Bakdører i kommunikasjonstenester = Pegasus

I mitt forrige innlegg sa eg kva eg meiner om EUs sitt framlegg til å undergrave tryggleiken for oss alle som individ. Ingen årsak er god nok til å skjere alle over same kam. På same tid verserer ei sak i media om programvaren Pegasus:

Pegasus er programvare levert av NSO Group. Selskapet har kjøpt eller funne svakheiter i operativsystema Android og iOS, som det meste av mobile einingar nyttar. Dette er svakheiter (zero day) som Google og Apple ikkje veit om og dermed er det vanskeleg å vite kva som må fiksast. Sidan NSO Group treng det for å levere produktet sitt, held dei korta tett til sitt bryst for å ikkje miste svakheitene dei utnyttar.

Svakheitene gjer at ein med ei melding kan lure brukar til å klikke på ei lenke. Nyare versjonar av Pegasus kan installerast utan at målet merkar det. Artikkelen påpeikar at dagens Apple iOS 14.x er sårbar for dette angrepet. No har 14.7 kome, men den er også sårbar. Når det kjem ei oppdatering som rettar feila Pegasus utnyttar, vil NSO Group , endre Pegasus til å nytte andre svakheiter som ikkje er kjente. Har dei slike svakheiter i bakhand, vil det gå raskt. Må dei finne nye kan det ta tid. Om du les artikkelen frå Kaspersky, vil du sjå at svakheitene som vart nytta tilbake i 2016/17 vart lukka med Apple iOS 9.3.5.

Pegasus vert installert på eit så lågt nivå av operativsystemet at det har tilgang til innhald i tenester og appar som køyrer på eit høgare nivå. I praksis er Pegasus ei bakdør som gir tilgang til alt, tydeleg illustrert i artikkelen til The Guardian:

Pegasus (Guardian)
Kjelde: The Guardian

NSO Group har som mål eller intensjon å selje Pegasus berre til myndigheiter som bistand til spore terroristar og kriminelle. Men om du ser på lenkene over kan det virke som at myndigheiter har vorte vel ivrige og overvaka smarttelefoner tilhøyrande journalistar, menneskerettighetsaktivister, forretningsleiarar, presidentar, og to kvinner i sfæren til myrda saudiarabisk journalist Jamal Khashoggi. Det minner meg om eit ordtak eg høyrde for lenge sidan:

One man’s terrorist is another man’s freedom fighter

Saka viser korleis bakdører kan misbrukast og vil garantert bli misbrukte. Eg stiller difor spørsmålet:

EU undergrev personvernet og menneskerettar

Eg kom over artikkelen EUs nødlov mot barnemishandling… hos digi.no. EU legg opp til at ein leverandørar skal kunne overvåke personlig e-post og meldingar med formål å avdekke barnemishandling. EU skal i september stemma over eit framlegg som krev at krypterte kommunikasjonstenester skal ha ei bakdør. Dersom det blir vedteke, vil nokon kunne sitje å ha tilgang til all kommunikasjon som flyt gjennom ei teneste uavhengig av kor godt han ellers er sikra.

Eg minner om menneskerettane EU har vedteke i Charter of fundamental rights of the European Union:

Article 6
Right to liberty and security
Everyone has the right to liberty and security of person.

Article 7
Respect for private and family life
Everyone has the right to respect for his or her private and family life, home and communications.

Article 8
Protection of personal data
1. Everyone has the right to the protection of personal data concerning him or her.

2. Such data must be processed fairly for specified purposes and on the basis of the consent of the person concerned or some other legitimate basis laid down by law. Everyone has the right of access to data which has been collected concerning him or her, and the right to have it rectified.

3. Compliance with these rules shall be subject to control by an independent authority.

Her ligg EU an til å kaste menneskerettar på båten fordi ein meinar at ein har ei lur løysing for å bekjempe overgrep mot barn. Som Jon Wessel-Aas, leiar i advokatforeninga, er inne på kan ein ikkje uthole kommunikasjonsvernet på denne måten, utan at det samtidig rammar alle sin rett til fortruleg kommunikasjon, ei forutsetning for eit fungerande demokrati. Sikre kommunikasjonstenester er nødvendige for det enkelte individ, verksemder og myndigheiter. Opprettar ein bakdører i tenester er ikkje tenesta sikker for nokon lenger.

