Warning: Missing argument 2 for wpdb::prepare(), called in /home/stromber/public_html/kryptoblog/wp-content/plugins/wp-super-edit/wp-super-edit.core.class.php on line 109 and defined in /home/stromber/public_html/kryptoblog/wp-includes/wp-db.php on line 1222
IT och integritet » Kryptoblog

Posts Tagged ‘IT och integritet’

Datainspektionen om integritetesåret 2008

February 6th, 2009

Datainspektionen har släppt en mycket intressant och tyvärr ganska skrämmande rapport om de lagförsförslag under 2008 som påverkade den personliga integriteten.

I rapporten Integritetsåret 2008 (pdf) beskriver inspektionen de inte mindre än 20 olika lagförslag som på olika sätt påverkade den personliga integriteten. Inspektionen skriver i sin pressrelease att:


Ipred-lagen , trafikdatalagringsdirektivet och FRA-lagen var bara tre av de lagförslag som påverkade den personliga integriteten under 2008.

I en unik sammanställning redogör Datainspektionen för över 20 sådana lagförslag. ”Integritetsåret 2008” beskriver även några av Datainspektionens mest uppmärksammade beslut under förra året och ger exempel på några av de nya teknologier som kommit att påverka den personliga integriteten.

– Det här är första gången som Datainspektionen tar fram den här typen av redogörelse, säger Datainspektionens generaldirektör Göran Gräslund.

En av tankarna med ”Integritetsåret 2008” är att väcka frågor som: Hur påverkas den personliga integriteten inte bara av ett visst lagförslag utan av alla lagar och föreslagna lagar tillsammans? Vilket blir det samlade ”trycket” mot den personliga integriteten när man väger samman alla stora myndighetsregister och hur dessa utbyter information? Hur mycket mindre blir den fredade zon vi alla har rätt till när nya tekniker som GPS och RFID används för att övervaka oss på allt fler sätt?

Datainspektionens GD Göran Gräslund.
Datainspektionens GD Göran Gräslund.

Frågan Göran Gräslund ställer är mycket viktig, och bristen på helhetssyn blir tydlig när man läser den i många fall skrämmande rapporten. Därför är den här rapporten viktig och väl värd att läsa.

Datainspektionens rapport tar även upp de förslag som kommit under 2008 på EU-nivå, och på EU-nivå finns det redan fler förslag. Telekompaketet och IPRED2 är några exempel.

För ett drygt år sedan skrev jag om Lars Ilshammars utmärkta rapport När datorerna blev farliga som behandlar synen på datorer och databehandling förändrades under 60-70-talet och den personliga integriteten verkligen debatterades. Kontrasten i synsätt hos politikerna då och 2008 så som den beskrivs i Datainspektionens rapport är väldigt tydlig. Hemskt tydlig.

En sak inspektionen tar upp i sin rapport är hur personuppgifter skall skyddas. En vinkling på den frågan är den om rätten att vara anonym. Erik Josefsson har ställt en i mitt tycke viktig fråga om anonymiseringstjänster till kommissionen. Josefsson skriver:


Behovet av pålitliga system för anonym uppgiftslämning har uppmärksammats i samband med rättegångar som avser grova brottmål[1] och ekobrottslighet [2]. Stora värden kan gå förlorade om vanliga medborgare inte vågar ta kontakt med journalister eller polis [3]. Utvecklingen av elektroniska anonymiseringstjänster har kommit långt i Sverige. De används både av privatpersoner och företag, både på Internet och i intranät, för både privata och kommersiella ändamål.

1. Avser kommissionen lägga förslag som förbjuder sådana tjänster inom vissa områden?

2. Anser kommissionen att enskilda medlemsländer har rätt att förbjuda sådana tjänster?

3. Anser kommissionen att rätten till elektronisk anonymitet är eller bör garanteras på i EU-nivå?

[1] Polisen varnar för ny Bandidos-etablering i Västerås http://www.vlt.se/artikelmall.asp?version=530104

[2] Bank Julius Baer vs. Wikileaks http://wikileaks.org/wiki/Bank_Julius_Baer_vs._Wikileaks

[3] 1995 Supreme Court ruling in McIntyre v. Ohio Elections Commission:

Protections for anonymous speech are vital to democratic discourse. Allowing dissenters to shield their identities frees them to express critical, minority views . . . Anonymity is a shield from the tyranny of the majority. . . . It thus exemplifies the purpose behind the Bill of Rights, and of the First Amendment in particular: to protect unpopular individuals from retaliation . . . at the hand of an intolerant society.

