Hysteri och FUD

"Attack i cyberrymden" har SvD satt som rubrik på en artikel om cyberkrigföring. Lätt hysterisk som såna här artiklar brukar vara. "Det är fullt möjligt att via internet allvarligt störa vår elförsörjning." säger en anonym tjänsteman på FRA.

Nåja. Man ska hålla i minnet att FRA-mannen har ett egenintresse av att IT-(o)säkerhet ska framstå som ett mellanstatligt hot, nånting som militären ska hantera. Och som vanligt är det bara lösa handviftningar - vi får aldrig veta nånting konkret, utan ska bara blint lita på FRA-mannen.

IT-säkerhet är ett civilt problem. Angriparna är i princip alltid vanliga jävla brottslingar.

Fler borde se Marcus Ranums keynote-presentation "Cyber War is Bullshit".

Gudskelov

Nångång emellanåt vinner faktiskt det sunda förnuftet. Utredaren Jan Hyllander föreslog idag att SITIC ska överföras till MSB, inte till FRA.

Bra. Då kan vi kanske få lite mer oomph i den statliga IT-säkerheten.

Ett centralt resonemang i förslaget är detta:

Utredarens bedömning är att Sitic behöver placeras vid en myndighet med en stark och trovärdig ställning såväl bland myndigheter och andra offentliga aktörer som bland privata aktörer. Förtroendet för verksamheten är därmed en viktig aspekt då det gäller att väga de två alternativen mot varandra. Förtroendefrågan rymmer inom sig flera olika dimensioner såsom tekniskt kunnande, intern säkerhetskultur,
förmåga att förmedla relevant information i rätt tid samt integritetsaspekter. Det är av största vikt att samarbetspartners både inom och utom landet, både offentliga och privata känner att en förtroendefull samverkan är möjlig.

Det är intressant att utredaren kommer fram till att förtroendet för FRA är för dåligt för att de skulle kunna samverka med andra aktörer. Undrar hur utfallet hade blivit om FRA-lagen inte drivits genom?

(Utredarens delbetänkande, Computer Sweden)

Att säkra den osäkra staten

Den 29 oktober skrev Sten Tolgfors ett brev till Myndigheten för samhällsskydd och beredskap (MSB).

I budgetpropositionen för 2010 har regeringen angivit att det finns anledning att se över informationssäkerhetsfrågorna.

No shit. Han måste läsa min blogg.

I brevet uppdras till MSB att "lämna förslag på åtgärder för att förebygga och hantera IT-incidenter [...]", vilket MSB nu gjort i form av en 69-sidig rapport.

Jag tycker att MSB:s förslag är överlag vettiga. Jag gillar särskilt punkten "MSB avser att utreda hur ett system för obligatorisk IT-incident-rapportering skulle kunna införas för statliga myndigheter.".

Det är nämligen fortfarande så att de allra, allra flesta som drabbas av IT-brott försöker tysta ner saken - det gäller såväl företag som myndigheter. För det mesta handlar det om att man är orolig för dålig publicitet. Jag känner till en incident där det skedde allvarliga intrång hos flera myndigheter via system som placerats hos dem av en outsourcing-leverantör. Fjärrinloggning med okrypterad telnet är... ingen bra idé.

Ledde det till polisanmälan och brottsutredning? Nä. Leverantören betalade skadestånd till myndigheterna i fråga, men själva brottet utreddes aldrig. Varken myndigheterna eller leverantören ville figurera i pressen.

En rapportskyldighet till SITIC skulle åtminstone vara ett första steg för att faktiskt göra nånting när en myndighet blir utsatt för IT-brott.

(I förbigående kan man förresten notera att Google gör allting rätt genom att inte lägga locket på när de drabbas av intrång.)

