Til vanlig jobber Sandvik som teknisk rådgiver for organisasjonen Freedom of the Press Foundation (FPF) i USA – en organisasjon grunnlagt av blant andre varsleren Daniel Ellsberg, med styremedlemmer som Snowden-journalistene Glenn Greenwald og Laura Poitras, Edward Snowden selv og filmstjernen John Cusack. Sandvik er norsk, har bakgrunn fra NTNU og har jobbet med anonymitetsnettverket TOR.

Runa Sandvik arbeider med sikkerhet for Freedom of the Press Foundation (foto: FPF)

Nylig var hun i Norge for å holde kurs for journalister om digital sikkerhet. Vox Publica møtte henne i Bergen etter et av disse foredragene.

– Hvor flinke er journalister til å ta inn over seg den verden vi lever i nå?

– Det er noen som har veldig god kontroll på dette. De norske journalistene som jeg har mailet med denne uken har alle sendt kryptert mail, som er mer enn det jeg vanligvis får i USA. Men jeg tror også at veldig mange journalister har en godtroende holdning, om at det ikke er så farlig, at vi er i trygge Norge med personvern og lover og regler. Kanskje tenker de ikke helt over konsekvensene av det arbeidet de gjør og den informasjonen de ber andre om å gi dem, sier Sandvik.

Både gode og dårlige

Sandvik er imponert over at blant annet NRKbeta har tatt i bruk verktøyet SecureDrop for at tipsere skal kunne ta kontakt med NRK anonymt og kryptert.

– Jeg synes det er veldig spennende å se at det er en organisasjon i Norge som har gjort det. Jeg skulle gjerne hørt fra dem om hvorvidt de faktisk har mottatt dokumenter som har resultert i artikler eller liknende, sier Sandvik.

Sandvik trekker samtidig frem et eksempel fra norske medier der kildevern loves, men lovnaden ikke holder mål. For kort tid siden skrev TV 2 en nettsak om norske Syria-krigere. I bunnen av saken lovet TV 2 fullt kildevern dersom noen sendte dem en e‑post.

Skjermbilde fra tv2.no 23. september 2014.

– Det kunne være for å fortelle at de enten er i Syria selv, eller kjenner folk som har reist dit. Hvis jeg var i Syria og sendte TV 2 en mail og sa “her er jeg”, er det flere vurderinger man må foreta, sier Sandvik.

Hun forklarer at nettverket kan være overvåket og at uvedkommende, enten det er i Syria eller Norge, kan få tilgang til e‑posten dersom den er sendt fra dårlig sikrede e‑post-kontoer. – Da kan det stå om liv og død, sier Sandvik, og legger til:

– Det kan også være sensitivt hvis noen finner ut at jeg er interessert i saken journalisten driver med. Da kan man tenke seg at kontoen til journalisten kan bli hacket, og da kan også sensitiv informasjon om alt annet journalisten jobber med komme på avveie.

Risikovurderinger

Sandvik sammenligner det å gjøre risikovurderinger på nett med dagligdagse situasjoner.

– Før man går hjemmefra om morgenen, er det vanlig å sjekke værmeldingen for å finne ut om man skal ta med seg en paraply eller ikke. Et annet eksempel er at når man skal krysse veien, er det vanlig å se til begge sider før man går over. Hvis du ikke sjekker om det er trygt, så kan du bli påkjørt. Og det er litt sånn jeg snakker om på kursene jeg holder; hvordan man gjør risikovurderinger på nett.

– Hvordan kan journalister beskytte kildevernet digitalt?
– Det kan være å sikre egne kontoer, ha trygge passord, bruke tofaktor-autentisering (se faktaramme) på alle kontoer, ha forskjellige e‑postadresser avhengig av hvem du kommuniserer med, ha muligheten til å sende og motta kryptert mail. I noen tilfeller kan kanskje SecureDrop være greit, sier Sandvik.

Vox Publicas kartlegging viser at norske journalistutdanninger stort sett begrenser opplæringen i digitalt kildevern til enkelt- eller dobbelttimer. Noen av journalistutdanningene, blant annet i Bergen og Stavanger, har ikke noe planlagt undervisning i emnet.

Sandvik mener journalistutdanningene bør ta til seg at de kan være med på å forme journalister som er gode på digital sikkerhet.

– Mange av disse verktøyene har åpen kildekode, de er gratis, men i enkelte tilfeller vanskelige å bruke. Det er for eksempel vanskelig å komme i gang med å sende kryptert e‑post – det er noe jeg har brukt i seks-syv-åtte år, og selv jeg kan gjøre feil med det. Jeg tror det er veldig viktig at når man diskuterer kildevern og digital sikkerhet, så må man også diskutere hvilke tekniske verktøy journalistene bruker i disse sammenhengene.

