Kommentar ved Rasmus Malver, som udover at være formand for foreningen imod Ulovlig Logning også hjælper udsatte i Den Sociale Retshjælp
I retshjælpenhjalp jeg i dag en person der var bange for at vedkommendes telefon blev aflyttet. Det er ikke første gang, og det er ofte den samme historie: Der er nogle klik-lyde som begge sider i en samtale kan høre, kombineret med at borgeren føler sig konsekvent mistænkeliggjort af offentlige myndigheder.
Lavpris-mikrokamera der både kan optage på sd-kort eller sende live via wifi.
Denne gang var der dog et twist: Personen var gode venner med nogen som har været omdiskuteret i den offentlige debat, hvor aflytning ikke er usandsynligt. Uden at tage stilling til eksistensen af den konkrete aflytning installerede vi Signal på telefonen og det forbedrede straks klientens humør.
Derudover gennemgik vi tilladelserne. Facebook og Google har ikke behov for din mikrofon og dit kamera, man bør slukke placering når det ikke er i direkte brug og generelt være tilbageholdende med at dele sensorer og adgang til at læse beskeder.
Historien er interessant, for uanset om man bliver aflyttet eller ej er frygten reel. Jeg er ofte blevet kaldt paranoid og konspirationsteoretiker, men på under 12 måneder har Rigspolitiet og telebranchen indrømmet at de bearbejder beviser, før de deles med forsvarsadvokater og dommere, at ihvertfald nogen af teleselskaberne også logger indholdet af sms’er, at de udleverer langt flere data end der bliver bedt om, at der ikke er en direkte sammenhæng imellem retskendelser og udleveret data og, ikke mindst, at de løj om alt dette for 12 måneder siden.
Hvis man bliver aflyttet er der ingen klik-lyde. Aflytning er ikke en mand med en båndoptager. Det forklarede jeg også. Du bliver formentlig ikke aflyttet. Men hvis du gør, vil du aldrig få det at vide. De logger stadig metadata (og indholdet af ikke-krypterede beskeder). Du får det ikke at vide hvis de udleveres til politiet. Eller om de allerede ér udleveret.
Det er heller ikke unormalt at føle sig mistænkeliggjort af stat, regioner og kommuner. Selv hvis du ikke bor i en ghetto, har den forkerte hudfarve, de forkerte forældre eller det forkerte job, bliver du altid kontrolleret i kampen imod socialt bedrageri. Den danske version af war on drugs.
De sager har vi mange af. Har du fået sygedagpenge på en fredag? Så brugte du forhåbentlig ikke offentlig transport, og du betalte forhåbentlig ikke dit betalingskort på en bar. Kommunerne har indført “kontrolgrupper” som ligger på lur med en telelinse i busken. En klients børn er blevet afhørt i børnehaven. Kommunen ville vide mere om klientens parforhold. En klient er fotograferet på en café, i sin bil og på parkeringspladser, fordi der var usikkerhed om graden af et handicap. En tredje klients hjemkommune nægter at udbetale pension, fordi klientens bankudtog viser at der bruges flere penge i en anden kommune.
Dine opkald bliver formentlig ikke aflyttet. Dine sms’er gør. Brug Signal til begge dele.
Hvis du har brug for juridisk bistand eller gældsrådgivning, kan du kontakte Den Sociale Retshjælp. Hvis du har brug for hjælp til kryptering og privatlivsbeskyttelse kan du deltage i Cryptohagen på Café Mellemrummet på Nørrebro, den sidste søndag i hver måned, eller Cryptoaarhus på Fairbar den 2. lørdag i hver måned.
UNDER KONTRUKTION/WORK IN PROGRESS: Har du tips – send til lyt@aflyttet.dk (senest opdateret 31.3.2017)
Regel nr. 1:
KEEP EVERYTHING IMPORTANT OFFLINE!
Al information, der har værdi, risikerer at blive hacket over tid. Væn dig til det.
Sådan er det. Derfor: Hvis noget virkelig er vigtigt for dig – så lad være med at bruge nettet til at snakke om det – hvis du kan!
