Baldur Norddahl

Danmark må ændre logningsregler igen efter ny EU-dom

Jeg kan sagtens tage fejl, men jeg vil mene at der kan være både mordere og voldtægtsmænd i alle klasser (hvis vi kan bruge det udtryk) af samfundet.

Nej de kan nøjes med at logge mandlige borgere... Kvinder er ofte hellere ikke med i bander eller med til at planlægge terror.

Er det målrettet nok?

PS.: Ovenstående er sarkasme. Noget lignende er desværre blevet foreslået i ramme alvor her på foraet tidligere.

25. maj kl. 20:28
Ny cloud-vejledning fra Datatilsynet presser Kombit og Aula-platformen

lige en korrektion: vi har ikke færre rettigheder end amerikanerne Vi er ligestillede, den amerikanske lovgivning tilsiger udlevering af data uanset ophav

Det er ikke korrekt. Amerikanere har rettigheder der beskytter dem imod aflytning uden dommerkendelse med mere. Der er frit spil for at spionere imod udlændinge. Det siges at efterretningstjenesterne bytter statsborgere, så eksempelvis amerikanerne kan bede briterne om oplysninger om amerikanske statsborgere, som amerikanerne ikke selv må indhente.

12. april kl. 23:41
Ny cloud-vejledning fra Datatilsynet presser Kombit og Aula-platformen

Man har accepteret, at fremmede myndigheder kan kræve data udleveret. Hvad hvis amerikanerne vedtog en lov, som simpelthen krævede alle europæiske data udleveret? Kan man ikke fatte, at man ved den nævnte formulering jo direkte underlægger danske data amerikansk lov?

Faktisk anerkender EU tredjelande som har en GDPR kompatibel lovgivning selvom disse lande til enhver tid kunne ændre lovgivning til noget der ikke er GDPR kompatibelt. Så pragmatisk er man trods alt. Problemet med USA er at de allerede har vedtaget en lov i stil med det citerede og dermed eksplicit ikke er GDPR kompatible. Amerikanerne er ikke villige til at ændre deres lovgivning fordi de har lang tradition for at dele mennesker op i to kategorier: amerikanske statsborgere og "de andre". Sidstnævnte gruppe har ingen rettigheder og man er ikke villige til at give europæerne, eller nogen, samme rettigheder som amerikanske statsborgere.

12. april kl. 13:25
Mit.dk er heller ikke på IPv6

Nikolaj for at være fair, så er der god sandsynlighed for at påstanden, om en merudgift på 100.000 til 200.000 kr for IPv6, er løgn. I langt de fleste tilfælde skal det bare aktiveres. Hvorfor skulle en forening ikke levere det bedst mulige internet de kan? Det kan da godt være at 90% ikke mærker nogen forskel men skal flertallet tryne de sidste 10% helt uden grund?

29. marts kl. 14:20
Mit.dk er heller ikke på IPv6

Lidt fremgang er der. Danmarks Radio har fået IPv6:

baldur@giga15:~$ host dr.dk dr.dk has address 104.121.238.17 dr.dk has IPv6 address 2a02:26f0:3b:2a2::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2bc::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2b1::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2bb::3f46 dr.dk has IPv6 address 2a02:26f0:3b:2b3::3f46 dr.dk has IPv6 address 2a02:26f0:3b:29c::3f46 dr.dk has IPv6 address 2a02:26f0:3b:292::3f46 dr.dk mail is handled by 10 dr-dk.mail.protection.outlook.com.

29. marts kl. 13:51
DNS anbefalinger 2022

Faktisk ser det lidt ringe ud. BGP sikrer korteste vej, AS-path med modifikationer. Der burde være bedre routing end at jeg skal omkring par lyo gva, Paris-Lyon-Geneva?

Faktisk sikrer BGP kun den korteste AS-PATH hvilket intet siger om hvor langt der er rent fysisk. Hvis jeg tjekker vores routing tabel for den angivne adresse ser det således ud:

  1. admin@gc-edge1> show route table internet.inet.0 199.7.83.42
  2.  
  3. internet.inet.0: 913898 destinations, 3399561 routes (913895 active, 197 holddown, 195178 hidden)
  4. @ = Routing Use Only, # = Forwarding Use Only
  5. + = Active Route, - = Last Active, * = Both
  6.  
  7. 199.7.83.0/24 *[BGP/170] 3d 07:00:11, MED 100, localpref 100, from 193.239.117.0
  8. AS path: 25091 20144 E, validation-state: unknown
  9. > to 193.239.118.22 via nl-ix
  10. [BGP/170] 3d 07:00:11, MED 100, localpref 100, from 193.239.116.255
  11. AS path: 25091 20144 E, validation-state: unknown
  12. > to 193.239.118.22 via nl-ix
  13. [BGP/170] 3d 07:00:11, MED 200, localpref 100, from 194.68.128.254
  14. AS path: 25091 20144 E, validation-state: unknown
  15. > to 194.68.128.78 via netnod-stockholm-1500
  16. [BGP/170] 1w0d 04:48:22, MED 200, localpref 100, from 195.69.119.254
  17. AS path: 6939 20144 E, validation-state: unknown
  18. > to 195.69.119.187 via netnod-stockholm-4470
  19. [BGP/170] 5w2d 13:27:11, MED 200, localpref 100, from 212.237.192.254
  20. AS path: 6939 20144 E, validation-state: unknown
  21. > to 212.237.192.187 via netnod-copenhagen
  22. [BGP/170] 12w1d 15:57:18, MED 210, localpref 100
  23. AS path: 1299 20144 E, validation-state: unknown
  24. > to 62.115.180.72 via telia
  25. [BGP/170] 14:56:08, MED 290, localpref 100
  26. AS path: 174 35313 20144 E, validation-state: unknown
  27. > to 149.6.137.49 via cogent
  28. [BGP/170] 3d 05:46:40, MED 100, localpref 100
  29. AS path: 2603 21320 5408 8522 20144 E, validation-state: unverified
  30. > to 185.1.88.18 via sthix
  31. [BGP/170] 3d 05:46:40, MED 100, localpref 100
  32. AS path: 2603 21320 5408 8522 20144 E, validation-state: unverified
  33. > to 212.237.192.24 via netnod-copenhagen

Ud fra det kan vi se, at AS 25091, AS 6939 og AS 1299 alle tilbyder en AS-PATH længde på 2. Ud fra BGP algoritmen er de at betragte som lige gode. Givet de tre lige gode valgmuligheder er 25091 blevet valgt fordi den er gratis (det er en peer) hvorimod 6939 og 1299 er betalte IP transits. AS 174 og AS 2603 er blevet fravalgt på at have længere AS-PATH.

PS.: Jeg håber dette indlæg ender med at se ok ud. Version2 har glemt preview knappen og det er usikkert om de gamle debat tags stadig fungerer som sædvanligt.

24. marts kl. 16:30
Analytics-forbud truer: »Det vil have store konsekvenser for danske virksomheder«

Ikke hvis det er forbudt at overføre klientens IP adresse til trediepart uden for EU fra klientens egen browser, på samme måde som det er/bliver forbudt at overføre Cookies med personhenførbar data.

Hvis du benytter Cloudflares CDN der kører fra servere i København så behandles oplysninger om din IP adresse ikke i tredjeland. Hvis de tilmed ikke gemmer IP adressen, så kan oplysninger ikke overføres til tredjeland efterfølgende.

De kan naturligvis fremadrettet ændre på tjenesten og eventuelt bryde en kontrakt, hvor der står at de ikke vil gemme oplysninger. Men der er endnu ikke kommet en afgørelse der siger, at GDPR skal fortolkes så snært. Tværtimod læser jeg udtalelser fra diverse datatilsyn om at man kan gøre brug af tiltag der beskytter oplysningerne (kontrakt om at oplysninger ikke gemmes og databehandling i EU) der står mål med risikoen (IP adresse uden anden information er lav risiko).

GDPR er ikke sat i verden for at forsøge det umulige som eksempelvis at lade som om at NSA ikke kan spionere i EU. EUs problem med USA er lovgivning der giver amerikanske dommere lov til at indhente oplysninger om EU borgere. Men der er ikke en lov i USA der giver mulighed for at dommeren iværksætter en aflytning i udlandet. Det er derfor ikke en risiko at Cloudflare bliver beordret af en amerikansk dommer til at i hemmelighed ændre i deres system og begynde noget der effektivt er en aflytning.

Der er i øvrigt ingen der må gemme IP adresser uden et gyldigt formål. Har i husket at ændre opsætningen af webserveren så IP adresser ikke kommer med i access.log ? Jeg gætter på at antal webservere der er konfigureret lovligt kan tælles på meget få hænder :-)

3. marts kl. 04:13
Analytics-forbud truer: »Det vil have store konsekvenser for danske virksomheder«

Det bliver således også forbudt at benytte CDNer.</p>
<p>Det er fint at vi passer godt både på persondata og GDPR, men er det nu en god idé at forbyde at trediepart uden for EU ikke må se en IP adresse?

