Eks-chef for PET advarer mod sessionslogning: Brugerdata er en guldgrube, der skriger på at blive misbrugt

Hvis teleselskaberne skal til at logge oplysninger om danskernes færden på nettet, øger det også risikoen for misbrug, advarer Hans Jørgen Bonnichsen.

Hvis sessionslogningen ender med at blive genindført som planlagt, kan det få uforudsete konsekvenser for danskernes privatliv.

Sådan lyder advarslen fra tidligere operativ chef for Politiets Efterretningstjeneste (PET) samt chefkriminalinspektør for Rigspolitiet Hans Jørgen Bonnichsen.

Hans Jørgen Bonnichsen er tidligere chef for både PET og Rigspolitiet. Han advarer mod den masseovervågning, som sessionslogning vil medføre. (Foto: Mogens Engelund, under copyleft licens: CC BY-SA 3.0)

Sessionslogningen indebærer, at teleselskaberne skal gemme data om brugernes internetadfærd - såkaldte metadata - i op til et halvt år. Men selvom databaserne kun er beregnet til politiets efterforskning, vil der også være andre stærke interesser på spil ifølge Bonnichsen.

Læs også: Sessionslogning af danskernes internetbrug på vej tilbage i udvidet form

»Der ligger et enormt marked i informationer, der ophobes - det er vor tids guld. Du kan få en totalanalyse af vores brugeradfærd, som kan omsættes kommercielt,« siger han og tilføjer:

»Det er et potentielt risikoområde.«

Man skal ikke langt tilbage i historien for at finde eksempler på, at virksomheders databaser over befolkningens adfærd er blevet misbrugt. Et af de mest alvorlige kendte eksempler er den såkaldte Nets-skandale fra 2014, hvor en it-medarbejder hos IBM lækkede følsomme persondata om kendte danskeres brug af kreditkort til ugebladet Se og Hør. Oplysningerne skulle ellers have været i sikker forvaring hos Nets, der fungerer som indløser af betalingskort.

»Uanset hvor vi kigger hen, er den danske it-sikkerhed hullet som en schweizerost,« siger Hans Jørgen Bonnichsen og refererer til blandt andet Nets-skandalen.

»Nu skal data opbevares hos teleselskaberne. Tænk på de risici, som det medfører.«

Selv har Telebranchen vurderet, at sessionslogningen vil koste branchen over en milliard kroner at indføre.

Læs også: Teleindustrien: Sessionslogning af danskerne bliver dyrt og besværligt

Bonnichsen: Klassisk politiarbejde fungerer fint

En af de afgørende forskelle mellem sessionslogningen og politiets nuværende efterforskningsmetoder består i, at politiet med førstnævnte vil være i stand til at kigge yderligere tilbage i tiden.

Politiet vil således kunne få udleveret oplysninger om en persons internetadfærd for de seneste seks måneder og givetvis kunne se, hvilke personer vedkommende har været i kontakt med eksempelvis via Skype.

Denne mulighed står dog slet ikke mål med konsekvenserne ved at indføre masseovervågning ifølge Hans Jørgen Bonnichsen.

Der er nemlig rigeligt med muligheder for at efterforske og forebygge kriminalitet med traditionelle fremadrettede metoder, vurderer han.

Har PET eksempelvis fået en dommerkendelse, kan sikkerhedstjenesten aflytte en internetforbindelse fremadrettet. Og har man brug for at gå tilbage i tiden, er det også muligt.

»Der findes også andre metoder, hvor du eksempelvis går ud og beslaglægger en computer. Der er rig mulighed for at finde de spor, der er brug for,« siger eks-PET-chefen og uddyber:

»Vi glemmer hele tiden, at traditionel klassisk efterforskning er det, som er gyldigt. Teknologi kan ikke løse alle udfordringer, selvom der er en tendens til at tro det.«

Gradvise indgreb i frihedsrettigheder

Der er lagt op til, at genindførelsen af sessionslogningen skal vedtages politisk allerede i marts, hvilket blot er lidt mere end en måned, efter at det kom på bordet i slutningen af januar.

Den korte tidsfrist har mødt kritik fra blandt andet Telebranchen, som efterlyser mere tid til at foretage de nødvendige analyser af sessionslogningen.

Tilmeld dig Version2s it-sikkerhedsnyhedsbrev

Tidsfristen kan dog være tilsigtet ifølge Hans Jørgen Bonnichsen, der undrer sig over, at man netop forsøger at genindføre sessionslogningen omkring årsdagen for terrorangrebet i København den 14. og 15. februar 2015.

»Den, der er i stand til at bruge frygten i det danske samfund, vil også være i stand til at styre de forskellige mekanismer i samfundet. Jeg håber ikke, den kynisme er til stede, men det er da ejendommeligt at se,« siger han og advarer i øvrigt mod, hvad sessionslogningen kan bruges til på sigt.

Indtil videre er den blevet fremlagt som et efterforsknings-redskab for politiet og PET, men der kan ske et skred på sigt ifølge Bonnichsen.

»Når man først har iværksat det, bliver andre myndigheder også interesserede, som eksempelvis Skat. Man bliver gradvist immun over for de forskellige indgreb i vores frihedsrettigheder, efterhånden som de manifesterer sig,« siger han.

Der er da også tidligere eksempler på dataindsamling, som har været brugt af andre myndigheder end dem, som de oprindeligt var tiltænkt.

Toldmyndighederne begyndte for flere år siden at registrere og opbevare oplysninger på alle flypassagerer til og fra Danmark, hvilket i udgangspunktet skulle bruges for at føre kontrol med opkrævning af told og afgifter.

PET har dog sidenhen kunnet få udleveret disse oplysninger fra SKAT.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk

Følg forløbet

Kommentarer (138)

Dave Pencroof

YES ! omsider er der en tidligere insider der tager bladet fra munden og siger tingene som de er og vil blive !
Jeg oplever at der politisk er ALT for stille i denne sag !
Hvor er oppositionen henne ?
Hvor er mediestormen henne ?
Hvorfor har der i de sidste år været meget stille i den politiske arena ?
De kan squ da ikke allesammen være enige om at dette er en fantastisk ide !

Mogens Ritsholm

Som indædt modstander af forslaget af sessionslogning er det selvfølgelig rart at se andre, der også er modstander.

Og Bonnichsen anfører da også mange af de kendte argumenter.

Men samtidigt er der falske lodder i skålen.

Når der eksempelvis siges:

"Politiet vil således kunne få udleveret oplysninger om en persons internetadfærd for de sidste seks måneder og givetvis kunne se, hvilke personer vedkommende har været i kontakt med eksempelvis via Skype."

Dermed bekræfter han i virkeligheden, at politiets ønsker kan opfyldes. Og det betyder mere end hans principielle modstand.

Som alle teknisk kyndige ved, er det kun i ganske særlige tilfælde, at man via sessionslogning kan spore person til person kommunikation.

Hvis man vil have en sikker blivende adgang til eksempelvis kommunikation via Skype, så må man rette logningskrav og udleveringskrav til Skype mv. i stedet for dette håbløse forsøg på at logge små fodspor på de underliggende transportstrækninger.

Bonnichsen har tidligere vist, at han absolut intet ved om logning. Så det er måske ikke med hensigt, at han begår den fatale fejl.

Men det ændrer ikke ved virkningen.

Elías Christian Lundström Journalist

Når der eksempelvis siges:

"Politiet vil således kunne få udleveret oplysninger om en persons internetadfærd for de sidste seks måneder og givetvis kunne se, hvilke personer vedkommende har været i kontakt med eksempelvis via Skype."

Dermed bekræfter han i virkeligheden, at politiets ønsker kan opfyldes. Og det betyder mere end hans principielle modstand.

Hej Mogens - det er ikke Bonnichsen, der skal tages til indtægt for dette udsagn. Det har jeg selv skrevet, og det er også gennemgået i detaljer i denne artikel.

Hans argument er, at denne information kan politiet også få fremadrettet uden sessionslogning ved at overvåge internetforbindelsen på en mistænkt.

/Elías, V2

Anne-Marie Krogsbøll

Motens Ritsholm:

Bonnichsen har tidligere vist, at han absolut intet ved om logning. Så det er måske ikke med hensigt, at han begår den fatale fejl.


Tak for at påpege nogle "huller i osten". Bonnichsen er jo ikke fagmand som sådan, når det kommer til det IT-tekniske. Men jeg synes alligevel, at det er vigtige udtalelser fra hans side, fordi han som udenforstående med insiderviden kan se, hvilke farer disse tiltag rummer, og hvordan det sandsynligvis vil bruge brugt (= glidebane). Og også kan pege på, at der er andre muligheder for efterforskning.

Set sammen med de mange indsigelser fra IT-fagfolk synes jeg, at det er rigtigt gode indvendinger, han har.

Mogens Ritsholm

"Hej Mogens - det er ikke Bonnichsen, der skal tages til indtægt for dette udsagn. Det har jeg selv skrevet, og det er også gennemgået i detaljer i denne artikel."

Så læs kommentarerne til artiklen, hvor der i hvert fald er nogle stykker, der har kontakt til den foranderlige virkelighed bag implementeringen af eksempelvis Skype.

Jeres forsøg fortæller, hvordan det er lige nu under ganske særlige omstændigheder.

Hvis du går ud af døren og får dråber på næsen, kan du jo heller ikke konkludere, at det altid regner. Forståelse af vejret kræver en helt anden indsigt.

René Nielsen

Jeg er enig i Hans Jørgen Bonnichsen ikke er fagmand, men det tror jeg desværre ikke er det billede resten af befolkningen har af ham.

Problemet er for stor dels vedkommende begrebet ”terror”. Det er et faktum at hvis politikerne siger ”at dette er et effektivt redskab imod terror” så tror den brede befolkning på politikerne uanset at sessionslogning er helt uegnet hertil. Og det har politikkerne opdaget.

Og det værste, det er at journalisterne holder op med at forholde sig kritisk til politikernes ”terror-love/indgreb”. Journalister borer aldrig i dokumentation for om div terrorlove rent faktisk virker men lader sig spise af med bortforklaringer.

Mig bekendt er der ikke dokumentation for at terror-situationen er anderledes end for 30 år siden alligevel skal vi tåle alle mulige indgreb fordi vi har en uduelig ledelse af politistyrken hhv. efterretningstjenesten, som med held overbeviser politikkerne om at det er nødvendig med det efter det andet indgreb. For det skulle jo helst ikke handle om ledelsens inkompetence.

I stedet burde politikkerne begynde at fyre løs i den uduelige ledelse af politi hhv. efterretningstjenesten, fordi de ikke fanger f.eks. GTA tossen i tide.

Det er et faktum at hvis man leder efter en nål i en høstak, så er det sidste man har brug for, mere hø!

Anne-Marie Krogsbøll

Mig bekendt er der ikke dokumentation for at terror-situationen er anderledes end for 30 år siden

Det er kun et par dage siden, at der var et TV-indslag i Detektor, som viste, at der faktisk er blevet markant færre og færre, der bliver dræbt af terrorhandlinger i Europa gennem de sidste vistnok ca. 20 -30 år:
https://www.dr.dk/tv/se/detektor-tv/detektor-special-1-ar-efter-angreben...

Så hvorfor alle disse markant frihedsindskrænkende tiltag, hvis årsagen ikke reelt er mere terror? Det uhyggelige svar må vel være, at vore politikere tænker mere og mere totalitært.

Mogens Ritsholm

Mig bekendt er der ikke dokumentation for at terror-situationen er anderledes end for 30 år siden alligevel skal vi tåle alle mulige indgreb fordi vi har en uduelig ledelse af politistyrken hhv. efterretningstjenesten, som med held overbeviser politikkerne om at det er nødvendig med det efter det andet indgreb. For det skulle jo helst ikke handle om ledelsens inkompetence.

Noget tyder på, at du har ret.

Den første digitale telefoncentral kom i 1982, og den sidste blev idriftsat i 1998.

Før de digitale telefoncentraler anede man ikke hvem, der havde ringet til hinanden. Eneste spor var en tæller for hver kunde, der opsummerede forbruget og blev fotograferet 1 gang pr. måned. Men man viste ikke om forbruget dækkede over mange lokale samtaler eller dyre samtaler til udlandet.

Da GSM blev idriftsat i 1992 havde man glemt, at kunder skulle kunne aflyttes. Så staten måtte betale for, at disse funktioner blev indført hos Sonofon og Tele Danmark nogle år senere.

Politiet har i dag gode værktøjer på teleområdet. Ja jeg vil sige blandt de bedste sammenlignet med andre lande.

Men intet redsskab kan erstatte god efterforskning og det, at man i det mindste bruger redskaberne til at holde øje med oplagt mistænkte. Og meget tyder på, at det er helt glippet i krudttøndesagen.

Baldur Norddahl

@Elías Christian Lundström

Hej Mogens - det er ikke Bonnichsen, der skal tages til indtægt for dette udsagn. Det har jeg selv skrevet, og det er også gennemgået i detaljer i denne artikel.

Problemet med din artikel er at du ikke har simuleret en logning. Du har lavet en wireshark trace på indersiden af en firewall. I virkelighedens verden bliver det på ydersiden, hvormed du ingen ide har om hvilken intern IP-adresse der er tale om, og det bliver kun header fra første pakke samt længden af sessionen. Alt det blandet sammen med millioner af andre registreringer.

Der er ingen måde at se om kommunikationen mellem to IP adresser er tilfældig, eksempelvis Bittorrent, eller om det er noget andet f.eks. Skype. Det er meget muligt at begge brugere har Skype kørende samtidig med at der kører noget Bittorrent. I dit tilfælde så er det tilmed muligt at en anden journalist på din arbejdsplads har noget kørende og politiet vil ikke kunne se forskel.

Hvis politiet skal bruge loggningen til andet end at bekræfte en allerede eksisterende mistanke, så får de brug for at få masseudleveret logningsdata. Tænk på at logningsdata fra en mistænkt kan indeholde tusinder eller måske millioner af IP-adresser. Hvordan regner du ud hvilke er interessante? Du kan som sagt ikke umiddelbart se hvilke IP-adresser der har været kommunikeret med Skype og hvilke der blot er Bittorrent eller alt muligt andet tilfældigt. Har vi tænkt over konsekvensen når politiet kommer med tusind IP adresser og beder om at få udleveret logningsdata samt abonnementsoplysninger? Bliver din dør måske sparket ind i fremtiden fordi der har været tilfældig kommunikation fra din søns computer, da den downloadede opgraderinger til et computerspil, og en mistænkt persons IP adresse?

Selvfølgelig kan du være heldig. Man kan sige at version2s lille eksperiment er det ultimative held, hvor du blot verificerer noget du allerede ved. Der kan være en mistænkt med meget simpelt brug af nettet, hvor logningsdata er mere overskueligt. Det bliver bare aldrig det værktøj, som i har fremlagt at det kan blive.

Hvis Version2 oprigtigt er interesseret, så vil jeg godt udlåne en DSL linie til en journalist og herefter overvåge den i en uge. Så kan i få rigtige logningsdata og held og lykke med at udregne noget brugbart ud af det. Men i er velkomne til at forsøge.

Anne-Marie Krogsbøll

Dagens nyhed om flygtingebørnenes mobiltelefoner: http://www.dr.dk/nyheder/indland/politiinspektoer-man-kan-godt-kopiere-m...