Men da vi ikke kan undvære at have følsom information on-line, som den gennemdigitaliserede verden ser ud nu, er vi nød til at benytte os af, hvad man nu kan, for at beskytte os nogenlunde – det kommer der eksempler på længere ned i teksten.
Tænk generelt over, HVAD du lægger ud – behøver du fortælle fuld fødselsdato og år til Facebook eller Google? For hvis du gør det, så har evt. hackere allerede de første seks cifre af dit cpr-nummer=de mangler kun fire tal=det tager få minutter at gætte sig til de sidste for en computer…
Og med dit CPR nummer og fulde navn, kan der laves mange ulykker.
Vær forsigtig.
Husk den gyldne regel: Ville du fortælle det her til en vildt fremmed på gaden? Hvad du hedder – hvor du bor? Give dem et billede af dig selv? Af dine børn?
For selvom vedkommende smiler, er det som bekendt ikke sikkert, det er en sød person? Vel.
Sund Fornuft i førersædet.
Og hvis noget LYDER for godt til at være sandt – ja, så ER det nok for godt til at være sandt!
REGEL nr. 2: DÆK DIT WEBCAMERA TIL! Du bruger iikke det webcamera til RET meget alligevel? Egentlig? Hvorfor så sidde og kigge direkte ind i det, hver gang du benytter din computer? Og hvorfor behøve at bekymre sig om, at nogen måske kigger med?
Sæt et klistermærke for – et stykke plaster eller endnu bedre: Et stykke maler-tape(som lader lys nok passere til at lysmåleren i computeren stadig virker) er faktisk tilstrækkeligt.
Og nu du ER igang: Hvad med dit smart-tv? Er der også et kamera der – der stirrer direkte ind i din stue? Frem med tapen! NU!
Hvorfor? Well. Læs f.eks. Phillips historie her: http://www.mx.dk/feature/coverfull/story/30635931
Regel nr. 3:
Opdater Opdater….
De fleste hardware producenter følger selv med i sikkerheden omkring deres produkt – når de beder dig om at opdatere – så er det ikke for sjov. Gør det!
Og det gælder også dine apps og styresystemet i en mobil.
MEN: Gør det ikke på Cafe eller når du er på ferie – vent til du er hjemme – risko for man-in-the-middle angreb er større på åbne, fremmede netværk-
Regel nr. 4:
Få styr på dine passwords. Hav forskellige til hver tjeneste. Skriv dem ned på et stykke papir, og gem dem et sted, du kan finde dem igen, hvis du ikke er teknisk nok anlagt til at finde ud af password-managers.
Papir og gode passwords er en god kombination.
Risikoen for at nogen bryder ind i dit hjem og finder den seddel, er minimal i forhold til at nogen gætter et alt for nemt password – og det er farligt kun at have eet fast password, da en angriber så får adgang til ALT. Brug 2-factor-autentication de steder du kan. Du kobler kort sagt din mobil sammen med din computer ifbm. at du bruger et site(som Facebook eller Google)=du får en besked og en kode til din mobil, når du(og andre) skal logge ind.
Regel nr. 5:
Brug VPN
Virtuelt Private Netværk beskytter dit privatliv og mindsker risikoen for angreb. Der er mange udbydere – men ikke alle er lige gode til det – hold fingrene fra HOLA, der spionerer mod dig samtidig og bruger dig i BOT-nets -
Her er en liste over VPN-services, rangeret efter grad af privatliv.
NB: Hvis du f.eks bruger (opdateret) Windows 7 eller 10 er det delvist indbygget – det er godt! https://torrentfreak.com/vpn-anonymous-review-160220/
F-secure tilbyder services, der virker på både mobil og computer – det hedder Freedome
Regel nr. 6: Opdater dine WEBbrowsere
Hele tiden!
Der er stor forskel på sikkerheden i den måde, du går på nettet via din webbrowser – mange hackere bruger webbrowseren til at køre skadelig kode på din maskine, og hvis du skal undgå det, skal du OPDATERE din browser – check om du har seneste version!
