DFRI <3 InternetdagarnaDFRI <3 Internetdagarna

Under Surveillance. Foto: Nils-Erik Larson
Vi har i år ett eget spår på Internetdagarna den 24 nov – Internet är under attack – hur slår vi tillbaka? Vid sidan om alla Cryptoparties vi anordnar så blickar vi framåt och ser på hur vi kan fixa de svagheter på Internet som gör det möjligt med den massövervakning som pågår. Vi gör det genom att konstatera nuläget och konsekvenserna av en omfattande massövervakning, för att sedan titta på hur vi kan åtgärda några av de allvarligaste problemen med säkerheten på Internet.
Med oss på plats har vi inga mindre än Cory Doctorow, Jacob Appelbaum och Sus Andersson som tillsammans kommer att reda ut omfattningen av problemen för oss, och som sedan förhoppningsvis kan blicka lite framåt. Förmiddagens paneldiskussioner kommer med all säkerhet att bli riktigt intressanta. DFRI försöker översätta Cory Doctorows bok Little Brother till svenska, och den handlar om hur ett övervakningssamhälle kan spåra ur. Hjälp gärna till att översätta den, så kommer Cory att vara på riktigt bra humör under Internetdagarna!
Under eftermiddagen kommer Joachim Strömbergson att prata om Cryptech.is-projektet som försöker lösa de mest grundläggande problemen med dagens hårdvara. De datorer vi använder idag, som skapas i USA och tillverkas i Kina – kan vi lita på dem?  Vi har också bjudit in LEAP.se för att berätta hur man kan bygga en e-posttjänst där man inte litar på någon förutom sig själv och mottagaren.
Patrik Wallström och Linda Sandberg kommer inleda dagen och berätta om vad DFRI håller på med, förutom att köra Tor-exits.  
Edit:
Anmäl er med koden IND14 här så får ni rabatt, och betalar endast 800kr för att delta (1000 kr inkl. moms). I priset ingår också att se Cory Doctorow som keynote-talare på morgonen tillsammans med Emily Parker som är en författare som satt fokus på hur internet och sociala medier ger kraft åt aktivister och gräsrotsrörelser i Kina, Kuba, Ryssland och Mellanöstern.
På kvällen bjuds det på mingel med tillhörande dryck och tilltugg, vi hänger då med övriga deltagare på Internetdagarna.
Vi ser fram emot att träffa er alla!Anmäl er gärna redan idag! <3


[:en]Mobile phone tracking horrors, part two[:sv]Slaget om staden — andra delen[:]

[:sv]

Se även Mobilkartläggning bryter mot lagen, Öppet brev från Bumbee Labs, Slaget om staden – om rätten till anonyma söndagspromenader och annat om mobilkartläggning.


Inför dagens aktion i Västerås har flera visat intresse för att diskutera IOPS, det system för att kartlägga hur människor rör sig genom staden som körs på prov i Västerås. Bland annat fick vi under fredagseftermiddagen ett öppet brev från företaget som ligger bakom systemet.

DFRI motsätter sig inte att statistik över besöksströmmar samlas in eller att skattepengar används effektivt. Men ett sådant insamlande måste ske på ett sätt som inte kränker människors grundläggande rätt till integritet. Ett minimikrav på ett sådant system är transparens, där alla som vistas i området där mätningen pågår kan ta del av den tekniska lösningen, källkod till systemet, databasinnehåll och den statistik som tas fram. Utan dessa möjligheter kan vi inte veta om systemet faktiskt lever upp till att skydda vår integritet utan vi är istället hänvisade till uppgifter från de företag som säljer systemen eller tar betalt för tjänsterna.

Vi tror inte att IOPS syfte är spionera eller att Bumbee labs är intresserade av enskilda medborgare men intention och potential är två olika saker. Alla typer av storskalig datainsamling har potential att användas för kartläggning av individer om inte allt data är helt avidentifierat. Att avidentifiera data är dock ingen lätt uppgift och ingen av den information vi hittills fått från Bumbee labs tyder på att de har lyckats med det. Flera uttalanden har tvärtom fått oss att tvivla på att de förstår det grundläggande problemet.