– Hva tenker du om mengden av undervisning på utdanningene?
– Det høres ikke veldig mye ut. Jeg tror det hadde vært greiere om man kunne delt opp i flere bolker. Man kan snakke om nettskyer og hvordan uvedkommende kan få tak i informasjon via dem i én, kildevern spesielt i en annen, og også ha en del om hvilke verktøy man kan bruke. Men igjen – disse verktøyene må man jo bruke over tid, og da er det ikke nok med en dobbelttime om det. Men så er det kanskje litt som det er på andre studier – man får en introduksjon om et tema, og så er det opp til studentene selv å gå litt videre og plukke opp det som er spennende, sier Sandvik. Hun gir følgende råd til utdanningene:

– Gravejournalister er den gruppen journalister som disse problemstillingene er klart mest relevante for. Om man kan få til et fag eller kurs der man kombinerer det å grave etter informasjon og stille de riktige spørsmålene med å ta i bruk verktøyene som kan gi mer digital sikkerhet, tror jeg dette vil være veldig bra, sier Sandvik.

Gitt den tidvis meget opphetede politiske diskusjonen knyttet til datalagringsdirektivet, ikke minst i kjølvannet av avsløringene av amerikanske myndigheters omfattende overvåkning av nær sagt enhver form for elektronisk kommunikasjon, kunne EU-domstolen kunne knapt valgt en bedre sak for å demonstrere at den tar EU-borgernes grunnleggende rettigheter på alvor.

Forbausende klar dom

Vel så oppsiktsvekkende som utfallet er dommens premisser. EU-domstolen er nemlig forbausende klar: Direktivets regler om datalagring representerer et meget omfattende og særlig alvorlig inngrep i retten til respekt for privatlivet og til beskyttelse av personopplysninger.

EU-domstolens bygninger i Luxembourg (foto: EU-domstolen).

Dommerne anerkjenner riktignok at direktivet forfølger et legitimt formål (kriminalitetsbekjempelse) og de slår også fast at EU-retten ikke prinsipielt er til hinder for enhver form for lagring av teledata, men de er samtidig meget klare på at det må foretas en streng kontroll av om EUs lovgivende organer har sørget for å begrense inngrepet i borgernes grunnleggende rettigheter til det strengt nødvendige. Utfallet av denne kontrollen er oppløftende for personvernet og tilsvarende nedslående for EU-kommisjonen, Europaparlamentet og medlemsstatene som stemte for direktivet i Rådet: Direktivet favner for vidt ved at det på generelt vis krever lagring av alle trafikkdata, uten at der foretas noen sondring, begrensning eller unntak tilpasset det angitte formålet om bekjempelse av grov kriminalitet. Direktivet inneholder heller ingen definisjon av begrepet grov kriminalitet – dette er overlatt til medlemsstatene. Og myndighetenes tilgang til lagrede teledata er heller ikke betinget av samtykke fra en uavhengig instans (en domstol eller et uavhengig forvaltningsorgan).

Ugyldig — med “tilbakevirkende” kraft

Også varigheten av lagringen slår EU-domstolen ned på: Direktivet knesetter en minste lagringstid på seks måneder uten å sondre mellom ulike typer data eller deres nytteverdi i forhold til formålet om kriminalitetsbekjempelse. Og direktivet åpner for lagring helt opp til to år, uten å angi noen kriterier for å sikre at data ikke lagres lenger enn strengt nødvendig. Direktivet sikrer heller ikke ugjenkallelig sletting av data etter lagringsperiodens utløp.

Endelig – og vel med en dårlig skjult henvisning til amerikanske myndigheter – kritiserer EU-domstolen den omstendighet at direktivet ikke krever at dataene skal lagres i EU. Muligheten for lagring utenfor EU medfører at direktivet ikke sikrer at lagringen vil være under EU-rettslig kontroll, noe som ifølge domstolen er helt avgjørende for å sikre at lagringen skjer i overensstemmelse med EU-borgernes grunnleggende rettigheter.

Konklusjonen er knusende: Datalagringsdirektivet er ugyldig. EU-domstolen finner derfor ikke engang grunn til å gå inn på spørsmålet om direktivet også er i strid med ytringsfriheten. Og enda viktigere – i motsetning til domstolens egen generaladvokat er ikke dommerne villige til å holde direktivet kunstig i live inntil EU eventuelt kommer opp med nye, mer begrensede og mer presise regler om lagring av trafikkdata. Dommen rammer følgelig med «tilbakevirkende» kraft: Direktivet har aldri vært gyldig. En konsekvens av dette er blant annet at medlemsstater som tidligere er blitt bøtelagt for ikke å ha overholdt direktivets gjennomføringsfrist, nå kan kreve bøtene tilbakebetalt fra Kommisjonen. Med renter.

Begrenser politikernes handlingsrom

Selv om det er riktig at EU-domstolen ikke stenger døren for enhver form for lagring av teledata, så inneholder dommen meget klare føringer for EUs og medlemsstatenes politiske handlingsrom.

For det første er det grunn til å merke seg domstolens påpekning av at lagring og hemmelig bruk av alle slike data er et skritt i retning av et overvåkingssamfunn:

[T]he fact that data are retained and subsequently used without the subscriber or registered user being informed is likely to generate in the minds of the persons concerned the feeling that their private lives are the subject of constant surveillance (avsnitt 37).

Dommen lest under ett etterlater liten tvil om at EU-domstolen ikke anser dette som noen ønskelig utvikling, for å uttrykke det forsiktig.

Dommerne ved EU-domstolen (foto: EU-domstolen).

