Vår gränslösa aningslöshet om Internet

På några dagar har övervakningskameror i Moskva identifierat 200 personer som därefter bötfällts för att ha rört sig utomhus i Coronatider. Ryssland finslipar också en teknik för att övervaka och bygga en mur kring sin egen del av Internet. Dessutom finns en arsenal av programvaror som kan ersätta bomber för att slå ut viktiga samhällsfunktioner i ett annat land.

Om Sverige ska hinna med i säkerhetsutvecklingen behövs i hela samhället en djupare förståelse av vad IT egentligen är för något.

För 25 år sen hackade jag Aftonbladet. Jag arbetade då på Svenska Dagbladet som motpart till ett företag som skulle installera en ny programvaran på vår webb. Med hjälp av den skulle läsarna själva kunna leta fram äldre artiklar. När jag studerade programmet anade jag en möjlig säkerhetslucka som skulle kunna uppstå när man tog det i drift.

Samma programvara fanns redan på Aftonbladet. Eftersom ingen reagerat på mina farhågor prövade jag en morgon länken till Aftonbladets arkiv. Min misstanke bekräftades. Så snart man börjat söka i arkivet räckte det med att klicka på en viss kombination av tangenter för att öppna den så kallade kommandotolken. Från den hade man fri tillgång till det mesta på Aftonbladets datorer. Inom några minuter hade jag informerat den driftsansvarige på Aftonbladet liksom vår gemensamma IT-leverantör.

Sedan dess har tekniken utvecklats enormt. Jag skulle inte klara av att hacka en modern webbplats. Däremot har min nyfikenhet fått mig att hänga med så pass att jag tror mig förstå principerna för hur rätt mycket fungerar också i dag. Och förvånas över att samhället ännu i så liten omfattning lärt sig att bli herrar över tekniken.

De allra flesta vuxna svenskar har tillgång till dator och Internet. Vi ser att programvarorna uppdateras då och då. De nya versionerna innehåller inte bara nya finesser. De täpper också till säkerhetsluckor som fortfarande avslöjas ibland. Skillnaden är att de luckor som upptäcks i dag är avsevärt mer avancerade än den som jag intuitivt letade mig fram till för 25 år sen. För att hitta dagens säkerhetsbrister krävs stort tekniskt kunnande och motivation. Det hittar man bara hos en viss typ av människor som ser hackandet som ett sätt att bekräfta sig själva eller hos institutioner som anser det vara värt kostnaden för att spåra och utnyttja svagheterna. Dit hör de som ägnar sig åt ekonomiskt och politiskt motiverat spionage men också de som ser tekniken som ett alternativ till attentat eller fullskaligt krig med traditionella metoder.

I det perspektivet är det svårt att förstå när säkerhetsbestämmelser medvetet åsidosätts vid hantering av stora datamängder. Men också att såväl allmänhet som samhällsinstitutioner så fogligt låter världsomspännande IT-jättar, som inte står till svars inför någon, ange tonen i samhällsdebatten.  Våra traditionella medier skulle fällas av både etiska nämnder och domstolar om de tillät många av de tillmälen och osanningar som lockar gratisanvändare och annonsörer till sociala medier.

På den här bloggen har jag försökt begränsa mig till det geografiska område som jag under några decennier studerat ur olika aspekter och i olika egenskaper, närmare bestämt det forna ryska imperiet. IT-säkerhet är ett globalt problem. Många länder i olika delar av världen har kompetens och använder den för att avlyssna kommunikation eller att söka vägar in i känsliga datorsystem. Säpo pekar i sinfärska årsbok ut 15 stater som bedriver spioneri i Sverige även om inte alla namnges. Spåren efter olika i datorintrång leder både till några av dem och till andra länder. Men jag nöjer mig här med att sammanfatta något av den utveckling i Ryssland som framgått av öppna källor.

Till skillnad från det omfattande USA-ledda övervakningsnätverket Echelong har Ryssland aldrig försökt hemlighålla existensen av sitt, åtminstone till en början, betydligt blygsammare system SORM (en rysk akronym för System för Operativa Utredningsåtgärder). Det har utvecklats på grundval av en lag från 1992 om telefonavlyssning i brottsbekämpande syfte. Alla Internetoperatörer måste på egen bekostnad installera utrustning och programvara så att säkerhetstjänsten FSB på distans kan föra statistik över Internettrafik och läsa enskilda dokument, bland annat mejl, och se alla kreditkortstransaktioner. Enligt specifikationen från 2015 är de ryska operatörerna skyldiga att förse säkerhetstjänsten med detaljerade ID-uppgifter om personer och nätadresser, även från andra stater, för telefoni, e-post och andra meddelandetjänster.

