Vem ska man tro på om PRISM?

Dagens helt relevant stora nyhet är avslöjandena om att USA:s regim genom NSA och systemet PRISM har i princip full tillgång till användarnas data, inklusive e-post, hos Google, Apple, Facebook, Microsoft, Yahoo, AOL,  Skype, Paltalk, Youtube och snart även backup- och molnföretaget Dropbox. Amazon nämns dock inte. Företagen förnekar förstås allt, medan The Guardian och Washington Post mfl menar att uppgifterna är bekräftade. (Schibsted/SvD, Bonnier/DN)

Det här är förstås mycket allvarligt om det är sant, vilket är fullt logiskt att det är. Som jag påtalat förr så kan man inte avlyssna personers e-post idag, då standardkrypton som används t ex TLS, SSL mm gör att de endast går att avlyssna genom att ha tillgång till e-postservrarna. Standardkrypton går idag inte att knäcka i rimlig tid och då enbart i enstaka fall som drunknar bland miljontals spam och oväsentligheter.

Därmed behöver en FRA-liknande myndighet, likt NSA, tillgång till servrarna för att kunna läsa mail. Vilket NSA nu påstås ha fått.

VIKTIGT ATT NOTERA ÄR ATT MINA MAIL HANTERAS AV GOOGLE OCH ALLTSÅ  OM UPPGIFTERNA STÄMMER ÄR FULLT LÄSBARA AV USA:S NSA, SOM HAR INFORMATIONSUTBYTE MED FRA. DET BETYDER ATT NSA I SÅ FALL KAN LÄSA ALLA MINA MAIL, UNDANTAGET NI SOM MAILAR GPG-KRYPTERADE MAIL TILL MIG.

Min öppna 4096-bitars GPG-nyckel hittar ni här. Kryptering av själva mailet innebär att det endast kan läsas på servern av mig. 

Av samma anledning ska man alltid kryptera backuper till molnet lokalt, och inte förlita sig på kryptering på servern. Glädjande nog är inte Amazon listat så backar man upp till S3 eller Glacier ska man vara trygg och om man oavsett använder t ex Arq för backup till S3/Glacier så krypterar man först lokalt.

Krypterar ni inte era backuper lokalt får alltså NSA även tillgång till innehållet på din dator om du backar upp till Apple, Google eller Microsoft och framöver Dropbox.

Nu förnekar alltså de utpekade bolagen allt. Men formuleringarna är långt ifrån tydliga. Läs mer på t ex The Next Web.

Man säger t ex att man bara lämnar ut data i enlighet med lagen, vilket inte är ett förnekande, då PRISM har lagstöd. Google säger t ex

“We disclose user data to government in accordance with the law”

Man kan också säga att man aldrig hört talas om PRISM, men det innebär ju inte att NSA har namngett systemet för samarbetspartners. Dessutom får man inte medge att man samarbetar kring nationell säkerhet. The Next Web:

“Despite these denials it is important to consider that the NSA would not have released details of the program name to Internet companies, as ACLU analyst Christopher Soghoian points out. Furthermore, those who receive national security letters are prevented from discussing their existence by law.”

I slutändan handlar det om The Guardians och Washington Posts trovärdighet kontra de som samarbetar med NSA och inte får medge eller diskutera systemens existens. Tidningarna hade knappast gått ut med detta om de inte haft mycket bra på fötterna och bekräftat uppgifterna från flera håll.

Att Sverige “säljer” FRA-data till USA är välkänt. Ni bör vara fullt medvetna om att man får “betalt” för detta data i form av data tillbaka. FRA ska inte få avlyssna svenskar, men inget hindrar dem från att få uppgifter om svenskar från NSA.

Läs på mer om GNU Privacy Guard, eller GPG, här. Ett alternativ för kryptering är S/MIME, som fungerar mycket smidigt rent tekniskt, men som är administrativt omständigt då S/MIME-nycklar behöver verifieras och signeras mot att man visar upp legitimation för en ackrediterad part. Mina egna S/MIME-nycklar har för länge sedan gått ut då jag inte orkat upprätthålla det hela. Ett annat problem med S/MIME är att en del e-postprogram och molntjänster tidigare har filtrerat krypterade mail som spam, även om det bara handlar om att man signerat ett mail, inte ens krypterat det.

Jag rekommenderar ändå att ni skaffar åtminstone S/MIME och börjar använda för er e-post för att hindra att den läses på servrar. Samtidigt kräver kryptering kompetens. Om ett krypterat mail svaras på i klartext, med citerad text, så får NSA mfl en sk crib, som gör att man betydligt enklare kan knäcka dina krypton och rulla upp all din kryptering. Ett enda användarfel hos någon mottagare av dina mail kan alltså i teorin förstöra åratal av krypterad korrenspondens. Kryptering kan likt S/MIME vara tekniskt enkelt, men det är alltid människan som är den svaga länken.

Enklast blir att utgå från att alla mail läses av myndigheterna. Via Apple avlyssnas alltså även rimligtvis videokonferenssystemet Facetime och via Skype även Skypes ljud- och videokonferenser. Dessutom ska alla amerikanska telefonsamtal via Verizon avlyssnas.

Samtidigt finns det en paradox här – myndigheter kan normalt inte agera på avlyssnat data, eftersom man då avslöjar hur man fått datat. Istället behöver prioriterade avslöjanden följas upp av traditionell underrättelseinhämtning när man väl har någon misstänkt, så man kan dölja hur man egentligen fått uppgifterna ursprungligen. Det betyder att de flesta bara har sin integritet och privatliv att frukta och småfifflande inte kommer drabbas. Men man kan t ex höja t-ismberedskap och “råka” ha personal på plats för att ta någon på bar gärning. Och mediakällor kan bli röjda och av någon annan anledning underrättas att de blir sparkade från sina jobb.

Har ni känsliga uppgifter vars källa absolut inte får komma ut, så finns alltid fysisk post…