Att kunna vara anonym är extremt viktigt för att den bevakning av makten som sker av journalister skall kunna fungera. Men även i vardagen är det viktigt att vi själva kan välja att vara anonyma, att inte behöva legitimera sig i onödan. Att ha ett privatliv.

Behöver det ex finnas spårbarhet över alla skumbananer jag köper ca 17:45 vid Svingelns hållplats?

Tor VM, en virtuell Tor-proxy

December 4th, 2008

För några veckor sedan dök det upp en blänkare på Cryptography om ett nytt verktyg – Tor VM.

Tor VM logo.

Tor VM är en transparent proxy för att köra DNS och TCP-trafik genom anonymiseringsnätverket. Men i stället för att ansluta direkt till Tor körs trafiken via proxyn som snurrar i en virtiuell maskin. Vitsen med detta förfarande är enligt Tor VM:s sida:


The major advantage of running Tor VM is the protection you get from IP disclosure attacks that could leak your true IP address.

Du kan bygga Tor VM från källkoden, och det finns färdiga paket för att köra Tor VM fristående. Det finns dessutom färdiga ISO-filer som går att köra i VMware Player.

Tor VM påpekar dock att Tor är en anonymiserat nätverk, men att trafiken i sig inte är skyddad:


Tor VM will not protect you from leaking personal information while in use; please take caution in protecting your personal identity and information by not sending it across the Tor network. The use of encryption (HTTPS) whenever possible is highly recommended.

Vad Riksdagens IT-avdelning pysslar med

November 24th, 2008

Det har varit en del rabalder de senaste dagarna om Rick Falkvinges postning om att Riksdagens IT-avdelning tittar på ledamöternas trafik.

Enligt artikeln använder IT-avdelningen en proxy som trafiken måste gå igenom. Proxyn terminerar trafiken och sätter sedan upp en ny förbindelse mot de riktiga målmaskinerna. Därmed kan avdelningen titta på trafiken även om den är krypterad.

För att detta skall fungera borde det krävas att ledamöterna ställt in proxyn i sina system. Vidare borde ledamöternas webb- mail- och chatt-verktyg (etc) skrika i högan sky när inte certifikaten matchar längre stämmer. Rent tekniskt är det möjligt att göra, men det borde inte vara så j-kla osynligt. (Rick Falkvinge har skrivit en Så fungerar riksdagsledamöterna-text där han tar upp att det inte behöver vara en proxy och att ledamöternas system inte behöver ändras. Men certifikaten borde larma – om ledamöterna använder vettiga verktyg)

Det dyker upp flera frågor när jag funderar på detta, ingen av dom har egentligen med tekniken att göra. För det första undrar jag varför man tycker att detta krävs? Hur ser hotbilden ut och vad är det man tror sig lösa? En annan fråga är naturligtvis på vilka sätt systemet kan fallera och leda till problem – och har det utvärderats när man valde att ta in lösningen? Men sedan kommer det hela ner till det alla organisationer borde ha: IT-policy.

Jag kan på tok för lite förvaltning för att bedöma vad som gäller – är riksdagsledamöterna att betrakta som anställda av riksdagen? Finns det en IT-policy och/eller en IT-säkerhetspolicy som ledamöterna skrivit på? Vad står det i den/de dokumenten och är dom offentlig handling?

Är det så att ledamöterna är att betrakta som anställda, har läst och godkänt en (drakonisk) policy som ger riksdagens IT-avdelning och de dom rapporterar till att läsa och pilla på deras trafik är det bara att köpa läget. Men om det inte finns en policy – då är det dags att sparka bakut för snyggt är det inte.

Avslöjande bilder på flygplatser i USA

October 27th, 2008

På Boingboing finns en tråd om det nya röntgen/genomlysnings/scannersystem som TSA i USA håller på att skaffa för att kunna se vad flygpassagerare gömmer under kläderna. Tråden på Boingboing pekar på en artikel hos Spiegel Online med lite avslöjande bilder.

TSA-snubbe kollar på pr0n.
Så här ser det ut när TSAs personal tittar på pr0n.

Passagerare i TSAs maskin.
En stackars passagerare instängd i TSAs maskin.

Passagerareren - nu på bild.
Samma passagerare så som TSAs anställda ser henne.

En annan passagerar som fastnat hos TSA.
En annan passagerare som fastnat i TSAs maskin.

Ännu en vacker bild.
Ytterligare en potentiell skurk som fastnat.

