Vrøvlesvar fra Justitsministeriet om VPN og Tor

I et svar til Folketingets Retsudvalg fra Justitsministeriet bliver der rodet rundt i, hvorvidt det er muligt at foretage sessionslogning for en VPN-forbindelse.

It kan være kompliceret. Øjensynligt også for Rigspolitiet, der har leveret inputtet til et svar om logning af datatrafik (PDF) fra justitsminister Mette Frederiksen (S) på et spørgsmål til Folketingets Retsudvalg stillet af retsordfører for Venstre, Karsten Lauritzen.

Det har været heftigt diskuteret i hvor høj grad sessionslogning - altså hvor internetudbydere registrerer kilden og endepunktet for en internetkommunikation - er et brugbart værktøj set i forhold til de privacy-bekymringer, og det administrative bøvl set fra udbydernes side, logningen måtte afføde.

Sessionslogning har siden juni 2014 været ophævet, siden er det kommet på tale at genoplive sessionslogningen. Og i den forbindelse har en revidering af logningsreglerne været på tale, det arbejde har regeringen dog foreløbigt udskudt.

Læs også: Regeringen vil udskyde revision af omstridte logningsregler igen

»Vil ministeren oplyse, om det er korrekt, at man som bruger kan skjule sin internettrafik ved at anvende VPN-forbindelser eller ved brug af TOR-netværket, og at logningen derved ikke kan anvendes til at se brugerens internetadfærd?,« lød spørgsmålet fra Karsten Lauritsen.

Et kort, men korrekt svar på det spørgsmål ville være 'ja', hvilket internetaktivist og datalog Christian Panton har påpeget på Twitter, hvor næstformand for IT-Politisk Forening Jesper Lund har gjort opmærksom på svaret fra ministeriet.

Det er nemlig ikke bare et 'ja'. Justitsministeriet har for at besvare spørgsmålet indhentet en længere udtalelse fra Rigspolitiet. Af den fremgår det, at 'krypterings- og anonymiseringstjenester i betydelig grad vanskeliggør politiets muligheder for efterforskning, men langtfra i alle tilfælde umuliggør disse.'

Desuden skelnes der i svaret fra Rigspolitiet mellem, hvad det er muligt at logge i forhold til anonymiseringstjenesten Tor og så en VPN-forbindelse.

Som bekendt skjuler Tor-netværket afsenderen af en datapakkes ip-adresse, så det ikke er muligt at se for slutmodtageren, hvor data kommer fra.

Det betyder også, at selvom data bliver logget hos internetudbyderen med politimæssig efterforskning for øje, så er det ikke umiddelbart muligt efterfølgende at knytte en brugers ip-adresse til eksempelvis et besøg på en hjemmeside.

»Uagtet at logning finder sted, kan den således ikke anvendes efterforsknings-mæssigt, idet det ikke er brugerens reelle IP-adresse, der logges,« står der i svaret fra Rigspolitiet.

Læs også: Her er hvad vi ved om genoplivning af sessionslogning i Danmark

Desuden skriver Rigspolitiet, at VPN-forbindelser anvendes til at skjule indholdet af en konkret datakommunikation. Men selvom det ikke er muligt at se indholdet af de krypterede VPN-datapakker, så er det dog muligt at se, hvor pakkerne bliver sendt hen. Altså ikke som med Tor, hvor afsenderens ip-adresse ikke vil være synlig i eksempelvis en server-log.

»Logning af hvem, der kommunikerer med hvem, finder dog sted og kan anvendes efterforskningsmæssigt af politiet. Dette gælder også, hvis der anvendes en VPN-forbindelse,« skriver Rigspolitiet.

Netop denne del af svaret kalder Christian Panton for ‘Det centrale vrøvl fra svaret’.

Logning af en VPN-forbindelse vil nemlig blot vise, at trafikken går fra klienten til en VPN-server. Men ikke nødvendigvis hvor VPN-serveren så sender trafikken hen.

»Rigspolitiet må have misforstået noget. Det eneste internetudbyderne kan se, er at der er forbindelse til en VPN-server. Den videresendte trafik vil med al sandsynlighed ikke være omfattet af logningsreglerne, særligt hvis der anvendes en server i udlandet. Derfor kan man ikke se 'hvem, der kommunikerer med hvem' ud fra sessionslogning, når en VPN-server anvendes,« skriver Panton i en mail.

Heller ikke Jesper Lund fra it-politisk forening kan få det til at stemme. Til Version2 siger han:

»De giver indtryk af, at Tor gør noget andet end VPN i forhold til sessionslogning, og det er ikke korrekt. I begge tilfælde vil man kunne se internetaktivitet, hvilket ikke siger særligt meget. Men man vil ikke kunne se den reelle destination for internettrafikken.«

Version2 har forsøgt at få et svar fra Justitsministeriet på, hvorfor der står noget forkert i svaret til Retsudvalget. Ministeriets pressemedarbejder henviser til Rigspolitiet, der har leveret inputtet til svaret. Rigspolitiet har ikke svaret inden deadline.

