5 års logfiler af danskernes internetsurf er ubrugelige: Politiet kan ikke læse formatet

Det tager jeg som noget positivt, at de ikke kan bruge de ubrugelige data til noget. For de kan vel alligevel kun tracke lovlydige borger, der endnu ikke er blevet paranoide nok til at skjule deres færden.

Har de overvejet at konvertere data til et andet format? Altså log filer er vel ikke raketvidenskab, så det må vel kunne smides over i noget af deres underlige system læseligt uden de helt store diggedarer?

Hvor er det sørgeligt.

Hvor ville det være fedt, hvis man hver gang man læste sådan en artikel, fik en komplet liste over hvilke politikere der stemte for og imod forslaget til at begynde med samt hvem der havde ansvaret for at implementere det.

Så kunne man summere det op på et site ala trustpilot og rate embedsmænd samt politikere, så vi bedst vidste hvem der skulle stenes efterfølgende.

Hvordan logger teleselskaberne og andre aktører der er tvungne til at logge?

Mon ikke det er noget med pcapdump eller lignende?

Men jeg kan godt se, at det nok overstiger politiets formåen at prøve at installere en Wireshark på deres IBM kuglehovedskrivemaskiner - eller de gik måske og håbede på at Polsag osse kunne klare denne detalje.

Jo, men årsagen er vel at finde ved, at efterspørgslen efter de data ikke har været særlig stor, fordi ellers må man da antage, at man også havde lavet en "Log Viewer".

Hvilket blot får mig til at konkludere, at man snager i folks privatliv, til ingen verdens nytte, og at de data er med til at øge risikoen for, at ens færden pludselig bliver sporet af folk der har andre interesse end at bekæmpe kriminalitet og/eller terror + øge omkostningerne for ISPerne.

kan det skyldes at ikke alle bruger deres egen isp's dns-adresse?

Forestil dig, at man gennemfører krav om logning af enorme datamængder i en branche med henblik på senere udlevering af udpegede poster til politiet.

Forestil dig, at kravet ikke findes andre steder, og udstyr og metoder i branchen er derfor ikke forberedt til logningen, så man må bruge hovsa-løsninger.

Forestil dig, at branchen består af flere hundrede virksomheder fra 2 ansatte til 10000.

Forestil dig, at der ikke er krav til formater for udlevering af data, men at det i hvert enkelt tilfælde skal aftales med politiet.

Forestil dig, at man efter 5 år næsten ikke har udleveret de opbevarede data, fordi rigtige efterforskere ikke kan se nytten af oplysningerne.

Forestil dig alt dette. Så har du forstået situationen for sessionslogning.

Men skyd nu ikke mod de øvrige dele af logningen, som er til stor gavn for efterforskningen, jf. også de eksempler, der er anført i justitsministeriets redegørelse.

Dem, der skyder mod hele logningsbekendtgørelsen, burde tænke over hvad der logges på facebook, google, microsoft og andre portaler uden offentlig kontrol, fordi de befinder sig i et internationalt hav.

Men sessionslogning er en rigtig skævert.

Ahh, det er dælme vanskeligt at klandre de politikere som stemte for ændringer som disse... De kan vel ikke vide at der sidder så mange inkompetente IT-folk rundt omkring?

Jeg var med til at implementere en ISP-løsning på et kollegie i 2005/2006.
Lognings-bekendtgørelsen gjorde, at prisen blev dobbelt op som minimum pga. sikkerhedskrav.
Men at læse i lovteksten at man kun skulle logge hver 500. pakke som stikprøve. Det var til grin.
Med 250 brugere online så var logningen intet værd.
Datamængden var enorm, selv med så få folk online. Og kravet om at gemme det i mindst et år gjorde det ikke bedre.

Allerede dengang var ISP'er og teleselskaber i Danmark ude og gøre opmærksom på, at politikerne var på vildspor.
Det samme var en masse professionelle IT-folk.
Hvorfor vil politikere ikke lytte til de folk, der ved noget om emnet?
Lever de i deres egen boble, hvor de ikke kan se eller høre virkeligheden?
Få nu fjernet den lovgivning, så vi kan komme videre.