Men i första hand är MSBs rapport sextionio sidor argumentation för att SITIC (hej, SITIC!) ska överföras från PTS till MSB. Det är inte så konstigt, eftersom den frågan just nu utreds i utredningen Fö 2009:04, "Viss översyn av ansvarsfördelning och organisation när det gäller samhällets informationssäkerhet". Som jag skrivit tidigare ska Fö 2009:04 ta ställning till huruvida SITIC ska överföras till MSB (rätt!) eller till FRA (fel, fel, fel!).

I morgon 1 februari ska utredningen presentera sin slutrapport sitt första delbetänkande. Det ska bli mycket spännande att se vilket svar man kommer fram till. Rätt eller fel?

What the...?

Att det ska utredas huruvida SITIC ska flyttas från Post- och telestyrelsen till Myndigheten för samhällsskydd och beredskap visste jag sedan tidigare - det vore en utmärkt idé, inte minst för att MSB faktiskt har föreskriftsrätt inom området - men hur i hela fridens namn kan man komma på tanken att FRA skulle kunna vara en alternativ hemvist för SITIC? IT-säkerhetsfolket på FRA är duktigt, men det här vore inte en lämplig uppgift för dem.

Jisses. Det slår vågor av revirpissningsstank ända hit.

Tyvärr, ingen smoking gun i sista ögonblicket

Tillbaka från ett frukostmöte med Ingvar Åkesson, dit Muharrem varit vänlig nog att inbjuda mig.

Och det gav väl inte så fruktansvärt mycket, är jag rädd för. Ingvars föredrag var en lätt uppdaterad version av det han höll på Linköpings universitet förra hösten, men där han hoppade över alla djupare detaljer. Det blev alltså väldigt överskådligt.

Jag försökte leda in honom på den del av signalspaningen som inte styrs av uppdragsgivarnas inriktningar, nämligen att "följa förändringar i signalmiljön i omvärlden, den tekniska utvecklingen och signalskyddet", samt nödvändig teknik- och metodutveckling, men eftersom det fanns begränsade möjligheter att ställa uppföljande frågor gav det inte så mycket matnyttigt.

Det som väl var intressantast var när Ingvar fick frågor av typen "Men är det inte väldigt graverande för polisens och SÄPOs verksamhet att inte längre ha tillgång till era tjänster?". Det ville han naturligtvis inte säga så mycket om, utan överlät till polisen och SÄPO att ha åsikter om, men han påpekade att om FRA, medan de signalspanar på regeringens och försvarsmaktens vägnar, råkar snubbla över information som är av intresse för andra myndigheters verksamhet, så står det FRA fritt att lämna över informationen till myndigheten.

SÄPO kan alltså inte uppdra åt FRA att signalspana efter, säg, terrorism. Men om regeringen händelsevis skulle ange en signalspaningsinriktning som innebär att FRA hittar information om terrorism, så kommer SÄPO ändå att få den.

Så man kan ju fråga sig hur stor betydelse inskränkningarna av FRAs uppdragsgivare får i praktiken.

"Signalbärare, fiberkärna, kabel, tråd" - replik

Din HTML-kod kan inte accepteras: Must be at most 4,096 characters sa Blogger till mig. Min kommentar på Staffan Danielssons blogg-inlägg blev visst lite för lång, så den kommer här istället:

Staffan, tack för att du tar dig tid att svara så utförligt.

Det finns naturligtvis en synvinkel ur vilken du har rätt.

Här i veckan blev det ju störningar på såväl nät, TV som telefoni i Östergötland när en grävmaskinist satte skopan i backen utanför Vagnhärad. Skulle man fråga grävmaskinisten vad det var han grävde av skulle han naturligtvis säga "En kabel", även om det i själva verket var ett helt gäng individuella fiberpar som löpte i samma fysiska inneslutning. Och i det avseendet är ett fiberpar såklart bara en del av just den här kabeln.

