Hvordan holder man noget hemmeligt ?

Hvordan holder man noget hemmeligt ?
Af Poul-Henning Kamp 12. sep 2013 kl. 10:32

Med de seneste afsløringer om NSA's virke, står det klart at der ikke er noget der hedder privatliv mere, hvis der er elektronik involveret.

En af mine kunder har bedt mig om at opsummere sagen og forslog selv at jeg delte resultatet med mine blog-læsere på ing.dk.

Det faktum at jeg faktisk bliver betalt for dette blogindlæg påvirker på ingen måde indholdet.

Status på NSA afsløringerne

1. Al trafik der går over et telenet eller internettet kan og vil blive opsnappet over hele verden.
   ---
2. Al elektronik man kan købe må forventes at indeholde bagdøre, særligt computere og smartphones.
   ---
3. Der er grund til at antage at det meste kryptografiske programkode og muligvis visse kryptografiske protokoller er saboteret.
   ---
4. NSA har ikke skyggen af styr på hvad den lille million mennesker der har adgang til de opsnappede data foretager sig og vi må forvente at mindst et par hundrede medarbejdere sælger information til andre lande, firmaer, privatdetektiver, kriminelle organisationer osv.
   ---
5. NSA har brugt 250 mio USD om året på at svække sikkerheden i kommercielle og ikke kommercielle software og hardware produkter.
   ---
6. NSA har samarbejdet med en masse landes efterretningstjenester. Ingen vil svare os på om det også gælder PET/FE, hvorfor svaret må antages at være "ja."
   ---
7. Politikere og embedsmænd der udtaler sig om NSA lyver. De risikerer langvarige fængselsstraffe under torturlignende forhold, for at sige sandheden.
   ---
8. Bruce Schneier den formodentlig mest troværdige krytospecialist i hele verden har opdateret sine kryptonøgler.

Og nej, det er ikke overdrevet og det er muligt at det bliver værre endnu.

Som IT mand, som en af dem der var med til at få Internettet til Danmark, som forfatter af kode der bruges vidt og bredt, piner det mig at give følgende råd:

Hvad kan vi ikke stole på:

A) Ukrypteret kommunikation over internettet eller telenettet, herunder telefonsamtaler, SMS & MMS.

B) Cloud services (Amazon, Microsoft osv.) Outsourced services (CSC, IBM osv.). Social Networks (LinkedIn, FaceBook osv.) Teleservices (TDC, Telia osv.)

C) Indlejrede computere i WiFi-AP'er, routere, printere, kopimaskiner, TV'er og alt andet der kan sættes på nettet.

D) Smartphones, Tabletter og Computere hvor ejeren ikke suverænt kontrollerer hvilke programmer der kan og må køre.

E) OS (operativsystemer/red.) og software uden inspicerbar og verificerbar kildetekst (OS/X, Windows, Solaris, Chrome, Oracle, Adobe you name it...)

F) Enhver service eller program der kræver at vi downloader en "App" eller "Extension".

G) Certificate Authorities (CA'er som Verisign, TDC osv.)

H) Asymetriske krypto-protokoller: RSA, DSA, PGP, TLS, SSL, IPSEC (=VPN), SSH.

I) Svage symmetriske krypto-protokoller: RC4, AES mindre end 256 bits.

J) OpenSSL i særdeleshed.

K) Personer der kunne være i NSA eller efteretningstjenesters sold.

L) At vi får sandheden at vide fra direktører, embedsmænd og politikere.

Hvis du har noget som skal være absolut hemmeligt
(F.eks hvis du er medlem af Folketingets Kontroludvalg eller menneskerettighedsforkæmper.)

Du må ikke bruge elektronisk udstyr der er, eller senere kan blive koblet på internettet, med mindre du helt sikkert kan forhindre dette (evt. ved fysisk destruktion.)

Vær opmærksom på om andet elektronisk udstyr indeholder kamera eller telefon i nærheden.