Det er lidt en religionssag hvilken browser der er sikrest og det kan ændre sig overtid. Firefox og Crome er opensource og ret sikre. Safari er solid. Anvend gerne forskellige webbrowsere til forskelige ting – en til netbank, en anden til almindelig surfing, en tredje (tor) til private sager.
Mange browsere(i default mode) lækker iøvrigt information til annoncører og data-miningselskaber – du kan tjekke HVOR meget via det her værktøj: https://panopticlick.eff.org/
Regel 7:
Har jeg købt det for billigt? Mangemoderne ting har indbygget internet. Det kan være dit kamera, der selv via wifi kan lægge sine billeder på din harddisk, det kan være dit TV eller et overvågningskamera? Fælles for det hele er at de her dimser befinder sig på samme net, som du går på netbank med!
En dims, der skal på dit netværk, skal helt have et nyt password som DU har valgt – standard passwords er typisk nemme at gætte.
Kræver den ikke passwords for at gå på /kan du ikke ændre noget – så har du nok købt det lidt for billigt. Overvej om det bør være på nettet. Overhovedet.
Regel nr. 8:
Sociale Medier er Sladrende Medier
Facebook, Twitter, Instagram og YouTube og alle de andre, er gratis services som vi bruger mere og mere. Men når det er gratis, gælder der en samlende regel: Det er DIG der er varen!
Sociale Mediers(og store dele af nettet i det hele taget) forretningsmodel er, at indsamle data om dig og sælge dem til annoncører i mere eller mindre anonymiseret form. Nogen services, som f.eks. Facebook og Google, sælger også til politikere og åbner gerne op for data hvis myndigheder som politi eller efterretningstjenester spørger efter dem med en dommerkendelse i ryggen.
Det skal man være klar over.
Du kan se en liste over, hvor mange data Facebook gemmer om dig hos Europe-VS-Facebook, et site drevet af østrigeren Max Schreems.
Generelt skal du regne med, at ALT du lægger på Sociale Medier er OFFENTLIGT – altså skal du være parat til at stå ved det over for hvem som helst – som stod du på gaden og delte foldere ud til forbipasserende.
Lad være med at give dit fulde navn på Some, LYV gerne om fødselsdato og år. Og læg ikke din fysiske adresse derud – det er der folk, der var glade for en ny computer, som de tog et billede af og lagde på Facebook, der fandt ud af var en dårlig ide, da indbrudstyvene kom et par dage efter…
Regel nr. 9: Søgemaskiner der søger DIG!
Når du søger information på Google, gemmer de tre ting om dig:
1. De ord du søger på
2. Hvilke resultater du får
3. Hvilket af resultaterne du klikker på
Kig på de tre. Og tænk over, hvor meget man kan finde ud af om dig ved hjælp af de tre ting ud fra de tusindvis af søgninger de fleste af os laver om året.
Læg så oveni at google gemmer:
HVOR DU ER
DEN MÅDE DU TASTER PÅ (FINGERPRINT)
HVORDAN DU PLEJER AT HOLDE DIN COMPUTER
…og 42 andre ting….
…så begynder det at blive uhyggeligt!
Men der er alternativer: duckduckgo.com og startpage.com er gratis søgemaskiner, der IKKE gemmer noget om dig – overhovedet. F-secure bruger Google, men blokerer for sporing OG tilbyder også advarsler mod farligt indhold – et eksempel her: https://search.f-secure.com/search?query=fake%20news&fs_uo=provider&fs_p=freedome
Du får muligvis lidt andre, mindre personlige resultater – betragt ikke-sporende-søgemaskiner som en god bibliotekar, der ikke går og gemmer på informationer om hvilke bøger du læser.
Det er samtidig en måde at bryde ud af FILTERBOBLEN på – se hvad DET er..
HER:
Regel nr. 10: Brug sikker mail
Vi bruger alle sammen e-mail. Og mange af os bruger gratis services fra Facebook, Yahoo, Microsoft eller Google.
Her gælder igen reglen: Hvis det er gratis – er du varen.