For det annet er dommernes anerkjennelse av at EU-retten ikke prinsipielt er til hinder for enhver form for lagring av teledata interessant fordi den er knyttet til den omstendighet at datalagringsdirektivet ikke krever lagring av innholdet i kommunikasjonen. EU-domstolen formulerer seg her på et vis som mer enn antyder at generell lagring av innhold aldri kan rettferdiggjøres (avsnitt 39). I kjølvannet av Snowden-avsløringene kan dette være en rettslig avklaring av større praktisk betydning enn man skulle ønske.

For det tredje er EU-domstolens generelle tilnærming til EU-lovgivers handlingsrom meget interessant: Dommerne slår fast at personvernet er så viktig, og inngrepet som lagringen innebærer så alvorlig, at lovgivernes handlingsrom er begrenset og domstolskontrollen tilsvarende streng:

[I]n view of the important role played by the protection of personal data in the light of the fundamental right to respect for private life and the extent and seriousness of the interference with that right caused by Directive 2006/24, the EU legislature’s discretion is reduced, with the result that review of that discretion should be strict (avsnitt 48).

Dette vil gjelde tilsvarende både for et eventuelt nytt datalagringsdirektiv og for eventuelle nasjonale særlover om datalagring. Og både nasjonale domstoler og menneskerettsdomstolen i Strasbourg må forventes å følge samme tilnærming. Dommen gir med dette også et viktig bidrag i den generelle diskusjonen om maktfordelingen mellom lovgivere og domstoler i konstitusjonelle demokratier. Her vil nok oppfatningene være delte, både blant politikere, jurister, statsvitere og andre. Det er ikke til å komme forbi at de 15 dommerne i EU-domstolens storkammer gjennom denne dommen har satt sin vurdering av avveiningen mellom personvern og kriminalitetsbekjempelse over vurderingen til Europaparlamentet og medlemsstatenes representanter i Rådet, men i motsatt fall ville det ikke være noen realitet i EU-rettens beskyttelse av grunnleggende menneskerettigheter.

EU-dommen, EØS og Norge

Hvilken betydning har dommen så for Norge? Politisk er den direkte pinlig for datalagringsdirektivets forkjempere, men rettslig er betydningen mer indirekte. I motsetning til det mange synes å tro, er datalagringsdirektivet ikke innlemmet i EØS-avtalen. Takket være det islandske Alltingets prinsippfaste motstand mot direktivet er det derfor ikke noe behov for å ta direktivet ut av EØS-avtalen. Den norske lovgivningen som skulle gjennomføre direktivet ble som kjent vedtatt med knapp margin i Stortinget allerede i 2011, men den er ikke trådt i kraft og regjeringen har nå klokelig varslet at den heller ikke kommer til å gjøre det.

EØS-avtalen er ikke til hinder for at norske myndigheter på eget initiativ vedtar nye regler om lagring av teledata, men indirekte vil EU-domstolens dom legge føringer for myndighetenes handlingsrom: Bestemmelsene i EUs pakt om grunnleggende rettigheter som EU-domstolen anvendte i dommen, gjenfinnes i Den europeiske menneskerettighetskonvensjonen som Norge er tilknyttet og som gjennom menneskerettsloven fra 1999 har lovs kraft i Norge.

EU-domstolens dom inneholder flere henvisninger til praksis fra Menneskerettighetsdomstolen, og det er liten grunn til å tro at domstolen i Strasbourg vil innrømme myndighetene noe større handlingsrom enn det EU-domstolen har lagt til grunn. Eventuelle nye norske regler om datalagring må derfor tåle inngående rettslig overprøving av om de er strengt nødvendige for å bekjempe grov kriminalitet og om de dertil tilbyr tilstrekkelige garantier mot misbruk osv. Det er derfor en tung argumentasjonsbyrde som EU-domstolen har lagt på myndighetene.

Også dersom EU skulle forsøke seg med et nytt, forutsetningsvis mindre omfattende og mer presist, direktiv om datalagring, kan EU-domstolens dom vise seg meget viktig for Norge: Et av kravene fra EU-domstolen er mer presise regler om hva de lagrede dataene kan brukes til. Dette forutsetter at et eventuelt nytt direktiv beveger seg lenger inn på strafferettens område. EUs kompetanse til å gjøre dette er kontroversiell internt i EU, men enda mer så i EØS-rettslig sammenheng: Strafferettslige regler faller i utgangspunktet utenfor EØS-avtalen. EØS-relevansen av et eventuelt nytt datalagringsdirektiv vil derfor være enda mer tvilsom enn EØS-relevansen av det direktivet som EU-domstolen nå har underkjent.

Prinsipiell etterpåklokskap

Avslutningsvis er det grunn til å reflektere over hvor langsomt fru Justitias kvern maler: Datalagringsdirektivet ble vedtatt i EU våren 2006. Det tok altså mer enn åtte år før EU-domstolen erklærte det ugyldig. Underveis har det vært flere saker for domstolen hvor den kunne tatt stilling til spørsmålet om den hadde villet, men hvor den dekket seg bak prosessuelle regler og lot gyldighetsspørsmålet henge i luften. Dette kan selvsagt kritiseres. Men kanskje gjorde EU-domstolen likevel klokt i å utsette spørsmålet til det virkelig kom på spissen?

