Rigspolitiet har ikke kun anskaffet sig et værktøj, der kan hacke sig ind på mistænktes computere og smartphones. Det har også købt et system, der er med til at undergrave vores allesammens it-sikkerhed.
Sådan lyder advarslen fra formanden for IT-Politisk Forening, Jesper Lund.
»Rigspolitiets køb er med til at undergrave it-sikkerheden for alle borgere og ikke kun de få mistænkte kriminelle, hvor man er interesseret i at få adgang,« siger han.
Det kom for nyligt frem, at Rigspolitiet havde brugt 4,2 mio. kr. på at købe overvågningssoftwaren Remote Control System med kodenavnet Galileo fra det italienske sikkerhedsfirma Hacking Team. Afsløringen kom på baggrund af interne dokumenter fra Hacking Team, der blev lækket via whistleblower-tjenesten Wikileaks.
Politiet har under normale omstændigheder skullet have haft fysisk fat i en computer på en mistænkt for at kunne installere software, der kan overvåge vedkommendes system. Men det ændrer Galileo ved, da der er tale om offensiv software, hvor politiet på samme måde som kriminelle hackere kan inficere computere med malware, der overvåger systemet uden at komme i fysisk kontakt med computeren.
Alvorlige sårbarheder holdes skjult
Et af de centrale elementer er de sårbarheder - såkaldte 0-day exploits - som Galileo benytter sig af for at få adgang til de mistænktes computere og smartphones. Disse sårbarheder kendetegnes ved, at de endnu ikke er blevet opdaget af producenterne, som derfor ikke har haft mulighed for at lukke hullerne med en software-opdatering.
Flere softwareproducenter har såkaldte bug bounty-programmer, hvor de udlover en mindre dusør til hackere, der opdager sikkerhedshullerne og indrapporterer dem. Men Hacking Team har også en interesse i at få kendskab til sårbarheder, der er udviklet uden softwareproducenternes kendskab. Således betalte det italienske it-sikkerhedsfirma i slutningen af 2013 over 300.000 kr. til en russisk hacker for en Flash-exploit, som han selv havde udviklet.
Som en del af aftalen stod det, at russeren ikke måtte afsløre sårbarheden til Adobe, før den blev rettet med en patch.
»Obviously it is not [in] our interest,« skrev medarbejderen for Hacking Team i korrespondancen.
Og netop dette forhold er problematisk, når Rigspolitiet i Danmark vælger at benytte sig af Hacking Teams software ifølge Jesper Lund:
»Det er en uheldig praksis, for så driver de prisen for viden om sikkerhedshuller op. Hacking Team kan tilbyde langt mere end de bug bounty-programmer, som tilbydes ansvarlige hackere,« siger han og påpeger, at alvorlige sårbarheder dermed kan forblive under producenternes radar og gøre it-systemer verden over usikre.
Når Hacking Teams kunder som Rigspolitiet køber overvågningssoftwaren Galileo, bliver de også tilbudt muligheden for at abonnere på virksomhedens fortrolige liste over sårbarheder. Og med en pris på over 1,1 mio. kr. om året, er der langt fra tale om noget avis-abonnement. Hvorvidt Rigspolitiet har valgt at abonnere på denne tjeneste er dog uvist.
»Det er med til at understøtte og legitimere en praksis, som er dårlig for alles it-sikkerhed,« siger Jesper Lund og uddyber:
»Rigspolitiet kommer til at modarbejde at få repareret softwarehuller, fordi de er kunde i en industri, der er afhængig af sikkerhedshuller og samtidig bidrager til, at viden om sikkerhedshuller kommer de forkerte steder hen og ikke de steder, hvor hullerne bliver fikset.«
Risiko for bagdøre
Derudover er der også en række andre problematiske forhold med Rigspolitiets softwarekøb ifølge Jesper Lund.
Når politiet benytter sig af softwaren til at overvåge mistænktes computere, vil de samtidig risikere at afsløre efterforskningen til tredjeparter. Den anerkendte it-sikkerhedsblogger Bruce Schneier har blandt andet gjort opmærksom på, at Hacking Teams værktøj har et såkaldt vandmærke installeret, der gør det muligt for uvedkommende at finde ud af hvem - i dette tilfælde Rigspolitiet - der benytter sig af værktøjet, samt hvem - i dette tilfælde en mistænkt - som er målet for overvågningen.
Samtidig er der også en risiko for, at de mennesker, der bliver overvåget, selv bliver ramt af ondsindede hackerangreb, når først en sårbarhed er lagt ind på computeren eller mobilen.
»Det er risici, som politiet ikke kan overskue. Hvis man først hacker en computer, så får andre måske også adgang til computeren,« siger Jesper Lund.
Hacker Team leverer værktøjerne og sårbarhederne til en lang række statslige myndigheder verden over, heriblandt til lande som USA. Men også en række stater, der er kendt for at bryde menneskerettighederne, såsom Bahrain er på kundelisten ifølge lækket fra Wikileaks.
Det italienske it-sikkerhedsfirma blev selv udsat for et hackerangreb den 6. juli 2015, hvor firmaets fortrolige software blev lækket og delt blandt tusindvis af mennesker verden over. Dermed har ikke kun Hacking Team, men også alle disse personer potentielt adgang til at følge med, hvem der bruger værktøjerne, og hvem der bliver overvåget ifølge Bruce Schneier.
I Danmark er det nødvendigt at tage en diskussion af, hvor høj grad politiet skal efterligne hackere i forsøget på at efterforske kriminalitet ifølge Jesper Lund, der gerne ser en revision af retsplejeloven.
»Der er i loven ikke nogle overvejelser over, hvilke risici man løber, og hvilke forpligtelser politiet har for at forhindre andres misbrug. Der er behov for en revurdering af, hvilke beføjelser politiet skal have, hvis de går i gang med at hacke folks computere,« siger Jesper Lund.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
