nrk.no

Når statens sikkerhetstiltak truer oss

Kategorier: Kommentar & Sikkerhet

Illustrasjonsbilde tatt i en annen sammenheng: Bomstasjon i Dronning Blancas vei ved Bygdøylokket. Foto: Aleksander Krogsvold Johansen / NTB scanpix

Dette er en kommentar. Den bygger på skribentens egne analyser, meninger og vurderinger.

Kommentar: Et ondsinnet cyberangrep har ført til at en database fra den amerikanske Tolletaten kom på avveie. Hendelsen får meg til å lure: Hva skjer når informasjon myndighetene lagrer om oss kommer i hendene på ukjente?

Mandag 10. juni kom den offisielle meldingen om at bilder av både ansikt og bilnummer er på avveie. Motivet til hackerne og hvor mange som er berørt er ukjent. Det vi vet er at en av underleverandørene til den amerikanske Tolletaten har blitt hacket.

Hendelsen skal være et resultat av at underleverendøren, i strid med Tolletatens retningslinjer, har overført data til sine egne systemer. Amerikanske myndigheter understreker også at deres systemer ikke er kompromittert.

Varslet fare

Tidligere i vår skrev jeg om bekymringene til MacKenzie Fegan. Hun, og mange andre, ble overrasket av at et flyselskap benyttet ansiktsgjenkjenning for å identifisere henne under ombordstigningen.

Forbrukerrettighetsorganisasjonen Electronic Frontier Foundation (EFF) delte hennes bekymring og pekte på at det medfører risiko når en statlig aktør deler data med andre selskaper.

Nå har det de fryktet blitt en realitet. Data er på avveie på grunn av lav sikkerhet og regelbrudd hos en tredjepart.

Kamera. Foto: Bernard Hermant / Unsplash

Hvem kan vi stole på?

Der vi stoler på myndighetene og tenker at all overvåkningen og lagringen av data er nødvendig for å opprettholde sikkerhet for befolkningen blir det plutselig motsatt. Det blir en stygg sikkerhetsrisiko for befolkningen som skulle beskyttes.

I den nye æraen av store data har det også blitt mer vanlig at myndigheter og private samarbeider. De deler dine data for å forbedre sine tjenester, og noen ganger går det alvorlig galt.

Fremover vil det bli stadig flere lekkasjer, mer datainnbrudd, og mer av din informasjon på avveie. Det er noe også nettjenesten Have I Been Pwned har måttet ta følge av. Personen bak, Troy Hunt, oppga denne uken at han vil selge tjenesten for å tilpasse den til en tid med større og flere lekkasjer av brukernavn og passord.

Men er det så farlig da?

Jo mer mennesker med uærlige hensikter vet om deg, jo enklere er du å lure. Jeg er langt fra alene om å motta svindelforsøk på epost. De fleste er det veldig lett å avsløre. Dårlig norsk, feil navn og åpenbare masseutsendelser. Men når utpressingsmailen plutselig inneholder mer personlig informasjon er det fort gjort å bli lurt.

Etter utallige lekkasjer hos forskjellige tjenester der jeg har hatt konto sitter plutselig uærlige mennesker med både epostadressen min og en del gamle passord. Når utpresserne kontakter deg og viser deg et av passordene dine i klartekst og forteller at de sitter på både det ene og det andre av materiale våkner du plutselig.

Etter datainnbruddet i USA nå sitter de på enda mer informasjon om mange mennesker. Både ansikt, bilnummer og bevegelser. Da øker også faren for identitetstyveri.

Fare for nasjonal sikkerhet

Vi vet lite om hvem som står bak innbruddet denne gangen. En ting er småkriminelle som er ute etter å lure enkeltpersoner. Om etterretning og fiendtlige makter får tak i store mengder personlig informasjon og overvåkningsdata fra et land, snakker vi fort om en sikkerhetsrisiko av nasjonale dimensjoner.

Med dataangrepene mot Helse Sørøst, Visma og Hydro friskt i minne bør flere enn grensemyndighetene i USA våkne av lekkasjen de nå opplevde.

19 kommentarer

  1. Kravene til nye offentlige tjenester fra brukerne er umulige å dekke uten ett samarbeid mellom offentlig og privat sektor.

    Det er også ønskelig for å benytte seg av dynamikken som ligger i privat sektor.

    Man kan da ha så gode avtaler om datasikkerhet man bare vil, men må til syvende og sist stole på at firmaene gjør den jobben de tar betalt for.

    Det er tilnærmet umulig for offentlige aktører å ha full datakontroll, selv om det selvfølgelig ville vært ønskelig..

    Svar på denne kommentaren

    • Bjørn E Halvorsen (svar til Lars Vemund)

      Problemet er at staten bruker en privat leverandør hvor pris er viktigere enn kvalitet. Selv om den private aktøren har adresse her, bruker også han en underleverandør fra et lavkost land.
      Veldig mye av det som kalles hacking skyldes en utro tjener. Jeg vil anta at prisen for slike er adskillig lavere i disse landene. Jeg mener at den eneste veien og gå er at staten selv tar seg av lagring, drifting etc. etc

    • Henrik Helmers (svar til Lars Vemund)

      Hvis det offentlige skal få holde på sensitive data så må de evne på passe på dem. Det å skylde på brukerne er ikke veien å gå.

      Kompetansen har vært lav i mange år. Det ene vaklevorende systemet på toppen av det andre.

      Spørsmålet er vel om det politiske systemet vi har belønner bruk av ressurser på kvalitet og sikkerhet innen IT. Jeg vil tro svaret er et rungende nei.

    • I mitt forhold til det offentlige, i bred forstand, tar jeg for gitt at all informasjon er tilgjengelig for alle som ønsker det. Enhver offentlig myndighet har full tilgang til all informasjon som er innhentet om deg av vilkårlig annen offentlig myndighet, bare de kan vise til en grunn for at de vil ha disse opplysningene om deg. Noen myndigheter har ‘alltid’ en gyldig grunn, f.eks. politi eller ligningsmydigheter.

      Tidligere gjaldt taushetsplikten ganske absolutt, enten du gikk til skrifte til presten, fortalte om personlige forhold til legen din, eller andre tillitspersoner. Det var ‘i gamle dager’. I dag kan en tillitsperson (som en prest eller lege) bli dømt og straffet dersom han ikke bringer videre til myndighetene opplysninger han har blitt kjent med under fortrolige samtaler «under fire øyne». Du må ta for gitt at alt du røper for din prest, din lege eller tilsvarende, er fullt tilgjengelig for myndighetene.

      Naturligvis kan du hevde at «dagens myndigheter kan vi stole på – de ville aldri finne på å bruke mot deg f.eks. opplysninger du har gitt din fastlege om ditt alkoholforbruk, i en sak der barnevernet ønsker å ta fra deg dine barn».

      Men vi har gitt disse mekanismene til vilkårlige framtidige myndigheter. Det er lett å forestille seg hva et annet styresett kan bruke dette til. Hvor raskt kan vi få en moral-mot-revolusjon tilbake til hva vi hadde her i landet for bare femti-seksti år siden?

      Jeg velger å være svært bevisst på hva jeg forteller om mitt privatliv til alle som ved lov er forpliktet til å rapportere til myndighetene. Jeg minimaliserer også de elektroniske spor jeg legger igjen, f.eks. bruker jeg kontanter der det er mulig, istedetfor digital betaling. Mye er det umulig å skjule (om det hadde lyktes ville det i seg selv vært suspekt!), men å begrense mengden detaljer anser jeg som en beskyttelse av mitt privatliv.

    • I følge personvernforordningens artikkel 28 har både leverandør (data behandler) og Kunde (data behandlingsansvarlig) ansvar for å påse at data som kan medøre en risiko for deg og meg, hvis de skulle komme på avveie, blir forsvarlig sikret. Om så ikke skjerkan både kunde og leverandør bli bøtlagt.

  2. Desto viktigere å begynne å bruke gmailtrikset med + i epostadressen på hver tjeneste man bruker. F.eks facebook og registrere seg med [email protected]. Sammen med passordbehandler og unike brukernavn på hver tjeneste vil man da ikke bare kunne tracke hvor epostadressene sine havner, og enkelt kunne blokkere/Deaktivere dem, man kan er også trygg mot at noen tar over kontoen din.

    Svar på denne kommentaren

    • Bil Dilla (svar til henriko)

      Enig, men jeg opplever at flere og flere nettsider gir tilbakemelding om at +-tegnet gjør adressen ugyldig.

    • Wermund Vetrhus (svar til henriko)

      Om dei meiner at + teiknet er ugyldig, då veit du at det er ei useriøs side, og lagar i alle høve ikkje inn eposten din der

  3. Det viktigste man kan gjøre for å beskytte seg selv, er å opprette en sperre mot kredittsjekk av sin egen person/personnummer. Slik at det blir umulig for kriminelle å opprett gjeld i ditt navn, med ditt personnummer.

    Det er fire aktører som oer nå har lov til å utføre en slik kredittsjekk, og man kan gå inn på tre av dem via nettsiden deres og bruke bank-id til å endre innstilling til «Frivillig kredittsperre PÅ/AV». Den fjerde aktøren må man sende e-post til med kopi av ID, som førerkort. Når dette er gjort, kan ingen opprette lån/gjeld/betalinger med ditt personnummer. Minuset er at du selv ikke får handlet noe uten å betale direkte der og da. Hele operasjonen er unnagjort på 40 minutter.

    Folk er imidlertidig bevisstløse/late/likegyldige, og gidder ikke å forsikre seg mot ID-tyveri på denne måten. Media og banker unnlater også å fortelle om det, så de aller fleste aner ikke noe om at denne muligheten finnes.

    Svar på denne kommentaren

    • Knut (svar til Knut)

      Videre må man bruke noen kroner på gode programmer som beskytter pc-en. Som Spyhunter 5.0 og AVG Pro, samt ALDRI la NOEN, inkludert kone, samboer, kjæreste, barn osv, ha tilgang til din pc. Videre må både pc-passord og bank-id-passord være kompliserte og ikke ha noen rasjonell betydning/tilknytning til deg og ditt liv. Husk at om din pc er tilgjengelig for andre, kan de installere overvåkingsprogrammer som f.eks. SPECTOR, som fotograferer skjermen en gang i sekundet, logger alle tastetrykk osv. Da forsvinner din sikkerhet. Slå alltid pc i AV eller PAUSE modus når du ikke bruker den. Og ikke bruk bank på mobilen, og betal aldri noe med mobilen, samt skaff en lommebok som hindrer avlesing av kortene dine med RF-ID-avlesingsutstyr.

      Husk at bankene gikk vekk fra passordbeskyttet bank-id-brikke. Før var selve brikken beskyttet med kodelås, men hva skjedde? Bankene fjernet 1 av 2 trinn i sikkerheten på bank-id-brikken. Før var det kode på selve brikken, og et passord. Nå er det bare et passord. Hva betyr dette? Jo, bankene ofret din sikkerhet for å unngå maset med sperrede bank-id-brikker. Banken bryr seg absolutt ikke om din sikkerhet, kan man godt si. Den må du sørge for sjøl.

    • keal (svar til Knut)

      «Nå er det bare et passord» (på kodebrikken fra banken) – Hæ? Min bank har fortsatt full tofaktor-autentisering: Jeg må både ha brikken, som leverer en engangskode spesifikk for min konto, og passord. Ingen endring der. Alt er som det alltid har vært, i begge de to banker jeg bruker.

