteren af NSAs verdensomspændende overvågning.
Nu er Edward igen i søgelyset fra en anden Edward, Edward Jay Epstein, en respekteret journalist med en ny bog på vej – ‘How America lost its secrets: : Edward Snowden, the Man and the Theft’, der udkommer om en uges tid.
Fra Edward J. Epsteins hjemmeside http://edwardjayepstein.com/
Men allerede før den er på gaden, er Epstein i seriøs bad standing blandt privacy-folket og Snowdens støtter: Han skrev nemlig en artikel i Wall Street Journal og den fik folk på stikkerne.
Den hed ‘The Fable of Edward Snowden’ og her beskylder Epstein Snowden for at lyve stærkere end en hest kan rende. Han baserer blandt andet sine påstande på en ny deklassificeret rapport fra et kongres-udvalg, der har undersøgt Snowden sagen – link til den her: http://intelligence.house.gov/uploadedfiles/hpsci_snowden_review_declassified.pdf

Derudover har Epstein besøgt Rusland to gange – og talt med tidligere KGB-agenter og med Snowdens advokat.
Han har også forsøgt at få Snowden selv i tale – men fik nej.
Edward Jay Epstein mener, at Snowden har løjet om følgende emmer:
1. Har har ‘stjålet’ langt flere dokumenter, end han og journalisterne bag ham siger(1.5 millioner)
2. Han har haft kontakt til Rusland, mens han ventede i Hong Kong.
3. Han slap ud af Hong Kong på mystisk vis og måske var endemålet Moskva fra begyndelsen?
4. Han har afleveret vigtig og yderst sensitiv information til Rusland, selvom han siger det modsatte.
Epstein kalder altså Snowden for en tyv, en overløber og en løgner.
Det har givet en række modsvar på nettet, blandt andet af sikkerhedsekspert Robert Graham, der ellers ikke bryder sig meget om Snowden i det hele taget – http://blog.erratasec.com/2016/12/your-absurd-story-doesnt-make-me.html?m=1
‘I am no Snowden apologist. Most of my blogposts regarding Snowden have gone the other way, criticizing the way those like The Intercept distort Snowden disclosures in an anti-NSA/anti-USA manner. In areas of my experience (network stuff), I’ve blogged showing that those reporting on Snowden are clearly technically deficient.
But in this post, I show how Edward Epstein is clearly biased/untrustworthy, and how he adjusts the facts into a character attack on Snowden. I’ve documented it in a clear way that you can easily refute if I’m not correct. This is not because I’m a biased toward Snowden, but because I’m biased toward the truth’, skriver Graham, og gennemhuller det meste af Epstiens Snowden kritik.
Herhjemme var Information på banenhttps://www.information.dk/udland/2017/01/nye-udokumenterede-anklager-snowden-spion-rusland -
‘Beskyldningerne om, at Edward Snowden har fungeret som spion for Rusland, har fået nyt liv efter blandt andet afklassificeringen af en efterretningsrapport. Men der er stadig ikke noget, der for alvor peger på, at det er sandt’, skrev de.
Og så var der Peter Kofod, der gik mere radikalt tilværks i en kommentar på medium, hvor han gik direkte efter Berlingske Tidende, der havde refereret Epsteins artikel under overskriften: ‘Var Snowden en simpel spion for KGB?’
https://medium.com/@peterkofod/snowden-berlingske-kgb-fake-news-b2119c1205fa#.3xnh5b6t4

På aflyttet tror vi på, at høre ALLE sider af en sag. Derfor skrev vi direkte til Epstein og bad ham om at give os sin version – det blev til et 37 minutters interview, der helt uredigeret(og med masser af dumme spørgsmål fra Anders Kjærulff og en irriterende lyd af en e-cigarret i venstre kanal) kan høres HER:



EKSTRA: Aflyttet har før talt med Jay Epstein – sidst var det om Dominique Strauss Kahn skandalen, som Epstein mener er et komplot – den kan genhøres her:

NOTER fra tale til Rådet for Digital Sikkerheds generalforsamling 2016

Skyen bor i virkeligheden i en lille computer. Med en enkelt ledning. Som nogen måske kunne træde på? Men hvem ville da gøre det? (fra xkcd)

Allerførst: Opgaven lød på at sige noget provokerende om sikkerhed og digitalisering.
Det falder mig ikke svært.

Jeg har ikke som sådan noget imod ny teknologi eller måder man kan bruge den på. 
Jeg har til gengæld meget imod fantasiløs, desperat og farlig brug af ny teknologi.
 Jeg mener, vi i fremskridtet og digitaliseringens navn er i gang med at reducere og varegøre mennesker, at vi laves om til noder på et netværk, til leverandører af data vi ovenikøbet selv er ansvarlige for at få tastet korrekt ind på maskiner, vi selv skal vedligeholde og opdatere. 
Det er ikke frivilligt. Vi har indført ‘obligatorisk digital post’ – ved lov. Børn får det automatisk når de er 15. Ingen kan fungere uden det. Og samtidig er sikkerhed blevet vores problem – ikke statens, ikke de, der udbyder tjenesterne og som tilgengæld for en tvivlsom tjeneste flår os for personlige og private data. Big data.
Jeg mener, at Big Data er luskeri! Man snyder data ud af folk uden at spørge dem og benytter sig gerne af samme metoder som efterretningstjenester eller politi.
Og jeg mener, at Big Data er lusk og løgn. 
Jeg stiller spørgsmålstegn ved, om der overhovedet kommer vækst ud af Big Data – eller om det bare ender med mere overvågning – igen!
Jeg mener også at forretningsmodellen på det nuværende internet, hvor vi bytter personlig og privat information for adgang til tjenester, er bimlende vanvittig og vil dø…
Og nej, jeg mener IKKE man behøver komme med et alternativ for at påpege, at der er noget rivende galt!

Fra MITs forsøg med Sølvpapirshatte – de virker ikke, forstærker snarere signaler….

Hvem er jeg, der råber sådan op?
Jeg er journalist, tror jeg nok, og lidt digter og radiovært.
Jeg har gennem mange år beskæftiget mig med ‘privacy’. Det er et engelsk ord og defineres sådan her:

pri•va•cy (prīˈvə-sē)►
n.
The quality or condition of being secluded from the presence or view of others.
(retten til at rulle gardinet for)

The state of being free from unsanctioned intrusion: a person’s right to privacy.
(retten til at være fri for uinviterede gæster – at kunne være i fred)

The state of being concealed; secrecy.
(Retten til at være anonym)

Retten til at være anonym på internettet er grundlæggende. Den har været der fra starten men er nu under konstant angreb. 
Værre endnu. Den bruges i undskyldninger for at misbruge oplysninger: Den såkaldte ‘anonymisering’ af data. 
Der er bunker af såvel praktiske som matematiske beviser på, at noget sådant, en anonymisering af private data, ikke er muligt: Man vil altid kunne finde personen bag. Punktum. 