Och om vi tar mitt favoritexempel, de 384 fiberparen i Öresundsbron, så låter det ju bra om FRA bara får tillgång till enstaka fiberpar, istället för alla 384 fibrerna på en gång. I ett slag har vi reducerat intrånget till en trehundraåttiofjärdedel, eller hur?

Nå, jag är inte grävmaskinist (jag har tyvärr bara fått köra grävmaskin en enda gång i livet!) och har kanske ett litet annat perspektiv. Jag kan gå ut i datorhallen och greppa den tunna fibersladden som utgör universitetets SUNET-förbindelse. Rycker jag ut den ur kontakten och lyser med en lampa i fiberänden kommer ljuset ut i ett bergrum i Stockholmstrakten. Den här fiberkabeln är den fysiska förbindelsen mellan Linköping och Stockholm. Längs vägen är den förlagd på många olika sätt; ibland ensam i ett tunt kanalisationsrör, ibland tillsammans med en massa andra fiberkablar i en tjock markkabel (såna där som har en tendens att attrahera grävskopor). Det här är för mig den i sammanhanget intressanta definitionen av "kabel"; den fysiska tråden mellan två punkter.

För när de borgerliga motståndarna tillfredsställdes med den berömda överenskommelsen för ett drygt år sedan sade man att FRA bara skulle få tillgång till specifika "trafikstråk". Tyvärr var det ingen som visste vad det var - Johan Linander hade en bild, Ingvar Åkesson en annan, och du hade förmodligen en tredje. Jag lade ner mycket energi på att försöka förstå vad olika personer talade om när de sade "trafikstråk", och framför allt om det var hela den fysiska fiberförbindelsen - "hela kabeln" - eller om det var enskilda våglängdskanaler det gällde. Där går nämligen en skarp gräns både vad beträffar trafikmängd och precision i urvalet. Här hade det kunnat göras en reell förbättring, men nerslående nog utmynnade det hela i lagrådsremissens signalbärare - det vill säga hela fibrer.

Varför är det så dåligt, då?

Om vi går tillbaka till Öresundsbro-fibrerna: Vissa av fibrerna innehåller enbart tågsignaltrafik. Andra fibrer innehåller en signifikant andel av Sveriges samlade Internet-trafik (De facto, alltså. Nu pratar vi inte om teoretiska kapacitetsberäkningar.). Åter andra innehåller en helt slumpmässig blandning av olika sorters trafik, eftersom olika kunder hyr våglängdskanaler som råkat hamna i samma fiber.

Att peka ut vilka fibrer FRA ska få tillgång till är ett mycket dåligt sätt att begränsa intrånget - det är imprecist, det kan ge FRA tillgång till mycket stora trafikmängder, och det kan ge stora slumpmässiga bifångster.

Hade man åtminstone begränsat sig till enstaka våglängskanaler hade mycket varit vunnet. Hade man följt centerns(!) förslag om att förbjuda all inhämtning av signaler där endera ändpunkten finns i Sverige hade det varit ännu bättre. Eller ytterligare ett snäpp bättre; att bara ge tillgång till trafik till eller från vissa utpekade ändpunkter. Det hade funnit många sätt att verkligen göra saken bättre.

Staffan, en gång gav du mig komplimangen att jag var nyanserad (jag tror det var det ordet du använde), och jag hoppas att jag fortsätter leva upp till det. Jag är inte fundamentalist, jag kan kompromissa. Men i en kompromiss förutsätts man ge den andra parten något som är av värde för den. Och de här integritetsskyddande förbättringarna, som ser fina ut på papperet, visar sig ha en mycket tunn fernissa när man börjar skrapa på dem.

Det här berörde inskränkningen till enskilda signalbärare. Vi skulle kunna fortsätta titta vidare på de övriga integritetsskyddande åtgärderna, om vi bara iddes. (Den särskilda granskningen av FRA som Datainspektionen ska utföra under 2009 och 2010, till exempel. Men där regeringen i direktivet till Datainspektionen skriver "Uppdraget ska därför utföras på ett sådant sätt att det inte påverkar den svenska försvarsunderrättelseverksamhetens förutsättningar att i dag och i framtiden arbeta för Sveriges bästa. Arbetet ska också i övrigt bedrivas så att det inte skadar Sveriges förbindelser och samarbeten med andra länder". Granska på ni. Så länge ni inte stör verksamheten.)

