Personvern og beskytte egen data

Nå i disse tider er det blitt ganske mye fokus på personvernet og det å ha en fornuftig praksis i forhold til å ta vare på- og beskytte data som man har på nettet, om det nå er data i skylagringer som dropbox og google drive, eller om det er e-post.

Litt av årsaken til at jeg ville skrive litt om hvordan jeg gjør det personlig i forhold til disse tingene, er på grunn av et par artikler som har kommet siste dagene;
Den ene, som omhandler Yahoo, kan du lese på denne lenken: https://www.wsj.com/articles/yahoo-bucking-industry-scans-emails-for-data-to-sell-advertisers-1535466959

Det er hovedsaklig at de går ut til annonsører og sier at de scanner e-postene til kundene, ca 200 millioner innbokser, og kan tilby detaljert informasjon derifra som kan brukes til målrettet reklame.

Den andre artikkelen omhandler at landene som utgjør “five eyes,” en ring av allierte land som utveksler (konfidensiell) informasjon og etteretning og består av USA, Storbritannia, Australia, New Zealand og Canada, nå har bestemt at bedrifter som tilbyr tjenester innen kommunikasjon og informasjon skal bygge inn funksjonalitet slik at myndighetene skal få full tilgang til dataene som ligger hos de. Lenke til full artikkel er her: https://www.cnet.com/news/us-five-eyes-allies-take-aim-at-tech-companies-over-encryption/

Hvorfor bør man beskytte data mot andre parter?

Dette handler ikke noe om at man har noe man må skjule for myndigheter eller andre parter, men det handler om respekt for privatlivet og andres eiendom, om det så er filer eller kommunikasjon som e-post eller meldinger. Og det faktum at om en part har en “bakdør” inn i et system, er det bare et spørsmål om tid før noen andre har det.

En analogi som er brukt tidligere for dette er at man hadde heller ikke likt at noen kunne stå på utsiden av vinduet i huset eller leiligheten din og registrere alt du gjør og sier i ditt eget hus, selv om det ikke er noe som er skadelig eller ulovlig. Det er det som fort blir tilfelle med data som ligger på nettet om man ikke tar noen forholdsregler for det.

Som nevnt i de artiklene jeg lenket til over, foregår slikt i stor grad allerede, og det er store krefter i sving for å få enda mer tilgang til folk sine data og kommunikasjon. Tjenester som er geografisk lokalisert i de landene som utgjør “five eyes” er spesielt utsatt siden de er underlagt deres lovgivning. Noen bedrifter har vært flinke med å beskytte innholdet i tjenestene ved å kryptere dataene til brukerne på brukerne sine enheter før opplasting. Det gjør at andre parter ikke kan lese dataene selv om de på en eller annen måte får tilgang til serverne de ligger på, annet enn om krypteringsnøklene også er tilgjengelige på serveren. Dessverre er det nok ikke flertallet som krypterer data. For eksempel vil kryptering av innholdet bety et stort problem for de som lever av å hente ut informasjon fra kundenes data som ligger på serverne for å selge til annonsører, som f.eks Yahoo, sannsynligvis Google, og flere.

Det gjør at om de får et pålegg fra f.eks myndighetene om å utlevere data, eller blir hacket og får innhold på avveie fra serverne, kan dette være i klartekst og kan leses av hvem som helst.

Et eksempel der data er kryptert på brukernes enheter, lastet opp på en skytjeneste, men likevel er utrygg på grunn av at krypteringsnøklene også ligger på servere der, er Apple i Kina. De ble pålagt av kinesiske myndigheter å lagre krypteringsnøklene til kinesiske brukere på servere i Kina, noe Apple gikk med på. Det gjør at kinesiske myndigheter kan få tak i en nøkkel- og data tilhørende en bruker, og da ha tilgang til alt innholdet. Da forsvinner også hensikten med krypteringen, til en viss grad. Dette tilfellet kan leses mer om her: https://www.wsj.com/articles/apple-to-start-putting-sensitive-encryption-keys-in-china-1519497574

Alternativ til tjenester

Jeg er nok kanskje over gjennomsnittet opptatt av det med datasikkerhet og prinsipielt personvern, men det er også mye sunn fornuft i det om man tenker litt gjennom det. Det er ikke en dårlig ting å ta ansvar for egne data og egen kommunikasjon.

I den forbindelse har jeg tatt i bruk andre tjenester enn de “vanlige” som er kjent, som dropbox, google gmail, facebook messenger, m.m.