Allvarligt talat, kan man komma mycket närmare ett flagrant exempel på intrång i den personliga integriteten?

Är det detta vi måste stå ut med för att flyga? Och om du tror att detta egentligen löser ett säkerhetsproblem, läs Bruce Schneiers postningar om säkerhetskontroller på flygplatser och verklig säkerhet.

Risken att den här tekniken verkligen stoppar en terrorist är extremt liten – det kommer inte att ske. Risken att bilder på folk tagna i maskinen läcker ut och på olika sätt ställer till med obehag, används för utpressning och andra, mindre spektakulära brott däremot är antagligen rätt stor.

Fortsatt mailtvätt utomlands

October 27th, 2008

Pawal har följt upp sin postning för ett drygt år sedan om att SVT skickar all sin epost till England för att spamtvättas. Trots nya lagar både i Sverige och England samt uppmärksamhet i media verkar SVT inte ha ändrat sin taktik. Följer inte SVT med vad som händer?

Avhandling om Informationssäkerhet i vården

October 15th, 2008

För några veckor sedan uppmärksammade GP att Rose-Mharie Åhlfeldt disputerat vid Högskolan i Skövde där hon forskat om Informationssäkerhet i vården.

Rose-Mharie Åhlfeldt
Rose-Mharie Åhlfeldt

Då vården är något väsentligen alla medborgare kommer i kontakt med och att patienter på många sätt redan befinner sig i en utsatt situation tyckte jag att Rose-Mharies avhandling lät relevant och spännande. Trots den del Googlande hittade jag inte avhandlingen. Men en snabb mailkontakt med Rose-Mharie gav länken till avhandlingen Information Security in Distributed Healthcare – Exploring the Needs for Achieving Patient Safety and Patient Privacy.

Jag har inte läst hela avhandlingen, men av det jag läst uppfattar jag det som att avhandlingen ger en rejäl genomlysning av de informationssäkerhetsproblem som finns inom vården. Inte minst viktigt är hur ny teknik och nya sätt att arbeta med utspridda vårdresurser gör det svårt att skydda patienternas integritet. Att över huvud taget hålla koll på var en patients information finns, vem som tittat på den och hur många kopior det finns verkar vara besvärligt och dåligt understött i nuvarande system. Rose-Mharie skriver:


The results show that a comprehensive view of the entire area concerning patient information management between different healthcare actors is missing. Healthcare, as well as patient processes, have to be analyzed in order to gather knowledge needed for secure patient information management.

Furthermore, the results clearly show that there are deficiencies both at the technical and the administrative level of security in all investigated healthcare organizations.

Avhandlingen innehåller en större introduktion som beskriver problemmiljön med aktörer, en sammanfattning av relevant lagstiftning, en beskrivning av informationssäkerhet i den specifika miljön samt definierar olika typer av problem som kan uppstå. Avhandlingen innehåller dessutom ett antal fallbeskrivningar och ett antal artiklar. I en av dessa konstaterar författaren att:


The municipalities do not have adequate experience handling care information and have not kept abreast with the development of systems handling this kind of information. The administration of authorizations is a problem in the municipalities. There is a large turnover of employees as well as different categories of employment positions with variant geographical range. It is unfortunate if choosing a more open strategy for authorization is because the administration is a burden.

Ett resultat jag tyckte var intressant är hur information och informationssäkerhet kan påverka patienters vilja att söka hjälp:


“increasing availability to patient information could also imply that patients do not search for care depending on that they don’t want to have their information available to everyone … that the healthcare personnel are not willing to make complete notes in the records because they are afraid of writing too much since so many other people can read it … this is what people have contacted us about” (respondent B)

Avhandlingen innehåller en rejäl bunt med rekommendationer och jag hoppas verkligen att vårdgivare på olika nivåer tar till sig av resultaten och rekommendationerna i avhandlingen. Tyvärr är det stor risk att det, speciellt på kommunal nivå inte finns utrymme eller ens kompetens att ta till sig avhandlingen resultat. Som författaren skriver:


The results also indicate a lack of IT-competence when the healthcare organization orders or develops a new IT-system. Who decides the competence need for the participants to be included in healthcare IT-
projects? Is there enough IT-proficiency and especially knowledge of information security within the ordering organization or is it necessary to consult expertise externally? According to Gaunt (2000) security education is necessary for the user of the IT-systems in healthcare.

But it is also necessary to ensure a high level of security education for healthcare persons involved in different IT-projects. If the organization does not have sufficient security competence they would benefit from involving other security experts when they create requirement specifications in order to achieve the successful implementation of new systems in healthcare.