Kan der være andre grunde til at være længe om at levere tilbage? Kan det tænkes, at man skal have tid til at installere bagdøre?

Jeg ser snart logning og overvågning alle vegne - men er alle flygtninge med det herskende politiske klima ikke potentielle terrorrister, som skal overvåges?

Sagkyndig vurdering er velkommen.

Chresten Christensen

Nu kan man lave, alle mulige forskellige test, af netværk for at påvise det ene eller andet, er muligt via sessions logning. Problemet er bare at så længe det ikke er klar hvad, love komme til at indeholde, er det ikke muligt at lave nogen test, eller undersøgelser af teknikken, og dens funktionalitet.
Men hvis vi tage udgangs punkt i at logningen skal foregå hos ISP og teleudbyder, d.v.s at logningen foregår på WAN(internette) siden af brugerens Router. Hvorfor den undersøgelse foretaget af; Elías Christian Lundström, der foregår på LAN siden routeren, IKKE er brugbar, da det ikke er de samme data der, er på WAN siden husk NAT translationen ændre IP add.

Christian Nobel

Jeg er enig i Hans Jørgen Bonnichsen ikke er fagmand, men det tror jeg desværre ikke er det billede resten af befolkningen har af ham.

Det er også vigtigere at det budskab han kommer ud med er ret tydeligt, nemlig en kraftig advarsel mod sessionsovervågningen, som jo lige præcis er en guldgrube til misbrugsformål, men totalt uanvendelig til det der påstås at være sigtet.

At der så er lykkedes Version2 at udstille deres afgrundsdybe inkompetence, og dermed give Herremand Pind et kort på hånden, samt blåstemple diverse urbant vrøvl, bør ikke hindre budskabet, også selv om Bonnichsen som lægmand i det spil bliver misledt/fejlciteret.

Jakob Møllerhøj Journalist

Det er meget muligt at begge brugere har Skype kørende samtidig med at der kører noget Bittorrent. I dit tilfælde så er det tilmed muligt at en anden journalist på din arbejdsplads har noget kørende og politiet vil ikke kunne se forskel.

Hej Baldur. I forhold til den artikel, du henviser til, og som jeg er afsender på. Vi forholder os som sådan ikke til, i hvor høj grad logningen er brugbar eller ej.

Vi konstaterer, at eksempelvis Skype-talekommunikation sætter sine peer-to-peer-spor i den sammenhæng. Altså modsat, hvad vi tidligere fik skrevet om, at trafikken konsekvent gik omkring Microsofts server.

Faktisk fremgår det af den artikel, du henviser til, at det i udgangspunktet er svært at identificere Skype-kommunikationen. Og som Jesper Lund fra IT-Politisk Forening også påpeger i artiklen, så kan eksempelvis fildelings-trafik også skabe ip-til-ip-forbindelser.

Og naturligvis kan det være svært eller umuligt at identificere en person bag et virksomheds-NAT, såfremt intet er blevet logget internt. Når det er sagt, fortæller 3 i samme artikel, at de godt kan identificere brugen af de interne ip-adresser, deres mobilkunder får tildelt.

Ligesom det formentlig heller ikke kan udelukkes, at peer-to-peer-kommunikation, der foregår fra en privat ADSL-forbindelse, kan have interesse for ordensmagten. Jakob - Version2.

Christian Nobel

Når det er sagt, fortæller 3 i samme artikel, at de godt kan identificere brugen af de interne ip-adresser, deres mobilkunder får tildelt.

Det er ikke det pressechefen siger.

3 kan godt identificere brugeren bag en given intern IP adresse - det ligger i sagens natur, al den stund der tildeles IP adresser dynamisk, men de jo er nødt til at kunne registrere datamængden aht. afregning.

Hun siger intet om brugen - det er to vidt forskellige ting!

Heino Svendsen

Når man arbejder med sikkerhed, er der en lidt anden tankegang end gængse, som er i værk : "Alle, hvis identitet, hensigter og besiddelser / udstyr ikke er verificeret, er potentielle trusler". I den nuværende situation, hvor tusinder af personer vandrer nordpå gennem Europa, er der tusinder af mennesker, hvis identiteter ikke er blevet verificerede. Deres hensigter er ukendte, og ingen ved, om de er i besiddelse af våben, kemiske / biologiske kampstoffer eller andre emner beregnet på at gøre skade mod installationer og / eller personnel. Alle disse personer udgør en potentiel risiko, indtil det modsatte er bevist. Som sikkerhedsoperatør er man nødt til at være succesfuld 100% af gangene, hvorimod OPFOR blot behøver én eneste succes. De selvsamme folk, som klager over, at man kontrollerer / overvåger folk, er tit og ofte de selvsamme, som kritiserer, hvis man slækker på kontrollen, og OPFOR får en succes.

Det sagt, er jeg ( som borger ) selv imod overvågning af folk, idet man skyder med spredhagl. Som sikkerhedsoperatør er jeg mere tilhænger af at overvåge relevante personer. Dvs. de personer, som er interessante.

Det er interessant at se, at dén person, som angreb "Krudttønden", allerede VAR på PET's liste over interessante emner, og at der stadig ikke blev gjort noget ved denne. Hvis man sammenkører alle de informationer, som det lader til, at Etaten efterhånden indsamler og ønsker at indsamle, kan man foranledes til at tro, at der er mere kommercielle / politiske interesser inde over det. Dvs. man skaber et bevægelses- og handlingsmønster for hver enkelte borger for at enten at målrette en marketingskampagne imod dem eller forsøge at påvirke dem rent politisk.

Jeg ser det som 2 forskellige problemer :
1. Beskyttelse af landet imod udefrakommende trusler - herunder potentielle OPFOR.
2. Masse-overvågning af borgerne.

Som det desværre tidligere er set, bliver "terror" / "pædofili" kortet trukket for at få opbakning blandt den brede del af befolkningen. Den Canadiske handelsminister for nogle år siden udtalte, at "hvis man har interesse i privatliv på nettet, er man enten terrorist eller pædofil". Og det er vel de færreste, som har lyst til at blive kaldt nogen af delene.

John Foley

Til min store glæde, er der efterhånden og lang om længe, mange der kræver handling i stedet for snak. Mit motto er: "Når alt er sagt, og alt er gjort- er der desværre sagt alt for meget - og gjort alt for lidt".
Derfor har jeg iværksat en høring og debatmøde på Christiansborg, torsdag den 25. februar, hvor en række politikere og beslutningsdygtige personer fra både det offentlige og private samt forskningsverdenen samles for at finde løsninger til imødegåelse af de mange uheldige tiltag, der er gennemført de sidste par år af politikere fra både rød og blå blok.
Politikernes og Folketingets skævridning af demokartiet må standses - her og nu. Det kan kun gøres ved gode argumenter og pres fra befolkningen. Støt initiativet aktivt og med handling i stedet for snak.

Anne-Marie Krogsbøll

Fine og relevante betragtninger, Heino Svendsen.

Jeg går ud fra, at de bekræfter min mistanke om, at man måske ikke "blot" bekræfter identitet, når man opbevarer flygtningebørns mobiltelefoner i over en måned, selv om man kunne kopiere hukommelsen på et minut?

Jakob Møllerhøj Journalist

Hun siger intet om brugen - det er to vidt forskellige ting!

Jeg beklager, hvis jeg ikke fik udtrykt det helt klart. Jeg antog (fejlagtigt), meningen fremgik af konteksten med NAT og virksomheder. 3 kan efter eget udsagn finde frem til, hvem der har forsøgt at hacke en hjemmeside fra en 3 dataforbindelse, selvom der er tale om NAT. Jeg tror ikke umiddelbart, jeg kan komme det nærmere. Jakob - Version2.

Christian Nobel

Det er interessant at se, at dén person, som angreb "Krudttønden", allerede VAR på PET's liste over interessante emner, og at der stadig ikke blev gjort noget ved denne.

Og det samme gjorde sig gældende i Paris - regimet kendte udmærket til terroristerne, men alligevel havde de frit spil.

Tilsvarende i sin tid med Blekingegadebanden, de var inde på PETs lystavle, men interne magtkampe mellem ordenspolitiet og PET gjorde at de ikke blev fanget i tide.

Etc, etc.

Der er ingen begrundelse for at regimet indfører masseovervågning til at kompensere for inkompetence.

René Nielsen

Jeg er sikker på at hvis man laver en undersøgelse af om folk er for eller imod sessionslogning, så vil man finde ud af, at folk som arbejder indenfor IT er signifikant mere modstandere af sessionslogning end resten af befolkningen.

En journalist burde finde dette tankevækkende, for hvorfor er den del af befolkningen som ved mest om hvad sessionslogning går ud på – imod sessionslogning? Det er samtidig her man finder den gruppe der så let som ingenting kan beskytte sig imod sessionslogningen – hvorfor er de imod sessionslogning?

Kunne det skyldes at de ved noget som resten af befolkningen ikke ved?

Anne-Marie Krogsbøll

God pointe, René Nielsen. Jeg har også undret mig over dette - men mest fordi det jo samtidig er denne befolkningsgruppe, som har udviklingen indenfor IT som deres levevej. Overskygger betænkelighederne hensynet til egen vinding, eller er det faktisk ikke IT-folk, der vil profitere på denne udvikling?

John Foley

Desværre bliver arrangementet ikke sendt via Folketingets netværk, men jeg håber på at nogle af nyhedsmedierne vil transmittere, de er alle inviteret, men desværre meget optaget af det amerikanske valg, der tilsyneladende har større interesse end det dansk demokrati.
Du skal være meget velkommen til at deltage Anne-Marie, som min personlige gæst. Indtil nu har jeg tilsagn fra 8 medlemmer af folketinget samt yderligere 80 interesserede fra både offentlige myndigheder og private virksomheder samt forskningsverdenen. Vi håber at kunne etablere et uafhængigt Råd, som det allerede er sket i mange andre lande vi normalt sammenligner os med.
Der er stadigvæk få pladser, så send mig en mail på jmfoley.dk@gmail.com, så sender jeg dig program, debatoplæg og praktiske bemærkninger. Håber du vil afse tid til at deltage, og vil gerne reservere en plads i panelet, såfremt du gerne vil det.

Kevin Johansen

You wish. Tror desværre sandheden er at antallet af terrormål og antallet af betjente er så disharmonisk, at der rent faktisk går en måned før der kan afsættes tid. Sessionslogning er jo mest af alt også en spareøvelse, så man ikke skal ansætte det nødvendige antal betjente.

Anne-Marie Krogsbøll

Tak for invitationen, John, jeg vil lige sikre mig, at jeg kan, for jeg vil gerne deltage som tilhører. Jeg kontakter dig, når jeg har afklaret det.

Mht. til panelet så tænker jeg afgjort bedst, når jeg har tingene lidt på afstand - det ville ikke være klogt at sætte mig i panelet :-) Men tak for tilliden.

Heino Svendsen

Anne-Marie Krogsbøll, hvis man ønsker at indføre et totalitært regime og derved kontrollere befolkningen, vil man indgive størst mulig frygt og holde godt styr på hvad, befolkningen tænker og siger.

Dette gøres på flere forskellige måder. Sydamerikanske lande bruger især den "venlige, onkel-efterretningsofficer", som beder børnene i skolerne skrive stil om hvad, mor og far hører i radioen / taler om. Stasi havde et omfattende overvågningsprogram bestående af både elektronisk og menneskelig indhentning af informationer. Gestapo brugte især menneskelige resourcer.
Resultatet af disse teknikker har været, at folk i særdeleshed overvejede hvilke emner, de omtalte endog i egne hjem, og derved ikke gik imod den siddende styreform.

Skulle man fx. implentere denne model i et moderne regime, hvor man fx. ønskede at indføre en fælles styreform i et større antal lande i stil med Adolf Hitler's vision for Europa, kunne man let gøre dette ved fx. at installere software på folks telefoner og derved aflytte folk i deres private omgivelser, overvåge deres internetfærden, deres fysiske færden, samkøre med offentlige databaser samt sociale medier. Herved kan man udpege potentielt "uønskede elementer" og tage sig af dem på den ene eller anden måde - herunder latterliggøre dem fx. ved at udnævne dem til konspirationstosser eller pædofile. Malware kan fx. installeres via et stykke software, borgerne er tvunget til at have på deres computere, fx. et system til at logge på statslige hjemmesider.

Mulighederne er mange - det er mere, om vilje til at bruge dem er til stede. Der er i hvert fald økonomiske interesser i at få adgang til sundhedsdata omkring borgerne : Såfremt en borger er fx. genetisk disponeret for en sygdom på et senere tidspunkt i livet, kan forsikringsselskaber have interesse i at afbryde dækningen af en sundhedsforsikring. Det er tidligere set, at politikere har andre interesser end samfundets bedste, når mange penge er involveret, fx. DONG salget..

Anne-Marie Krogsbøll

Enig, Heino.

Til et af mine foretrukne stikord "sundhedsdata" vil jeg lige gøre opmærksom på min kommentar i en anden tråd, for jeg er enig i, at det langt henad vejen er en problemstilling beslægtet med sessionslogningen:
http://www.version2.dk/artikel/lektor-i-kriminologi-big-data-samfundet-e...

I øvrigt: Måske er der ved at gå hul på bylden, pludseligt vælter underskrifterne ind i underskriftindsamlingen. Lad os håbe, at det blive ved. Send gerne videre til venner og bekendte :-)

Mikael Ibsen

har oplysningerne, ordner alt sig til det bedste, og jo flere oplysninger de har om os, jo mere sikre er vi allesammen.

At en helt utilsigtet bivirkning af terrorfrygten er, at der finder en konstant magtkonsolidering sted i en række statslige organisationer, er beklageligt og overraskende, men har på intet tidspunkt været efterspurgt af de pågældende.

Skulle terrorbilledet stramme yderligere til, vil man kun modstræbende efterspørge småjusteringer med henblik på yderligere styrkelse af magt- og dermed handlingsgrundlag, og skulle det løsne, vil man naturligvis straks reducere disse faktorer tilsvarende.

Sådan tror jeg da, at det fungerer, men hvad forstår jeg mig dog på agurkesalat ?

John Foley

Helt OK, Anne-Marie. Jeg kan fra dine kommentarer og spørgelyst fornemme, at du helt klart er engageret og brænder for sagen. Hvor er det dejligt og forfriskende. Jeg ville sætte stor pris på din evt. deltagelse, om ikke på anden måde som alm. deltager. Som deltager kan du også vise engagement og stille de gode spørgsmål, som du er rigtig god til. Håber at se dig til begivenheden, som min personlige gæst:))
Af sikkerhedsmæssige årsager skal du påføres en deltagerliste, der skal afleveres til Folketingets vagter et par dage før debatmødet. Lad mig vide om du vil deltage. Listen destrueres umiddelbart efter arrangementets afholdelse.

Heino Svendsen

Genopfrisk min hukommelse, for den er lidt.... Men umiddelbart kan jeg ikke komme på noget eksempel, hvor en instans / et organ har afgivet magt / beføjelser, når det grundlag, de blev givet på, er blevet reduceret eller forsvundet.