Og vi bliver holdt øje med: 
Logningsbekendtgørelsen kræver af teleselskaberne at de i et år skal gemme:
hvem du ringer til og hvem der ringer til dig
hvor du er imens
hvem du smser til og hvem der smser til dig
hvor du er imens
Hver gang du sender en email
og til hvem
Hvad emmet er
Hvor du er imens

…det er den lovmæssige del af det. Men det som private firmaer gemmer – og som de iøvrigt har vist sig særdeles villige til at sælge/dele med stater rundt omkring bagefter – er langt mere omfattende og vi ved det egentligt godt: Alene det, at Google ved hver eneste søgning gemmer: Hvad du søger på, hvilke resultater du får og HVAD du klikker på, burde få os til at løbe skrigende ud på en mark udenfor WIFI-rækkevidde og blive siddende der, helt stille, mens vi samlede os selv igen….

rejsekortet – gemmer al din bevægelse i fem år…

Fri uovervåget bevægelighed i Danmark er ikke længere muligt. 
Med rejsekortet gemmes alle rejser på CPR-nr-niveau i fem år – man siger det er regnskabsloven, der kræver det, men der er også store planer om at luske data ud af rejsende. Til forskning, siges det, som sædvanlig, og som sædvanlig er der ikke nogen, der stiller spørgsmålet: Mon ikke man kunne have fået de samme data, hvis man havde spurgt os? Spurgt os pænt?
Samtidig overvåges vi algoritmisk: Afviger vi fra normalt rejsemønster, regnes det for mistænkeligt. Sker det for tit kan rejsekortet indrages i et år.
I USA anvendes algorimisk overvågning på hele bydele. Borgere får besøg af politi, hvor de får at vide, at ordensmagten holder øje med dem. Fordi de VED hvad de er ude på….
PreCrime kaldes det i ScienceFiction – nu er det virkeligt.

ANPG-kameraer gemmer din nummerplade og hvor du var – hvor længe er ret svært at finde ud af – men mindst 24 timer – de her i mindst seks måneder!

Mens dette skrives er der fire fungerende visitationszoner i Danmark – To steder i Helsingør, i Hillerød og i Kokkedal kan politiet standse dig og visitere dig uden nogen mistanke, og uden at det skal begrundes. 

Og så er der ANPG, Automatisk Nummerplade Genkendelses kameraer, der både sidder på patruljevogne og som stationære kameraer over det meste af Danmark. Passerer man en patruljevogn med ANPG-kamera, gemmes ens position og tidspunktet. 
Det svarer til, at der står en politimand og tager noter, hver gang du starter din bil og hver gang du parkerer den. 
Kameraerne på bilerne gemmes oplysningerne i 24 timer – med mindre man er under ‘særlig overvågning’ eller efterlyst eller en hel del andre ting, der medfører, at man kan gemme endnu længere. 
De faste kameraer gemmer oplysningerne i seks måneder, da de angiveligt er til for at opklare grænseoverskridende kriminalitet…..

Overvågningssoftware på speed: Alle ansigter køres op mod databaser fra facebook og google – til man er genkendt.

Og det er kun begyndelsen: I Linz, Østrig, til Ars Electronica fastivalen i 2013, filmede man publikum og blæste billedet op på storskærm. Arrangørerne viste et egentlig ret uskyldigt rødt sigtekorn ovenpå billedet af os, det skiftede til grønt, når det fandt et ansigt. 
Det var ubehageligt for publikum. Flere vendte sig væk. Dukkede sig.
Men der foregik langt mere. Som ikke kunne vises. Bystyret og politiet havde nedlagt forbud mod(under trussel om fængselsstraf), at man viste de hits, som den israelske software finder automatisk ved at køre publikums ansigter op mod billeddata fra f.eks. facebook og google.
Men der var hits i over 60 procent af tilfældende. 
Og Israel bruger softwaren allerede i dag.
På den måde kan man følges rundt, fra kamera til kamara…CCTV inside.

Søren Pind: Luk hjemmesider, indsæt digtale påvirkningsagenter!

I dag kæmpes der også på de sociale medier. Grundlovsdag 2016 gik Justitsminister Søren Pind til Jylland Posten og talte varmt for lukning af hjemmesider uden dommerkendelse. Og for, at man skulle indsætte ‘digitale påvirkningsagenter’ på de sociale medier.
Det er ikke kun i Danmark det sker. Det er hele verden. Og vi er globale. Eller rettere:
Danmark er en by i USA. Vi bor der. Digitalt.
KMD – kommunedata hed det engang – er i dag ejet af den transglobale, amerikanske pengetank Advent International og de skal nu stå for alt IT-indkøb til staten og for den centrale DATAFORDELER. Nets blev købt af McBain og Advent International og sidder på kreditkort og pengeoverførsler i hele DK. Computer Science Coorperation CSC står sammen med IBM for resten af infrastrukturen til Folketing, CPR, SKAT og Politi.
Digitaliseringen af Danmark minder forbløffende meget om en amerikansk besættelse….

grunddataprogrammet i fordeleren

Og borgerne, vi er data. Grunddata. Til salg. 
STYRELSEN FOR DATAFORSYNING OG EFFEKTIVISERING skriver: 
‘Det kan omfatte videreudviklingen af data, der kan blive autoritative og derved muliggør straksafgørelser og lettere sagsbehandling. Det kan også omfatte sammenkædning af endnu flere registre til fælles fordele i den offentlige og private sektor.“
Kort sagt: Vi er i spil. Og til salg.
Vi er midt i en total ombygning af vores samfund: Forvaltningen går fra et sundt princip om, at forsøge at undgå at samkøre registre, af hensyn til borgerne, til det totalt modsatte: At samkøre alle registre af hensyn til staten.
Alle data samles ET sted og fordeles via ‘den centrale datafordeler’ – målet er angiveligt ‘digital velfærd’ – men er også et glimrende eksempel på det man kalder ‘single point of failure’-principper: Vi samler alle data et sted, som Joachim Von Ands penge tank – så ved alle bjørnebanderne fra hele verden hvor de skal angribe/hacke…
Men det er for sent nu. Nu er selve landet og borgerne her blot ‘grunddata’, der skal arbejde for staten og virksomhederne. Vi diskuterer det ikke. Det sker bare.
Går det godt? Jeg tvivler.

Mere om DIGITAL VELFÆRD HER

Google har fået adgang til patientjournaler i England for penge….man arbejder hårdt på lignende tiltag her i landet

Lad os tage et par scenarier for fremtiden for digitaliseringen af Danmark:
1: Det hele går fremragende. Vi bliver rige. Systemerne virker!
Eller:
2: Samtlige data fra datafordeleren hackes/korrumperes
Eller:
3: Udenlandske firmaer hugger alle data – Danmark mister konkurrencefordele.
Eller:
4: Terrorister hugger alle data – og ødelægger dem.
Eller:
5: Kritisk Infrastruktur bryder endegyldigt samme da vi ikke har nogen analog backup.
Eller:
6: Pengesystemet ødelægges af mangel på tillid – og da vi ikke længere har kontanter opstår der panik.
7: Borgerne mister tilliden til staten – totalt.
OG:
8: Oprør, fakler og høtyve?

aktivist Torben Andersen igang med at smadre ANPG-kameraer med en hammer…

Usandsynligt? NEJ!
Tænk på CSC-sagen!
Den begynder i februar 2012. Nogen forsøger at logge ind på en ukrypteret FTP-server tilknyttet CSC’s IBM-mainframe. Men ingen er kommet ind. Endnu. Og ingen alarmer er gået hos CSC.
Den 7. april, 2012 trænger nogen så helt ind, angiveligt via en såkaldt zeroday-sårbarhed. Dagen efter overføres et script til CSC’s mainframe, og nu har indtrængerne administratorrettigheder. Den adgang bliver brugt til at lave tre bagdøre i systemet og sætte gang i en massiv kopiering og overførsel af data fra CSC’s systemer.
Der er downloadet filer og datasæt fra CPR-registeret, politiet, kriminalregisteret, kørekortregisteret og Schengen-informationssystemet. Det er de mest følsomme data, vi overhovedet har.
De data passerer gennem servere i Cambodia, Tyskland og Iran. Den sidste “uberettigede aktivitet” sker den 28. august!
De mest højlydte advarsler kommer fra svensk politi i juni 2012. De gentager dem tre gange mere i det efterår. Ingen lytter.
Samtidig, i juni 2012, undlader CSC og Rigspolitiet at reagere på en stærkt kritisk revisionsrapport fra Deloitte.
Svensk politi anholder Gottfried Swartholm Warg i Cambodia i august 2012. Hans computere er fyldt med data fra CSC’s servere og indeholder et program, der kan simulere en mainframe magen til den, CSC bruger. Det svenske politi ringer til Danmark igen.
I februar 2013 underretter dansk politi CSC om indbruddet. CSC får først lukket den sidste smækkende bagdør 6. marts 2013 – angiveligt for ikke at forstyrre kunderne på systemet for meget.

