🎠 Hackers och spionprogram (igen)

Välkommen till De Kaminski Digital, mitt nyhetsbrev med ambitionen att fördjupa samtalet om IT-politik och bidra med en internationell utblick till diskussionen i skärningen av teknik och mänskliga rättigheter.

I det här nyhetsbrevet kan du läsa:

Senaste nedslagen; Internetdagarna och bibliotek (och TPB)
Övervakning och fällan "Bank-ID"
Demokratisering av spionprogramsjakt

Vill man följa mig på sociala medier kan man med fördel göra det på Threads, Instagram eller Mastodon (jag postar dock mest trams). För jobb-kontakter finns jag också på LinkedIn.

Känner du någon som du tror skulle uppskatta det här nyhetsbrevet? Tipsa dem om att registrera sig på www.dekaminski.se!

Senaste nedslagen; Internetdagarna och bibliotek (och TPB)

Jag jobbar mest på min kammare, men ibland beträder jag människobyn på ett eller annat sätt. Under november fick jag möjlighet att besöka Internetdagarna 2024 - sedan Covid snyggt digital paketerat som ett contentpaket för den som vill lära sig mer om internet eller hänga med i de senaste heta frågorna.

I ett seminarium arrangerat av Unionen och ett annat av Paulina Modlitba (som skriver ett regelbundet och riktigt intressant nyhetsbrev, hon med!) fick jag göra inspel från min horisont ang hot och risker kring den skenande "AI"-utvecklingen. Jag tycker verkligen det var superbra samtal, och för den som köpt biljett kan man se dem i efterhand.

Jag fick också äran att vara lite posterboy för Internetstiftelsens slutfilm, vilket förstås känns lika delar skämmigt och hedrande:

Vidare har jag också föreläst om "AI" under rubriken "Etik, Integritet och Demokrati" för 250 bibliotekarier från sex svenska regioner. Det var verkligen spännande, och när jag satt med i eftersnacket med en lite mindre grupp var det tydligt att man i biblioteksvärlden verkligen både är på hugget och samtidigt oroad.

Framförallt förstår jag det som att biblioteken på många sätt är ett slags sista samhällsutpost där medborgare kan få stöd med en uppsjö tjänster som man kan behöva hjälp med. Det är förstås inte meningen att biblioteken ska vara digitala supportcenter när folk behöver boka en betala sina räkningar eller boka en vårdcentralstid - men var går man annars när bankkontoren stänger kontanthanteringen och vården hänvisar patienter till 1177 utan att ta hänsyn till om folk verkligen vågar, vill eller kan hantera rätt komplexa digitala plattformar?

Jag har också fått väldigt mycket frågor om The Pirate Bay på senaste tiden. Den som vet den vet att jag var djupt engagerad i Piratbyrån när det begav sig på 00-talet. Ett av de sidoprojekt vi startade som en liten experimentell verkstad för oss och våra vänner var The Pirate Bay, som ju - vilket jag antar inte är okänt - exploderade och blev världens största fildelningssite.

Nu sänder SVT på Play spelserien om The Pirate Bay. Jag tycker generellt inte den är så dålig, det är ju en tydlig dramatisering. Den som var med på den tiden kan sitta och känna igen sig lite, och den som bara hört om fenomenet fildelning pga ung och/oskyldig kan lära sig en hel del. Några karaktärsmord hinner man däremot med vilket jag tycker är väldigt olyckligt och oproffsigt.

För egen del figurerar jag lite här och där genom serien, och är glad att jag fick en så himla snygg skådespelare att spela mig (och också med sådana här tidstypiskt karaktäristiska repliker):

Vill man läsa mer analyser från några av mina vänner som var med på den tiden och också syns mer i serien kan man med fördel läsa Rasmus Fleischer i Aftonbladet eller Flamman, eller lyssna på Peter Sunde i SR P1 Kultur. Även intervjun av dem båda i Torrentfreak är väldigt läsvärd.

Läs mer

Övervakning och fällan "Bank-ID"

I veckan som var reste jag till Berlin för konferensen SplinterCon. Det är en väldigt tekniskt fokuserad konferens som samlar det som brukar kallas "researchers" - men där egentligen rätt få är akademiskt affilierade (även om även de finns, bland annat nederländska Critical Infrastructure Lab) utan man snarare "researchar" tekniska system, plockar isär dem när de behövs och bygger nya när man stöter på problem. Det man egentligen gör är alltså att man hackar saker, i SplinterCons fall med fokus på censur och blockeringar av internet.

Några höjdpunkter tyckte jag själv var att höra mer om hur påtvingad SIM-kortsregistrering påverkar användare i mer repressiva miljöer. Registrering av SIM-kort är något som införts även i Sverige de senaste åren, då med argument kring (inte helt oväntat) vikten av att identifiera kontantkortsanvändare för att stävja den organiserade brottsligheten. Visst kan det vara ett tänkbart argument, men i andra länder används för att stävja nästan allt det vi tror att vi försvarar här i Sverige.

