Verint och nederländska svårigheter
Mikael Nilsson tipsar om en nyhet från Holland att polisen inte kan radera insamlad telefonkommunikation mellan advokater och deras klienter vilket är ett krav enligt nederländsk lagstiftning. Holland råkar vara ett av de länder där signalspaning i kabel är tillåtet enligt lag. Känns problemet igen? Det framgår även att det israeliska företaget Verint levererat den tekniska lösningen. James Bamford skriver en del om Verint i sin bok "The Shadow Factory", som handlar om amerikanska NSA (se sid. 235-263 och 322). På Verints hemsida framgår det att företaget sysslar med följande.
Mass and target communications interception, filtering, analysis, and investigation solutions, including monitoring centers, for intelligence & national security agencies and military COMINT organizationsCOMINT står för kommunikationsspaning, den gren av signalspaning som diskuterats under den svenska FRA-debatten. "COMINT organizations" är alltså signalspaningsorganisationer. Det är inte konstigt att det blir samma diskussion i Holland som i Sverige, det verkar vara samma teknik med liknande problem.
På Verints hemsida kan man också läsa vilken förmåga deras tjänster erbjuder, passar ganska väl mot vad jag tidigare skrivit att FRA klarar av. CDR är den engelska beteckningen för trafikdata avseende telefonkommunikation.
• Mass interception of communications related to specific areas of interestVerint förklarar att deras tjänster möjlligör "mass interception" som definieras på följande sätt: "the potential interception of all network communications enabling intelligence agents to extract clues from the retroactive analysis of large volumes of past communications." Jämför gärna med min artikel om FRAs databas Titan. Verint har till och med en fin bild, se nedan. Är det inte ett sociogram i nedre, högra hörnet?
• Target interception of known entities
• Unified interception and investigation workflow designed for intelligence generation
• Historical data analysis of call data records (CDRs) imported from service providers
• Passive monitoring of virtually any type of network
• Sophisticated filtering for high throughput networks and to track known targets and network events both offline and in real time
• Processing engines to organize mass amounts of collected unstructured data into a format that enables rule-based retrieval and interactive and retrospective analysis
• Embedded interactive analysis tools, including free text search, visual link analysis, location tracking, and reporting
• Built-in support for various intelligence methodologies
• Scalable and modular allowing for expansion
• Importing capabilities from external data sources
Jämför gärna med den bild som fanns i den av regeringen tillsatta Underrättelsedatautredningen, SOU 2003:34, del 2, sid. 257.
16 kommentarer:
De glömde lägga till detta stycke till beskrivningen av deras produkter:
"Not supported:
* Removing intercepted calls"
Mikael,
Detaljer, detaljer... Sånt ska man inte bry sig om. Det gäller att fokusera på de grundläggande frågorna.
Jag hittade en fin bild som jag lagt in i inlägget
Inte ett dugg förvånande.
Den 11:e september 2001 arresterade polisen i NewYork ett antal "araber" som dansade och sjöng av lycka när tvillingtornen rasade, samtidigt som de filmade sig själva. Det visade sig att de bara var utklädda till araber och i själva verket var mossad-agenter och israeliskt IT-folk inom telekomsektorn. De "hemliga" agenterna fick nu springa gatlopp i pressen, knappast vad sådana syssler med normalt. Men någon egentlig förklaring kom aldrig fram och så småning om dog nyheten ut. Det verkar dock som om de ville bli arresterade och få den uppmärksamhet de fick. Jag skulle tro att Israel vill sända en kraftfull signal till någon som inte kunde nämnas öppet: Nu vet ni att vi visste på förhand. Jag tror inte det kan tolkas på så många andra sätt.
FOX-news var de enda som grävde i saken och de hittade amerikanska hemligstämplade dokument som visade att Israel hade kunnat spionera på USA genom USAs eget telefonsystem. Denna säkerhetslucka hade öppnats när det amerikanska telefonsystemet avrglerades och många saker lades ut på entreprenad. Ett av företagen hette Comverse Infosys som var ett dotterbolag til Amdocs som sysslade med telefonräkningar på etreprenad och ar avtal med telefonbolag runt hela världen. Efter denna skandal så bytte Comverse Infosys namn till.. Verint!