Det største hack du aldrig har hørt om: Office of Personel Management – personalekontoret for den amerikanske stat – 21,5 millioner profiler, inklusive fingeraftryk og sikkerhedsgodkendelser hacket og forsvundet….

Det amerikansk ejede firma CSC er en af den danske stats største it-leverandører. CSC har siden maj 2001 stået for al it i Folketinget og stort set alle andre funktioner i det offentlige Danmark. Det kan undre, at et så betroet firma ikke har haft bedre sikkerhed, men det har hidtil ikke været sagens kerne: Medier og myndigheder har endnu en gang valgt at fokusere på symptomerne; i dette tilfælde den meget dygtige Warg og den dansker, han har været perifert i kontakt med via en chat.
Data fra CPR-registeret, politiet, kriminalregisteret, kørekortregisteret og Schengen-informationssystemet er kopieret. 
De er angiveligt ikke misbrugt. Endnu.
Ingen ved hvor de kan være havnet. 
Og ingen ved, om data hos CSC allerede ER manipulerede. 
Om vi er det? Om du nu står i kriminalregistreret for en andens forbrydelse, at du nu er ‘kendt af politiet’, selvom du aldrig har gjort noget?

Lad mig til sidst slå tre, helt uimodsigelige ting helt fast:
Alt der er digitalt kan manipuleres
Alle data, der har værdi eller kan omsættes til værdi, bliver hacket før eller siden
DER FINDES IKKE ABSOLUT DATASIKKERHED
 OG DET KOMMER DER ALDRIG!
DIGITAL OG SIKKERHED ER MODSÆTNINGER

Hvad skal vi SÅ gøre?
Jeg foreslår: En NY Forretningsmodel på nettet, hvor ting koster det, de gør=slut med frivillig overvågning
(Gen)Opbygning af infrastruktur hvor vi beholder analoge systemer – enten som backup eller simpelthen som selve løsningen
.
Drop dårlige IOT-løsninger med lav sikkerhed(scada)
Bevar kontanter!
Adskil registre igen!
REEL COST-BENEFIT ANALYSE AF DIGITALISERINGEN! NU! Har det egentlig givet penge? Finansministeren siger 2.8 milliarder – på 15 år – men hvor er beregningerne?
Og så – ikke mindst:
SPØRG BORGERNE FØR DER LOGGES DATA
!
GEM SÅ LIDT DATA SOM MULIGT – JO MINDRE DER GEMMES, DES MINDRE RISIKO FOR MISBRUG.
DROP TELEFON- OG DATA-FETISCHISME – at noget er digitalt eller kan gøres på en iPhone gør det altså ikke automatisk til noget godt. Vel? Vågn op og løft hovedet fra din fjernbetjening i lommen – verden udenfor forfalder.
DET OFFENTLIGE UD AF FACEBOOK – ved at flytte sagsbehandling og information over på Facebook understøtter staten(og diverse public service-tv/radiostationer) et system hvor borgerne tvinges til at aflevere data til kommercielle firmaer for at blive betjent. Stop jer selv! Det er SYGT!

TÆNK OVER, HVORDAN VI FÅR DANSKERNE VÆK FRA SKÆRMEN – IKKE HEN FORAN DEN!

Engang var det sjovt at være på nettet. Det handlede om at dele, lære af hinanden, skabe, spille, kommunikere, menneske til menneske.
I dag har vi skabt et registreringshelvede, en overvågningsstat, vi alle sammen tvinges til at bo i, mens resten gik under.
Det behøver ikke være sådan.
Hvis vi vil noget andet, så kan vi gøre det. Men det skal være nu. Inden det er for sent og vi er blevet gennemsigtige mennesker, spændt fast foran en skærm, evigt optaget af at administrere os selv i digitaliseringsgudens hellige navn.

København 21.06-2016

Gæsteindlæg: Krypter dig og dine venner, pas på hinanden. God stil.

En guide til at tale krypteret på Facebook ved Jakob Wolffhechel, sikkerhedekspert.

START
Download, installer og konfigurer pidgin, pidgin-otr og purple-facebook.

Pidgin er chat-klienten, den kan hentes her:

* https://www.pidgin.im/download/

Download og installer den. Lad være med at starte den op endnu.

Pidgin-OTR er krypteringslaget, det kan hentes her:

* https://otr.cypherpunks.ca/index.php#downloads

Download og installer pidgin-OTR. Lad være med at starte Pidgin endnu.

Purple-Facebook er protokollen, du kan læse mere her:

* https://github.com/jgeboski/purple-facebook/wiki

Instruktioner til Debian/Ubuntu:

* https://jgeboski.github.io/#package-repositories

Instruktioner til Windows:

* https://github.com/jgeboski/purple-facebook/wiki/Installing-on-Windows

Instruktioner til OSX:

* https://gist.github.com/cyphunk/5048773

Nu har du installeret en chatklient med et krypteringsplugin og en ekstra protokol som kan tale FB. Du kan også bruge Pidgin og OTR til andre protokoller.

Du er ikke begrænset til Facebook; Google Talk, irc og XMPP er nogle af de andre meget benyttede protokoller. Nu skal du installere den ting, der gør, at man kan logge ind i Facebook-chatdelen med Pidgin.

Konfiguration af Pidgin, OTR, Purple-FB

Start Pidgin op.

Hvis det er første gang du bruger din Pidgin, så viser den dig et vindue, hvor du kan tilføje konti. Tryk på Add/tilføj

Du får nu et vindue op, hvori du skal vælge protokol og skrive dine konto-ting ind (brugernavn/adgangskode f.eks). Der er tre faneblade øverst, sørg for at være på det første faneblad

Du skal først vælge protokol. Det er vigtigt du vælger Facebook og ikke Facebook (XMPP). Facebook er den nye protokol vi har kopieret ind i Pidgin.

Username er dit brugernavn hos Facebook. Det finder du ved at logge ind på Facebook, gå ind i opsætning/setup og så kan du se dit brugernavn/username.

Kodeord er det samme som du bruger til at logge ind på Facebook gennem browser, app osv.

Du bliver derefter forbundet til Facebooks chatnetværk, og du vil kunne se dine online venner. Skynd dig at få dem til at installere kryptering, så I kan tale sammen privat.

Det er god stil!

Facebook for NSA: Kunne ThinThread have afværget 911?

