Du sköna nya nätvaro

Svarta lådor. Det kallar ingenjörer system där vi känner till vad som går in i systemet och vad som kommer ut ur det, men inte vad som händer däremellan.

När CIA-handläggaren Edward Snowden i somras läckte dokument från den amerikanska underrättelsetjänsten NSA gläntade han på locket till den svarta låda som vi kallar internet. Många visste att övervakning pågår, men få visste hur och i vilket omfång den utförs.

– NSA:s datorövervakning är extremt svår att upptäcka, det krävdes en läcka för att se hur de bär sig åt, säger Christopher Kullenberg, vetenskapssociolog på Göteborgs universitet och nätaktivist.

Kullenberg vet vad han talar om. Som deltagare i den ”hacktivistiska” gruppen Telecomix har han aktivt deltagit i insatser till stöd för protesterna under den så kallade arabvåren. När president Hosni Mubarak i januari 2011 bröt alla internetförbindelser till Egypten, arrangerade Kullenberg och hans kamrater via gamla modem en nätanslutning för 50 egyptiska demokratiaktivister. ­Tillräckligt många för att garantera informationsflödet in och ut ur landet.

Senare samma år ingrep Telecomix i Syrien. Gruppen avslöjade att det amerikanska företaget Bluecoat sålt tiotals datorer till Syriens regering. Datorerna används för att kontrollera landets internettrafik. Senast i maj uttryckte Reportrar utan gränser sin oro över att systemet utnyttjas i repressiva syften.

– Bluecoat-avslöjandet visade hur länderna i Nordafrika och Mellanöstern har byggt upp övervakningsapparater med hjälp av västerländsk teknologi, säger Kullenberg.

Insatsen mot Syrien måste ha trampat någon på tårna, eftersom franska aktivister i Telecomix snart varnades av syriska agenter. Även Telecomix webbsidor attackerades av vad som misstänktes vara Syrian Electronic Army, en grupp regimtrogna hackers.

Men Bluecoat och det syriska spionsystemet är småpotatis jämfört med de resurser NSA har.

– NSA är oändligt mycket mera avancerat än säkerhetstjänsterna i norra Afrika och Mellanöstern. NSA har en större budget, större teknologiska kunskaper, de bästa matematikerna och dataingenjörerna.

Men trots att NSA även utnyttjar dataintrång är deras viktigaste trumfkort inte nödvändigtvis den tekniska expertisen.

– NSA har juridisk tillgång till alla sociala medier som Facebook, Twitter och Youtube. De behöver inte göra dataintrång, utan kan gå den lagliga vägen.

En kontrarevolution
Den svenska nätaktivisten och samtidshistorikern Rasmus Fleischer har pratat om en ”kontrarevolution” på internet. För tio år sedan trodde många att internet oundvikligen skulle bli mera distribuerat och decentraliserat. Men utvecklingen under de senaste åren har tvärtom gått åt motsatt håll. En ansenlig del av trafiken på internet går i dag till några få aktörer.

– Kontrarevolutionen är av ett sent datum, det som på allvar satte i gång den var populariserandet av Facebook, säger Kullenberg.

Facebook var kanske den första i en rad medieindustriella jättar vars tjänster blivit standard för varje nätanvändare.

– Det som tidigare krävde tekniskt kunnande och ofta befann sig i en juridisk gråzon blev plötsligt lättillgängligt. Tidigare var The Pirate Bay den viktigaste platsen för att se nya Hollywood-filmer på internet eller hitta ny musik. Nu har Netflix och Spotify tagit över respektive funktioner.

Samtidigt som internet blivit allt viktigare i vår vardag, har förståelsen för de tekniska lösningarna blivit allt sämre. På 1990-talet var nätanslutningarna fortfarande långsamma och gränsen mellan tillvaron på internet klart avskild från livet ”offline”. Att koppla upp till internet krävde en viss ansträngning.