Anne-Marie Krogsbøll

Som nævnt tidligere er terrortruslen vist blevet mindre, ikke større - rent statistisk set. Så man burde vel i så fald skrue overvågningsknappen ned, ikke op, som det sker lige nu?

Men jeg oplever nu også mest Michael Ibsens kommentar som ironisk ment :-)

Heino Svendsen

Helt enig i anvendelsen af ironien.

Min kommentar ( hvis det var dén, du tænkte på, Anne-Marie ) var også møntet på en underbygning af selvsamme postulat. Dog anvender jeg ikke smilies. Ej heller </sarcasme> tags ( pun intended )

Bjarke Jørgensen

@John Foley

Fantastisk at du har stablet et sådant arrangement på benene. Jeg håber på at der kommer et resume fra dagen - det ville under alle omstændigheder være meget interessant læsning for flere herinde på Version2... Dejligt at se at der findes personer, som ikke blot er studerende IT-anarkister der ønsker at tingene skal være anderledes.

@partinavn: Frihedspartiet, godt ment som det er, er jeg næsten sikker på har uheldige konnotationer til tidligere partier/regimer. Privatlivspartiet er også et godt bud, men jeg tror desværre ikke det klinger så overbevisende for de fleste... Rettighedsrytterne? :)

Michael Cederberg

Som sædvanligt ender vi her på version2 med uendelige indlæg fra dem der ingen overvågning vil have. Andre steder hører man dem der er villige til at opgive alle rettigheder for at opnå lidt mere sikkerhed.

Grunden til at vi har brug for et vist niveau af internet overvågning er at kriminalitet i dag kan udføres langt fra gerningsstedet. For 30 år siden kunne man ikke røve en bank uden at dukke op i banken. Man kunne ikke sidde hjemme og planlægge forbrydelser med folk i andre lande. Man var nødt til at mødes. Det har ændret sig og derfor har politiet også brug for nye værktøjer.

På den anden side er det også klart at enkeltpersoner ikke er specielt truet af terror eller personfarlig kriminalitet. Derfor skal der være snævre grænser for hvor meget vold man skal gøre på frihedsrettighederne.

Problemet med denne tråd er at alle som hylder frihedsrettigheder og er bange for blot små reduktioner i rettigheder ikke er villige til at diskutere emnet objektivt.

  1. Det er svært at se de uendelige mængder sessionslogning som oplagt mål for generel hacking. Der er så meget data at det er svært at se andre end efterretningstjenester have kapacitet til at processere data. Det er også svært at forestille sig netværkskapacitet til at overføre disse mængder data. Eneste reelle mulighed for hacking er således hvis data er umiddelbart søgbart - det kan man beskytte sig mod.

  2. Det er nemt at skille data ad. Hvis ip/telefonnummer og resten af data gemmes adskilt er data godt beskyttet (man kunne fx forestille sig en ip/telefonnunmer service der maksimalt kunne oplyse 10000 entries om dagen og hvor mapningen skiftede hver time). Det er således et af de områder hvor hacking er relativt nemt at håndtere. Specielt fordi de enkelte logentries har ret lille værdi.

  3. Man kan godt bruge sessionslogning til opklaring/forebygge kriminalitet. Det kræver bare store ressourcer. Det kræver samarbejde - fx hvis politiet ser at en bestemt ip adress har haft en facebook session kl. 21.46.11, så kan man spørge facebook om hvem der var logget på og hvad der blev kommunikeret. Det kan godt være at det i de fleste tilfælde ikke kan bruges til domfældelse, men det kan bruges til at opdage mystisk adfærd. Adfærd som så kan afdækkes med traditionel efterforskning.

  4. Og ja, man kan godt gå gennem VPN lignende teknologier. Men det kan også efterforskes.

Det gode ved sessionslogning som det er foreslået er at det kræver enorme ressourcer at udnytte det effektivt. Det betyder at de i praksis kun vil blive brugt i de allervigtigste sager. Dette i modsætning til nummerplade registreringen som vi havde oppe for et par uger siden. Nummerplade registreringen er ren politistat.

Jeg så så gerne at sessionslogs blev opfattet som konfidentiel information og at det bliver strafbart at udlevere uden dommerkendelse. Det gælder både udlevering til private, offentlige myndigheder og politiet.

Mogens Ritsholm

Hvor er din egen balance?

Det er et spørgsmål om proportionalitet, som det hedder med et fint ord. Det betyder, at indgrebet i privatlivets fred skal kunne begrundes med nødvendigheden af oplysningerne for efterforskning i overensstemmelse med en demokratisk stats principper. "Passende og forholdsmæssig i et demokratisk samfund" som der står i direktivet.

Det er ikke nok at bevise, at det måske i nogle tilfælde kan bruges til noget. Den nødvendige balance skal bevises. Og det er op til fortalerne, at fremlægge dette bevis.

Da sessionslogning blev indført første gang, var jeg på et tidspunkt indkladt til ordførerne, hvor jeg ikke lagde skjul på min skepsis.

"Kan du garantere, at sessionslog ikke kan være afgørende i en alvorlig terrorsag" sagde en af dem. Men det kan man selvfølgelig ikke garantere.

Det er siden blevet kaldt "terrorkortet" på Christiansborg. For det kan jo bruges til at begrunde alt.

Jeg havde håbet, at vi nu var kommet længere.

Men noget tyder på, at Søren Pind snart vil trække terrorkortet igen i et forsøg på at redde sit håbløse forslag..

. .

René Nielsen

Problemet med denne tråd er at alle som hylder frihedsrettigheder og er bange for blot små reduktioner i rettigheder ikke er villige til at diskutere emnet objektivt.


Du lyder ikke som ”du har sat dig ind i sagen” - men tåger frem med en række fordomme.

Overvågning kan ske på mange måder – f.eks. målrettet overvågning af de samfundselementer som relevante myndigheder allerede har udpeget som radikaliserede. Jeg har ikke set nogen indlæg imod denne overvågningsmodel.

Man kan også fortage en ikke-målrettet overvågning af hr og fru Jensen. Det sidste er ikke særligt kløgtigt fordi en enhver som har et blot overfladisk kendskab til IT ved at anvende en VPN forbindelse dækker man sig 100% ind i forhold til politiets sessionslogning.

For at blive i dit univers så tror jeg at dem som er smarte nok til at røve en bank via internettet nok også er smarte nok til at gå igennem VPN eller lige frem via hackede systemer for på den måde at udgå opdagelse. Sådan ser vi forskelligt på tingene.

Jeg er ikke imod overvågning som Sorte Søren og du sikkert tror! Men jeg tror bare ikke på at sessionslogning nogensinde bliver noget værd som et efterforskningsværktøj. For hvis politi og efterretningstjeneste i dag har problemer med at have nok (menneskelige) ressourcer til at overvåge og vurderer allerede indberettede radikaliserede elementer, så tror jeg ikke på at en endnu større ”stak hø” hjælper på det problem.

Tværtimod vil det gøre det lettere for terrorister og kriminelle elementer at gemme sig, for nu ved man at hvis man først hacker hr og fru Jensen, så render politiet på vildspor som utvivlsomt vil tage mange mandetimer før sagens rette sammenhæng går op for politiet, hvorefter politiet selv vil begynde at tvivle på værdien af sessionslogning.

Jeg synes hellere at man skal overvåge målrettet! F.eks. ved ”indgangen” ved banken og derfra gå målrettet baglæns for at finde ”bankrøveren”. Man kunne også lytte til efterretningstjenestens erfaringer – som kort fortalt er at sessionslogning ikke virker og at der findes bedre værktøjer.

Heino Svendsen

Et godt udtryk ofte anvendt ifm. jagerpiloter, som på kort tid skal behandle store mængder data, så de til sidst bliver forvirrede og går i baglås ( og i sidste ende mister livet ).

Hvis man, som sessionslogningen lægger op til, blot logger alle sessioner / opsamler alle elektroniske spor tilgængelige for informationsindhentere, så bidrager man med at kaste endnu mere hø på dén høstak, man forsøger at finde det famøse bundt nåle i.
Dvs. at man faktisk MODARBEJDER arbejdet om at identificere potentielle OPFOR og hæver behovet for endnu mere datakraft til processering af indsamlede data. Ydermere kan man som følge af indsamlede informationer få en lang række falske positiver, som derefter enten manuelt skal behandles eller på anden vis håndteres. Blandt disse falske positiver kan reelle OPFOR gemme sig, hvorved man i sidste ende kan ende op med at gøre det lettere for reelle terrorister at slippe igennem nåleøjet ( noget med at proklamere tilstedeværelsen af et hundelignende rovdyr ).

Formålet med dette kan man jo overlade til de, som populært omtales som "konspirationsteoretikere". Men man kan overveje, om selvsamme folk, som promoverer disse tiltag har én eller anden form for økonomisk eller politisk interesse i at fremme datalagring, salg af overvågningsteknologi etc. og / eller skabe yderligere frygt evt. for at give statsorganer endnu mere magt...

Michael Cederberg

Du lyder ikke som ”du har sat dig ind i sagen” - men tåger frem med en række fordomme.

Ja det er rigtigt. Undskyld jeg blandede mig.

Man kan også fortage en ikke-målrettet overvågning af hr og fru Jensen. Det sidste er ikke særligt kløgtigt fordi en enhver som har et blot overfladisk kendskab til IT ved at anvende en VPN forbindelse dækker man sig 100% ind i forhold til politiets sessionslogning.

Man kan ikke dække sig 100% ind ved at bruge en VPN forbindelse. Det kræver blot at politiet får adgang til VPN serveren. Og ja, det virker også med tor o.lign.

Som jeg skrev, ovenstående er enormt ressourcekrævende. Og det kræver samarbejde på tværs af landegrænser ... det i sig selv sikrer at sessionslogning reelt kun er brugbart i de vigtigste sager. Og det passer mig fint. Det sikrer nemlig at sessionslogning ikke bliver et universalværktøj det kan alt.

Hvad efterretningstjenester gør og ikke gør ved vi ikke ret meget om. Men Anne-Maries link (nedenfor) viser at NSA åbentbart tror på deres mining af data. At de opfører sig som elefanter i en glasbutik er så en anden sag. Selv synes jeg følgende sag er interessant: http://www.nytimes.com/2015/02/15/magazine/the-hezbollah-connection.html (specielt Wassim Eid's efterforskning). Hvis man forestiller sig dette automatiseret og forfinet har man et stærkt værktøj som ikke skræmmer mig.

http://arstechnica.co.uk/security/2016/02/the-nsas-skynet-program-may-be...

Heino Svendsen

Udfordringen ligger i, at folk, som har ondt i sinde, ofte har evnerne til at beskytte sig bedre, end den brede del af befolkningen har, fx. ved at bruge VPN.

Vi ser det andre steder :
Våbenloven - man har gjort det forbudt at eje "assault weapons" til sportsbrug. Det, som skete ved Krudttønden, blev udført med et stjålet våben ( M/95 ). "Omar" kunne jo få en bøde / straf for at være i besiddelse af den slags! Man har lagt yderligere restriktioner på sports- og jagtvåben, for så undgår man jo, at kriminelle får adgang til ulovlige våben - de kunne jo aldrig tænke på at bryde loven...
Knivloven - man gør eksisterende multitools ulovlige. Jeg mangler stadig at se en statistik for hvor mange lovlige multitools, som er blevet anvendt til at stikke folk ned med?

Flere steder er hovsa-løsninger lagt ind for at vise handlekraft etc.
I stedet for at rent faktisk undersøge problemstillingen og komme frem til en reel løsning.

Michael Cederberg

Hjelmbrand / Information Overload....

Man kan håbe at meget at pre-processeringen af det indsamlede data kan automatiseres. Reklameindustrien investerer mange penge i den slags. Det bringer den reelle datamængde ned på et mere realistisk niveau. Modsat reklameindustrien vil der dog altid skulle ske noget post-processering af data når vi snakker myndigheder ... de kan ikke kun gå efter sansynligheder.

Christian Nobel

Ja det er rigtigt. Undskyld jeg blandede mig.


Du blandede dig ikke, du blamerede dig!

Det kræver blot at politiet får adgang til VPN serveren. Og ja, det virker også med tor o.lign.

Kræver "blot" - duuuh.

Det var dog den værste gang vrøvl - du er måske så naiv at tro at IzNoGood bruger en server der står under NSA's beskyttende vinger?

Som jeg skrev, ovenstående er enormt ressourcekrævende. Og det kræver samarbejde på tværs af landegrænser ... det i sig selv sikrer at sessionslogning reelt kun er brugbart i de vigtigste sager. Og det passer mig fint. Det sikrer nemlig at sessionslogning ikke bliver et universalværktøj det kan alt.

Hvorved du helt og aldeles viser du intet forstår af problematikken.

For ja sessionslogning er stort set uanvendelig til opklaring af forbrydelser, det er slet ikke det der egentlig er anstødsstenen (ud over det eksorbitante spild af penge), men derimod at den er absolut anvendelig til det der ikke er dens påståede formål (eller er det?), nemlig at masseovervåge og profilere befolkningen.

Og når du begynder at udtale dig om "Det er nemt at skille data ad", så udstiller du bare din afgrundsdybe uvidenhed, eller måske naivitet, når man tage in mente hvor mange aktører der måske bliver belemret med dette misfoster.

Christian Nobel

Knivloven - man gør eksisterende multitools ulovlige. Jeg mangler stadig at se en statistik for hvor mange lovlige multitools, som er blevet anvendt til at stikke folk ned med?

Ja og det helt absurde i hele den diskussion er at der det sidste års tid faktisk har være vanvittig mange knivstikkeri, stort set dagligt kan man læse om knivstikkeri, og der går sjældent en måned uden der er tale om drab.

Men i vanlig stil lavede man en symbollovgivning, i stedet for at tage fat om nældens rod, nemlig hvad der sker i nattelivet og bandemiljøet.

Heino Svendsen

Delvist enig med dig, Cederberg.

Dels er de omtalte datamængder en del mere omfangsrige end ifm. reklamer. Og dels kan man kun gå efter sandsynligheder :

Fx. en gennemgang af søgeresultatet for et objekt giver : x søgninger på "M-4 assault rifle", y søgninger på "nuclear yield" og andre "sjove" ting.

Ud fra de og andre informationer skal man så sammenkøre, og der sandsynligvis er tale om enten en skoledreng, som skal fremlægge en opgave om Nagaski, og spiller Counter Strike, eller om der er tale om en person med ondt i sinde.
Tager man fx. Breivik : Hvid, Frimurer, jæger, utilfreds med regeringen, så passer den på en hel del personer.

Uanset hvordan, man vender og drejer "beviserne", kan man blot give en sandsynlighed for, om dette er en reel OPFOR, eller om der er tale om en falsk positiv. Tilsvarende : En person bliver placeret på et sted ud fra telefoninformationer. Personens hår er at finde på forurettede. Vidner har set personen og forurettede skændes. Har personen dræbt forurettede? Måske... Nogle beviser tyder på, at personen KUNNE have gjort det..

Michael Cederberg

Du blandede dig ikke, du blamerede dig!

Jeg nægter at følge dig ned i dybet. Hvis det er din argumentationsform, så tvivler jeg på at politikere vil lytte til dig.

Det var dog den værste gang vrøvl - du er måske så naiv at tro at IzNoGood bruger en server der står under NSA's beskyttende vinger?