Mød William Binney, aktuel i filmen ‘A good American’NSA-whistleblower, og skaberen af ThinThread, NSAs system til at finde frem til forbrydere gennem massive mængder af information…
I Binneys udgave var der indbyggede privatlivsbeskyttelse for de uskyldige. Men først blev ThinThread lukket og forsøgt overtaget af ‘Trailblazer’, der aldrig kom til at køre.
NU, i dag, kører de grundliggende dele af ThinThread igen – uden beskyttelse af nogen som helst – en slags STASI på Steroider, som Binney selv kalder det….
Fakta er, at ThinThread laver såkaldte ‘Sociale Grafer’ på alle, der bruger internet eller mobiltelefoner. Det minder en del om Facebook – og data fra netop Facebook er højt elskede af FBI og NSA, siger altså Binney….

FLASHBACK ECHELON: Rapporterne der blev glemt

I 1999 afleverede journalisten Duncan Campell en rapport til ‘Director General for Research of the European Parliament
(Scientific and Technical Options Assessment programme office)’ om overvågning af EU og riskoen for økonomisk spionage.
Den var første skud i en længere undersøgelse og vakte opsigt dengang – men blev, ligesom meget andet, glemt igen i september 2001, da 911 kom. Her er dens hovedkonklusioner:

  • Comprehensive systems exist to access, intercept and process every important modern form of communications, with few exceptions (section 2, technical annexe);
  • Contrary to reports in the press, effective “word spotting” search systems automatically to select telephone calls of intelligence interest are not yet available, despite 30 years of research. However, speaker recognition systems – in effect, “voiceprints” – have been developed and are deployed to recognise the speech of targeted individuals making international telephone calls;
  • Recent diplomatic initiatives by the United States government seeking European agreement to the “key escrow” system of cryptography masked intelligence collection requirements, and formed part of a long-term program which has undermined and continues to undermine the communications privacy of non-US nationals, including European governments, companies and citizens;
  • There is wide-ranging evidence indicating that major governments are routinely utilising communications intelligence to provide commercial advantage to companies and trade.

Læs det hele her: http://fas.org/irp/eprint/ic2000/ic2000.htm#Summary

Et ECHELON-UDVALG med parlamentarikeren Gerhard Scmidt i spidsen, kom med en række anbefalinger til EU-landene i løbet af 2001 – de vigtigste var:
1. Kraftig opfordring til regeringerne om at gå over til Open Source Software!
2. Indførsel og opfordring til brug at stærk kryptering – både hos borgere og institutioner.
Slutrapporten: http://fas.org/irp/program/process/rapport_echelon_en.pdf

I Danmark var den socialdemokratiske regering stærkt afvisende for en lokal undersøgelse:
“Det koster en masse penge at lave sådan en undersøgelse, og så tror man, at man får en hel masse at vide. Men man gør regning uden vært, for det er for vanskeligt at kortlægge, om der foregår spionage. Det er et meget vigtigt emne, men det er et slag i luften blot at lave en undersøgelse”, sagde Pia Gellerup, daværende erhvervsminister, S.
Alle ministre benægter kendskab til overvågningssystemet Echelon, dog indrømmer forsvarsministeren(Frank Jensen, S), at det danske forsvars efterretningstjeneste foretager aflytning og deltager i samarbejde med andre landes efterretningstjenester. Graden af dette samarbejde blev ikke præciseret.

Et NSA-MEMO, lækket af Edward Snowden, kom frem i august 2015 og beviser, at echelon var virkeligt.

TIDLIGERE I AFLYTTET OM ECHELON: http://www.radio24syv.dk/programmer/aflyttet/6454303/aflyttet-uge-25-2012/

 

USA Freedom Act sikrer hverken mod virksomheder eller NSA

Af Stephan Engberg, Systemarkitekt
, Privacyekspert.


Edward Snowdens afsløringer medførte enorm ballade, ikke kun i USA, men praktisk talt i hele verden. Dog er det først nu vi begynder at se konkrete politiske tiltag i kølevandet af de omfattende afsløringer.

Efter Appeal Court for nylig fastslog , at overvågning i betydningen af “Bulk Collection” af metadata er ulovlig, har de amerikanske lovgivere haft travlt. Det Amerikanske Senat undlod at forlænge den omdiskuterede USA Patriot Act, og godkendte i samme ombæring den nye og mere indskrænkende USA Freedom Act.

USA Freedom Act er optimisme-skabende for mange. På papiret forbyder den NSA at opsamle metadata på amerikanere, og fastlægger desuden, at denne opgave ligger hos teleselskaberne, så NSA kun kan få fat i disse data ved hjælp af en dommerkendelse og ikke selv må ligge inde med disse data. Dermed sikres amerikanerne samtidig en vis transparens i logningen og FISAs praksis (den hemmelige domstol, der efter Watergate blev etableret for at holde øje med efterretningstjenesten, herunder specielt NSA).

Vi taler altså om, at USA – nærmest for første gang siden 9/11 – styrker borgernes rettigheder . Det kan ses som en sejr for det amerikanske retssystem og US Civil Liberties, her Electronic Frontier Front, praksis med at anlægge sag mod staten.

Før man begynder at glæde sig for meget, så bør tre aspekter stå helt klart:

  1. USA Freedom Act sikrer kun amerikanernes rettigheder mod NSA beføjelser, dvs. europæerne er stadig et fuldt ud legitimt mål for NSAs overvågning.
  1. NSA har en lang historie med, at finde kreative metoder hvorpå man omgår lovgivningen, netop med det formål, at overvåge i det skjulte, såsom fx når NSA og UK GCHQ “bytter overvågning” – dvs. NSA overvåger englænderne på vegne af UK GCHQ, og omvendt.
  1. Godt nok er loven ind indskrænkning af NSAs beføjelser, men loven kan principielt læses som en legitimering af den kommercielle overvågning, dvs. man forpligter kommerciel logning, når nu NSA ikke “må”.

USA Freedom Act beskytter ikke borgerne

For at forstå USA Freedom Act, skal man se det som et udslag af det, som Lawrence Lessig kalder Lesterland.

Lessigs Lesterland er et udtryk for, at ingen væsentlig demokratisk valgt post i USA i praksis kan opnås uden økonomisk valgkampstøtte fra de 1% rigeste. Dermed mener Lessing, at man har opnået en form for institutionel korruption, hvor de opstillede, for overhovedet at have en chance for at trænge ind til vælgerne ved at finansiere dyre mediekampagner, på forhånd må binde sig til at støtte de riges kommercielle interesser, og Lessing konklusion er så, at de demokratiske kræfter og principper reelt sejt må ses som værende undergravet.

Baggrunden for USA Freedom Act kan reelt ses som et udtryk for, at US BigTech industrien med deres betydelige kampagnebidrag i amerikansk politik, forsøger at vende kritikken af Snowdens afsløringer (at NSA har snablen dybt nede i deres datasystemer). Kritikken har ikke kun været i medierne, men medført omfattende økonomiske tilbageslag, fordi virksomheder er blevet tilbageholdende med at bruge specielt US BigTech cloud-løsninger. US BigTech har således fået travlt med at flytte databaser til Europa (primært Irland), for at påberåbe sig, at EU’s persondatalovgivning beskytter kunderne mod udlevering til NSA.

Problemet er, at US Patriot Act forpligter amerikanske virksomheder til at udlevere data til NSA. US BigTech har således en egeninteresse i, at bruge deres købte indflydelse i de folkevalgte forsamlinger til at fremme USA Freedom Act, så de kan portrættere det således, at de kan sige nej til NSA uden dommerkendelse.