I forskning som vi på OTF finansierat kan vi dock läsa hur det påverkar användare i Kina. Där innebär den påtvingade registreringen med sina riktiga namn (dvs sitt elektroniska ID) att användare spåras vad de än gör på internet. Om man använder sig av appar som regeringen betraktar som tveksamma (exvis VPN-tjänster eller annat som kan erbjuda tillgång till ett fritt internet) så blir man utan pardon avstängd. Gör man något som verkar lite suspekt (exvis beställer taxi lite för ofta till samma adress eller kommunicerar orimligt mycket med någon som blivit flaggad i systemet) så får antingen man själv eller ens familj hembesök av säkerhetstjänsten som vill "kolla läget". Svenska politiker som föreslår att man ska behöva logga in till sociala medier med Bank-ID verkar helt missat vilken pandoras ask de gläntar på och den här helt absurda insändaren från "bekymrad medborgare" orkar jag inte ens kommentera.

Men för att återknyta till SplinterCon så var just ovanstående grunden i ett så fint moment under konferensen. Jag hade ynnesten att lyssna in till ett samtal där experter som jobbar för att ta sig runt de här registreringskraven utbytte erfarenheter, tips och tricks.

Vi vet nämligen att diktatorer lär väldigt snabbt av varandra. Ett sådant exempel är när aktivister i Burma strax efter militärkuppen 2021 rapporterade att man noterat inkommande flyg direkt från städer i Kina där man vet att säkerhetstjänsten har sina högteknologiska verksamheter. Att rapporter därefter funnit att den burmesiska militärjuntan använder sig av kinesisk metod och infrastruktur för övervakning av sina egna medborgare är väl ingen direkt överraskning. Det är därför så oerhört viktigt att även hackers och välvilliga techies får möjlighet att lära av varandra - det är där många lösningar finns.

Att då som svensk få sitta med och höra erfarenheter från varför registrering av SIM-kort är dåligt och hur folk förlorar sina jobb för att deras helt normala internetanvändning kopplats till deras verkliga person kändes för mig oväntat stort.

Jag tyckte det var korkat när moralist-lobbyn lyckats få politiker att kräva Bank-ID för porr-siter. Mest kanske för att det känns helt orimligt att tvinga porrsugna användare att lämna ifrån sig in surfhistorik till ett privat företag (som Bank-ID alltså är), men också för att jag inte ens i min vildaste fantasi förstår hur det ska fungera. Den som någonsin sökt efter porr på internet vet hur många porr-siter det finns.

På samma sätt är det urbota korkat när man nu diskuterar en åldergräns på sociala medier. Vill vi verkligen åsiktsregistrera en hel befolkning och låta ett privat företag (som Bank-ID alltså är) att ha koll på vilka sidor vi väljer att besöka?

Jag började fnittra häromveckan när jag dessutom läste att en politiker, oklart vilken men det spelar ingen roll, på fullt allvar menade att ålderskontrollen inte skulle gälla vuxna - bara barn under femton år. Det krävs ju inte särskilt mycket eftertanke för att begripa att en sådan ålderskontroll skulle behöva ungefär som passfriheten i Schengen-området, där man ju visserligen som medborgare i ett medlemsland ska kunna resa utan pass men där man också med hjälp av ett pass måste kunna bevisa att man faktiskt hör hemma i Schengen.

I min värld finns det alldeles för många goda exempel på att användaridentifiering och -registrering är en typiskt dålig grej. Veckan i Berlin stärkte verkligen den positionen.

Läs mer

Demokratisering av spionprograms-jakt

Jag fick en så himla fin shout-out i senaste utskicket av Deepeds nyhetsbrev, "En handfull länkar":

Jag hade för övrigt en idé om att veckans nyhetsbrev skulle i princip bara innehålla en länk till de Kaminskis senaste nyhetsbrev och så skulle jag reagera, iterera och tänka runt det. Så blev det inte. Men jag tycker det är värt att läsa: alla tre huvuddelar han skriver om är viktiga.

Men längre ner i Deeped nyhetsbrev fångar jag också upp en passage, där han noterar att vi som användare ofta oroar oss för fel saker när det gäller vår digitala integritet. Exempelvis, skriver Deeped, fastnar många fortfarande i antagandet att "Facebook avlyssnar min telefon" (som alltså inte kunnat bevisas) medan vi missar att det finns FAKTISKT farliga digitala hot och risker som vi pratar alldeles för lite om. Deeped nämner bland annat Pegasus, som förstås spänner mina antenner (om det ens är ett uttryck) och gör att jag går igång.

Jag har skrivit om Pegasus flera gånger tidigare - bland annat i posten "Ny Pegasus-explosion, återigen lite för nära". Det är ett av de mest avancerade spionprogrammen tillgängliga på mer eller mindre öppen marknad (dvs, om man har råd) - som krängs främst till regeringar runt om i världen. Spionprogrammet används sedan för att övervaka och avlyssna politisk opposition, aktivister, granskande journalister och andra sk "misshagliga element".

(Public service-Marcin vill här flika in att det finns många andra spionprogram där ute också. Ett riktigt bra - dvs objektivt dåligt - exempel är Predator, som beskrivs på ett väldigt målande sätt i ett utomordentligt avsnitt av podden "Darknet Diaries".)

