/var/blog/messages

I torsdags offentliggjorde Statsministereriet rapporten »Det danske samfunds indsats og beredskab mod terror«, udarbejdet af Den tværministerielle arbejdsgruppe om terrorbekæmpelse.

Foranlediget af de citater jeg har set i dagspressen, har jeg nu kigget lidt i rapporten. Den tværministerielle arbejdsgruppe savner tydeligvis teknisk indsigt og blandt dets anbefalinger til “Efterforskningsredskaber på teleområdet” findes for eksempel nedenstående:

15. Arbejdsgruppen anbefaler, at § 15 i lov om konkurrence- og forbrugerforhold på telemarkedet ændres, så udbydere af elektroniske kommunikationsnet og -tjenester får pligt til at indrette deres tekniske udstyr på en måde, der gør indgreb i meddelelseshemmeligheden muligt uanset teknologisk fremføringsform. (Kapitel 3, afsnit 4.3.1).

16. Arbejdsgruppen anbefaler, at det teknologiske område, hvor politiet ikke har nogen umiddelbar mulighed for at sammenholde brugeroplysninger med det enkelte kommunikationsapparat, (f.eks. kombinationen af taletidskort og mobiltelefoner eller af brugere og netcaféer) elimineres eller – hvis dette ikke er muligt – reduceres i videst muligt omfang. De relevante myndigheder drøfter, hvorledes dette mest hensigtsmæssigt kan ske. (Kapitel 3, afsnit 4.3.1).

Hvis man har læst mit tidligere indlæg, »Kryptér din e-mail«, så skulle det være ganske klart, at teleudbyderne ikke kan “indrette deres tekniske udstyr på en måde, der gør indgreb i meddelelseshemmeligheden muligt uanset teknologisk fremføringsform”, da det i tilfældet med pgp-kryptering vil kræve en brydning af pgp-nøglerne. Der findes en udmærket FAQ her, der redegør for mulighederne for brydning af pgp-nøgler og/eller passphrases.

Hvorledes vil politiet i øvrigt stille sig til folk som jeg, der har vores egen e-mailserver? Hvis jeg sender e-mails til en anden person, der også har sin egen e-mailserver, så er ISP’ens eneste opgave at stille kobberforbindelsen tilrådighed. Et indgreb vil derfor kræve, at politiet får adgang til teleudbydernes netværk og opstiller en “sniffer”, der kan fange min trafik – men den vil også fange alle andres og dermed kompromittere en lang række personers privatliv.

En Google-søgning på “phone scrambler” viser, at der findes flere krypteringsmoduler til både mobil- og fastnettelefoner, så heller ikke den kommunikation kan garanteres tilgængelig for ordensmagten.

Arbejdsgruppen anbefaler også, at man helt forbyder Internetcaféer – en hel kategori af selvstændige erhversdrivende skal altså fratages deres levebrød? På trods af, at Internetcaféerne ikke er nødvendige for kommunikationen mellem terrorceller og deres medlemmer – de kan jo sagtens benytte pgp hjemmefra. Debatforum kan oprettets på en webserver hos et medlem, blot denne har en ADSL med fast IP-adresse og trafikken kan let krypteres med brug af https.

Der er med andre ord intet i de to ovenstående anbefalinger, der reelt udgør en trussel mod dem der konspirerer imod den eksisterende samfundsorden. For politikerne er der dog tale om en “win/win”-situation. Hvis anbefalinger bliver ført ud i livet, så har politikerne jo taget drastiske forholdsregler og kun de færreste almindelige danskere vil kunne se, at de er værdiløse. Skulle der alligevel ske en terroraktion i Danmark, så kan politikerne sagtens skyde skylden på ordensmagt og efterretningstjenesterne – de har sikkert ikke udnyttet lovens muligheder godt nok. Sker der tilgenæld ikke nogen terrorangreb, så kan politikerne tage hele æren, selvom deres initiativer har været værdiløse. Det må være skønt at være politiker :evil:.