Det er en overfortolkning. Du kan godt bruge CDN'er men du er ansvarlig for at der ikke sættes cookies uden tilladelse. Det vil sige, at hvis du kan indgå en aftale med CDN leverandøren om at de ikke sætter en cookie og du kan verificere at det gør de ikke, så er det ok. Også selvom der naturligvis er en teoretisk mulighed for at de en dag pludselig snyder og sætter en cookie uden at du opdager det - men så har de lavet kontraktbrud og du skal straks tage aktion.

IP adresser er også beskyttet men ikke sådan at EU borgere pludselig ikke kan bruge udenlandske tjenester. Her skal formål, nødvendighed og konsekvens tages i betragtning.

Men gad vide hvordan det forholder sig med tjenester som Cloudflare? Cloudflare har en gratis proxy tjeneste der beskytter imod DDoS angreb men som også giver Cloudflare mulighed for at lytte med, skulle de få lyst til det.

2. marts kl. 14:53
Amatørernes dag

Det er lidt det samme med gassen - den flyder stadigvæk for hvis vi først lukker den så sælger russerne den bare til andre (i værste fald Kina) - og så kommer den ikke tilbage til os.

Den med at de bare sælger gassen til nogle andre er helt misforstået. At sælge gas kræver infrastruktur og efterspørgsel. Som vi har set med Nordstream 2 så dukker gasledninger ikke bare op fra den ene dag til den næste.

Russerne er derudover ikke dumme. Hvis det var muligt at sælge til nogle andre, så var de allerede i gang med det. Hvilke de også allerede gør via et rør over Sibiren til Kina. Men den er allerede fuldt udnyttet og kan derfor ikke aftage gas, der ellers skulle til Europa foruden at Kina måske hellere ikke har behov for mere gas. Der er tale om lange afstande så man bygger ikke bare en opgradering på kort tid.

Og endelig er der at kineserne ikke er Ruslands allierede. Det kan godt være at de ikke er med på at lave hårde sanktioner, men det skyldes mest at de måske selv har planer om at gå ind i Taiwan og ikke ønsker præcedens imod dette. Vesten er meget vigtigere for Kina end Rusland er - vi er trods alt en meget større kunde....

26. februar kl. 13:59
Ny overvågningslov fører til gensyn med sessionslogning i »light-udgave«

Logning af IP-identitet ved CG-NAT har intet med sessionslogning at gøre. Det er fuldstændig vanvittigt at kalde det halv sessionslogning eller tale om, at man logger færden på internet.

Det er i mange tilfælde halv sessionslogning. Hvis ISP'en bruger en standard NAT løsning, eksempelvis en Linux box, så er de nødt til at logge samtlige sessions. En session består af fem værdier (protokol, source_ip, source_port, destination_ip, destination_port). Ved sessionlogning skal du gemme alle fem værdier. Nu skal du kun gemme (protokol,source_ip,source_port) og smide destination_ip og destination_port væk. Der bliver dermed tale om eksakt samme antal logninger blot med halvdelen af data bortcensureret i hver logningspost.

Der er dog andre tekniske løsninger der giver færre logningsposter. Hvis kunden har en offentlig IP adresse så behøver du ikke logge noget som helst. Det er åbenlyst ikke en mulighed for mange nye ISP'er.

En anden mulighed er at bruge en løsning som tildeler en port range til hver kunde. Så at kunde A har port 1000-1999, kunde B har port 2000-2999 etc. Så behøver du kun logge tildelte port ranges. Problemet her er at det langt fra er alle CGNAT løsninger der kan fungere på den måde.

Og endelig kan ISP'er bruge symmetrisk NAT. Det betyder at flere kunder kan bruge samme port på samme tid. Kun hvis du også har destination ip/port kan du identificere kunden. Men da det ikke skal logges bliver det umuligt at identificere en enkelt kunde. Du kan kun identificere en gruppe af mulige kunder. Til gengæld er vi tilbage til at lave en logpost per session.

