Peter Valdemar Mørch

EU’s cloud-chef: Open source har kæmpe betydning for Europa

Jeg har altid syntes, at særligt når det offentlige køber konsulent ydelser til at udvikle udvidelser eller tilretninger til proprietær software, at vi så som samfund burde kræve resultatet i en open source licens, med copyright hos den der betaler for det. Så kan kommune B bruge det som kommune A har fået udviklet, evt. med et par patches. og vi kan alle holde øje med kvaliteten.

Det har jeg indtryk af at meget få offentlige kunder overhovedet beder om eller har med i overvejelserne.

7. april kl. 07:35
EU’s cloud-chef: Open source har kæmpe betydning for Europa

Jeg har altid syntes, at særligt når det offentlige køber konsulent ydelser til at udvikle udvidelser eller tilretninger til proprietær software, at vi så som samfund burde kræve resultatet i en open source licens, med copyright hos den der betaler for det. Så kan kommune B bruge det som kommune A har fået udviklet, evt. med et par patches. og vi kan alle holde øje med kvaliteten.

Det har jeg indtryk af at meget få offentlige kunder overhovedet beder om eller har med i overvejelserne.

7. april kl. 07:35
EU’s cloud-chef: Open source har kæmpe betydning for Europa

Jeg har altid syntes, at særligt når det offentlige køber konsulent ydelser til at udvikle udvidelser eller tilretninger til proprietær software, at vi så som samfund burde kræve resultatet i en open source licens, med copyright hos den der betaler for det. Så kan kommune B bruge det som kommune A har fået udviklet, evt. med et par patches. og vi kan alle holde øje med kvaliteten.

Det har jeg indtryk af at meget få offentlige kunder overhovedet beder om eller har med i overvejelserne.

7. april kl. 07:35
Datatilsynet slår fast: Klartekst-data til USA er som hovedregel ulovligt

såfremt nøglen til LUKS systemet så indhentes/indtastes på en sikker måde ved boot/mount

Og det er jo lige det. Hvis jeg sidder i Danmark, skal starte en server og indtaste et password eller en nøgle, har lille jeg jo ingen mulighed for at sikre at HTML formen til at indstaste passwordet kun behandles af sikker kode inde i en særlig enclave.

Eller der der nogen der kan forklare hvordan man kan lave et garanteret sikkert system, selvom vi giver angriberne root access til hele miljøet uden om enclaven, og jeg skal indtaste passwordet remote fra? Hvordan kan jeg f.eks. sikre mig at det ikke bare er en simulation af en enclave, som NSA har sat op med en FISA court order?

P.t. kan jeg ikke se at det kan lade sig gøre.

Selvom jeg værdsætter nye teknologier som gør det sværere at f.eks. aflytte en VM, så ændre det ikke på det fakta – at det i sidste ende er tillid - som det drejer sig om.

Jeg kan ikke se at det kan være anderledes.

15. marts kl. 17:05
Datatilsynet slår fast: Klartekst-data til USA er som hovedregel ulovligt

Og lad os lige slå fast: kryptering "at rest" dvs. på disken, men ukrypteret i RAM er ikke nok. Derypteringsnøglen må slet ikke være tilgængelig af en amerikansk cloud tjeneste under nogen form. Derfor er alt på AWS undtagen rå storage ikke brugbart.

14. marts kl. 06:53
Datatilsynet slår fast: Klartekst-data til USA er som hovedregel ulovligt

Så man har noget at vise de cloud konsulenter der "fortolker"reglerne på kreative måder.

Den går nemlig ikke. Udover krypter og gem i S3. Virtuelle maskiner, kubernetes, databaser og 99% af de andre cloud tjenester kan ikke benyttes ud over i meget særlige tilfælde.

Så må vi i gang med at bruge og støtte de europæiske alternativer: Hetzner, OVH og hvad de ellers hedder.

14. marts kl. 06:47
Microsoft stopper alt salg af nye produkter i Rusland

Så måske skal russerne finde ... Linux 1.0 frem

Nyeste Linux kan de jo altid køre fordi det er open source.

Nyeste Android (uden Google Services) ligeså.

