Kryptoblog

Den senaste tiden har det kommit allt fler rapporter om laptops som blivit konfiskerade eller där hårddisken blivit klonad av säkerhetskontrollen på flygplatser. De flesta av dessa händelser har skett i USA, men även i England och Sudan har detta skett.

En typ av laptop som tydligen är extra besvärlig är Apples nya Macbook Air som ställer till det för säkerhetspersonalen. Enligt TSA är det i första hand den SSD-hårddisken som inte ser ut som förväntat vid röntgenundersökningen.

C|NET har publicerat en krönika av Declan McCullagh kallad Laptop Border Guide som kommer med tips på hur du skyddar din laptop mot problem i säkerhetskontrollen.

Krönikan kommer med olika tips utifrån hur paranoid (viktigt du tar din säkerhet). Jag tycker kanske att utgångspunkten (skydda din laptop mot säkerhetskontroller) är lite fjompig, men jag tycker att guiden innehåller bra tips för att skydda din laptop generellt. Det är ju inte bara i säkerhetskontroller en laptop kan hamna i orätta händer.

Jag kan inte låta bli att dra paralleller mellan flygindustrin och film- och skivndustrin och deras försök att med olika typer av lagförslag och tekniska lösningar försöker styra, kontrollera och övervaka sina kunder. Utgångspunkten är att kunderna är misstänkta och behandlas därefter. Och detta är dessutom en affärsmöjlighet.

Jag är därför inte förvånad över att dett det dyker därför upp ett antal olika förslag på hur passagerarna skall förses med olika typer av prylar som håller koll på dom. Eftersom RFID-teknik är populärt är det inte alls förvånande att något kommit med ett förslag att sätta RFID-taggar på alla passagerare.

För problemet med laptop-datorer finns det även förslag på speciella, TSA-godkända laptopväskor. Som en kommentar på Schneiers blog påpekar:

Some company’s gonna make overpriced “TSA Approved” bags and there’s gonna be lots of buyers. Quite surely. “TSA Approved” certainly sounds like an excellent marketing tool too. This is so funny…

Det senaste förslaget är att utrusta samtliga passagerar med armband som kan avge elektriska stötar (motsvarande en tazer-pistol):

A method of providing air travel security for passengers traveling via an aircraft comprises situating a remotely activatable electric shock device on each of the passengers in position to deliver a disabling electrical shock when activated; and arming the electric shock devices for subsequent selective activation by a selectively operable remote control disposed within the aircraft.

The remotely activatable electric shock devices each have activation circuitry responsive to the activating signal transmitted from the selectively operable remote control means. The activated electric shock device is operable to deliver the disabling electrical shock to that passenger.

Är det någon mer än jag som funferar på vilken säkerhetsrisk ett sådant system utgör? Om någon tar över kontrollen till strömstötutrustningen går det antagligen att använda passagerarna som gisslan. Och vad skulle kunna hända om strömmen i utrustningen appliceras på flygplanet?

Det mest skrämmande är dock att någon antagligen tycker att detta är en bra idé…

Creeper, övervakningstjänsten skapad av Patrik Wallström har loggat att någon hos Kristdemokraterna surfat till en webbplats känd för sitt pornografiska innehåll. Creeper har fångat upp att någon med IP-adresser tillhörande Kristdemokraternas kansli har surfat till webbplatsen Knullis.

Kristdemokraternas partisekreterare Lennart Sjögren kommenterar händelsen:

Väldigt olämpligt att använda partiets datornät för den här typen av besök.

Lennart, är det inte olämpligt att surfa till Knullis över huvud taget?

Dock är det intressant och spännande att se att Creeper faktiskt fortsatt fungerar.

(Det här brukar vara ett hett debattämne så jag sätter väl på mig jul-asbest-kallingarna…)

Bruce Schneier har en postning om sin blogg om hur polisen i Conyers, USA agerar för att minska mängden inbrott i parkerade bilar.

Vad polisen gör i Conyers är att gå runt på parkeringsplatser och titta vad som finns i bilarna.