Det kan neppe utelukkes at avstanden i tid fra terrorangrepene i New York i 2001, i Madrid i 2004 og i London i 2005 gjorde det lettere for EU-domstolen å slå ned på EU-lovgivers manglende respekt for personvernet. Fordelen med tregheten i den rettslige etterprøvingen er at det gir rom for prinsipiell etterpåklokskap. I tilfeller hvor betingelsene på vedtakstidspunktet kanskje ikke har vært de beste for prinsipielle diskusjoner, er det slett ikke så dumt.

Det mest slående når jeg ser tilbake på mine samtaler denne høsten er hvor lite overrasket alle er. Holdningen jeg møtte var stort sett at dette var noe man hadde tatt for gitt. De siste tjue årenes teknologirevolusjoner — Internett, den personlige mobiltelefonen, sosiale medier, datalagring i nettskyen — har alle sammen gjort masseovervåkning enklere.

Fra den norske vinmonopoldebatten kjenner vi argumentet om at tilgjengelighet øker muligheten for misbruk, og det samme gjelder tydeligvis også her. I mange tilfelle virker det som om National Security Agency (NSA) har overvåket rett og slett fordi de kan.

Mine samtaler med IT-folket viser heller ingen overraskelse over at det er amerikanerne som ble tatt in flagranti. Dronekrigen og hackerangrepene på Irans atomprogram er bare to av mange eksempler at USA ikke nøler med å bruke sin teknologiske overmakt om landet føler det nødvendig.

Og kanskje mest interessant: Jeg har til gode å møte noen som tror at masseovervåkningen stopper med dette, tross økende motstand i USA. En distriktsdommer konkluderte nylig med at NSAs innsamling av telefondata om amerikanere var ukonstitusjonell, noe som har skapt optimisme blant NSA-kritiske politikere i kongressen. President Obama har også varslet endringer i overvåkningspolitikken.

I et brev til Brasils folk skriver Edward Snowden at den globale overvåkningskulturen er i ferd med å kollapse. Det er kanskje en anelse overoptimistisk, med tanke på at NSA samtidig er i ferd med å bygge datalagre med kapasitet til å oppbevare klodens samlede årlige nettrafikk. Slik handler ikke en aktør som er på vikende front.

Datalagring, spaning, kommersiell overvåkning…

Både i og utenfor EU ser vi dessuten at nasjonale e‑tjenesters samarbeidsavtaler med NSA legger en effektiv demper på kritikken. Norges moralske autoritet på dette området er ikke mye verdt, når vi selv er med på å spionere på sivile afghanere og russere på vegne av amerikanerne.

Snowden-avsløringene er dessuten bare en del av det totale overvåkningsbildet. I skrivende stund ligger EUs datalagringsdirektiv fremdeles an til å bli iverksatt i Norge. Data om nordmenns nettvaner kan nå samles inn i stor skala av private aktører, etter revisjonen av åndsverkloven i 2013.

Edward Snowden presenterte britiske Channel 4s alternative julebudskap (klikk på bildet for å se video).

Vi må leve med at datatrafikk ut av landet kan granskes av svensk etterretning, takket være FRA-loven (hva som skjer med “norske” data utenfor Norden vet vi ikke, men det er rimelig å anta at flere enn svenskene er interessert). Og selvsagt er de fleste av oss utsatt for kontinuerlig kommersiell overvåkning fra aktører som Facebook og Google.

Mot dette bakteppet er det lett å forstå hvorfor brukervanene på nett knapt har endret seg etter Snowden-avsløringene. Følelsen av at det ikke nytter uansett, paret med opplevelsen av at overvåkning ikke merkes i det daglige og sjelden ser ut til å ramme uskyldige, er en hovedårsak til dagens utbredte, stilltiende aksept av tingenes tilstand.

Kryptering hindrer også kriminelle

Når jeg likevel argumenterer for at vanlige brukere i større grad skal ta kontroll over sitt eget personvern, er det ikke bare av prinsipielle årsaker. Vel så viktig for min beslutning om å ta ansvar for eget personvern har vært realisasjonen av at det ikke bare er e‑tjenester som har interesse av mine data. For kriminelle er private data også en potensiell gullgruve.

Som brukere flest lagrer jeg stadig mer data på bærbare enheter, som gjerne er koblet til nettskytjenester med enda større datamengder. Samtidig bor jeg i en by der tyveri av mobiltelefoner er like vanlig som snø i januar, og der jeg selv har opplevd to innbrudd (uoppklarte, selvsagt) på seks år. At 6 prosent i en undersøkelse nylig oppga at de hadde opplevd å få identiteten misbrukt til straffbare handlinger, er et sterkt tilleggsincentiv.

Passordbeskyttelse på PC og telefon har jeg hatt så lenge jeg kan huske, og de senere årene har jeg også kryptert innholdet. Å kryptere en bærbar datamaskin er en relativt grei prosess — det følger med brukervennlige krypteringsverktøy både til Windows, OS X og Linux.

Gratisprogrammet TrueCrypt gjør det lett å kryptere filer eller mapper som lagres på minnepinner og bærbare datamaskiner, som er særlig utsatt for å bli mistet på reiser, for eksempel. TrueCrypt er et av programmene NSA har forsøkt skaffe seg en hemmelig “bakdør” til, noe IT-miljøet svarte på ved å samle inn penger til en profesjonell gjennomgang av programvaren. Status finnes på IsTrueCryptAuditedYet.com.