For e-post bruker jeg Protonmail, som er åpen kildekode. Dette har jeg også nevnt tidligere her. Det er en e-posttjeneste som er lokalisert i Sveits og som har alt innholdet på serverne kryptert. Man kan også sende e-post med ende-til-ende kryptert innhold til alle protonmail-brukere, eller andre brukere av andre tjenester så lenge de andre tjenestene støtter PGP-kryptering. Protonmail får ikke på noe tidspunkt tilgang til krypteringsnøkkelen som låser opp innholdet på serveren og i e-postene dine da den kun vil være på dine enheter som du bruker til å logge på med, såkalt “zero access policy.” De har apper til iOS og Android, og en god og brukervennlig webside. De støtter også 2-faktorautentisering. De har en gratis tjeneste med èn e-postadresse og 500 MB lagring, men du kan også betale ca en 50-lapp pr mnd for opptil 5 adresser og 5 GB med lagring. Du kan lese mer om sikkerheten deres her: https://protonmail.com/security-details.

For skylagring, hvor jeg tidligere har brukt Google Drive og Dropbox, har jeg nå gått over til Tresorit. Det er en tjeneste som fungerer likt med dropbox, men all data blir kryptert lokalt på enhetene før opplasting og ligger da trygt på serverne deres. De har heller ikke tilgang til krypteringsnøkkelen som blir brukt til å kryptere dataene med ved opplastning, så selv om innholdet på serverne skulle komme ut, har de ingen mulighet til å dekryptere den dataen. Tjenesten er brukervennlig, og fungerer ganske likt med dropbox, men er mer fleksibel. Man har apper til stort sett alle mobile platformer, samt Windows, Linux og Mac. Du kan også lese mer om sikkerheten her: https://tresorit.com/security. Prismessig, for 200 GB lagring og opp til 5 enheter tilkoblet koster et abonnement ca. 100 kr mnd.

I forhold til meldinger bruker jeg Signal. Det er gratis, åpen kildekode, og det er apper til alle mobilplatformer, samt desktop apps til Windows, Mac og Linux. Den støtter, i tillegg til meldinger, video- og lydsamtaler. Alt er ende-til-ende kryptert så det er trygg kommunikasjon. På Android kan den også settes som standard meldingsapp og sende/motta vanlig SMS i tillegg. De er dog ikke krypterte. Det er ifølge flere steder den beste krypterte meldingsappen tilgjengelig nå. Andre apper, som WhatsApp, bruker Signal sin krypteringsprotokoll, men de har andre forhold som gjør at jeg stoler mer på Signal direkte. Du kan lese mer om Signal på https://signal.org. En artikkel fra Wired omtaler også Signal her: https://www.wired.com/story/ditch-all-those-other-messaging-apps-heres-why-you-should-use-signal.

DNS

DNS-oppslag er noe som tradisjonelt sett har- og fortatt blir sendt i klartekst gjennom UDP. Om man bruker standardoppsettet på routeren man får av internettleverandøren sin, er dette normalt sett til DNS-tjenerene som driftes av den internettleverandøren. Stort sett helt ok, men det som er greit å tenke over er at de har da full oversikt over hva du går inn på på nettet.

En kjapp påminnelse av hvordan DNS fungerer:
Alt på internett har sine internettadresser, såkalte IP-adresser. Et eksempel er 213.162.246.78, som er larshoydal.no.
Når du skriver inn www.larshoydal.no i nettleseren, vet ikke den på hvilken server denne nettsiden ligger. Den sender da en forespørsel til DNS-tjeneren den har fått oppgitt og spør etter IP-adressen til dette vertsnavnet. I alle tilfeller hvor et slikt vertsnavn blir brukt i stedet for en IP-adresse direkte, vil denne prosessen skje. De som kontrollerer denne DNS-tjeneren kan da ha full oversikt over hva du på din IP-adresse (som du har fått av internettleverandøren din), søker opp av vertsnavn på DNS-tjeneren.

Det som ofte blir tatt opp som et scenario er at disse DNS-tjenerene ikke nødvendigvis har all verdens med sikkerhetsfunksjoner eller ikke er oppdatert programvaremessig, slik at de kan ha potensielle svakheter som kan som utnyttes av f.eks personer med ikke så gode hensikter. En slik potensiell trussel er  at i stedet for å få den korrekte IP-adressen for et vertsnavn, kan du få en annen som peker til en ondsinnet nettside. Dette skjer ikke ofte, men det er ikke umulig. Dette er kjent som et “man in the middle” angrep der en ondsinnet part plukker opp DNS-forespørselen din på vei til DNS-tjeneren, utgir seg for å være den korrekte DNS-tjeneren, og sender et uriktig svar tilbake.

