tag:blogger.com,1999:blog-15084482.post2606582550857483787..comments2024-02-12T11:08:20.509+01:00Comments on Mark Klamberg: FRA-butiken arbetar på timlön och dess byråkrater har skrivit sina kunders inköpslistaMark Klamberghttp://www.blogger.com/profile/11882410684961184112noreply@blogger.comBlogger38125tag:blogger.com,1999:blog-15084482.post-4405961710125848772008-08-27T19:24:00.000+02:002008-08-27T19:24:00.000+02:00ville,Hur resonerar jag för att komma fram till: "...ville,<BR/><BR/>Hur resonerar jag för att komma fram till: "IT-säkerhetsfrågor utgår från IT-relaterade hot där svartlistning, ur FRA-synpunkt, är en gynnsam lösning."?<BR/><BR/>I min värld existerar IT-säkerhetsfrågor som en funktion av datorers existens. Utan datorer inga IT-säkerhetsfrågor.<BR/><BR/>Utredningen SOU 2003:30 ger prov på en variantflora av IT-hot som i förstone ter sig skrämmande, men vid närmare eftertanke närmast är att betrakta som diffusa staplar av ord som är ägnade att mer förvirra än skapa klarhet.<BR/><BR/>Nå, som jag sa inledningsvis, utan datorer inga IT-säkerhetsfrågor. Det ska man alltid hålla i minnet.<BR/><BR/>Som jag sagt i en tidigare kommentarspostning, så anser jag att man ska börja med att utrusta datorerna i den offentliga förvaltningen med vitlistningsteknik.<BR/><BR/>Det handlar alltså om att ett komplext problem, som består av ett antal delproblem, struktureras i rätt prioriteringsordning. Och där kommer, enligt min bestämda uppfattning, datorerna först i problemlistan. D.v.s när datorerna i den offentliga förvaltningen är utrustade med vitlistningsteknik är det dags att börja lista de eventuella kvardröjande IT-hoten, och fundera på hur FRA-lagen ska skrivas - om den ens behövs.<BR/><BR/>Denna prioritering finns inte i utredningen SOU 2003:30 och därför underkänner jag den, ett av flera tunga skäl, och förordar att FRA-lagen rivs upp och att en ny utredning tillsätts.<BR/><BR/>Tack för en trevlig debatt.Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-89644755119748510062008-08-27T16:13:00.000+02:002008-08-27T16:13:00.000+02:00Mark,jag tror att vi blandar ihop saker och ting h...Mark,<BR/><BR/>jag tror att vi blandar ihop saker och ting här. Vitlistor är en bra metod för att förhindra skadliga program på datorer. Men signalspaning för att bekämpa IT-hot har mycket med att förhindra intrång, överbelastningsattacker, förfalskning av information, sabotage osv. It-säkerhet helt enkelt.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-29995572931824521172008-08-27T15:49:00.000+02:002008-08-27T15:49:00.000+02:00Tack för beskrivningen av OSI-modellen. Jag fick e...Tack för beskrivningen av OSI-modellen. Jag fick en fin skiss av Hans J i samband med mötet den 26 augusti. Jag förstår vad som avses nu.Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-66474107084998992452008-08-27T15:48:00.000+02:002008-08-27T15:48:00.000+02:00Jag uppfattar att FRA-förespråkarna säger att sign...Jag uppfattar att FRA-förespråkarna säger att signalspaning i kabel behövs för att kemämpa IT-hot. Då menar flera att vitlisning är ett bättre sätt att bekämpa IT-hot. Vi söker alternativ till signalspaning i kabel så att argumenten för lagen blir svagare. Det är poängen.Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-17994235890390118482008-08-27T12:01:00.000+02:002008-08-27T12:01:00.000+02:00Mattsson, hur kommer du fram till :"IT-säkerhetsfr...Mattsson, hur kommer du fram till :<BR/><BR/>"IT-säkerhetsfrågor utgår från IT-relaterade hot där svartlistning, ur FRA-synpunkt, är en gynnsam lösning."Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-13275466560000406642008-08-27T09:16:00.000+02:002008-08-27T09:16:00.000+02:00Nicklas,IT-säkerhetsfrågor utgår från IT-relaterad...Nicklas,<BR/><BR/>IT-säkerhetsfrågor utgår från IT-relaterade hot där svartlistning, ur FRA-synpunkt, är en gynnsam lösning.Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-81654988769187856462008-08-27T09:05:00.000+02:002008-08-27T09:05:00.000+02:00Ursäkta reklam-länken, men från och med nu skriver...Ursäkta reklam-länken, men från och med nu skriver jag <A HREF="http://enklabloggen.blogspot.com/2008/08/integritetsrapport-vecka-35-fick-idn.html" REL="nofollow">otåliga veckorapporter</A> om vad som hänt på integritets-tillägg-fronten, <BR/><BR/>om de kommande FRA-tilläggen som skulle vara villkor för FRA-spaningen och ska klubbas igenom "denna höst".Zhttps://www.blogger.com/profile/13820950752011856546noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-1297363975938757382008-08-27T09:00:00.000+02:002008-08-27T09:00:00.000+02:00Tomas, Nu är jag inte alls med, IT-säkerhetsfrågor...Tomas, <BR/><BR/>Nu är jag inte alls med, IT-säkerhetsfrågor (autentisering, auktorisation, arkivering, verifiering, kryptering, nåbarhet osv) utgår inte från svartlistning. <BR/><BR/>Citera gärna utredningen och peka på något konkret.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-87958965923498116512008-08-27T08:40:00.000+02:002008-08-27T08:40:00.000+02:00Nicklas,Din bedömning kvarstår, då så.Dagens IT-sä...Nicklas,<BR/><BR/>Din bedömning kvarstår, då så.<BR/><BR/>Dagens IT-säkerhetsfrågor utgår, igen, från ett dubbeltänk (svartlistning), så också resonemangen om IT-säkerhet i utredningen SOU 2003:30. Därför bör, av flera skäl, FRA-lagen rivas upp och en ny utredning tillsättas som tar in i sitt resonemang begreppet vitlistning.Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-31702492259839480712008-08-27T08:07:00.000+02:002008-08-27T08:07:00.000+02:00Tomas,Efter att ha skummat igenom dokumentet kvars...Tomas,<BR/><BR/>Efter att ha skummat igenom dokumentet kvarstår min bedömning, att tekniken som baseras på vitlistning för att skydda mot att skadlig kod körs, inte gör att argumenten om IT-säkerhet i utredningen faller. <BR/><BR/>Varför blir frågor kring IT-säkerhet oviktiga i och med vitlistning? Du får gärna utveckla detta lite mer.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-85004913665052161962008-08-26T23:23:00.000+02:002008-08-26T23:23:00.000+02:00Nicklas,Bra att du tycker att FRA-lagen ska rivas ...Nicklas,<BR/><BR/>Bra att du tycker att FRA-lagen ska rivas upp.<BR/><BR/>För övrigt se p. 7 i denna blogg och ref. till utredningen SOU 2003:30. I utredningen sök på begreppet "dataintrång" och gör en egen bedömning!Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-26343645091074202832008-08-26T22:20:00.000+02:002008-08-26T22:20:00.000+02:00Thomas,Håller med om att FRA-lagen borde rivas upp...Thomas,<BR/><BR/>Håller med om att FRA-lagen borde rivas upp, av många anledningar. Men på vilket sett skulle vitlistningsteknik få argumentationen om IT-säkerhet att falla? Utveckla gärna.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-50767701560953537822008-08-26T19:09:00.000+02:002008-08-26T19:09:00.000+02:00Nicklas,När det gäller möjligheten för privatperso...Nicklas,<BR/><BR/>När det gäller möjligheten för privatpersoner att verfiera program som ska läggas till listan av godkända program (vitlistan), så kommer säkerligen marknaden att utveckla de tjänster som behövs för att hantera verifieringen på ett smidigt sätt.<BR/><BR/>Men om alla datorer i den offentliga förvaltningen, till att börja med, precis som du själv säger: "Idag lämpar sig de produkter som finns främst för organisationer ...", utrustas med vitlistningsteknik faller argumentationen om IT-säkerhet i utredningen SOU 2003:30 i den del som handlar om FRA:s konsultverksamhet gentemot myndigheter.