Jag hoppas verkligen att Rose-Mharie Åhlfeldts avhandling leder till konkreta förändringar. Det här genuint viktiga frågor som berör enskilda personer, och avhandlingen är för bra för att hamna i ett kommun- eller landstingsarkiv.

USAs nya system för att få in info om dig

July 30th, 2008

SvD skriver om USAs nya elektroniska system Electronic System for Travel Authority (ESTA).

ESTAs logga.

Enligt SvD:s artikel är ESTA ett nytt system för att samla in information om de personer som avser att resa in i USA. Mer exakt kräver USA att få in information om:


sin mentala och fysiska hälsa, kriminella belastning, droghistoria och andra mer eller mindre känsliga data

Som Bruce Schneier brukar skriva – det intressanta med ett säkerhetssystem är inte när det fungerar, utan vad som händer när det inte fungerar. Vilka typer av informationsläckage och skador kan uppstå när systemet skiter sig?

Enligt artikeln handlar det väsentligen om samma sorts information som man i dag fyller i när man sitter i luften över Atlanten på konstiga gröna lappar med staketrutor. (Jag brukar alltid hamna halvvägs in i min mammas förnamn eftersom blanketterna inte precis är anpassade för personer med många och långa namn.) Men nu får systemet alltså ett publikt webbgränssnitt.

Även om ESTA initierats av Department of Homeland Security (DHS) och sköts av en avdelning kallad Customs and Border Protection (CPB). På CPB finns en presentation med mer information om ESTA.

I presentationen finns bilder på hur webbplatsen kommer att se ut och vilka fält som man kommer att vara tvungen att fylla i. En liten detalj är att att webbplatsen ser ut att använda en relativt simpel CAPTCHA för att skydda mot automatiserade registreringar. Vad skulle hända om ESTA utsattes för en DDoS-attack? Eller blev fylld med berg av snarlika registreringar?

Vidare finns den webbplats som det är tänkt att du som passagerare skall besöka för att lämna känslig information om dig själv.

Jag gjorde ett försök – och hoppsan vad Firefox protesterade!


Säker anslutning misslyckades

esta.cbp.dhs.gov använder ett ogiltigt säkerhetscertifikat.

Certifikatet är inte betrott eftersom utfärdarcertifikatet är okänt.

(Felkod: sec_error_unknown_issuer)

En liten titt på certifikatet visar att det är utställt av organisationen… CPB! Självsignerat certifikat allstå – extremt pålitligt. Dessutom pekar kontaktinformationen för certifikatetet på en användare hos en helt annan organisation nämligen National Technical Information Service (NTIS), en organisation som hävdar att dom är:


the largest central resource for government-funded scientific, technical, engineering, and business related information available today. For more than 60 years NTIS has assured businesses, universities, and the public timely access to approximately 3 million publications covering over 350 subject areas.

Vad f-n har det med certifikat för utländska medborgares privata information att göra?

Vad gäller val av kryptering för att skydda en session mot ESTAs webbplats får jag när jag testar RC4-128, men jag tillåter å andra sidan inte FF att använda svagare krypton.

Är du säker på att du litar på att ESTA tar väl hand om din privata information? (Skall man vara helt ärlig är nuvarande hanteringen av privat information, där kabinpersonalen springer omkring med papperslapparna rätt usel den också.)

JanJ tog i en diskussion upp den mycket intressanta frågan om vad man som anställd kan tvingas att göra för att utföra sitt uppdrag. Om du i ditt jobb blir beordrad att flyga till USA, måste du i och med ESTA som en konsekvens lämna över privat information till en tredje part. Jag är ingen jurist, men det låter som att detta är något som borde regleras i anställningsavtal. Vad händer om jag som anställd vägrar att resa till USA med hänvisning till ESTA?

Enligt SvDs artikel har EU försökt bråka med USA för att medborgare i EU skall slippa att lämna över information. Tydligen har man bla hotat med att USAs medborgare skulle behöva lämna över motsvarande information när de flyger till EU.

Ryggmärgen säger att det vore bra att tvinga USAs medborgare att hosta upp info dom också. Men det är egentligen inte en bra lösning. Mer privat information som skickas runt över världen kan knappast förbättra situationen. Lösningen måste vara att få stopp på denna informationsinsamlings- och kontrolliver.

Och bara för att förtydliga. Japp, detta gäller Svenska resenärer från årsskiftet. Skall du till USA skall du senast 72 timmar innan logga in och hosta upp info om dig själv. Lycka till.