– När vi åker i en bil tänker vi inte på att det är tusentals komponenter som gör att vi kan åka 100 kilometer i timmen. På samma sätt glömmer vi bort alla steg som gör att vi kan skicka e-post till Brasilien på några sekunder. Nu äntligen har internet blivit så användarvänligt att vi inte ser det längre, men det har också tydliga nackdelar, säger Kullenberg.

Uppe i molnet
Flera teknologiska innovationer har drivit på utvecklingen. Gemensamt för dem alla är att de gjort internet och nättjänster mera tillgängliga för vanliga användare.

Under de senaste åren har så kallade molntjänster blivit allt populärare. Snabba nätanslutningar gör att vi lagrar allt färre filer på vår egen dator och i stället har dem i serverhallar hos olika storföretag, i ”molnet”. Medan bittorrent-protokollet som även The Pirate Bay utnyttjade fungerade distribuerat enligt principen p2p (”peer-to-peer”, det vill säga användare till användare),koncentrerar molnet all data till några aktörer. Vi lagrar våra filer i Dropbox, vår e-post i Gmail, ser våra filmer på Youtube eller Netflix, lyssnar på musik via Spotify och så vidare.

– Molntjänsterna är väldigt användarvänliga, man behöver inte ha en massa hårddiskar som surrar hemma. Men samtidigt tappar man kontrollen över sin data, säger Kullenberg.

De flesta stora molntjänster har också ingått avtal med NSA. Avtalen befinner i ett juridiskt mörker, eftersom företagen inte har tillåtelse att redovisa dem öppet.

– Vad molnet gör är att den flyttar din hårddisk från ditt hem till en annan plats, oftast i USA. Din hårddisk blir tillgänglig för övervakning på ett helt annat sätt. Det är väldigt svårt att övervaka din usb-hårddisk som du har hemma, men mycket enkelt att övervaka din molndisk.

En annan teknisk innovation som gjort att en allt större del av vår vardag sker ”till näts” är smarttelefonernas genombrott. Telefonerna med sina pekskärmar uppmuntrar till användarvänliga och okomplicerade tekniska lösningar. Användargränssnittet på telefonerna är enkelt, men tekniken som driver apparaterna vet vi väldigt lite om. Samtidigt utvidgar smarttelefonerna radikalt sfären av sammanhang som är ”online”.

– Låt oss säga att jag uppdaterar min Facebook-status på gatan med min mobiltelefon. Om man bröt ner den tekniska processen i varje enskild rad av datorkod som krävs för att genomföra statusuppdateringen då ser jag också exakt var någonstans jag blir övervakad. Men det behöver ingen människa se längre, förutom de som programmerar telefonerna. Allt det här gör övervakningen osynlig.

Övervakning som affärsmodell
Utvecklingen av molntjänster och smarttelefoner har varit nära knuten till nya affärsmodeller på nätet. Reklam har sedan millennieskiftet varit en av de främsta källorna till intäkter för nätföretag. Men medan annonsörerna tidigare sprang blint efter stora trafikflöden, vill de flesta i dag ha kvalitet för pengarna. Det viktigaste är inte att så många som möjligt ser reklamen, utan att så många som möjligt köper den annonserade produkten. För att garantera ett intresse för reklamen, måste företagen som säljer reklamutrymme känna till sina användare så bra som möjligt.

Ett nyckelord i sammanhanget är metadata, ”data om data”. Metadata om en person kan beskriva våra kontaktnät på Facebook eller våra surfvanor.

– Molnet gör att man kan generera metadata, bekräftar Kullenberg.

– Om Spotify lagrar alla musikfiler kan de också veta vem som lyssnar på dem, hur länge de lyssnar och så vidare. Därför kan man anpassa reklamen till användarens position och lyssnarprofil. Därför borde man utgå från att Spotify är ett företag i övervakningsbranschen.

Genom metadata kan företag som Spotify alltså sälja reklam som riktas individuellt till varje användare.

– Den första frågan man borde ställa är vad molnleverantören tjänar pengar på. Säljer de lagringsutrymme eller betalar jag genom att de får läsa mina filer? säger Kullenberg.

Spotify är som sagt inte ensamt om den här formen av annonsering. Google har sedan 2009 anpassat sina sökresultat till användarens tidigare beteende. Eftersom så många i dag har ett konto på någon Google-tjänst som Google+, Gmail eller You­tube är också allt fler ständigt inloggade på Google medan de surfar. Det tillåter Google att samla data om användarnas nätbeteende. Men också de som inte har Google-konton kan profileras genom att Google samlar data med hjälp av så kallade kakor eller javascript-filer på våra webbläsare. Ungefär på samma sätt samlar alla andra sociala medier information om sina användare.
 

NSA och PRISM
Det är just den här formen av övervakning som gör att NSA och andra underrättelsetjänster har ett sådant enormt intresse för företag som Facebook och Google. De har helt enkelt koll på vad vi gör in i minsta detalj.

Men eftersom nästan alla molntjänster har sina serverhallar i USA har NSA en enorm fördel gentemot andra underrättelsetjänster.

– För Telecomix var det rätt enkelt att jobba mot de nordafrikanska underrättelsetjänsterna. Till exempel i Tunisien försökte regeringen kapa aktivisters Facebook-lösen genom falska HTTPS-certifikat. Då räckte det att vi spred information om hur man granskar certifikaten, berättar Kullenberg.

Om NSA haft ett intresse av att komma åt Facebook-konton hade de bara kunnat vända sig direkt till företaget. Därför är det viktigt att inte lita på tredje parter.

En tryggare nätvaro
I boken Det nätpolitiska manifestet (Ink, 2010) myntade Kullenberg begreppet ”nätvaro”. Ordet beskriver tillvaron i en tid då vi ständigt ”går till näts”. Samtidigt utmanar begreppet till eftertanke. Om vårt vara är en nätvaro, så hur ser den då ut?

– Nätvaron i dag bygger på att vi vet väldigt lite om tekniken vi använder. Det gör det svårt när vi ska undvika övervakning. På samma sätt som vi måste förstå en massa saker om en bil för att ändra på hur motorn fungerar så måste vi förstå en massa saker om datorer för att ändra på spåren vår trafik lämnar, säger Kullenberg

För den som vill skydda sin trafik finns det två principer att ta i beaktande.

– Helhetsperspektivet på alla kommunikationsmedier vi använder i dag är för det första att man kan dölja sin position. För det andra kan vi dölja vår trafik, säger Kullenberg.

Om man då för det första döljer sin position så döljer man vem man är och var man befinner sig. Man kan till exempel dirigera sin trafik genom det så kallade Tor-nätverket (se faktaruta). Dessutom kan man ta till olika vardagligare åtgärder som att begränsa bruket av kakor på sin webbläsare.

Om man för det andra döljer sin trafik innebär det däremot att man döljer innehållet i sin kommunikation. Det kan ske till exempel genom att man kryptera ett e-postmeddelande eller en chatdiskussion med hjälp av protokollen Pretty Good Privacy (PGP) och Off the Record (OTR).

En tredje princip att lägga på minnet när man skyddar sin trafik är att inte lita för mycket på tredje parter i sina krypteringslösningar. Till exempel använder alla banker och de flesta sociala medier som Facebook och Youtube så kallade HTTPS-protokoll för att skydda användarnas lösenord. Men HTTPS baserar sig på ett certifieringssystem där en tredje part garanterar att trafiken är pålitlig. Därför är systemet sårbart om man inte kan lita på den som utfärdar certifikatet. Dessutom ger det inget som helst skydd mot säkerhetstjänster som samarbetar med stora nätföretag.

Problemet med alla de här lösningarna – förutom HTTPS – är att så få använder dem. De som verkligen behöver kryptering sticker alltså ut i mängden. Därför borde flera använda dem då och då, anser Kullenberg.

– Då hjälper man till att dölja de som verkligen behöver det. Ju fler sådana som finns, desto normalare kommer internetoperatören att betrakta det som.

Det andra problemet med krypteringsteknologin är socialt.

– När det gäller kryptering har vi redan de tekniska lösningarna. Det som fattas är en pedagogisk lösning. Inlärningen måste vara en kollektiv process, på samma sätt som studiecirklar.