Og lad os så håbe, at politikerne ikke laver samme fejl med e-valg.
Men er de ikke på vej til det igen?

Hvilket format bliver informationerne da logget i? Et eller andet lokalt specificeret XML-knald? Eller faktisk en alment-kendt standard-format?

3 år!!!

Både og...

Jeg synes ikke at enkelt personer skal hænges ud for dårlige valg af formater eller uforudsete komplikationer omkring deling af log-filer. Men samtidig så er jeg pænt træt af, at IT behandles som noget alle der bruger en computer til dagligt kan træffe beslutninger omkring. Der er for mange politikere, embedsmænd og forretningsudviklere der simpelthen ikke har den fornødne kompentece til at udarbejde kravspecifikationer og træffe beslutninger omkring implementering - det må til gengæld godt udstilles :)

Sådan en misforståelse var aldrig sket i DDR...

Jo, men de have så mange ressourcer at det ikke betød noget.
(alle dem de ville have)

Det burde være strafbart med tvang at konfiskere folks velstand, for derefter at klatte dem væk på sorte huller som det her. :-(

Præcis som med alle de andre løjerligheder, der forlader en centralmagt ude af stand til at lytte. (hosteValghost)

Jeg har set logning realiseret vha. netflow fra core routerne. Det giver bare aldeles enorme datamængder, så man vil normalt prøve at aggregere data noget sammen.

Netflow beskriver et binært datalayout, som sendes fra routere til en central aggregator (en eller flere maskiner). Denne aggregator "gør så noget ved det", fx. kan der laves filtrering, sammentælling osv -- og som output genereres fx. flade tekstfiler med én linie pr. netflow record, eller XML, eller indsættelse i et database i et data warehouse, eller hvad man nu ønsker.

Netflow har iøvrigt udviklet sig over flere format-generationer med undertiden væsentlige forskelle.

Bemærk venligst at jeg ikke aner om netflow er blandet ind i det konkrete problem! Jeg viderebringer blot mine erfaringer.

Problemet med at læse data gætter jeg således på skyldes en af de her faktorer:

• Enten har man fra politiets side ikke præcist specificeret formatet man ville have. Man har måske sagt "netflow", men uden at sige fx "netflow v5". Men hvis man var rigtig ondskabsfuld kan man også gætte på at man ikke har sagt noget andet end "data"... Data er jo data, ikke sandt?

• Eller også har andre ISPer end TDC fået udstyr, der måske er nyere og ikke kan generere et ældre format?

Én ting er i hvert fald sikkert: Man bruger ikke bare wireshark. Man bruger enten netflow eller dedikeret hardware med høj, høj processeringskapacitet.

Det har intet med DNS servere at gøre. Der er tale om stikprøver af alle pakker som bliver overført over en internet forbindelse, ikke kun DNS opslag. Desuden har dette heller ikke noget med blokering af specifikke hjemmesider at gøre, men kun et spørgsmål om overvågning af de danske borgerer.

Tak for et minus når det er et spørgsmål

Sessionslogningen var en naiv drøm om spor efter alt på internet. En drøm som blev født i den lettere del af PET. Det kunne kun lade sig gøre at gennemføre, fordi politikerne var skræmte af terrorrisikoen og nærmest parat til hvad som helst, hvis det havde den mindste mulighed for at afhjælpe risikoen. Og embedsværket skal jo alene betjene politikerne (tror de). Så de lukkede også øjnene

Det forhold, at teleselskaberne selv skulle betale, fjernede den sidste anledning til omtanke.

Derfor gik det galt.

Det er på høje tid at indse, at det var en skævert, som kun er blevet endnu værre med den tekniske, markedsmæssige og internationale udvikling.

De største katastrofer skyldes ikke fejl. Men fejl, som man ikke vil erkende.

(gentagelse af indlæg i en anden tråd, der "døde")

Det er så ekstremt let at undgå at blive logget. Er der virkelig nogen der forestiller sig at eventuelle kriminelle/lyssky elementer ikke kan finde ud af noget så simpelt?