Men min tankerække viser jo hvor sårbar man kan være hvis man bruger ikke-open source kode til noget som helst vigtigt.

8. marts kl. 11:41
Microsoft stopper alt salg af nye produkter i Rusland

Kan man købe en ny Windows licens?

Kan man købe en ny PC med Windows præinstalleret?

Tænk hvis Tech branchen nu gik skridtet videre... Hvis du bor i Rusland:

Du kan fra den ene dag til den anden ikke længere bruge Windows 10 eller Mac OS. Den vil simpelt hen ikke boote. Det samme for din Android eller Apple telefon.

Der udsendes en hasteopdatering fra Microsoft til alle Windows servere og desktops, MacOS, VMware mm. i Rusland der krypterer alle diske i Rusland og slukker maskinerne.

AWS, GCP og Azure slukker for alle services til russiske kunder.

Du kan ikke logge ind med 365.

Du kan ikke bruge Office online, Gmail, Google search, SAP, osv.

Det ville nok gøre en smule mere ondt.

8. marts kl. 10:21
Svenske myndigheder vil skrotte amerikansk cloud: Her er alternativerne

Det gode spørgsmål er vel...

... hvor ligger nøglerne? Hvis de ligger på Nextcloud serverne (og det gør de), så har det meget begrænset værdi.

3. januar kl. 13:00
Stor Schrems II-guide: Status og svar på de 17 vigtigste spørgsmål

Hej Jesper,

Tak for dit svar.

Så vi og f.eks. Datatilsynet er enige om at det ikke er til at finde ud af. Og at derfor vil Datatilsynet se igennem fingre med min lille virksomhed laver noget der er non-kompliant. Great.

Om spørgsmålene og "i visse tilfælde"

Spørgsmål 7 har netop 3 kategorier ”contractual”, ”technical” og ”organisational”. Mit og Martins eksempler er netop konstrueret så det ikke er muligt at bruge ”technical” supplerende foranstaltninger da der ikke er noget kryptering involeret.

Spørgsmål 8 snakker netop om kryptering, som der med vilje ikke er noget af i vore eksempler.

For hvis man skal anvende kryptering så spørgsmål 8 kan finde andvendelse kan man kun bruge cloud løsninger til storage og så forsvinder 99% af use cases. (Og nej, homomorphic encryption er ikke klar til brug i praksis)

Spørgsmål 9 siger:

Hvis du kan få en US-cloudleverandør til at skrive i databehandleraftalen, at de aldrig overfører personoplysninger ud af EU (hvilket pt. er svært), så siger eksempel 10 i Datatilsynets vejledning, at kunden som udgangspunkt er på sikker grund.

Min lille virksomhed med én ansat kan helt sikkert ikke få Microsoft til noget som helst. Kan jeg i praksis i deres self-service univers finde et dokument hvor der står at: "de aldrig overfører personoplysninger ud af EU"? Nej, vel?

Spørgsmål 13 siger at jeg kan benytte en "juridisk kattelem" hvis jeg kan demonstrere at f.eks. FISA 702 i praksis ikke bliver brugt på min virtuelle maskine eller Martins storage instans i Azure.

Går man den vej, vil man eksempelvis kunne finde argumenter såsom at FISA 702 ikke finder anvendelse på en given SaaS-løsning

Konkret for en viruel maskine eller en storage instans i Azure: Kan NSA anvende FISA 702 på netop dem?

Hvis det kun afhænger af SaaS løsningen må man kunne lave en konkret tabel ala:

SaaS Løsning FISA 702 kan anvendes Azure D2 Virtuel Maskine Ja Azure Storage Instans Nej AWS System XYZ Ja GCP System ABC Nej ... ...

Men jeg har aldrig set sådan en tabel. For jeg tror ikke den kan laves. Fordi ingen har interesse i at gøre det konkret så man kan træffe konkrete afgørelser.

Hvis det også afhænger af om man kan søge på en specifik person, må det også gøre at FISA 702 kan anvendes, for både min database og Martins storage data vil indholde specifikke personer som søgenøgler for at være anvendelige (og det vil næsten alle andre use cases også.)