Derfor LÆSER Google(og facebook) dine mails – scanner dem for ord, de kan bruge til at give dig ‘relevante’ annoncer og til at bygge en ‘skyggeprofil’af dig til andre markedsføringformål.
Men der er en række alternativer, her er et par stykker: PROTONMAIL – ekstremt sikker schweitzisk løsning. TUTANOTA – Tysk mailprodukt, nemt at sætte op, har app til telefon – fuldkrypteret mellem andre tutanota-konti – og man kan lave koder i enkelte mails til systemer udefra.
Kryptering er generelt godt – hvis du har lyst til at pusle med den tungere del af det, så skal du have fat i GPG, den åbne og gratis udgave af PGP(PrettyGoodPrivacy) og få dig en offentlig og privat nøgle.
Det her er ikke et mail-system – men software, der kan kode(kryptere) dine meddelelser, uanset system, så kun modtageren har adgang til dem.
Det er lidt kompliceret – men prøv at lege med det….
Regel 11: Hardware kan være ude på noget….
Regel nr. 12: BESKEDAPPS TIL SMARTTELEFONEN
Sikre krypterede beskedapps er ikke ulovlige at bruge. De sikrer, at dine beskeder ikke kan læses af andre end modtageren undervejs, og nøglen ligger på telefonerne.
De fleste moderne er ligeså nemme at bruge som almindelig sms.
Eksempler på krypterede beskedapps er SIGNAL, Telegram, Whatsapp og Wickr, og der kommer hele tiden nye til.
Det danske firma DENCRYPT laver en professionel krypteret beskedapp(der benytter patentet dynamisk kryptering), der ligesom flere af de andre også understøtter krypteret nettelefoni.
SIGNAL og Whatsapp bruger samme krypteringssystem fra Openwhispersystems.
Myndighederne i Storbritannien ønsker p.t. adgang til Whatsapp, som hævdes at anvendes at terrorister.
LINKS til mere viden:
Electronic Frontier Foundation er en uafhængig borgerrettighedsorganisation, der specialiserer sig i dit digital liv: Her er en fuld guide til digitalt selvforsvar – værd at læse og benytte: https://ssd.eff.org/
I programmerne nævnes en række links. Vi har samlet dem her i(stort set) den rækkefølge de optræder i udsendelserne.
NB: Denne Guide er i bevægelse, på ingen måde perfekt eller færdig. Tænk dig om selv, det er altid det bedste – vi modtager også gerne gode tip – se på kontakt-siden hvordan.
Man kan lære meget hos Electronic Frontier Foundations Surveillance self-defense guide: https://ssd.eff.org/en
Og lærerstandens brandforsikrings guide til beskyttelse af online privatliv er heller ikke ringe: http://license2share.dk/
MAIL:
Med de klassiske mailsystemer som outlook og gmail, kan man betragte sine emails som åbne postkort, internetudbyderen kan eksempelvis læse med på alle de mails, der løber igennem deres netværk.
Men ved at kryptere sin mail, forhindre man andre i at læse med undervejs. Vores Eksperter foreslog tjenesten: https://www.neomailbox.com/, som både er nem at brug og har deres server placeret i Schweitz. Det skal dog siges at Neomailbox koster cirka 250 kroner om året.
Hvis du vil kryptere din mail, anbefaler vi openPGP, der blandt andet kan downloades her: http://www.openpgp.org/ – det er ikke ukompliceret, men klart indsatsen værd! Og husk, krypter ikke kun for din egen skyld – men også for andres…
Hvis du bruger Mac er der et meget nemt plugin til mailprogrammet – det kan hentes her: https://gpgtools.org/
CHAT:
Det kan være en fordel at bruge krypterede chat programmer.
Hvis man vil bruge programmet Tox https://tox.im behøver man ikke engang at installere et program, man skal blot downlaode en zip-fil og udveksle nøgler med dem man vil kommunikere med. Du kan læse mere om Tox her: https://wiki.tox.im/Clients
Panelet forslog desuden chatprogrammet Cryptocat, https://crypto.cat. Hvis man vil kryptere det, man sender ud på facebook eller twitter kan man bruge programmet ADIUM https://adium.im/.
