Gå till innehåll

DN går ut hårt i dag med en artikel om att Hemlig kod spionerar på svenskars surfvanor. Det står bland annat att:

  • "information om användarens surfvanor ”läcker”"
  • "Informationen tankas vidare till en server i USA."
  • "Ägaren säger till DN att han säljer vidare uppgifter om surfbeteende."
  • "dold spionkod" (dolt och okänt för vanliga användare)
  • "Varje minut skickas information om användarnas surftrafik vidare till en server som är registrerad i USA"

Exakt som när man surfar till DN.se alltså!

Bara genom att ladda startsidan för http://www.dn.se/ så kommer nästan 400 webbanrop att göras från din dator till olika destinationer runt om i världen. Anropen görs till företag som tar del av våra surfvanor på DN.se för att göra pengar på uppgifterna. DN lär få en del av kakan, och det är alltså våra surfvanor som vi betalar med när vi tar del av DN.se "gratis".

Nedan visas en graf över de anrop som görs (dagsnotering) till olika länder via startsidan på DN.se. Färgförklaring:

  • Grön: Den webbsajt man förväntar sig ansluta till med ett domännamn under dn.se, oavsett geografisk placering.
  • Orange: Annan webbsajt inom Sverige som tar del av våra surfvanor. (Kanske driftas vissa av DN.)
  • Röd: Våra "surfvanor" sprids genom DN.se utanför Sverige, t.ex. till USA.

www.dn.se-v2

Inte undra på att "AD Blockers" är populära...

__
Uppdatering 7/4 kl 21.17: Uppdaterat min Geolocation DB och skapat om bilden.

1

Ekots lördagsintervju med inrikesminister Anders Ygeman (Poddradio RSS) från 24/1 innehåller en del intressant ur bland annat IT- och informationssäkerhetsperspektiv och är värd att lyssna på.

Några noteringar:

6.55: Om PNR-registret - Ekot frågar "Har ni någon som helst analys av hur effektivt det här skulle kunna vara?". Svaret är "Inte det nya systemet så klart, för det finns ju inte på plats. Vi har bara konstaterat att det är viktigt [...]". En extra följdfråga från Ekot visar att detta med analys inte är något som anses behövas för införa EU PNR.

23.23: Om cyberattacker och incidentrapportering - Inrikesministern säger sig nyss ha träffat chefen för Säkerhetspolisen, Generaldirektören för MSB och chefen för polisens nationella operativa avdelning för att diskutera hur man ska tydliggöra det statliga myndighetsansvaret för informationssäkerhet och mot cyberhot. De jobbar även vidare på att införa obligatorisk incidentrapportering.

Lite tyckande om detta:

Det känns inte speciellt bra att man vill införa ett centralt EU PNR med hänvisning till någon slags "sunt förnuft". Risken nu är att det inte finns underlag att gå tillbaka till om några år för att utvärdera om systemet uppfyller sina syften. Om rättsväsendets nytta faktiskt skulle visa sig blir mindre än förväntat så skulle kanske de inskränkningar i privatlivet som man tidigare bedömt vara befogade inte längre vara giltiga. Men nu riskerar systemet (om det väl införs) antagligen att bli kvar för evigt!

Förutom mer fokus på avvägningen mellan nytta och personlig integritet så önskar jag att lite vetenskaplighet lyser igenom samt att avvägningar och beslut baseras på underlag och analys. Känns ganska grundläggande kan man tycka.

På plussidan: Att ministern följer upp de uttalanden han gjorde i början av november om nationell incidentrapportering är däremot välkommet. Det låter som om detta verkligen är på gång, pådrivet av NIS-direktivet. Kanske kommer MSB:s rapport Nationellt system för it-incidentrapportering att dammas av? Om jag vore en cyniker så skulle jag dock tro att man i stället börjar om med en ny utredning...

Jag tror det är bra med en samordnad koll på incidenter och hot mot samhällsfunktioner, för i dag brister detta grovt med försämrad säkerhet som resultat. Utmaningarna för att få organisationen på plats är dock stora och det finns en del frågor. Kommer det att gälla endast offentlig verksamhet eller, som Ygeman antytt tidigare, även för privata företag? Kommer det att kunna skapas en tillit till den nya organisationen (var den nu hamnar) så att känsligt material verkligen kan samlas där? Och kommer de att ha förmågan att sammanställa materialet till något praktiskt användbart? Jag är hoppfull, men skeptisk.

4

Såg precis en artikel i DN om att Datainspektionen ska granska övervakning via mobilen. Att spåra människor och beteenden i t.ex. köpcentrum är inget nytt, men när leverantören Bumbee Labs hävdar att det aktuella systemet kallat IOPS "inte hanterar några personuppgifter utan att signalerna är helt avidentifierade" så blir jag lite nyfiken. Hur avidentifieras signalerna, frågar sig vän av ordning.

Det fina är att det tydligen finns en förening med namn DFRI som tidigare haft lite invändningar mot anonymiteten i IOPS, och att Bumbee Labs faktiskt svarat ganska utförligt på dessa invändningar.

Utdrag ur Bumbee Labs förklaring av anonymiteten i IOPS:

"Så fort en MAC adress dyker upp i IOPS Wi-Fi nätverket så krypteras den om till en så kallad HASH kod. Efter detta raderas den ursprungliga MAC adressen. Denna nya HASH kod kan aldrig återskapa den ursprungliga MAC adressen. Detta innebär att vi endast räknar passager av HASH koder och ingen kan någonsin återskapa den ursprungliga MAC adressen i våra system. Inte ens Polisen."