I de bilar polisen ser att det finns värdesaker att sno sätter polisen en varningslapp på bilen. En stor, gul lapp.

Men jösses?!

Inom IT-säkerhet pratar man om olika sätt att berätta om/avslöja säkerhetsproblem. Termer som full disclosure, reasonable disclosure används för att beskriva hur någon som upptäcker ett säkerhetsproblem agerar. Det har länge pågått en debatt om för- och nackdelarna med de olika sätten att agera.

Det är sannolikt så att hade vi inte haft folk som öppet rapporterat om svagheter i IT-system hade mängden säkerhetsproblem som fixats varit mycket mindre. Vi har efter åratal av incidenter fått upp ett arbetssätt hos de flesta företag att leta efter svagheter i sina produkter, men även fått arbetssätt att reagera på och hantera svagheter som rapporteras av användare och aktörer.

Samtidigt verkar det finnas en klar koppling mellan en publicerad svaghet och nya svagheter som elak kod använder för att ta över ett system. Att publicera en svaghet får alltså konsekvenser något den som publicerar svagheten måste vara medveten om.

Jag säger inte att man inte skall publicera. Vad jag säger är att den som levererar produkten/tjänsten svagheten är kopplad till måste få en chans att reagera. Men om denna inte reagerar går det inte heller att vänta i all evighet. Så publiceringen måste ske. Den stora frågan är vad som tas med i publiceringen. Vad är det som avslöjas om svagheten?

Detta är en svår balans. Den som publicerar vill kunna visa upp så mycket att andra skall kunna verifiera att det finns en svaghet. Samtidigt kan detta innebära att de som vill utnyttja svagheten för onda syften snabbt kan ta till sig svagheten och omsätta den i verkliga attacker.

Tittar man på publicerade svagheter varierar innehållet från allmänna beskrivningar, ex ett fel av typ XYZ har upptäckts i delen ABC av produkten GHI, till färdiga program och script för att utnyttja svagheten. Även om jag kan tycka att det är kul att testa en del exempelkod anser jag att det på det stora hela är oansvarigt.

Ett Svenskt exempel på vad jag anser vara oansvarigt avslöjande är hur Dan Egerstad på Deranged Security i höstas postade inloggningsuppgifter för eposten till olika ambassader runt om i världen på sin webbplats. Att undersöka Tor är helt rätt, att när man upptäcker säkerhetsproblem kontakta de drabbade är helt rätt. Men att hänga ut de drabbade på det sätt Dan gjorde är fel. Mycket fel.

Jag har svårt att se att polisen i Conyers agerar mycket annorlunda. Att de går runt och upptäcker att folk är slarviga med att plocka undan värdesaker är helt rätt. Men sättet man agerar för att få bilägarnas (användarnas) uppmärksamhet är fel. Man hade kunnat agera mycket annorlunda. Ex skriva upp bilnumren och sedan skicka brev (eller tom böter) till bilägarna.

Och detta kanske är poängen: Även om det är en myndighet, tom den polisiära makten som avslöjar ett säkerhetsproblem eller en svaghet går det inte att agera hur som helst. När SVT avslöjar att ICA-handlare märker om köttfärs är detta inget som drabbar utan gagnar konsumenterna. Men när polisen hjälper biltjuvarna att hitta till godsakerna är det fel sätt att agera.

Säkerhetsproblem är dumt, men det gör inte att vi kan agera korkat när vi upptäcker dom.

Uppdatering 2008-01-03:
Björn Persson pekade på att det skett en uppdatering i historien om polisen och deras gula lappar. Justin Troutman, en av användarna på Bruce Schneiers blog kontaktade polisen i Conyers och fick deras förklaring:

I contacted Conyers Police Department, basically iterating the same thought that this lets thieves know which vehicles they should be paying attention to.

Their response to me was:

“Thank you for contacting the Conyers Police Department. We appreciate that you took the time to write us with your comments about our flyer initiative.