Her er der to muligheder:

  1. Du kender dem her har serveren - I så fald har du afsløret lidt om dig selv.
  2. Du kender ikke dem der har server - I så fald, hvordan kan du så vide at den ikke er drevet af NSA?

Og når du begynder at udtale dig om "Det er nemt at skille data ad", så udstiller du bare din afgrundsdybe uvidenhed, eller måske naivitet, når man tage in mente hvor mange aktører der måske bliver belemret med dette misfoster.

Jeg skal igen afslå at kommentere på dine personlige angreb (om end de harmonerer dårligt med dit efternavn). Kommentaren omkring at skille data ad var ment i relation til hacking: Hvis man adskiller den del af data der henfører til IP/telefonnummer fra resten, så kræver det urimeligt store ressourcer at hacke.

René Nielsen

Man kan ikke dække sig 100% ind ved at bruge en VPN forbindelse. Det kræver blot at politiet får adgang til VPN serveren. Og ja, det virker også med tor o.lign.

I forhold til sessionslogning er VPN 100% effektiv – fordi hvis VPN brugeren f.eks. trykker på et link som oplyser hans sande IP, vil dette ikke fremgå af loggen. Det vil fremgår at den server som hoster linket.

Politiet får ikke adgang til f.eks. en schweizisk VPN server på grund af den strenge schweiziske privacy lovgivning. Dernede er de såkaldte rettighedshavere blevet idømt store bøder fordi de prøvede at opsnappe IP adresser på bittorrents.

Dernæst priser selskaberne bag ved VPN services sig netop af, at de ikke har logs på deres kunder ligesom mange VPN selskaber bevist modtager Bitcoins, Paypal mv. Så selvom det urealistiske skulle ske at dansk politi ved en udenlandsk domstol opnår en kendelse, så kan man ikke udleverer noget man ikke har.

Anne-Marie Krogsbøll

Men Anne-Maries link (nedenfor) viser at NSA åbentbart tror på deres mining af data.

Sjovt, så forskelligt man kan læse den slags. Selv hæftede jeg mig ved, at lo..... ikke virker efter hensigten, men slår en masse uskyldige ihjel (jeg går da ud fra, at det ikke er hensigten).

Jeg deler ikke din tro på, at man kan raffinere den slags kæmpemonstrummer, så det bliver pålideligt. Der er noget, der hedder et "babelstårn"......

Michael Cederberg
Jesper Lund

Det kræver samarbejde - fx hvis politiet ser at en bestemt ip adress har haft en facebook session kl. 21.46.11, så kan man spørge facebook om hvem der var logget på og hvad der blev kommunikeret.

Og hvor mange gange mellem 2007 og 2014, i SYV år, kunne politiet fremvise sager, hvor dette havde været af væsentlig betydning for efterforskningen? Eller bare en lille bitte smule betydning, så Rigspolitiet vil være bekendt og vise eksemplet frem?

INGEN.

Christian Nobel

Du kender dem her har serveren - I så fald har du afsløret lidt om dig selv.

Aha, guilty by proxy.

Så mangler vi bare lige børnepornokortet, for du hvis man ikke har noget at skjule.....

om end de harmonerer dårligt med dit efternavn

Det er så et åg jeg må bære, men du mener åbenbart at mit efternavn forpligter mig til ikke at opponere når jeg bliver eksponeret for noget vrøvl?

Hvis man adskiller den del af data der henfører til IP/telefonnummer fra resten, så kræver det urimeligt store ressourcer at hacke.

Hvis og hvis - jeg har svært ved at tage det alvorligt når man dels bruger udtrykket "nemt", dels begynder at udtænke alverden udspekulerede systemer som bare vil gøre proportionaliteten i forslaget endnu mere håbløs.

Jimmi Thøgersen

Og hvor mange gange mellem 2007 og 2014, i SYV år, kunne politiet fremvise sager, hvor dette havde været af væsentlig betydning for efterforskningen? Eller bare en lille bitte smule betydning, så Rigspolitiet vil være bekendt og vise eksemplet frem?

Her er det altid værd at minde om NSA's lignende fiasko, da Keith Alexander i 2014 oplistede 54 ikke nærmere specificerede afværgede terror "events" som resultat af de seks år med sektion 702 i FISA (tele og mail-aflytning). Fire måneder senere blev tallet revideret til 13. Og da året var slut var vi nede på 1 forpurret, konkret "event" - en mands forsøg på at sende $8500 til Al Shabab i Somalien.

Dermed selvfølgelig ikke sagt, at PET m.fl. ikke kan gøre det langt bedre. :-)

Michael Cederberg

Men Anne-Maries link (nedenfor) viser at NSA åbentbart tror på deres mining af data.

Sjovt, så forskelligt man kan læse den slags. Selv hæftede jeg mig ved, at lo..... ikke virker efter hensigten, men slår en masse uskyldige ihjel (jeg går da ud fra, at det ikke er hensigten).

Jeg deler ikke din tro på, at man kan raffinere den slags kæmpemonstrummer, så det bliver pålideligt. Der er noget, der hedder et "babelstårn"......

Amerikanerne mener de er i krig. Når man er i krig så er der ikke de samme forsigtighedsprincipper som normalt. Med andre ord: hvis man kommer til at ramme en uskyldig Al-Jazeera journalist som ofte opholder sig i områder styret af Taleban, så er det den slags ofre man (dvs. journalisten) må tager med. Sådan er krig. At jeg så mener at nogen af de ting der sker gør mere skade end gavn er en anden sag. Ud fra et teknisk synspunkt så handler det blot om hvilke tærskelværdier der er valgt i algoritmen.

Hvis amerikanerne kan ende med at skulle kigge på 50.000 potentielle terrorister i stedet for 50 millioner, så har man vundet meget. Det samme kan man i Danmark. Når danske domstole bliver del af processen så føler jeg mig ganske tryg. Det er ikke det samme som at metoden nogensinde bliver 100% sikker. Men hvis bare man kan ramme 5% så er meget vundet.

Anne-Marie Krogsbøll

Amerikanerne mener de er i krig. Når man er i krig så er der ikke de samme forsigtighedsprincipper som normalt. Med andre ord: hvis man kommer til at ramme en uskyldig Al-Jazeera journalist som ofte opholder sig i områder styret af Taleban, så er det den slags ofre man (dvs. journalisten) må tager med

Er der ikke noget med, at vore politikere også mener, at vi er i krig? Krig mod terror f.eks.?

Så hvor mange fejlskud skal vi acceptere?

Nu er det sådan, at jeg ikke kommer til at føle mig mere tryg af den type logik. Ligesom jeg, i teorien, kan blive offer for terror, så kan jeg også blive offer for fejlslutninger i denne type systemer. Og samtidig gør sådanne systemer mig utryg, fordi de samtidig baner vejen for et totalitært system.

Jimmi Thøgersen

Det er nemt at skille data ad. Hvis ip/telefonnummer og resten af data gemmes adskilt er data godt beskyttet (man kunne fx forestille sig en ip/telefonnunmer service der maksimalt kunne oplyse 10000 entries om dagen og hvor mapningen skiftede hver time). Det er således et af de områder hvor hacking er relativt nemt at håndtere.

Den kræver vist en forklaring. Mener du 10000 entries fra sessions-loggen om dagen? For det svarer ca. til at politiet kan konstatere, at den mistænkte har set Netflix i HD i et halvt minut. Vil mene at det er ret selvfølgeligt, at sådan en begrænsning ikke bliver en realitet. Det er uden, at vi tager statens og dens private leverandørers evne til at implementere sådanne "simple" systemer i betragtning.

Og ja, man kan godt gå gennem VPN lignende teknologier. Men det kan også efterforskes.

Held og lykke med dét. Ved godt at Pind allerede har meldt ud, at det i sig selv er mistænkeligt at bruge VPN. Jeg bruger så VPN dagligt i forbindelse med arbejde - ofte i hele arbejdstiden (som også ligger uden for 9-17). Der er masser der bruger VPN til at omgå geolocation-restriktioner. Og der kommer kun flere til, der bruger det til hvad som helst, hvis sessions-logningen går igennem. Apropos nål i høstak.

Det gode ved sessionslogning som det er foreslået er at det kræver enorme ressourcer at udnytte det effektivt.

Frihedsrettigheden der angår privatliv handler ikke om, om data udnyttes, eller hvor effektivt de udnyttes. Den handler om, at data overhovedet opsamles. I modsætning til nutidens facebook-skadede opfattelse var der nemlig engang - da forfatninger blev skrevet (ja, ærgeligt, vi ikke har én) - hvor man forstod, at blot det at du bliver overvåget ændrer fundamentalt på din måde at tænke på og din måde at udfolde dig på. Det er også dér "if you have nothing to hide" fejler. Gang på gang.

Men ja - det er kun få, der ikke har glemt dén tanke. I det mindste var USA's længst-siddende dommer i Supreme Court, William O. Douglas, helt med i 1969 - Søren Pind og Co. (her inkluderer vi Mette Frederiksen) kunne have godt af at læse lidt af ham - ikke blot dette:

Big Brother in the form of an increasingly powerful government and in an increasingly powerful private sector will pile the records high with reasons why privacy should give way to national security, to law and order, to efficiency of operations, to scientific advancement, and the like.

The cause of privacy will be won or lost essentially in legislative halls and in constitutional assemblies. If it is won, this pluralistic society of ours will experience a spiritual renewal. If it is lost we will have written our own prescription for mediocrity and conformity.

Den eneste grund til at diskutere alle de tekniske, juridiske, økonomiske, sikkerhedsmæssige og praktiske mod-argumenter - og eneste grund til at vi overhovedet kan nævne ordet "proportionalitet" i samme sætning som "frihed" er, at det helt fundamentale rettigheds-argument er "lost on most people".

Michael Cederberg

Den kræver vist en forklaring. Mener du 10000 entries fra sessions-loggen om dagen? For det svarer ca. til at politiet kan konstatere, at den mistænkte har set Netflix i HD i et halvt minut. Vil mene at det er ret selvfølgeligt, at sådan en begrænsning ikke bliver en realitet. Det er uden, at vi tager statens og dens private leverandørers evne til at implementere sådanne "simple" systemer i betragtning.

I princippet kunne man gøre således:

  1. Man har en liste med kendte IP adresser (til at starte med er den tom)

  2. Hver gang man skal logge en session slår man op i tabellen. Hvis IP adressen ikke er der opretter man en ny entry og knytter et unikt ID sammen med IP adressen. Hvis IP adressen var der i forvejen tages det unikke ID.

  3. Sessionens metadata skrives til loggen sammen med det unikke ID men uden IP adresse.

  4. En gang i timen sendes listen med kendte IP adresser og unikke ID'er til et sikret datacenter. Herefter tømmes listen.

  5. Det sikrede datacenter kan mappe unikke ID'er til IP og omvendt. Af sikkerhedshensyn kan det kun lave 10000 mapninger i timen (mit gæt at det er et godt tal).

Det loggede data er nu næsten værdiløst uden IP adressen. Det vil være svært at få store mængder data ud af systemet fordi det vil tage laaang tif. Det sikrer at det er sværere for hackere at komme til data (og sansynligvis ikke arbejdet værd). Samme metodik kunne fx bruges for patientjournaler og andet.

Held og lykke med dét. Ved godt at Pind allerede har meldt ud, at det i sig selv er mistænkeligt at bruge VPN. Jeg bruger så VPN dagligt i forbindelse med arbejde - ofte i hele arbejdstiden (som også ligger uden for 9-17). Der er masser der bruger VPN til at omgå geolocation-restriktioner. Og der kommer kun flere til, der bruger det til hvad som helst, hvis sessions-logningen går igennem. Apropos nål i høstak.

Som jeg tidligere har sagt: Det er godt at det er svært. Det sikrer at dette kun bruges til det allemest nødvendige.

Frihedsrettigheden der angår privatliv handler ikke om, om data udnyttes, eller hvor effektivt de udnyttes. Den handler om, at data overhovedet opsamles.

Det er jeg uenig i. I øvrigt vil du opleve at næsten alle websites i forvejen opsamler information om hvem der tilgår hvad. Er det så også et privacy issue? Anyway, for mig er det ok at det opsamles - det skal blot være svært at komme til og kræve en dommerkendelse.

Og det er du helt sikker på? Hvis jeg var NSA, GCHQ, etc. så ville jeg operere den slags services rundt omkring i verden. Jo flere jeg har gang i, så større er chancen for at få fat i noget.

Alt er muligt, men tror du Politiet i Herning kan komme rende til GCHQ med en dansk dommerkendelse?

Æh nej, og det er jeg glad for. Men jeg føler mig rimeligt sikker på at efterretningstjenester udveksler den slags information og at det sansynligvis er noget de handler med mellem hinanden. Med andre ord: Dette våben skal kun bruges i de meget vigtige sager. Det kommer ikke til at blive brugt til at finde ud af hvem der har hacket skolens server og lagt pornografisk materiale på forsiden.

Pind har planer om at masseovervåge alle danskere der bruger internettet, ikke bare 50.000.

I mine øjne er det ikke masseovervågning så længe informationen ligger hos teleselskabet og kræver en dommerkendelse for at tilgå. Som skrevet ovenfor: De fleste websites gemmer i forvejen logs over hvem der tilgår sitet. Er det så også masseovervågning? Jeg så i øvrigt gerne at Pind gjorde det straftbart udlevere den slags information uden dommerkendelse.

Så igen proportionalitet, især når man tager i betragtning hvor store negative effekter overvågningen vil påføre befolkningen.

Jeg har svært ved at se at der er så stor negativ effekt ved at teleselskaberne skal gemme noget ekstra metadata. I øvrigt må du bestemme dig:

  1. Er det farligt for befolkningen at data gemmes? (fordi det kan udnyttes til mindre noble formål)

  2. Er data ubrugelige og problemet er således blot at det koster penge?

Men entet kan data bruges eller også kan de ikke.

Jesper Lund

Det er jeg uenig i. I øvrigt vil du opleve at næsten alle websites i forvejen opsamler information om hvem der tilgår hvad. Er det så også et privacy issue?

Der er kæmpe forskel på et stort antal lokale webserver logs, der er spredt på mange servere rundt omkring og kun tilgængelige enkeltvis, og en enkelt database med en samlet profil af din internettrafik, aka sessionslogning.

Christian Nobel

I princippet kunne man gøre således:

I princippet kan man så meget - men der er også noget der hedder den virkelige verden!

Og i denne virkelige verden er der også en hel masse små aktører - dette her er ikke kun noget der vedrører 3-4 store aktører.

Som jeg tidligere har sagt: Det er godt at det er svært. Det sikrer at dette kun bruges til det allemest nødvendige.

Og som sagt tidligere, når data falder i de forkerte hænder kan de bruges til rigtig meget man kan kalde unødvendigt, eller rettere sagt, skadeligt for borgerne.

I øvrigt vil du opleve at næsten alle websites i forvejen opsamler information om hvem der tilgår hvad. Er det så også et privacy issue?

Det er en stråmand - fordi din nabo tæver sin kone, så er du også berettiget til det.

Herudover er der adskillige tiltag man kan gøre imod snagende hjemmesider.

