Jeg har ikke noe å skjule

Jeg har ikke noe å skjule

av

Eystein Hanssen

Jeg har ikke noe å skjule

© Megafon Forlag AS, 2024

Det må ikke kopieres fra denne bok i strid med åndsverkloven eller avtale

om kopiering inngått med KOPINOR, interesseorgan for rettighetshavere

til åndsverk. Kopiering i strid med lov eller avtale kan medf.re erstatningsansvar

og inndragning, og kan straffes med bøter eller fengsel.

Alle henvendelser om rettigheter til denne bok stiles til:

Megafon Forlag AS, Akersgata 7, 0158 Oslo.

Epost: info@megafonforlag.no

1. opplag

ISBN: 978-82-8468-028-6 (trykt utgave)

ISBN: 978-82-8468-029-3 (ebok)

Omslagsdesign: Trine + Kim

Ombrekking: Punktum Forlagstjenester AS

Forfatteren har mottatt støtte fra Norsk faglitterær forfatter- og oversetterforening.

Forord

«Jeg har ikke noe å skjule.» Svaret kommer ofte når man spør om folk tar forholdsregler i sitt digitale liv. Altfor få gjør det, dessverre. Derfor har jeg skrevet denne boka. Den handler om hvorfor du bør ta forholdsregler for å beskytte ditt eget personvern, og hvordan du kan gjøre det.

I hverdagen tenker vi at det vi foretar oss på internett, ikke er særlig interessant for noen. Samtidig er vi etter hvert ganske klare over risikoen for identitetstyveri eller datainnbrudd. Jo mer aktiv du er i det digitale univers, online, jo mer øker muligheten for at noen kan få tak i din identitet og misbruke den.

Med online tenker de fleste internett. Men internett slik vi som har noen år på baken forstår det, med hjemme-PC og mobil, er ikke lenger en dekkende beskrivelse. I praksis er svært mye av det du bruker til daglig, koblet til internett: Mobilen, smartklokka, bilen, TV-en, hvitevarer, radioen, stereoanlegget, strømmåleren, boligalarmen, kaffetrakteren og andre kjøkkenmaskiner – vi har fått Internet of Things, IoT. Ditt digitale fotavtrykk består med andre ord av noe mye større enn nettleserhistorikk og poster i sosiale medier. Den er en logg over alt du gjør.

Det er lett å tenke seg at man kan utnytte et annet menneskes identitet til egen vinning gjennom å kjøpe varer på nettet, ta opp lån eller leie en bil. Men din identitet kan brukes til svært mye annet, og da blir den interessant ikke bare for vanlige nettkriminelle, men for tunge kriminelle og statlige aktører. I den digitale sfæren er skillet mellom kommersiell, kriminell og statlig virksomhet stadig mer utydelig. Jeg vil påstå at vi på mange områder har en tilstand av digitalt anarki. Alle vet at hvis vår identitet havner i hendene til noen andre, kan den bli misbrukt. Samtidig er det ingen som har fullstendig oversikt over alle stedene våre personsensitive opplysninger er lagret.

I FN-rapporten The right to privacy in the digital age (august 2022) slås det fast at mennesker på hele kloden opplever en digital revolusjon der de verktøyene vi til daglig har betydelig nytte av, samtidig kan brukes til å overvåke og påvirke oss. Rapporten trekker særlig fram retten til privat kommunikasjon. I en digital verden er dette synonymt med kryptert kommunikasjon, altså at vi kan utveksle meldinger uten at andre har tilgang og kan lese det vi skriver. Dessverre er listen lang over land som motvirker og blokkerer for privatpersoners mulighet til å kommunisere privat og sikkert med hverandre.

Internett og sosiale medier kjenner ingen grenser. Derfor er også eksemplene i boka tatt fra bokstavelig talt hele verden: det grenseløse cyberspace.

Som denne boka vil fortelle deg, er det to hovedårsaker til at data om deg lagres. Den ene er å tjene penger på hva du foretar deg i den digitale sfæren, altså at noen har inntekter fra den kommersielle verdien av dine digitale bevegelser. Den andre årsaken er innsamling av informasjon i den hensikt å bedrive analyse. Dette kan være for å studere din atferd som forbruker av kommersielle grunner, men like sannsynlig er det at informasjonen samles som ledd i kriminell virksomhet, eller av myndighetsorganer som ønsker å overvåke eller påvirke.