Prosedyren for nettbrett og mobiler varierer avhengig av produsent, men markedslederne Android og iOS har innebygd kryptering som kan skrus på av brukeren. I mitt tilfelle handlet det om å huke av for et valg i en meny og la telefonen gjøre resten — ingen stor investering for å bedre sikkerheten betraktelig.

Bli mindre synlig på nettet

Det er vanskeligere å beskytte seg på nettet, ikke minst fordi tjenestene vi er avhengige av ofte har overvåkning som en del av forretningsmodellen. I praksis vet Google ofte like mye om hva en typisk bruker er opptatt av som vedkommendes ektefelle, og Facebook benytter stadig mer avanserte metoder for å filtrere innhold og skreddersy reklame basert på persondata.

Det enkleste mottiltaket mot den kommersielle overvåkningen (som i sin tur har vært kildemateriale for NSA), er å logge seg av Google, Facebook og de andre når man ikke bruker dem. Enda tryggere er man om man installerer to ulike nettlesere: én som brukes til nettjenester, og én som aldri brukes til å logge seg på noe.

Det vil imidlertid ikke hindre at IP-adressen, nettadressen som kan spores tilbake til din fysiske adresse, kan loggføres av andre. Dette kan du stoppe ved å installere Tor, et program som anonymiserer effektivt nok til at NSA titulerte sin hemmelige presentasjon om forsøkene på å knekke systemet med “Tor Stinks.”

En annen mulighet er å bruke en leverandør av et såkalt Virtual Private Network (VPN), en kryptert “tunnel” på nettet som beskytter data og maskerer IP-adresser. I høst ble det kjent at NSA kan ha klart å knekke deler av VPN-krypteringen, men ifølge leverandørene er teknologien fremdeles sikker nok for vanlige brukere.

Epost-kryptering kan være plundrete, og man må stole på at mottakeren har gjort alt riktig på sin side. Da Edward Snowden først tok kontakt med journalist Glenn Greenwald, var prosessen med å få Greenwald til å installere epost-kryptering så omstendelig at Snowden var nær ved å gi opp. Her får man håpe at The Dark Mail Alliance lykkes med å skape de de kaller “neste generasjon av privat og sikker epost”.

Sikkerhetstenkning

Den ofte siterte sikkerhetseksperten Bruce Schneier har uttalt at sikkerhet først og fremst er en tenkemåte, en sinnstilstand om man vil. Det beste rådet til IT-brukere i NSA-alderen er å alltid ta muligheten for overvåkning med i beregningen når man tar i bruk et produkt.

Et par eksempler: Bruk sunt nettvett — ikke gi sosiale medier og andre nettsteder mer personsensitiv informasjon enn absolutt nødvendig. Og når du velger å bytte ut en bærbar PC med et nettbrett, så husk hva tidligere NSA-sjef Michael Hayden sa da en selger fortalte ham at det fantes 400.000 apper i App Store: “400.000 apper betyr 400.000 potensielle angrepsmuligheter.”

Men sikkerhetstenkning innebærer også å erkjenne metodens begrensninger. Vi vet at det knapt lar seg gjøre å leve og arbeide normalt i dagens Norge uten å bruke noen overvåkingsvennlige tjenester eller maskiner. Selv bruker jeg både Gmail og DropBox i det daglige, og intet er mer uunnværlig for driften av enkeltmannsforetaket enn smarttelefonen.

Enhver privat strategi for å unngå overvåkning vil med andre ord ha store hull, og takket være det teknologiske våpenkappløpet som nå pågår på nettet vil stadig nye hull åpne seg. I lengden må private brukere sette sin lit til at teknologiselskapene gjør sitt beste for å tette dem. Den gode nyheten er at selskapene ser ut til å erkjenne dette.

Har IT-selskapene og brukerne samme interesser?

Helt siden Snowden-lekkasjene fant veien til offentligheten har det vært uro i de amerikanske teknologiselskapenes rekker. Facebook-sjef Mark Zuckerbergs reaksjon var typisk: “Å herlig. Det er virkelig hjelpsomt for amerikanske selskaper som tilbyr tjenester til folk verden over, og det kommer virkelig til å gi brukerne tillit til amerikanske nettselskaper.”

Og tillit er virkelig nøkkelordet her. Dersom IT-bransjen skal lykkes med å få brukerne til å legge store deler av livet sitt på nett, må brukerne kunne stole på at persondata er sikret mot innsyn. I motsetning til folkevalgte, som kun behøver å forholde seg til velgernes dom en gang iblant, “stemmer” IT-selskapenes kunder hver eneste dag.

Det er også et personlig element her man ikke skal undervurdere. Da to Google-ansatte ble vist en søt liten Post-IT som viser hvordan NSA har brutt seg inn i kommunikasjonsnettverket som binder Google og Yahoos serverparker, “eksploderte de i skjellsord.” For IT-bransjen fremstår NSAs overvåkning som et systematisk forsøk på å undergrave en struktur det har kostet tiår med arbeid og et ukjent antall milliarder dollar å bygge opp.

Diagram tegnet av NSA-ansatte for å vise overvåkning av Googles data (kilde: Washington Post).

