Den stora avlyssningsskandalen

Foto: NSA headquarter Fort Meade, Maryland

De större amerikanska tidningarna började drevet den 6:e juni 2013 att det finns bevis om telefonavlyssning av amerikanare och nyheten toppade snabbt både Washington Post och New York Times.

Avslöjandet kom från Glenn Greenwald på tidningen Guardian som skrev att det fanns bevis på att National Security Agency krävt att telekombolaget Verizon på löpande basis för register över alla telefonsamtal som görs i USA. Enligt Guardian omfattade avlyssningen telefonsamtalen mellan USA och utomlands och samtal helt inom USA (inklusive lokal samtal).

Några dagar senare kom det en ny artikel som beskrev att det inte bara Verizon utan även telekomjättarna AT&T och Sprint hade haft liknande program och sedan utökades PRISM till att handla om  Boundless Informant dvs massavlyssning och datamining av i princip det mesta som sker på nätet.

Whistle blowern visade sig vara Edward Snowden med ett förflutet inom CIA och Booz Allen – ett privat underrättelseföretag som skrivit ett kontroversiella dokument cyberpower visioner för 2020 om hur USA ska behålla globalt ledarskap i cyberspace genom organisationer som IETF, ISO (standardiseringsorgan) och W3C.

Övervakningen har stort politiskt stöd i USA

Från konservativt amerikanskt håll så är man mycket kritisk till  Edward Snowden och det har ställts krav på att han ska utlämnas. Avlyssningen har stort stöd bland amerikanare och enligt en artikel i Washington Post anser 45% anser att man kan gå längre och bevaka alla människors online aktiviteter. Från den amerikanska regeringens håll säger man att informationen har stoppat potentiella terrorattacker utan att gå in på detaljer. Den 12:e juni uttalade sig NSA :s chef Keith Alexander att övervakningsprogrammen förhindrade ”dozens of terrorist events”.

De större amerikanska IT-bolagens roll i massavlyssningen

Enligt amerikansk lagstiftning FISA (Foreign Intelligence Surveillance Act) så måste IT-bolagen dela information vilket avgörs i en speciell domstol.

Datamining programmet som kallas PRISM omfattar minst 9 av de större Internet-företagen som har cloudlösningar. Involverade bolag är Google, Yahoo, AOL, Facebook, Skype, PalTalk, Microsoft och Apple, som alla har samarbetat med den amerikanska regeringen för att avlyssna sina utländska användares kommunikation – enligt både Guardian och Washington Post som fått en 41-sidors Powerpoint presentation av programmet. Men enligt andra artiklar  är det 50 företag inom andra branscher som kreditvärdering och ISPs.

De stora IT-bolagen Google och Facebook dementerade först avlyssningen
Google har dementerat PRISM  officiellt på den här sidan och skriver att de inte gett direkt access till sina servrar. Intressant är att Facebook Zuckerberg kommenterar med nästan exakt samma ordalydelse och upplägg  och ordvaltet direkt access…. men att IT-jättarna inte ger direkt access låter som en juridisk formulering och det är inte samma sak som att Google inte kan ha gett indirekt access, bakdörrar till NSA eller att de kan ha gett direkt access till servrar som ägs av något annat företag eller myndighet som i sin tur ger direkt access…

Senare har några företag skrivit om hur pass omfattande avlyssningen är och Facebook har kommenterat att det handlar om 19 000 konton som fått förfrågningar av federal, lokal och statliga myndigheter.Microsoft har uppgett 32 000 konton till Washington Post.  Men samtidigt finns  det stora företag som klarat sig från kritik som Twitter och Amazon.

Så här skyddar du dig mot att bli avlyssnad

• Surfa anonymt med program som Tor och webbproxies som HidemyAss.
• Använd inte chatar från större bolag utan installera egen chat eller ha en chatextension som innebär kryptering som OTR. Observerar att bara för att man har kryptering så innebär det inte automatiskt skydd. Man skiljer mellan symmetrisk kryptering och assymetrisk kryptering där den sista med assynkrona nycklar är betydligt svårare att knäcka krypteringen på(men det kan finnas backdoors i även om det är assynkron kryptering. Exempelvis måste vi i Sverige ha exportlicens för vissa krypteringsnycklar)
• Använd telefonitjänster och krypteringsappar som Red Client (open source) använder kryptering. Andra program som krypterar samtal är Silent Circle och Textsecure (Android).
• Om du inte vill att någon ska veta var du är med din telefon så ta ut batteriet eller släng din mobil!
• Använd alternativ som sökmotorn Duck Duck Go

Men det är inte första gången som massavlyssning sker och knappast den sista

Att avlyssning sker är inte första gången utan har förekommit flera gånger tidigare. Läs tex om Echelon som uppmärksammades för 15 år sedan som drevs av NSA eller Crypto-AG som var ännu äldre bakdörrar till NSA där svenskar var involverade.

