Skip to content

KRIPOS driter seg ut.

Identitet
I kjølvatnet av Tele2-saka har KRIPOS dumma seg ut.

I dag har dei nemleg raida 52(!) personer, og beslaglagt masse PC-utstyr. Dei har spora folk gjennom fleire proxyar, og brukt tid og pengar på dette. Kvifor?

Eg meiner oppriktig at dette er feil måte å angripe det på! Personane som laga programmet avslørte eit stort problem, og fekk sett det på dagsorden. Rett nok var det ei handling som opna for vidstrakt misbruk, men hullet var der allereie, og då er Full Disclosure av og til siste utveg. Spesielt når Tele2 har vore klar over problemet lenge utan å handle.

Kvifor går KRIPOS etter dei som avslørte store sikkerhetshol? Kvifor raider ikkje KRIPOS Tele2 sine hovudkontor? Tele2 viste trass alt om holet i over eit halvt år, før det vart offentleggjort. Holet i sidene deira er rimeleg klart i strid med Personopplysningslova:

§ 13. Informasjonssikkerhet

Den behandlingsansvarlige og databehandleren skal gjennom planlagte og systematiske tiltak sørge for tilfredsstillende informasjonssikkerhet med hensyn til konfidensialitet, integritet og tilgjengelighet ved behandling av personopplysninger.

For å oppnå tilfredsstillende informasjonssikkerhet skal den behandlingsansvarlige og databehandleren dokumentere informasjonssystemet og sikkerhetstiltakene. Dokumentasjonen skal være tilgjengelig for medarbeiderne hos den behandlingsansvarlige og hos databehandleren. Dokumentasjonen skal også være tilgjengelig for Datatilsynet og Personvernnemnda.

Difor er KRIPOS sin ressursbruk her sterkt uansvarleg etter mi meining. Dei verkelege skurkane, Tele2, går fri, medan politiet kastar vekk mykje pengar på uviktige ting! Og kva kjem ut av det? Eg tipper på 52 saker stempla “Henlagt”. Og ingen sak mot Tele2.

Dette illustrerer kor viktig sterk kryptografi og anonymisierande proxyer er! Ta i bruk kryptografi og proxier!

[Digg] [Reddit] [Google] [StumbleUpon]

{ 12 } Comments

  1. Peter | 20070914 at 10:02 | Permalink

    Synes det er bra at KRIPOS griper inn. De går jo ikke nødvendigvis etter de som laget programmet (og stod for full disclosure), men etter de som sitter på sensitiv informasjon etter å ha misbrukt programmet.

    Jeg er helt enig i at tele2 burde ha handlet når de visste om feilen, og jeg er helt enig i at KRIPOS ikke trenger å bry seg om hvem som laget programmet, MEN jeg er veldig glad for at KRIPOS prøver å hente tilbake informasjonen fra de som har misbrukt PoC-koden til egen vinning.

    Jeg er blandt dem som ble rammet og jeg er ikke særlig glad for noen der ute sitter med omtrent det som er av personopplysninger om meg. Jeg skylder på tele2, ikke utvikleren, men antakelig sitter utvikleren bare på et mindretall av informasjon som ble hentet i testfasen (Hvem vet, kanskje han til og med slettet det da han så det funket), men mange der ute har brukt programmet for å selge personopplysninger videre, og det er vel de KRIPOS er ute etter å stoppe.

  2. vidarlo | 20070914 at 10:08 | Permalink

    Problemet er måten kripos går fram på. Dersom eg skulle kjørt slikt i vinnings hensikt, så hadde eg sikra at det ikkje var sporbart tilbake til meg. Dei som faktisk har kjørt det så åpent at kripos finn noko vil neppe utnytte det.

    Eit heilt anna spørsmål er kven som skal etterforskast. Skal personar som har prøvd PoC-koden på kanskje eit par hundre personnummer straffast?

    Og er det nødvendig at kripos stiller med 6 personer, og beslaglegger alt IT-utstyr til en person? For å deretter røske vedkommande ut av senga og inn i avhør?

