Ansvarsforhold for software data nettverk og innhold

Denne posten handler om ansvar for sine handlinger på internett. Det virker som om det er uklart for mange hvordan man kan stilles til ansvar for ulike type handlinger relatert til internett. Jeg har mine tanker om dette som jeg vil dele her.

I hvilken grad kan man stille disse 3 rollene til ansvar for sine handlinger?

• Bruker
• Utvikler
• Dataprovider
• Nettverkstilbyder

En person kan besitte 1 eller fler av disse rollene samtidig. Software og digitalt innhold har endel egenskaper som kan gjøre ansvarsforhold utydelig for "uinnvidde".

La meg slå en ting helt fast: Lager man, tilbyr, eller promoterer software eller innhold i den hensikt å begå kriminelle handlinger er man helt klart i et etisk/juridisk ansvarsforhold. I hvilken grad man er i et juridisk ansvarsforhold er komplisert siden statsborgerskap, oppholdssted og "åsted" for handling gjerne kan være 3 ulike steder.

Det må etabeleres en forståelse av sammenhengen, eller rettere sagt, forskjellene mellom software og innhold for å forstå problemstillingene bedre. Software er kode, en slags oppskrift på å behandle data. Når koden ikke kjører er den mer å betrakte som et litterært verk, altså en statisk tekst. I det koden lastes, som f.eks. når du laster denne nettsiden, instansieres koden den innholder i din nettleser. Koden kjører altså på din maskin. Siden, med koden, er lastet fra en tilbyder av blog-tjenester. Blog-tilbyderen har levert en kopi av innhold og kode, jeg har bestemt skal være med, samt det som ligger i blog-templaten, som noen andre har laget og atter andre ting blog-tilbyderen legger på. Software er svært ofte et aggregat av kode skrevet av ulike personer, distribuert i det uendelige som kopier.

Kopier av digitalt innhold kan ikke sies å være eid av noen på samme måte som fysiske objekter. Derimot så kan det være vedheftet bruks- distribusjons- og lisensregler. Kommersiell programvare gir kun kjøper lov til å bruke en kopi, mens Open Source Software har regler for distribusjonsregler. Begge varianter har ofte disclaimers og forbud mot skadelig/ulovlig anvendelse fordi opphavsmannen ikke ønsker at software skal forårsake materiell-, helse- eller økonomisk skade. Her er det imidlertidig svært mange varianter og meninger, og dette innlegget er interessant: Software liability.

Software som kode gjør ingenting, og det er først når den instansieres (kjøres) og benyttes sammen med innhold den gir mening for en bruker. Brukerens handlinger er det sentrale fordi det er disse som "kobler" software med innhold. Det er disse handlingene som må anses som legitime eller illegitime. Noen ganger er dette også uklart, som i f.eks. den arabiske våren hvor myndighetene i de aktuelle statene anså handlingene som illegitime, mens vesten sto på sidelinjen og applauderte.

Nå kan vi se på sammenhengen mellom  de ulike rollene, software og innhold

 

Det er brukerens handlinger som kan være illegitime. Brorparten av software som finnes er ikke laget for å utføre kriminelle handlinger, men som annen teknologi kan den brukes til det. Unntaket er programvare som er spesiellt laget for å stjele, ødelegge, skape falsk eller slette (andres) innhold. Botnet-software er et eksempel på dette, men denne softwaren består gjerne av komponenter skapt for helt legitime formål, men som en kriminell har laget for å kunne utføre kriminelle handlinger. Man kan derfor ikke stille alle utviklere til ansvar her, kun den som har kriminelle hensikter.

Når det gjelder en innholdstilbyders ansvar, må det stilles spørsmål ved i hvilken hensikt og i hvilken grad tilbyder er ansvarlig for innholdet. En blog-tilbyder kan ikke være ansvarlig for alt de ulike bloggerne skriver. Tilbys eller promoteres ulovlig innhold er det noe annet. En tredje variant er der en kriminell 3dje-part bryter seg inn og plasserer ulovlig innhold på en nettside. Vi ville f.eks. ikke stilt en nettavis ansvarlig om noen erstattet innholdet deres med noe ulovlig. En lagringstilbyder (Dropbox) trenger ikke engang besitte programvare som kan benyttes på alt innhold som er lagret på deres utstyr, og dermed ute av stand til å vite hva slags innhold det dreier seg om. Innholdet kan også være kryptert slik at det vil være umulig for en tilbyder å vite hva som er lagret.