Anyway, for mig er det ok at det opsamles

Og det er det så ikke for mig!

det skal blot være svært at komme til

"Blot være svært at komme til - nåe du mener på samme måde som politiets Schengen data, eller hvad CSC nu ellers stiller til skue?

Prøv lige at være realist.

og kræve en dommerkendelse.

Og hvilken sten har du så ligget under de sidste par år - det er måske ikke gået op for dig, at det af Krigsministeriet nedsatte CFSuS kan komme og gå fuldstændig som det passer dem i teleselskaber, og at alt hvad der sker desårsag er underlagt mørklægningsloven.

Så hvor meget tillid giver det til at data kun kan tilgås efter dommerkendelse?

Og hvad med brodne kar i teleselskaberne?

Dette våben skal kun bruges i de meget vigtige sager.

Og hvem afgør hvad der er vigtigt - faktisk så skræmmer det mig meget at du slet ikke kan se glidebanen.

Det kommer ikke til at blive brugt til at finde ud af hvem der har hacket skolens server og lagt pornografisk materiale på forsiden.

Hvordan kan du overhovedet skråsikkert sidde og fortælle hvad det ikke vil blive brugt til?
Det er dybt utroværdigt.

I mine øjne er det ikke masseovervågning så længe informationen ligger hos teleselskabet og kræver en dommerkendelse for at tilgå

Det sete afhænger så af øjnene, men når der samles data op om alt og alle, så er det masseovervågning, dommerkendelse eller ej!

Jeg har svært ved at se at der er så stor negativ effekt ved at teleselskaberne skal gemme noget ekstra metadata. I øvrigt må du bestemme dig:

Er det farligt for befolkningen at data gemmes? (fordi det kan udnyttes til mindre noble formål)

Er data ubrugelige og problemet er således blot at det koster penge?

Men entet kan data bruges eller også kan de ikke.

Meget godt forsøgt, men den går ikke - du opstiller en falsk dikotomi.

For data er farlig for befolkningen, fordi den kan misbruges til at afdække deres adfærd samtidig med det er stort set ubrugeligt til efterforskning af terrorhændelser.

Det udelukker på ingen måde hinanden, og er totalt ude af proportion!

Jimmi Thøgersen

I princippet kunne man gøre således:

Det ville jeg sådan set gå ud fra er en selvfølge - men ja, der er netop intet der er selvfølgeligt i danske stats-relaterede IT-systemer. Spørgsmålet lå på de 10000 opslag. Og at mene at en begrænsning på 10000 opslag af IP -> ID om dagen er "sikkerhed" er absurd - i størrelsesorden Nets. Uden at tænke mere end 10 sekunder over det, behøver jeg i øvrigt ikke adgang til opslag for at finde mit måls IP ud fra tabellen med kun ID'er i. Kan du gætte hvordan? Det er ikke svært...

Som jeg tidligere har sagt: Det er godt at det er svært. Det sikrer at dette kun bruges til det allemest nødvendige.

Og pointen er netop, at i de "allermest nødvendige" tilfælde, er det ubrugeligt, fordi sessions-logningen er omgået...

I øvrigt vil du opleve at næsten alle websites i forvejen opsamler information om hvem der tilgår hvad.

Når du nu har oplevet dét, så har du nok også bemærket, at det er folks eget valg. "Privacy" hander ikke om, at alt skal være hemmeligt. Men at hver person selv vælger, hvad i deres privatliv der skal være det, og hvem de deler det med. At de, hvis de er mere uinformerede - eller ligeglade - nok deler det med flere end de havde tænkt sig, er del af den evige sandhed om uvidenhed. I det mindste deler de det med netop "flere" - og ikke et single point of failure.

Michael Cederberg

Der er kæmpe forskel på et stort antal lokale webserver logs, der er spredt på mange servere rundt omkring og kun tilgængelige enkeltvis, og en enkelt database med en samlet profil af din internettrafik, aka sessionslogning.

Nu er planen vist at sessiondata skal ligge hos de enkelte teleudbydere og at det kræver dommerkendelse at få fat i data. Jeg så gerne at det var spredt ud en masse servere. Jeg er generelt imod at koncentrere loggede data.

I princippet kan man så meget - men der er også noget der hedder den virkelige verden!

Og i denne virkelige verden er der også en hel masse små aktører - dette her er ikke kun noget der vedrører 3-4 store aktører.

Hvis man ikke har principperne i orden så kan man ikke lave ordentlige løsninger i praksis. Jeg har svært ved at se at min løsning vil koste specielt mange penge.

Herudover er der adskillige tiltag man kan gøre imod snagende hjemmesider.

Og som du selv og andre har sagt er der adskillige tiltag du kan bruge mod sessionlogging. Og de virker fint indtil dine modstandere er politi og efterretningstjenester der tror du vil udslette en mindre provinsby.

"Blot være svært at komme til - nåe du mener på samme måde som politiets Schengen data, eller hvad CSC nu ellers stiller til skue?

Prøv lige at være realist.

Som sagt mener jeg godt man kan beskytte disse data. Enkeltvis er de enkelte logentries ikke sensitive. De massive mængder gør at man ikke lige kan downloade data.

Og hvilken sten har du så ligget under de sidste par år - det er måske ikke gået op for dig, at det af Krigsministeriet nedsatte CFSuS kan komme og gå fuldstændig som det passer dem i teleselskaber, og at alt hvad der sker desårsag er underlagt mørklægningsloven.

Så hvor meget tillid giver det til at data kun kan tilgås efter dommerkendelse?

Og hvis vi får en regering der omgår dommerkendelser og loven i øvrigt, så er det ret ligegyldigt hvad loven siger. Så hvorfor overhovedet diskutere lovgivning?

Dette våben skal kun bruges i de meget vigtige sager.

Og hvem afgør hvad der er vigtigt - faktisk så skræmmer det mig meget at du slet ikke kan se glidebanen.

Endnu engang: Fordi det kræver enorme ressourcer at bruge. Jeg er sikker på at politiet, skattevæsnet, etc. gerne ville bruge dette rigtigt meget, men de har ikke ressourcerne.

Kan du gætte hvordan? Det er ikke svært...

Ja. Men det er ikke specielt brugbart i praksis. Hvis du i forvejen kender min ip adresse og skal hacke telefonselskabet for at følge min trafik ... så er der nok nemmere måder at følge med i hvad jeg laver.

Christian Nobel

Nu er planen vist at sessiondata skal ligge hos de enkelte teleudbydere og at det kræver dommerkendelse at få fat i data. Jeg så gerne at det var spredt ud en masse servere. Jeg er generelt imod at koncentrere loggede data.

Vist, jeg tror, mener....

Der er tale om udbydere i vid fortolkning, herunder også hoteller, kroer, cafeer, campingpladser, kollegier, boligforeninger mv.

Så på den måde bliver det sådan set spredt ud over en masse servere, men det bliver ikke mere forsvarligt af den grund.

Det vil koste samfundet en formue, og være ødelæggende for turistindustrien.

Men hvad værre er, det er overvågning, og folk vil frygte hvad deres færden på internettet kan medføre - uagtet det de gør ikke er ulovligt.

Hvis man ikke har principperne i orden så kan man ikke lave ordentlige løsninger i praksis.

Javel ja, sådan har kirken jo også set på det gennem tiderne, bla. ved at tildele aflad og give syndsforladelse for selv de værste forbrydere, eksempelvis korsriddere.

Jeg har svært ved at se at min løsning vil koste specielt mange penge.

Og det står du så nok ret alene om herinde - men bevares vi andre er jo kun professionelle it folk, ikke guddommelige, så hvad ved vi om hvad tingene koster.

Og som du selv og andre har sagt er der adskillige tiltag du kan bruge mod sessionlogging. Og de virker fint indtil dine modstandere er politi og efterretningstjenester der tror du vil udslette en mindre provinsby.

Du fremfører patetisk det samme vrøvl igen og igen - der er ingen evidens for at den logning der blev lavet fra 2007 til 2014 virkede, så hvordan i alverden kan du så være så naiv at tro at mere af noget ikke virkende vil virke bedre?

Og " indtil dine modstandere er politi og efterretningstjenester...." - så du mener altså at** guilty by proxy **er måden at løse problemerne på.

Hvis du havde fulgt med ville du vide at stort set alle kendte terrorister var kendt på forhånd af efterretningsvæsnerne, men magtkampe og dårlig kommunikation gjorde de ikke blev stoppet - ikke manglende masseovervågning!

Som sagt mener jeg godt man kan beskytte disse data.

Mener, tror, synes, gætter på.....

Luk dog for pokker øjnene op, og se hvor store problemer der er i den virkelige verden med at passe på data - hvorfor skulle det være anderledes i dette tilfælde, når selv ikke kongehusets kreditkort kan beskyttes?

Og hvis vi får en regering der omgår dommerkendelser og loven i øvrigt, så er det ret ligegyldigt hvad loven siger. Så hvorfor overhovedet diskutere lovgivning?

Har du overhovedet nogen historisk forståelse?

Hvis du havde, så ville du se hvordan en glidebane kan medføre et magtskifte på et tidspunkt, hvorfor det er hamrende vigtigt at være opmærksom på enhver form for forsøg på demontering af vores demokrati.

Endnu engang: Fordi det kræver enorme ressourcer at bruge.

Ja men umådeligt få at misbruge, og det er det der er det virkeligt tragiske i denne sag.

Anne-Marie Krogsbøll

Michael Cederberg:

Endnu engang: Fordi det kræver enorme ressourcer at bruge. Jeg er sikker på at politiet, skattevæsnet, etc. gerne ville bruge dette rigtigt meget, men de har ikke ressourcerne.

Nu er jeg ikke IT-fagperson, så jeg går muligvis helt fejl i byen. Men det skal ikke forhindre mig om at forsøge at få opklaret følgende:

Er det ikke netop den slags opgaver f.eks. IBM's Watson er sat i verden til at kunne håndtere?

I givet fald: Hvis f.eks. Watson - eller en anden forskermaskine - ville kunne håndtere denne opgave, og både Skat, politi og etc. meget gerne vil bruge disse data, tror du så ikke, at det kun er et spørgsmål om tid, før de får både tilladelse og penge til at proppe disse data ind i en sådan forskermaskine?

Michael Cederberg

Vist, jeg tror, mener....

Mener, tror, synes, gætter på.....

Kære Christian, jeg kan godt så dit retoriske trick. Men lad mig blot gøre opmærksom på at ingen, måske bortset fra Søren Pind, kender reglerne endnu. Derfor er der heller ingen der kan sætte endelig pris på hvad det vil koste. Såfremt man vil bevare sin troværdighed er det således bydende nødvendigt at putte ord som "tror" og "gætter" ind.

Der er tale om udbydere i vid fortolkning, herunder også hoteller, kroer, cafeer, campingpladser, kollegier, boligforeninger mv.

Så på den måde bliver det sådan set spredt ud over en masse servere, men det bliver ikke mere forsvarligt af den grund.

Isoleret set vil sessionlogging fra disse små leverandører ikke kunne bruges til at danne sig et overblik over hvad folk laver fordi de kun dækker et lille geografisk område og fordi der kun er ret få personer der bliver serviceret. Fordi data fra disse steder har så ringe værdi vil man opleve at det stort set aldrig bliver brugt (hvilket stemmer overens med oplevelserne under de gamle logningsregler). Når det alligvel skal logges er det for at sikre at Über-IzNoGood er nødt til at vælge andre veje at kommunikere.

Det vil koste samfundet en formue, og være ødelæggende for turistindustrien.

Sådan gik det ikke under de gamle logningsregler. Jeg ser ingen grund til at det skulle være anderledes under de nye - selvom de måske bliver anderledes og kræver logning af alle sessions.

Jeg har svært ved at se at min løsning vil koste specielt mange penge.

Og det står du så nok ret alene om herinde - men bevares vi andre er jo kun professionelle it folk, ikke guddommelige, så hvad ved vi om hvad tingene koster.

Hverken dine eller teleselskabernes analyser af omkostningerne er objektive. Hvis vi tager omkostningerne under de gamle logningsregler så var de så små at det ikke havde nogen reel indflydelse på telepriserne. Jeg her ingen grund til at tro at vi ikke vil ende på nogenlunde samme niveau.

Du fremfører patetisk det samme vrøvl igen og igen - der er ingen evidens for at den logning der blev lavet fra 2007 til 2014 virkede, så hvordan i alverden kan du så være så naiv at tro at mere af noget ikke virkende vil virke bedre?

Nu er det ret sikkert at hvis man har stoppet nogen vha. de gamle regler og at de situationer krævede involvering af fremmede magter, så ville vi nok ikke høre om det. Hvis nu NSA og de andre har brugt mange penge på at sætte VPN providers op rundt omkring, så er det svært at forestille sig de ville fortælle om det.

Under alle omstændigheder tvinger disse regler IzNoGood til at ændre sin adfærd. Det gør ham nemmere at spotte og det gør også at han nemmere laver fejl.

Hvis du havde fulgt med ville du vide at stort set alle kendte terrorister var kendt på forhånd af efterretningsvæsnerne, men magtkampe og dårlig kommunikation gjorde de ikke blev stoppet - ikke manglende masseovervågning!

Dette statement er jeg i al beskedenhed uenig i. Under alle omstændigheder er ingen af os i stand til at lave den vurdering. Det er kun dem med blå briller der kan. Min kilde omkring ovenstående er pressen og dens troværdighed er tæt ved nul i disse sager.

Luk dog for pokker øjnene op, og se hvor store problemer der er i den virkelige verden med at passe på data - hvorfor skulle det være anderledes i dette tilfælde, når selv ikke kongehusets kreditkort kan beskyttes?

Jeg skal være den første til at sige at jeg ikke stoler på det offentlige og privates evner til at holde data hemmelige. Men for at gentage det for 3 gang: I dette tilfælde mener jeg ikke det vil være svært. Her er endnu engang grundene:

  1. Datavolumen er enorm. Man kan ikke bare sende data et andet sted hen. Der kræves at data gøres søgbare. Dette er meget nemmere at kontrollere.

  2. Data vil ligge på multiple lokationer. Det vil gøre det sværere at hacke.

  3. Man kan nemt skille data ad sådan at enkeltdelene ikke bliver interessante.

  4. Fordi det kun er metadata der logges har data lille interesse for hackere (og mange andre).

Har du overhovedet nogen historisk forståelse?

Hvis du havde, så ville du se hvordan en glidebane kan medføre et magtskifte på et tidspunkt, hvorfor det er hamrende vigtigt at være opmærksom på enhver form for forsøg på demontering af vores demokrati.

Tak jeg er meget historieinteresseret.

Jeg mener ikke at disse data har højere værdi end den logning der allerede foretages af telefonsamtaler. Den logning er krævet af myndighederne og er beskyttet af dommerkendelser. Det har virket fint i mange år. Jeg har svært ved at se at det skal være anderledes for IP trafik.

Som jeg skrev tidligere, hvis vi snakker folk som går uden om demokratiet så hjælper lovgivning os ikke. Så længe det foregår inden for demokratiet så køber jeg ikke glidebane argumentet: Folk kan altid vælge en ny regering. Den kan altid lave reglerne om.

Og fordi rigtigt mange skal være med hvis data skal misbruges så tror jeg ikke på det. Hvis man vil overvåge folk så er der bedre måder.