    Og dei som har gjort dette i vinnings hensikt er nok såpass bevandra i IT-verdenen at dei har rimelig solid kryptografi, og det blir fort umulig for kripos å bevise noko.

    Kort sagt; for meg verkar det som kripos gjentar DVD-Jon: Totalt overkill, for å skremme og terrorisere, for å så la saka renne ut i sanden eller tape så det synger etter i retten.

    Når det kjem til datakrim er KRIPOS mildt sagt dårlige etter det eg har lest i media. Dessuten er det påfallande at kripos ikkje har offentleggjort at dei etterforsker Tele2. For tele2 har jo beviseleg begått eit, etter mi meining, grovt brot på personopplysningslova. Dei hadde hatt rimelig mykje større truverde i mine auge dersom dei samtidig som å gå til aksjon mot “personnummer-piratane” hadde oppretta sak mot Tele2.

    Og om dei har oppretta sak mot tele2, så burde dei offentleggjere det faktum at dei har gjort det!

  3. KRIPOS | 20070914 at 12:43 | Permalink

    Enig med Peter…. All Ære til KRIPOS som faktisk gikk ut å hentet inn igjen alt det som hentes kan i denne saken. Er også berørt av saken……

  4. vidarlo | 20070914 at 13:05 | Permalink

    Enig med Peter…. All Ære til KRIPOS som faktisk gikk ut å hentet inn igjen alt det som hentes kan i denne saken. Er også berørt av saken……

    Å anta at opplysninger kan hentast til bake er naivt. Det er snakk om digital informasjon, som kan kopierast verda rundt på minutt.

    Viare kan ikkje kripos finne ut om informasjonen er der eller ikkje dersom den er kryptert, og dei kan ikkje slette alt som er beslaglagt bare fordi det kan vere ulovleg.

    Personar med ondsinna hensikter har garantert solgt informasjonen for lenge sidan, så denne aksjonen frå kripos vil ikkje endre en ting når det gjeld potensialet for misbruk.

    Og ja, eg er sjølv berørt i den forstand at min informasjon finst på avvege. Men eg kan ikkje gjere noko med det, og eg meiner kripos bør samarbeide med datatilsynet for å straffe tele2, som gjorde dette mogeleg, og å ta dei som misbruker informasjon. For eg vil ikkje ha eit samfunn der politiet terroriserer folk på feilaktig grunnlag.

  5. Bjørge | 20070914 at 14:01 | Permalink

    Håper du ikke tror på at Tor sikrer deg anonymitet! Den overfører alt ukryptert mellom nodene og det er lett å plukke opp informasjon som går over nettet dersom du administrer en tor-node! Det er ganske mange uærlige sjeler der ute som har tor-noder nettopp av denne grunn…

  6. Gisle Hannemyr | 20070914 at 14:02 | Permalink

    Selv om publiserte en offentlig “tilståelse” i Klassekampen tidlegere denne uka (http://hannemyr.com/essay/pvern01.html), så er jeg (så langt) ikke blant de 52.

    Jeg mener at Kripos i denne saken gjør noe mer enn å “drite seg ut” – de bryter med viktige prinsipper i rettsstaten. Politiet kan ikke trakassere folk bare fordi noen ikke “liker” det de gjør. Skal politiet handle, så må det finnes lovhjemmel for å gjøre det. Det er i Norge ikke straffbart å samle inn personopplysninger, og det blir ikke straffbart bare fordi noen som burde sikret informasjonen bedre ikke har gjort jobben sin. Det politiet holder på her er ren trakassering, og det hører ikke hjemme i en rettsstat.

    Til Peter og andre som tror at Kripos kan “hente tilbake” informasjonen – hvilken klode befinner dere, dere på?

    Noen lurer sikkert på hvorfor vi gjorde dette mot Altinn, Tele2 og en håndfull andre teleoperatører.

    Jeg er opptatt av personvern, og digitalt design, og som engasjert samfunnborger dødsfrustrert at de som designer slike systemer setter “sikkerhet” sist på lista når de lager spesifikasjoner til ymse datasystemer.