På den måde forsøger fx Google, Apple, IBM, CSC, Amazon, VISA, Verizon, MasterCard, Facebook, etc. – til brug for deres markedsføring – at skabe illusionen af, at sikkerhed drejer sig om at de krypterer data mod eksterne ”kriminelle”, her inkl. NSA, Kina og andres aflytning af internettets backbone, mens de kun vil udlevere kundernes data til f.eks. NSA og statens øvrige institutioner mod eksplicit dommerkendelse. En dommerkendelse, som de naturligvis officielt vil bekæmpe til det sidste. Googles PR lader ingen chance gå forbi for at påstå, at de bekæmper censur eller adgang til data fra sociale medier for ikke-demokratiske regimers forsøg på at begrænse ytringsfriheden eller bekæmpe kritik af staten.

Problemet er bare, at alt det her, af flere grunde ikke beskytter borgerne – specielt ikke i Europa.

a) US BigTechs kryptering mod eksterne gør intet mod hovedproblemet: At virksomhederne selv fortsat har fuld adgang til data, til brug for deres kommercielle interesser og profilering af både borgere og virksomheder, ligesom USA Freedom Act, og øvrig amerikansk lovgivning, reelt ikke beskytter persondata.

b) Så længe metadata ikke er sikret mod identifikation af borgerne, og data ikke er end-to-end krypteret, så må NSA antages at have masser af muligheder for at få adgang til data, ligesom USA Freedom Act eksplicit kun beskytter amerikanske statsborgere. Data ligger hos virksomheder og er dermed ikke sikre mod udlevering eller anden adgang.

Hvad så – skal vi bare give op? Skal vi stoppe artiklen her, opgive Grundlovens pgs. 71 om den personlige friheds ukrænkelighed, og krybe sammen i skræk? Nej, selvfølgelig skal vi ikke det – af både økonomiske, sikkerhedsmæssige og navnlig retssikkerhedsmæssige grunde.

Løsningen er Privacy by Design

Man kunne starte med ét af de få temaer, som kan få Folketinget og centraladministrationen til at tage noget alvorligt, nemlig, at overvågningen ødelægger den danske samfundsøkonomi.

Når den kommercielle og statslige infrastruktur overvåger og styrer borgerne og samfundsprocesserne, således at innovation, konkurrence og markedsprocesser begrænses eller helt ødelægges, ja, så har det helt konkrete samfundsøkonomiske konsekvenser (selvom det i sagens natur er vanskelige at kvantificere, fordi økonomi på dette plan ikke er en eksakt videnskab, hvor man kan foretage eksperimenter med de samme forudsætninger).

I den offentlige sektor skaber og dikterer man dårlige monopol– og ensrettende strukturer fremfor at skabe mekanismer, der tilpasser sig borgernes behov. Det skyldes i høj grad, at man ikke måler værdi, men fokuserer på omkostninger og fremmer one-size-fits-all, selvom det reducerer velfærden.

I den private sektor kan virksomheder ikke konkurrere og investeringer ikke forrentes, hvis infrastrukturen opsamler viden om deres kundeinteraktioner og sælger de bedste kunder til højestbydende, eller begrænser/beskatter adgangen til kunder.

Tilsvarende værger både forbrugere og leverandører sig mod, at andre blander sig i deres interne forhold for at profitere med selv med undskyldningen, at det er ”for deres egen skyld”.

Hverken demokrati eller markedsøkonomi kan basere sig på transparente borgere  – begge dele bryder sammen.

Løsningen er Privacy by Design, eller helt præcist tekniske mekanismer, som muliggør samfundsprocesser, uden at borgerne og virksomhederne mister kontrollen over deres egne (kunde)data.

I Privacy by Design er tillid og samtykke ikke løsninger, fordi samtykke ikke giver mening i stadigt flere sammenhænge uden tekniske mekanismer til at isolere samtykkets omfang.

Privacy by Design indebærer i praktisk forståelse at eliminere behovet for samtykke ved at fjerne misbrugsmuligheden. Samtykke er noget, der skal være givet af selve teknologidesignet, dvs. både det implicitte opt-in, og det garanterede opt-out efter transaktionen er slut (både for den offentlige og private sektor). I sådanne setup er persondatalovens principper nærmest garanterede uden bureaukrati om samtykke og snærende begrænsninger.

Privacy by Design drejer sig IKKE om polices, uigennemskuelig jura a la USA Freedom Act og forsøg på at beskytte borgernes data – det drejer sig om principper, bæredygtigt design og fokus på at skabe løsninger, der kun skaber data, der ikke behøver yderligere sikkerhed, men kan bruges frit, fordi de ikke udgør en trussel mod borgere og virksomheder.

Privacy by Design kan operationelt deles op i fem stigende niveauer, hvor det første niveau er absolut minimum, for at vi overhovedet kan tale om et marked og demokrati i en digital verden.

 

Niveau Mål Formål
1 Beskytte borgere og services fra 3. parts overvågning og markedskontrol. Antager tillid og samtykke afklares i forhold til den primære serviceudbyder, men ikke andre. Eliminere magtstrukturer i infrastruktur med henblik på reetablering af markedsdannelsen
2 Sikre applikationer og services. Antager hverken tillid eller samtykke. Sikre borgeren kontrol og ejerskab over data samt forebygge misbrug og angreb. Gøre data til OpenData. Sikring af cloud.
3 Eliminere identifikation og overvågning i den kommercielle infrastruktur. Beskytte hjemmet og den fysiske person mod invasiv overvågning. Sikre borgere og den basale infrastruktur  mod både intern og ekstern (via angreb). Sikring af IoT. Åben for infrastrukturkonkurrence.
4 Sikre mod efterretningstjenesternes misbrug Styrke tilliden til efterretningstjenesterne og domstolene ved at sikre transparens og undgå adgang til data om lovlydige borgere.
5 Sikre mod invasioner og magtovertagelser Tilsikre at kritiske funktioner kan lukkes ned for at forebygge  overtagelse af ikke-demokratiske kræfter

 

Den fysiske verden før internettet var typisk beskyttet af ikke-registrering og omfattende ressourcemæssige barriere mod angreb og misbrug. I den digitale verden er magten skredet og angreb blevet nemme – de færreste funktioner og services kan leve op til det absolutte minimum i niveau 1, fordi selv lovlydige service-leverandører har vanskeligt ved at forhindre infrastrukturen i at opsamle og misbruge data om digitale interaktioner.

Det første niveau er applikations-udbyderens ansvar og er reelt allerede dækket af f.eks. persondataloven, ePrivacy samt marketing– og konkurrencelovgivningen selvom disse i stigende grad ikke overholdes. De efterfølgende fire niveauer kræver en demokratisk stat til at sætte rammerne for infrastruktur og services.

Niveau 1: Sikring mod den kommercielle og statslige infrastruktur

I praksis indebærer Privacy By Design på det første niveau, at alle tredjeparter udelukkes via brug af f.eks. kryptering, proxy-mekanismer og andre tekniske mekanismer fra samtidig at kunne vide hvem borgeren er, og hvad hun foretager sig.

EU’s ePrivacy direktiv sondrer mellem den nødvendige infrastruktur adgang til devices af hensyn til kommunikationen, og på den anden side alle former for tredje-parts services, som kræver forudgående samtykke, herunder f.eks. måling af unikke besøgende. Infrastruktur er omfattet af strenge krav om anonymisering, så snart formålet er opfyldt.