      Får noen lagt inn en keylogger og programvare som tar bilde av skjermen din, da har du tapt slaget, mer eller mindre. Ditt sikreste stikk da er er å formattere disken på nytt, installere OS-et fra originaldisken, og gå gjennom samtlige passordbeskyttede data – både nettsteder og filer du har kryptert lokalt – og endre passord/krypteringsnøkkel til noe nytt. Det eneste som er rimelig beskyttet er tjenester med tofaktor-autentisering, enten via bank-brikke eller mobil: Den ene faktoren kan være sluppet ut (dvs. passordet), men den andre (brikke/mobil) vil stadig beskytte. Du bør jo endre passord også der, for å få tilbake dobbelt-beskyttelsen, men det er liten risiko for at noen har brutt seg inn.

      Ang. «kompliserte» passord: Innbrytere har to hovedmåter å finner passordet på. «Brute force» er å prøve ut samtlige muligheter – begynne på A, B… (røfft regnet 100 forsøk), deretter AA, AB, … BA, BB… (rundt 100 forsøk på første bokstav, 100 på andre, 10,000 i alt), osv. Skal spionen prøve samtlige 8-tegns passord må han gøre ti billiarder forsøk. Den eneste effektive beskyttelse er et langt passord (10-12 tegn er mer enn nok), men det spiller ingen rolle hva det er.

      (En side av dette: Jeg plukket en gang fra hverandre en slik brute-force-rutine, og oppdaget at den begrenset forsøkene til a-z, A-Z, og noen få skilletegn – med æøå i passordet var du totalt beskyttet! Innbryterne har blitt flinkere i dag, men gir innloggings-mekansimen deg lov til å bruke sære tegn, øker antall alternativer pr tegn fra snaut 100 til opp mot det dobbelte.)

      Den andre muligheten er å ikke prøve alle muligheter, men at det er et meningsfylt ord. Som regel opererer slike innbrytere med ganske gigantiske lister over «vanlige» eller «sannsynlige» passord; det kalles gjerne ordboks-angrep. Ordboka kan ha mange millioner ord, i mange varianter – f.eks. vet innbryteren at det er vanlig å bytte ut bokstaven 0 med null, l med 1 osv., og alle slike former står i ordlistene.

      Men ordlistene kan ikke inneholde alle mulige kombinasjoner av ord! Setter du sammen bilmerket du har, navnet på minstegutten og fornavnet til favorittforfatteren din, hjelper det ikke innbryteren at han både har «Tesla», «BjørnÅge» og «Aldos» i lista si – han har ikke «TeslaBjørnÅgeAldos» der. Vil han prøve alle kombinajoner av de 20 millionene ord han har, blir det 8 med 18 nuller bak antall forsøk, eller 16 med 24 nuller hvis han må finne ‘Bjørn’ og ‘Åge’ som to separate ord. Selv en som kjenner deg og har klart å finne tusen ord du kan ha brukt som passord (tusen er helt realistisk!), er det en milliard tre-ords-kombinasjoner av disse. Egentlig flere, siden du ikke nødvendigvis bruker «riktige» store/små bokstaver.

      Mao. det er ikke nødvendigvis noen dødssynd å bruke meningsfylte passord som du slipper å skrive ned – det er et alvorlig sikkerhetsproblem – bare du gjør det riktig. Passord behøver ikke se ut som om katten har danset på tastaturet.

      Alle mine passord består av tre meningsfylte ledd, med ett knyttet til tjenesten (gjerne litt forvansket, f.eks. «Windows» erstattet med «Doors»), ett knyttet til min rolle på tjenesten, og ett helt uavhengig knyttet til sikkerhetsnivå (én verdi for «ufarlige» kontoer, en annen for mer beskyttede, og en tredje for det «høyst konfidensielle»).

      Å sette sammen tre ledd gir et langt passord som beskytter mot brute force. Det beskytter mot ordboks-angrep. Men deter lett å huske, ikke bare «gurba». Med andre ord: «Komplisert» kan gjøres ganske enkelt, uten at det går ut over sikkerheten! (Mot keyloggere hjelper det uansett ikke hvor komplisert passord du har.)