Du torde inte ha några problem att bekräfta det jag skrivit här, och FOX-inslagen kan fortfarande hittas på t ex. Youtube om man söker efter "Israeli spy ring 2001".
-Anonym Jeppe
Såklart Verint och dess konkurrenter marknadsför sina "produkter" som att de är fantastiska, och nästan är "Guds högra hand".
Som bekant så kan slipade säljare sälja vad som helst, till vem som helst. De skämms inte ens för att sälja skräp.
Tyvärr är flertalet av våra politiker och beslutsfattare okunniga och lättköpta, och har gått på säljsnacket.
Lika lätt som de säger sig kunna göra allt det som står beskrivet i deras reklam, lika lätt är det att finta dem. Såklart Verint och dess konkurrenter marknadsför sina "rodukter" som att de är fantastiska, och nästan är "Guds högra hand".
Som bekant så kan slipade säljare sälja vad som helst, till vem som helst. De skämms inte ens för att sälja skräp.
Tyvärr är flertalet av våra politiker och beslutsfattare okunniga och lättköpta, och har gått på säljsnacket.
Lika lätt som de säger sig kunna göra allt det som står beskrivet i deras reklam, lika lätt är det att finta dem.
Och verktyget blir inte bättre än de personer som programmerar det.
Det här är verkligen slöseri med våra samhälles resurser, som kunde användas till mycket annat gott istället för till denna paranoia.
http://sv.wikipedia.org/wiki/Paranoia
Nederländerna har inte signalspaning i kablar. Bara - som det står i deras lagstiftning, artikel 27 - i non cable bound telecommunications. Någon olaglig kabelspaning förekommer inte.
Lagen hittas här:
http://www.ctivd.nl/?download=WIV 2002 Engels.pdf
Har du möjligen vilseletts av utredningen Signalspaning för polisiära behov (SOU 2009:66)?
@Anonym Jeppe: Det stämmer att Verint tidigare hette Comverse Infosys. Namnbytet publicerades 1:a februari 2002.
Men det verkar inte stämma att Comverse Infosys var ett dotterbolag till Amdocs. Båda var dock Iraeliskt ägda och båda nämns också i ett fall där FBI upptäckte att de var avlyssnade. Det fallet omnämns också i de där inslagen från FOX, det var hemliga dokument rörande det fallet som FOX hade grävt fram. Kopplingen till de "dansande araberna" var att telekomfolket hörde till dessa företag. Uppgifter cirkulerar också om att Comverse åtminstone på den tiden fick hälften av sin R&D finansierad av den Israeliska staten.
Vad kan man hitta här i sverige rörande Amdocs och Comverse Infosys/Verint?
-Magnus.
Anonym,
Jag får tacka. Har fått liknande synpunkt angående vad som står i SOU 2009:66 om Kanada. Ska vara uppmärksam på detta.
Anonym,
Nu har jag läst om SOU 2009:66.
På sid. 95-96 nämns både art. 25 och art. 27. I art 27 talas det om "catchword", finns det något annat som visar om endast art. 27 och inte även art. 25 avser signalspaning? Kan det vara så att art. 25 avser kabelspaning och art. 27 eterspaning? Se art. 25(8).
Tacksam för synpunkter på detta, ska försöka få tag på någon nederländsk kollega.
Nej, artikel 25 reglerar helt vanlig teleavlyssning (i underrättelse- och inte brottsbeivrande syfte). Framgår av att avlyssningen får ske "in a directed way", dvs träffa viss teleadress e.d.