Unfortunately, the media did not impart the whole story in regard to the flyers. Flyers were not just placed on vehicles that contained visible items. Flyers were also placed on vehicles that contained no visible items with a note saying “Nothing Observed (Good Job!)”. All vehicles were targeted. This initiative was not aimed only at vehicles that had items actually visible. Therefore, the flyers would not have been of any use to a thief for targeting vehicles since vehicles without items also received flyers. In addition, it was also not reported that all of the areas had extra patrols and officers on foot who were distributing the flyers.

We are sorry that the media did not provide this information despite the fact we asked them to. We hope that makes you see that our initiative was better planned than you believed.”

Hopefully, thieves won’t be able to easily differentiate between a flyer that indicates loot versus a flyer that indicates no loot; if the former looks noticeably different, they’ll ignore the latter.

Dvs man lappade alla bilar - Men notera att det fanns en skillnad i hur lapparna såg ut, det är inte uppenbart om skillnaden gör det enkelt att identifiera (för tjyvar) intressanta bilar eller ej.

Integritetsskyddskommittén har lagt fram ett förslag om att införa ett skydd i grundlagen för den personliga integriteten. Riksdag och Departement har läst förslaget:

Integritetsskyddskommittén konstaterade i ett delbetänkande att lagstiftaren fäster alltför ringa vikt vid integritetsintresset när nya lagar antas. I stället har bland annat effektiviteten i brottsbekämpningen framhållits. I förra veckan justerade kommittén sitt slutförslag.

Enligt förslaget ska ett nytt stycke läggas till i regeringsformen. I 2 kapitlet där medborgarnas grundläggande fri och rättigheter, som till exempel yttrandefriheten, räknas upp vill kommittén i paragraf 6 skriva in ett skydd för integriteten.

Integritetsskyddskommitténs förslag finns i SOU 2007:22 Skyddet för den personliga integriteten.

Läs igenom kommitténs förslag och tycker du att det är ett bra förslag är det nu hög tid att börja prata med din representant i riksdagen. Det tänker jag göra.

I en artikel på IDG, med den härliga sensationsnyhetsingressen att Försvarets radioanstalt rasar mot Wimax, anser tydligen FRA att WiMAX är ett hot mot rikets säkerhet.

Vad det handlar om är licenser för regional radiotrafik i bandet 3.6-3.8 GHz skall auktioneras ut. Men att få en stor mängd ny trafik i detta frekvensbandet tycker inte FRA är så bra:

Detta tycker inte Försvarets radioanstalt, FRA, alls om. Frekvensbandet ligger nämligen inom det spektrum som FRA använder för att inhämta signaler från kommunikationssatelliter.

Skulle radiosändare för trådlöst bredband sättas upp betyder det att FRAs möjlighet att lyssna på satellitsignalerna försvåras eller rent av omöjliggörs. Det skriver underrättelsemyndigheten i en skrivelse till Post- och telestyrelsen, PTS.

“Bortfallet av denna trafik kommer att få negativa konsekvenser för signalspaning som stöd för svensk utrikes-, säkerhets- och försvarspolitik, däribland stödet till försvarsmakten när det gäller ‘force protection’ vid internationella insatser”, skriver generaldirektör Ingvar Åkesson i brevet.

(Ingvar Åkesson)

Att lokal radiotrafik stör ut signaler från satelliter är inte speciellt förvånande. Men det som är intressant är att se hur FRA:s argumentation krockar och dom kommer med olika budkskap beroende på vad frågan handlar om. Så här sa Ingvar Åkesson till Aktuellt angående att FRA måste få börja avlyssna trådbunden kommunikation:

-I närområdet så kan man säga att ungefär 98 procent av all telekommunikation sker i kabel, det är ytterst sällan att man har någon satellitburen kommunikation i vårt närområde, säger FRA:s generaldirektör Ingvar Åkesson.
-Så ni missar nästan allt?
-Ja, i närområdet blir det allt mer tydligt så.

Dvs ibland är problem med att avlyssna satelliter ett allvarligt hot mot rikets säkerhet, och ibland är satellitkommunikation en högst marginell företeelse. Vad det kanske handlar om är det som är makten att bestämma över hur kommunikation sker i ett modernt samhälle. Eller som IDG skriver:

Dessutom vill man (dvs FRA - JS) få ett större inflytande vid kommande auktioner för andra frekvensområden, som enligt FRA kan antas ha liknande effekter.