Sammenfatning

Mit og Martins konkrete eksempler er netop konstrueret for at dække de andvendelser af Azure, AWS og GCP der er de allermest almindelige.

Spørgsmål 7, 8 og 9 er klart ude så vidt jeg kan se. Jeg har meget svært ved at se at Spørgsmål 13 kan finde andvendelse. Særligt med de begrænsede ressourcer som min (hypotetiske) enmandsvirksomhed har. Men jeg kan ikke få nogen til at sige: Dit og Martins eksempler er klokkeklart non-compliant (eller det modsatte).

Jeg får personligt mistanken om at Datatilsynet egentlig mener at jeg ikke må anvende mit og Martins eksempelsystemer til at gemme GDPR data, men at de manger modet til at bekende kulør og sige det utvetydigt, for så er 99% af alle anvendelser af skytjenester på den forkerte side af loven, og det vil få uoverskuelige økonmiske konsekvenser for alt for mange virksomheder.

Eller må jeg bare acceptere at jura er mere gråt end jeg håber? Og mit ønske om et stort/hvidt svar er urimeligt eller naivt?

25. november 2021 kl. 18:18
Stor Schrems II-guide: Status og svar på de 17 vigtigste spørgsmål

Som virksomhed lagrer du een samtykkende persons skostørrelse på en storage instans i Azure. Må man det?</p>
<p>...</p>
<p>Svaret er det samme, som til dit eksempel.

Og svaret er?

Hvis vi ikke kan få et entydigt svar på det, hvad er så chancen for at finde en afgørelse man kan bruge til noget når det bliver lange mere kompliceret?

@Jesper eller andre: Må man det?

25. november 2021 kl. 11:07
Stor Schrems II-guide: Status og svar på de 17 vigtigste spørgsmål

Tusind tak for en meget fin arkikel.

I håbet om at gøre dette mere håndgribeligt, kunne vi så ikke gøre det helt konkret?

Vi forestiller os at jeg vil lave en virksomhed der sælger en SaaS løsning, hvor mine kunder kan gemme information om deres kontakter (det bliver nok ikke en stor success).

Jeg opretter en Postgresql database i en virtuel maskine i Azure og en Java app der viser en GUI med login og CRUD (Create, Retrieve, Update, Delete) operationer for kontaktoplysninger for min kundes 117 kontakter. Al kontakt info (navn, email, addresse, fødselsdato og evt. CPR nummer) gemmes i postgresql databasen i ukrypteret form til disk. Jeg bruger et helt standard Ubuntu Server 20.04 LTS image og en standard D2 instans i Azure og vælger "Region: North Europe". Alt med default værdier. Hvis der er noget kryptering er det kun HTTPS mod brugerens browser og hvad Azure ellers giver mig med sine defaultværdier.

Der må gerne være en Terms-of-service side som kunden skal godkende med en hvilken som helst tekst som gør at det kan godkendes.

Må man det? Kan man få et entydigt binært ja/nej når jeg nu har gjort det 100% konkret?

Hvorfor skal vi alle læse 79 PDF filer på 27 sider hver, som jeg som ikke-jurist har præcis 0% chance for at hive et binært ja/nej svar ud af.

Hvis jeg ikke kan få et binært ja/nej svar selvom det er 100% konkret, er det så fordi der er "nogen" der ikke tør sige højt og utvetydigt:

Man må ikke gemme eller tilgå personhenførbare data i en USA-nsk sky

fordi de økonmiske konsekvenser for samfundet er uoverskuelige? Er det her problemet ligger?

Og ellers har vi tekniske folk da ikke en chance med bruger- og forretningskrav på den ene side og jura på den anden.

Tilsvarende, kunne man også have omformuleret eksemplet til:

  • I en EC2 instance i AWS?
  • I en Google Cloud instans?
  • I en kubernetes pod i de tre miljøer?
  • I hostede databaser i de tre miljøer?

Eller:

  • Gemme backups i Amazon S3 buckets, så længe de er forsvarligt krypteret først her i DK og krypteringsnøglen kun kan findes på min egen laptop her i DK? (Det er vist entydigt ok)

Kunne man lave et par konkrete eksempler (evt. nogle andre) på noget man entydigt må og noget man entydigt ikke må, som ikke er til at fortolke eller misforstå? Det ville i hvert fald hjælpe mig...

