VPN og hvorfor VPN?

Til at beskrive VPN (Virtual Private Network) vil jeg starte med en analogi. Forstil dig internettet som en lille landby hvor hvert hus er en server.

Hvis jeg fra hus nr 23 vil snakke med hus nr 17, så sender jeg et åbent postkort for alle datapakker er som standard åbne postkort – for breve findes ikke ikke vor landsby.

Mit postkort bliver nu afleveret fra hus til hus – og kan hver gang læses af huset (serveren). Uanset om det er en glødende kærlighedserklæring eller en inkassotrussel. Og hvis et hus undervejs vil, så kan huset rette i mit postkort. Det kalder man mand-i-midten-angreb.

De færste ville sikkert sende glødende kærlighedserklæringer eller nøgen billeder på åbne postkort, men det er altså sådan internettet fungerer – åbne postkort.

Hvis jeg vil sikre mig at det kun er den hus nr 17 som kan læse min besked, så må jeg putte beskeden ned i et brev ved hjælp af kryptering. At krypter svar til putte beskeden ned i et brev – ikke andet.

En VPN forbindelse kryptere derfor forbindelsen imellem din pc/tablet/telefon og VPN serveren, således at min besked nu er et lukket brev som bliver afleveret fra hus til hus i landsbyen.

Sagt helt kort, så er VPN forbindelse blot et brev hvori jeg putter mine data – det er ikke andet. Det brev sender jeg så til en betroet server (altså VPN server) hvor mine data bliver taget ud af kuverten og derpå ekspederet videre til de rette modtagere men nu er mine data tilbage som åbne postkort – hvis ikke de krypters på anden vis – som f.eks. https:// protokollen.

Grunden til at alle firmaer og mange private anvender VPN er, at internettet er et usikkert sted. Internet kriminelle, efterretningstjenester mv. opsætter ofte falske adgangspunkter med gratis internet adgang via Wifi og især hvis der er konferencer i byen eller større sportsbegivenheder.

Der tager de en kopi af alle dine oplysninger – og tro det eller ej – men din PC og mobiltelefon udveksler meget ofte dit brugernavn og password i klartekst – de er ukrypteret. Så ved at logge på deres ”gratis internet” har du lagt din digitale identitet i deres hænder.

Alle banker anvender end-to-end kryptering og two-faktor login (via Nemid) fordi at man ellers uden videre kunne aflæse informationerne og så lænse kontoen.

Derfor anvender man VPN og hvis en Wifi udbyder ikke understøtter VPN forbindelser … så skal du ikke logge på det Wifi. Så enkelt er det.

De fleste private køber sig adgang via udbydere af VPN tjenester som f.eks. ExpressVPN, Buffered, BolehVPN, SaferVPN og VPNArea fordi de har klienter til alle former for computere og mobiltelefoner, samt man kan koble op alle steder i verden.

Firmaer køber i regelen en løsning ved en leverandør specielt tilpasset virksomheden

Har man lidt teknisk indsigt kan lave sin egen hosted VPN server. Har man lyst til en Mercedes blandt hostingselskaberne er  https://www.easyspeedy.com/ et godt valg, men kan man nøjes folkevogn er https://www.digitalocean.com/  et godt valg. Det kræver sagt sagt lidt teknisk indsigt, men denne guide til Ubuntu gør det enkelt.

Er man en familie – kommer man rigtigt langt med den billigste server til 5 USD om måneden hos Digital Ocean – Det er altså 512MB RAM, 20GB SSD, 1CPU og 1TB trafik som følger med – så det er en stor familie før det bliver et problem med mobiltelefoner koblet op på den!

Det er min anbefaling altid at bruge VPN på mobiltelefoner og helst også den faste forbindelse derhjemme fordi langt de fleste angreb – sker tæt på offeret.

Så afslutningsvis er en VPN server er en computer som du forbinder dig til på internettet, den koder din datatrafik og gør den ulæselig for uvedkommende.

Dermed gøres det umuligt for andre at følge med i, hvad du foretager dig online og intet kan spores tilbage til din computer/telefon ligesom dine kodeord og brugernavne gøres ulæselige. Det hele foregår automatisk, når du har installeret et lille program kaldet en VPN-klient.

Sessions logning!

Så er den gal igen. Justitsminister Søren Pind har planer om at fremlægge et lovforslag som påbyder internetudbydere at logge ikke-mistænkte personers internetaktivitet.

Lad os lige starte med at slå fast, at ISP’erne (altså internetudbyderne) siden 2006 haft pligt til at hjælpe politiet med fuld aflytning af kunders internetadgang og det er for nogle af de store udbydere er fuldt automatiseret.

Hermed får politiet fuldt indblik i kommunikationen – i det omfang det kan dekrypteres (den vender vi tilbage til). Og denne form for aflytning som mistænkte for pædofile, internet kriminelle, terrorister bliver udsat for. Det som sessionslogning drejer sig om er os som ikke tilhører den forgående gruppe.

Justitsministeriet mener nemlig ikke at menneskerettighederne bliver overtrådt når man systematisk indsamler internetaktiviteten i form af logs fra hr og fru Jensen internetforbindelse(r). Dermed overtræder man ikke den EU dom som pålagde EU landede at stoppe systematisk logning af deres borgere.

Justitsministeriet mener i lighed med NSA at privatlivet er beskyttet for opsamlingen af disse data er ikke en krænkelse af menneskerettighederne – fordi det kræver at der foreligger en dommerkendelse før myndighederne får tilgang til dataene.

Når man så får adgang til disse data vil de fungerer som en art tidsmaskine bagud i tiden for hr og fru Jensens internet aktiviteter og kan bedst illustreres af Christian Panton som på sin blog på fremragende vis demonstrerer hvad man kan udlede af logningsdata.

