Innledning:
«Det er grunn til å anta at den tiltagende bruken av sterk kryptering vil fortsette. Dette vil påvirke den verdien E-tjenesten har av å kunne avlytte kommunikasjonen ved riksgrensen». (kilde: Lysne II)
«Regjeringen ser det som en utfordring at den informasjonen som E-tjenesten har tilgang til allerede i dag, i stor grad har flyttet seg til andre kommunikasjonskanaler – nærmere bestemt fiberkabler – der tjenesten ikke har tilgang». (Kilde: Forsvarsministeren, NRK)
"Tilgang med samspill med tjenestens øvrige kapabiliteter og data fra lokale sensorer, samt samarbeid med NSM, PST og den aktuelle virksomheten" (Kilde: Lysne-II)
Lysne II rapporten beskriver "Digital grenseforsvar"
Regjeringen har publisert en beskrivelse hvordan funksjonaliteten er tenkt:
(Klikk på bildet for større utgave)
Bemerkninger:
Lysne II-rapporten skriver at E-tjenesten ikke har ønske om å drive masseovervåkning, men at en må likevel legge til grunn at det utstyret som eventuelt vil brukes til DGF, har teknologisk kapasitet til å gjøre nettopp dette.
Og ganske riktig så omtaler denne rapporten en infrastruktur og systemer for
massiv overvåking av elektronisk kommunikasjon. Av alle borgerne som nytter internet.
Utover at statlig masseovervåking ønskes legalisert, så er mye uklart, og lite eller mangelfullt reflektert. Relevante problemstillinger er ikke diskutert og noe er også helt eller delvis selvmotsigende. Rapporten er datateknisk svak.
(Lysne presenterte selv at han ønsker debatt om dette, men såvidt jeg har klart å finne, er han ikke tilgjengelig for offentlig debatt via nettet.)
Skissen ovenfor er (sansynligvis) skissert for å gi en logisk oversikt over prosessen, mens i realiteten griper de skisserte punktene inn i hverandre.
Tilgang til utenlandsk kommunikasjon
Dette skal gjøres ved at nettilbyder pålegges å sende kopi av alle data som passerer kabelen til DGF. Formelle pålegg vil være et aktuelt middel dersom frivillig samarbeid ikke fører frem.
(En nettilbyder som "frivillig" kopierer kundenes datastrømmer til statlige myndigheter bør være vanskelig å oppdrive i et demokrati.)
DGF skal selv kunne plukke ut hvilke data de ønsker å behandle videre (eller komme tilbake til senere), og skal mellomlagre kopi av all data som går gjennom kablene.
Videre skal nettilbyder pålegges å kopiere datastrømmen ukryptert for lavere nivå, link-nivået.
(Link-nivået er nivået over den fysiske kabelen men under ruting-nivået, dvs. under IP-nivået. Enkelt sagt så er Ruting-/IP-nivået dataene/datapakkene som sendes over linja).
At slike pålegg
potensielt kan forhindre fremtidig utvikling av teknologi problematiseres ikke.
For kryptert kommunikasjon mellom brukere/bedrifter, eller det en kaller ende-til-ende kryptering, så foregår dette på nivåer over, og er uavhengig av nettleverandøren. Følgelig kan ikke Staten pålegge nettleverandøren dette via konsesjonsregler.
Hva som er mere interessant å merke seg, er at det er underliggende at DGF vil forsøke å knekke ende-til-ende kryptering, men at dette vil være unndratt offentligheten.
Krypterte data øker i volum. Og i hovedsak grunnet snoking.
I et bisetning bør nevnes at for (norske) digitale sertifikater (for kryptering, elektronisk signering, autorisering, autensitet), så vil myndighetene
potensielt ha aksess til krypteringsnøkkelen (BankID og tilsvarende som aksepteres for autentisering innen offentlig virksomhet).
Generelt er denne muligheten høyst problematisk og det er heller ikke drøftet her (eller andre steder).
Vi innførte kryptert kommunikasjon for å sikkre transaksjoner - for å gjøre internet trygt tilgjengelig for business. Det tok nitidig innsats fra svært mange for å opparbeide tilliten som var nødvendig for dette.
At offentlige myndigheter mener det er en akseptabel sport å investere i, eller å tilrettelegge for, å ruinere tillit ved sikker kommunikasjon, er direkte uetisk.