Ytterligare ett register

Ta exempelvis idén med ett register för de som inte vill ha sitt data lagrat. Det mest uppenbara problemet är den logiska kullerbyttan i att personer som vill vara anonyma och inte finnas med i IOPS-databaser måste skriva in sig i en annan databas. Alternativet att inte alls registreras i någon databas erbjuds inte.

Vi ser inte att man med det här nya registret löst ett problem utan snarare att man har skapat ytterligare ett. Det kommer att bli ännu svårare att garantera anonymitet i det här nya registret och det blir ännu en databas som kan missbrukas. Extra känsligt blir det eftersom det riskerar att bli ett register som kopplar ihop fysiska personer med MAC-adresser. Detta krävs exempelvis om man vill erbjuda människor att kunna lämna registret.

Att det här andra registret hanteras av en amerikansk organisation gör inte saken bättre. Vilka dataskyddslagar gäller för svenska medborgares data där? Hur kontrollerar vi innehållet? Den föreslagna lösningen skapar fler frågor än svar.

Vad som lagras

En annan mycket viktig diskussion rör vad som lagras och hur potentiellt integritetskränkande uppgifter påstås anonymiseras innan de lagras. Det stämmer inte att telefoner enbart sänder ut sin MAC-adress och inget annat. Telefoner sänder också ut nätverksnamn, så kallat SSID, på nätverk där telefonen tidigare varit ansluten. Lagrar IOPS den här informationen? Det är viktigt ur ett integritetsperspektiv då de flesta telefoner har en unik samling nätverksnamn som de kontinuerligt sänder ut.

Telefoner sänder naturligtvis också ut information om sig själv till mobiltelefon-nätet. Många telefoner skickar också data över Bluetooth. Bumbee Labs har fortfarande inte besvarat våra frågor från september om huruvida man förutom WiFi behandlar även annan data från mobiltelefoner.

MAC-adresser och anonymitet

Diskussionen om huruvida en MAC-adress är anonym är central för hela frågan. Eftersom MAC-adresser. är kopplade till en given telefon och därigenom till fysisk person så är insamling och lagring av var och när sådana plockas upp i etern ytterst känsligt.

Den kryptografiska hashfunktion som nämns i det öppna brevet gör det kanske svårare att utifrån databasägarens sida bestämma vilken MAC-adress som lagras i databasen. Men givet en MAC-adress kan man ändå slå upp alla rörelser gjorda av den som bär telefonen med den MAC-adressen. En hashfunktion ger definitivt ingen garanti för anonymitet. Inget i systemet förhindrar möjligheten att lämna ut rörelsemönster för enskilda individer, givet deras MAC-adress.

Det större problemet

Det större problemet är att insamling och lagring av integritetskänsligt data kan se relativt harmlöst ut när det betraktas isolerat från annan lagring av liknande data. Data från ett system räcker kanske inte för att avslöja en persons identitet men givet annat data som länkar vidare där det första sätter stopp är det ofta svårt att dra den slutsatsen.

Om IOPS databas var den enda som fanns i hela världen skulle integritetsproblemen med just denna databas kanske kunna vägas mot nyttan. Det som oroar i verkligheten är hur IOPS databas fungerar som en länk för den som också har tillgång till annan information där en koppling mellan MAC-adress och person finns. För den som känner till sambandet mellan fysisk person och MAC-adress och som har tillgång till IOPS databas är möjligheterna att i detalj kartlägga individers rörelser betydligt större än summan av delarna.[:]


[:en]Open letter from Bumbee Labs to DFRI[:sv]Öppet brev från Bumbee Labs till DFRI[:]

[:sv]

Se även Mobilkartläggning bryter mot lagen, Slaget om staden – andra delen, Slaget om staden – om rätten till anonyma söndagspromenader och annat om mobilkartläggning.