Jösses, allting kan tydligen omformuleras till ett terroristhot. BBC har en artikel om det senaste och hemskaste av hot: datorer som pratar som människor - röstsyntes.

Artikeln handlar om att datorer börjar bli så kraftfulla att det går att ljudmässigt modellera människans hela röstorgan.

Genom att modellera hela röstorganet kan sedan extremt människoliknande tal skapas. Och (naturligtvis) är detta då ett terroristhot eftersom skummisar som Bin Laden då skulle kunna fejka att dom är någon helt annan och skapa förvirring. Eller som Dr Howard uttrycker det:

The terrorism aspect would come in if the technology were used for more malicious purposes, such as someone taking over a communications network for a country and broadcasting a speech apparently from the country’s leader.

“This gives rise to this notion of what I call vocal terrorism as a possible scenario in the future, which I’m suggesting one should be thinking about now and not thinking about when it happens.

“It’s not scaremongering; it’s trying to say to people, ‘we have to think about these things’,” he said.

Visst, tekniken i sig kan användas både för bra och dåliga syften, men att ropa terrorist? Dom fick iaf uppmärksamhet för sina resultat… Vad blir nästa steg, förbud för privatpersoner att inneha samplers och datorer med röstsyntes (där försvann min Mac)?

(Jag har läst ett antal intressanta artiklar och rapporter som jag tänkt blogga om, men inte hunnit med - så nu kommer en radda postningar med lästips.)

Lars Ilshammar, historiker, journalist och chef för Arbetarrörelsens arkiv och bibliotek, har skrivit en rapport/essä om när datorerna blev farliga.

Vad Ilshammars text handlar om är inte när datorerna rent tekniskt blev farliga - utan när den mediala debatten och den politiska uppfattningen i Sverige om datorer, både tekniken i sig och användningen av tekniken, övergick från i grunden teknokratiskt och optimistiskt till att vara kritiskt. Ilshammars sammanfattning förklarar det hela:

During the 1960s, Swedish society underwent a rapid and revolutionary computerisation process. Having been viewed as a harmless tool in the service of the engineering sciences during the first part of the decade, the computer became, during the second part, a symbol of the large-scale technology society and its downsides.

When the controversy reached its peak in 1970, it was the threats to privacy that above all came into focus. This debate resulted in the adoption of the world’s first data act in the early 1970s. This paper will study and analyse the Swedish computer discourse during the 1960s, with special focus on the establishment of the Data Act. The core issues are what factors of development and what main figures were instrumental to the changing approach to computer technology during the later part of the decade.

Rapporten är mycket intressant att läsa, inte minst med tanke på den debatt som i dag förs om datalagring, buggning och avlyssning av olika typer av kommunikation. I slutet av 60-talet och bara några få in på 70-talet rasade en rejäl debatt om integritet och då speciellt de hot mot den privata integriteten som datatekniken gav möjlighet till.

Det är två saker som jag reagerar på när jag läser Ilshammars rapport. Dels hur fort omslaget från en i grunden positiv inställning till en negativ inställning gick. På några få år, från 1968 till ungefär 1972, slår attityden om närmast fullständigt och innebär konkreta förändringar som införandet av datalagen och inrättandet av Datainspektionen. Den andra saken jag reagerar på är vilka som gick i frontlinjen för att värna den personliga integriteten - det var nämligen Folkpartiet tätt följda av Moderaterna, samma partier som i dag går i frontlinjen för att inskränka integriteten med hjälp av datorer.

Jag hoppas att företrädare för dessa partier från den tiden pratar med dagens företrädare och diskuterar hur man då resonerade vad gäller skydd för den personliga integriteten kontra effektiv myndighetsutövning och skillnaden mot dagens samhälle. Jag tror vi i det här fallet har mycket att lära av dåtiden.