<BR/><BR/>Svartlistning, och här är jag väldigt säker på min sak!, är ett uttryck för dubbeltänk, eftersom svartlistning är en illusion av IT-säkerhet. Dubbeltänk så tillvida att säkerhetsföretagen vet att de ljuger när de hävdar IT-säkerhet i sina produkter, samtidigt som de är övertygade om att de talar sanning eftersom kunderna på marknaden TROR att de köper IT-säkerhet. Se där, det finns komplikationer i marknaden hitom teorin.<BR/><BR/>Jag tycker att detta är ETT mycket tungt skäl för att riva upp FRA-lagen och anställa en ny utredning som ersätter utredningen SOU 2003:30.Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-13420117691581002482008-08-26T15:23:00.000+02:002008-08-26T15:23:00.000+02:00Mark, ska försöka klargöra lite saker så gott jag ...Mark, ska försöka klargöra lite saker så gott jag kan.<BR/><BR/>"1. När jag ska använda en ny applikation så frågar datorn mig om jag vill tillåta applikationen."<BR/><BR/>Det här är inte vitlistning, utan en bekräftelse för att du som användare vill starta det programmet. En funktion med vitlista skulle kolla att programmet dessutom är "rätt" program. Dvs originalet och t.ex. inte en virussmittad variant. <BR/><BR/><BR/>"Finns det någon seriös kritik mot vitlistning, t.ex. blir det fler moment för användaren när program ska laddas ner?"<BR/><BR/>Givetvis finns det baksidor med vitlistning, men inga direkt säkerhetsrelaterade. Idag lämpar sig de produkter som finns främst organisationer som kan spara resurser och öka säkerheten, men administrationen är lite för bökig för privatpersoner. Det stora problemet för en privatperson som ska vitlista en applikation är hur han ska besluta hurvida koden är skadlig eller inte. Organisationer använder sig av installationsmedia från pålitliga källor och verifierar alltid programkoden innan installation. <BR/><BR/><BR/>"Jag förstår att vitlistning gör att argumentet om att FRA behövs för IT-säkerhet minskar i tyngd. Stämmer det?"<BR/><BR/>Nu vill jag inte tala för FRA, men jag håller inte riktigt med dig där. Virussmittade datorer är endast ett litet problem i det stora hela. Jag anser att ett beslut om avlyssning leder till att alla som inte har rent mjöl i påsen kommer att dölja sin trafik genom bl.a. kryptering. Detta har till stor del redan skett, inklusive pedofiler och annat patrask. Det är en utveckling som jag inte gillar.<BR/><BR/>"Behövs det ett politiskt beslut som ändrar något regelverk för att underlätta vitlistning eller räcker det med att det glada budskapet sprids via marknadskrafterna"<BR/><BR/>Absolut inga politiska beslut. Det här kommer marknadskrafterna att ta hand om. Det var samma visa för 15 år sedan, när det gällde behovet av ett antivirus. Det tar ett tag för beslutsfattare i bolagen att våga ta beslut.<BR/><BR/>"Kan ni fortsättningsvis kort (en eller två ord) förklara begrepp när ni använder dessa?"<BR/><BR/>OSI-modellen beskriver de olika "lager" som finns i datakommunikationen. Längst ner hittar du det fysiska lagret, t.ex. koppartråd. Sedan om man går längre upp så hittar man t.ex. transport för att slutligen på lager 7 hitta applikationerna som presenterar informationen som skickas över kopparen i lager 1.<BR/>Det Hans J ifrågasätter här är vilken "signal" man pratar om i begreppet "signalspaning" som ganska diffust.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-31249221376865196902008-08-26T14:56:00.000+02:002008-08-26T14:56:00.000+02:00Mark,Jag skulle vilja säga så här: Vitlistning är ...Mark,<BR/><BR/>Jag skulle vilja säga så här: Vitlistning är en realitet som bland många andra tunga argument motiverar att FRA-lagen rivs upp och en ny utredning tillsätts som ersätter utredningen SOU 2003:30.Tomas Mattssonhttps://www.blogger.com/profile/11182013658026928419noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-90430078225858446152008-08-26T14:37:00.000+02:002008-08-26T14:37:00.000+02:00Hans J,Du är mycket välkommen!Hans J,<BR/>Du är mycket välkommen!Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-823650240806181362008-08-26T13:42:00.000+02:002008-08-26T13:42:00.000+02:00Rekommenderar dagens ledare i Aftonbladet./Lasse E...Rekommenderar <A HREF="http://www.aftonbladet.se/ledare/svenskpolitik/article3179269.ab" REL="nofollow">dagens ledare i Aftonbladet</A>.<BR/><BR/>/Lasse EAnonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-32145092281608983282008-08-26T12:20:00.000+02:002008-08-26T12:20:00.000+02:00@Mark:Jag ska tom försöka komma ikväll ;-)Bli inte...@Mark:<BR/>Jag ska tom försöka komma ikväll ;-)<BR/><BR/>Bli inte förvånad om det kommer ett par tusen...Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-20770194954661803662008-08-26T12:17:00.000+02:002008-08-26T12:17:00.000+02:00Vitlista och Hans J,Jag följer er diskussion där n...Vitlista och Hans J,<BR/>Jag följer er diskussion där ni bl.a. använder begreppet "Layer 4". Det är inga problem att ni använder svåra ord, men min ambition är att alla ska förstå diskussionen. Kan ni fortsättningsvis kort (en eller två ord) förklara begrepp när ni använder dessa?Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-49097961128722486382008-08-26T12:11:00.000+02:002008-08-26T12:11:00.000+02:00@Vitlista:Ja dom menar en "session högre upp" - nä...@Vitlista:<BR/><BR/>Ja dom menar en "session högre upp" - nämligen Layer 4 "Transport layer" - men att kalla AVLYSSNING av denna för SIGNALspaning är ju helt FELAKTIGT! Detta görs ju i varje dator som har internet. Inte säger man att vi alla sitter med signalspaningsutrustning i våra datorer?<BR/><BR/>Min syn på saken är att FRA och förespråkare av AVLYSSNING kallar detta för någonting annat för att det ska slinka med i "paketet". Sedan låtsas man lögnaktigt att motståndare till denna AVLYSSNING är emot det som rättligen är signalspaning. Detta är ett övergrepp i debatten!<BR/><BR/>Som att sockra lite i medicinen... och sedan säga att vill man inte ha sockret så är man emot medicinen.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-34102637426416303872008-08-26T12:08:00.000+02:002008-08-26T12:08:00.000+02:00Signaturerna Vitlista och Tomas,Jag försöker att d...Signaturerna Vitlista och Tomas,<BR/>Jag försöker att dra de politiska konsekvenserna av den tekniska information ni gett mig. Det är då det blir riktigt intressant (tycker jag).<BR/><BR/>1. Jag förstår att vitlistning gör att argumentet om att FRA behövs för IT-säkerhet minskar i tyngd. Stämmer det?<BR/><BR/>2. Signaturen vitlistning hänvisade till företaget Subset som har en antiviruslösning som bygger på vitlistning. Behövs det ett politiskt beslut som ändrar något regelverk för att underlätta vitlistning eller räcker det med att det glada budskapet sprids via marknadskrafterna och annat? Jag tror ju på marknaden som drivkraft för utveckling.Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-58028659457436472152008-08-26T12:03:00.000+02:002008-08-26T12:03:00.000+02:00Signaturerna Vitlista och Tomas,Det här med vitlis...Signaturerna Vitlista och Tomas,<BR/>Det här med vitlistor var spännande. Jag har några frågor.<BR/><BR/>1. När jag ska använda en ny applikation så frågar datorn mig om jag vill tillåta applikationen. Är inte detta samma som vitlistning? Måste man inte alltid godkänna när något laddas ner? Jag förstår att svaret är nej, men vill bara höra det en gång till så att jag är säker. Varför frågar datorn ibland men inte alltid om jag vill ladda ner? Är det svartlistningen?