Det er mot denne bakgrunnen vi må se IT-selskapens erklæringer om at de fra nå av vil sikre sine systemer i enda større grad enn tidligere. Google-sjef Eric Schmidt sa det slik i en tale i Washington nylig: “Vi kan gjøre slutt på sensur fra myndighetene på et tiår. Løsningen på problemet med overvåkning fra myndighetenes side er å kryptere absolutt alt.”

Obama er under økende press

Parallellt med den tekniske oppgraderingen har man også startet en politisk kampanje. I begynnelsen av desember sto blant annet Apple, Facebook, Google, Microsoft og Twitter bak et åpent brev til president Obama og kongressen, der de ber om dyptgripende reformer av dagens overvåkningspraksis.

På reformgovernmentsurveillance.com presenterer selskapene fem veiledende prinsipper for overvåkning i fremtiden, deriblant at et det etableres et rammeverk for å løse konflikter mellom ulike lands lovverk på området. Med et slikt rammeverk på plass ville det f.eks. være lettere for Afghanistans regjering å handle på vegne av de millioner av afghanere som vår e‑tjeneste etter egen innrømmelse har overvåket.

Da ledere for de samme teknologiselskapene møtte Obama i midten av desember, gjorde de det klart at de hadde en ganske annen dagsorden enn presidenten. Han ville diskutere problemene med nettstedet Healthcare.gov, de ville snakke om hvordan man tøyler NSA.

Det er som sagt uvisst om presidenten kommer til å foreslå endringer som virkelig monner, men presset fra en IT-bransje som Obama er avhengig av å stå på god fot med har uansett løftet spørsmålet opp til toppen av den politiske dagsorden. For en gangs skyld skal vi forbrukere være glade for lobbyistenes innflytelse i Washington D.C.

Overvåkning vil alltid være en del av livet i et moderne samfunn. Men det vi kan håpe på er at Snowden-affæren (som forøvrig langt fra er avsluttet — det vil komme mye nytt materiale i tiden fremover) vil fungere som en så kraftig vekker at det settes en stopper for e‑tjenestenes ukontrollerte tråling etter data fra nett og telefoni.

Vi kan også håpe og forvente at IT-bransjen i større grad enn før kjemper for sine brukeres personvern, både på den juridiske, politiske og teknologiske arena. Kanskje, og forhåpentligvis, vil det nedslående bildet jeg tegner i begynnelsen av artikkelen vise seg å være feil.

I så fall kan vi om noen år være der at brukere ikke behøver å forholde seg til den ovenstående smørbrødlisten av tiltak. At sikkerhet ikke fordrer bevisste valg og til dels store investeringer av tid og krefter, men isteden er standardinnstillingen i viktige systemer, eller noe man enkelt skrur på med ett klikk.

Det vil utvilsomt gjøre hverdagen vanskeligere for dem som overvåker, uansett hvor legitime motivene måtte være. På den annen side: Det er noe overvåkerne burde ha tenkt på før de ga seg i kast med å rokke ved nettets grunnleggende infrastruktur. NSA med samarbeidspartnere har ene og alene seg selv å takke for dagens situasjon.

Nylig fastslo Høyesteretts ankeutvalg at det er lov å hente ut teledata for personer som er mistenkt for å ha levert informasjon til pressen. I 2015 vil mengden av personinformasjon som registreres øke betraktelig, når nye regler for datalagring ifølge regjeringens plan skal tre i kraft.

Presset øker også mot varslere som følge av at bedrifter innfører stadig mer innfløkte systemer med innebygde muligheter for å følge digitale spor. Dette kan igjen brukes til å avsløre varslere via både lovlige og ulovlige metoder.

— Dersom vi tar vekk kildevernet, blir pressen en interesseorganisasjon. Journalistene kan kun videreformidle pressemeldinger og skrive om informasjon fra de personene de kjenner fra før, sier Anders Brenna. Han er mangeårig redaktør, forfatter av boka “Digitalt kildevern” og nå teknologievangelist i Knowit.

Brenna får sterk støtte av generalsekretær Kjersti Løken Stavrum i Norsk Presseforbund.

— Kildevernet skal være absolutt. Pressen praktiserer det også slik. For hver sak der man setter til side kildevernet, er prisen at folk blir redd for å gå til pressen. Konsekvensen er at mediene ikke får ettergått tipsene, og viktige kritikkverdige saker ikke blir kjent, sier Løken Stavrum.

Skjulte, digitale merker

Høyesterettsdommen kom som et ledd i den pågående saken mot advokat Sigurd Klomsæt. Klomsæt er blitt fradømt sin advokatbevilling som følge av at politiet mener han utleverte taushetsbelagt informasjon til pressen.

Politiet pekte ut Klomsæt etter å ha gjenfunnet merker de hadde plantet i bilder gjengitt i pressen. Politiet sporet merkene tilbake til materialet Klomsæt fikk utdelt som bistandsadvokat i 22. juli-saken.

Anders Brenna retter i Klomsæt-saken en pekefinger mot pressen:

— Pressen har her blåst en kilde, ved at de ikke har tatt grunnleggende forholdsregler rundt de bildene som ble lekket, sier Brenna.

Hans poeng er at pressen er nødt til å sikre at det ikke finnes skjulte spor i materiale de mottar, før de publiserer det.

