Svensk politi anholdt ambassade-hacker

Jesper Sommer (3) skrev:
Hædres han? Ser man på at løse problemet? Erkender man, at manden har gjort en vigtig opdagelse så man kan stramme op på problemet?

Men hvorfor i alverden skulle man hædre ham? Han har begået en ulovlig handling! Basta. Han har publiceret brugernavne og adgangskoder der potentielt kunne give adgang til følsomme oplysninger.

Hold fast i at disse logins, der er rejst igennem Dans exitnode, er blevet anvendt af folk der allerede havde adgang til systemerne. Det giver jo ikke nogen ret til at publicere oplysningerne af den grund. Det er næppe ambasaderne selv der har anvendt TOR men derimod med god sandsynlighed folk som netop ønsker at være annonyme når de logger sig på de hackede konti.

For øvrigt interesant linkedin profil:
http://www.linkedin.com/ (...)


Selvom han er ansat i et dansk sikkerhedsfirma giver det ham ikke ret

John S. Johansen skrev:
Men hvorfor i alverden skulle man hædre ham? Han har begået en ulovlig handling! Basta.

Det er der så uenighed om.

Folk har selv forbundet sig til hans node, og anvendt clear-text til at sende fortrolige oplysninger. Det svarer til, at PET smider en fortrolig rapport på en S'Togs perron, og efterfølgende anholder den tilfældige borger der samler den op og sladrer til en avis (historie fra det virkelige liv!).

John S. Johansen skrev:
Han har publiceret brugernavne og adgangskoder der potentielt kunne give adgang til følsomme oplysninger.

Vi er enige om, at hans ageren ikke er specielt smuk. Jeg har ikke sat mig 100% ind i alle sagens aspekter, men det forlyder at han i flere uger forinden har kommunikeret svagheden ud til alle interesserede - uden de rørte en finger.

På det tidspunkt mener jeg faktisk det er forsvarligt at tage det skridt som han tager. Jeg ville ikke gøre det samme selv, men det var tilsyneladende det eneste der kunne få de rette instanser til at lette numsen og skride til handling.

I min model af verden, skal man yde manden samme beskyttelse som en journalist eller avis der trykker beviser for at ministre eller myndigheder lyver. På godt Dansk hedder det, at det er i "offentlighedens interesse".

Nu er sagen kommet frem i lyset. De myndigheder/ambassader der sløsede med sikkerheden (og ikke reagerede en brik i flere uger efter bristet var kommet frem) kan så passende stå til ansvar, og stramme op på den sikkerhed der skulle have været i orden i forvejen.

John S. Johansen skrev:
Hold fast i at disse logins, der er rejst igennem Dans exitnode, er blevet anvendt af folk der allerede havde adgang til systemerne. Det giver jo ikke nogen ret til at publicere oplysningerne af den grund.

Siden ingen gad reagere på hans information i første omgang, hvad mener du da så han skulle have gjort? Intet? Eller plapre videre, og se at ingen gad lette bagen og tage handling?

Er det ikke i offentlighedens interesse, at den slags sløsethed kommer frem i lyset?

John S. Johansen skrev:
For øvrigt interesant linkedin profil:
http://www.linkedin.com/ (...)

Hvad interessant er der ved den profil - ud over at den findes? (Jeg har læst den og kan ikke rigtigt se der står noget som helst interessant/brugbart).

- Jesper

Jesper Sommer (3) skrev:
...
Siden ingen gad reagere på hans information i første omgang, hvad mener du da så han skulle have gjort? Intet? Eller plapre videre, og se at ingen gad lette bagen og tage handling?
...
- Jesper

Under forudsætning af, at det var kriminelle hackere, med interesse i at lytte lidt med på hvad der foregik, så deler jeg et par af dine synspunkter. Men er det utænkeligt, at det eventuelt kunne være andre landes efterretningstjenester, der lige var med på en lytter? Og hvordan ville det så stille den "venlige samaritaner", der hjalp de aflyttede til den konklusion?

Hm. Ovenstående skulle have været svar til Jesper Sommer i den anden tråd af samme navn. Det slap jeg åbenbart ikke så godt af sted med.

Allan ...

Så Frank Grevil gjorde os ikke en tjeneste, selv om han lækkede information om, at den siddende regering og FET (uanset politisk orientering) bevidst villedte landets borgere?

Journalisterne bag Brixtofte skandalen burde retsforfølges for at have blandet sig i det legitimt valgte bystyre i Farum, samt lækket fortrolig økonomisk information?

Hvor var "watergate" skandalen endt henne, hvis journalisterne bag dækningen var blevet sat i spjældet for at have lækket fortrolig information?

Hvor mange ting skal man lade forblive usagt, fordi selve offentliggørelsen strider mod loven?

---

Termen "offentlighedens interesse" er vigtig i denne sammenhæng.

Lad os sige jeg skriver en kronik i en avis om den dårlige IT sikkerhed hos myndigheder i Danmark (tænkt eksempel). Jeg proklamerer samtidigt, at om 14 dage vil jeg køre en tur i bil forbi alle danske ministerier, og lede efter åbne WiFi netværk uden kryptering med min ganske almindelige bærbare computer.

Efter to uger tager jeg på tur - og tænk engang, jeg finder ikke mindre end 4 åbne netværk hos diverse ministerier. Jeg henvender mig til alle 4, samt revser dem offentligt i endnu en kronik samme uge, fordi jeg finder den lemfældige omgang med fortrolig datatrafik problematisk.

Atter to uger senere kører jeg igen forbi ministerierne. Og surprise-surprise, 2 af dem har stadig åbne netværk uden kryptering. Min næste kronik i avisen nævner ministerierne med navn, og offentliggør navnene på deres usikre netværk samt hvilke fysiske adresser de kan findes på.

I dette scenarie: Hvem skal stå til ansvar her? Skal jeg anholdes for at lække fortrolig information om Statens IT sikkerhed? Eller måske for at bringe Staten i fare?

... eller burde man i stedet overveje, om det jeg foretog mig var i "offentlighedens interesse"?

Jeg ser frem til dit svar.

- Jesper

Alle dine eksempler omhandler specifikke "ofre". Man har viden eller mistanke om, at noget er galt hos en bestemt myndighed eller en række sammenhørende myndigheder i et bestemt land, og så gør man noget for at undersøge sagen og få den frem i lyset.

Det var ikke tilfældet i den svenske sag. Her blev snaget i al den trafik, som tilfældigvis løb gennem en bestemt maskine, og derefter blev der reageret på de interessante fund.

For nu at vende den rundt, svarer det for mig til forskellen på, om politiet aflytter telefoner tilhørende en bestemt person, som er genstand for efterforskning, eller om de aflytter al trafik i et område for at se, om de skulle være heldige at støde på noget ulovligt.

Og så skal jeg måske lige for en ordens skyld tilføje et par kommentarer til dit indlæg:

1. Jeg er for princippet om, at man gerne må overtræde loven "en smule" for at få samfundsrelevante sager til offentlighedens kendskab. Jeg kender også et enkelt eksempel på, at domstolene har været enige med os begge på det punkt.

2. Eksemplet med Frank Grevil er elendigt. I alle organisationer er der personer, som mener, at de ud fra den begrænsede mængde information, som er synlig fra deres plads i organisationen, kan gøre sig til dommere over, om organisationen handler korrekt. Nogle gange har de ret. Nogle gange er de bare nogle selvhøjtidelige fjolser. Frank Grevil viste sig efter min mening at tilhøre den sidste kategori. Han kendte sine egne bidrag til vurderingerne, men han kendte ikke andres bidrag og havde derfor ikke mulighed for at vide, hvad den korrekte konklusion på alle bidrag måtte være.

Allan Olesen skrev:
Alle dine eksempler omhandler specifikke "ofre".

Der kan være mange "ofre" som vi ikke kender. De IT systemer hos Ambassaderne der er blevet kompromitteret har jo givetvis indeholdt oplysninger, der kunne misbruges i eet eller andet omfang - enten mod enkeltpersoner eller mod hele lande. I begge tilfælde er der helt klart "ofre", også selv om vi ikke kender navnene på dem!

Men sagen ties ihjæl, fordi de ansvarlige netop håber, at de så kan opretholde illusionen om, at ingen har lidt skade. Hvilket naturligvis er skrupforkert.

Allan Olesen skrev:
Det var ikke tilfældet i den svenske sag. Her blev snaget i al den trafik, som tilfældigvis løb gennem en bestemt maskine, og derefter blev der reageret på de interessante fund.

For nu at vende den rundt, svarer det for mig til forskellen på, om politiet aflytter telefoner tilhørende en bestemt person, som er genstand for efterforskning, eller om de aflytter al trafik i et område for at se, om de skulle være heldige at støde på noget ulovligt.

Med den ene forskel, at i dette tilfælde var det altså HANS EGEN maskine han "overvågede".

Jeg er enig med dig i, at man kan stille spørgsmål ved hans etik i fremgangsmåden - men lovligheden kan der ikke være mange problemer med.

Han satte en TOR node op, som var hans egen, og loggede den trafik der kom igennem. Det svarer til at jeg udlåner min mobiltelefon til alle der har lyst til at låne den, og logger de samtaler andre fører - MED MIN mobiltelefon.

En af de vigtige grundpræmisser i TOR er netop, at trafikken ikke i sig selv er "beskyttet" på nogen måde, blot fordi den routes gennem et TOR netværk. Det står endda mange steder i dokumentationen når man installerer TOR eller læser om det inden man downloader.

Svigtet er i dette tilfælde sket ved, at "nogen" har brugt clear-text brugergodkendelse over internettet. Og at det endda er foregået i forbindelse med vigtige IT systemer ejet af det offentlige, som BURDE have styr på sikkerheden.

Hvis en tilfældig bøv i Sverige kan aflure den slags information, så kan du være HELT SIKKER på, at både organiserede kriminelle eller fremmede efterretningstjenester også kan finde ud af det.

Derfor er hans offentliggørelse vigtig. Og berettiget. Det er utilgivelig sløsethed fra myndighedernes side.

Jeg er glad for du er enig i, at "offentlighedens interesse" berettiger mindre lovbrud.

Jeg er ikke enig i din anskuelse af Frank Grevil. Det er muligt han blev lidt opmærksomhedssyg/presseliderlig, men som det viste sig, havde han fuldstændigt ret.

Der var ikke skyggen af farlige våben i Irak, og alt den såkaldte "information" som vores regering blev fodret med, var opdigtet spin fra USA. Med dette i hånden tilsluttede Danmark sig en alliance, der ulovligt indledte krig mod en fremmed nation på et falskt grundlag. Om det var statsministerens trang til at spille vigtig over for onkel-Bush i USA, ved jeg ikke. Men på bundlinien blev vi løjet til, og vores såkaldte efterretninger var fyldt med løgn og fordrejninger fra ende til anden.

Virkeligheden må være dokumentation nok. Uanset om man bryder sig om Grevils metoder eller ej.

Dommen mod ham, var et uheldig tilbageskridt for Danmarks demokrati. I hvert fald i det omfang ingen politikere eller embedsmænd blev tilsvarende dømt for deres løgne og vildledning af både andre politikere og landets borgere. En skamplet i nyere Dansk historie - uanset hvilken politisk orientering man har!

- Jesper