      I «gamle dager» var det vanlig at innloggingen på tjenestesiden la på en forsinkelse før neste forsøk ved feil passord, og forsinkelsen ble doblet for hvert forsøk. Det er synd at dette ikke er vanlig i dag – det gjør det umulig for en innbryter å prøve utallige alternativer.

      Det er grenser for hvor paranoid man kan være. Selv har jeg liggende «Local Area Connction» på skrivebordet, og når jeg går ut av nettleseren for å jobbe lokalt (med tekstdokumenter, redigering av lyd/bilde, programutvikling, …) høyreklikker jeg og velger Disable. Må jeg slå opp noe på nettet, må jeg høyreklikke og velge Enable. Det kom etter at jeg oppdaget (ved å følge med i Task Manager) at hver gang jeg starter MS-Word når nettet er åpent rapporteres det til en statistikk-tjeneste – i og for seg legitim, men jeg er prinsipielt imot slik registrering! Jeg betaler kontant det som kan betales kontant og bruker så å si aldri rabattkort – vil ikke at OBS! skal føre oversikt over mitt foretrukne tannpastamerke og fermentert bygg-ekstrakt. Men jeg innser at det kanskje er litt over grensen for paranoia. 🙂

    • keal (svar til Håkon)

      Selv om ordboka oversetter «brave» med modig tror jeg ikke det treffer helt. Tittelen på den norske oversettelsen er Vidunderlige nye verden, som treffer bedre.

      I innhold treffer den uansett ikke spesielt godt på emnet her; romanen handler langt mindre om overvåking enn f.eks. «1984». (Men begge romanene er absolutt verd å lese, så lenge du har et visst mentalt overskudd til å takle dem…)

  4. Du skriver: «Om etterretning og fiendtlige makter får tak i store mengder personlig informasjon og overvåkningsdata fra et land, snakker vi fort om en sikkerhetsrisiko av nasjonale dimensjoner.»

    Det er første gangen jeg ser dette aspektet ved manglende datasikkerhet løftet. Veldig bra! Man kan også tenke seg at noen kan bli presset til å foreta seg noe en normalt lovlydig borger ikke ville gjøre, kun fordi en eller annen organisasjon truer med å spre sensitive opplysninger. Dette er ikke spesielt vanskelig å se for seg kan skje for eksempel etter et innbrudd hos et stort helseforetak…

    Svar på denne kommentaren

  5. Hva er dette? Hvor er den sedvanlige systemlojale overglattingen av alt som har med overvåking å gjøre? Var det ikke ‘konspirasjonsteorier’ og ‘vrangforestillinger’ som skulle kjøres mot alle skeptiske stemmer, uansett?

    Har ikke Solheim fått memoen, eller er det etterlengtede vannskille hvor sannhet og objektivitet råder endelig kommet?

    Neida. Vi skjønner alle det ville være for godt til å være sant. For da ville selvfølgelig oppropet også vært mot faren for misbruk hjemme av statlige og kommersielle aktører, men der blir alt naturligvis alt gjort for å «opprettholde sikkerhet» og «forbedre sine tjenester». Faren er kun og forutsigbart nok «fiendtlige makter» og da vet vi hva det egentlig handler om, og hvordan dette egentlig var et helt vanlig utspill i tiden.

    Svar på denne kommentaren

Vil du kommentere? Svar på en quiz fra saken!

Vi er opptatt av kvaliteten på kommentarfeltet vårt. Derfor ønsker vi å sikre oss at alle som kommenterer, faktisk har lest saken. Svar på spørsmålene nedenfor for å låse opp kommentarfeltet.

Hva har blitt vanligere å sende med utpressingsforsøk?

Hva inneholder databasen som er lekket?

Hva heter mannen bak

Legg igjen en kommentar til Lars Vemund Avbryt svar

Din e-postadresse vil ikke bli publisert. Obligatoriske felt er merket med *. Les vår personvernserklæring for informasjon om hvilke data vi lagrer om deg som kommenterer.