Kanskje har du noe å skjule likevel?

DEL I: Sporing og analyse

Hackeren

Hackeren som sitter foran meg, er en mann i femtiårene. Han ser ut som en hvilken som helst annen person i samme alder med jobb i det private næringslivet. Det eneste man kanskje kan bemerke ved ham, er det årvåkne blikket. Et sånt man finner hos mennesker som har vært nødt til å følge med på omgivelsene.

Alle hackere har et kallenavn. Et nick. Jeg gir vår mann nicket Malstrøm. Hans virkelige nick kan jeg ikke bruke fordi det i enkelte miljøer vil kunne identifisere ham.

«På 90-tallet og begynnelsen av 2000-tallet var hackingen ideologisk,» forteller Malstrøm. «Hackerne var nærmest anarkistiske i sin tilnærming. For eksempel kunne motivet for et hackerangrep være å henge ut en person eller et selskap som hadde opptrådt på en måte som provoserte hackermiljøet.»

Hackerne gjorde opprør mot urettferdighet samtidig som de satte seg til doms over andre folks atferd. En slags videreføring av gatekamper og opprør, men i cyberformat.

Malstrøm fortsetter: «Etter hvert organiserte hackerne seg i grupper på det mørke nettet, det er den delen av internett som ikke er indeksert av søkemotorer. Du fant møteplasser hvor hackeroppdrag ble fordelt på kommersiell basis, og hvor den enkelte hacker selv måtte vise seg kompetent nok til å hente ut informasjon om og forstå et oppdrag.»

Oppdragene kunne være godt betalt. Eksempler på betaling for enklere jobber kunne være fra $200 til $5000, mens betalingen for større oppdrag til en hacker-gruppe kunne gå så høyt som opp mot $1 000 000. Og vi er fortsatt på begynnelsen av 2000-tallet.

I dag har Malstrøm for lengst lagt denne virksomheten bak seg, men hans erfaringer fra hackingens tidlige periode rundt millenniumskiftet gir oss en viktig historisk kontekst.

«Hva var egentlig hensikten med den tidlige hackingen?» spør han retorisk. «Jo, det var like mye å gjøre rampestreker, begå hærverk, ødelegge, i den hensikt å markere seg overfor en person man ikke likte. Økonomisk vinning og svindel kom først senere.»

Jeg spør hva han selv har vært med på.

Malstrøm tenker seg om, formulerer seg varsomt. «Jeg var i kontakt med hackergruppen Anonymous i en periode,» innrømmer han. «Anonymous var organisert som et forum på det mørke nettet, hvor det ble diskutert hvem som burde hackes og hvorfor. Det var med andre ord et resonnement bak hensikten med en hacking. Den kunne både ha en etisk og en politisk begrunnelse. Aktivistisk hacking, om du vil. Hacktivism.»

I starten var Anonymous vel så opptatt av det man kan kalle radikal bølling på internett, eller motherfuckery, som toneangivende medlemmer uttalte til forfatteren Gabrielle Coleman (Hacker, Hoaxer, Whistleblower, Spy – The Many Faces of Anonymous).

Anonymous ble for alvor kjent som en aktivistisk gruppe da de gikk i direkte konflikt med scientologi-kirken i 2008. Bakgrunnen var scientologi-kirkens forsøk på å fjerne et intervju med skuespilleren Tom Cruise, et kjent medlem av kirken, fordi intervjuet inneholdt ufordelaktig informasjon om scientologien. Kampsakene var ytringsfrihet, at internett måtte være fritt og usensurert. Som et av mottoene lød blant Anonymous-demonstranter som tok til gatene iført Guy Fawkes-masker i Berlin, Paris, London, New York, Oslo, Sydney og en rekke andre store byer: «We are the internet!» Sentralt i aksjonen var et DDoS–angrep i 2010 (Distributed Denial of Service/tjenestenektangrep) mot flere av scientologi-kirkens nettsteder.

Et annet eksempel på det Anonymous kaller hacktivism er Operation Payback, også et tjenestenektangrep, i 2010, mot flere lovlige nedlasting- og betalingssider, som en reaksjon på at torrent-siden the Pirate Bay (ulovlig nedlastingssider for film og musikk) ble nedstengt. I 2013 fant en domstol i Virginia i USA tretten av hackerne som deltok i dette angrepet skyldige i ulovlig hacking.