Nu må man så spørge sig selv, om man virkelig vil afgive retten til privatlivets fred og brevhemmelighed, for en række initiativer der givetvis aldrig vil stoppe en eneste terrorist? Tænk over det på tirsdag, når du skal stemme til regionsvalget – det er nemlig i kommunerne, der skal sættes ind i forebyggelsen af terror, ved at fratage ekstremisterne deres rekrutteringsgrundlag. Det sker kun gennem uddannelse, information og integration – og den opgave ligger primært i dit nærmiljø. Det er også dit ansvar.

PDF-udgaven af rapporten kan også hentes her (ca. 900 KB), hvis den ikke længere er tilgængelig fra Statsministeriet.

I mit indlæg Kryptér din e-mail beskrev jeg blandt andet hvordan pgp-nøgler gøres troværdige ved gensidig signéring. Jeg vil her lige uddybe begrebet lidt.

Når du importerer en andens offentlige pgp-nøgle, så vil PGP/GPG automatisk betragte den som “untrusted”. Der er så to måder, hvorpå du kan gøre nøglen trusted:

1. Sæt “Implicit trust” via “Set Key Trust”-menuen i Enigmail. Personligt sætter jeg kun trust på nøgler jeg er 100% sikre på tilhører den påståede indehaver og jeg sætter trust-level til “I trust fully”, som er det næsthøjeste.
2. Signér nøglen med din egen nøgle.

Sidstnævnte løsning er klart den bedste, men der er et par ting man skal holde sig for øje. Nedenstående billede viser Enigmails nøgle-signéringsfunktion.

Først og fremmest bør man aldrig signére en pgp-nøgle med mindre man har kontrolleret dens autenticitet grundigt – det vil sige man med god samvittighed skal kunne sætte hak i “I have done very careful checking”.

Dernæst bør man aldrig signére andres pgp-nøgle, uden at have fået deres accept. Hvorfor så ikke det? Jo, for hvad er det værd for mig, hvis 20 vildt fremmede mennesker pludselig har signeret min pgp-nøgle? Det kan foranlede andre til at sætte deres tillid højt, uden der egentlig er noget at have det i. Derfor bør man altid kryds-signére nøglerne – så man aftaler med hinanden, at nu signérer vi hinandens nøgler – samtidigt. Så har man også haft en del kommunikation frem og tilbage; dermed har man en vis sikkerhed for, at ejeren af den pågældende e-mail-adresse også er ejer af den pågældende pgp-nøgle – for via e-mail udveksler man information of Key ID og Key Fingerprint og de to skal så stemme overens med den public key, som man har importeret fra en keyserver.

Hvis man nu alligevel gerne vil signére en nøgle, men ikke har ejerens accept, så kan det også lade sig gøre. Man kan nemlig signére nøgler til lokalt brug. På ovenstående billede ses et afkrydsningsfelt med teksten “Local signature (cannot be exported)” og hvis sætter hak i det, så bliver signéringen ikke uploaded til nogen key server.

PGP og spam
Det siger sig selv, at PGP er et effektivt værktøj i kampen mod spam. Vel at mærke, hvis ellers alle dem man gerne vil have e-mails fra benytter PGP. Der er dog endnu en måde, hvorpå PGP kan jælpe dig i kampen mod spam.

De fleste vil jo egentlig gerne have kontaktinformationer liggende på deres hjemmeside, men efterhånden har de fleste lært, at hvis man har sin e-mail-adresse stående der, så finder spammernes søgerobotter dem – og så har man balladen.

Løsningen er at lægge sin offentlige pgp-nøgle på siden i stedet! Så kan folk importere den og vupti – indeholdt i den er din e-mail-adresse. Pænt skjult for søgerobotterne. Desværre kræver den model større udbredelse af PGP end tilfældet er i dag – men vi kommer ikke længere ved at blive ved snakken, så lad os sammen være den lille snebold, der starter lavinen :cool:.