Faren ved bruk av bilder demonstreres også i tilfellet til den amerikanske drapsmistenkte antivirus-gründeren John McAfee, som fikk gjemmestedet sitt avslørt på grunn av lokasjonsinformasjon i bilder publisert i det amerikanske magasinet Vice.

Klomsæt er senere blitt frikjent i tingretten. Frikjennelsen i straffesaken er imidlertid en mager trøst for advokaten. I januar må han møte i retten igjen, etter at politiet anket saken til lagmannsretten. Klomsæt er fortsatt fradømt retten til å opptre som advokat, en avgjørelse Advokatforeningen fikk støtte for i Oslo tingrett i fjor vinter. Avgjørelsen falt før dom i straffesaken, men følger sivilrettslige regler med lavere krav til bevisbyrde. Klomsæt har varslet overfor Advokatbladet at han vil forfølge saken videre.

Høyesterett: Teledata kan avsløre kilder

Anders Brenna anser likevel utlevering av teledata som langt farligere enn eksemplene ovenfor. Dette er informasjon som blant annet belyser hvor en person oppholder seg, når han ringer, til hvem og hvor lenge.

Brennas poeng er at sporing via mobil- og teledata er svært vanskelig å beskytte seg mot. Spesielt som følge av at den norske befolkningen blir stadig mer avhengig av mobil kommunikasjon.

«Den omstendighet at en journalist nekter å oppgi kilde, er selvsagt ikke til hinder for at påtalemyndigheten på annen måte finner frem til kilden», skriver Høyesteretts ankeutvalg.

— Dette gjør kildevernet mindre beskyttet i de tilfellene der politiet kan peke ut en eller flere potensielle mistenkte, sier advokat Jon Wessel-Aas i Bing Hodneland, som representerte Norsk Redaktørforening i saken.

I 2012 ble teledata utlevert 1500 ganger til politiet, oppgir Post- og teletilsynet, som har ansvaret for ordningen.

Wessel-Aas peker på at det er en betydelig fare for at et svakt regelverk og avslørte kilder bidrar til at færre vil si ifra om kritikkverdige forhold i fremtiden, en såkalt nedkjølingseffekt på ytringsfriheten.

— Dilemmaet er at det ikke alltid hjelper å ha et sterkt vern mot å gå på pressen selv, så lenge det ikke er et forbud mot å etterforske hvem kilden er, sier Wessel-Aas. Han viser til at det i Sverige finnes et generelt forbud mot å etterforske pressens kilder, med unntak i tilfeller der det dreier seg om rikets sikkerhet.

Løken Stavrum håper ikke høyesterettsavgjørelsen er et signal om at Høyesterett innsnevrer kildevernet.

— Kildevernet kan ikke være 90 prosent. Hvis kildene ikke kan stole på at de kan gå til pressen og dele informasjon uten å bli straffeforfulgt, og uten å oppleve kildejakt, da får mediene og samfunnet et veldig stort problem, sier Løken Stavrum.

Mer data — bedre vern?

I tiden fremover kan mengden data som blir utlevert øke. Datalagringsdirektivet har som formål at politi og påtalemyndighet skal få hjelp til å oppklare flere alvorlige saker. En økning av lagringstiden for telefonidata til 6 måneder, opp fra 1–3 måneder i dag, og en ny forpliktelse om lagring av informasjon knyttet til e‑post og bruk av internett, øker det tilgjengelige dataomfanget.

Med datalagringsdirektivet følger også en lovendring som bidrar til at utlevering av teledata heretter må godkjennes av domstolen.

Advokat Jon Wessel-Aas ser imidlertid dette som en endring som uansett ville presset seg fram.

— Denne endringen ble slått sammen med datalagringsdirektivet for å sukre pillen. Dette har vært kritisert flere ganger, og denne endringen burde ha kommet for lengst, sier Wessel-Aas og viser til uttalelser fra det statlig oppnevnte metodekontrollutvalget. Utvalget hadde som oppgave å etterkontrollere lovgivningen om etterforskning, og leverte sin rapport i 2009.

En hake ved ordningen er at politiet i mange tilfeller kan utsette å varsle om uthentingen av dataene. Wessel-Aas peker også på at rettspraksisen har gått stadig lenger i retning av at politiet får nyttiggjøre seg overskuddsinformasjon i retten, selv om den er hentet ut på ureglementert måte.

Anders Brenna mener pressen bør være på vakt så fort de oppdager at politiet har fått utlevert teledata. Han er kritisk til at ingen i pressen stilte spørsmål ved konsekvensene av utleveringen av teledata i enormt omfang etter terroraksjonen 22. juli 2011.

— Ingen er uenig i at politiet skal få utlevert samtalene i 22. juli-tilfellet. Men jeg er ganske forbannet over at ikke en eneste journalist i Norge så og stilte spørsmål ved at dette materialet kunne brukes til kildejakt, sier Brenna — og viser til at data om samtalene til flere av de største riksmediene trolig lå åpent for politiet.

Erfaringene fra Klomsæt-saken viser at dataene raskt vil bli brukt, dersom de er tilgjengelige. En praksis Spesialenheten for politisaker gir politiadvokaten kraftig kritikk for.

— Alt politiet trenger for å gå på kildejakt mot en redaksjon, er en kriminell handling i nærheten av redaksjonen, sier Brenna.