«Etter at enkelte av medlemmene har blitt avslørt og arrestert, er gruppen nå mindre aktiv,» forklarer Malstrøm. «I dag virker det som om de er retningsløse. Spør du meg, lurer jeg på om de ble infiltrert.»

«Infiltrert?»

«Av en etterretningsorganisasjon.»

Malstrøm har et poeng. Den tidligere Anonymous-hackeren Hector Xavier Monsegur, med nicket Sabu, var informant for det amerikanske føderale politiet FBI. De amerikanske påtalemyndighetene roste Monsegur for hans vitale bidrag til at noen av hackerne i kollektivet Anonymous ble avslørt og senere domfelt, mens Monsegur selv hevdet hardnakket at han kun ga fra seg generell informasjon som ikke kunne identifiserte andre hackere. Vi kommer tilbake til hvor kort veien er fra kriminell hacking til statshacking.

Alt startet med internett

To tredeler av jordas vel åtte milliarder innbyggere har tilgang til internett. Som jeg var inne på i forordet, kan det være via mobil, nettbrett, og bærbar eller stasjonær maskin. Eller TV-en, kjøleskapet, klokka, bilen, strømsentralen i huset, tørketrommelen, alarmsystemet … listen er faktisk uendelig.

Det er fantastisk. Det gir en enorm mulighet for spredning av informasjon og kunnskap. I dag skjer dette først og fremst via sosiale medier som Facebook, som i og for seg representerer sine egne typer av protokoller for kommunikasjon (du må være innlogget i et sosialt medium for å kommunisere med andre på samme plattform). Men også via tradisjonelle nettsider som speiler en fysisk publikasjon som VG, eller egne nettmedier som Nettavisen, strømmetjenester som Netflix eller offentlige tjenester som Altinn. Felles for de seriøse aktørene er at du må være innlogget for å få den beste brukeropplevelsen. Og alt baserer seg på den teknologien som ble funnet opp på 60-tallet.

Så, hvordan kom vi hit? Vel, alt startet med internett. Det er omtrent like gammelt som meg. Jeg er født i 1965, og i samme år klarte forskere i USA å koble sammen datanettverk som sto på geografisk forskjellige steder. De hadde utviklet en protokoll for pakkesvitsjing. Pakkesvitsjing kan forklares med at en «pakke» med data sendes til en «pakkesvitsjer», en elektronisk boks som kun har denne oppgaven: Å ta imot og sende videre datapakker fra sender og til mottaker. En protokoll er et regelsett for hvordan kommunikasjon skal foregå mellom to datamaskiner, og som pakkesvitsjen må følge. Protokollen gjør det mulig å sende pakker fra flere avsendere samtidig på samme linje, i motsetning til telefoni, hvor kun én samtale kan finne sted på samme linje til ett bestemt tidspunkt.

Basert på denne teknologien begynte det amerikanske forsvaret å forske på muligheten av å etablere et stort nettverk av datamaskiner. Dette første datanettverket ble kalt Advanced Research Projects Agency Network (ARPANET) og kom i drift i 1969. Den første norske maskinen ble koblet til ARPANET i 1973. Den sto på Norwegian Seismic Array (NORSAR) på Kjeller.

Fra 1969 og fram til midten av 80-tallet var det i hovedsak forsvarsindustrien og akademia som benyttet ARPANET, men allerede på 70-tallet hadde man utviklet teknologien for e-post og chat, og Transmission Control Protocol/Internet Protocol (TCP/IP)-teknologien som vi fortsatt bruker som protokoll for kommunikasjon på Internett. (Internett ble forresten skrevet med stor I helt fram til 2015, da det ifølge Språkrådet ble valgfritt med stor eller liten I). Sett i retrospekt er det ganske betegnende for utviklingen av internettet. Fram til godt innpå 2000-tallet var dette fortsatt ansett som så spesielt at det hadde et egennavn. Men i dag er det merkelig å tenke seg at internett er noe annet enn beskrivelse av en kommunikasjonsplattform. Ingen eier internett. Det bare eksisterer der ute i cyberspace.

På 80-tallet døpte amerikanerne ARPANET om til National Science Foundation Network (NSFNET), og man ga kommersielle aktører tilgang til teknologien. Det markerer overgangen til neste fase. Og den grunnleggende teknologien var TCP/IP. Denne protokollen inneholder et sett med regler som gjør det mulig for alle datamaskiner å kommunisere med hverandre. En enkel, genial og vakker teknologi.