Hvis du vil vide mere om sikrer chatprogrammer har Electronic Frontier Foundation(EFF) lavet en oversigt over forskelige chatprogrammers kvalitet https://www.eff.org/secure-messaging-scorecard
Kryptering:
Glenn Greenwald sagde tidligere på året: “…Every single time somebody has said to me, ‘I don’t really worry about invasions of privacy because I don’t have anything to hide.’ I always say the same thing to them. I get out a pen, I write down my email address. I say, ‘Here’s my email address. What I want you to do when you get home is email me the passwords to all of your email accounts, not just the nice, respectable work one in your name, but all of them, because I want to be able to just troll through what it is you’re doing online, read what I want to read and publish whatever I find interesting. After all, if you’re not a bad person, if you’re doing nothing wrong, you should have nothing to hide.’ Not a single person has taken me up on that offer.”
Det er netop dette man beskytter sig i mod, når man har en krypteret harddisk.
Når man krypterer sin harddisk vil det sige, at computeren gemmer al data i en kuvert, der skal åbnes med en meget lang kode, som er nøglen til nøglen til harddisken. For at åbne for denne nøgle, bruger man sin normale kode, som man kan vælge at ændre løbende, ligesom man kan ændre andre passwords på sin computer. Det betyder at man kan have en kode på tyve tegn, mens der nedenunder er en meget stærk nøgle, der skal åbnes før harddisken bliver tilgængelig. Krypteringer kan være enormt stærke, det kan ses i forbindelse med CSC-hackersagen, hvor politiet uden held i et år forsøgte at åbne en krypteret container.
Udover at beskytte sine data, så vælger nogen også ‘solidaritets-kryptere’.
For dem kan det være en måde at signalere, at man i et demokratisk samfund har behov for retten til privatliv og en måde at sikre en virtuel forsamlingsfrihed.
Et nemt sted at starte er ved at installere et plug-in, der sørger for at hvis en hjemmeside har https, så bliver det brugt. Det kan eksempelvis være ”https everywhere”, som sørger for at hver gang der er mulighed for at der kan bruges en krypsion, så bliver den brugt, det betyder at du hele tiden er på en sikker forbindelse. https everywhere, kan downloades til din browser her: https://www.eff.org/https-everywhere
TOR:
Tor beskytter din placering, din ip-adresse og hvem du sender informationer frem og tilbage til.
For at installere Tor, går man på https://www.torproject.org og her henter man en pakke, der hedder tor-browseren. Når Tor er blevet downloadet og installeret kan man åbne den ligesom en normal browser (safari, firefox eller googlecrome). Tor adskiller sig ved at være en specielt tilpasset browser, som ikke afsløre ret meget om hvem du er. Det vil sige at alle, der downloader Tor-browseren, vil se ens ud for dem der sidder på den anden ende. Browseren er nem at starte op, men man skal være opmærksom på at den fungere med en vis hastigheds nedsættelse. Med andre ord bruger man den sjældendt til at se youtube-videoer på, men til gengæld vil det være naturligt at bruge den, hvis man er i et land hvor det ikke er så populært at tweete om premierministeren, staten eller regeringen.
Facebook indgik i 2014 et samarbejde med Tor-netværket. Det kan betyde at hvis man sidder i et krisecenter for voldsramte at man stadig kan have kontakt med sin familie og venner, uden at man afsløre hvor man befinder sig.
Tor fungerer ved at den trafik, som man vil sende bliver pakket ind. Man kan forestille sig at man tager forskelige kuverter som kommer man ind i hinanden. Det betyder at når du skal sende noget til en modtager, så sender du først kuverten til en tilfældig, der sender den videre til en anden, der sender det vider til en tredje, der sender det vider til en fjerde og til sidst ende det hos en, der sender den videre til den endelige modtageren. Men der står ikke hvem den kommer fra, på den måde så skjuler man hvor trafikken kommer fra og hvor den skal hen.