Hovedproblemet her er det, som vi kan kalde den virtuelle infrastruktur, eller services, der aktivt blander sig i og opsamler viden om transaktioner, og dermed har interesser i at udnytte viden i andre sammenhænge. Hertil medregnes enhver servicefunktion, der ikke holder sig 100% til det nødvendige.

Den første type infrastruktur (f.eks. telefonselskaber,  banker, transport) vil med normale tekniske standarder kende borgeren og må derfor via yderligere Privacy by Design-baserede service forhindres i at kende indholdet på services, samtidig med at borgerens rigtige identitet ikke eksponeres overfor tredje-parts services over transaktionen.

F.eks. kan cloud ikke sikres mod sekundær misbrug af person/kundedata, hvilket i f.eks. EU har ført til diskussioner om ”balkanisering” og overflytning af data til EU-lande uden synderlig effekt. Men hvis cloud services – via Privacy by Design-strukturer — forhindres i at kunne genkende slutkunder, er lokation ikke relevant, fordi tredjepart-servicens mulighed for misbrug er stort set elimineret.

Vi taler om en aktiv opdeling af infrastruktur i ren neutral infrastruktur som servicer den basale adgang til nettet, som ikke må kunne vide hvad borgeren gør, og den virtuelle infrastruktur, der er involveret i market making eller transaktionsservices, som ikke må kunne identificere/genkende borgeren – hverken før eller efter et valg.

På dette niveau blokeres såkaldte single-signon a la Twitter login og adfærdsbaseret profilering og markedsføring.

Helt konkret vil Google Analytics ikke kunne genkende borgeren, hvorved data fra transaktionen ikke kan bruges til at sælge virksomhedens kunder til virksomhedens konkurrenter, ligesom data låses til transaktionen, og dermed sikrer mod efterfølgende misbrug i søgninger til at fremme Googles ulovlige datakilder fremfor websites, der agerer lovligt.

Tilsvarende kan Facebook LIKEs ikke kobles til en Facebook-profil, fordi Facebook ikke får lov til at genkende personen i transaktionen. En udfordring er at forhindre iPhone/Android i at stjæle persondata fra Apps.

Portaler (fx PrizeRunner), virtuelle supermarkeder (fx Amazon, Coop, etc.) eller andre funktioner med mange ikke-relaterede processer (fx offentlig transport, rejsekort eller sundhedssektoren) betragtes her som tredjepart, hvor hver enkelt transaktion som udgangspunkt skal betragtes isoleret.

I den offentlige sektor lever ingen services i den såkaldt fælles-offentlige infrastruktur op til selv niveau 1, hvorimod fx Skats Tast-Selv og Bibliotekernes login kan overholde kravene på dette plan, selvom de kun er baseret på relativt simple adgangsmekanismer.

I henhold til ePrivacy direktivet (også kendt som Cookie-lovgivningen) vil Privacy by Design af niveau 1 eliminere tredjeparts cookies og reducere disse til 1. parts cookies, idet 3. part maksimalt vil kunne vide det samme som en niveau 1 serviceudbyder. Data kan altså højst henføres til websites kundenumre, men ikke relateres til andre transaktioner i andre sammenhænge med den samme person/device. Dermed forsvinder også hovedproblemet med de såkaldte pop-up samtykke erklæringer, der først og fremmest adresserer tredje-parts tracking mekanismer.

Niveau 2: Sikring af applikationer

Privacy by Design niveau 2 adresserer problemet med, at perimetersikkerheden hastigt bryder sammen. Det gælder applikations– og databaseservere generelt, og i særdeleshed cloud og Internet-of-things, hvor sikkerheden er teoretisk umulig .

Samtidig adresseres det problem, at serviceudbydere på niveau 1 kan have en interessekonflikt i forhold til kunderne i forbindelse med deling af persondata med tredjepart eller partnere.

På dette plan taler vi om kontekstuel eller formålsspecifik isolering, hvor formålet defineres fra borgerens synspunkt. Ingen server må kunne identificere eller koble ikke-relaterede transaktioner med den samme borger eller device brugt af borgeren, medmindre borgeren eksplicit i transaktionen har koblet tilbage til tidligere transaktioner eller relationer (et sæt af transaktioner).

I ePrivacy-sammenhæng taler vi om tekniske design, der som udgangspunkt altid er session-specifikke (implicit samtykke til at koble datapakker til samme session), mens 1. parts samtykke til at koble er eksplicit. En test er, at personer kan have flere transaktioner i det samme it-system, uden it-systemet kan vide, at det er den samme person –en kunde hos fx Coop kan styre adskillelse af private og erhvervsmæssige indkøb, uden Coop kan forveksle disse.

Det bør sige sig selv, at sikrede applikationer selvfølgelig er afhængig af sikre betalinger, dvs. digitale kontanter, der ikke i sig selv kan henføres til nogen konto eller sammenhæng. Samme kontanter skal selvfølgelig dels kobles med de legitime skattekrav og muligheden for at implementere et offentligt voucher-system, som muliggør frit valg for at effektivisere og gøre den offentlige sektor behovsdrevet uden at forudsætte privatisering og ændret omfordeling.

Privacy by Design niveau 2 vil ofte samtidig begynde at tale om Security by Design, fordi udbydere kun vil påtage sig risici, hvis disse dækkes af personen som er ansvarlig, dvs. betinget identificerbar.

Betinget Identificerbarhed bør implementere det princip, vi kender som frihed under ansvar, dvs. muligheden for at forhandle deponering af en envejsmekanisme, der fx af en dommer kan etablere en kobling mellem handling og den person, der var ansvarlig for handlingen, men uden at man kan gå den modsatte vej, og sammenstille alle handlinger foretaget af den samme person.

Privacy by Design niveau 2 er en forudsætning for ytringsfrihed, fordi man har afkoblet identifikation og ytring , så personen ikke dikterer eller blandes med ytringen, selvom ytringen stadig kan være ansvarlig, hvis serviceudbyderen kræver dette. Medieudbydere af debatfora vil på dette plan formentlig kræve såkaldte negative credentials, dvs. sikkerhedsmekanismer, der kan validere, at en borger ikke er udelukket fx grundet tidligere chikane. Her er troll-adfærd stærkt begrænset, og selv specialister, politikere og topledere, hvor jobbet tidligere har forhindret deltagelse i online medier uden selvcensur, vil kunne deltage frit i meningsdannelsen.

Væsentligt ved Privacy by Design niveau 2 er, at data som skabes på applikationsniveau i databaser normalt ikke er persondata, og dermed uden yderligere sikring, eller legale begrænsninger såsom samtykkekrav, kan betragtes som OpenData til brug for forskning.

Et eksempel på design af offentlige services i henhold til Privacy by Design på niveau 2 finder vi i rapporten om ”Nye Sikkerhedsmodeller” fra It– og Sikkerhedsstyrelsen fra 2011.

Endnu vigtigere, eftersom personen har nøglerne til at sammenstille data, så vil selv avanceret og særdeles nærgående forskning og analyser kunne gennemføres via borgeren selv, dvs. at forskeren definerer det logiske spørgsmål, hvorefter personen selv (borgerens egen agent) sammenstiller de nødvendige detaljer fra de mange kilder og anonymiserer resultatet uden brug af en trusted part. Den såkaldte Registerforskning kan på denne måde erstattes af en langt mere fremtidssikret og digitalt bæredygtig løsning, der både er transparent, effektiv og af langt højere kvalitet end den nuværende.