Jag tror inte att jag längre ids.

Vad skulle du vilja fråga Ingvar?

Det ser ut som om jag återigen kommer att få chansen att träffa FRA:s generaldirektör Ingvar Åkesson.

Vilka besvärliga frågor tycker ni att jag borde ställa den här gången? Lämna kommentarer här, eller kanske ännu hellre i ett mail till nixon@lysator.liu.se, så ska jag se vad jag kan göra.

FRA-humor

Det är lätt att glömma att FRA faktiskt även sysslar med annat än signalspaning. De har en duktig IT-säkerhetsavdelning, till exempel.

Nu söker de nya IT-säkerhetsanalytiker, och i platsannonsen står det, bland annat:

Som person är du nyfiken och öppen för att ta till dig nya kunskaper och betraktelsesätt och blir engagerad av utmanande problemställningar, som exempelvis den här:

RXhrbHVzaXZ0LCBlbGxlcj8gTWVuaW5nZW46IAssKS43JicwI2
IxNCMwJyxiMqdiJLQuKCMsJidiJDCnJS0wYitiJissYiMsMbQp
Iyx4YnNsYgo3MGIvpywlI2ItLispI2I2OzInMGIjNGIvpiwsKz
EpLTBiJCssLDFiJic2fWJwbGIKNzBiL6csJSNiLycmIzBiKiMw
YicsYgwNEm8xLqYmJ30=

Den lilla gåtan är väl ungefär lika komplicerad som platsannonsgåtor brukar vara, men det är när man väl dekrypterat den som ens nördighet verkligen sätts på prov.

Eller åtminstone ens humorsinne.

Argh.

Om att täcka häcken

Staffan Danielsson - som jag verkligen respekterar - går i debatt med Hanna Wagenius och skriver:

Skulle det värsta hända genom t ex någon överraskande aktion mot Sverige - militär eller av ren terrorkaraktär - med många dödsoffer, och som skulle ha kunnat förhindrats genom förebyggande signalspaning, är som du vet inte jag beredd att ta det ansvaret.

Här trampar Staffan tyvärr riktigt snett. I säkerhetsbranschen har vi ett inte-så-finkänsligt uttryck för det här: "cover-your-ass security".

Bruce Schneier har skrivit en utmärkt essä om CYA security och varför det är dåligt:

In short: much of our country's counterterrorism security spending is not designed to protect us from the terrorists, but instead to protect our public officials from criticism when another attack occurs.

När man har makthavare som måste ta ansvaret för riskerna men som inte behöver ta ansvar för kostnaderna får man en vild obalans i säkerhetsåtgärderna. Då blir slutresultatet saker som vätskeförbud i handbagaget, frysning av oskyldiga personers bankkonton och massavlyssning.

Mikael hade rätt!

Jag och Mikael Nilsson hade skiljaktiga teorier om vad en signalbärare egentligen är i kommentarerna till ett av mina inlägg.

Via Mark Klamberg får jag nyheten att lagrådsremissen nu har kommit, och regeringen har äntligen lyckats komma med en konkret exemplifiering:

Med signalbärare ska därför förstås en enstaka fiberkärna i en optisk fiberkabel och motsvarande enhet vid överföring med annan trådburen teknik.

Ah. Äntligen. Var det verkligen så svårt att tala klarspråk?

Är det här bra, då?

Nej. Det innebär att den debattartikel Mikael skrev tillsammans med Anna Pettersson, Jon Karlung och Mark Klamberg är korrekt i detalj - det här är direkt monstruösa trafikvolymer vi talar om.