Hva Snowden avslørte er datakriminalitet og overgrep i regi av statlige aktører er eksepsjonelt dårlig egnet som forbilde.
Formålsglidningen i mange retninger er allerede gitt...
Filtrering
Av den totale datamengden som kopieres skal det filtreres bort bl.a. kommunikasjon mellom norske borge i Norge. Dvs. dersom to norske borgere befinner seg fysisk i Norge så skal kommunikasjonen mellom disse filtreres bort.
Det høres tilforlatelig ut, men datapakkene på internett har ingen begreper om nasjonalitet. Datapakkene har heller ingen kjennskap til om kommunikasjonen er mellom klient og lege, advokat, journalist osv.
En kan filtrerer bort data som går til/fra norsk IP-adresse. Men det er noe annet enn å filtrere bort kommunikasjon mellom norske borgere.
Bare å lese en norsk nettavise, eller å lese fra Stortingets nettsted vil resultere i trafikk som passerer nettet til DGF. Tilsvarende for de flese norske nettsteder og nettjenester.
Det er direkte meningsløst å skrive en kan filtrere og skjerme norsk-til-norsk kommunikasjon. Det meste en gjør vil gå via, eller vil aksessere, dataservere utenfor Norge. Å snakke om "landegrenser" for Internet er teknologisk meningsløst.
Det er heller ikke gitt at de reelle IP-adressene for ende-til-ende kommunikasjon er kjent eller tilkjennegis via mellomlagring. (Dette er etterforskningsmyndigheter blitt informert om fra SSAC, Internets Security and Stability Advisory Committee.)
Filtrering er noe en gjør maskinelt. Som betyr at datastrømmer filtreres etter et (eller kombinasjoner av flere) regelsett, for så å gi data ut. Dette tar sekunder, ikke to uker.
Lagring
Korttidslageret skal være en offentlig sandkasse for å teste hvordan teknologien fungerer og opparbeide seg kunnskap om teknologi. ("Finne hvor relevant trafikk går og hvordan tjenestene på nett et bygget opp, slik at DGF virker").
Jeg ville trodd at det måtte være et krav om at slik kunnskap allerede er opparbeidet innen en slipper noen til slike opgaver som her skisseres.
Videre skal en filtrere bort innholdsdata for å lagre metadata - men samtidig vil en nytte metadata hentet fra innhold i dataene, og denne selvmotsigelsen er ikke nevnt, langt mindre belyst.
Eksempelvis må en åpne mail og lese mailens innholdet for å finne om der er vedlegg av interesse, og for å finne om avsender kan antas å være i eller utenfor Norge. For mange mailtjenester vil slike data (som viser brukerens IP-adresse eller gir informasjon relatert vedlegg) være fjernet eller kryptert, for å beskytte brukeren.
Metadata
Metadata beskrives som er teknisk informasjon om hvem som kommuniserer med hvem. Eksempelvis telefonnummer, e-postadresser, IP-adresser m.m.
Borgernes identiteter og kommunikasjonsnettverk via internett skal kartlegges (Punkt 6). Men først etter at domstolegodkjenning er gitt (punkt 5)
I praksis betyr dette å nytte analyseverktøy for å binde data til personer, og skissen indikerer også at det kombineres data fra andre kilder enn bare "grensekabelen". Dette er ytterst intrusive verktøy, og persondata selges fritt på markedet. Stater er blant kundene.
"Profiling" av personer og kartlegging av elektronisk nettverk vil fort omhandle 10-tusener personer bare i ett søk (mitt eget "nettverk" i modellen DGF fremmer er i alle fall 6-sifret).
Sanntidsovervåking
I Forsvarets egen presentasjon (tilgjengelig via nettTV fra Stortinget) sier Forsvaret at de ser gjerne av lovverket ikke blir detaljert, de ønsker heller å nytte forskrifter...
Det nevnes at Forsvaret kan komme til å ha nytte av overvåking i sann tid. (Dataene er jo allerede tilgjengelig via DGF).
Dekryptering i sann tid vil sterkt degradere den faktiske sikkerheten til selve kommunikasjonen.
Dette er rimelig teknisk, men er en alvorlig problemstilling som ikke diskuteres. (I prinsippet kan en si at det er ensbetydende med bortimot null sikkerhet - og uten at de involverte advares).