Artikel 27 reglerar avlyssning som är "undirected" dvs avsökning av hela kommunikationsflöden =SIGINT. Får alltså inte i Nederländerna användas mot kabeltrafik. Ordet "undirected" används nog inte i artikel 27 men det nederlänska konstrollorganet - på vars hemsida lagen alltså ligger - har ganska nyligen lagt ut en rapport i ämnet och använder ordet redan i rapportens rubrik:
http://www.ctivd.nl/?download=Review Report 19.pdf
Hemsidans engelska del med mer matnyttigt:
http://www.ctivd.nl/?English
Eftersom de lagt rapporten på sin hemsida är det väl bara att ringa dem om det kvarstår frågor ;)
Verint.. Följer upp det Anonyma Jeppe och Magnus skrev. Här är en 3 år gammal tidningsartikel från Malta rörande en skum upphandling av "interception system" för Malta Security Services.
Vad det talas om i artikeln är Verints "unified legal interception system" som avlyssnar telefon och internet-trafik. Upphandlingen ifrågasattes av ett italienskt företag, RCS som uppenbarligen är en konkurrent till Verint. Saken gick till domstol. Denna artikel nämner också "a trail of controversy spanning from the September 11 attacks and into Europe". Artikeln innehåller även mer detaljerad information kring det som Anonyma Jeppe skrev ovan. Artikeln nämner att utredare på FBI, efter 9/11 ansåg det som karriärmässigt självmord att ens undersöka saken, men säger också att namngivna tjänstemän var åtalade i USA när MT-artikeln skrevs 2006. Jag vet dock inte hur det gick i det åtalet.
William T.
Mer, här en lång avslöjande Holländsk artikel från 2003 som sammafattat säger, översatt:
Eftersom intrång ser ut att döljas som underhåll så kan man säga att den holländska regeringen betalar för utländskt spioneri mot Holland.
Jag misstänker att artikeln redogör för grunden till Mikael Nilssons tips. De har också varit i kontakt med kryptografi-experter från OpenBSD och utveklare av IPsec för Linux. De bekräftar artikeln, Verint och därmed Israel kan spionera på Holland och det är Holländarna själva som betalar för det. Hela slutsatsen är att i såna här system så måste man ha full kontroll över mjukvaran redan på källkodsnivå och dessutom, mycket viktigt, ha samma kontroll över hårdvaran, annars har leverantörerna möjlighet att spionera oupptäckt.
Efter ett snabbt skummande av artikeln på MaltaToday som William länkade till så.. hur är det brottsutredare säger i amerikanska filmer.. "The same MO"..
Jag hittade även en färskare artikel från Kuba An Israeli Trojan horse. Visst jag reste också alla murar över att artikeln är Kubansk, men snabbt behärskade jag mig och mindes några ord av den gamle amerikanske författaren och debattören Gore Vidal "Yes, i know, he is one of them. But they often know things that we don't - particularly about what we are up to.", så jag läste vidare.. Fast insåg jag att artikeln var kopierad och skriven av en amerikan, Christopher Ketcham som också skriver för Vanity Fair mfl. kända tidningar.
Två citat fastnade:
“We’ve deliberately weakened the computer and phone networks, making them much less secure, much more vulnerable both to legal surveillance and illegal hacking,” says former DOJ cybercrimes prosecutor Mark Rasch. “Everybody is much less secure in their communications since the adopting of CALEA. So how are you going to have secure communications? You have to secure the communications themselves, because you cannot have a secure network. To do this, you need encryption. What CALEA forced businesses and individuals to do is go to third parties to purchase encryption technology. What is the major country that the U.S. purchases IT encryption from overseas? I would say it’s a small Middle Eastern democracy. What we’ve done is the worst of all worlds. We’ve made sure that most communications are subject to hacking and interception by bad guys. At the same time, the bad guys – organized crime, terrorist operations – can very easily encrypt their communications.” It is notable that the first CALEA-compliant telecom systems installed in the U.S. were courtesy of Verint Inc.
och
The communications nexuses [i.e. Amdocs/Verint] didn’t occur yesterday; they started many years ago. And that’s a major embarrassment to organizations that would like to say they’re on top of things and not co-opted or compromised. As you start to work this, you soon learn that many people have either looked the other way or have been co-opted along the way. Some people, when they figure out what has occurred, are highly embarrassed to realize that they’ve been duped. Because many of them are bureaucrats, they don’t want to be made to look as stupid as they are. So they just go along with it. Sometimes, it’s just that simple.”