Det gør det væsentligt svære at pin-pointe hvor folk er og det gør det meget svære at lytte med i hvad folk sender frem og tilbage. Det virker via exit-notes. Exitnote er hvor de krypterede kuverter pakket ud af det tor-netværket. Vedkommende, der administrer en tor-exit-note kan lytte med på trafikken som løber igennem hans eller hendes exit-note. Derfor kan man med fordel stadigvæk bruge krypteret https, når man benytter Tor.
Krypto-party:
Et kryptoparty er et antal personer der mødes og taler om sikkerhed og udveksler programtips. Når man holder et krypto-party kan man også generere nøgler og finde nogen andre og sende krypterede mail med. I Danmark annonceres et pryptoparty som regel via twitter.
Hvis man selv vil arrangere et krypto-party er det bare at springe ud i det, man kan med fordel få hjælp fra denne håndbog https://www.cryptoparty.in/documentation/handbook
PGP-kryptering:
Det er blevet en standart for mange år siden, det hedder oprindeligt ”pretty good privacy” men ”gnu privacy guard” er mere udbrudt og er kompatibelt med PGP. GNU privacy guard er ikke svær at installere, hvis man fx vil bruge den til krypteret mail.
Man kan downloade et ekstra modul til sit postprogram, som giver mulighed for at man kan sætter et lille hak hvis man vil kryptere mailen, eller et lille hak hvis man vil skrive under på mailen. Og så kan det verificeres af modtageren når vedkommende modtager mailen, det kræver dog at man er bekendt med hinandens nøgler.
Du kan læse mere om virtuelsikkerhed og PGP-kryptering her: https://www.cpj.org/reports/2012/04/information-security.php
Program 2:
Sikkerhed på mobilen
Telefoner kan både blive hacket og stjålet, det er derfor en god idé ikke at have nogen oplysninger på sin telefon af særlig følsom karakter. Men det har vi jo.
Panelet forslår generelt at man er passende paranoid omkring hvad der ligger på den. Det en god idé ikke at have en masse free-apps, men i stedet nogen få gode, der kommer fra firmaer eller app-udviklere som man kan stole på. Appen disconnect me, hjælper med at beskytte dit privatliv gennem telefonen du kan læse mere om den her: https://disconnect.me .
Hvis man har lyst til at skjule hvor man befinder sig, kan man købe appen ”free dome” fra det finske firma F-secure. Programmet giver brugeren en perment virtuel placering, man kan vælge byer som Hong Kong, London og Amsterdam. Programmet beskytter desuden mod vira og forskelige typer angreb. Det eneste bøvl, der er med appen er at netværkerne kan blive mistænkelig, fordi man befinder mig et andet sted end man egentligt er. Du kan købe og læse mere om free dome her: http://www.f-secure.com/en/web/home_global/freedome.
De fleste apps i dag beder om adgang til mere end de har brug for, selv en simpel app som en lommelygte kan finde på at bed om adgang til alt, kontakter, mikrofon og kamara etc. Forskere har fundet ud af at, hvis de adgang til mikrofonen på en smartphone, som ligger på samme bord som en computer. Kan man ved lyden fra tastaturet eller ved lyden af CPUen, høre hvad der bliver tastet blandt andet passwords. På iPhone kan man i system indstillingerne under privatliv, indstille telefonen til at den aldrig må give apps adgang til mikrofonen. Panelet anbefaler desuden at man bruger appen clueful, der undersøger om de apps man har installeret sætter ens privatliv i fare, og hvor meget de forskelige apps ved om en. Du kan hente og læse mere om appen her: https://play.google.com/store/apps/details?id=com.bitdefender.clueful.
Hvis man er træt af Facebook Messenger appen, kan man hente appen ”Tinfoil for Facebook” https://play.google.com/store/apps/details?id=com.danvelazco.fbwrapper. Den kan stort set det samme som en almindelig facebook app, bortset fra at den lover ikke sender nogen data ud fra systemet, når den først er kommet ind. Desværre findes den kun til android.
Her kan du læse mere om appen: http://www.cnet.com/how-to/use-tinfoil-for-facebook-to-protect-your-privacy-on-android/