24. februar kl. 00:58
Lektor: Hardwarebegrænsninger er ingen undskyldning for dårlig IoT-sikkerhed

En moderne Philips Hue-pære, der med sine 32 Mhz, 32 KB RAM/512 Kb Flash og hele 250 Kbps båndbredde ifølge lektor på ITU Alessandro Bruni kan håndtere moderne sikkerhedsprotokoller.</p>
<p>...</p>
<p>»Vi er i dag i en position, hvor selv en pære er lige så kraftig som Intels Pentium, så hvis vi kan lave secure banking med dén, kan vi også sikre vores elpærer og al vores anden IoT,« lyder det fra lektoren

Det er faktisk et lidt dårligt eksempel. Vi skal ret langt tilbage for at finde hjemmecomputere med kun 32 KB ram, vi snakker ZX Spectrum fra 1982 ikke Pentium fra 1993. Ja frekvensen på 32 MHz er væsentligt mere end de 4 MHz ZX spectrum kørte med, men den begrænsende faktor bliver RAM. Det er ikke umiddelbart muligt at køre OpenSSL på den platform.

Det er naturligvis fuldt ud muligt at lave en sikker implementering alligevel. Man skal bare gide bruge lidt indsats på det. Men det er ikke muligt at lave den sædvanlige SSL løsning baseret på et bibliotek man lige importere i sit projekt.

16. februar kl. 15:58
Lektor: Hardwarebegrænsninger er ingen undskyldning for dårlig IoT-sikkerhed

Jeg medgiver at teksten under billedet af en CPU er rendyrket vrøvl. Vi tager den lige igen:

Første udgave af den legendariske Intel Pentium-chip kom i 1993 og var med sine svimlende 60 MHz og 16 Mb RAM den første kommercielle chip, der for alvor udnyttede muligheden for at køre flere processer på én gang – bl.a. til gavn for sikkerheden. Den kunne håndtere en båndbredde på 56 Kbps og drev i årevis store dele af verdens bankinfrastruktur. Illustration: Version2

Ja, chippen havde ikke 16 MB RAM, den var ikke den første kommercielle chip der udnyttede muligheden for at køre flere processer, den kan håndtere båndbredder mange tusinder gange større end 56 Kbps. Og så var det mainframe og ikke Pentium der drev store dele af verdens bankinfrastruktur.

Det efterlader årstallet og 60 MHz som det eneste sande i teksten :-) De 60 MHz var dog ikke svimlende da 80486 chippen allerede kørte 66 MHz og kort tid efter ramte 100 MHz.

16. februar kl. 15:14
Europæisk Datatilsyn vil forbyde kontroversiel overvågningssoftware

Men det er ligesom atomvåben. Vores fjender vil blive ved med at udvikle og bruge sådanne ting. Derfor er vi også nødt til det?

Uanset om det er rigtigt eller ej, så vil det blive brugt som argument.

16. februar kl. 13:46
Skelsættende afgørelse: Derfor dumper Google Analytics på GDPR

Hvis GA logger anonymiseret IP (dvs. forskellig per domæne), OS, browser version og skærmstørrelse, så ser jeg ikke et problem med henførbarhed.

Man kan ikke effektivt anonymisere en IPv4 adresse. Der er kun 4 milliarder muligheder og en lookup tabel fylder kun 16 GB.

Det vil virke med IPv6 men det er desværre ikke udbredt nok.

Måske det er ok kun at logge de tre første bytes af IP adressen? 10.20.30.x.

19. januar kl. 18:36
Exchange kløjes i nytåret og blokerer for mails: Microsoft klar med haste-løsning

Hvorfor djævlen får MS ikke én gang for ALLE rette det problem med dato/cock tid.

Jeg er sikker på at de fluks retter det til en unsigned integer og så er det problem løst længe nok (x)... :-)

(x) udvikleren er gået på pension om 21 år. Og hvis ikke, så får han bonus for at gå tilbage og rette det.

4. januar kl. 10:15
Dårlig idé: Alexa opfordrer pige til at kortslutte stikkontakt med mønt

Hvilket endda var unødvendigt, med mindre du samtidig holdt fast i vandhanen eller på anden måde havde forbindelse til jord.</p>
<p>

  1. RCD relæet slår fra.

  2. Det gør stadig nas.

  3. Det er dumt og du kan komme slemt til skade hvis RCD relæet er i fejl og dine sko lidt mere ledende end du lige tror. Det anbefales at tage på skadestuen til kontrol da hjerterytmen kan blive forstyrret.

4. januar kl. 10:10
Dårlig idé: Alexa opfordrer pige til at kortslutte stikkontakt med mønt

Det kan man også i Danmark. Moderne stik har metalspidser og resten er isoleret med plastik. Ældre stik, stik til stor effekt og stik til en f... masse elektronik har "bare ben". Er det stikkontakterne, der er blevet forbedret? Jeg ved det ikke, for mine er vist fra 1964.