Niveau 3: Sikring af infrastruktur

Når vi taler Privacy by Design niveau 3 vokser kravene til infrastrukturen. Det indebærer f.eks. muligheden for ægte digitale betalinger, hvor end ikke banken eller en trusted part kan vide, hvem der betaler til hvem. Det indebærer mindre redesign af basale telekommunikationsprotokoller såsom GSM og IPv6 i retning af Peer-to-Peer, in-device virtualisering og den såkaldte RINA–standard, således at teleselskabet heller ikke er i stand til at genkende personen eller digitale devices i transaktioner.

På dette niveau vil teleselskaberne gøre brug af mere avancerede sikkerhedsmekanismer for at kunne afgøre, om en given session vedrører et abonnement eller en fremmed roaming kunde, men til gengæld vil teleselskaberne kunne frigøre sig fra de stærkt forretningsgrænsende lovregler, og begynde at servicere transaktioner på linje med den øvrige virtuelle infrastruktur.

Samtidig vil de fleste privacy-invasive services og overvågning være stort set elimineret, fordi alle transaktioner er så tæt på anonyme, som de kan være, uden at åbne for, at brugeren kan misbruge dette kriminelt.

Et eksempel på, hvordan lovgivning fungerer overfor infrastruktur og telekommunikationsprotokoller finder vi i ePrivacy Direktivet, hvor både WIFI (f.eks. IPhone random MAC), Bluetooth og RFID protokollerne de senere år er begyndt at tilpasse sig de lovgivningsmæssige krav om ikke at kunne trackes uden forudgående samtykke.

Til gengæld rejser det også krav om nye Privacy by Design-sikringsmekanismer. Fx vil grænsekontroller stille krav om bevis for nationalitet (og dermed ved indrejse starte en særskilt procedure for tidligere forsøg på indrejse og håndtering af fremmede på besøg i landet), for check mod en eftersøgningsliste (for at stoppe f.eks. kriminelle i at rejse ud af landet og undslippe straf), ligesom sikkerhedskrav på kritiske steder vil være koblet med trusselsniveauer, således at krav midlertidigt kan hæves lokalt i forbindelse med konkrete trusler, så man f.eks. laver check overfor konkrete eftersøgte i forbindelse med køb af længere togrejser.

På dette niveau vil kun PET og domstolene kunne tilsidesætte borgernes kontrol i forbindelse med stærkt kriminelle handlinger, dvs. vi har elimineret sårbarheden ved USA Freedom Act, fordi vi ikke længere behøver stole på teleselskabets kommercielle håndtering af metadata.

Niveau 4: Sikring mod PET

PET har en samfundskritisk funktion med at optrevle og forebygge, når fx Anders Breivik begår terrorhandlinger i Oslo, en habit-klædt bande begår kompleks momssvindel, rockere involveres i alvorlig bandekriminalitet, eller PET bliver bekendt med, at en konkret person kan være involveret i særdeles alvorlig kriminalitet eller terrorvirksomhed.

At sikre mod, at PET misbruger mekanismer, så som at overvåge uskyldige, kræver at vi inddrager nogle meget følsomme mekanismer, som skal overvejes nøje, førend vi eksempelvis opgraderer statssanktionerede light-anonymiseringsnetværk a la TOR baseret på onion routing til reelt ubrydelig anonymitet.

Fortsætter den nuværende negative samfundsudvikling, så borgerne helt mister tilliden til stats-konstruktionen, vil sådanne mekanismer utvivlsomt blive taget i brug. Det taler stærkt for, at vi holder op med at lege ”Retssamfund” og rent faktisk begynder at gøre noget for et re-etablere de basale borgerrettigheder, som samfundsøkonomien og it-sikkerheden samtidig er stærkt afhængige af.

Vi taler om en dobbelt balance. Hvis PET vil kunne få adgang til data i forbindelse med alvorlig kriminalitet, så skal PET først underlægge sig en stærkt kontrol og transparens, der stærkere  end hemmelige domstolle og folketingsudvalg. Omvendt, hvis borgeren vil have kontrollen og undgå identifikation i samfundsprocesser, så skal borgeren påtage sig at sikre modparterne og stå til ansvar for misbrug af nøglerne. Begge balancer, der kræver, at man designer teknologi med opmærksomhed på nuancerne.

Niveau 5: Retsstatens sammenbrud – Dead Man’s Button

Persondataloven indeholder en særlig klausul, paragraf 11, stk. 4, der omhandler invasioner eller andre former for coup d’etat, hvor retssamfundet og domstolene bryder sammen. Artiklen kræver, at myndighederne træffer foranstaltninger til at beskytte særligt sensitive data for sådanne eventualiteter.

Artiklen ville specielt omfatte CPR-registeret og en række andre systemer, såsom Hjemmeværnet, militær– og politiuddannede, oversigter over aktiver og sensitive værdier, kritisk infrastruktur, som det nye regime ville kunne bruge til hurtigt og effektivt at overtage kontrollen med landet og landets borgere.

Implementeringen af sådanne foranstaltninger ville kraftigt forebygge en sådan udvikling, fordi mekanismerne for alle praktiske formål ville kunne blokere landets kritiske funktioner for de nye magthavere og gøre dem blinde overfor borgernes, herunder fx hjemmeværnets modstand, hvorved hele formålet med magtovertagelsen i de fleste scenarier ville blive modgået.

Vi kunne eksempelvis konstruere mekanismer, hvor centralsystemets grundlæggende id og nøgle-strukturer forudsætter kontinuert støtte fra et antal – for central-administrationen ukendte – borgere. Og i tilfældet af, at denne støtte bortfalder, ville Dead Man’s Button-effekter, som kendt fra togførere, sætte ind og tvinge nedlukning af systemerne og total distribuering af nøglekontrol til hver enkelt borger. Dvs. at systemerne kun kunne reetableres i det omfang, hver enkelt borger selv frivilligt kobler ind og genopretter sin identitet.

Men i Danmark er man ikke i nærheden af at respektere paragraf 11, stk. 4. Den såkaldte CSC-sag dokumenterede med skræmmende tydelighed, hvordan man har ignoreret sikring af selv dybt sensitive systemer, ligesom vi tidligere har set sager, hvor fx bander uden problemer kunne skaffe sig adgang til data om danskere med hemmelig adresse og ny identitet, under vidnebeskyttelse, etc.

Myndighederne i Danmark har nærmest lagt landet til rette for et regime, via en ekstrem centralisering af kontrollen (fx borgernes private nøgler ligger reelt usikret i NemId) samtidig med, at del-systemer flyder med stærkt sensitive og usikrede data koncenteret omkring CPR-numre, baseret på en sikkerhedsforståelse, der allerede var forældet for 20 år siden og kun kommer stadigt mere ud af trit med realiteterne.

Konklusion

USA FreeDom Act gør reelt meget lidt for at beskytte de fundamentale principper , og skal ses i tæt sammenhæng med USA’s økonomiske interesser i at understøtte US Bigtech magtpositionen

Men samtidig står det også klart, at både det danske og europæiske demokrati har svigtet sig selv. Der er ingen grund til at acceptere en teknisk udvikling, hvor dårlig digitalisering underminerer både samfundsøkonomien og de helt basale rettigheder som både Grundloven og EU’s Charter repræsenterer. Hverken hensynet til at bekæmpe kriminalitet, forskning eller samfundsøkonomien taler for den ekstreme overvågning, som er vokset frem over de seneste årtier.