DFRI har fått ett öppet svar från företaget Bumbee Labs på blogginlägget Slaget om staden – om rätten till anonyma söndagspromenader som publicerades igår.

Vi väljer att publicera svaret i sin helhet enligt önskemål från Bumbee Labs och har valt att inte modifiera utöver att ta bort vissa kontaktuppgifter och anpassa formatteringen för publicering på webben. DFRIs styrelse har ännu inte tagit ställning till svaret. DFRI tackar Staffan Liljestrand på Bumbee Labs för att ha tagit sig tiden att skriva ett såpass utförligt svar.

Det öppna brevet följer nedan

Hej!

Jag skriver här ett öppet svar och jag hoppas ni kan publicera det i sin
helhet på er hemsida.

Bumbee Labs är helt öppna med hur IOPS fungerar och har svarat på alla
inkommande mejl som inkommit under senaste tiden. Jag svarar personligen på
alla mejl för att jag tycker det är viktigt att visa oroliga medborgare
respekt. Jag har kollat igenom min inkorg och skickade meddelanden och jag
har inte fått något mejl från er gällande era frågor. Vi svarar gärna på
frågor och jag tycker det är olyckligt att ni skriver i er blogg att vi inte
svarar på frågor. Vi har varit med i många tidningar, radiokanaler och TV
som bevisar motsatsen och där vi är helt öppna med hur det fungerar. Är det
så att vi missat ett anonymt mejl från någon av era medlemmar så ber vi om
ursäkt för det. Mängden mejl som kommit in från privatpersoner är stor och
kanske har vi inte hunnit svara på alla ännu. Vi är ett litet företag, men
ambitionen är att vi ska svara på alla frågor som kommer in.

Vi tycker det är synd att vissa reportage inte alls belyser det positiva
syftet med tjänsten IOPS. Tidigare artiklar i exempelvis Borås Tidning gav
en helt annan vinkel. Syftet är för städer att förstå hur stora anonyma
besöksströmmar rör sig i en stadsmiljö. Det har man nämligen inte kunnat
göra tidigare och förståelsen av detta är enormt kostnadsbesparande för
städer när de bygger om gator och torg, förbättrar cykelvägar, utökar
kvällsbelysning m.m. Alla dessa investeringar görs ju med skattepengar och
många med oss tycker det är viktigt att man gör en korrekt analys innan man
tar kostsamma investeringar med skattemedel. Ingenstans är syftet att
”spionera på enskilda medborgare”. Det är varken intressant eller tekniskt
möjligt för oss. Syftet är att förstå hur stora flöden rör sig genom
städerna.

Städerna ser gärna att deras medborgare är med och hjälper dem att förbättra
staden ­ för just sina medborgare. För de medborgare som absolut inte vill
delta, så kommer vi vår vår hemsida inom kort lansera en tjänst där man kan
avböja att delta i mätningarna. Man kan säga att detta är en tjänst som kan
liknas vid NIX-telefon, där man kan registrera sitt telefonnummer och
därigenom slippa bli uppringd av telefonförsäljare. Det är en oberoende
amerikansk organisation som lanserar denna tjänsten och företag, som
exempelvis Bumbee Labs, kan registrera sig där och lovar (och kontrolleras)
därmed att radera medborgare som inte vill ha sina MAC adresser
registrerade. Vi tror att det ger mera trovärdighet, vilket är viktigt för
oss, om en oberoende leverantör utför tjänsten. Ungefär som NIX-telefon.