Eg kan dra fram eit praktisk eksempel. For 5-6 år sidan la Transport Security Administration (TSA) ut eit bilete av nøklane som gjer at toll på flyplassane kan opne din koffert for å sjekke innhaldet utan at du er tilstades. No har alle som vil tilgang til nøklane, du finn oppskrifta på dei på GitHub. Alt du treng er tilgang til ein 3D-printar.

I praksis betyr det at kven som helst kan låse opp din koffert og nappe ut verdisaker. Det mest skremmande for de som reiser verda rundt er det at nokon, i ein periode du ikkje har kontroll på kofferten, kan opne kofferten legge inn narkotika for at nokon på flyplassen kofferten skal til skal ta det ut. Planen går skeis, mottakar blir akutt sjuk og får ikkje teke ut det som vart lagt i kofferten og du blir mistenkt for narkotikasmugling. Vi får håpe at det skjer i eit land med eit velfungerande rettvesen og ikkje i eit land med skinn-rettar eller religiøse lover… God reise!

Tur: Eitorn til Kluke

Start i Eitorn, eit par kilometer frå Hella ferjekai. Følg kjerrevegen mot Eitun. Fleire av bygningane på Eitun kollapsar. Det kan vere lurt å lytte og følgje med når du går gjennom tunet. På andre sida går du inn på stien som tek deg oppover forbi dei gamle husmannsplassane: Bustadstykkje og Trodlahaugen.

Like over Trodlahaugen følgjer du stien oppover til Myrsete. Heile turen til Myrsete er bratt. Frå du står i vegen i Eitorn til du er oppe, skal du gjere unna nesten 600 høgdemeter. Utsikt er avgrensa, men eit stykke oppi kjem du til eit berg med benkar med utsikt over Eitorn og Vestrheim.

Det er framleis eit stykke til du er på Myrsete, men du veit du nærmar deg når du byrjar å høyre elva. Oppe på Myrsete er det utsikt ut over fjorden. Ta inn inntrykket før du snur deg nordover og held fram, inn Kvinnedalen. Denne delen er langt slakare. Mellom Myrsete og Nyanstøl er det berre snakk om nesten 200 høgdemeter.

Like etter Myrsete får du ein liten pause frå skogen i linjetrasseen. I aust tronar både Mælen og Hest. I vest ser du Storholten og Vassvarden. Du held fram inn i skogen, men får like etterpå utsikt over stølsområdet Kluke. Området gir deg utsikt over fjorden, Vangsnes, Vik og Balestrand og du kan følgje med på båt- og ferjetrafikken i området.

Tur: Eitorn til Myrsete

Start i Eitorn, eit par kilometer frå Hella ferjekai. Følg kjerrevegen mot Eitun. Fleire av bygningane på Eitun kollapsar. Det kan vere lurt å lytte og følgje med når du går gjennom tunet. På andre sida går du inn på stien som tek deg oppover forbi dei gamle husmannsplassane: Bustadstykkje og Trodlahaugen.

Like over Trodlahaugen følgjer du stien oppover til Myrsete. Heile turen til Myrsete er bratt. Frå du står i vegen i Eitorn til du er oppe, skal du gjere unna nesten 600 høgdemeter. Utsikt er avgrensa, men eit stykke oppi kjem du til eit berg med benkar med utsikt over Eitorn og Vestrheim.

Det er framleis eit stykke til du er på Myrsete, men du veit du nærmar deg når du byrjar å høyre elva. Oppe på Myrsete er det utsikt ut over fjorden og kan følgje med på båt- og ferjetrafikken.

Déjà vu – allerede sett

Déjà vu – allerede sett – eg er so gamal at eg forelder til ungar som er i eller nærmare seg 20-åra. Weird Al Yankovic var ein kar eg vart merksam på etter å ha sett filmen UHF. Eg kjøpte ein del CDar med parodiar av sanger frå andre artistar. Mykje var utruleg bra som «Like a surgeon» til «Beat It» og «Bad» .

