Næste stop: Det mørke internet

Vi lader som om et billede af mit pas fra lufthavnen uhindret og ganske sikkert, via en slags Swuush-magi, uantastet glider gennem luften og lander på en sikker server i Herlev. Og her ligger billedet så på en eller anden harddisk, hvor kun nogle særligt sikkerhedsgodkendte svenskere, og en enkelt mand fra DSB, har lov til at kigge på det. Og vi forestiller os, at de ikke gør noget ved det.

De kigger og kontrollerer bare – mens rummet omkring dem lyser af dokumentation, effektivitet og orden i sagerne. Billederne af passene ligger dér for at opfylde et transportøransvar jo, ikke for noget som helst andet. Men måske ser verden slet ikke sådan ud?

Måske har verden ikke set sådan ud meget, meget længe. Måske er det alt for sent at reagere, når vi endelig opdager det. Når vi slår øjnene op, og opdager at al data flyder. At data er som fjer i en pude, der er gået hul på. Når først fjerene svæver rundt i rummet, er det komplet umuligt at få dem ind i puden igen. At vi aldrig mere kommer til at sove roligt om natten, med hovedet på dén pude. Og at dynen, sengen og soveværelset faktisk også er væk.

Jeg er data

I den verden som IT-sikkerhedsfolk, efterretningstjenester, terrorister og cyberkriminelle bebor, sker der nemlig noget helt andet: Billedet af mit pas er lavet om til data. Data, der kan fungere som kontrolinstans og give mig adgang. Men også data der ville kunne give en anden person samme adgang, hvis han var i besiddelse af den. Data der kan volde mig store problemer, hvis den laves om – eller vises til mennesker, der vil mig det ondt.

Securitas´ smart-phone-kameraer digitaliserer mit pas og omskaber det til nuller og ettaller i meget store bunker, og lægger det hele på den interne hukommelse i telefonen. Et stykke software sender herefter en kopi af dataen afsted gennem luften, over et 4G-datanetværk. Måske slettes de originale data i telefonen samtidig – det har en vis betydning. For så længe de data rammer det rigtige netværk, står verden endnu.

Men i det virkelige cyberspace, behøver det slet ikke at gå sådan. Hvis nogen f.eks. har anskaffet sig en IMSI-catcher. IMSI-catcher er en forkortelse af International Mobile Subscriber Identity-catcher, og den fanger væsentlig mere end en telefons IMSI-nummer. Den fungerer nemlig som en falsk mobilmast – en falsk basestation, og er en slags man-in-the-middle, der narrer en smartphone til at tro, at den er bedre tjent med at bruge dén, i stedet for det netværk, telefonen normalt ville bruge. Når IMSI-catcheren fungerer som ‘mellemmand’ den computer, der kan være forbundet til IMSI-catcheren, adgang til de data der sendes. Det gør den fordi den indbyggede kryptering/kodning er slået fra, når data ledes gennem IMSI-catcheren. IMSI-catchere, eller Stingrays som amerikansk politi kalder dem, kom på dagsordenen sidste år.

I Norge fandt man, ved hjælp af en scanner, en masse af dem nær Stortinget. Det var en stor skandale, og Aftenposten skrev bunker af historier om det. I Sverige opdagede man også en del af dem nær Rigsdagen. Der blev skrevet flere artikler. Man prøvede at presse efterretningstjenesterne til at gøre noget. Intet skete. Måske fordi det var efterretningstjenesterne selv, der havde stillet dem op, måske for at sikre sig mod terrorister med mobiler? Vi ved det ikke. Historien døde.

Sikkerhedstestet

Hvis man har penge og kontakter, kan man skaffe sig sådan et kræ. Og stille sig et sted i nærheden af lufthavnen og suge data op, mine og dine data.
Men det bekymrer ikke rigtig nogen. Slet ikke DSB.
»Vores løsning, både appen og det bagvedliggende system, fra MobilePeople er blevet sikkerhedstestet«, lyder det igen og igen, og det er sikkert også rigtigt.
Problemet er, at identitetsdata, der kan bruges til at lave falske pas med, er meget, meget værdifulde i de rigtige hænder.
»Identitetsdata er det mest værdifulde vi som individer har! Og det burde ikke være lagt ud til private aktører at håndtere dem. Dét er en myndighedsopgave. Og udfra de svar man har fået, kommer man meget i tvivl om, hvorvidt der er styr på det. Det mest bekymrede er, at data ligger hos trejde part, ikke hos DSB. Er der ekstra bemanding på? Er der styr på sikkerhedsgodkendelser? Alt der har at gøre med pas og kørekort er et nationalt anliggende, det er ikke noget man kan privatisere« siger Jens Chr. Monrad, sikkerhedsekspert hos amerikanske FireEye.