Fordi myndighetene ikke ser ut til å se problemet med å tiltvinge seg private data fra borgerne, som f.eks. gjennom Datalagringsdirektivet, vil programmerere svare med å utvikle ny teknologi som lar folk beholde privatlivet også på nett. Jeg, og mange andre, ser på dette som et forsvar av Internett slik det er ment å fungere, og menneskerettigheter som gjelder i våre fysiske liv. Jeg kan ikke se at retten til et privatliv skal opphøre om vi kommuniserer digitalt.

Noen tar til orde for å begrense slik programvare og stille utviklerne ansvarlig for de som eventuellt bruker teknologien til kriminelle handlinger. Dette skivebom, og vitner om dårlig forståelse av hvem som gjør hva. Det blir omtrent som å si at soldaten er ansvarlig for handlingene til borgerne han forsvarer. Helt bak mål altså.

Illegalt informasjonsmarked

På internett er det et marked som vokser raskt: handel med personlig informasjon. Informasjon som kan benyttes til identitetstyveri er en illegal handelsvare. Du kan kjøpe 1, 10-talls, 100-talls, 1000-talls identiter hvis du vil. Kvantumsrabatt for du også.

Grunnen til at det illegale informasjonsmarkedet kan vokse så raskt er

• Dårlig sikkerhet i IT-systemene
• Dårlige sikkerhetsrutiner
• Ingen eller svake krav til forsvarlighet ved lagring av informasjon
• Lagring av unødig informasjon, men som viser seg nyttig for kriminelle
• Dette ser ut til å øke i omfang av en rekke årsaker

• Sikkerhetsinfrastrukturen er under angrep
• SSL/TLS som benyttes for å sikre kommunikasjon på Web er underminert av dårlig sikkerhet hos sertifikatutstedere. Flere innbrudd som trolig har pågått over lang tid er avdekket. CA systemet er ikke sikrere enn det medlem som har dårligst sikkerhet og mest korrupte.
• RSA som lager kodebrikker for terminalservere har vært hacket

Kriminelle hackere har ingen problemer med å skaffe den informasjonen de ønsker, og som de selger videre. Jo mer data som lagres, jo mer vil det illegale markedet vokse. Det finnes ingen kortsiktig løsning på sikkerhetsproblemene, og det vil trolig bli værre i den nærmeste fremtid.

I ovenstående perspektiv er det avgjørende at den enkelte person og bedrift kan selv avgjøre hvilke risiki de utsetter seg for. Akkurat som i det virkelige liv har enhver rett på privatliv og integritet. Mister man disposjonsrett til egen informasjon så har man heller ikke et reellt privatliv og integritet.

Selv om få er bevisste på hva de tiltror sosiale media, banker og telekom-selskaper av informasjon, så er det ihvertfall i stor grad basert på avtaler/samtykke. I sosiale media er det også et incentiv om målrettet eksponering av enkelte sider av seg selv.

Datalagringsdirektivet er et grelt eksempel på hvordan  myndighetene fratar oss disposisjonsretten til egen informasjon. Det er liten grunn til å tro at telekomselskapene har vesentlig bedre sikkerhet enn andre organisasjoner som er hacket. Trafikkdata er også ypperlig datagrunnlag for identitetstyveri og social engineering som igjen vil føre til mer kriminalitet. Crimesourcing er et nytt begrep vi kommer til å stifte bekjentskap med i tiden som kommer. På toppen av det hele blir ansvarsområdet til Datatilsynet nedprioritert av Regjeringen. Økt kriminalitet betyr økt etterspørsel av Politiets tjenester, og økonomisk tap for enkeltpersoner, bedrifter og samfunn.