Tips og korrekturforslag til denne historie sendes til tip@version2.dk
Kommentarer (15)
sortSortér kommentarer
  • Ældste først
  • Nyeste først
  • Bedste først
Knud Jensen

Logning af hvem, der kommunikerer med hvem, finder dog sted og kan anvendes efterforskningsmæssigt af politiet. Dette gælder også, hvis der anvendes en VPN-forbindelse,« skriver Rigspolitiet.

Det er særligt delen med "kan anvendes efterforskningsmæssigt" som får det til at lyde som om sessionslogning endnu foregår. Blev det ikke erklæret ulovligt?

Finn Aarup Nielsen

Jeg har ikke forstand på VPN og TOR, men hvis politiet har fat i både loggene fra client og server (eller begge peers) burde de så ikke kunne sammenkoble data ved at kigge på tidsstembler og pakkestørrelser? Hvis man indgår i en VPN-båren chat kommer der så ikke en hel række pakker som i tid og størrelse korresponderer til hinanden. Analysen er mere kompliceret og en konklussion kan kun nås med en sandsynlighed, men som jeg ser det burde der være muligheder.

Christoffer Kelm Kjeldgaard

Jeg har ikke forstand på VPN og TOR, men hvis politiet har fat i både loggene fra client og server (eller begge peers) burde de så ikke kunne sammenkoble data ved at kigge på tidsstembler og pakkestørrelser?

Det er rigtigt forstået. Men oftest står serveren udenfor landets grænser og er derfor ikke omfattet dansk lov, dermed heller ikke sessionslogningen. Nogle VPN udbydere udmærker sig ved at reklamere, at der ikke logges noget som helst, og så snart trafikken er routet videre til destinationen kan den herefter ikke efterforskes. Man skal fanges med snablen i kagedåsen så at sige.

Det eneste der kan bevises er at du har snakket med en server, som har en klynge af adresser, hvoraf en af disse adresser har angrebet en ekstern adresse. Man kan derfor ikke føre tilbage til at det har været dig, blot at det har været en i mængden af de forbundne VPN-brugere.

Kaj Jensen

Du mener selvfølgelig "trist", "sørgerligt" eller "ynkeligt"?

Tja, jeg finder det nu meget morsomt, men ynkeligt dækker vel også meget godt.

Finn, Tor og VPN forhindrer jo netop logning, efterforskerne kan, uanset om det er via sessionslogning eller decideret digital efterforskning, ikke se hvad brugeren har foretaget sig.
Derfor er det et "vrøvlesvar" fra rigspolitiet som jeg finder ret sjovt.
Alt er selvfølgelig forudsat at VPN/Tor virker som det skal.

Erling Sjørlund

Men selvom det ikke er muligt at se indholdet af de krypterede VPN-datapakker, så er det dog muligt at se, hvor pakkerne bliver sendt hen.

Oversat til rigtigt dansk står der vel bare:
Det er korrekt at vi heller ikke har noget ud af at registrere VPN forbindelser, men det har vi ikke lyst til at svare. Da vi kan genkende alle de herboende medarbejdere, der kontakter deres danske firmas server direkte via VPN, kan vi snakke uden om at logningen er nyttesløs i langt de fleste tilfælde.

Men er det i virkeligheden indholdet af kommunikationen, der interesserer politiet? For mig at se er de i virkeligheden langt mere interesserede i at få registreret hvor alle danskere befinder sig på ethvert givet tidspunkt. Set i det lys er spørgsmålet jo ret uinteressant.

Steffen Tor Jensen

rigspolitiet ikke har oplevet en VPN-leverandør som gør sit job ordentligt?

Hvis de vælger at basere udtalelsen på egne oplevelser, istedet for virkeligheden... Så er det vel ikke teknisk set løgn når de advokerer for den her masseovervågning.

Eller?

Morten Brørup

Bemærk, at der spørges om VPN-forbindelser, ikke om VPN-serviceudbydere.

Så svaret er korrekt. En VPN-forbindelse er en kommunikationskanal mellem nøjagtig to IP-adresser, nemlig de to ender af VPN-forbindelsen, fx en bruger og en VPN-serviceudbyder. Og sessionslogning kan logge selve VPN-forbindelsens tilstedeværelse, men ikke indhold.

En VPN-serviceudbyder tilbyder ikke kun en VPN-forbindelse for brugeren, men også en NAT-routing videre ud på internettet. Da spørgsmålet kun vedrører det første af disse to elementer, er svaret korrekt.

Med venlig hilsen

Morten Brørup
CTO, SmartShare Systems

Ulrik Suhr

Bemærk, at der spørges om VPN-forbindelser, ikke om VPN-serviceudbydere.

Det kunne man godt sige, men der er ikke angivet hvad destination eller hvad oprindelse på data strømmen er.
"brugerens internetadfærd" er i mine øjne ikke det samme som ½ vejs kommunikation (VPN).

