Kina strammer censur-net: Inspicerer alle VPN-forbindelser

Et element, som ikke er med i betragtningerne ovenfor, er prisen. En meget afgørende årsag til at vi står i vores nuværende overvågningssuppe, er at IT har gjort overvågning nemt og billigt. Man havde kunnet sætte pensionister til at skrive nummerplader ned, og samle dem ind, for mange år siden. Først da det blev nemt og billigt, blev det et "afgørende" værktøj til at forhindre børneporno/teror, eller hvad der nu senest har været i dagspressen. Derfor mener jeg at der er et reelt formål med at gøre overvågning besværligt, også for myndighederne.

SSL Everywhere "tvinger” myndigheder til at lave fusk med rod-certifikater, til at udvide samarbejdet med fremmede efterretningstjenester (læs USA), til at indføre drakoniske love om fx kryptering, etc. Det er et lille skridt og det er summen af det hele der skaber myndighedernes modreaktion.

Det er det tiltag som SSL Everywhere skubber med på. Hvis man ender med at hovedparten af kommunikationen bliver krypteret, så vil myndighederne på den ene eller anden måde forsøge at ulovliggøre eller omgå krypteringen. For de mener det er nødvendigt for at kunne folde befolkningen sikker.

I vores del af verden er det lavet sådan at der skal flere myndigheden ind over for at omgå vores rettigheder. Det er for at reducere mulighederne for misbrug. Men omgås kan de og det sker hele tiden – i en god sags tjeneste.

Det er ikke det PHK siger. Han siger at der kræves tillid i begge ender før det kan blive unbreakable og det er jeg enig i.

Og det sker med parlamenternes viden og accept (stiltiende eller nedfældet i lov). Fordi de mener det er det der skal til for at holde borgerne sikre. Man ville aldrig gå med til den slags, hvis man ikke mente at det var nødvendigt og hvis der ikke var accept af det.

Jeg mener stadigvæk ikke at jeg har hørt nogen overbevisende argumenter som viser at SSL Everywhere har ændre på noget væsentligt i forhold til vores friheder.

Hvorvidt det er tilfældet finder vi af gode grunde aldrig ud af da det ikke er muligt at skrue tiden tilbage og prøve igen og se om det så bliver bedre.

Jeg tror ikke vi kommer videre, omend jeg selvfølgelig gerne høre på nye argumenter og så kan vi tage den derfra.

Jeg synes dog det har været en interessant diskussion og den takker jeg for.

et jeg ikke er enig i er, at SSL Everywhere har gjort skade på vores mulighed for privatliv – vi ville under alle omstændigheder ikke have haft privatliv på nettet.

SSL Everywhere "tvinger” myndigheder til at lave fusk med rod-certifikater, til at udvide samarbejdet med fremmede efterretningstjenester (læs USA), til at indføre drakoniske love om fx kryptering, etc. Det er et lille skridt og det er summen af det hele der skaber myndighedernes modreaktion.

Når fx Henrik Kramshøj driver en TOR node, som måske bruges til at undergrave venligsindede stater, til af afpresse virksomheder og moster Karen, til at hacke offentlige IT systemer, etc., så kan jeg godt forstå at reaktionen fra myndighederne er at forsøge at ulovliggøre det. Og så nytter det ikke noget at der måske er alle mulige gode intentioner bagved.

Det er det tiltag som SSL Everywhere skubber med på. Hvis man ender med at hovedparten af kommunikationen bliver krypteret, så vil myndighederne på den ene eller anden måde forsøge at ulovliggøre eller omgå krypteringen. For de mener det er nødvendigt for at kunne folde befolkningen sikker. Ligesom at der altid har været restriktioner på brevhemmeligheden, retten til privatliv, ytringsfriheden, etc.

I vores del af verden er det lavet sådan at der skal flere myndigheden ind over for at omgå vores rettigheder. Det er for at reducere mulighederne for misbrug. Men omgås kan de og det sker hele tiden – i en god sags tjeneste.

”Svaret på manglende privacy er ikke at kryptere på måder der er 100% unbreakable.”
Nej, for det er næppe muligt, hvilket PHK på glimmerende vis har redegjort for.

Det er ikke det PHK siger. Han siger at der kræves tillid i begge ender før det kan blive unbreakable og det er jeg enig i. Af samme grund er det også latterligt når folk snakker om deres ”sikre” VPN forbindelser eller TOR etc. For de kan ikke have tillid til dem i den anden ende.

Hvilket bliver ualmindelig svært idet der er tale om trafik der flyder over landegrænser og dermed varierende retsgrundlag som PHK har redegjort for med eksemplet på forskelle mellem Danmark og Norge.

Det der kommer til at ske er at vi i højere grad skal være opmærksomme på hvor på internettet vi er henne. Jeg er for eksempel mere påpasselig med at give information til amerikanske virksomheder end europæiske, fordi man stort set er retsløs efter amerikansk lovgivning.

Man kan så håbe at ligesindede lande som fx Danmark, Norge og måske resten af EU kan blive enige om regler som vi kan leve med. Men det sker kun hvis landene mener at regler er gode nok til at de kan holde borgerne sikre. Når man i så høj grad giver USA lov til at spionere mod EU borgere er det jo fordi man mener man har brug for amerikanernes hjælp.

Herudover bliver det lige så svært at forhindre udveksling af informationer mellem samarbejdende efterretningstjenester, hvor de hjælper hinanden med at omgå retsgrundlaget som burde være gældende for den enkelte.

Og det sker med parlamenternes viden og accept (stiltiende eller nedfældet i lov). Fordi de mener det er det der skal til for at holde borgerne sikre. Man ville aldrig gå med til den slags, hvis man ikke mente at det var nødvendigt og hvis der ikke var accept af det.

Politikerleden har aldrig været større.
Og hvordan går det lige med at få valgt "nogle andre politikere" fra valg til valg ?

Hvordan måler man politikerlede? Der er masser af partier at stemme på og nogen af dem vil lave samfundet markant om. Dem der leder landet er dem som flertallet vil have. Når du og andre ikke får valgt dem I synes om, så er det blot fordi jeres prioriteter er anderledes end flertallets.

Herudover ser jeg ikke netbank eksemplet som værende særlig sandsynlig, hvorfor skulle disse statsaktører interesserer sig for at forfalske din (eller andres) netbank, de kan jo sikkert bare henvende sig direkte til banken, eventuelt via deres lokale samarbejdspartner.

Men pointer er at al trafik ryger i nettet. Specifikt ender det sandsynligvis med at NSA også får dine netbanks oplysninger og det er jeg ikke sikker på er en god ide. Men det er det offer myndigheder og politikere mener er nødvendigt for at opretholde lov og orden.

Den største bommert er formodentlig at SSL-Everywhere flokken ikke har skelnet imellem de forskellige kryptografiske behov.</p>
<p>I de fleste sammenhænge er "authentication" langt vigtigere end "secrecy".

Og da den nemmeste måde at "løse" SSL-Everywhere for regeringer er trojaned CA'er og stats-root-certifikater får jeg nu en grøn hængelås i noget der ligner min netbank, hvis det passer i den kinesiske, russiske, israelske eller USAnske regerings kram.

Herudover ser jeg ikke netbank eksemplet som værende særlig sandsynlig, hvorfor skulle disse statsaktører interesserer sig for at forfalske din (eller andres) netbank, de kan jo sikkert bare henvende sig direkte til banken, eventuelt via deres lokale samarbejdspartner.

Hvis kriminelle derimod kan finde en bagdør som giver adgang til at gøre noget sådan, så er det et meget alvorligt problem, men den bagdør ville under alle omstændigheder have været det uanset SSL Everywhere.

Det er jeg forsåvidt enig i, det jeg ikke er enig i er, at SSL Everywhere har gjort skade på vores mulighed for privatliv – vi ville under alle omstændigheder ikke have haft privatliv på nettet.

Og det er sådan set netop pointen: Situationen er netto forværret pga. SSL-vi-ved-nemlig-bedre-end-alle-andre-Everywhere kampagnen.

Den største bommert er formodentlig at SSL-Everywhere flokken ikke har skelnet imellem de forskellige kryptografiske behov.

I de fleste sammenhænge er "authentication" langt vigtigere end "secrecy".

Mine netbank transaktioner er ikke hemmelige for staten, men det er ultimativt vigtigt for mig at vide at det faktisk er min netbank jeg laver dem i.

Og da den nemmeste måde at "løse" SSL-Everywhere for regeringer er trojaned CA'er og stats-root-certifikater får jeg nu en grøn hængelås i noget der ligner min netbank, hvis det passer i den kinesiske, russiske, israelske eller USAnske regerings kram.

Og hvis myndighederne misbruger deres muligheder så vælger vi nogle andre politikere ved næste valg - nogen der kan ændre myndighedernes misbrug.

Politikerleden har aldrig været større.

• Og hvordan går det lige med at få valgt "nogle andre politikere" fra valg til valg ?

K

For første gang nogensinde er jeg 100% enig med PHK. Vi kommer aldrig til at opleve 100% privacy i størrere grupper.

Svaret på manglende privacy er ikke at kryptere på måder der er 100% unbreakable.

Svaret er at dem der kan bryde krypteringen er underlagt samme retsgrundlag som os andre.

Herudover bliver det lige så svært at forhindre udveksling af informationer mellem samarbejdende efterretningstjenester, hvor de hjælper hinanden med at omgå retsgrundlaget som burde være gældende for den enkelte.

Herhjemme ignorerer regeringen en klokklar dom fra EU, tilsyneladende med massiv opbakning fra alle "respektable" partier ?

Hvis vi skal gøre os noget håb om at tingene bliver anderledes, så skal vi nok skabe en ny jobtype som vi kan kalde journalister, som kan informere os alle på en kritisk og objektiv måde (objektiv som i at stræbe efter det, ikke som i absolut), i modsætning til i dag, hvor vi har nogen som kalder sig for journalister, men mest af alt har travlt med sørge som at informationerne har den rette vinkling.

Hvor ?

Vi diskuterer det fx netop nu.

hvilket giver politisk pres på dem

Hvor ?

Selv ikke Englands "Snoopers Charter" ser ud til at have givet mere end en midlertidig krusning på havoverfladen ?

Herhjemme ignorerer regeringen en klokklar dom fra EU, tilsyneladende med massiv opbakning fra alle "respektable" partier ?

2013: <a href="http://queue.acm.org/detail.cfm?id=2508864">http://queue.acm.org/detail…;
<p>2016: <a href="http://queue.acm.org/detail.cfm?id=2904894">http://queue.acm.org/detail…;

For første gang nogensinde er jeg 100% enig med PHK. Vi kommer aldrig til at opleve 100% privacy i størrere grupper. Det kan samfundet simpelthen ikke klare og derfor har det været skrevet ind i retstaters grundlove siden ruder konges tid.

Svaret på manglende privacy er ikke at kryptere på måder der er 100% unbreakable. Svaret er at dem der kan bryde krypteringen er underlagt samme retsgrundlag som os andre. Dvs. for danske borgere skal det være danske myndigheder der kan bryde krypteringen. Med alle mulige safeguards. Og hvis myndighederne misbruger deres muligheder så vælger vi nogle andre politikere ved næste valg - nogen der kan ændre myndighedernes misbrug.

2013: <a href="http://queue.acm.org/detail.cfm?id=2508864">http://queue.acm.org/detail…;
<p>2016: <a href="http://queue.acm.org/detail.cfm?id=2904894">http://queue.acm.org/detail…;

Jeg mener stadig at SSL Everywhere er en god idé. Det er korrekt at myndighederne har skydevåben og at de kan gøre det ulovligt. Men det tvinger dem ud!

Uden kryptering kan de sidde og lytte med, mere eller mindre passivt. Med kryptering er de nød til at sige meget højt, at det må man ikke, installere egne rodcertifikater ol. Det tvinger dem til at indrømme deres snageri, hvilket giver politisk pres på dem og dermed bringer os tættere på en løsning.

Uanset om vi har <em>SSL Everywhere</em> eller ej, så har vi ikke meget privatliv, et problem som kun kan løses som du selv beskriver, ad politisk vej og det har lange udsigter ...

Enig.

Men glem ikke, at for at noget kan løses politisk, så skal det erkendes som et problem, og det kan kun ske, hvis det bliver gjort synligt. Alle nævnte eksempler er steder hvor skummel opførsel er tvunget ud af skyggerne, og nu kan gøres til genstand for debat.

2013: <a href="http://queue.acm.org/detail.cfm?id=2508864">http://queue.acm.org/detail…;
2016: <a href="http://queue.acm.org/detail.cfm?id=2904894">http://queue.acm.org/detail…;

Det kan jeg ikke fordi jeg er overbevist om at NSA stadigvæk ville have ønsket bagdøre (og fået dem) ganske som nu. GCHQ ville under alle omstændigheder ønske at begrænse kryptering og Kina ville under alle omstændigheder have lavet den store firewall.

Kasakhstan vil under alle omstændigheder have krævet et rodcertifikat installeret så de kunne læse med hos dem der anvender kryptering og Frankrig ville under alle omstændigheder ønske at forbyde brugen af Tor.

Så alt i alt ville det ikke gøre den store forskel om alt er krypteret eller om det meste ikke er, lige med den forskel at der spildes en masse energi ved at kryptere en hel masse som ikke på nogen måde er et privatlivsproblem, eller alt det som er, men som ikke er spor privat alligevel.

Uanset om vi har SSL Everywhere eller ej, så har vi ikke meget privatliv, et problem som kun kan løses som du selv beskriver, ad politisk vej og det har lange udsigter, men folk bør generelt gøres opmærksom på at brugen af kryptering er en falsk tryghed, hvis indholdet kan være interessant for diverse efterretningstjenester.

SSL kombineret med domain fronting er en effektivt middel mod censurforanstaltninger. Så ser trafikken om som om man taler med f.eks. Google eller Amazon, men man går videre til andre fobindelser derfra.

Det udsagn synes jeg kunne være meget interessant at få uddybet.

2013: http://queue.acm.org/detail.cfm?id=2508864

2016: http://queue.acm.org/detail.cfm?id=2904894

Dem der troede at regeringer "ikke havde noget våben imod kryptering" har kostet os dyrt i friheder.

SSL Everywhere har givetvis spildt en masse CPU kraft og dermed energi, men hvilke friheder har vi mistet med SSL Everywhere som vi ikke vil have mistet under alle omstændigheder?

Dem der troede at regeringer "ikke havde noget våben imod kryptering" har kostet os dyrt i friheder.

Det underlige er at mobiltelefoner ikke er underlagt begrænsninger. Med dansk SIM kort er FB og google ikke noget problem. Det er bare meget dyrt Med Kr. 54,-/Mb får man ikke tjekket meget FB for et per hundrede.

Det bliver da en udfordring for danske firmaer med kontorer i Kina. Jeg har med tiden fået lavet en del af den slags VPN forbindelser for forskellige firmaer til deres Kina kontor.

Gu' ved om der er nogen danske firmaer der støder i problemer ?

(Kan da huske at man sagtens kunne køre FB over VPN forbindelsen. Dog var ingen af de kinesiske medarbejdere synderligt interesseret i det, de ville hellere bruge RenRen)