Endnu engang: Fordi det kræver enorme ressourcer at bruge.

Ja men umådeligt få at misbruge, og det er det der er det virkeligt tragiske i denne sag.

Nej det kræver også rigtigt mange ressourcer at misbruge. Som du og andre tidligere har skrevet så er VPN (såmænd også bare NAT) ganske stærke våben i dette spil. Næh, hvis man vil vide noget om folk så skal man gøre som Google, Facebook, etc. (evt. lytte med på den kommunikation). Så kan du kortlægge folks interesser

Heino Svendsen

Krogsbøll, det er korrekt, at større maskiner / systemer ( IBM Watson, Hadoop etc. ) er sat i verden for at behandle store mængder data, men jeg må lige kaste lidt grus i mekanismen her :

Som jeg ser verden fra min lille pind, er der flg. udfordringer :

  1. Indsamling af data.
    Hver gang en lille i loggen skal gemmes, skal server x bruge y mili- / mikosekunder på det. Det lyder ikke af så meget for én entry ( "Ting tager tid" for at citere en tidligere projektleder - fyren blev fyret ), men hvis man ganger det op med rigtig mange gange i minuttet for rigtig mange brugere, får man et tidsrum, som bliver rigtig stort. Dette betyder performance nedgang ( sløvere systemer, langsommere Facebook og sløvere NetFlix ) - sure brugere.

  2. Store datamængder.
    De større datamængder gør det naturligvis mere ressourcekrævende at have denne logging stående, hvorfor større netværkslagringsmedier skal benyttes. Ganske vist koster lagringsplads mindre og mindre per enhed, men da man jvf. loven skal gemme data i et vist tidsrum, er man nødsaget til at iværksætte yderligere backup muligheder, hvilket lægger yderligere omkostninger og tid oveni.

  3. Overførsel af data.
    Alle de indsamlede data skal overføres enten i rå-eller i filtreret version til "slutbehandleren", dvs. det system, som i sidste ende skal stå for at udpege potentielle OPFOR. Såfremt man ønsker overførsel af rå-data, kan dette enten gøres via netværksforbindelse ( upload til server via Internet, enten drypvis eller i bulks ) eller ved at transportere lagringsmedier til opsamlingslokationer ( kræver logistisk support etc. ).

  4. Behandling af data.
    Under antagelsen, at data er kommet frem til t = 0 + x sekunder / minutter / timer, så er der et større behandlingsarbejde, som skal udføres. Lad os sige, at man inden har reduceret data til relevante informationer ( fjernet NetFlix opslag etc. ). Herefter skal systemet så gennemtrawle data for at finde mønstre. Jo større mængder data, jo længere tid tager dette ( [1] det kommer jeg tilbage til ).

  5. Opfølgning på data.
    Når nu man har fået et antal positiver ud fra pkt. 4, skal man følge op på disse. Det kan fx. være, at man kan afvise, at 10 årige [indsæt navn her] er en terrorist, fordi han har søgt på diverse ting ifm. Counter Strike, eller at man skal sende AKS med en "venlig hilsen". Her vil der være en del falske positiver, som vil reducere troværdigheden af systemet med også lægge yderligere beslag på ressourcer / forlænge reaktionstiden.

[1] Tidsfaktoren er én af de vigtigste parametre (lad os lige parkere diskussionen omkring hele overvågningsaspektet i denne sammenhæng ) i systemet. Som efterretningsoperatør er man interesseret i at forhindre hændelser ( medmindre det er tid til budgetforhandlinger ) og i mindre grad om at efterforske. Givet, efterforskningsdelen kan bidrage til at forhindre evt. fremtidige hændelser men et system, som dette kommer til sin ret, hvis det kan forhindre angreb. Såfremt man ønsker at forhindre en hændelse, ønsker man at få markeret potentielle OPFOR tidligst muligt i processen ( gerne real-time ) for at kunne reagere på dem. Dette betyder, at latency skal være lav og algoritmerne i top ( ideelt ingen falske positiver ). Her melder den virkelige verden sig så : Forsinkelser, nedbrud, nedlukning af netværksenheder samt falske positiver.

Tager man hele det psykologiske aspekt i det, så kan pkt 5 faktisk være med til alt levere reelle OPFOR ved at skabe had mod et system, som udpeger medlemmer af en befolkningsgruppe ( det være sig etnisk gruppering, interessegruppe, politiske overbevisning etc. ) som OPFOR.

"Person of Interest" er fiktion...

Heino Svendsen

Fordi det kun er metadata der logges har data lille interesse for hackere (og mange andre)

Cederberg, selv meta data kan have interesse. Lad mig give et eksempel :

Ved at få en liste over hvem, som logger på et website, hvor brugerne er i besiddelse af genstande, som har interesse for visse grupperinger, kan man "vaske" data og sammenholde dem med adresseinformationer og sociale medier og derved skabe en liste over personer, som kunne være interessante at "besøge". Denne liste kan derved sælges videre til nævnte gruppering, som derefter kan opsøge disse personer og tiltvinge sig adgang til nævnte effekter. Disse effekter kan sælges videre og anvendes til ulovlige forhold.

Eksemplet er ikke grebet ud af luften, idet en sådan liste rent faktisk ER blevet produceret ud fra de givne metadata, og selve sikkerhedsbristen er blevet meldt til rette instanser.

Anne-Marie Krogsbøll

Tak for den grundige uddybning, Heino Svendsen. Det lyder sandsynligt, at vi måske ikke i Danmark har ressourcer til at udnytte disse data, hvis jeg forstår din pointe rigtigt. Men før jeg kan lægge min mistanke om, at Watson lurer i kulissen, helt i graven, har jeg lige et følgespørgsmål:

Er det ikke i forvejen lige præcist det, som BigData-udnyttelse af Face book-data, Google-data, Twitter-data og diverse webshop- o.l. indebærer? Så der må vel være nogen et eller andet sted, som kan overkomme disse opgaver? Jeg kan sagtens helt have misforstået dette - men i givet fald, er risikoen så ikke, at Danmark blot kobler sig på nogle større aktører, som faktisk godt kan klare denne meget ressourcekrævende opgave?

Og i så fald er vore data ikke bare indsamlede, men spredt for alle vinde i hele verden....

Frithiof Jensen

... der er også lige det at "forbrugernes" trafik på internettet vokser med godt 20% om året, hvilket betyder at "overvågnings-kapaciteten" skal fordobles cirka! hvert 3 år.

Når vi kender prisen for "år nul", så kan vi regne ud hvornår "en strisser i hvert hjem" vil väre billigere i drift end masseovervågningen.

http://www.cisco.com/c/en/us/solutions/collateral/service-provider/ip-ng...

Heino Svendsen

Krogsbøll, det var da så lidt.

Alle disse data kan anvendes til at give input til et overvågningsprogram. Dvs. udpege potentielle OPFOR, som efterfølgende skal overvåges nøjere.

Hvis vi leger med tanken om, at [indsæt 3 bogstavsforkortelse her] kan behandle data og levere en liste over potentielle OPFOR, og landet ( DK ) kan få del i denne liste, så kan Etaten teoretisk afsætte ressourcer til at følge op på disse positiver og potentielt set imødegå trusler fra nævnte positiver. Tænker man, at man har adgang til alle data og al tilgængelig datakraft samt "perfekte" algoritmer, så kan man teoretisk set komme tættere på "Minority Report" lignende tilstande, dvs. standse forbrydelser, FØR de begås. En fuldstændig udvidelse af systemet kunne jo indbefatte, at man opsatte videoovervågning over alt og linkede disse med enten "Blades" eller miniature droner, som automatisk kunne imødegå en trussel. Hyundai ( mener jeg ) har allerede en sentry til beskyttelse af bl.a. grænser og / eller fængsler.

Mogens Ritsholm

Tak for den grundige uddybning, Heino Svendsen. Det lyder sandsynligt, at vi måske ikke i Danmark har ressourcer til at udnytte disse data, hvis jeg forstår din pointe rigtigt. Men før jeg kan lægge min mistanke om, at Watson lurer i kulissen, helt i graven, har jeg lige et følgespørgsmål:

Jeg tror måske i overvurderer problemet med at analysere datamængder. Politiet kan kun bede om registreringer fra en bestemt kunde. Det kan være millioner.

Men det bør ikke være et problem at analysere dem med standard værktøjer.

Problemet er, at man står tilbage med en stor mængde IP-adresser uden mindste spor af, hvad der egentlig er foregået i relation til disse.

Så jeg tror ikke på, at det kan bruges til konkret efterforskning i nævneværdig grad.

Derimod ser jeg en anden mulighed.

Hvis lovgrundlaget skrider eller vi befinder os i "krigstilstand" kan det tænkes, at FE får adgang til alle data fra alle de lidt større udbydere. Det bliver også i billionklassen af oplysninger. Det kan bruges til profilering, selv om det ikke er nyttigt til konkret efterforskning.

FE har som bekendt rigtig kraftig computerkraft til at sortere ned og analysere. Den maskinpark er anskaffet til direkte aflytning på internationale forbindelser, så vi kan måle os med tjenesterne i andre lande - f.eks. FRA i Sverige. FE og FRA er de offentlige institutioner, der har de hurtigst voksende budgetter

Så det er ikke kun teori, at logningsdata kan bruges til profilering.

Jeg har ikke læst alle jeres tråde, så jeg håber ikke dette bidrag er helt ved siden af.

Jesper Lund

Som sagt mener jeg godt man kan beskytte disse data. Enkeltvis er de enkelte logentries ikke sensitive. De massive mængder gør at man ikke lige kan downloade data.

Hverken Rigspolitiet eller CSC aner hvor store datamængder der blev exfiltreret fra den meget "sikre" mainframe hos CSC. Men den var forbundet til internettet med en lidt hurtigere forbindelse end et 56K modem, og den var under hackernes kontrol i en længere periode, mens Rigspolitiets folk drak kaffe, spiste citronhalvmåne og ignorerede mails fra svensk politi om at Rigspolitiet og CSC nok var blevet hacket. Så who knows..

Det vurderes at der ved hacket mod Sony er blevet exfiltreret mange mange TB data, omend "kun" 40 GB er frigivet til journalister
http://gizmodo.com/the-sony-pictures-hack-exposed-budgets-layoffs-and-3-...

Så nej, jeg er ikke helt rolig.

Anne-Marie Krogsbøll

Tak Heino og Mogens.

Jeg konkluderer muligvis helt forkert ud fra min begrænsede forståelse, men jeg forstår jeres svar samlet set som bekræftelse på, at disse data, under visse særligt (uheldige, vil jeg mene) omstændigheder godt vil kunne bruges til, selvfølgelig med den vis fejlmargin, at overvåge mere eller mindre hele befolkningen - ressourceforbrug eller ej. Det er blot et spørgsmål om, om politikere med agt og magt beslutter det.

Håber ikke, at jeg mistolker jer.

I sidste ende er det jo så spørgsmålet om, om man tror den situation vil opstå. Har vi lyst til at løbe den risiko? Jeg har ikke.

Frithiof Jensen

.... men i givet fald, er risikoen så ikke, at Danmark blot kobler sig på nogle større aktører ...


Det allermest sandsynlige er at "Danmark's" regering i mange år sendte alt til "större aktörer" under den gamle logningsbekendtgörelse og at et eller andet "for nyligt" - EUROPOL afstemningen?, noget på vej i WikiLeaks, trusler om at sidde med ved börnebordet i fremtiden på grund af "kontraktbrud" - har rystet "systemet" så man helt pludseligt og pinedöd er nödt til at göre masseovervågningen "lovlig" og absolut uden hensyn til praktiske ting som: Jura, Teknik, Ressourcer, Resultater samt R.O.I.

Der er noget panisk over hele forlöbet, synes jeg.

Frithiof Jensen

Tænker man, at man har adgang til alle data og al tilgængelig datakraft samt "perfekte" algoritmer, så kan man teoretisk set komme tættere på "Minority Report" lignende tilstande, dvs. standse forbrydelser, FØR de begås.


Det er faktisk endnu federe: Eftersom hele vurderingen af om en given person er en trussel foretages af Machine Intelligence (MI) så findes der, p.t. ikke nogle konkrete beviser på hvad der i givet fald gör at systemet "ser" en trussel (Der forskes aktivt i at få MI'er til at forklare hvordan algoritmen når frem til et bestemt resultatet). Dernäst - så er algoritmer, datacentre, processen, parametre hemmelige - af "sikkerhedshensyn".

Vi får, m.a.o. et automatisk orakel som siger: "terrorist", "börnelokker", "hashhandler", "skattesvindler", et cetera, til myndighederne, som så skal reagere på truslerne.

Oraklet er en computer så allerede dér bliver processen nästen ufejlbarlig.

Men, vi fölger naturligvis EDB-traditionen. Denne siger at: Registrering + Klassificering er helt automatisk, de modsatte operationer vil väre en underbemandet manuel proces med mange formularer og personligt fremmöde. Det vil sandsynligvis väre nemmere at retsforfölge en terrorist, som ikke er det, end det er at rette fejlen.

Så, helt pludseligt, vil der väre terrorister og forbrydere overalt og folketinget må Göre Noget -> ögede bevillinger og större beföjelser!

Det vil med tiden gå op for "myndighederne" at man kan optimere processen ved bare at köre ud om natten, hente dem man ikke kan lide for tiden og så fikse datagrundlaget bagefter (man kan bare bruge en "reverse MI" til at genere data). Ingen udenforstående kan alligevel kontrollere processen og vi kan nakke dem der spörger.

René Nielsen

Alle disse data kan anvendes til at give input til et overvågningsprogram. Dvs. udpege potentielle OPFOR, som efterfølgende skal overvåges nøjere.


Jeg synes at Sorte Søren og hans disciple skulle læse denne artikel og så tænke lidt over hvad en sessionslogningsdatabase er værd for et profileringsprogram som “Skynet”! Et program som har været aktivt i flere år.

http://www.version2.dk/artikel/sjuskede-algoritmer-i-skynet-programmet-t...

Dem som skulle være i tvivl så er en sessionslogningsdatabase som det tegner i øjeblikket ikke en honningkrukke – det er et hav fyldt med honning.

Jesper Lund

Hvis lovgrundlaget skrider eller vi befinder os i "krigstilstand" kan det tænkes, at FE får adgang til alle data fra alle de lidt større udbydere.

En sådan adgang har UK (MI5 m.fl.) haft i 10+ år uden at nogen var klar over det, via en fortolkning af en uklar bestemmelse i teleloven, som ingen anede blev brugt til dette formål. Nu skrives bulk adgang ind i Investigatory Powers Bill som en videreførelse af allerede kendt og "accepteret" praksis.

Så, you never know..

Mogens Ritsholm

Man kan lige så godt se det i øjnene.

Vi er på vej mod det totale overvågningssamfund.

Når kommercielle interesser og statens interesser driver det, kan det simpelthen ikke stoppes.

Vi overvåges via logning af teleselskaber. Vi overvåges endnu mere på nettets tjenester af kommercielle interesser. Og så har staterne - i Danmark FE - en massiv overvågning af forbindelser gennem og ud af Danmark. En overvågning, der også aflæser indhold.

Politikerne kan ikke styre det. De vedtager tilmed love om udvidelse og øgede midler til den direkte overvågning, som FE gennemfører i samarbejde med andre landes tjenester.