På 90-tallet ble internett for alvor kommersialisert. Fram til da var internettet forbeholdt brukere med en viss datakunnskap. Teknologien som ble brukt var ikke spesielt brukervennlig, og det å sette opp en kommunikasjon for eksempel for e-post kunne være en relativt komplisert affære for de som ikke hadde dataferdigheter.

Men i 1989 fant den britiske datainnovatøren Tim Berners-Lee opp World Wide Web (WWW). Han er også mannen bak Hyper Text Markup Language (HTML), Hyper Text Protocol (HTTP) og Uniform Resource Locator (URL).

I sum danner Berners-Lees innovasjoner sammen med ARPANET grunnlaget for internett slik vi kjenner det i dag.

Vi blir sporet overalt

Alt vi foretar oss på nettet blir registrert. Det er vårt digitale fotavtrykk. Det mest typiske eksemplet er søkehistorikken fra din nettleser: Hver gang du åpner Chrome, Safari, Edge, Firefox, Opera eller de fleste andre nettlesere, registreres og lagres det du foretar deg.

På et overordnet nivå kan vi skille mellom aktive og passive fotavtrykk. De passive er de vi ikke vet at vi legger igjen, de aktive er de vi med vilje legger igjen. Eksempler på aktivt fotavtrykk er når du poster noe i et sosialt medium, sender e-post, skriver en produktomtale, et innlegg på en blogg eller gir tilbakemeldinger på en nettside eller en bedrift. Det er en aktiv, villet handling der vi ønsker å dele et bilde, en lenke eller en betraktning.

Et eksempel på et passivt fotavtrykk er når en nettside registrer at du besøker den og lagrer data om deg som den senere kan bruke, uten å spørre deg om lov.

Hver gang du poster noe i et sosialt medium – de største er Facebook, YouTube, WhatsApp, Messenger, Instagram, WeChat, TikTok, Duyon og Telegram – legger du igjen en mengde informasjon om deg selv: Geografisk stedsinformasjon om hvor du befinner deg kalles geolokasjon. Dette er enten basert enten på IP-adresser, eller GPS (Global Positioning System, et satellittnavigasjonssystem for hele kloden). Ellers logges tidspunktet for når du gjør hva, hva slags enhet du benytter deg av (MAC-adresse), enhetens tilkoblingspunkter (IP-adresse), hva slags nettleser du benytter.

Det samme er tilfellet om du logger deg inn på nettbanken, kjøper kinobilletter, handler klær: Alle steder hvor du har en konto du kan logge deg inn på, blir du selv logget. Dette er ditt passive fotavtrykk.

I hovedsak er det to måter nettaktivitet blir lagret på. For det første logges all kommunikasjon mellom to dataenheter. Når vi for eksempel logger inn i nettbanken, eksisterer det en logg både i nettbankens server og på din enhet om at du har besøkt nettbanken. I tillegg vil selve internettrafikken bli registrert, og GSM-masten mobilen din kobles til. Den andre måten informasjon om deg samles inn på, er via informasjonskapsler (cookies).

Vi må være bevisst både vårt aktive og passive avtrykk. Det er også slik at all informasjon kan sammenstilles. Eksempelvis kan informasjon du har gitt et aktivt samtykke til å dele i en sammenheng, la oss si i forbindelse med at du lager en konto i et sosialt medium, sammenstilles med informasjon du ikke har gitt samtykke til å dele.

En siste innledende merknad om nettlesere og søk: Det fins nettlesere og søkemotorer som ikke sporer deg i samme grad, eller i det hele tatt. For eksempel Brave, DuckDuckGo og Mullvad. Og selvsagt Tor. Dette kan du lese mer om i appendikset bakerst i boka.

Uansett hva vi foretar oss på nettet, legger vi altså igjen digitale spor. Dette er vårt digitale fotavtrykk. Men før vi kan gi en god beskrivelse av hvordan disse digitale sporene oppstår, er det enkelte begreper vi er nødt til å forstå:

IP – Internet Protocol

Internet Protocol (IP) er en protokoll, et regelsett, for hvordan kommunikasjon skal foregå på internett. Enkelt forklart gårds- og bruksnummer for hele internett. Den sikrer at kommunikasjon, eller pakker med data, forflytter seg til riktig adresse. Det enkleste eksemplet er nettleseren din. Når vi taster inn for eksempel https://vg.no så vil nettleseren din vite at den skal til IP-adressen 195.88.55.16, som er en av IP-adressene VG benytter seg av. Det er enkelt å bekrefte dette: Bare tast inn adressen i nettleserens søkefelt, så ender du på https://vg.no.