En bok som då kunde vara bra att läsa är Datamakt, skriven 1975 av den Folkpartistiska riksdagsledamoten Kertin Anér (ISBN 91-7070-421-X). Boken är alltså skriven i efterdyningarna av den debatt Ilshammar skriver om, och en bra sammanfattning av hur man inom Folkpartiet och borgarna resonerade. Boken ser man ofta på antikvariat och är värd att plocka upp. (Jag betalade 20 SEK för mitt ex.)

Ok, förutom integritetsapekter, vad har detta med IT-säkerhet att göra? Jo en koppling jag gör är att i dag finns det reella hot - phising, identitetsstöld, virus, spam, trojaner som folk är relativt medvetna om. Till detta tillkommer ökad övervakning med kameror, buggning etc - detta utan att farorna analyseras speciellt mycket. Samtidigt exponerar sig folk på Facebook, MySpace, Flickr etc och tycker att det är helt ok. Vi har alltså en mycket komplex blandning av psykologi, integritet, datoranvändning, reeella och imaginära hot samt utdelning och bearbetning av personlig information med i många fall global exponering.

I detta läget kanske vi, precis som när datorerna blev farliga, borde ha en ordentlig offentlig debatt. Det kanske är dags att exempelvis sociala nätverk på Internet, messa, LOL-cats, övervakningskameror och e-myndigheter betraktas utifrån säkerhet och integritet? Att dom kanske är lite farliga.

Det har dykt upp ett par artiklar om att USAs National Security Agency (NSAs webbplats) har startat ett moderniseringsprogram kallat CryptoMod. Syftet är att modernisera utrustning och användning av krypto inom civil och militär förvaltning - både i USA och inom NATO. I en intervju med Daniel G. Wolf, Information Assurance Director på NSA förklarar han moderniseringsprogrammet på följande sätt:

The Cryptographic Modernization Initiative is a Department of Defense-directed/NSA IAD-led effort to transform and modernize IA capabilities for the 21st century.

Of the 1.3 million cryptographic devices in the U.S. inventory, 73 percent will be replaced over the next 10 to 15 years by ongoing and planned C4ISR systems programs, IT modernization initiatives and advanced weapons platforms.

All command and control, communications, computer, intelligence, surveillance, reconnaissance, information technology and weapons systems that rely upon cryptography for the provision of assured confidentiality, integrity and authentication services will become a part of this long-term undertaking. The Cryptographic Modernization program is a tightly integrated partnership between the NSA, the military departments, operational commands, defense agencies, the Joint Staff, federal government entities and industry.

The program is a multi-billion dollar, multi-year undertaking that will transform cryptographic security capabilities for national security systems at all echelons and points of use. It will exploit new and emerging technologies, provide advanced enabling infrastructure capabilities, and, at the same time, modernize legacy devices that are now operationally employed.

The program also directly supports the DoD vision of the Global Information Grid. The security configuration features like I described in the scenario above enable new cryptosystems to provide secure information delivery anywhere on the global grid while using the grid itself for security configuration and provisioning—total seamless integration.

NSA har en webbplats för moderniseringsprogrammet som dock inte innehåller mycket mer information än att gruppen som ansvarar för CryptoMod gjort ett så gott arbete så här långt att de förtjänar en utmärkelse

Wikipedia har dock en webbsida om CryptoMod med lite mer detaljer. Där står bland annat att programmet omfattar Suite A, vilket innehåller NSA-utvecklade och hemliga krypton. Men programmet omfattar även Suite B, vilket inkluderar NIST-specificerade kryptografiska primitiver, exempelvis AES och SHA (bland annat SHA-256) samt varianter av Diffie-Hellman-baserade algoritmer för nyckelutbyten och signaturer.

Frågan jag ställer mig är hur programmet kommer att påverka oss här i Sverige. Både genom NIST-specificerade algoritmer som använder, men även genom förändrade krav på hur information utbyts mellan Sverige, EU, NATO och USA.