Ja tiden står ikke stille. Moderne godkendte stikkontakter er sikret, så børn ikke kan stikke noget ind i et af hullerne. De er også forsænkede, så at det er umuligt at få kontakt til metaldelen af stik samtidig med at der er kontakt til strøm. Stik til laveffekt er også delvist af plastik, så det også er umuligt at få kontakt til strøm, når de kombineres med ældre stikkontakter, der ikke er forsænkede.

Med andre ord, på et moderne apparat vil et af to muligheder være tilfældet:

  1. stikket er rundt og udfylder hele det forsænkede område i stikkontakten.

  2. stikket har ben der er af plastik øverst, således at det ikke er muligt at få kontakt til metaldelen samtidig med at der er kontakt til strøm.

En mobiloplader implementere nummer 2 og det er derfor umuligt i Europa at få stød ved at følge Alexas opfording, som lød således:

Plug in a phone charger about halfway into a wall outlet, then touch a penny to the exposed prongs

Man sælger tilsyneladende stadig den gamle type "smalle" stikkontakt, der ikke er forsænket, men det synes ikke at være almindeligt i nye installationer (måske det ikke må bruges i nye installationer?). Så længe man undgår den type, så er det danske system sikret imod direkte berøring af strømførende metal. Det er ikke kun i England man har tænkt over det :-)

2. januar kl. 10:48
Professor: Udviklere og ingeniører lades i stikken i debat om AI-etik

I øvrigt interessant at AI finder raceforskelle, jeg troede alle racer var "lige". Måske de etiske dilemmaer ligger i at AI ikke er politisk korrekt, og finder nogle ting som ikke burde kunne findes i følge den korrekte opfattelse.

Eller vi berøringsangst. Eksempelvis kunne det være at folk med oprindelse i Mellemøsten har en større tendens til en kræftform i forhold til en anden. Får vi en bedre behandling hvis det ikke tages med i betragtning?

30. december 2021 kl. 08:03
It-folk i panik verden over: Her er, hvad vi ved om Log4Shell

Bortset fra at det var med vilje da det giver øget fleksibilitet. Man har bare ikke gennemskuet at det også kunne misbruges.

16. december 2021 kl. 16:21
Elmålersagen: Fogedsagen tabt. Elmåler skiftet - vi tager en civil sag

Nævnes det direkte i lovgivningen, så ser jeg ingen problemer i, at Energinet får adgang til data fra de, som tilvælger varmepumper. Det betyder ikke, at det skal gælde for alle de, der ikke har tilvalgt dette. Igen ser jeg ingen modstrid mellem lovgivningen og min løsning som en standardløsningen for de fleste.

Det nævnes i kommentarerne til lovgivningen at formålet blandt andet er at give Energinet mulighed for at sammenkøre data fra forskellige energiformer og offentlige databaser. Men love er ikke lavet så at de forkarer sig selv. Så naturligvis står det ikke direkte i loven men det er der hellere ingen andre formål (overhovedet!) der gør.

Jeg synes du er ude i at du bare er uenig med de folkevalgte i Folketinget om hvor meget data der skal indsamles (månedsbasis i stedet for 15 minutter etc). Det er fair nok, det er jeg nok også uenig med dem om. Men det ændrer bare ikke på at Folketinget har lavet loven sådan at der skal indsamles timedata, til forskellige formål som du kan være enig eller uenig i er nødvendigt. Det står direkte i loven at det skal være 15 minutter så det er ikke Energinet der har fundet på den del.

De har taget stilling til GDPR i lovgivningsarbejdet og noteret i kommentarerne til loven at antal personer med adgang til indsamlet data skal begrænses, at der skal anvendes kryptering og at det derudover er lovligt for energiselskaber at indsamle data til at opfylde den retslige forpligtigelse loven udgør.

Så kan man måske mene at det ikke er nok, at de eksempelvis også skulle have begrænset granulariteten mest mulig (måned i stedet for 15 minutter). Men er vi så ikke ude i at du skal have en sag for EU domstolen? Det er ikke noget byretten finder frem til ved at du sagsøger en part, som bare følger loven som den er skrevet.

Endelig så skal man huske at det er samme Folketing der insisterer på ulovlig mobillogning. Det kan godt være at energiforbedringer er eksemplet i lovens kommentarer, men det er uden tvivl meningen at det offentlige kan tjekke alle de ting, som du frygter at de vil tjekke. Ikke det med religion, men de vil helt sikkert godt vide om der snydes med forsøgerpligten, bopælspligt, kontanthjælp og så videre. Det styrker din sag men ændrer ikke på at den ikke kan vindes i byretten.

9. december 2021 kl. 22:02