Det kan ikke standses, og samarbejdet mellem kommercielle og statslige interesser vil stille og roligt blive udvidet med stadig mere samkøring af data indtil både kommercielle interesser og staten har det totale overblik over dig og dit liv via de spor, som du efterlader dig.

Men sessionslogning er simpelthen for dumt. Det er et forsøg på at bidrage til overvågningen via de gamle midler, som man har hjemmel til på teleområdet. Det er som at registrere alle fodspor med længde og bredde uden at vide hvad der er sket over skohøjde.

Så alene af den grund skal det afvises.

Men på et eller andet tidspunkt kommer der bedre forslag. Sandsynligvis bliver det hjemler til at samarbejde mere med den kommercielle overvågning. Og sandsynligvis vil det blive via lovforslag, som kun "tjenesterne" forstår.

Man kan også se det som en magtkamp. Det nationale politi og PET vil blive svækket i forhold til FE og deres samarbejde med andre landes overvågning. For de overvåger jo også oplysninger, der slipper ud fra Danmark. Og det er meget mere end de fleste tror.

Det prøver politi og delvist PET så at imødegå ved at foreslå mere national logning, hvor systemet er indrettet til at betjene netop politi og PET.

Jeg ved ikke hvad man skal gøre ved den samlede udvikling ud over at forberede sig på dens konsekvenser.

Men igen. Sessionslogning er for dumt, og der ligger en temmelig sikker skandale i det fremadrettet, hvis Søren Pind insisterer. Det vil koste politisk for både ham og Venstre.

John Foley

Stor respekt og tillid til din ekspertise og indsigt Mogens. Jeg ved godt at det er en kamp op ad bakke, men nogen må sige fra og afløse ord med handling. Derfor gennemfører jeg med mange andre en konference og debatmøde på Christiansborg den 25. februar 2016. Alt for mange beføjelser er givet til bla. FE og PET, uden politikernes forståelse eller indsigt i hvad de gør. Det skal der gøres noget ved, og vi skal derfor hurtigst muligt have oprettet et uafhængigt råd, der kan blive demokratiets og retssikkerhedens vogtere, ligesom man allerede har gjort i lande vi normalt sammenligber os med, bl,a Holland og Norge,

Anne-Marie Krogsbøll

Sandsynligvis bliver det hjemler til at samarbejde mere med den kommercielle overvågning. Og sandsynligvis vil det blive via lovforslag, som kun "tjenesterne" forstår.


Ja, det er det, jeg frygter. Det er derfor, problematikken hænger sammen med Offentlighedsloven. Et samfund, der kommer til at fungere, som det beskrevne, er til at få kvalme og mareridt over, og det er ikke længere værdigt til at blive kaldt et demokrati.

Et nødvendigt (omend sikkert afmægtigt) første krav må være at afskaffe den forbandede Mørklægningslov, i ly at hvilken alle disse tiltag sniges igennem. Den er ikke andet end et maskeret kup mod folkestyret.

http://www.skrivunder.net/nej_tak_til_den_nye_offentlighedslov

Mogens Ritsholm

@John Foley

Tillad mig at foreslå, at I specielt interesserer sig for FEs aktiviteter og en eller anden form for kontrol i lighed med kontrollen med FRA i Sverige og vist også tilsvarende i UK.

Selv om det er op ad bakke kan vi i det mindste forlange en vis indsigt i og demokratisk kontrol med det, der sker for borgernes penge.

Michael Cederberg

Er det ikke netop den slags opgaver f.eks. IBM's Watson er sat i verden til at kunne håndtere?

Det svære her er at flytte de store datamængder til din supercomputer (eller grid-computer/whatever). De datamængder vi snakker om er så enorme at man ikke nemt kan flytte dem til et sted.

I givet fald: Hvis f.eks. Watson - eller en anden forskermaskine - ville kunne håndtere denne opgave, og både Skat, politi og etc. meget gerne vil bruge disse data, tror du så ikke, at det kun er et spørgsmål om tid, før de får både tilladelse og penge til at proppe disse data ind i en sådan forskermaskine?

Her er vi beskyttet af datamængden og lovgivningen. Så stem på nogle politikere der ikke vil tillade at data samles på den måde. Noget helt andet er så at disse data måske ikke er de mest oplagte at mine for sådan en kværn (pga. alle de problemer vi tidligere har snakket om).

I en dystopi kunne jeg forestille mig følgende koncentreret i Big Brother computeren:

  • Maste data fra teleselskaberne (kan vise din lokation ned til et par hundrede meter)
  • Data om telefonsamtaler (nemt at bruge fordi man kender begge ender)
  • Kreditkort data
  • Nummerplade oplysninger fra trafikkameraer (der er vi næsten)
  • Ansigtsgenkendelse af ansigter fra kameraer i offentlige trafikmidler (her er et stykke vej igen)
  • Logning af al trafik to offentlige websites og VPN servere
  • etc. etc.

Langt nede på listen kommer IP sessionlogging.

Anne-Marie Krogsbøll

Tak for svaret, Michael Cederberg.

Her er vi beskyttet af datamængden og lovgivningen. Så stem på nogle politikere der ikke vil tillade at data samles på den måde.


Det betragter jeg ikke som nogen beskyttelse. Det er sjældent, at det er de politikere, jeg stemmer på, som får noget at skulle have sagt.

Og mht. datamængden så er udviklingen de seneste mange år gået langt hurtigere, end vi har haft fantasi til at forestille os. Nu kan man få memorykeys med hundredevis af GB for få hundrede kroner - hvem havde troet det for 15 år siden? Så jeg tror simpelthen ikke på, at den barriere holder ret længe.

Jeg har den samme frygt, som du remser op, mht. hvad disse maskiner kommer til at tage magten over. Det er jo bare ikke noget argument for, at sessionslogningsdata ikke også meget hurtigt kan komme på listen.

Men jeg er da blevet lidt nysgerrig. Arbejder du selv med disse ting? Har du nyere insiderviden, siden du ikke tager Bonnichsens insiderviden så alvorligt?

Michael Cederberg

Dette betyder performance nedgang ( sløvere systemer, langsommere Facebook og sløvere NetFlix ) - sure brugere.

Man kan godt lave logningen helt passivt, sådan at den ikke sløver noget ned. Hvis logningssystemet har en max kapacitet så er der noget der ikke bliver logget. Det er i denne sammenhæng ikke så vigtigt. Man vil stadigvæk kunne få nok til at kunne se sessions. Det er heller ikke noget problem at få data gemt. Et lidt større problem er at gøre data søgbart.

Jeg tror måske i overvurderer problemet med at analysere datamængder. Politiet kan kun bede om registreringer fra en bestemt kunde. Det kan være millioner.

Ovenstående scenarie er analogt med at bede teleselskaberne om information om hvem der er ringet til. Der er ingen offentligt kendte tilfælde hvor dette er misbrugt. Og i mine øjne er det blot almindelig kriminalitetsbekæmpelse.

Ja det ses ret tydeligt - og hermed agter jeg ikke at spilde mere tid på dig, da din argumentation kun kan anses for trolling.

Fornøjelsen er helt på min side Hr. Nobel.

Så det er ikke kun teori, at logningsdata kan bruges til profilering.

Det er helt rigtigt at logningsdata kan bruges til profilering. Fx. ville det være interessant at finde alle der bruger IzNoGoodCorporation's VPN server i Pakistan. At bruge det til profilering af "almindelige" danskere er på den anden side meget sværere. Jeg tror man bliver meget klogere hvis man miner data fra bankerne.

Hverken Rigspolitiet eller CSC aner hvor store datamængder der blev exfiltreret fra den meget "sikre" mainframe hos CSC. Men den var forbundet til internettet med en lidt hurtigere forbindelse end et 56K modem, og den var under hackernes kontrol i

Men her snakker vi om meget større datamængder (jeg er fx ret sikker på at jeg kan have hele CPR registret på min mobiletelefon). En hacker skal i øvrigt også finde ud af at knytte IP adresse til personer - ligesom myndighederne - som mange har sagt tidligere er det ikke nemt.

Politikerne kan ikke styre det. De vedtager tilmed love om udvidelse og øgede midler til den direkte overvågning, som FE gennemfører i samarbejde med andre landes tjenester.

Selvfølgeligt kan det styres og reguleres så længe det sker indenfor landet grænser. Det er derfor vi har denne diskussion. Det svære bliver når vores kommunikation skal udenfor landet grænser. For der bliver den med ret stor sikkerhed logget.

Tillad mig at foreslå, at I specielt interesserer sig for FEs aktiviteter og en eller anden form for kontrol i lighed med kontrollen med FRA i Sverige og vist også tilsvarende i UK.

Enig!

Heino Svendsen

Hvis lovgrundlaget skrider eller vi befinder os i "krigstilstand" kan det tænkes, at FE får adgang til alle data fra alle de lidt større udbydere. Det bliver også i billionklassen af oplysninger. Det kan bruges til profilering, selv om det ikke er nyttigt til konkret efterforskning.

Jeg har tilladt mig at bryde ovenstående ned i 2 dele :

  1. Vi er allerede en krigsførende nation, hvorfor en lang række regler træder i kraft og dermed giver øgede beføjelser til de forskellige værn og instanser ( fx. MIL-SIK ). Dette faktum er blot ikke lige udbredt viden.

  2. Profilering kan være ret så interessant, når man påtænker selve forebyggelsen af hændelser. Dvs. man leder efter personer, som passer til en profil. For at gentage mit eksempel med Breivik, så kan myndighederne blot besøge logen Kosmos i Helsingør, hvorved de i hvert fald fil finde 3, som passer til dén beskrivelse, ( og 1-2, som kører spritkørsel min. en gang ugentligt ). Betyder det, at disse 3 personer er terrorister? Umiddelbart ikke, men profilen passer, så man bør nok lige "håndtere dem".

Problematisk bliver det, når man går mere og mere over til "Machine Learning" ( som nævnt ). Bevisbyrden burde blive tungere, men spørgsmålet er så, om tilliden ( fra Etatens side ) er så stor, at det bliver "fordi Big Brother siger det". Retssikkerheden er efter min mening i forvejen under pres, hvorfor et sådant system blot vil forringe den yderligere.

Og en anden ting : Sneaker Post er et langt mere effektivt system, når man ønsker at undgå elektronisk overvågning. Her vil et omfattende CCTV system ( naturligvis med persongenkendelse [ ud fra gang / ansigter ] ) være at foretrække.

Bjarke Jørgensen

@John Foley:

Du nævnte at der stadig var få pladser tilbage til debatmødet - er det stadig muligt at komme med? Faktisk vil det, udover at have personlig interesse, kunne være studierelevant - i den forbindelse er jeg lidt nysgerrig mht. til et lidt mere detaljeret program.

Anne-Marie Krogsbøll

Heino:

Suk - det ville jeg helst ikke vide :-( Og dog - det er ikke så dårligt at få sine fordomme bekræftet, så man kan manøvrere efter det.

Og nogle folketingsmedlemmer har noget at skulle have sagt, tror jeg. Det er bare de forkerte - f.eks. en vis minister, der solgte DONG:

Jens Jönsson

Men intet redsskab kan erstatte god efterforskning og det, at man i det mindste bruger redskaberne til at holde øje med oplagt mistænkte. Og meget tyder på, at det er helt glippet i krudttøndesagen.

Og det er jo faktisk en temmelig vigtig pointe, som hverken politikere eller politiet er klar over. De tror sessionslogning er den hellige gral.

Min påstand vil være at det vil være indtil det nøjagtige sekund de får tilsendt en log, og skal finde spor af værdi i den. De vil i min optik drukne i ligegyldige sessionslogninger, som gør at de intet kan udlede af loggen.
Samtidigt er der stor risiko for fejl. F.eks. hvis de får tilsendt flere logs. Hvis tiden ikke er synkroniseret 200%, så er fejl mulighederne alt alt for store, hvis de skal sættes op imod hinanden...

Jeg tænker, at med det tidspres der mange gange ligger på at opklare sager, så vil man springe sessionsloggen over, da de informationer man kan hive ud, i det store billede er uinteressant ifht. tidsforbruget på at gennemgå loggen efter relevant information. Man skal jo huske på at det som udgangspunkt vil være formodninger det man leder efter....
Lad os tage Skype som eksempel. At der i loggen står at Skype har kontaktet en eller anden IP-adresse, beviser jo intet. Du kan som sådan ikke se hvad der er foretaget og hvad beviser det så ? Det vil være formodning, formodning og atter formodning.
Læg dertil de fejl, som tydeligvis nemt kan opstå. Se bare Christian Panton, som har gennemgået den sessionslog over ham selv han fik udleveret.
Der var kontakt til servere han absolut ikke mente at have kontaktet.

Og hvis jeg var bandit, så vil det nemmeste være at få laver en trojaner, som kan installeres på en eller anden intetanende persons computer. Jeg ville benytte en server hos f.eks. Amazon, lave en tunnel til den inficerede computer over port 443 (https, så er trafikken krypteret) og så ville jeg ellers Skype og alt det andet skidt den vej fra.
I sessionsloggen kan man så se at den inficerede computer har kommunikeret med en server hos Amazon over https.
Fortæl mig gerne hvilken kyndig person der kan gennemskue, hvilken form for information det er.....

Christian Nobel

http://www.dr.dk/nyheder/indland/forbrugere-beskyldes-ulovlig-download-a...

Nu har sidegadeadvokaterne sendt næste bølge af trusselbreve af sted, angivelig adskillige tusinde.

Disse breve er sendt ud fra dels brugen af et ulovligt program (http://www.version2.dk/comment/318121#comment-318121), og efterfølgende en, på et meget spinkelt grundlag, ukritisk udlevering af IP oplysninger til private aktører.

Hvis det er så nemt for medieindustrien af få en dommerkendelse til udlevering af oplysninger, hvad skulle så forhindre tilsvarende lemfældig omgang med sessionsovervågningsdata?

Jens Jönsson

Vi overvåges via logning af teleselskaber. Vi overvåges endnu mere på nettets tjenester af kommercielle interesser. Og så har staterne - i Danmark FE - en massiv overvågning af forbindelser gennem og ud af Danmark. En overvågning, der også aflæser indhold.

FE har også masser af computerkraft til at behandle data med. Det finder man ud af, når man besøger Bornholmertårnet.
Tror faktisk at det er få danskere der kender og har hørt om Bornholmertårnet. 2 store serverrum og en kæmpe bunke fiberkabler. Derudover nødstrøms- og køleanlæg der kan gøre enhver hostingcenter ejer misundelig.

Mogens Ritsholm

Fortæl, fortæl.

Det er nu lukket.

https://fe-ddis.dk/om-os/Organisation/lokaliteter-i-dk/Pages/tidligere-l...

FE benyttede placeringen på Bornholm til at lytte til radiosignaler. Det var ikke så meget direkte aflytning. Men ved en militær operation er øget radioaktivitet i et område et af de tidligste tegn på forestående aktivitet.

I dag er hovedaktiviteten at aflytte kabler ud af Danmark og gennem Danmark. Og denne operation er stærkt stigende. Senest fik de øgede bevillinger efter krudttønden, selv om denne terrorsag intet havde at gøre med FEs aflytning.