Han har, ligesom jeg, også en række visioner, eller skræmmescenarier for, hvad der kan ske med dataen. Eller rettere, hvem der kunne være interesserede i dem: En ting er IT-kriminelle, men hvad med diverse fremmede efterretningstjenester, syriske poltiske grupperinger eller terrorister, der er på jagt efter en ny identitet? Der er nok af købere. Og hvis der er det, så er der sælgere.

Mørke internet

Og vi er er først lige begyndt på historien – indtil videre har dataen kun lige forladt telefonen og bevæger sig i ingenmandsland sammen med nogen login-koder der måske, måske ikke, er krypterede.
Nu rammer de serveren, og hvis de kan det, så kan alt mulig andet også.
»IT-sikkerhedsekspert, Peter Kruse, fra CSIS, (har tidligere kritiseret) at databasen havde ‘front mod internettet’ og dermed gav hackere mulighed for at prøve sig frem med forskellige typer angreb.

Selv om DSB har afvist, at det skulle være et problem, har selskabet alligevel valgt at lukke for internetadgangen, så det nu ifølge DSB alene er Securitas-vagternes specielle telefoner, som kan kommunikere med databasen,« skriver Berlingske Tidende.

Den sikre server var altså på et tidspunkt koblet til nettet. Og det er i teorien praktisk og smart. For eksempel hvis svensk politi har lyst til at checke data-basen hjemme fra Stockholm eller Malmø, og så bare kan koble sig op. Men hvis de kan, så kan andre også…

I Politiken er Direktør Ulf Munkedal fra IT-sikkerhedsfirmaet ForConsult endnu mere forbeholden: »Hvert pas, de tager et billede af, er direkte penge værd på det mørke internet, hvor identitetstyveri er blevet en kæmpe økonomi. Der er en interesse i at få fingrene i det, og konsekvensen er ubehagelig for de involverede. Og selv om DSB sletter billederne fra telefonen, så snart de er sendt til serveren, så kan man altså gendanne forbløffende mange ting fra en smartphone,« siger Ulf Munkedal.

Polaroid og notesblok?

Søndag 10. januar laver jeg et radioprogram om hele balladen og hiver tre eksperter i sikkerhed i studiet. Dagen efter får jeg et tweet. Mads Dahl mener ikke, at jeg er kritisk nok. Overfor kritikerne: »Måske en ide med kritiske spørgsmål også til gæsterne? For eksempel, hvad skulle DSB gøre i stedet? Polaroid kamera & notesbog?,« skriver han. Og ja, hvad skal DSB dog gøre? Hvad skal vi alle sammen gøre? Mit svar er, at alle løsninger der ikke benytter sig af internet og trådløse overførsler, vil være bedre. Et off-line digitalt kamera tager billedet og gemmer det på et hukommelseskort. Det lægges så manuelt ind på offline computer. DSB er i mellemtiden blevet endnu mere radikale end jeg. De vil slet ikke tage billeder.

11. januar skriver DSBs direktør Flemming Jensen til de svenske myndigheder med en stille bøn: Kan vi ikke nøjes med at checke folks ID, ikke fotografere det? »Det kunne gøre hele processen hurtigere, og vi ved, at nogle kunder er lidt utrygge ved at skulle have deres id fotograferet. Det har vi spurgt de svenske myndigheder om, men vi har ikke fået noget svar tilbage. Vi lever op til alle de datasikkerhedsmæssige krav, der er, men det er klart, at det i sig selv er besværligt,« siger Flemming Jensen, til Ritzau.

Hans bønner er endnu ikke blevet hørt – svenskerne har sagt de vil tænke over det. Indtil da, skal der fortsat registreres og gemmes billeder i databasen i Herlev. Den database som kun ét menneske, fra DSB, angiveligt har adgang til. Og således står alting stille, vibrerende, sammenpresset og bliver varmere og varmere.

NETS og CSC

Så lad os endelig tale om noget andet. Om fortiden. Om den systemadministrator der arbejdede for NETS, og som var i stand til at overvåge og lave kopier af enkelte, interessante, kreditkorttransaktioner for Se og Hør mod betaling. Det skulle være det mest sikre i hele verden – vores penge! Men som systemadministrator havde manden adgang til alle oplysninger, og til at slette de logfiler, der ville vise, at han havde tilgået dem. Den slags er sikkert fikset nu? Håber vi.

Og håb har vi brug for, hvis min vision om ‘infokalypsen’ er korrekt: Al data flyder nemlig, og kun en vej: Ud. Hvis nogen har glemt hvad der skete med den berømte CSC-hackersag i 2012, så var det faktisk ikke kun noget med en fingernem, tastaturklikkende langskægget svensker, der havde været indenfor hos CSC, Computer Science Cooperation, og pille lidt hist og her. Det var værre. Det var en katastrofe.