Når eg sat ved bordet for 30+ år sidan, traff sporet veldig bra. Når eg sit ved andre sida av bordet, som 50+, ser eg at han treff utruleg bra når mi rolle har endra seg. De får gjere dykk opp dykkar eigen meining, men tåler du ikkje satire og er hårsår stoppar du her.

Vil du høyre meir, har han eigen Youtube-kanal

Nytt liv i utgått produkt

Eg har i lang tid vore brukar av D-link nettverksprodukt. Min D-link DIR-880L var lenge ein favoritt med topp hastigheit på 802.11ac trådlaust nettverk. Problemet var at D-link i Europa byrja å bli dårlege med å oppdatere produktet. Siste oppdatering er frå 2016. Eg hoppa over til amerikansk firmware og der holdt dei ut eit par år til, men no er det slutt.

D-link DIR-880L vart skifta ut med ein Netgear for ca eitt år sidan. Heller ikkje den er nyaste modell, men i motsetning til D-link oppdaterer Netgear produktet jamnleg. Eg har ikkje trong for det nyaste sidan ingen av mine PCar har 802.11ax-nettverkskort. Kraftige 802.11ac-routerar er tilstrekkeleg for meg og dei andre i huset. Teams, Netflix- og Youtube-streaming med meir skapar ikkje problem.

D-link DIR-880L har lege som reserve dersom min nye router skulle ta kvelden. Eg har vore kjent med at det er ulike open source-versjonar av router-programvare på internett. Samtidig som eg sjekka for eit alternativ for den nye, når Netgear vel å droppe å støtta han, sjekka eg kva som kunne installerast på D-link DIR-880L. Eg fann dd-wrt.com.

Min D-link DIR-880L hadde nyaste amerikansk firmware. Dessverre gjekk det ikkje oppgradere frå den. Å nedgradere frå det ordinære grafiske grensesnittet går ikkje, men det fins ein nødmodus der du held inne reset og slår på routeren. Like etter byrjar ein LED å blinke. Du får tilgang til eit sterkt avgrensa web-grensesnitt og kunne nedgradere til siste versjon (2016) i Europa. Deretter var det berre å installere firmware frå dd-wrt.com via web-grensesnittet.

Eg skal vere den første til å innrømme at dd-wrt ikkje har eit enkelt grensesnitt. Det kan virke overveldande sidan det vert bakt inn mykje funksjonalitet som vanleg dødlege ikkje kjem til å bruke. Eg har noko meir innsikt i oppsett av nettverk og får gjort mine tilpassingar. I det store og heile skal det ikkje vere noko problem for deg heller. Du finn lett fram til oppsettet av trådlaust nettverk og kan legge inn namn og nøkkel for sikring.

Med ny firmware frå dd-wrt.com ser det ut til at den gamle routeren kan halde koken i mange år framover. Han er no konfigurert og konfigurasjonen er lagra slik at det er enkelt å legge han inn att dersom noko går skeis. No skal D-link DIR-880L stresstestast med 6 personar og x antal einingar pr person. Eg skal lova dykk at han skal få køyrt seg.

EUs nye SCC endrar ikkje noko

Eg viser til mine tidligare postingar om Schrems II-domen:

4. juni kom det nye Standard Contractual Clauses for internasjonale overføringar. Eg har lese gjennom Annex to the COMMISSION IMPLEMENTING DECISION on standard contractual clauses for the transfer of personal data to third countries pursuant to Regulation (EU) 2016/679. Rull ned til side 22, SECTION III – LOCAL LAWS AND OBLIGATIONS IN CASE OF ACCESS BY PUBLIC AUTHORITIES og Clause 14 Local laws and practices affecting compliance with the Clauses.

(a) The Parties warrant that they have no reason to believe that the laws and practices in the third country of destination applicable to the processing of the personal data by the data importer, including any requirements to disclose personal data or measures authorising access by public authorities, prevent the data importer from fulfilling its obligations under these Clauses. This is based on the understanding that laws and practices that respect the essence of the fundamental rights and freedoms and do not exceed what is necessary and proportionate in a democratic society to safeguard one of the objectives listed in Article 23(1) of Regulation (EU) 2016/679, are not in contradiction with these Clauses.