Man har den opfattelse, at man lytter uden for dansk jurisdiktion, selv om det egentlig foregår på dansk jord. Man lytter således også til danskere i Danmark, der kommunikerer med udlandet og intern dansk trafik, hvoraf dele smutter ind og ud over grænsen. Det sker oftere end man tror.

De har meget kraftige computere til deres analyse af det aflyttede, og deres primære center ligger vist på Amager.

I Sverige driver FRA (forsvarets Radio Anstalt) en lignende virksomhed. De har 600+ ansatte og et budget på knap 1 mia skr. Vi er i FE godt på vej til samme niveau.

Forskellen er, at Sverige har været meget åbne om det, mens man i Danmark reelt har holdt det hemmeligt.

Mogens Ritsholm

Tak for uddybning, Mogens Ritsholm. Det lyder uhyggeligt

Måske forstår du så også hvad jeg mente, når jeg tidligere i tråden sagde, at magten glider fra politi over PET til FE, og at sessionslogning kan ses som et fortvivlet forsøg på at imødegå dette fra politiets side, mens PET allerede i stigende grad vender sig mod FE.

Det er selvfølgelig et meget groft billede, men jeg ser i hvert fald tendensen. Men egentlig skyldes det jo internationaliseringen af tele/IT og de stramme retssikkerhedsmæssige vilkår, som man er underkastet på det nationale område, mens FE kun er begrænset af loven om FE og forsvarsministerens instruks for deres virksomhed.

Anne-Marie Krogsbøll

Mogens Ritsholm:

Jeg begynder at forstå det, men jeg må indrømme, at jeg ikke er så god til detaljerne i den slags. F.eks. var det ikke gået rigtigt op for mig, at sessionslogning er politiets værktøj - ikke PET's og FE's - er det rigtigt forstået?

Men hvis det er rigtigt forstået - er det så ikke bare et spørgsmål om tid, før sessionslogning også bliver FE's værktøj - hvor det så er helt uden for kontrol?

Og så er Politiet vel igen kørt agterud?

Jeg frygter, at jeg med disse spørgsmål røber, at jeg ikke fatter en disse. Men så håber jeg da i det mindste at blive klogere nu.

Mogens Ritsholm

Sessionslogning vil være politiets og PETs værktøj på det nationale område. FE arbejder som udgangspunkt slet ikke på det nationale område. I respekt af arbejdsdelingen vil de næppe bede om en dommerkendelse.

Men læg mærke til, at PET er helt tavse i sagen om sessionslogning. For med de seneste lovændringer læner de sig i stigende grad op af FE, selv om de nærmere rammer for dette samarbejde er mig noget uklart.

FE interesserer sig ikke for sessionslogning. For deres aflytning er helt uden for dansk jurisdiktion. De kan f.eks. aflytte alt på et kabel til Sverige eller en transitforbindelse gennem Danmark. Så de går selvfølgelig helt ned i indholdet, dvs. aflytning af tale, signaludveksling eller indholdet af mails mv. Sessionslogning er totalt uinteressant, når man har adgang til det faktiske indhold

Oprindeligt var FEs virksomhed kun rettet mod udlandet. Men med internationaliseringen fanger de også interessant information om danskere i Danmark, danskere i udlandet osv. Og faktisk kan du jo ikke på en aflyttet mail mellem postservere se, hvor afsender og modtager befandt sig

Så de får alt i trawlet.

Spørgsmålet er så, om de også må analysere det aflyttede mellem to danskere i Danmark på denne måde, eller de straks skal smide det væk. For selv om de ikke er underkastet dansk lovgivning, er det jo alligevel lidt underligt, hvis forudsætningen om mistanke og retskendelse kan omgås på denne måde.

Eneste begrænsninger for FE findes i loven om FEs virksomhed og forsvarsministerens instruks.

Og her er der sket et skred, hvor man i hvert fald med seneste lovændring har fået ret til at gå ned i indholdet for danskere i udlandet. Men hvordan ved man, at det er en dansker? Hvordan ved man hvor de kommunikerende parter befinder sig? Kan man uden begrænsning videregive oplysningerne til andre landes efterretningstjenester? osv.

Tele/IT er i stigende grad internationalt. Der er ikke det skarpe skel mellem national og international trafik. Og FEs metoder kommer derfor i stigende grad til at fange national trafik. Hvordan håndteres det egentlig, selv om det er uden for grundlovens rækkevidde?.

Disse spørgsmål blæser lidt i vinden over Amager. I det mere åbne system om FRA i Sverige har disse spørgsmål også været rejst i forhold til svenskere. Men de er ikke blevet besvaret helt knivskarpt. De siger som udgangspunkt, at de sortere alt om svenskere i Sverige fra. Men hvordan kan de se det?

Staten må selvfølgelig forsvare sig mod trusler mod den. Og jeg skal ikke kunne sige, om det der foregår i FE er rimeligt.

Men jeg synes det er et problem, at der ikke er mere offentlighed om det og snævrere kontrol med det.

Og der er i hvert fald en eller anden mangel på balance mellem politiets vilkår på det nationale område og FEs råderum uden andet grundlag end forsvarsministerens instruks og den meget tågede lovgivning om FEs virksomhed.

Og det er jo ikke underligt, at indgreb i meddelelseshemmeligheden bevæger sig derhen, hvor den mest frit kan gennemføres, hvorefter man så udvider samarbejdsmulighederne mellem FE og PET..

Jeg ved ikke præcist hvordan det foregår. Men i Sverige sagde FRA på et tidspunkt, at de typisk brugte mere end 300.000 kriterier for at lutre det aflyttede ned til potentielt interessant indhold. Det er også derfor, at de skal bruge supercomputere.

Det siger lidt, selv om metode og omfang er ukendt. FRA skal have tilladelse fra et udvalg for hvert kabel, der inddrages i aflytningen. Men det er i øvrigt ikke offentligt kendt.

I Danmark ved vi intet. Men jeg fornemmer som sagt, at forslaget om sessionslogning på det nationale område også må vurderes i relation til efterforskningens bevægelse mod PET og FE. En bevægelse, hvor PET jo også har fået nye hjemler i al almindelighed.
.

Heino Svendsen

Og så er Politiet vel igen kørt agterud?

Det er sådan, at der foruden inter-værn-rivalisering og findes værns-nedstirren.
Hierakiet er FE -> PET -> Politiet. Dvs. der er en udbredt holdning om, at PET ikke helt ryger op på siden af FE, men at Politiet blot er skraldemændene / P-vagterne... Folk vil naturligvis hævde, at alle arbejder sammen i én stor, lykkelig "familie".

Tidligere var Politiet blevet advaret om, at store mængder ulovlige våben var på vej fra Østblokken. Dette afviste Politiet, idet "FE skulle holde snitterne fra Danmark". Og politikerne slog ned på sportsskytter etc. for det MÅTTE jo være dér, våbnene kom fra. Hvor mange sportsskytter har lige en VZ61 Scorpion liggende? Det tog Politiet 7 år at erkende, at våbnene stammede fra Østblokken.

Ansvaret for nationens sikkerhed bør ligge hos de, som har forstand på det, og ikke hos en samling udvidede p-vagter. Det sagt, så kan dette også være en glidebane, idet magt korrumperer.

Mogens Ritsholm

Puhhh, jeg bliver helt rundtosset. Jeg må ud og købe en tykkere sølvpapirshat

Tag den af igen. For det er vigtigt, at så mange som muligt forstår det.

Jeg tror nøglen er forståelsen af, at FE arbejder helt uden for dansk jurisdiktion på dansk jord mht. aflytning og at de er alene er underkastet deres egen lov og forsvarsministerens instruks.

Jeg kan godt forstå, at det er svært at kapere. Men når først det er forstået, tror jeg det bliver meget klarere.

Christian Nobel

Jeg tror nøglen er forståelsen af, at FE arbejder helt uden for dansk jurisdiktion på dansk jord mht. aflytning og at de er alene er underkastet deres egen lov og forsvarsministerens instruks.

Men giver det ikke et stort problem, eksempelvis hvis regimet deklarerer undtagelsestilstand, for så er det jo andre juridiske spilleregler der gælder?

Det vil det selvfølgelig være under alle omstændigheder, men udbyttet afhænger jo meget af hvordan jorden er gødet (eller som Herremand Pind, der jo er den store landbrugsekspert, ville sige: Jorden gødes efter vi har set udbyttet).

Mogens Ritsholm

Men giver det ikke et stort problem, eksempelvis hvis regimet deklarerer undtagelsestilstand, for så er det jo andre juridiske spilleregler der gælder?

Det kan jeg ikke lige se. For med undtagelsestilstand vil beføjelserne jo blive udvidet på det nationale område for FE og andre myndigheder. Herunder beføjelser til aflytning på det nationale område mv. Men man skal jo også have evnen. Kun FE kan lave masseaflytning i DK. Det har måske kostet 1 mia. og taget 10 år at opbygge, og de kan ikke nemt omkonfigurere til interne danske forbindelser.

Christian Nobel

Det kan jeg ikke lige se.

Nu holder jeg det op mod sessionsovervågningen, hvor der bliver indsamlet uhyre mængder af metadata op.

Jeg mener ikke der er grund til at servere data på et sølvfad, hvis der sker et magtskifte, som giver FE fri adgang til disse data i jagten på "skadelige elementer"

Anne-Marie Krogsbøll

Heino:
Det er jeg ked af - min eneste trøst er, at det lille pus selv har været ude om det (har været på afveje..)

Må vist hellere stoppe her med at elaborere på dette - er dels i stærke vendinger netop blevet bedt om at undlade mine usaglige kommentarer på version2, dels er jeg ked af, at FE nu også har fået min søde samlever ind på lystavlen - det var ikke meningen (mon han kan kræve indsigt og sletning?).

Heino Svendsen

Må vist hellere stoppe her med at elaborere på dette - er dels i stærke vendinger netop blevet bedt om at undlade mine usaglige kommentarer på version2, dels er jeg ked af, at FE nu også har fået min søde samlever ind på lystavlen - det var ikke meningen (mon han kan kræve indsigt og sletning?)

Spøg til side.

Det koster at stikke snuden for langt frem. Én af mine venner debatterede en del omkring NEM-ID / Sikkerhed samt bloggede om forskellige IT-relaterede nyheder og projekter. Han blev udsat for indbrud og fik en henvendelse, som gjorde ham lidt tavs... Han nægter til dags dato at tale om det :-(

Jesper Lund

Det kan jeg ikke lige se. For med undtagelsestilstand vil beføjelserne jo blive udvidet på det nationale område for FE og andre myndigheder. Herunder beføjelser til aflytning på det nationale område mv. Men man skal jo også have evnen. Kun FE kan lave masseaflytning i DK.

FE har formentlig allerede noget liggende, som er ret tæt på en fuld sessionslogning af danskerne.

Det er meget hemmeligt hvad FE gør, og FE har haft held til at sikre sig mod whistleblowers ala Snowden, så konkret ved vi meget lidt om hvad FE gør ("ingen grund til at tro...", eller hvad man nu er til).

Men FE har nok noget nær det bedste lovgivningsmæssige udgangspunkt i Europa for at lave masseovervågning på internettet, også af danskerne. GCHQ må være dybt misundelige over de juridiske rammer, selv om GCHQ uden tvivl har bedre tekniske evner og større budgetter end FE.

1) FEs indhentning er fuldstændig ureguleret, sålænge aktiviteten kan siges at være rettet mod "forhold i udlandet". Det står direkte i FE-loven. I UK tvinges GCHQ i stigende grad (i takt med at sager tabes ved IPT, eller at Snowden afsløringerne ruller videre i medierne) til at lave "codes of practice", og man taler om "quality of law", altså at det skal være forudsigeligt for borgerne hvordan staten eventuelt kan indskrænke deres ret til privatliv.

2) Der er stort set ikke noget tilsyn med FE. Den smule tilsyn der er (TET) beskæftiger sig kun med persondatabehandling for i Danmark hjemmehørende personer, når oplysningerne er identificeret som værende for sådanne personer, og de er gemt i mere end 6 måneder. Go figure, hvilke rammer det skaber. Selve indhentningen, herunder at hacke Belgacom, kan FE lave uden at blive generet af nogen. I UK kommer GCHQ m.fl. en gang i mellem lidt i defensiven i sagerne ved Investigatory Powers Tribunal (IPT). For eksempel skal man i UK give meddelelse til dem, som er blevet overvåget ulovligt. Det bruger vi ikke i Danmark. For mange rettigheder til borgerne..

3) Ingen interesseret sig for Danmark (uden for Danmark), så FE og Folketinget kan slippe af sted med stort set hvad som helst, uden at nogen sender et "vi ses i Strasbourg" postkort. Specielt for udlændinge vil det ellers være ret nemt at starte en sag mod den danske stat. De nationale klagemuligheder er per definition udtømt inden man går i gang, så sagen kan starte direkte i Strasbourg. I UK er alle nødt til at gå til IPT først, som minimum. Men ingen gider Danmark. GCHQ/UK er et mere strategisk angrebspunkt for strategic litigation, som det hedder på aktivistsprog. Forståeligt, naturligvis.

4) Danmark er et lille land, så en meget stor del af vores internettrafik ryger til udlandet, hvor FE har mulighed for at tappe den.

Selv trafik til danske websites, som bliver i Danmark, vil indeholde tredjepartselementer (Facebook, Google Analytics, etc etc), som gør det muligt at identificere det dansk website, inklusive fuld URL. Fra HTTP referer eller tracking elementer i URL'en for de mange 3rd party requests.

Denne udvidede sessionslog kan meget vel ligge hos FE, as we speak. Jeg ved det ikke, men lovgrundlaget er der i hvert fald 100%. Og det er i øvrigt nok til at starte en sag med sigte mod Strasbourg, efter EMDs seneste praksis (i sager om masseovervågning, som det FE laver, slækkes der på kravet om at man skal dokumente "personlig overlast").

Udfordringen er nu at få den FE-sessionslogning hvidvasket, så den kan bruges mod danskerne, for officielt skal denne indhentning af "rådata", der slet ikke er masseovervågning før en FE-analytiker eller politimand m/k kigger på oplysningerne med en lup [1], jo være rettet mod "forhold i udlandet", ikke os.

Meeen... det arbejder Forsvarsministeriet og Justitsministeriet løbende på. For eksempel den lov om "aflytning" af danskere i udlandet, som Folketinget vedtog i 2015 ("aflytning" fordi loven handlede om alt andet end aflytning). Og FE kan altid sige at det var et tilfældighedsfund, og derefter udveksle oplysningerne med PET.

[1] Indskudt sætning sponsoreret af Justitsministeriet og NSA. De leverer gratis backup-lagerplads til dette indlæg.

Jacob Mathiasen

Som så mange har påpeget vil dem, som rent faktisk er ægte terrorister og ikke bare sure teenagere let kunne omgå sessionslogningen. - Dette synes indlysende.

Når man så alligevel fremturer med det og vil ofre milliarder af kroner på det - så må der jo være et andet formål. - Jeg er her optimistisk og antager at der er grænser for, hvor stupide politikerne og embedsmændene er - selvom deres samfundssind og anstændighed er rudimentær, hvilket jo synes bevist mange gange i det sidste par årtier.

Log ind eller opret en konto for at skrive kommentarer