Det er OK at bruge en PC med en lokal printer, forudsat den aldrig kommer på nettet, hverken før eller efter og forudsat du kan sikre dens fysiske sikkerhed. (Aldrig med ud og rejse!)

Du kan ikke stole på at elektronisk udstyr ikke lyver om netværksforbindelser, du skal fysisk sikre dig at der ikke er forbindelse. Undgå alt udstyr med trådløse faciliteter (WiFi, Bluetooth, trådløs USB osv.)

Du kan ikke stole på eventuel krypteringskoden der følger med elektronisk udstyr/OS. Brug mindst AES-256 med PSK (Find nogen der ved hvad det betyder til at hjælpe dig.)

Forudse at du kan og vil blive tilbageholdt og/eller fængslet på ubestemt tid, hvis du er heldig kun indtil du kan bevise at du ikke kan dekryptere opsnappede data. (Krypterede data og nøglen må aldrig transporteres sammen.)

Skal du holde møder hemmeligt, skal du efterlade alt dit elektroniske udstyr, (inklusive dit RejseKort, adgangsbrikker, din trådløse bilnøgle, og kontrollere alt tøj, tasker og andre ting du har købt, for - om der er efterladt RFID tags (radiofrekvensidentifikasjon/red.), og afholde mødet langt ude i naturen.

Det siger sig selv at "cloud" services (nettskyen/Cloud computing/red.), offentlige PC'er osv. er helt udelukket.


Beskyttelse af kommercielle hemmeligheder
(F.eks CAD tegninger, kemiske/medicinske processer, kildetekst, patentansøgninger osv.)

Firmaets netværk er kompromiteret, uanset hvad IT afdelingen vil påstå om det modsatte. Om ikke andet så af indbyggede bagdøre.

Indkøb nyt udstyr, lav et helt lukket net, der kun bruges til dette ene projekt. (Se ovenfor om at stole på OS og trådløse forbindelser.)

Alternativt, hvis dine brugere magter det: Anskaf en satans dygtig sysadmin og kør på en Open Source Unix (Linux eller FreeBSD) i en paranoid konfiguration.

Log al net-traffik igennem firewall'en og kontroller til stadighed at du ved præcis hvor hver evig eneste pakke kom fra og hvorfor.

Ingen kommunikation uden mindst AES256+PSK.

Stol ikke på RSA/DSA/SSL/TLS/SSH/IPSEC. Stol heller ikke på tablet, smartphones eller Cloud services.

Risikoen for tilbageholdelses og konfiskation er marginal, med mindre det du rejser med er meget interessant.

Det er ikke nok at bruge "pre-pay SIM" i udlandet, din telefon vil stadig blive aflyttet.

Brug gode stærke passwords, for inspiration se XKCD.


Almindelig sund beskyttelse
(Virksomhedsledere, Ingeniører, personfølsomme data mv.)

Brug aldrig "sociale netværk" (FaceBook, LinkedIn, Twitter osv.) fra samme elektroniske enheder som du bruger til fortrolige data.

Stol ikke på closed source software. Har du ikke gjort det endnu, er det nu du skal igang med at lære Linux eller FreeBSD.

Indtast aldrig et password i offentlige/lånte/lejede enheder (Ingen netcafe'er, ingen lufthavns-pc'er osv.)


Jamen, jamen! ... jamen?

Præcis!

Situationen er totalt fucked up.

Det lader ikke til at vores politikere har fattet en meter af hvor alvorligt det her er, hvis de havde, ville iPads og smartphones være bandlyst i Folketinget og CSC og KMD ville være blevet nationaliseret med henvisning til statens og borgernes sikkerhed.

Den alternative forklaring, mere konspiratoriske forklaring, er at de ikke er på vores side, men opfatter total elektronisk overvågning som en god ting.

Som det ser ud lige nu, er der intet der tyder på at situationen forandres til det bedre foreløbig, hvis overhovedet nogensinde.

Lad mig slå det fast med syvtommersøm: Det er ikke sikkert at denne totalovervågning nogensinde ophører eller reduceres igen.