So they just go along with it. Kan det möjligen sammanfatta våra politiker i FRA frågan?
-Magnus.
Opss, glömde länken till den holländska artikeln som förklarar bakgrunden.
-Magnus.
Mark, jag vet inte om du inser vilka frågor som egentligen ställs i denna tråd och konsekvenserna av svaren på de frågorna.
1. Har FRA insyn i tillverkningen av hårdvaran, eller på annat sätt kan känna lugn över dess fulla funktion?
2. Hur är denna uppkopplad och åtkomlig utifrån?
3. Har FRA full tillgång till mjukvarornas källkod och är denna källkod tillgänglig för öppen granskning?
Om svaret är nej på fråga 1 och 3 (räcker med nej på ena delen), så kommer FRA att med nästan 100% säkerhet ge främmande makt full insyn i sveriges kommunikationer och detta utan att FRA har någon kontroll över det.
Om FRA däremot använder egenutvecklad mjukvara på standard PC-hårdvara som inte köpts in genom upphandling, så kan sverige som nation känna sig lite lungnare. Men jag tror inte att så är fallet.
Den holländska artikel ovan förklarar biten om hårdvaran.
Att man måste ha tillgång till källkoden för att säkert kunna verifiera mjukvarans funktion torde inte behöva någon förklaring, det är självklart.
Att öppen granskning är nödvändigt är dock mindre känt. Mjukvara av idag är så komplicerad att det krävs en hel värld av människor som testar, lämnar rapporter och ger förslag på lösningar. Detta arbete kräver hundrapotenser fler människor än vad som krävs för att skriva mjukvaran. I dessa fall där det krävs en säkerhet som vida överstiger normal datorsäkerhet så talar vi nog om att det krävs tusenpotenser fler testare än utvecklare för att ens tro sig kunna garantera säkerhet. Problemet är att det är så ytterligt få människor som insett det, i stort sett bara gräddan av utvecklare inom fri mjukvara.
Eftersom då detta rör sig om hemliga system, så kan vi utesluta att det finns någon riktig säkerhet, bara "security by obscurity", alltså att säkerheten bygger på hemligheter. Men när hemligheter rörande sånt här kommit ut, så är de fortfarande hemligheter. Den som förlitar sig på den inbillade säkerheten får aldrig reda på att hemligheten kommit ut och tror sig sig vara säker. Det funkar inte som med publik mjukvara där hackare närmast skryter om att de listat ut något och kunnat hacka systemet. Spioner skyltar inte med att de spionerar. I artiklarna ovan talas det inte ens om någon utomstående hackare, i dessa fall handlar det om utvecklaren av mjukvaran och kanske till och med tillvewrkaren av hårdvaran. Då finns ingen säkerhet, den är inbillad från rad 1.
-Magnus
Magnus,
Jag förstår frågorna myckel väl och har funderat på detta sedan länge. Jag har i slutet av sommaren begärt ut handlingar från FRA om vilka företag som erbjuder produkter och tjänster åt FRA, specifikt avseende datahårdvara och mjukvara. Fick förra veckan avslag på den begäran med hänvisning till sekretess.
Nog borde väl du kunnat räkna ut på förhand att du skulle få exakt det svaret och därmed inte formulerat frågan så. Magnus pekar på hur frågorna borde formulerats i första och tredje punkten.
Visserligen skulle svaret blivit ungefär detsamma, men om de svarat på samma vis på just de frågorna, då hade erkännandet att de faktiskt öppnar för främmande makts spioneri blivit så mycket tydligare. Frågorna bör nog även ställas någn annan stans än till FRA, detta eftersom frågorna innehåller en anklagelse om landsförräderi.
Saken blir faktisk ännu väre när man tänker efter. Det är inga idioter som arbetar på FRA, även om de styrs av drivkrafter som knappast kan kallas demokratifrämjande. De vet mycket väl vad de gör - Tänkte inte på det.. - är inte ett hållbart argument för varken FRA eller berörda politiker och tjänstemän.
William T.
Skicka en kommentar