24. november 2021 kl. 19:36
På trods af hype og store konsulent-satsninger: Blockchain-revolutionen er udskudt

Derfor bør cryotovaluta forbydes i hele den vestlige verden.

Det håber jeg virkeligt ikke.

Vi har ikke fundet den perfekte løsning. Men jeg synes at de gamle banker og finansinstitutioner har lukreret med alskens uhyrlige gebryrer i al for lang tid. Det er på tide med lidt disruption. Og håber jeg vi kan holde løsningsrummet åbent så længe som muligt.

F.eks. hvis jeg overfører kr. 100 til dig med netbank bliver de taget fra min konto i dag og krediteret på din konto i morgen. Banken (eller nogen andre end dig og mig) skorer renten for den manglende dag. Det er på tide med noget disruption.

1. november 2021 kl. 12:31
På trods af hype og store konsulent-satsninger: Blockchain-revolutionen er udskudt

Lad os ikke glemme at det centrale i en blockchain, "a chain of blocks", er datastrukturen merkle tree.

Og jeg antager ikke at nogen vil betvivle at git har taget verden med storm og reelt totalt udraderet alle versionskontrol konkurrenter . Så jeg synes at git er et fænomonalt eksempel på en blockchain, der virkerlig har haft success ude i verden. (Mange vil dog måske (med rette?) mene at der skal mere til at være en blockchain en blot at være en merkle tree).

1. november 2021 kl. 11:18
På trods af hype og store konsulent-satsninger: Blockchain-revolutionen er udskudt

Blockchain gemmer al historien 100% sikkert så man kan afsløre om nogen har modificeret den, og GDPR har via retten til at blive glemt et krav om at man skal kunne rette i historien. Så man kan ikke gemme GDPR-beskyttet data i en blockchain.

Og så er anvendeligheden stærkt begrænset.

Og jo, der er work-arounds: kun gemme henvisninger til off-chain data eller kryptere data hvor man så kan smide den private nøgle væk for at slette. Men så kan man lige så godt lade være...

29. oktober 2021 kl. 07:32
Myndigheds-krav til Google: Android-brugere skal let kunne vælge søgemaskine

Microsoft og Google har fået at vide de skal åbne op, men jeg fatter ikke at vi kollektivt kan leve med de talrige måder Apple og særligt iOS fastsætter begrænsninger og hårdkoder Apples måde at gøre ting på.

29. oktober 2021 kl. 07:17
Den danske spilbranche er et guldæg uden rede

Skønt at læse. Jeg blev lidt klogere på et emne jeg ellers kun har perifær interesse for. Bliv endelig ved!

3. oktober 2021 kl. 09:06
Rapport: Cloud-tjenesters forsyningskæder gør kunder sårbare

Og 96 pct. af tredjepart-containerapplikationer i cloud-infrastruktur indeholdt velkendte sårbarheder.

Et scan af både et dugfriskt Ubuntu og redhat image med Harbor viser talrige sårbarheder. Dem jeg har undersøgt var alle falske positiver.

Så er det reelle exploitable sårbarheder? Eller støj?

Lyder tallet 96% lyder ikke utroværdigt?

29. september 2021 kl. 21:18
Nyt offline-krypteringsværktøj hjælper iranere med at kommunikere skjult for regimet

Nahoft-appen er blevet downloadet 4.300 gange.

<Sølvpapirhat>

Og efter en kort samtale mellem en repræsentant fra Irans regering og Googles salgsansvarlige for Iran, blev 4303 mennesker anholdt...

</Sølvpapirhat>

22. september 2021 kl. 07:20
Efter stort ransomware-angreb: Gratis dekrypteringsværktøj til Revil-ofre

... hvor »en pålidelig retshåndhævelsespartner« laver en eksklusivaftale med et kommercielt firma i stedet for bare at offentliggøre dekrypteringsnøglerne - eventuelt anonymt.

22. september 2021 kl. 07:12