De få og små forbedringer vi kan håbe på vil komme fra:

I) CIO'er der handler efter ovenstående liste og derfor kan lave "sikre indelukker".

II) Open Source krypto-kode der bliver gennemgået med en tættekam og reviewet i alle ender og kanter.

III) Vælgere der anvender stemmeblyanten fornuftigt.

Bemærk i særdeleshed at hemmeligheder der allerede er blevet opsnappet, som f.eks CPR numrene på alle danskere med et kørekort blev det sidste år, ikke nogensinde bliver hemmelige igen og vi kan aldrig vide os sikre på hvem der har adgang til dem.

phk

PS: Dette blogindlæg må frit kopieres, citeres, oversættes, printes, viftes under næsen med, råbes og skriges om samt protesteres med.

Kilde: http://ing.dk/blog/hvordan-holder-ma...mmeligt-161711


http://ing.dk/sites/ing/files/styles...?itok=fo9oxtcz
Poul-Henning Kamp er selvstændig open source-softwareudvikler.
Han skriver blandt andet om politik, hysteri, spin, monopoler, frihedskampe gør-det-selv-teknologi og humor.
Follow @bsdphk

Sitat:

---

• Al trafik der går over et telenet eller internettet kan og vil blive opsnappet over hele verden.
  ---
• Al elektronik man kan købe må forventes at indeholde bagdøre, særligt computere og smartphones.
  ---
• NSA har ikke skyggen af styr på hvad den lille million mennesker der har adgang til de opsnappede data foretager sig og vi må forvente at mindst et par hundrede medarbejdere sælger information til andre lande, firmaer, privatdetektiver, kriminelle organisationer osv.
  ---
• NSA har brugt 250 mio USD om året på at svække sikkerheden i kommercielle og ikke kommercielle software og hardware produkter.
  ---
• NSA har samarbejdet med en masse landes efterretningstjenester. Ingen vil svare os på om det også gælder PET/FE, hvorfor svaret må antages at være "ja."

---

"Den er lett å falle for. Ikke rart så mange elsker den" skriver Apple.com/no. Men ikke ret mange tænker på, at med denne nye iPhone, får alle "overvågere" også adgang til iPhone-ejernes fingeraftryk... "The iPhone 5S also notably includes a redesigned home button with a built-in fingerprint scanner known as Touch ID" (Kilde).

»Jeg vil ikke leve i en verden, hvor hver en mail, hver en telefonsamtale, hver en privat tilkendegivelse på elektronisk vis er underlagt statslig spionage,« sagde Snowden, da han fremkom med sine afsløringer. (Kilde)

Et ofte fremført argument i debatten om terrorbekæmpelse og overvågning er, at "har du ikke noget at skjule, så har du intet at frygte." Argumentet ses også i en version som formuleret af borgeren selv: "Jeg har ikke noget imod overvågning, for jeg har intet at skjule". (...)

Påstanden om, at såfremt du intet har at skjule, så har du intet at frygte strider fundamentalt mod vore retsprincipper og undergraver den grundlovssikrede ret til privatlivets fred ligesom Danmarks tilslutning til konventionerne om menneskerettighederne, som fastslår at det er en anerkendt frihedsrettighed, at den enkelte borger har ret til et privatliv gøres illusorisk.

Det principielle synspunkt er nemlig, at det ikke er den enkelte borger der skal retfærdiggøre hvorfor han eller hun ønsker sit privatliv beskyttet, men derimod myndighederne der under alle omstændigheder skal fremlægge gode argumenter for et eventuelt indgreb. (Kilde)

Generelt kan man spørge, om der overhovedet er mulighed for at tage et frontalt opgør med den lille magtelite, der globalt sidder på indtægter, formuer og medier, når den på forhånd kender alle ens træk og vil kunne manipulere med offentligheden på baggrund af alskens oplysninger indhentet ved overvågning. (Kilde)

Jeg har absolut ingenting at skjule... mit liv er som en åben bog og alle kender mine sympatier og antipatier, men jeg har absolut alt imod, at overvågningen på forhånd fratager mig retten til selv at bestemme, hvem eller hvad jeg ønsker at indvie i mit privatliv.