Och i takt med att spionprogrammen kryper närmare, såväl geografiskt (spionprogramsdetektiver som granskar spridningen hittar fynd i allt fler länder...) och socialt (...men också bland mer varierande nätverk av måltavlor), så krävs att fler får möjlighet att scanna sina datorer och mobiler för att förstå om deras data (och verksamhet!) är trygg och säker eller inte.

Det finns kommersiella bolag som har kapacitet att scanna efter spionprogram. Deeped nämner bland annat iVerify i sitt nyhetsbrev. De har en "gratis-variant" som kan vara hjälpsam. Samtidigt skriver jag "gratis-variant" lite ironiskt, eftersom det som är gratis är en scanning i månaden, via ett interface som inte är intuitivt och dessutom får man bara svar om man faktiskt är infekterad. De skriver dessutom i sin privacy policy att man via sina kakor sparar information om besökares enheter, inställningar och lite annat smått. Jag är inte imponerad.

Jag är ärligt talat tveksam till den typen av freemium-lösningar när det gäller potentiellt livsviktig cybersäkerhet. Särskilt när jag nyligen läste den här rapporten från kanadensiska spionprogramexperterna Citizen Lab, där de beskriver hur en rysk programmerare blivit intagen för "samtal" med säkerhetstjänsten, blivit av med sin telefon och när den återlämnats funnit att det planterats spionprogramvara på den.

Nu kan man ju tycka att Ryssland är ett sär-case som inte berör en själv. Men samtidigt ska vi minnas att beslagtagande eller i varje fall kontroll av enheter är mer eller mindre rutin bland rättsvårdande myndigheter överlag numera, och i takt med att listan på länder där Pegasus och andra spionprogram upptäcks blir allt längre så tror jag att fler personer än ryska programmerare bör oroa sig för precis det här.

Jag var nyligen i kontakt med aktivister som efter en rätt ofarlig resa berättade att de i passkontrollen vid en mellanlandning i ett tredjeland blivit ombedda att lämna över sina telefoner för "granskning" - och när de envisats med att vara närvarande vid granskningen så såg de hur mer avancerad utrustning snabbt plockades bort.

Själv ser jag just därför det som ett av mina allra viktigaste uppdrag just nu att se till att demokratisera möjligheten att undersöka enheter och mobiler för den här typen av spionprogram och sårbarheter. Citizen Lab som jag nämnde ovan tycker jag är jättebra, de samlar in data från aktivistnätverk runt om i världen (de har bland annat kollat mina enheter två gånger bara i år) och skickar sedan bland annat sina fynd till Apple och Google som använder informationen för att säkra säkerhetshål i sina operativsystem. Amnesty Internationals tech-avdelning har också i många år hjälpt mängder med aktivister med sitt verktyg "Mobile Verification Tool" som den tekniskt intresserade kan installera för att därefter scanna enheter där man är. Vi körde MVT på min tidigare arbetsgivare Civil Rights Defenders under en period och jag tycker det fungerade bra.

Min projekt-bebis just nu (dvs ett projekt jag fått förmånen att ha under mina vingar) är något som kallas PiRogue Tool Suite. PTS är en opensource-lösning som byggs av ett team kring den oerhört karismatiska franska hackern Esther Onfroy, och är intressant på flera sätt. Framförallt är det väldigt enkelt att installera. JAG lyckades installera det på en Raspberry Pi som bröllopspresent till en nördvän i somras - vilket alltså gav henom en egen liten forensikstation i miniformat för under en tusenlapp. Det är också väldigt smidigt kopplat till ett systematik-backend kallat Collander där man ihop med andra kan kategorisera och analysera de hot man eventuellt hittar när man använt PTS.

Men en annan viktig fördel med PTS - där jag själv tycker att man bräcker både aktivistorienterade och kommersiella verktyg - är att man via verktygen också kan analysera avvikande datatrafik från enheterna man granskar. Många appar vi använder är kanske inte defacto /spionprogram/ men de /spionerar/ fortfarande på oss, vilket jag ju nämnde senaste i förra nyhetsbrevet. Att veta vilken data apparna samlar in och var den skickas borde vara viktigare än det ofta kan upplevas som.

Esther och PiRogue samarbetar därför sedan några år med dataskyddsorganisationer (och i vissa fall -myndigheter!) för att granska hur användardata läcks och utnyttjas. Exempel på sådana fynd kan läsas om i en rapport från dataskyddsorganisationen NYOB, där de beskriver hur data från flera i Frankrike vanliga konsumentappar (bland annat en mäklarapp och en träningsapp) utan att meddela användare samlas in och säljs vidare till datahälare som gör storkosing på vår privata information.

Nåväl, jag kommer säkerligen få anledning att återkomma till temat spionprogram - men glöm inte att även rekorderliga medborgare som du och jag kan ha något att värna, helt utan att ha orent mjöl i sin digitala påse.

Läs mer

Avregistrera | Hantera din prenumeration
nyhetsbrev från: marcin@dekaminski.se - antal prenumeranter: 261