Sessions logning!

Så er den gal igen. Justitsminister Søren Pind har planer om at fremlægge et lovforslag som påbyder internetudbydere at logge ikke-mistænkte personers internetaktivitet.

Lad os lige starte med at slå fast, at ISP’erne (altså internetudbyderne) siden 2006 haft pligt til at hjælpe politiet med fuld aflytning af kunders internetadgang og det er for nogle af de store udbydere er fuldt automatiseret.

Hermed får politiet fuldt indblik i kommunikationen – i det omfang det kan dekrypteres (den vender vi tilbage til). Og denne form for aflytning som mistænkte for pædofile, internet kriminelle, terrorister bliver udsat for. Det som sessionslogning drejer sig om er os som ikke tilhører den forgående gruppe.

Justitsministeriet mener nemlig ikke at menneskerettighederne bliver overtrådt når man systematisk indsamler internetaktiviteten i form af logs fra hr og fru Jensen internetforbindelse(r). Dermed overtræder man ikke den EU dom som pålagde EU landede at stoppe systematisk logning af deres borgere.

Justitsministeriet mener i lighed med NSA at privatlivet er beskyttet for opsamlingen af disse data er ikke en krænkelse af menneskerettighederne – fordi det kræver at der foreligger en dommerkendelse før myndighederne får tilgang til dataene.

Når man så får adgang til disse data vil de fungerer som en art tidsmaskine bagud i tiden for hr og fru Jensens internet aktiviteter og kan bedst illustreres af Christian Panton som på sin blog på fremragende vis demonstrerer hvad man kan udlede af logningsdata.

Men som borger er jeg meget bekymret for at man opsamler sådanne data, for jeg mener med rette, at det er et faktum det offentlige Danmark ikke har styr på dataene, hverken i stort eller småt. Tag f.eks. CSC-sagen, kørekortregisteret eller den seneste sag med tinglysningsdata.

Dernæst kommer at en sådan database vil være et ”extreme high value target” for enhver fremmed efterretningstjeneste fordi man via denne database får real-time information som kan benyttes til f.eks. afpresning af topembedsmænd i udenrigsministeriet eller andre former for misbrug/profilering af befolkningen.

Når vi snakker om den praktiske serverhostning så er praksis sådan at det skal gøres billigst muligt, så den ansvarlige operatør hos ISP’en vil med garanti have mange andre opgaver end blot at passe sessionslogningsdatabasen. Derfor vil sessionslogningsdatabasen følge samme procedure som de andre systemer operatøren driver.

Operatøren vil bruge samme password, samme administrationssystem, samme patchlevel osv. Overfor ham står en fremmed efterretningstjeneste med f.eks. 300 mand og viden om 0-dags sårbarheder klar til at hacke sessionslogningsdatabasen.De arbejder kun med en ting og det er at hacke databasen og de bliver ved til de har hacket databasen. Det er sådan man gør den slags ting,

Når databasen først er hacket og der er sat replikering op rykker de 300 mand videre til næste opgave. Når det kører, så kræver det ikke længere menneske ressourcer.

Så sætter den fremmede efterretningstjeneste sig til at vente og før eller siden finder de f.eks. en udenomsægteskabelig affære imellem en topembedsmand afsløret ved en kombination af embedsmandens internet aktivitet og hans mobiltelefon færden/aktiviteter som f.eks. SMS kombineret med kvindens ditto.

Microsofts største kunde er det amerikanske forsvar og de afholder jævnlige møder imellem Microsoft og det amerikanske forsvar hvor der fra Microsoft udveksles informationer til det amerikanske forsvar om ikke rettede fejl – altså 0-dags sårbarheder. Selvom Søren Pind vil nægte at disse informationer tilflyder NSA – så er der en grund til at lande som f.eks. Kina er ved at afvikle Microsofts produkter og i stedet udvikle sit eget styresystem med tilhørende Office programmer.

Hvad kan sessions logning så bruges til – det er et godt spørgsmål for Politiets efterretningstjeneste PET sagde det nærmest direkte i redegørelsen fra december 2012. Først siger PET, at de bruger andre typer logning, og at de er vigtige for dem. Dernæst siger de:

“For så vidt angår anvendelse af teledata fra sessionslogning kan det oplyses, at det i meget begrænset omfang har været relevant at indhente sådanne oplysninger i forbindelse med efterforskning”

Når man kender embedsværkets stil er det det samme som en tilståelse af, at det slet ikke har været anvendt af PET.

Så PET har indset at det ikke kan bruges … Jamen hvem kan så bruge sessionslogning – det vil Rigspolitiet. Men hvorfor kan Rigspolitiet bruge noget som PET ikke kan? Svar herpå udbedes?

Jeg har et gæt og det hedder VPN. Fra Christian Pantons blog ved vi at TDC opsamlede ca 15.000 registreringer pr dag om Christian Pantons mobiltelefons internet brug og at blot det at besøge TV2 hjemmeside udløste 50 registreringer.

Da Christian Panton så overgik til VPN på hans mobiltelefon faldt antallet af registreringer fra 15.000 om dagen til 10! De 10 registreringer pegede alle på samme server (VPN serveren) og var relativt lange forbindelser (udtrykt i tid). Det var vel kun fordi hans mobiltelefon skiftede mast fordi han bevægede sig rundt, at der kom et nyt log entry.

Da sessionslogningen sker på ISP niveau vil alt den trafik som Rigspolitiet gerne vil fange ske hos VPN udbyderen (f.eks. ExpressVPN, BolehVPN eller Buffered). Men der kan Rigspolitiet heller ikke finde nogen logs, fordi at VPN udbyderen netop ikke logger forbruget og ofte er hjemmehørende i lande med meget strenge privacy regler som f.eks. Schweitz eller Holland.

Grafisk ser dette således ud;

VPN grafik

Sådan sagt på jævn dansk, så vil loggen altid sige du kun taler med den samme server og pga. krypteringen i VPN forbindelsen vil al trafik være ulæselig for Rigspolitiet.

I de lande er de ikke forpligtiget til at lave logs, så selvom VPN udbyderen tabte en legal kamp til det danske Rigspoliti, så kan man ikke udleverer noget man ikke har!

De lovgivningstiltag som er sket i de sidste par år er ikke rettet imod terrorister som vil sprænge en atombombe inde på rådhuspladsen. De er rettet imod stiknarkomanen som vil røve indvandrerkiosken henne på hjørnet.

Sessionslogningen er helt uegnet til at fange ”bad guys” som terrorister, pædofile og internet kriminelle men er uhyre effektivt når vi taler om at buste hr. og fru Jensen. Det tør politikkerne dog ikke sige, for så blev der et ramaskrig.

Kom det frem at sessionsloggen i virkeligheden skal logge store dele af V, R, DF og S vælgerbaser så ville der nok blive problemer med vælgerne, så hellere holde fast at de skal bruges til at fange ”bad guys”.

Jeg tror en stor del af problemet er at juristerne i ministerierne lider af den vrangforestilling at Internettet funger på samme måde som telefonnettet, hvor metadata om opkald er ganske effektive efterforskningsværktøjer.