(Ok, detta handlar inte direkt om IT-säkerhet…)
I den utmärkta tidskriften Tvärsnitt hittade jag en blänkare om ett arbete inom sociologi kallat Fri och öppen programvara - en studie om de nya utopisterna:

De som utvecklar öppen källkod och delar filer på Internet utmanar synen på ägande. Sociologen Carl Göran Heidegren har studerat en rörelse vars idéer har omvälvande sprängkraft. Han säger sig ha funnit de moderna utopisterna.

Carl-Göran Heidegren har ställt frågor till medlemmar i Svenska Linuxföreningen, som samlar drygt 3000 förespråkare för öppen programvara. Studien ingår i ett större projekt om så kallade livsföringsmodeller bland unga.

Värden som frihet, frivillighet och öppenhet slog an hos Linuxanvändarna. De värdena var viktigare för dem att försvara än att ha kul. Men lika högt skattades värdet av samarbete och gemenskap. Linuxföreningens medlemmar fann en glädje i att gratis dela med sig av sina kunskaper, visar studien.

En stor del av Linuxföreningens medlemmar, i synnerhet de under 25 år, tyckte att principerna borde ligga till grund för en ny samhällsform. Här blir undersökningen särskilt intressant, menar Carl Göran Heidegren. Dragna till sin spets sätter den här sortens värderingar principer om patenträtt, copyright och ägande i gungning. Vad kan ägas, vad kan skyddas för insyn och vad ska vara tillgängligt för alla?

- Hela projektet öppnar sig mot nya utopier. Helt klart är att Linuxanvändarna ställer högre krav på transparens i samhället. De söker mer öppna former för olika verksamheter än den traditionella slutenheten som präglar vissa områden av vårt samhälle, säger Carl-Göran Heidegren.

Projektledaren för studien är alltså Carl-Göran Heidengren, docent och lektor i Sociologi vid Lunds Universitet.

Enligt en sida på institutionen för Sociologi i Lund skall det finnas ett working paper från projektet. Dock lyckas jag inte hitta det tillgängligt på nätet.

Hittar någon en länk till arbetsartikeln skulle jag uppskatta om ni skickade den. Det skulle vara intressant att få läsa vad Carl-Göran och hans grupp kommer fram till vad gäller synen på frihet, öppenhet och tillgänglighet även för information, ex Wikipedia och kopplingen till personlig integritet. (Och då fanns det en koppling till IT-säkerhet i alla fall…)

Per Ström, Integritetsombudsmannen på tankesmedjan Den Nya Välfärden publicerade för en dryg vecka sedan ännu en rapport i sin Storebror-serie. Den här gången är det RFID som behandlas i Med Storebror i byxfickan. Anders R Olsson har läst rapporten och konstaterar att:

När information om våra rörelser väl finns lagrad någonstans blir kraven på polisiärt utnyttjande snart oemotståndliga.
Nyhetsmedia frossar i de mest avskyvärda brotten, varvid den allmänna opinionen piskas upp till den grad att alla sekretessbestämmelser knäcks. Ska sekretessen få skydda mördares, våldtäktsmäns eller pedofilers identitet?

Bit för bit byggs polisstatens tekniska infrastruktur. Pär Ström är kunnig och skriver föredömligt enkelt. Av allt att döma lär varken tekniska eller juridiska knep skydda oss, i längden, mot missbruk av rfid.

Lagstiftning behövs ändå, naturligtvis. Något motstånd är bättre än inget alls, men framförallt är det allmän upplysning och offentlig debatt vi behöver.

Jag tycker att Pär Ströms rapport är värd att läsa inte minst för att den sätter perspektiv på takesmedjan Eudoxas rapport Den hänsynsfulla taggen som kom för nåot år sedan och jag bloggat om tidigare. Skillnaden mellan de hotbilder och risker med ökad RFID-användning som tankesmedjorna Den Nya Välfärden och Eudoxa målar upp kan knappast bli större.

Pär Ströms rapport finns nu även att ladda ner som podradio/ljudbok så du kan lyssna på den i hängmattan. Och för den som funderar på hur man tekniskt skall arbeta med RFID för att hantera en del av de tekniska problem som Ström pekar på rekommenderas NISTs rapport om RFID och säkerhet.