Kabelinkopplingen senareläggs

Försvarsutskottet vill att startdatumet för FRA:s tillgång till kabelbunden kommunikation ska flyttas från 1 oktober till 1 december.

Jag har aldrig riktigt förstått var datumet 1 oktober för inkopplingen kommer från, men visst, vi verkar få ytterligare två månaders frist.

(s) talar ur skägget. Kanske.

Socialdemokraterna har inte lyckats sådär jättebra med sin kommunikation kring FRA-frågan, tycker jag. Man ska komma ihåg att Thomas Bodström själv lyckades skjuta ner FRA-förslaget när han var justitieminister, att socialdemokraterna konsekvent röstat mot det i riksdagen, att de fick till en minoritetsbordläggning 2007 och att Mona Sahlin lovat att lagen ska rivas upp om hon kommer till makten.

Men mellan de här stunderna av klarhet mumlas det mest från (s)-håll, och de lyckas inte berätta vad de egentligen vill.

Nu upprepar Thomas Bodström på sin blogg löftet att FRA-lagen ska rivas upp om socialdemokraterna vinner nästa val, och det låter ju bra. Men vad vill de istället då? Visst, de vill ha en ordentlig utredning, och det är klart att resultatet av utredningen inte ska föregripas. Men någon liten åsikt måste (s) väl ändå ha?

Ja, det var ju det jag sa...

Alltså. I 15-punktersöverenskommelsen från den 25 september sades det att polisens behov av signalspaning skulle utredas. I oktober tillsattes utredningen. Den nionde oktober skrev jag "Nån som tror att utredningen kommer fram till att polisen inte ska få massavlyssna?"

Det är naturligtvis opportunt av Camilla Lindberg att hävda att hon känner sig lurad, men är det inte lite magstarkt att spela överraskad?

Plötslig misstanke

Jag hinner inte kolla upp det just nu, men vad ger ni mig för odds på att FRA 2.0-promemorian, om man läser den noga, visar sig koppla loss samverkanspunkterna precis lagom mycket från FRAs kontroll för att det ska gå att jacka in även andra myndigheter på dem?

Myndigheter som, tja, SÄPO, till exempel. Istället för att få färdiganalyserade resultat från FRA skulle de då, efter vederbörligt tillstånd från försvarsunderrättelsedomstolen, kunna få en egen rådataström från samverkanspunkterna att analysera.

Det vore väl elegant?

Surprise!

I oktober skrev jag apropå Anders Erikssons då nytillsatta utredning om polisens och SÄPO:s avlyssningsbehov: "Nån som tror att utredningen kommer fram till att polisen inte ska få massavlyssna?"

Nä, just det. Utredningen är förvisso inte klar än, men jag tror nog att statsministerns uttalande häromdagen är en korrekt förhandsvisning av resultatet.

Per Agerman har en uttömmande granskning av den bakomliggande processen. Det här är ren söndra-och-härska-strategi från regeringen. Inget annat. Beklagar, HAX.

OMG, IT-konsulter!

Kvällsposten, SvD och VLT har alla sansade reaktioner på DN:s konspirationsteorier. Men så har vi Nerikes Allehanda, då. I en ledare sväljer de glatt DN:s påståenden utan eftertanke. Och till DN:s dumheter lägger de några egna.

Som att det skulle vara anmärkningsvärt att IT-konsulter varit inblandade på motståndarsidan. Ursäkta? På vilket sätt är det relevant? Jag arbetade som konsult i ett antal år före mitt nuvarande gig. Jag hackade kompilatorer åt Ericsson, systemadministrerade här och där, och i ett minnesvärt uppdrag åt Telia gjorde jag ett monolitiskt perl-hack för att försöka extrahera datat ur tusentals blanketter i Word-format, där man inte använt riktiga tabeller, utan istället manuell formattering med mellanslag och tabbar. Det var... intressant.