Och vad sker i Sverige?

Hur stor omfattning har avlyssningen i Sverige?
Ser man på kartan över avlyssning verkar Sverige vara ett av de minst avlyssnade länderna vilket kan förklaras att vi dels har bra relation till USA men också att vi inte är speciellt intressanta som land. Samtidigt sägs det att i Storbritannien samarbetar man med säkerhetsbolaget GCHQ och det är rimligt att anta att det finns liknande samarbeten med Svenska myndigheter och IT och telekomföretag. Hur var det egentligen med Telia?

Aftonbladets chefredaktör har skrivit att tidningen har ett speciellt avtal med Google om amerikanska myndigheter skulle begära att få ut en journalists mail från Aftonbladet.
Innebär det att Aftonbladet (och hela Schibsted koncernen) kör Google mail? Många andra svenska bolag har servrar installerade och löper stor risk att vara avlyssnade. Finns det bakdörrar till dessa – hur är det med kreditvärderingsinstituten? Bredbandsbolag? Skatteverket? Bankernas transfereringar och VISA? Militären? Säkerhetspolisen? Patentverket (NSA bevakar Patenttrender) ? Finns det svenska företag och företagsledare som är avlyssnade?

Andra frågeställningar:
Finns det fler bakluckor vi inte känner till och till vem? Finns det bakluckor i krypteringsalgoritmer till NSA? Säljs den kommersiella underrättelsetjänsten vidare av NSA och de underkonsulter som de anlitar? Moderaterna kritiseras av Amelia Andersdotter från Piratpartiet att ha gått USA lobbyns intressen och man bör fråga sig varför är Carl Bildt totalt frånvarande och tyst och skriver nada om avlyssningen på sin blogg när Angela Merkel pratar om tyska intressen?

Källor:
Artikel i Washington Post
Artikel i Guardian(har bäst bevakning)
Artikel i Der Spiegel
Economist

Microsoft lämnar ut information till polisen

Microsoft avslöjar för första gången antalet ansökningar företaget har fått från brottsbekämpande myndigheter vilket av många ses som något positivt att företaget är öppna kring. EFF har länge uppmanat företag att offentliggöra antalet och typen av krav de får om användarna. Många användare lämnar ut privatinformation och därför är det viktigt att man får veta hur företagen handskas med personlig data. Under 2012 fick Microsoft och Skype totalt 75.378 förfrågningar från brottsbekämpande myndigheter på 137424 konton.

Från sina hundratals miljoner kunder över hela världen har Microsoft skrivit  en s.k. ”Law enforcement request report 2012”. Microsoft är inte det enda bolaget utan flera andra nätjättar som Google och Twitter om publicerar liknande transparens rapporter i ett försök att vara öppna kring sin inställning till polisiära myndigheter. Skype

Förfrågningarna sker internationellt från flera länder och från Sverige (vilket kan antas vara svenska polisen) fick Microsoft 326 förfrågningar som rörde 526 konton under hela 2012.

Läs rapporten här

Microsoft har rättat en allvarlig sårbarhet i Remote Desktop

Problembeskrivning
Cert.se informerar att sårbarheten kan medge exekvering av godtycklig kod genom att angriparen skickar riggade RDP-paket (Remote Desktop
Protocol). Angriparen behöver inte vara autentiserad. Microsoft har gett denna sårbarhet en etta i ”exploitability
index”, vilket innebär att det är troligt att stabil och fungerande kod som utnyttjar sårbarheten kan
implementeras. Detta tillsammans med att en extern angripare kan utnyttja säkerhetshålet gör den mycket allvarlig.

Modulen ”Remote Desktop” är inte påslagen i en standardinstallation. Det finns inga rapporter på att sårbarheten
utnyttjas aktivt enligt Microsoft.

Lösning
Microsoft har släppt säkerhetsuppdateringar för mars månad, vilka innehåller en rättning av sårbarheten.

Om uppdateringen av någon anledning inte omedelbart kan installeras är följande skydd möjliga:

* Blocka RDP-porten 3389 (TCP) i brandväggen.

* Inaktivera följande tjänster om de inte används: Terminal Services, Remote Desktop, Remote Assistance, eller Windows
Small Business Server 2003 Remote Web Workplace.

* Slå på ”Network Level Authentication” (NLA) för att stänga ute icke-autentiserade användare. Hur detta görs finns
beskrivet i MS12-020 (se nedan)

Mer information
http://technet.microsoft.com/en-us/security/bulletin/ms12-020
http://blogs.technet.com/b/msrc/archive/2012/03/13/strength-flexibility-and-the-march-2012-security-bulletins.aspx

CERT-SE kommer att uppdatera följande sida om ny information kommer: