Måske bor du i et land, hvor ytringsfriheden har trange kår, og du risikerer en dødsstraf for at sige det forkerte? Eller måske kan du bare godt li' at være anonym på nettet?
Hvorom alting er: Hvordan ville du så sikre din anonymitet på nettet? 'Tor,' ville nogen måske svare, mens andre andre måske ville foreslå at kombinere Tor med en opkobling til et offentligt og frit tilgængeligt wifi, som alle i princippet ville have kunnet anvende.
På sikkerhedskonferencen Blackhat Europe, der fandt sted i London for nylig, holdt David Venable et særdeles velbesøgt indlæg (folk måtte stå op). Han har en fortid som 'intelligence officer' hos ingen ringere end NSA.
Venables overordnede fortælling handlede om, at det i en Big Data-verden er svært at skjule sin identitet, hvad enten der er i real- eller cyberspace.
I forhold til det sidste så havde han et par eksempler på, hvorfor det med at sikre anonymiteten kan være mere vanskeligt end blot at bruge anonymiseringstjenesten Tor.
Eksemplerne indledte han med en lille anekdote, som skulle være ganske autentisk.
Harvard University
Fortælling tager sit udspring i en studerende på det amerikanske Harvard University. Eksamen oprinder, men den studerende har ikke læst til eksamen.
For at løse det problem får den studerende den idé at maile en bombetrussel rundt til udvalgte modtagere på eksamensdagen.
Via Tor sender den studerende en mail om morgenen, hvorefter han møder op til eksamen. Efter kort tid bliver det hele - efter planen - aflyst. Så langt, så godt.
Efterforskere finder dog frem til, at mailen med bombetruslen er sendt via Tor. Og i den forbindelse kigger efterforskerne i universitetets netværkslog. Her finder de frem til, at der har været fire studerende koblet på Tor, da mailen blev sendt.
De fire studerende får efterfølgende besøg af politiet. En af de studerende er ved at gå i gulvet, da han ser betjentene. Og således blev sagen opklaret.
Bob
Efter Harvard-fortællingen præsenterede David Venable publikum for tre scenarier involverende den allestedsnærværende eksempel-figur 'Bob'.
Pointen med alle tre eksempler var, at trods diverse forholdsregler så er det svært at være helt anonym på nettet.
De tre Bob-slides kan ses til højre i denne artikel.
I det ene eksempel bor Bob oven på en cafe, som har wifi. Bob går ned for at bruge wifi-forbindelsen, som han kobler til via en virtuel maskine (VM) fra sin egen laptop.
Hvis formålet er at være anonym, så er den procedure ifølge David Venable et no-go. Blandt andet fordi Bob jo bor oven på caféen med wifi-forbindelsen.
Og derfor kan Bobs lokation knyttes til opkoblingen.
I det andet eksempel kører Bob tværs over byen for at koble på wifi-forbindelsen hos endnu en café. Bob medbringer sin telefon, dog i slukket tilstand.
Han kobler på caféens wifi via en proxy-forbindelse. Bob bruger igen en VM fra sin egen laptop.
Og det sidste, altså det med VM'en, er ifølge David Venable ikke gangbart, hvis målet er at være anonym.
Det skyldes, at det fysiske netværksinterfaces mac-adresse, medmindre den aktivt bliver ændret, kan knyttes til det fysiske udstyr og altså muligvis også til Bob.
Hvad angår mac-adressen, så kan sådan en som bekendt ændres.
Men det er ikke sikkert, at sådan en ændring når at slå igennem, før laptoppen har sendt adressen trådløst ud til alle, der gider høre på det, var David Venables pointe i den sammenhæng.
I det sidste eksempel tager Bob til en park med en wifi-forbindelse. Telefonen har han efterladt derhjemme. Bob bruger nu Tor på separat hardware, altså ikke noget med en VM.
Bob har imidlertid taget et offentligt transportmiddel til parken, og det går ikke, påpegede David Venable, med henvisning til at den slags transportmidler er fyldt med kameraer. Og så er det igen game over for Bob, der er visuelt registreret rejse fra sit hjem og til parken med wifi-forbindelsen.
Hvad ville du gøre?
Version2's udsendte stod og studsede lidt både under og efter David Venables præsentation over, om det virkeligt behøver være så bøvlet at sikre sin online anonymitet.
For hvad hvis Bob, der må formodes at høre til i den forsigtige kategori, i stedet for at bruge en VM bootede direkte ind i undercover-Linux-distributionen Tails fra en USB-nøgle for så at spoofe mac-adressen, inden nogen wifi-trafik overhovedet udgår fra computeren?
Helt triviel er den tilgang dog heller ikke. Det afslører et kig på hjemmesiden for Tails, hvor der er en længere diskussion af fordele og ulemper ved at spoofe mac-adressen.. Her fremhæves det blandt andet, at en spoofed mac-adresse i sig selv kan vække mistanke.
Diskussionen kommer også ind på de tiltag, folkene bag Tails har taget for, at den rigtige mac-adresse ikke skal lække under boot, altså før den er blevet spoofed.
Og i forhold til kameraerne og den offentlige transport så kunne Bob måske bare have spadseret eller cyklet hen til nærmeste park med wifi - eventuelt mens han var iført skæg og briller. Men det er måske også lettere sagt end gjort.
Hvad caféen, som Bob bor oven over, angår. Ja, så behøver han måske slet ikke tage ned på selve caféen.
Måske kunne han se wifi-opkoblingen fra sit hjem. Og så kunne Bob sidde i ro og mag i sin bolig og vente på, at der blev propfyldt med mennesker på caféen, hvilket måske også kunne betyde, der var mange på wifi-forbindelsen.
Lokationen ville godt nok stadig kunne pege i retning af Bob - der naturligvis benytter både Tor og Tails - men også i retning af en masse andre mennesker, der måtte have brugt wifi-forbindelsen på et givent tidspunkt.
Men hvordan ville du lettest sikre din anonymitet på internettet? Ville du nøjes med en Tor-browser? Eller måske ville du tage turen til parken med wifi-forbindelsen, koble op via Tor fra hardware, der aldrig har været brugt før? Andet?
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