Her skal handsamingsansvarleg og datahandsamar garantere at datahandsamar ikkje kan bli pålagt å utlevere i strid med GDPR og menneskerettane i EU. Det krev ei stor innsikt i både lovverk og praksis i landet (utanfor den europeiske sone eller land med tilstrekkelegheitserklæring for personvern).

Eg har utheva ei setning som eg meinar har relevans med tanke på amerikanske selskap. Om ikkje eg hugsar feil fastslo EU Court of Justice (EUCJ) at overvakinga i USA exceed what is necessary and proportionate in a democratic society. Domen slo fast at overvakingslovene i USA er eit brot på GDPR og menneskerettane nedfelt i mennesrettscharteret i EU. Vi veit dermed at det for amerikanske selskap/konsern (Microsoft, Google, Apple, Oracle osv.) ikkje vil vere mogleg å kunne garantere noko i tråd med Clause 14.

Eg registrerer også at ein har fått inn ei fotnote 12 som strekker seg over nederste del av side 22 og 23:

As regards the impact of such laws and practices on compliance with these Clauses, different elements may be considered as part of an overall assessment. Such elements may include relevant and documented practical experience with prior instances of requests for disclosure from public authorities, or the absence of such requests, covering a sufficiently representative time-frame. This refers in particular to internal records or other documentation, drawn up on a continuous basis in accordance with due diligence and certified at senior management level, provided that this information can be lawfully shared with third parties. Where this practical experience is relied upon to conclude that the data importer will not be prevented from complying with these Clauses, it needs to be supported by other relevant, objective elements, and it is for the Parties to consider carefully whether these elements together carry sufficient weight, in terms of their reliability and representativeness, to support this conclusion. In particular, the Parties have to take into account whether their practical experience is corroborated and not contradicted by publicly available or otherwise accessible, reliable information on the existence or absence of requests within the same sector and/or the application of the law in practice, such as case law and reports by independent oversight bodies.

Eg har utheva noko sidan innsyn etter Foreign Surveillance Act (FISA) ikkje legg til rette for varsling av handsamingsansvarleg eller objektet/personen etterretninga vil ha innsyn i, slik at ein kan bestride innsynet i ein rett. Verksemda vil(/kan) bli pålagt «gag order» som gjer at dei har teieplikt om innsyn. Ergo kan ein heller ikkje rapportere at det har vore innsyn.

Oppsummering:

  • Amerikanske tenester kan ikkje brukast til å handsame persondata (i klartekst), sjølv med nye SCC.
  • USA må endre sine overvakingslover før det kan bli lovleg.
  • I praksis må du bruke skytenester fullt ut eigd og levert innafor det europeiske økonomiske område (EEA) eller i land med tilstrekkelegheitserklæring for personvern. For alle andre stadar vert det kravd omfattande innsikt, forståing og dokumentasjon av lov og praksis i landet til datahandsamar og eventuelt landet der datahandsaminga finn stad i, til at det vil være for kostnads- og tidskrevande å kartlegge og følgje opp for mange verksemder.

Tur: Eitorn til Vassvarden om Nyanstøl

Start i Eitorn, eit par kilometer frå Hella ferjekai. Følg kjerrevegen mot Eitun. Fleire av bygningane på Eitun kollapsar. Det kan vere lurt å lytte og følgje med når du går gjennom tunet. På andre sida går du inn på stien som tek deg oppover forbi dei gamle husmannsplassane: Bustadstykkje og Trodlahaugen.

Like over Trodlahaugen følgjer du stien oppover til Myrsete. Heile turen til Myrsete er bratt. Frå du står i vegen i Eitorn til du er oppe, skal du gjere unna nesten 600 høgdemeter. Utsikt er avgrensa, men eit stykke oppi kjem du til eit berg med benkar med utsikt over Eitorn og Vestrheim.