Kommersielle aktører, og deres eiere, drives av hovedsakelig et viktig incentiv: tjene penger. Det vil si at de vil minimere sine kostnader. Sikkerhet er desverre en salderingspost, fordi det ikke gir noen direkte verdi for kundene deres. Større datamengder vil øke investering- og driftskostnadene:

• Krav til større fysiske datasentere
• Mer lagringsplass (failover krever i tillegg replikering av data, over flere fysiske lokasjoner)
• Båndbredde i nettverket
• Strøm til lagrings- og kjøleenheter
• Mer driftspersonell
• Økt kompleksitet reduserer MTBF (Mean Time Between Failure)
• Oppgraderinger (som også er forbundet med midlertidig økt risiko for feil, og er en svært vanlig årsak til ikke planlagt nedetid)

Disse faktorene er naturlig nok noe alle IT tjenesteleverandører må ha løpende oppdatering på, men når de blir pålagt noe de ikke har egennytte av er sjansen for at det nedprioriteres større. Når man vet at det finnes svært mange små tjenesteleverandører som omfattes av direktivet skjønner man at risikoen for at data vil komme på avveie vil øke vesentlig. Samtidig blir det trangere kår for de som vil starte opp nye tjenester fordi det vil kreves høyere startkapital. Løsningen på det er for disse å legge infrastrukturen til et land som ikke omfattes av et slikt regelverk, og da i nettskyen som kan tilby svært billig maskinvare. Den utviklingen vil akselereres, men det skaper også utfordringer fordi det er restriksjoner på hvilke data som kan lagres utenfor EU. Konsekvensen kan bli mindre innovasjon, dårligere service og sikkerhet grunnet økt kostnadspress.

Resultatet av denne utviklingen er at plattformen for effektiv kommunikasjon og handel på internett er i ferd med å undermineres. Internett er en sentral brikke når vi skal forsøke å skape økonomisk vekst men samtidig forbruke mindre av klodens ressurser. Men skal det realiseres må vi kunne stole på infrastrukturen i stor nok grad til at vi tiltror den transport av fortrolig informasjon. Det må også være et personlig valg hva vi velger å tiltro infrastrukturen av informasjon.

Det er ikke bare handel og effektivisering som står på spill, men også demokratiske prosesser. Dersom en ikke kan stole på at de dominerende kommunikasjonsformer har nødvendig konfidensialitet vil det ha en avkjølende effekt på avgjørende mekanismer.

TEDxRotterdam - Mikko Hypponen - safe internet will lead the future

Barneporno: Polere vekk eller gjøre noe med problemet

I går kom jeg over en av de vondeste artiklene jeg har lest på internett. En som tydeligvis har inngående kjennskap til barneporno-ondet og distribusjonsmekanismer har dokumentert dette og sendt til Wikileaks. For de som har mage til å lese den, så er den her: An insight into child porn

For de som ikke orker å lese den (jeg slet, og har vært ganske opprørt etterpå) så kan en lese Bruce Schneiers (sikkerhetsekspert) utdrag av de tekniske aspektene.

Siden jeg er sterk kritiker av Datalagringsdirektivet, men faktisk ønsker å løse problemer med kriminalitet på internett, vil jeg her peke på hvorfor direktivet ikke vil virke og hvor en må starte for å redusere slike problemer. Som programmerer føler jeg et ansvar for å forbedre sikkerheten på internett, ettersom det blir en statdig viktigere del av vår infrastruktur. Internett skal ikke bli en trussel mot individer eller samfunn, og jeg ønsker bidra i denne kampen.

Barneporno, som egentlig er dokumentasjon som det riktignok er straffbart å besitte og distribuere, er bare indikasjon på overgrep og mishandling av barn. Det faktiske problemet er overgrepene. Å jakte på de som laster opp og ned dette avskyelige materialet vil kanskje kunne ta en og annen overgriper. Men det blir som å polere en gammel og rusten bil: det eliminerer ikke problemet.