Danmark har gentagne gange taget teten og i fællesskab brudt vejen frem. Landboreformerne, realkreditsystemet, højskolerne, anpartsbevægelsen, 3-parts forhandlingerne, velfærdsmodellen, pensionsmodellen, CPR-modellen og Dan-kortet er nogle af de mange udtryk for, at Danmark og danskerne sammen havde modet til at gå foran, da tiden var til det.

Problemet er, at nu er tiden moden til at vende magtmodellen på hovedet og føre magten tilbage til borgeren via Privacy by Design – både af hensyn til demokratiet og markedsøkonomien. Privacy by Design er nøglen til på samme tid at styrke konkurrenceevnen, sikkerhed og re-etablere retssamfundet som alle har været eroderet de sidste årtier.

Men det forudsætter, at politikerne holder op med gammel-ideologiske taburet-lege, hvor man spilder tiden på personangreb og flytte kommaer på finansieringssiden,  mens huset brænder grundet fejldigitalisering og manglende fokus på de basale principper i en digital verden.

Spørgsmålet er, om den store offentlige sektor og tilhørende historisk meget stærke centraladministration kan, eller reelt har gjort civilsamfundet og Folkestyret så svagt, at Danmark har mistet den historiske evne til fornyelse, når det gjaldt. I så tilfælde har Grundloven og specielt den personlige friheds ukrænkelighed lidt ubodelig skade.

Rådata og kunstige ører

Aflyttet bringer søndag den 24.5 kl 1305 et sjældent og stærkt overvåget interview med formanden for tilsynet med efterretningstjenesterne, Ulla Staal. HØR DET HER DIGITALT FØRST!

Anledningen er tilsynets første to redegørelser om henholdsvis Forsvarets Efterretningstjeneste(FE) og Politiets Efterretningstjeneste(PET).
I redegørelsen om PET står blandt andet at ‘en stikprøvekontrol i en af PETs særlige databaser viste, at PET opbevarede personoplysninger, som for knap en tredjedels vedkommende burde have været slettet, fordi oplysningerne ikke længere var nødvendige for varetagelsen af tjenestens opgaver’
Centralt i FE-redegørelsen er afsnittet om deling af RÅDATA, dvs. endnu ikke udpakket internettrafikdata.
Her hedder det: ‘…FE i sin efterretningsmæssige virksomhed rettet mod forhold i udlandet er berettiget til at indsamle og indhente data, herunder rådata (se afsnit 3.1.2), gennem blandt andet elektronisk efterretningsindhentning og fysisk indhentning, blot disse data på indsamlings- eller indhentningstidspunktet vurderes at kunne have betydning for tjenestens efterretningsmæssige virksomhed.’
FE kan dele disse data med ‘samarbejdspartnere’ men har tilgengæld: ‘…indgået skriftlige aftaler med udenlandske samarbejdspartnere om udveksling af rådata for at få de pågældendes erklæring om at ville håndtere data i overensstemmelse med dansk lovgivning og internationale konventioner’.
Rådata er kompliceret. Hvilket redegørelsen vidner om:
‘Udvalget finder dog samtidig, at reglerne i udvalgets udkast til § 4, stk. 2, §§ 5-7 og § 9 derimod kun meningsfuldt kan anvendes, når der i forbindelse med en analyse eller bearbejdning af tilvejebragte rådata måtte fremkomme oplysninger om her i landet hjemmehørende personer. Udvalget har ligeledes vurderet spørgsmålet om, hvorvidt FE bør kunne videregive rådata til andre danske forvaltningsmyndigheder, private, udenlandske myndigheder og organisationer, uden at der er sikkerhed for, at reglen i udkastets § 6 [lovens § 7] om videregivelse af personoplysninger vedrørende her i landet hjemmehørende personer er opfyldt. Spørgsmålet har navnlig relation til, om FE som led i det internationale samarbejde kan videregive rådata til
udenlandske samarbejdspartnere. Det er udvalgets opfattelse, at en sådan videregivelse ikke på forhånd bør være udelukket. Afgørelse af, om videregivelsen bør kunne ske, bør bero på en afvejning af behovet for at videregive og de risici, der kan være forbundet hermed. Det er endvidere udvalgets opfattelse, at der gennem FEs og Tilsynet med Efterretningstjenesternes praksis vil kunne udmøntes nogle kriterier for denne afvejning.
4.4.3. Forsvarsministeriets overvejelser Lovforslagets behandlings- og videregivelsesregler finder anvendelse på oplysninger om i Danmark hjemmehørende fysiske og juridiske personer. De oplysninger, der som altovervejende hovedregel vil være indeholdt i rådata, vedrører ikke i Danmark hjemmehørende fysiske og juridiske personer. Spørgsmålet om rådata er derfor af mindre relevans i forhold til FEs behandling m.v. af de oplysninger, der reguleres af lovforslaget. Som det fremgår ovenfor, finder udvalget, at reglerne i persondataloven ikke meningsfuldt finder anvendelse på rådata, idet formålet med persondataloven er beskyttelse af personoplysninger om fysiske personer i forbindelse med behandlingen af data, og rådata netop er data, der hverken er erkendte eller er blevet behandlet.
Forsvarsministeriet har på denne baggrund overvejet, om det ville give størst mening at undtage rådata fra bestemmelserne i det foreslåede lovforslag’.
Og så står der:
‘For så vidt angår videregivelse af rådata til andre, herunder udenlandske samarbejdspartnere, er Forsvarsministeriet enig med udvalget i, at der skal være mulighed for at videregive rådata, idet videregivelsen samtidig bør bero på en afvejning af behovet for at videregive og de risici, der kan være forbundet hermed. I forbindelse med videregivelse af rådata bør det derfor indgå som en afgørende faktor, om videregivelsen af data kan indebære en risiko for tortur eller anden umenneskelig behandling.”
Når vi på aflyttet bider mærke i diskussionen omkring rådata, er det ikke tilfældigt: Ifølge Edward Snowden omgår Europæiske efterretningstjenester nemlig organer som Tilsynet med efterretningsstjenester via netop rådata:
‘The result is a European bazaar, where an EU member state like Denmark may give the NSA access to a tapping center on the (unenforceable) condition that NSA doesn’t search it for Danes, and Germany may give the NSA access to another on the condition that it doesn’t search or Germans. Yet the two tapping sites may be two points on the same cable, so the NSA simply captures the communications of the German citizens as they transit Denmark, and the Danish citizens as they transit Germany, all the while considering it entirely in accordance with their agreements. Ultimately, each EU national government’s spy services are independently hawking domestic accesses to the NSA, GCHQ, FRA, and the like without having any awareness of how their individual contribution is enabling the greater patchwork of mass surveillance against ordinary citizens as a whole.´ – Det sagde Snowden til EU-parlamentet sidste år – link her: – http://site.d66.nl/intveld/document/testimony_snowden/f=/vjhvekoen1ww.pdf

Redegørelserne kan downloades og læses HER


I en anden, og dog beslægtet verden bor kunstneren STELARC, manden der er ved at skabe sig et ekstra, hjemmedyrket øre, som Aflyttet mødte til Click Festval i Helsingør.
Det blev til en lang samtale om den menneskelige biologis begrænsninger, om død ved end-of-life-support og om hvorfor mere overvågning kan være en god ting – hvis den er inde i kroppen…