Samt:

"Summan blir då att IOPS helt avidentifierat och anonymt räknar besök av HASH koder och dessa är helt tekniskt omöjligt FÖR OSS att koppla ihop med en fysisk person, något telefonnummer eller liknande. Vi får då helt anonym statistik, vilket också är syftet med IOPS."

Jag har markerat en del med rött för jag tycker det är en lämplig färg. Argumentationen för anonymiteten i systemet bygger på användningen av en envägsfunktion och att MAC-adresser inte lagras i systemet, men detta håller inte. MAC-adressen är lätt att återskapa från hash-koden som lagras. Eftersom det finns en begränsad mängd möjliga MAC-adresser så är det inga större problem att gå igenom alla dessa om man är ute efter att härleda en specifik MAC-adress. Detta tar antagligen endast några sekunder med rätt utrustning.

(Exempel: Det finns i teorin 2^48 möjliga MAC-adresser, det är rätt många, närmare bestämt 281.474.976.710.656 stycken. Få av dessa är dock i bruk. Dagsnoteringen är att 20272 st 24-bitars OUI:s är officiellt registrerade1, vilket ger 2^24*20272=340.107.722.752 möjliga MAC-adresser i användning, motsvarande 0,12 % av det totala utrymmet. Endast en bråkdel används av mobiltillverkare, men samtidigt används även ej registrerade adresser i praktiken, så låt oss ändå för enkelhetens skull anta att just 340.107.722.752 st är i bruk (faktiskt antal spelar egentligen ingen större roll). Säg att vi är intresserade av en specifik hash-kod som lagrats i systemet, hur lång tid skulle det ta att räkna ut den MAC-adress som den hör till? Låt säga att någon (t.ex. Polisen som omnämns ovan) har tillgång till ett kraftfullt men helt normalt datorsystem (ex PC4 från http://hashcat.net/oclhashcat/) för knäckning av hash-koder, och säg att IOPS har använt en SHA1-hash. Då tar det som längst 11,34 sekunder och i snitt bara hälften av denna tid att räkna ut tillhörande MAC-adress. IOPS kan ha använt en långsammare hash-funktion och möjligen tillfört andra fix och trix (salt är dock inte användbart) som slöar ner beräkningarna, men det är irrelevant. MAC-adressen går att återskapa utan större besvär.)

Jag hoppas att Datainspektionen inte väljer se denna hash som en anonym identifierare på det sätt som Bumbee Labs hävdar, för det är den alltså inte. MAC-adresser lagras i praktiken i systemet även om de är förvrängda. Hur vida en MAC adress kan vara en personuppgift är dock en annan fråga, och det är detta som DI behöver fundera på. En parameter som kanske kan påverka denna bedömning är att MAC-adresser ingår som en komponent av IPv6-adresser, och att IP-adresser kan vara personuppgifter har Datainspektionen redan slagit fast. När användningen av IPv6 ökar och NAT minskar så kommer anonymiteten att radikalt försämras.

Hittade ett relaterat dokument om WiFi-åtkomstpunkter, "Yttrande 13/2011 om geografiska lokaliseringstjänster på smarta mobila anordningar" från Arbetsgruppen för skydd av personuppgifter inom EU, med en del intressanta skrivningar:

"Smarta mobila anordningar är oskiljaktigt knutna till fysiska personer. Det finns normalt både direkt och indirekt identifierbarhet." (s. 10)

"Alla smarta mobila anordningar har minst en unik identifierare, dvs. MAC-adressen. [...] Det är möjligt att identifiera anordningens ägare, särskilt med upprepade iakttagelser."  (s. 10)

"Enligt arbetsgruppens yttrande 4/2007 (WP 136) om begreppet personuppgifter bör mot ovanstående bakgrund även begreppet unik identifierare noteras, vilket gör det möjligt att spåra en användare av en specifik anordning och följaktligen kunna ”särskilja” användaren även om hans/hennes riktiga namn inte är känt." (s. 10)

"EU:s rättsliga ram för användningen av geografiska lokaliseringsuppgifter från smarta mobila anordningar är främst direktivet om skydd av personuppgifter. Lokaliseringsuppgifter från smarta mobila anordningar är personuppgifter." (s. 20)

"Balansen mellan den registeransvariges rättigheter och den registrerades rättigheter kräver att den registeransvarige erbjuder användarna rätten att enkelt och permanent välja bort att vara med i databasen (opt-out), utan krav på ytterligare personuppgifter." (s.21)

"Om operativsystemets utvecklare och/eller den registeransvarige för infrastrukturer för geografisk lokalisering behandlar ett unikt nummer, som en MAC-adress eller en UDID i samband med lokaliseringsuppgifter, får det unika identifieringsnumret endast lagras i högst 24 timmar, för operativa ändamål." (s. 21-22)

Skulle kännas mycket märkligt om inte DI också landar i att MAC-adresser kan vara personuppgifter, och det blir intressant att se vad konsekvensen blir av detta!

Tillagt 2015-01-28: Artikel om detta hos IDG. Bra kommentarer av Markus Bylund, SICS.