Men som borger er jeg meget bekymret for at man opsamler sådanne data, for jeg mener med rette, at det er et faktum det offentlige Danmark ikke har styr på dataene, hverken i stort eller småt. Tag f.eks. CSC-sagen, kørekortregisteret eller den seneste sag med tinglysningsdata.

Dernæst kommer at en sådan database vil være et ”extreme high value target” for enhver fremmed efterretningstjeneste fordi man via denne database får real-time information som kan benyttes til f.eks. afpresning af topembedsmænd i udenrigsministeriet eller andre former for misbrug/profilering af befolkningen.

Når vi snakker om den praktiske serverhostning så er praksis sådan at det skal gøres billigst muligt, så den ansvarlige operatør hos ISP’en vil med garanti have mange andre opgaver end blot at passe sessionslogningsdatabasen. Derfor vil sessionslogningsdatabasen følge samme procedure som de andre systemer operatøren driver.

Operatøren vil bruge samme password, samme administrationssystem, samme patchlevel osv. Overfor ham står en fremmed efterretningstjeneste med f.eks. 300 mand og viden om 0-dags sårbarheder klar til at hacke sessionslogningsdatabasen.De arbejder kun med en ting og det er at hacke databasen og de bliver ved til de har hacket databasen. Det er sådan man gør den slags ting,

Når databasen først er hacket og der er sat replikering op rykker de 300 mand videre til næste opgave. Når det kører, så kræver det ikke længere menneske ressourcer.

Så sætter den fremmede efterretningstjeneste sig til at vente og før eller siden finder de f.eks. en udenomsægteskabelig affære imellem en topembedsmand afsløret ved en kombination af embedsmandens internet aktivitet og hans mobiltelefon færden/aktiviteter som f.eks. SMS kombineret med kvindens ditto.

Microsofts største kunde er det amerikanske forsvar og de afholder jævnlige møder imellem Microsoft og det amerikanske forsvar hvor der fra Microsoft udveksles informationer til det amerikanske forsvar om ikke rettede fejl – altså 0-dags sårbarheder. Selvom Søren Pind vil nægte at disse informationer tilflyder NSA – så er der en grund til at lande som f.eks. Kina er ved at afvikle Microsofts produkter og i stedet udvikle sit eget styresystem med tilhørende Office programmer.

Hvad kan sessions logning så bruges til – det er et godt spørgsmål for Politiets efterretningstjeneste PET sagde det nærmest direkte i redegørelsen fra december 2012. Først siger PET, at de bruger andre typer logning, og at de er vigtige for dem. Dernæst siger de:

“For så vidt angår anvendelse af teledata fra sessionslogning kan det oplyses, at det i meget begrænset omfang har været relevant at indhente sådanne oplysninger i forbindelse med efterforskning”

Når man kender embedsværkets stil er det det samme som en tilståelse af, at det slet ikke har været anvendt af PET.

Så PET har indset at det ikke kan bruges … Jamen hvem kan så bruge sessionslogning – det vil Rigspolitiet. Men hvorfor kan Rigspolitiet bruge noget som PET ikke kan? Svar herpå udbedes?

Jeg har et gæt og det hedder VPN. Fra Christian Pantons blog ved vi at TDC opsamlede ca 15.000 registreringer pr dag om Christian Pantons mobiltelefons internet brug og at blot det at besøge TV2 hjemmeside udløste 50 registreringer.

Da Christian Panton så overgik til VPN på hans mobiltelefon faldt antallet af registreringer fra 15.000 om dagen til 10! De 10 registreringer pegede alle på samme server (VPN serveren) og var relativt lange forbindelser (udtrykt i tid). Det var vel kun fordi hans mobiltelefon skiftede mast fordi han bevægede sig rundt, at der kom et nyt log entry.

Da sessionslogningen sker på ISP niveau vil alt den trafik som Rigspolitiet gerne vil fange ske hos VPN udbyderen (f.eks. ExpressVPN, BolehVPN eller Buffered). Men der kan Rigspolitiet heller ikke finde nogen logs, fordi at VPN udbyderen netop ikke logger forbruget og ofte er hjemmehørende i lande med meget strenge privacy regler som f.eks. Schweitz eller Holland.

Grafisk ser dette således ud;

VPN grafik

Sådan sagt på jævn dansk, så vil loggen altid sige du kun taler med den samme server og pga. krypteringen i VPN forbindelsen vil al trafik være ulæselig for Rigspolitiet.

I de lande er de ikke forpligtiget til at lave logs, så selvom VPN udbyderen tabte en legal kamp til det danske Rigspoliti, så kan man ikke udleverer noget man ikke har!

De lovgivningstiltag som er sket i de sidste par år er ikke rettet imod terrorister som vil sprænge en atombombe inde på rådhuspladsen. De er rettet imod stiknarkomanen som vil røve indvandrerkiosken henne på hjørnet.

Sessionslogningen er helt uegnet til at fange ”bad guys” som terrorister, pædofile og internet kriminelle men er uhyre effektivt når vi taler om at buste hr. og fru Jensen. Det tør politikkerne dog ikke sige, for så blev der et ramaskrig.

Kom det frem at sessionsloggen i virkeligheden skal logge store dele af V, R, DF og S vælgerbaser så ville der nok blive problemer med vælgerne, så hellere holde fast at de skal bruges til at fange ”bad guys”.

Jeg tror en stor del af problemet er at juristerne i ministerierne lider af den vrangforestilling at Internettet funger på samme måde som telefonnettet, hvor metadata om opkald er ganske effektive efterforskningsværktøjer.