I argumentasjonen for Datalagringsdirektivet har vi fått høre at det er et viktig verktøy i kampen mot barneporno. Hvis man leser artiklene vil man se at det er et ganske hjelpeløst verktøy som muligens kan finne enkeltpersoner og nettverk som er dumme nok til å la seg avsløre på den måten. Men det vil ikke redusere problemet, og distribusjonen av dokumentasjonen vil fortsette likefullt. Derfor reagerer jeg meget sterkt på at Politimyndighetene skyver foran seg barn som mishandles i argumentasjonen for overvåkning, men som i praksis ikke vil hjelpe disse barna. Det blir bare polering av problemet. Det påståes til og med at befolkningen blir lurt av politikere, som er ute av stand til å gjøre noe med problemet, men bruker det som argument for å kunne innføre overvåkning.

Barneporno er tabu i dagligtale, forståelig nok. Overgripere som ikke selv skjønner hvor alvorlig slike overgrep er, blir dermed ikke ofte påmint dette. De blir sjelden påtvingt påminnelser og kunnskap om de negative konsekvense virksomheten deres medfører. På nett kan de derimot via sofistikerte tekniske mekanismer finne likesinnede, som normaliserer atferden. I artikellen beskrives det også hvordan fedre nærmest konkurerrer om å begå de værste overgrepene og vise det frem. Skal man komme ondet til livs, må det skapes åpenhet rundt overgrep mot barn. Da kan man redusere problemet ved roten, men borte blir det nok ikke. Åpenhet om hvordan overgrepsdokumentasjonen blir dsitribuert vil også kunne hjelpe på å avsløre slik aktivitet. Overgrep mot barn er tross alt noe som foregår mellom personer: overgripere og offer. Å avdekke en anomym teknisk distribusjon er ikke en løsning. En må endre overgripernes atferd, skal man gjøre noe reellt og verdifullt for barna.

Personer som omgås barn i både privat og jobbsammenheng er de som er nærmest til oppdage overgrep. Forhåpentligvis tør disse personer å varsle om slike forhold åpenlyst, men en kan ikke se bort fra at i enkelte sammenhenger vil de ønske beskyttelse. Nettopp Datalagringsdirektivet er en trussel mot kilde- og varslervern, som da faktisk i disse tilfellene svekke barns rettigheter og beskyttelse.

Jeg vil allikevel ikke si at det er nytteløst å prøve å stoppe barneporno på internett. Det vil redusere selve overgrepsproblemet (eskalering av grovhet, men tvilsomt i omfang), og kunne redusere generell datakriminalitet. Særlig de som har økonomisk interesse av å holde liv i distribusjon av barneporno er ofte involvert i annen datakriminalitet. De besitter tydeligvis også god teknisk kompetanse. Artikkelen viser til en del mekanismer som benyttes:

• Anonyme Mastercard og Visakort brukes til anonym serverleie
• Proxy servere
• ID tyveri
• Botnets

Disse tingene er nok generelle elementer som benyttes i internettkriminalitet. Skal man virkelig gjøre noe med slik kriminalitet må man se om man kan eliminire mulighet for økonomisk gevinst. Politiet må bygge opp kompetanse på hvordan man avslører kriminell virksomhet på internett. Det bør være mulig å infisere de tekniske løsningene slik at de avsløres (f.eks. bruke samme teknikker som de kriminelle bruker for å bygge botnettene sine). Dette er nok mere krigøring enn etterforskning, og i Norge burde man benytte forsvarerts nye enhet for kyberkrigføring m.fl. bidra. Det er også viktig å forbedre ID systemer slik at det blir vanskeligere å konstruere falske ID er eller stjele andres. Operativsystemleverandørene har også et ansvar. En kan ikke feie under teppet at utbredelsen av botnets skyldes de altfor mange sikkerhetssvakhetene spesiellt Microsoft Windows har hatt opp igjennom årene. Hvis OS-leverendørene er seg sitt ansvar bevisst finner de ut hvordan kan bidra til å redusere datakriminalitet. Myndighetene burde også stille krav til operativsystemprodukter som selges i de respektive land. Til sammenligning er bilprodusenter underlagt lover, og regler og må oppfylle mange krav for å få lov til å selge produktene sine. Det burde vært sånn med operativsystem også.