Det er framleis eit stykke til du er på Myrsete, men du veit du nærmar deg når du byrjar å høyre elva. Oppe på Myrsete er det utsikt ut over fjorden. Ta inn inntrykket før du snur deg nordover og held fram, inn Kvinnedalen. Denne delen er langt slakare. Mellom Myrsete og Nyanstøl er det berre snakk om nesten 200 høgdemeter.

Like etter Myrsete får du ein liten pause frå skogen i linjetrasseen. I aust tronar både Mælen og Hest. I vest ser du Storholten og Vassvarden. Du held fram inn i skogen, men får like etterpå utsikt over stølsområdet Kluke.

Like før du kjem til Nyanstøl er du fri skogen. Ta ein pause, et nista di og fyll flaska frå elva som renn forbi på Nyanstøl. Vassvarden tronar i vest. Du ser varden og flymerke frå stølsområdet. Det er ca 250 høgdemeter opp dit. Det er berre å ta lia i små steg, so kjem du opp. Ta pausar for å nyte utsikta på vegen opp.

Den største fordelen med turen frå Eitorn er at du har tilgang til elva på Nyanstøl og kan etterfylle flaska både på turen opp og ned. Går du frå Sanden, må du bere med deg all drikke frå starten. Det kan bety ei litt tyngre bør enn frå Eitorn, men når det er sagt har turen frå Sanden opp via garden Ruud mykje finare utsikt.

PS! Det vil koma nye videoar seinare. Eg fekk ikkje med meg ei svetteperle som hamna på linsa litt før Myrsete og dannar eit tåkete parti midt i bilete.

Tur: Eitorn til Nyanstøl

Start i Eitorn, eitt par kilometer frå Hella ferjekai. Følg kjerrevegen mot Eitun. Fleire av bygningane på Eitun kollapsar. Det kan vere lurt å lytte og følgje med når du går gjennom tunet. På andre sida går du inn på stien som tek deg oppover forbi dei gamle husmannsplassane: Bustadstykkje og Trodlahaugen.

Like over Trodlahaugen følgjer du stien oppover til Myrsete. Heile turen til Myrsete er bratt. Frå du står i vegen i Eitorn til du er oppe, skal du gjere unna nesten 600 høgdemeter. Utsikt er avgrensa, men eit stykke oppi kjem du til eit berg med benkar med utsikt over Eitorn og Vestrheim.

Det er framleis eit stykke til du er på Myrsete, men du veit du nærmar deg når du byrjar å høyre elva. Oppe på Myrsete er utsikt ut over fjorden. Ta inn inntrykket før du snur deg nordover og held fram, inn Kvinnedalen. Denne delen er langt slakare. Mellom Myrsete og Nyanstøl er det berre snakk om nesten 200 høgdemeter.

Like etter Myrsete får du ein liten pause frå skogen i linjetrasseen. I aust tronar både Mælen og Hest. I vest ser du Storholten og Vassvarden. Du held fram inn i skogen, men får like etterpå utsikt over stølsområdet Kluke før du held fram gjennom dalen.

Like før du kjem til Nyanstøl er du fri skogen. Ta ein pause, et nista di og fyll flaska for returen. Vassvarden tronar i vest, over Nyanstøl. Det er ca 250 høgdemeter opp dit. Det er berre å ta lia i små steg, so kjem du opp. Returen kan du ta ned til Ruud og Vestrheim.

Tur: 17. maihaugen frå Eitorn

Start i Eitorn, eitt par kilometer frå Hella ferjekai. Følg kjerrevegen mot Eitun. Litt oppi er det skilta utover mot 17. maihaugen. Haugen ligg på ei flate, litt vest for Kvinnefossen, om lag på same høgde som gamletunet i Eitun. Namnet har plassen fått sidan grendi feira nasjonaldagen her.

På framsida er det planta ein halvsirkel med gran, og bak stig terrenget slakt skrånande oppover og lagar eit naturleg amfi. 17. maihaugen var tidlegare om sommaren ein samlingsplass for ungdomen der dei dreiv med folkeviseleik og hadde hytteleg samvær.

Fredsdagane i 1945 var der stor fest i grendi. Ein feira freden med rømmegraut, tale og song. I nyare tid har deg òg vore halde friluftsgudsteneste på 17. maihaugen.