I min verden, alle som mener at "de har ikke noget imod overvågning, for de har intet at skjule" er forbandede kujoner uden rygrad og uden personlig integritet, og de er de egentlige ansvarlige for at overvågningen overhovedet kunne etableres, fungerer og vokser. Uden deres manglende modstand og med de facto deres passive støtte - ville det aldrig nogensinde være muligt at vedtage, endsige gennemføre den fortsat voksende kortlægning af dit og mit liv.

Næste gang du taler med nogen som siger "har du ikke noget at skjule, så har du intet at frygte" - ved du, at du taler med en forbandet kujon.

Når det kommer til stykket og man spørger "hvorfor", kommer alskens "fornuftige" svar som alle skal vække vores frygt og dermed få os til at acceptere overvågningen. Men jeg tror, at det handler hverken om terror eller andre "trusler mod menneskeheden". Jeg tror at "de" gør det fordi de kan, og alt andet som den smalle elite ellers får ud af det i form af fordele i beskyttelsen af formuer og magt - blot kommer ind som en sidegevinst.

Jeg har fravalgt smarphone's allerede for længe siden. Jeg har et smart-tv som aldrig kommer på nettet. Jeg har med overlæg fravalgt trådløst netværk. Jeg har en notebook jeg bruger udelukkende til netbank. Jeg har en anden "tom" notebook, jeg udelukkende bruger til Skype. Jeg har PC'er med kabeltilslutning og ingen af mine tre monitorer har en kamera. Ingen af mine eksterne harddiske kommer nogensinde på nettet. Når computeren slukkes, slukkes også automatisk min router og når jeg lukker webbrowseren, fjernes automatisk alle cookies, cache og hele historikken. En time hver dag kører to forskellige malware-detektorer to uafhængige af hinanden scanninger af mine PC'er. Alt dette etablerede jeg ellers i sin tid, kun for at undgå "infektioner" fra nettet, men det ser ud til nu, at det også gavner mit privatliv af andre årsager end spam, trojanske heste osv.

Jeg regner ikke med at nogen form for selv-beskyttelse er 100% vandtæt, men jeg gør det i hvert fald ikke nemt for "nogen" at bryde ind i mine computere. Forstår dog at det kan virke uoverkommeligt for de fleste... men efter 22 år på Internettet har jeg lært min lektie i netsikkerhed på den hårde måde. Jeg har dog aldrig forestillet mig, at nogen kunne finde på at etablere et verdensomspændende data-lager med kapacitet til at arkivere og opbevare alt verdens data-kommunikation i hundrede år, hvor kapaciteten hele tiden udvides.

Hvis årsagen er at foregribe og forebygge befolkningernes reaktioner på det som planlægges at udsætte dem for i fremtiden - kan jeg ikke undgå at være glad for, at jeg er så gammel at jeg ikke kommer til at opleve det, og at jeg ikke har fået flere børn. Der er nok at frygte på vegne af det ene barn jeg har. :sad:

Tidligere PET-chef: Digitaliseringen har smadret dit privatliv

Interview: Hvis du tror, du har nogen som helst form for privatliv tilbage, tager du fejl. Du bliver overvåget konstant, og det må du lære at leve med. Her er analysen fra tidligere PET-chef Hans Jørgen Bonnichsen. "Ikke engang NSA kan holde styr på sikkerheden. Det understreger vel med al tydelighed, at der intet privatliv er tilbage." Så krystalklar er vurderingen fra den tidligere operative chef for Politiets Efterretningstjeneste (PET) Hans Jørgen Bonnichsen.

"Privatlivet er fuldstændig forsvundet," siger han. Det eksemplificerer han med en personlig erfaring:... Les mer i EPN.dk