Sverige: Krever utlevering i sanntid

I Sverige presser det svenske sikkerhetspolitiet Säpo nå på for å få utlevert teledataene i løpet av to minutter, og hevder at dette ligger som et krav i datalagringsdirektivet.

For å få dette til, vil politiet at teleoperatørene tar i bruk protokollen ITS27, som er drevet frem av den britiske etterretningsorganisasjonen GCHQ. GCHQ ble på forsommeren avslørt som organisasjonen som tappet de trans-atlantiske fiberkablene.

Ordningen vil i så fall bety at teleoperatøren først i etterkant kan vurdere om utleveringskravet oppfyller kravene i loven.

Kravet om umiddelbar utlevering møter nå motbør etter at Ny Teknik avslørte planene.

Kjersti Løken Stavrum mener det er viktig at domstolene er tydelig på å sette grenser for politiets arbeid.

— Flere verktøy og enklere tilgang til disse vil gjøre politiet sterkere. Det er derfor viktig at de møter en domstol som har klart for seg hvorfor noen idealer er satt ned i lovs form, sier hun.

Sporing over alt

Dette er bare noen eksempler på hvordan politi og påtalemyndighet kan gå frem for å avsløre pressens kilder. Også på en lang rekke andre områder oppstår det nye muligheter for kildejakt.

Innføringen av nye digitale systemer fører som regel til bedre sporings- og revisjonssystemer. Slik sporing kan oppstå enten i form av nye regulatoriske krav, slik en har sett eksempler på i finansbransjen, eller som følge av at det er enkelt, eller rett og slett at det nærmest ubevisst følger av andre behov, for eksempel å føre statistikk eller se brukermønstre.

Det var et slikt nytt system som felte en 57-årig politimann i Hedmark som gjentatte ganger ga opplysninger til en VG-journalist før han ble avslørt av datasystemet.

En annen variant er økende muligheter til å lese logger i telefon- og e‑postsystemer. At slike logger eksisterer, betyr ikke at bedriftene nødvendigvis har lov til å bruke dem. Men deres blotte eksistens kan likevel være tilstrekkelig til å få potensielle kilder til å vokte seg for å kontakte pressen.

— Det er det som er faren. Teknologien gir stadig nye muligheter til å spore mennesker, og det gjør det desto viktigere å være bevisst hvorfor kildevernet er viktig, sier Løken Stavrum.

“Vet ikke hva anonymitet innebærer”

Anders Brenna anklager journalister flest for ikke å interessere seg for dette temaet. Det siste halvårets avsløringer knyttet til Edward Snowden-saken har trolig hjulpet noe, men Brenna tror likevel at han har sin kritikk i behold:

— Enhver journalist vil love anonymitet, men de færreste vet hva det innebærer. De lover å ikke fortelle hvem de får det fra, men tenker ikke et sekund på at det går an å spore, sier Anders Brenna.

Han sier han er sjokkert over hvor lite opptatt norske journalister er av denne siden av kildevernet. Aktsomheten må økes betraktelig, mener Brenna. Det digitale landskapet er fortsatt en slags vill vest; vi er midt oppe i en “digital krig”, som han formulerer det.

Det siste halvårets avsløringer har vist at amerikanske myndigheter med National Security Agency (NSA) i spissen, ikke har bidratt til å skape et sikkert nett for alle. I stedet har Snowden-saken vist at NSA har arbeidet aktivt for å bygge ned sikkerheten på nett, ved å undergrave det viktigste sikkerhetsverktøyet; kryptering. I en femårsplan laget i 2012 skal NSA ha tatt mål av seg til å knekke ikke bare noen, men alle slike sikkerhetsmekanismer.

Foto: AK Rockefeller cba

Edward Snowden har avslørt metodene til NSA og andre overvåkningsorganer

Samtidig er det klart at NSA har øvet press mot teknologileverandører for å få bygd inn bakdører i nettverksutstyr, som gjør det mulig å få adgang til enorme mengder kommunikasjon. Der Spiegel avslørte tidligere i høst at også Iphone‑, Android- og Blackberry-telefoner trolig er hacket.

Det ville, digitale “vesten”

Jon Wessel-Aas frykter at måten NSA skaffer seg kontroll på kan lede til mer vill vest-tilstander, snarere enn et ordnet demorakti tuftet på vestlige rettsprinsipper.

— Generelt trenger vi en debatt om hvordan vi skal sørge for at vår moderne kommunikasjon er praktisk anvendbar i fremtiden. Når en ikke en gang kan stole på krypterte løsninger, hvis man ikke har bygd dem selv, bryter en ned tilliten som er nødvendig i et demokrati, sier Wessel-Aas.

Han er dermed på linje med den amerikanske sikkerhetseksperten Bruce Schneier, som mener NSA har ødelagt sikkerheten på internett for alle. Schneier føyer til at han tror det kun er et tidsspørsmål før kriminelle kan utnytte svakhetene som NSA har skapt.

Brenna spisser det ytterligere — og begrunner det med at mørketallsundersøkelsen til Næringslivets sikkerhetsråd årlig viser at de aller fleste digitale innbrudd holdes skjult fordi verken den kriminelle eller offeret har interesse av at de blir kjent:

— Jeg er ikke redd for Snowden eller Manning. Jeg er redd for de som kom før ham, og som solgte informasjonen til høystbydende, sier Brenna.