I korthet fungerar IOPS tekniken så här:

  • Syftet med IOPS är att erbjuda städer bättre statistik så de kan ta bättre
    beslut kring hur cykelvägar ska byggas, nya torg ska öppnas, belysning som
    behöver förbättras o.s.v. Städerna äger också statistiken, Bumbee Labs är
    bara leverantör av tekniken.
  • Vi sätter upp ett Wi-Fi nätverk i staden, som vilket annat Wi-Fi nätverk
    som helst
  • När en mobiltelefon dyker upp inom detta Wi-Fi nätverk, sänder
    mobiltelefonen ut ett anonym signal (för oss) som kallas för MAC adress.
    Detta är samma för alla Wi-Fi nätverk. Denna MAC adress kan omöjligt av oss
    kopplas ihop med en fysisk person, ett telefonnummer eller någon annan
    information. Det enda som telefonen sänder ut är just denna MAC adress.
    Inget annat.
  • Så fort en MAC adress dyker upp i IOPS Wi-Fi nätverket så krypteras den om
    till en så kallad HASH kod. Efter detta raderas den ursprungliga MAC
    adressen. Denna nya HASH kod kan aldrig återskapa den ursprungliga MAC
    adressen. Detta innebär att vi endast räknar passager av HASH koder och
    ingen kan någonsin återskapa den ursprungliga MAC adressen i våra system.
    Inte ens Polisen. Däremot skulle din operatör kunna koppla ihop din MAC
    adress med dig som fysisk användare i SINA SYSTEM ­ men detta har inget med
    IOPS eller Bumbee Labs att göra.
  • Summan blir då att IOPS helt avidentifierat och anonymt räknar besök av
    HASH koder och dessa är helt tekniskt omöjligt FÖR OSS att koppla ihop med
    en fysisk person, något telefonnummer eller liknande. Vi får då helt anonym
    statistik, vilket också är syftet med IOPS.
  • Under hela utvecklingsprocessen av IOPS har Sveriges ledande juridiska
    expertis konsulterats hur hanterandet av mätdata på ett juridiskt och etiskt
    korrekt sätt. Vi har också försökt att få IOPS utvärderat av
    Datainspektionen, men de låter hälsa att Datainspektionen inte kontrollerar
    enskilda produkter.
  • All data presenteras i aggregerad form (sammanslagen) och vi följer de
    normer som man har vid statistiska empiriska mätningar så som CGS (Centrala
    Gränsvärdessatsen) vilket innebär att ingen data presenteras under minst 30
    st besök. I praktiken är detta verkligen en undre gräns för oss. Normala
    nedbrytningar ligger ofta på minst 1.000 besök och uppåt. T.ex. presenteras
    statistik som ”Hur många besökare gick på Storgatan vecka 44″, Vilken gata
    är mest besökt på nattetid”, ”Hur många besökte ett visst event i staden”.

Ni skriver i er blogg att ”Även påståendet ’det är tekniskt omöjligt för
oss att koppla ihop den anonyma radiosignalen till en fysisk person’ är
falskt, då det ofta går relativt enkelt att identifiera telefonens ägare
genom att avlyssna telefonens WiFi-kommunikation. Mer om detta i nästa
avsnitt.” – Jag undrar lite hur ni tänker att detta ska gå till när vi inte
erbjuder Wi-Fi i Västerås och på inget sätt kan ”avlyssna telefonens
Wi-Fi-kommunikation”? Dessutom är det ju så att all känslig Wi-Fi trafik där
man exempelvis surfar in på sin bank, lämnar mobilnummer, personnummer eller
liknande sker krypterat via HTTPS, vilket vi då inte heller kan lyssna av.

Jag tycker det är lite sorgligt att bilden av IOPS är så onyanserad. Det
finns ingen ond baktanke. Syftet är att för första gången erbjuda städer
empirisk mätdata så att de kan ta bättre beslut kring investeringar som
finansieras med skattemedel.

Det är viktig för oss att medborgarna känner sig trygga med vår tjänst IOPS.
Så, fråga gärna mera om ni önskar.