Hvis man definere det som hjemmeside IP til PC så er det kun ½vejs logningen foretages (VPN - delen).
Særligt hæfter jeg mig ved de reelt siger de kan bruge det at en pc kommunikere med en VPN server.
Det er for mig meget underligt og skulle følges og ved yderlige spørgsmål.
Hvad så hvis det er ens virksomheds VPN.
Er der specielle kriminelle VPN servere som de kigger på?
Kan man så erklæres skyldig i at hacke CSC hvis man benytter samme VPN service?
OMG hvem sammenfatter disse svar? en praktikant eller sygeafløser?

Desuden skriver Rigspolitiet, at VPN-forbindelser anvendes til at skjule indholdet af en konkret datakommunikation.

Hmm underlig formulering. VPN er og har aldrig været et udtryk for at skjule noget som helst. Så er vi over i alternative sprog eller domæne specifikke sprog som kan dette.

VPN benyttes til sikker kommunikation i en overvåget datastrøm. Man kan jo se de kommunikere så man er jo ikke i det skjulte!

Vil Rigspolitiet så også skrive!!!
"VPN-forbindelser anvendes til at skjule indholdet af en konkret datakommunikation" ->
"Tøj anvendes til at skjule kroppen af en konkret medarbejder på sin færd."
ARG. Hvor trækker Rigspolitiet de udtagelser henne... Jeg syntes de trækker dem ud af R****!

undskyld den sidste udtagelse, men syntes det er forkert retorik at anvende skjule mht. sikkerhed/privatliv.

Mogens Ritsholm

ja, men det er misvisende.

Ud fra tidligere kontakt med spørgeren har jeg indtryk af, at han selv bruger VPN i sin adgang til internet, og at det er ud fra operationelle hensyn, at denne løsning er valgt.

Derfor er det i dette og andre tilfælde (virksomhedsordninger) groft misvisende at skrive dette i svaret:

"Indledningsvis bemærkes, at VPN-forbindelser anvendes til at

skjule indholdet af en konkret datakommunikation".

Brugen af VPN og NAT, der også bruges uden VPN til fælles adgang, er bare en del af den teknologiske udikling for internetadgang, og det er selvfølgelig ikke noget der primært vælges for at skjule sin kommunikation for sessionslogningen eller andre sporingsredskaber.

Så der burde i svaret stå, at den teknologiske udvikling har undergravet værdien af sessionslogning, bl. a. ved brug af VPN, NAT mv.

Hvis det altså overhovedet kan undergraves, da det altid har været værdiløst.

Mogens Ritsholm

og det øvrige faktuelt forkerte i svaret er, at svaret overser, at sessionslogning er målrettet en slutbrugers trafik på det åbne internet.

En VPN forbindelse pkt. til pkt. er en substitut for et fast kredsløb, en forbindelse via Frame relay eller lignende, og som navnet siger principielt et element i et privat net.

Man skal ikke logge trafik på et privat net uanset hvordan det etableres - heller ikke når VPN bruges til opbygningen af nettet.

Dog medførte metoden for sessionslogning, at der også blev genereret logningsposter for VPN, der passerer logningspunktet i det offentlige net. Disse poster vil være intetsigende i forhold til den samlede kommunikation vi VPN.

Men det gør ikke noget. For trafik i private net skal slet ikke logges.

Vi har en lignende problemstilling, når f.eks. et privat LAN på et universitet eller lignende giver fælles adgang til det åbne internet. Det private net skal slet ikke logge - heller ikke i en evt. NAT-port. For det er kun offentlige net, der skal logge, og det er først efter porten ud til det åbne internet. Derved kan den egentlige slutbruger på LAN selvsagt ikke identificeres via logningen.

Derfor er justitsministeriets svar nonsens, og det viser, at de ikke forstået det mest fundamentale i logningsreglerne i deres egen bekendtgørelse, selv om vejledningen tærsker rundt i begereberne offentlige og private net.

Mogens Ritsholm

en lille formel korrektion til ovenstående indlæg.

Danske logningsregler retter sig mod alle udbydere - også de ikke-offentlige.

Men det ændrer ikke konklusionen, da sessionslogning kun er relevant i det åbne internet.

Man skal altså under alle omstændigheder ikke sessionslogge i andre typer datanet. Eksempler er fælles banknet, alarmnet, universitetsnet, dankortnet osv. Og således heller ikke et VPN, der udbydes til en større kreds.

Ja det er indviklet. Men det burde jo netop være disse juridiske forhold, som Justitsministeriet havde styr på.

Log ind eller Opret konto for at kommentere
Pressemeddelelser

Welcome to the Cloud Integration Enablement Day (Bring your own laptop)

On this track, we will give you the chance to become a "Cloud First" data integration specialist.
15. nov 2017

Silicom i Søborg har fået stærk vind i sejlene…

Silicom Denmark arbejder med cutting-edge teknologier og er helt fremme hvad angår FPGA teknologien, som har eksisteret i over 20 år.
22. sep 2017

Conference: How AI and Machine Learning can accelerate your business growth

Can Artificial Intelligence (AI) and Machine Learning bring actual value to your business? Will it supercharge growth? How do other businesses leverage AI and Machine Learning?
13. sep 2017
Jobfinder Logo
Job fra Jobfinder