Din egen enhet har også en slik adresse. Internet Protocol sørger for at din datamaskin og VGs datamaskin er enige om hvordan man skal kommunisere.

Internett

Internett er alle enhetene i verdensveven (World Wide Web) som er koblet sammen via Internet Protocol.

MAC-adresse

MAC står for Media Access Control og er en unik identitet som produsenten av enheten du bruker på nettet, har «brent inn» i maskinen. Alle dingser som kan koble seg på nettet har en slik adresse. Det åpenbare er mobilen, den bærbare datamaskinen, nettbrettet, TV-en du har koblet til nettet, men etter hvert må vi også regne med kjøleskapet, tørketrommelen, strømmåleren, bilen og alle enheter vi har i hjemmet som er koblet til.

Ethernet

Ethernet er en protokoll for å koble datamaskiner sammen via datakabler. Standarden heter IEEE 802.3. Alle datamaskiner eller andre enheter som kan kobles til et nettverk har denne standarden innebygget. LAN er Local Area Network (for eksempel nettverket på et kontor eller i et hus), WAN er Wide Area Network beskriver flere sammenkoblede LAN.

WIFI

Wifi (wireless fidelity) er en trådløs kommunikasjonsteknologi som gjør det mulig for elektroniske enheter å kommunisere via radiobølger uten kabel. Et wifi-nettverk er et trådløst LAN eller WAN.

Bluetooth

Bluetooth er en annen trådløs teknologi med kortere rekkevidde enn wifi. I praksis er rekkevidden ikke lenger enn 20 meter, ofte mindre. Bluetooth opererer i frekvensområdet 2.402 til 2.48 GHz.

GSM

GSM (Global System for Mobile Communications) er en digital standard for mobiltelefoni. Over nitti prosent av verdens mobiltelefoner er GSM-mobiler. I tillegg til mobiler kan andre digitale enheter som smartklokker og nettbrett ha GSM innebygget.

GPS

GPS (Global Positioning System) er et satellittbasert posisjoneringssystem. Det kan benyttes både til navigering og til å dokumentere hvor en enhet med innebygget GPS befinner seg, ned til 0,5 meters nøyaktighet. Smartmobiler og smartklokker har innebygget GPS.

Biometri

Biometri er måling av biometriske mønstre. Har du fingeravtrykkidentifisering på mobilen eller datamaskinen din, er det biometri: Ditt avleste fingeravtrykk sammenlignes med det lagrede fingeravtrykket lokalt på din maskin eller mobil. Ansiktsgjenkjenning er det samme.

Skylagring

Skylagring er en teknologi der data lagres på servere tilkoblet internett. Dataserveren kan stå hvor som helst så lenge den har en nettforbindelse.

Informasjonskapsler

Informasjonskapsler, eller cookies, er små filer bestående av tekst og tall som identifiserer deg som bruker på et nettsted, mens andre typer informasjonskapsler samler inn informasjon om hvordan du navigerer på en nettside og hva du foretar deg der. Informasjonskapsler er sentrale i svært mye av trafikken på internett, og hver gang du besøker et nytt nettsted og får opp fanen «godta informasjonskapsler», er det tillatelse til å spore bevegelsene dine du blir bedt om å gi fra deg. I mange tilfeller samler en nettside inn informasjon du ikke har gitt tillatelse til. GDPR-bestemmelsene fra 2018 er laget for å forhindre dette.

Sosiale medier har gjerne informasjonskapsler plassert på andre populære nettsteder. Informasjon om hva du har klikket på i eksempelvis en nettbutikk blir sendt tilbake til Facebook, som igjen kan presentere en annonse i din feed for samme eller et tilsvarende produkt.

Virus

Virus er ondsinnet programvare laget for å overvåke og stjele informasjon, ta kontroll over en datamaskin, låse en datamaskin slik at du ikke lenger kan logge inn eller rett og slett bare lage trøbbel.

Kunstig intelligens

Kunstig intelligens er datamaskiner koblet sammen i såkalte nevrale nettverk som etterligner den menneskelige hjernes evne til å tenke og fatte egne beslutninger. Se eget kapittel om KI senere i boka.