Ingen har vel forventet at det her ville føre til andet end milliarder og atter milliarder af nytteløse bytes ophobet på diverse diske rundt omkring i Danmark.

Landmænd kan finde ud af at hælde mælk ud på landevejene når de utilfredse med noget lovgivning. Fiskere blokerer havne. Sygeplejersker går på gaden for flere varme hænder. Gad vide hvornår det går op for ingeniører/programmører/IT folk generelt at de også bare kan nægte at implementere den slags krænkende møg projekter som i en stadig lind strøm siver ud fra Christiansborg. Koden skriver jo ikke sig selv. Alternativt kan man jo selvfølgelig vælge at producere en løsning der er så elendig at den bare ikke virker - måske det i virkeligheden er det der er sket her. I så fald så vil jeg gerne takke de teknikere der har skruet løsningen sammen. :)

Jeg skrev også pcapdump, hvilket i hvert fald er en af mulighederne for de mindre aktører (kollegier, boligforeninger, hoteller, etc.) - Wireshark kan så bruges til off-line læsning af dumpfilerne.

Bekendtgørelsen er i øvrigt ret lakonisk, så der er åbent for fortolkninger:

https://www.retsinformation.dk/Forms/R0710.aspx?id=2445

Det kan vi godt blive enige om, men når jeg læser mellem linjerne i dette notat
http://www.ft.dk/samling/20121/almdel/reu/bilag/125/1200765.pdf
ser jeg kun argumenter for at bevare sessionslogningen eller måske ligefrem udbygge den.

Vi siger at politiet ikke bruger sessionslogningen. JM svarer at det alene skyldes at politiet endnu ikke var klar med IT-systemer til at modtage de mange data, men at sessionslogningen har væsentlig betydning for politiet. Men nu er IT-systemerne klar og sessionslogningen vil fremover have væsentlig betydning for politiets arbejde (står der mellem linjerne).

Når JM i notatet skriver at teleselskaberne har implementeret sessionslogningen på en sådan måde at den er nærnest er uanvendelig for politiet, skal man været meget naiv for at læse dette som et argument for at afskaffe sessionslogningen. Den skjulte dagsorden er snarere at udvide sessionslogningen, eventuelt på et senere tidspunkt så vi i første omgang bare tager "two more years" med syltning af revisionen af logningsbekendtgørelsen.

Jeg tror at vi kommer til at se en justitsminister der er langt mere i offensiven end med L 53 sidste år.

Vil ikke gøre nogen videre forskel, og i dag er det formentlig kun halvdelen af privatkunderne som bruger deres ISP's overcensurerede DNS resolver.

Hvis ellers det er den rigtige afstemning jeg har fundet frem til (jeg er lidt i tvivl, det er ikke så let at navigere rundt på ft.dk), så kan du se hvem der stemte hvad her: http://www.ft.dk/samling/20051/lovforslag/l217/98/436/afstemning.htm

Jeg er i gang med at læse redegørelsen (http://www.ft.dk/samling/20121/almdel/reu/bilag/125/1200765.pdf) og er nået til dette afsnit på side 32-33:

Problemet med logningen er, at internetudbyderne, jf. bekendtgørelsens § 5, stk. 5, foretager registreringen af internetkommunikation på kanten til andre net i deres netværk, dvs. lige inden deres brugere sendes videre til de modtagende IP-adressers servere. Her registrerer de i overensstemmelse med bekendtgørelsens § 5, stk. 4, hver 500. pakke, der passerer serveren, men da datatrafikken på kantserveren er genereret af flere hundrede brugeres internetkommunikation, er det vilkårligt, hvilke brugeres data der logges i hver 500. pakke. På denne måde kan manglende fund af data fra en brugers IP-adresse hverken bruges til at be- eller afkræfte, om den pågældende rent faktisk har været aktiv på internettet i det pågældende tidsrum, og den foretagne logning er hermed som udgangspunkt i praksis uanvendelig i politiets efterforskning, når bortses fra de ’heldige’ tilfælde, hvor den pågældende brugers internetkommunikation tilfældigvis er blevet fanget i en logget datapakke

Det lader altså til at det er internetudbydernes egen dårlige implementering af logningsbekendtgørelsen, der er skyld i problemerne?