    Når det avdekkes sikkerhetsfeil, så forventer jeg at feilene blir rettet – eller dersom de ikke rettes – at de som samfunnet har satt til å passe på disse tingene (dvs. Datatilsynet og Politiet) bruker de maktmidler de er tildelt av samfunnet til å sørge for at de ansvarlige (dvs. Tele2 et al.) følger loven.

    Det skjedde ikke i dette tilfellet. Datatilsynet sendte rigktignok et “dette er ikke helt bra”-brev i sept. 2006 – men var alt for slappe i oppfølgingen. Selv når saken eksploderte i mediene i juli 2007 var det ingen som fulgte opp – verken Tele2, Datatilsynet, eller Politiet.

    Da følte jeg (og sannsynligvis også andre) at det var på idé å sende et litt kraftigere signal om “Hallo! Noe er galt her! Noe som det absolutt bør gjøres noe med.”

    Hvordan sender man et slikt signal. Jo, vet å sørge for at 60 000 nordmenn får et brev i posten om at uvedkommende har kredittsjekket dem (at noen også bestilte SIM-kort og abonnenter i deres navn er imidlertid å gå over streken, fordi det er handlinger som går ut over en uskyldig tredjepart).

    Jeg mener det norske folk er oss som gjorde dette en stor takk skyldig, fordi vi endelig fikk Altinn, Tele2 et al til å innse at de hadde et problem med designet sitt, etter at de som burde tatt affære tydeligvis ikke gjorde jobben sin.

    At Peter og andre ikke står klar for å takke meg og de andre, kan jeg leve med.

  7. Stian | 20070915 at 02:46 | Permalink

    For to dager siden skriver du at Kripos foretok raid “I dag”. Jeg har hørt fra andre kilder om ransakelser som startet helt tilbake for en måneds tid siden og ikke direkte av Kripos men av lokal politimyndighet.

  8. Thomas | 20070915 at 10:58 | Permalink

    Kripos har det for vane å utføre ‘raid’ i mangel på teknisk kompetanse. Tro meg, jeg vet hva jeg snakker om (har inside info på området).

    Enten det er mangen på kompetanse, ressurser (eller penger) – så kjører de en teknikk som sier det er lettere å besøke hjemmet til noen – som kanskje vet noe – en å foreta en whois på et domene for å finne ut hvem som eier det eller hvor serverne står.

    Høres helt utrolig ut, men slik er Norge anno 2007 – Kripos er totalt hjelpesløse når det kommer til nettkriminalitet, men teknikken deres – å raide massevis av uskyldige folk, fungerer sikkert bra nok.

  9. Kenneth | 20070917 at 04:10 | Permalink

    Thomas: Ja, med all den raidinga til KRIPOS så får de i alle fall det ut til å se ut som om de har kommet noen vei. At de holder på med slike terroraksjoner mot enkeltpersoner som kun har hentet ut et par nummer, enten i ren nyskjerrighet eller testing – er for meg helt latterlig.

    Og bevisføring? Ja jeg sier som vidar – det blir nok 52 stempel med “henlagt”. Men men, da får i alle fall KRIPOS-ansatte skjødesløst puttet skattepengene til det norske folk i lomma.

  10. vidarlo | 20070917 at 09:34 | Permalink

    Då har Dagbladet fått med seg Gisle Hannemyr! Godt at han tar opp saka!

  11. |Fatman| | 20070918 at 10:10 | Permalink

    En aldri så liten oppfølging på den siste kommentaren; Ikke overraskende mener Kripos de har rett i denne saken:

    Artikkel i dagbladet:
    http://www.dagbladet.no/dinside/2007/09/17/512336.html

  12. vidarlo | 20070918 at 11:10 | Permalink

    En aldri så liten oppfølging på den siste kommentaren; Ikke overraskende mener Kripos de har rett i denne saken:

    Det ville vore verkeleg skandale om kripos ikkje meinte dei hadde rett…;)

Post a Comment

Your email is never published nor shared. Required fields are marked *