<BR/><BR/>2. Jag har förstått att spionorganisationer och virusspridare tycker det är bra med svartlistning istället för vitlistning. Min fråga är följande. Finns det någon seriös kritik mot vitlistning, t.ex. blir det fler moment för användaren när program ska laddas ner? med andra ord man måste godkänna istället för automatisk nedladdning vilket är ette xtra arbetsmoment. Påverkar det pop-up funktioner?Mark Klamberghttps://www.blogger.com/profile/11882410684961184112noreply@blogger.comtag:blogger.com,1999:blog-15084482.post-43956179165565738062008-08-26T11:52:00.000+02:002008-08-26T11:52:00.000+02:00Mark, intressant blog om ett intressant ämne!Länk ...Mark, intressant blog om ett intressant ämne!<BR/><BR/>Länk till information om vitlistning och personer som kan förklara mer får du här <A HREF="http://www.subset.se/whitelist.html" REL="nofollow">Vitlistor</A>. Kolla in det whitepaper som ligger där.<BR/><BR/>Vitlistning skulle förhindra myndigheter och diktatorer att plantera spionprogram på medborgarnas datorer, hemska tanke ;)<BR/><BR/>hanns j: "Därför undrar jag vad det är för "signal" som spanas på i kablar? Där går väl IP-paket?"<BR/><BR/>Det finns olika typer av signaler i kablarna. Långt ner i OSI-modellen hittar du magnetfält och elektriska signaler som går att avlyssna. Svårare med fiber där man måste bryta förbindelsen och stoppa in hårdvara. Men med signal tror jag att man menar en session högre upp i OSI, IP/TCP, som man lyssnar på.Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-38710481069318452352008-08-26T10:19:00.000+02:002008-08-26T10:19:00.000+02:00Hej Mark,Det är alltid spännande att läsa din blog...Hej Mark,<BR/>Det är alltid spännande att läsa din blogg. Jag har inte gjort det så länge men det är sällan jag blivit mindre än imponerad. Tack!Anonymousnoreply@blogger.comtag:blogger.com,1999:blog-15084482.post-14761966155016498472008-08-26T09:08:00.000+02:002008-08-26T09:08:00.000+02:00Jag skrev några ord om "signal"-spaning i kabel på...Jag skrev några ord om "signal"-spaning i kabel på "Opassande":s blogg men jag tar den här också. Jag ber om ursäkt för om det är för "pedagogiskt" upplagt. Avsikten är bara att vara tydlig.<BR/><BR/>...<BR/><BR/>Jag vill hävda att SIGNALSPANING i kabel inte ens är möjlig. Det är FEL ord.<BR/><BR/>FRA använder avsiktligt fel ord!<BR/><BR/>Det är AVLYSSNING som det är fråga om och inget annat när det sker i kabel.<BR/><BR/>Om emailtrafik går genom etern kan man i och för sig säga SIGNALspaning med då för att beteckna inställningen av det “radioprogram” som sedan emailen går i. När man sedan AVLYSSNAR denna så är det naturligtvis AVLYSSNING.<BR/><BR/>En jämförelse:<BR/><BR/>I en vanlig gammal radio kan man växla mellan olika program och sändare. Beroende på var man befinner sig får man in olika sändare olika starkt.<BR/><BR/>När man då vrider på stationsinställningsratten så hör man att man “signalspanar”:<BR/>Oiii-Oiii-Oiii-knaster-”Sveriges Radio Program 1-Nyheter”.<BR/>vi väljer att INTE AVLYSSNA denna nyhetssändning utan<BR/>Oiii-Oiii-Oiii-knaster-”Rakt över disk med Clabbe”<BR/>Denna väljer vi att AVLYSSNA. Låter bra!<BR/>De olika SIGNALERNA går alltså parallellt. Det vill säga samtidigt på olika frekvenser!<BR/><BR/>I kabelfallet så finns BARA EN “SIGNAL”. Det är då helt missvisande att tala om SIGNALspaning.<BR/>“Program sänds” istället seriellt i kabel. Man ställer in vad man ska lyssna på och AVLYSSNAR direkt.<BR/><BR/>Anledningen till den här sammanblandningen ligger i att FRA gärna vill AVLYSSNA lite här och där. Nu har FRA tidigare sysslat med enbart signalspaning (i luften alltså) och då väljer man att använda detta ord för att få det att låta naturligt att FRA skulle ha med kablar att göra.<BR/><BR/>Ville man räkna kor på ängarna hade man kallat detta för SIGNAL-spaning istället för KO-räkning.<BR/><BR/>Det är alltså ett trixande med orden för att kunna genomföra någonting HELT ANNAT än det de tidigare sysslat med. Den nya lagen skulle alltså “slinka med” lite sådär osynligt ni vet…Anonymousnoreply@blogger.com