Vänliga hälsningar / Best regards
Staffan Liljestrand, VD / CEO
Bumbee Labs AB
Kontaktuppgifter borttagna[:]


[:sv]Slaget om staden – om rätten till anonyma söndagspromenader[:en]Mobile phone tracking horrors [:]

[:sv]

Se även Mobilkartläggning bryter mot lagen, Slaget om staden – andra delen, Öppet brev från Bumbee Labs och annat om mobilkartläggning.


Under Lördag eftermiddag (den 8/11) kommer aktivister från DFRI att dela ut flygblad i på Vasagatan i centrala Västerås. Vi kommer även att demonstrera en teknisk uppfinning med potential att sabotera övervakningssystemet och  skydda integriteten för personer som rör sig i staden.

Här finns några länkar till media som rapporterar om aktionen:
VLT: Övervakning i city saboteras
VLT: Störningen har startat
SVT: Storebror ser dig

Vi vill kanske inte alltid erkänna det, men vi är oskiljaktiga från våra telefoner. Sällan är mobilen mer än en armslängd bort, till och med när vi sover. Den som känner till var din telefon befinner sig och var den har varit tidigare, vet således en hel del om var även du befinner dig och har varit.

Det är relativt enkelt att spåra en mobiltelefon och att plocka fram information om platser där den tidigare befunnit sig. Din telefon är vanligtvis inte säker och tyvärr finns det företag som slår mynt av din olyckliga belägenhet.

I den här blogposten ska vi förklara hur mobiltelefonspårning går till och vilka kortsiktiga åtgärder du kan vidta för att skydda dig samt skissa upp en långsiktig lösning. För att konkretisera tittar vi på det system för att spåra mobiltelefoners (och därmed människors) rörelser som används i Västerås centrum just nu.

När vi pratar om spårning i det här sammanhanget syftar vi inte på den typen av positionering som telefonoperatören kan göra på uppdrag av polisen eller den information du frivilligt lämnar ut genom att installera appar som använder telefonens GPS. Vi pratar om ett sätt att hålla reda på var din telefon befinner sig helt utan både din och din operatörs inblandning.

Övervakningen i Västerås centrum

Under våren 2014 kontaktade företaget Bumbee Labs organisationen Västerås citysamverkan som består av företrädare för staden, fastighetsägare och näringsliv. De ville sälja sin produkt IOPS, ett system för att kartlägga hur människor rör sig i staden. Citysamverkan nappade på erbjudandet och systemet installerades på prov. I November kommer beslut fattas om det skall köpas in eller om utvärderingssystemet skall monteras ner.

På Bumbee Labs hemsida kan man läsa om IOPS (Indoor Outdoor Positioning System) att:

IOPS mäter signalstyrkan i decibel på en anonym radiosignal som besökarnas elektroniska enheter (mobiltelefoner m.fl.) sänder ut. […] Efter att en passage mäts raderas den ursprungliga anonyma radiosignalen från våra register. Eftersom det är tekniskt omöjligt för oss att koppla ihop den anonyma radiosignalen till en fysisk person, behandlas inga personuppgifter av IOPS.

Dessa påståenden är anmärkningsvärda av flera skäl och väcker en rad frågor.

Det första man kan konstatera är att Bumbee Labs påstående om en ”anonym radiosignal” inte stämmer. Mobiltelefoner skickar inte ut några anonyma radiosignaler över huvud taget.

Även påståendet ”det är tekniskt omöjligt för oss att koppla ihop den anonyma radiosignalen till en fysisk person” är falskt, då det ofta går relativt enkelt att identifiera telefonens ägare genom att avlyssna telefonens WiFi-kommunikation. Mer om detta i nästa avsnitt.

Det är tekniskt möjligt att bygga den typen av system som Bumbee Labs saluför på ett sätt som inte utgör några integritetsmässiga övertramp och det är fullt möjligt att IOPS fungerar på ett sådant sätt. Men det är omöjligt att veta eftersom företaget inte är öppna med hur deras spårning går till. DFRI har kontaktat Bumbee Labs med frågor och för att få en kommentar, men de har inte svarat. Med tanke på felaktigheterna i företagets andra kommunikation känner vi oss inte lugnade av försäkran om att ”radiosignalen [raderas] från våra register”.