Yep, for mindre aktører er det nok en mulighed; min kommentar gik mere på større regionale eller nationale aktører, der vel må formodes oftere at have data af relevans for politiet alene i kraft af mængden af brugere de betjener.

Jeg er iøvrigt helt enig i fortolkningsmulighederne i bekendtgørelsen. Jeg synes personligt at den alt i alt er pinlig.

Øhhh??

Mener du at det et internetudbydernes skyld at lovgiverne har lavet et direktiv der dybest set er ubrugeligt?

Christian

Du tager fejl. Men det er også svært.

Som du ser af logningsbekendtgørelsens §5 pkt. 5 skal logningen med spor af sessioner alene foretages på kanten til andre net (AS).

Årsagen er, at man i modsat fald skulle sætte overvågningsfunktioner op helt ud mod kunden, hvilket hurtigt kunne blive lige så dyrt som det egentlige netudstyr.

I et rigtigt net, der ikke bare består af et par routere, sker rutningen af IP-pakker på mange niveauer. Og man kan som sagt kun få fat i alt via overvågningsudstyr tæt på "roden" til kunden.

Nu er redegørelsens argument lidt søgt. For hvordan kan de vide, at det er et problem, når de ikke har prøvet at rekvirere data.

Hvis en mistænkt henter børneporno eller lignende skal der nok være pakker på kanten, der bliver fanget. Der er nemlig rigtig mange pakker i en normal kommunikation. Det er jo derfor logningsmængden er så stor.

Men det er rigtigt, at en spontan hurtig handling kan undgå registrering.

Men tænk over det. Det at sikre registrering af en sådan spontan handling er selvsagt udtryk for en ekstrem total overvågning. Så det skal være dyrt, og det er vel heller ikke demokratisk ønskeligt.

nb. Eksemplet med børneporno er teoretisk. For sådanne aktiviteter sker naturligvis via anonym tilgang til nettet uden at flage med en IP-adresse, som direkte kan afsløre dig. Det er aflytning, beslaglæggelse af udstyr og IP-sporing i flere niveauer, der i praksis bruges af rigtige efterforskere. Derfor har sessionslogning ikke været efterspurgt.

kom med to gange. Ikke pga. mig. Jeg forsøger at slette nr. 2.

Så bruger jeg pladsen til at svare Christian Nobel:

Det er ikke direktivet. Sessionslogningen er noget specielt dansk.

Seneste nyt er i øvrigt, at Justitsministeren efter et møde i går holder fast, og han vil ikke opgive sessionslogning.

Det er vigtigt at holde sessionslogning ude fra den øvrige logning. Ellers kommer vi aldrig af med det. For hver gang der rejses kritik, bliver det besvaret med eksempler, som ikke er sessionslogning

Læg mærke til seneste udtalelse fra ministeren på TV2 her til middag. Han forsøger at dreje det hen til, om der skal være logning på internet eller ej. Men det er kun sessionslogning, der står for skud. Vi skal stadig have logning af IP og tilgang til nettet. Det kan vi heller ikke fjerne. For det kræves efter direktivet, og det er nyttigt for politiet.

Man kan næsten sige, at Justitsministeren tager de virksomme dele af logningen som gidsler for bevarelsen af den uduelige del.

Det er ikke kønt, Morten Bødskov.

Pcapdump er fuldt tilstrækkeligt til selv store kollegier, men problemet er bare med hele dette cirkus, at man har pålagt en masse hoteller, kollegier, boligforeninger og hvad ved jeg, at hvis ikke de lever op til reglerne (og i øvrigt stiller med en PET sikkerhedgodkendt person 24/7), så bryder de loven og kan retsforfølges og straffes.

Når så det kommer frem at de ikke engang er i stand til at behandle data, så mener jeg helt klart at de udhuler hele argumentationen, og er stærkt krænkende for retssikkerheden.

