Om ‘Privacy & Security’ – eller mangel på samme

Ét af temaerne der går igen på dette års GOTO Aarhus konference har været privacy & security. Spørgsmålet har gået på hvordan det kan være at vi stadig kommunikerer over usikre forbindelser selvom Snowdens afsløringer tydeligt viser at alt hvad vi foretager os bliver opsnappet og gemt? Hvorfor har vi i softwareindustrien ikke taget afsløringerne alvorlige og begyndt at beskytte vores data?

Tim Bray* holdt et spændende foredrag i mandags med titlen ‘Privacy & Security, Policy & Technology‘, om hvorfor vi i høj grad har brug for at beskytte vores personlige oplysninger. Men også at vi som softwareudviklere er forpligtet til at beskytte data, som vi flytter rundt i de applikationer vi udvikler. Softwareudviklere håndterer jo netop andre menneskers data, og Snowden har vist os at internettet er et farligt sted at placere sine personlige oplysninger, medmindre de er krypterede.

– Men hvad hvis jeg ikke har noget at skjule? kunne man spørge sig selv. Svaret er: det handler ikke om hvad “jeg” eller “du” har at skjule. Det handler om at vi lever i en civilisation som er blevet bygget op gennem flere generationer, og denne fælles arv omfatter bl.a. retten til at beskytte ens personlige oplysninger. Vi bør være stolte af at stå forrest når det gælder om at værne om privacy, i stedet for at tabe alt på gulvet. Som Tim Bray sagde: “Pervasive monitoring is an attack!”

Den gode nyhed er at vi ikke behøver sætte os ind i matematikken bag kryptering, idet der findes værktøjer, der kan gøre det for os. Men hvordan øger vi så sikkerheden? Først og fremmest er det vigtigt at tænke på at sikkerhed ikke er en slags tænd og sluk knap, dvs. at enten har man fuld sikkerhed eller også har man ingen sikkerhed. I stedet skal man betragte sikkerhed som noget man kan skrue op og ned for. Man kan øge sikkerheden ved fx at bruge 2-faktor autentificering under log-in eksempelvis på de sociale medier, gmail osv.

Hvis du udvikler software systemer, hvor dine kunder skal tilgå internettet, logge ind på servere og/eller gemme personlige oplysninger osv., så tilbyd en løsning der har indbygget høj sikkerhed. Brug HTTPS og stop med at bruge SHA-1 når du kommunikerer på internettet, for at undgå at gøre det muligt for en svindler at forfalske certifikater.

Der findes tre forskellige niveauer af privacy:

1. Basic privacy: Opnås ved at gøre brug af krypteret WiFi og ved at bruge HTTPS (i stedet for HTTP). At bruge HTTPS er blevet en Best Practice, men alt for mange websites bruger det stadig ikke, selvom de burde. Der er dog delte meninger om hvorvidt de forskellige Certificate Authorities, der findes, er korrupte (eller hacket af NSA) eller ej. Men som udgangspunkt mener Tim Bray at man godt kan stole på dem, når det gælder om at få verificeret gyldigheden af ens certifikater. HTTPS giver dog ikke altid en 100% tryghed, men det er bedre end slet ikke at bruge det.
2. Common privacy: Her er der tale om at kun du (og myndighederne) kan tilgå dine data, hvorimod svindlere ikke kan misbruge dine data. Dette er okay, men stadig ikke godt nok mht. privacy. For at opnå common privacy kan du fx bruge 2-faktor autentificering ved log-in.
3. Strong privacy: Her er der ingen ud over dig selv, der kan tilgå dine data. Dette kræver at al data er krypteret hele tiden, undtagen i de minutter du kigger på det i din browser eller email-klient. Men er dette muligt? Svaret er ja. Google har gjort End-to-end encryption nemmere at anvende i praksis – fx hvis dine applikationer skal tilbyde brugerne strong privacy.

Brug OpenPGP eller GNU PG til at kryptere alle dine data. OpenPGP gør brug af public-key kryptografi og man kan bruge tool’et til at signere og verificere emails, filer osv. og til at kryptere og dekryptere sine data. Men det største problem i denne sammenhæng er hvordan du får fat i andre menneskers offentlige nøgler (for at kunne verificere at modtageren af en email virkelig er den person, som han udgiver sig for at være). Tim Bray anbefaler at bruge keybase.io til at udstille dine offentlige nøgler.

Jeg spurgte Tim Bray efter hans foredrag om hvorfor man stadig ikke i det mindste signerer sine emails – specielt burde samtlige IT virksomheder have en sikkerhedspolitik, der siger at alle emails skal være signerede, så man nemt og hurtigt kan verificere og stole på at emailen kommer fra den rette person – og ikke en svindler, der prøver at udgive sig for at være en anden. Hans svar var, at måske er frygten for at ens privatliv bliver hacket mindre end behovet for (eller lysten til at bruge tid på) at signere og kryptere al data. Men denne holdning vil ændre sig med tiden, mente han.

Martin Fowler og Erik Dörnenburg holdt et fælles, afsluttende keynote på GOTO konferencen om hvor vigtigt det er for os i softwareindustrien at tage ansvar og handle når det gælder om at beskytte vores private oplysninger. Specielt fordi studier viser at vi ændrer opførsel når vi ved at vi bliver overvåget… Hvilket er ret skræmmende. Hvis du mener at du intet har at skjule, så giv mig dine passwords til dine email-konti, og flyt ind i et hus lavet af 100% glas.

De fortalte at Snowdens afsløringer har vist at de britiske myndigheder opsnapper og gemmer alle krypterede emails, der bliver sendt. Men ikke nok med det. De gemmer dem for evigt. Endda selvom de ikke kan dekryptere disse emails p.t. Hvorimod ukrypterede emails kun bliver gemt i nogle år, hvorefter de bliver slettet. Med andre ord er kryptering blevet mistænkeliggjort, i stedet for at være den mest naturlige ting at gøre. Vi har et ansvar som softwareudviklere at gøre kryptering af data til at blive normen, og dét at værne om privacy til at være det helt rigtige at gøre – for at undgå at masseovervågningen fortsætter.

*) Tim Bray skriver ofte på sin blog om sikkerhed, software, web-udvikling, app-udvikling – og om kvinder i IT.