Det som kan være anbefalt er å bruke en av de større DNS-tjenerne på internett, som f.eks CloudFlare eller Google. CloudFlare er den raskeste serveren, og har ingen logger over hvilke oppslag som blir gjort mot den. Den har IP-adresse 1.1.1.1 og 1.0.0.1 om man vil bruke den. Den støtter også en rekke sikkerhetsfunksjoner som f.eks DNSSEC, og har støtte for DNS over TLS og DNS over HTTPS.

Et alternativ, som jeg bruker selv, er å få kryptert DNS-trafikken mellom DNS-serveren og enhetene dine gjennom DNS over HTTPS eller DNS over TLS. På den måten kan ikke noen lese det av på veien og/eller sende uekte svar tilbake til enheten din. Dette er funksjonalitet som er ganske ny, og som ikke er så veldig utbredt ennå.

En brukervennlig programvare som benytter DNS over HTTPS er Simple DNScrypt. Det kan man laste ned og installere på Windows. For Linux eksisterer en annen versjon som heter bare DNScrypt, og er basert på kommandolinje. Begge de kan man enten sette opp som bruk på bare den enkelte enheten, eller som en intern server på lokalnettet ditt slik at du ber de andre enhetene dine sende DNS-oppslag til den lokale IP-adressen til den enheten på nettet ditt. Det bør i så fall være en statisk IP-adresse på den enheten, ikke en som kan forandre seg ved å få den servert gjennom DHCP.

Normalt sett er ikke dette noe mannen i gata trenger å være noe redd for, men om man ikke er redd for å leke litt med innstillingene, og vet litt hva man gjør, er det en grei ting å sette opp for å ha mer kontroll over hvilken informasjon folk kan få tak i når du sender slike forespørsler over nettet. I USA er dette blitt et ganske stort tema etter at internettleverandørene der fikk frie tøyler til å bruke denne slags informasjon i bl.a annonsesalg og kan i mye større grad enn her bestemme hva kunder skal få se og ikke få se på nettet, noe som står mer om denne artikkelen: https://eu.usatoday.com/story/tech/news/2017/04/04/isps-can-now-collect-and-sell-your-data-what-know-internet-privacy/100015356.

Jeg kunne skrevet mye mer om forskjellige temaer innen dette, men jeg føler at det jeg har nevnt nå dekker det mye av det som folk fleste vil kunne relatere til. Merk at alt dette er basert på egne erfaringer og anbefalinger og egene undersøkelser jeg har gjort selv, så det er et subjektivt innlegg. Noen vil kanskje kalle det litt over toppen for paranoia, men for min del så handler det bare om å ha kontroll på hvor min kommunikasjon og lagrede data er og hvem som har tilgang til det. Send meg gjerne spørsmål og kommentarer om i forhold til innholdet her, om du har noen av de.

Going over to encrypted messaging

Recently I’ve become more aware of where my communication goes when I communicate online. This is not because I have any reason to be sceptical per se, but it’s more of a principal matter.

One reference here: — Yahoo secretly scanned customer emails for U.S. intelligence

In light of this, I have made the choice of not using US services for important communications, be it Facebook, Apple (iMessage, etc) or Google.

I do use these services, but it is for normal stuff — liking cat photos, sharing my own photos, see what friends and family are sharing, etc.

Even if a US service says it doesn’t share information on users and comms with authorities, I dont trust it, because of the general way the entire system works over there (read: the US), and it has lost the little trust I had in it.

And in general I prefer Open Source services. I’ll happily support good services to keep them going.

Sooo, I have made a decision to use services in countries with privacy laws I know are better, like here (Norway — for now), Sweden, Germany and Switzerland. The main mail service I use for important emails like sharing bank informations with friends and family and other important data is ProtonMail, with encryption enabled.

For messaging, I prefer to use Signal, and perhaps Telegram. I do use local SMS for general messages, and for general mails with non-important content — like cat photos — I use gmail, like I have done since the beta in the early 2000’s.

Perhaps I’ll get viewed as a paranoid ‘tinfoil hat’ person that all to often comes portrayed in movies like Woody Harrelson’s role in the movie ‘2012’ — “It’s the government, maaan!” — but I think it is OK to be somewhat aware of how the communication flows, how it is secured, and who might be looking at it without you knowing.

Oh, I forgot to mention, I also use NordVPN for most of my online surfing, be it reading news or logging into my bank. And I have activated two-factor authentication on all services that offers it, and I’m careful with the services that doesn’t.

I believe it is smart to be aware and to take measures to secure my communication, both for me and for those I communicate with. I wouldn’t like to have someone looking in my window to see what I’m doing, even if I’m just sitting in my couch or eating dinner. For me, the principle is the same with being on the internet.

If you read this and have tips about services and vpn providers you have good experience with, you’re welcome to comment below.