Det er nok heller ikke så svært at læse de log-filer...

Måske politiet ikke har ressurser til det, men så er der nok nogle kriminelle, der finder ud af det!

De finder nok også noget at bruge det til...

Det er dejligt, at offentligheden begynder at forstå, at sessionslogning er noget særligt dansk.

Det er også et fremskridt, at JMIN nu indrømmer, at det stort set ikke er anvendt.

Men det er farligt, at det sker med den undertone, at det ikke virker, fordi det ikke er vidtgående nok. Det er en temmelig primitiv forsvarsposition.

Det bør helt afskaffes. Man skal ikke grave hullet endnu større for at skjule det oprindelige hul.

Redegørelsen fra JMIN har en udtalt mangel vedr. IT-funktioner til sessionslogning. Man taler kun om overdragelsen af data til politiet. Men det er ikke tilstrækkeligt.

Det er den enkelte efterforsker, der rekvirerer teleoplysninger knyttet til en verserende sag. Så det er ikke nok, at sessionslogninger kan leveres. For så sidder han jo bare og glor på nogle intetsigende IP-adresser.

Derfor kræver sessionslognings anvendelse, at Politiet opbygger en database med historiske IP-adresser af interesse, som den enkelte efterforsker kan trække på via politiets telecenter. For typisk flytter det interessante jo hurtigt rundt på næsten daglig basis.

Det svarer til, at loggede telefonkald jo er intetsigende, uden at man har gemt historiske telefonkataloger. Og det har man.

Hvordan går det så med opbygningen af den historiske IP-database hos politiet, og hvordan opbygges den ?

Det siger redegørelsen intet om.

Der udbveksles givetvis interessante IP-adresser i sand tid mellem samarbejdende landes myndigheder. Men det kan kun bruges i sand tid. Ikke til historiske data. Og så er det slet ikke nok til vurdering af loggede sessioner.

Uden databasen kan man kun fange kommunikation til stabile IP-adresser, og disse bruges jo kun af lovlydige virksomheder og borgere eller usporlige kunder.

Da logningsbekendtgørelsen blev udstedt, sagde politimyndighederne, at de nok skulle lave en sådan base. Det skulle vi andre ikke tænke på. Hvad blev det så til ?

Det rejser så samtidig spørgsmålet hvordan Justitsministeren tidligere har kunnet informere Folketinget om at sessionslogningen var af væsentlig betydning for politiet, når ministeren må have været vidende om at den ikke blev brugt, og at politiet ikke var i stand til at bruge oplysningerne?

Problemet er nok at der mangler <CR><LF> når de åbner "filen" i notepad... ;o)

@Lars' forslag med at inkludere, hvem der deltog er udmærket, især hvis det kunne få konsekvens: Tab af de fede pensioner f.eks.
Da Hans hedtoft skibet gik ned med mand og mus skete der jo ikke noget trods J. Lauritsens mange advarseler!
Ligeledes er det helt almindeligt at det offentlige (politi, dommere, ankalgere) overskrider Retsplejeloven helt uden konsekvenser.
Loven er til for idioter og skatteydere ikke for de udøvende.

Hvorfor har de 5 års log filer? Var det ikke kun 1 år de skulle gemmes. Eller er jeg helt galt på den.

Logning i 5 år @ 50 mill per år plus investering i udstyr. Til ingen verdens nytte, og en samlet udgift (spild) på Polsag niveau.

1. købe en af de 32 GB som der kunne er 256 kb på, og udvide den til 2000Tb data.
   eller
2. eller generne radoms data, og så udlevere det hvis nogen spørger.

Værdien af dette ser da ud til at være lige så god som den data indsamling der forgår nu.

Men nu når PET og regeringen har spildt tid og penge, så må vi jo også holde dem fast på resten, hvor er de historiske IP opslag gemt som skulle give logning bare en lille mulighed for at være have noget værdi ?
Ellers tilbage til forslag 2, de kan alligevel ikke verificere data, hvis de i det hele taget kan finde ud af at læse dem.