WiFi – Digitala fotspår i etern

När det gäller WiFi-signaler, sänder en mobiltelefon alltid ut sin MAC-adress i alla sina anrop till omkringliggande antenner. Det är ett slags serienummer som är unikt för just den telefonen och är allt annat än anonymt.

En kvalificerad gissning av hur systemet fungerar, underbyggd av information från företagets hemsida och uttalanden i media, tyder på att  de ”anonyma radiosignaler” som Bumbee Labs hänvisar till är så kallade ”proble requests”. Det är en signal som din telefon regelbundet sänder ut  för att fråga om nätverk den tidigare varit ansluten till finns i närheten (för att den då skall kunna ansluta automatiskt till dem igen). 

Vad bör göras?

Naturligtvis  kan varken Västerås citysamverkan eller Bumbee Labs lastas för att våra  telefoner sänder ut all den här känsliga informationen. Men att systematiskt och storskaligt utnyttja den sårbara belägenhet vi alla befinner oss i är lika förkastligt som att närgånget fotografera offren i en trafikolycka. Att Västerås stad, som en del av Citysamverkan, deltar i detta är anmärkningsvärt.

Att stänga av WiFi är ett enkelt sätt för privatpersoner att undgå den typen av spårning som beskrivits i den här blogposten. Det är dessutom bra för batteritiden. Men det är lätt att glömma bort och det krävs att man alls vet om att man blir spårad. 

Men att tvingas stänga av WiFi är en nödlösning. DFRI önskar sig telefoner som är säkra och som är utformade för att värnar vår integritet, utan att några speciella inställningar måste göras. Det är vårt långsiktiga mål.

I Apples iOS 8 finns en funktion som ibland använder slumpvisa MAC-adresser vid probe requesets. Det är ett steg i rätt riktning – men det måste göras rätt och hela tiden, inte bara ibland. Vi hoppas att det initiativet plockas upp av Google och även införs i Android.

Edit: Efter publikationen av detta inlägg fick vi ett mail från företaget bakom IOPS. Det finns att läsa här.[:]


DFRI arrangerar Stockholm Cryptoparty 30 october! DFRI arrangerar Stockholm CryptoParty 30 oktober!

Sist vi arrangerade CryptoParty Stockholm gjorde vi det tillsammans med Sparvnästet på Cyklopen ute i Högdalen och då kom det runt 40-60 personer, i olika åldrar. Vi hade talks om kryptering på flera olika nivåer, vi körde Krypto-workshops utifrån vad deltagarna ville lära sig, hade lockpicking och även ett snacksbord ;) Vi har hittills genomfört 6 stycken CryptoParties och nu är det alltså dags igen. Den här gången kommer köra på Handels i Stockholm. Det kostar inget att delta, vi bjuder på fika, men ät lite innan.

Agenda:

18.00 Välkomna – kort om DFRI

18.10 Talk kring krypterad surf med Linda Sandberg & Andreas Jonsson, DFRI

18.30 Vad är det där Tor egentligen? Linus Nordberg, DFRI

19.00 KAKOR

19.15-21.00 Tor i praktiken — kom igång och använd, Linus Nordberg, DFRI

Förutom Tor kommer ni också få möjlighet att testa på olika krypterade appar (obs! gäller främst android). Frågor och funderingar kan vi också ta oss an, en väljer själv vad en vill göra. Det går bra att testa något lite med, en behöver inte köra och testa allt. Det kommer finnas något för ALLA att lära sig och testa. Och ja, det kommer finnas KAKOR. Ingen föranmälan krävs, utan ni skriver upp er när ni anländer.

För frågor kring CryptoParty Stockholm maila linda@dfri.se alt skicka en tweet till @copylinda eller @dfri_se