DGF beskriver en sterkt utvidet modell av datalagringsdirektivet.
Ved massiv overvåking, profiling og diverse mere eller mindre "intelligente" analyseverktøy (som ikke er diskutert, langt mindre problematisert) skal staten, via millitær overvåking og teknologi, akkumulere og lagre profiler, døgnet rundt.
Det er en rekke flere ting som må diskuteres, og avslutningsvis skal jeg nevne et par (men der er flere)
1)For nasjonal sikkerhet, så er dette et farlig konsept.
- Det nevnes at Russland potensielt ønsker å påvirke valg. Det som bør nevnes er hvorvidt The Deep State selv kan manipulere valg, via (bruken av) den informasjonen de sitter på.
- Petraeus-skandalen, hvor en 4-stjernes general måtte gå av grunnet The Deep States snoking i hans ytterst private sfære.
- Det foreligger eksempler på utpressing av personer i betrodde eller utsatte posisjoner. I all hovedsak når dette aldri media.
- Det foreligger eksempler på industrispionasje av ytterst alvorlig karater (heller ikke stoff for media)
2) Konseptet DGF er et massivt overvåkingskonsept for etterretning.
- Det kan ikke fremstilles som egnet konsept for å hindre kriminalitet eller terror.
Eksempelvis er det direkte useriøst å nevne terror i Paris som eksempel på nødvendigheten av DGF
- Det beskytter heller ikke for datasikkerhet
- Målrettet mail med malware har en helt andre metoder for å forhindre, eksempelvis datasikkerhet, sikker konfigurering og implementering av hvordan mail håndteres i en organisasjon.
- Dette vil heller ikke beskytte mot generell datakriminalitet eller datainnbrudd.
- Og ikke minst, dette er et alvorlig brudd både på Grunnloven og EMK.
3) Teknologi som fremmer sikkerhet blir ofte(st) tilsidesatt, utsatt eller ikke implementert fordi det hemmer myndighetenes overvåkingsmuligheter. Vi har sett dette via DNSsec, TSIG, IPv6 og alt som vanskeliggjør State-in-the-middle. Men det er slik teknologi som kan beskytte mot dataangrep.
I stedet for å bruke resurser for å tilegne seg kunnskap via implementering av faktisk og reell sikkerhet, bryter en ned både tillit og sikkerhet - og til en høy pris
Siden det er valgår gir jeg herved tips til politiske partier: De kan selv bidra med valgsikkerheten, ved å ikke nytte utenlandske mailtjenester når de kommuniserer med medlemmer - og slettes ikke gi sine medlemslister til utenlandske tjenesteleverandører, slik noen av dem gjør...
Militær overvåkning av landets borgere via DGF får datalagringsdirektivet til å blekne
og bør uroe enhver borger, for dette er en tankesett som er svært destruktivt.
Relevant informasjon
Forsvarsminister sier Norge må få på plass et
digitalt grenseforsvar for å sikre samfunnet mot cyberangrep og terror.
20.februar annonserte Regjeringen at
digitalt grenseforsvar (DGF) utredes
Argumentasjonen er velkjendt:
""Regjeringen ser det som en utfordring at den informasjonen som
E-tjenesten
har tilgang til allerede i dag, i stor grad
har flyttet seg
til andre kommunikasjonskanaler – nærmere bestemt fiberkabler – der
tjenesten ikke har tilgang"(sier ministeren)"
Fra EOS-rapporten "
Særskilt melding til Stortinget om rettsgrunnlaget for Etterretningstjenestens overvåkingsvirksomhet" (datert 2016) fremkommer det at e-tjenesten allerede akkumulerer data.
I dag er en mengde statlige spionbokser installer i nettet, hvorfra e-tjenesten kan innhente data. Disse er implementert under dekke av sikkerhet for bedrifter. Datatrafikk til store norske selskaper kopieres for at de hemmelige tjenestene skal analysere datatrafikken til/fra titusener av ansatte i disse selskapene.
Nå ønskes utvidet aksess ved at dette implementert for fiberkabler inn/ut av landet - samt at praksisen legaliseres ved innføring av nytt lovverk.
I realiteten vil alle borgere være under digital overvåking døgnet rundt.
Digitalt grensevern - E-tjenesten vil plassere
snokebokser på alle fiberkabler inn og ut av landet