Gör detta mitt mörka förflutna att jag inte är godkänd som FRA-motståndare? Jag är kanske inte gräsrot nog?

Pengar? Ja, tack!

DN låter påskina att FRA-motståndet är välbetalt och organiserat av PR-byråer.

Jag är uppenbarligen lika usel som vanligt på att löneförhandla, för jag har då inte sett ett öre av de där pengarna som tydligen finns att tjäna, trots alla timmar jag lagt ner.

Men om det är så att nån vill betala för mina blogginlägg om FRA, så skickar jag gärna en faktura.

Vet hut!

Karin Enström, en av moderaternas sanna hard-liners, har en debattartikel i Nerikes Allehanda idag. Och jag blir så trött.

En av FRA-debattens mer slitna uttryck är "nyspråk", men jag kan inte hjälpa det. Enströms artikel är så fylld av nyspråk att jag inte vet var jag ska börja. Kanske ska jag börja i slutet:

Signalspaningslagen är inte ett steg mot ett övervakningssamhälle utan i stället ett steg mot ökat integritetsskydd i syfte till att göra Sverige till ett land som både blir mer säkert och rättssäkert.

Ursäkta, men hur i helvete har hon mage att säga att det skulle öka integritetsskyddet att ge staten tillgång till hela befolkningens internet- och telekommunikation? Hur kan man formulera en sådan mening utan att dö av skam?

Om man skulle skramla till en biljett till Stasimuseet i Berlin till henne? Karin Enström skulle behöva en stunds stilla reflektion där.

"Teknikneutralitet" eller "Konsten att dra allt över samma kam"

I går kväll visade Aktuellt ett inslag som kritiserade FRA-lagen från andra sidan, så att säga. Huvudpoängen i inslaget var hur synd det var om ISP (Inspektionen för strategiska produkter) eftersom de enligt FRA 2.0-förslaget inte längre ska få tillgång till FRAs signalspaning. Jag hittar inget textmaterial om inslaget hos SVT, men SvD och Aftonbladet refererar det.

Tajmingen av den här "nyheten" är underlig, eftersom det här ju stått klart sedan i september (Emma är också förvirrad), men inslaget fick mig att fundera lite grann.

Å ena sidan är det ju absurt att ISP skulle kunna beställa avlyssning av oskyldiga medborgares privata kommunikation, men å andra sidan måste ISP rimligen få tillräckliga verktyg för att uppfylla sitt myndighetsuppdrag, att förhindra spridandet av massförstörelsevapen. Jag tror säkert att ISP hittills haft god nytta av FRAs traditionella signalspaning i radiotrafiken, och jag skulle gärna se att de kunde fortsätta att få den hjälpen av FRA.

Men det går inte, för den nya lagstiftningen ska vara teknikneutral och gör ingen skillnad på olika kommunikationsformer. Allt ska behandlas lika. Och det är en väldigt konstig tanke, att det inte skulle vara någon skillnad på, säg, kortvågsradio och e-post. För det är det ju. Det behöver man inte fundera särskilt länge för att inse. Ett e-postmeddelande är förtroligare än en radioutsändning, och det är ett större intrång att avlyssna e-post än att avlyssna radio.

Om jag finge bestämma skulle FRA-lagen rivas upp, och man skulle börja om från början, med ansatsen att bedöma olika kommunikationsformer enligt deras förtrolighetsgrad, inte att dra allt över samma kam.

FRA stärker etiken och integritetsskyddet

Den falkögda hustrun noterar att FRA söker en jurist till sin juridiska funktion, som bland annat svarar "för frågor om etik och integritetsskydd i signalunderrättelseverksamheten, registrering av allmänna handlingar och myndighetens arkiv. Funktionen har även till uppgift att se till att myndigheten behandlar personuppgifter på ett lagligt och korrekt sätt."

Det är väl bra att de försöker bli bättre, antar jag.