Ifølge Datatilsynets undersøgelse af CSC-hacket havde han nemlig adgang til hele kørekortregisteret, kriminalregisteret, skat og CPR. Det som Christian Panton fra Bitbureauet kalder »kronjuvelerne af persondata.«

Engang var den slags noget der lå i lukkede systemer og store hængemapper, i endeløse kontorer befolket af embedsmandsansatte ordensfanatikere. Nu ligger det på en server i Valby hos et stort amerikansk firma, der ikke kunne passe på det – og der ligger det stadig. »Datatilsynet må anse det for overvejende sandsynligt, at hackeren har været i stand til at bryde den kryptering, der var på RACF-databasens indhold, og dermed tilgå indholdet. På denne baggrund – og fordi hackeren vides at have tilegnet sig ubegrænsede rettigheder til at tilgå alle data på mainframen – må alle data på mainframen og hele det delte disksystem anses for eksponeret og potentielt kompromitteret ved hackerangrebet«, skrev datatilsynet i en ‘Udtalelse om hackerangrebet på CSC i forhold til Moderniseringsstyrelsen,’ den 17. december sidste år.

Det lyder teknisk. Og det er det. Men der er en kort, forpustet konklusion: Det betyder, at ‘infokalypsen’ er en realitet – at alle de her data fra kørekortregisteret, kriminalregisteret, skat og CPR er kopieret, og efter al sandsynlighed ligger og gemmer sig et eller andet sted, uden for CSCs sorte mure. Det gør de til nogen samler dem op, og begynder at bruge dem til noget.

Alt kan manipuleres

Jamen det er der da ikke nogen, der har fortalt dig noget om? Nej. Det er der ikke. For hvad skulle vi gøre ved det? Standse digitaliseringen? Slå fuld kraft bak og lave nye, sikre, systemer fra bunden?
Det er for sent nu, toget er kørt og der er grafitti på alle sider, ‘fastIT’ står der henover alle tagsene med bred, matsort spraymaling.

DSB selv er bare en lille bitte vogn på hele det tog vi alle sammen nu hamrer afsted på. Spisevognen er som bekendt røget, og skinnerne, ja, dem lægger vi mens vi kører. Hvor vi er på vej hen, er der tilsyneladende ikke nogen der bekymrer sig om – så længe vi holder dampen oppe, skal det nok gå, fremad!
Data flyder ud. Alt det vi engang bestod af, det der var os, og som lå et sted, hvor vi kunne finde det igen, det er nu derude. Selv kirkebøgerne, hvor vi engang var analogt og sindrigt registreret på papir med håndskrift, er nu blevet digitale.

Alt der er digitalt kan manipuleres. Jeg gentager: Alt digitalt kan manipuleres, og vi kan ikke se forskel på en original og en kopi. Vi er blevet ettaller og nuller, og vi triller rundt over grænserne. Vi er alle sammen flygtninge, på vej væk fra det, der engang var os selv og hen mod et blafrende, udokumenteret, manipulerbart – nu.

Skyggeprofilen

Mellem Tyskland og Danmark står politiet stadig og vinker folk ind til siden. Det er lige blevet bestemt, at det skal de fortsætte med, i hvert fald 30 dage endnu, det siger statsministeren bag sin hvide talerstol, og også dén virker sært opløst på skærmen på min NEXUS 6, drevet af software fra GOOGLE, som den konstant er i kontakt med, mens den bygger min skyggeprofil, min digitale kopi som den kan sparre med, inden den begynder at manipulere mig til at købe eller ligefrem gøre noget…

Det er onsdag. Politiet har netop fået tilladelse til at lave automatisk nummerplade scanning, ANPG. Hver gang en patruljevogn passerer en privat bil, scanner de nummerpladen og gemmer den, sammen med placeringen på bilen via GPS-kode. Det er smart, så kan man straks se, om vi har glemt at betale bøder, eller registreringsafgifter, eller har stjålet bilen. Og selv om vi ikke har gjort noget forkert, så ved man hvor vi har været.

Det skal kun gemmes i 24 timer, med alle mulige gode undtagelser, som for eksempel ‘særlige omstændigheder’, som det hedder i loven. Politiet kan scanne 600.000 biler om dagen. Det vil tage en lille uge, så er alle danske biler på et kort og i en database. Fastfrosset på en sikker server. Der kan de så ligge og hygge sig ved siden af rejsekortets CPR-numre og betalingskort og bevægelsesmønstre og MobilePays fulde oversigt over, hvad du bruger af penge, hvem der får dem, og hvor du er. Læg dertil den digitale kirkebogs stille lysende sider.

DSBs lille server i Herlev betyder nok ingenting.

Den bliver aldrig hacket. Ingen tager data og gør noget slemt. Og hvis de gør, så har vi jo ikke noget at skjule for vores egen skyggeprofil? Det er nat. Under mig et stolesæde, i mine hænder et tastatur og på skærmen ord, der nu står på din skærm.
De sitrer lidt, de ord, gør de ikke? Der er noget bag dem, og det er ikke mig, så vidt jeg ved, for også jeg er nu forsvundet bag mig selv. Lad forvitringen begynde.

Udenfor sner det voldsomt…. hvidt.