Ett annat område där många länder försöker utveckla avancerade övervakningssystem handlar om att upptäcka personer med sprängmedel på exempelvis järnvägsstationer och idrottsarenor. Under åren 2009–13 samarbetade Ryssland med Nato om ett projekt med den här inriktningen kallat Standex. Systemet testades i Paris metro och förmodas ha använts vid vinter-OS i Sotji 2014. Metoden går ut på att sensorer placeras i trånga passager och skickar ut mikrovågor som ska upptäcka molekyler bland misstänkta sprängmedel under kläderna hos människor som passerar. De följs samtidigt av vanliga övervakningskameror så att man direkt kan se vem som bär något misstänkt. Varken Nato eller Ryssland har kommenterat hur pass träffsäkert Standex är men metoden fortsätter att vidareutvecklas av både Ryssland och Nato, fast inte längre i samarbete.

Det är dock känt att Ryssland fyra år senare under fotbolls-VM installerat övervakningskameror vars bilder med hjälp av ett system för automatisk ansiktsigenkänning matchades mot bilder av icke önskvärda personer som skulle kunna tänkas iscensätta terrordåd eller fredliga politiska protester. Samma system har därefter installerats successivt i tunnelbanestationer och på andra ställen i Moskva för att utveckla träffsäkerheten ytterligare. Systemet är bra på att hitta människor som liknar varandra men kan inte alltid exakt avgöra vem som är vem.

I december utfärdade president Putin en lag som syftar till att tvinga all Internettrafik i Ryssland att passera genom ett statligt serversystem som gör det möjligt att filtrera trafiken inom landet på ett sätt som liknar det i Kina. Tidigare försök att begränsa kommunikation via bland annat den krypterade appen Telegram visade sig slå tillbaka på vissa myndighetssystem. Nu har kommunikationsvägarna byggts om och skulle ha testats den 20 mars. Uppenbarligen törs dock myndigheterna inte lita på att man nått målet eftersom provet avlystes. Den officiella motiveringen var att man inte ville störa informationssystemen medan man försöker komma till rätta med spridningen av Covid-19. Oavsett fördröjningen har Ryssland under snart 30 år målmedvetet utvecklat en teknik för att avskärma sina Internetanvändare från resten av världen.

Om detta lyckas fullt ut innebär det inte bara en möjlighet att styra och begränsa den information som sprids inom landet. Ett sådant system kan i viss mån också skydda mot skadliga attacker utifrån men även göra det svårare för omvärlden att hitta information inom den Rysslandskontrollerade delen av nätet..

Ett exempel är det mångnationella nätverket Bellingcat vars journalister finkammat Internet med bildigenkänningsprogram för att dokumentera att rysk militär spelade en nyckelroll när en del av Donbass separerades från Ukraina 2014. Bland annat har Bellingcat i samarbete med internationella brottsutredare på ett övertygande sätt visat att det var en robot, som avfyrats från ett ryskt militärfordon, som orsakade närmare 300 människors död när ett malaysiskt passagerarplan sköts ner över krigsområdet i juli 2014. Om Ryssland lyckas skapa en effektiv mur kring landets Internetresurser kan man med filter försvåra den här typen av så kallad omvänd bildsökning.

Att Ryssland själv utvecklar verktyg för skadliga attacker mot andra hävdade BBC när man den 18 mars publicerade information från en hackergrupp som kallar sig Digital Revolution. De tolv dokumenten från 2017 och 2018 handlar om tre versioner av en programvara kallade Fronton, Fronton-3D och Fronton-18. Deras uppgift är att kunna slå ut Internet i ett litet land genom att till exempel infektera och överbelasta nätet via en mängd småprylar som kameror och som är anslutna till Internet praktiskt taget utan säker kommunikation.

Precis som smittbekämpning är datorsäkerhet ett område som försummas av stora delar av samhället utom i ofärdstider då många önskar att man förberett sig bättre. Hur ofantligt mycket som återstår av den IT-utveckling som vi ännu bara befinner oss i början av kan man ana genom att studera andra teknologier som vi levt med i århundraden. Jag avslöjar ingen stor militär hemlighet när jag berättar att jag under min värnpliktstjänstgöring utbildades till riktare på en av det svenska försvarets största artilleripjäser. När jag senare sett gamla kanoner på muséer och historiska fästningar i Sverige och utomlands har jag insett att min utbildning skulle ha räckt för att kunna sikta hyfsat med de senaste århundradenas pjäser. När jag läst centralasiatisk historia insåg jag att de nya spränggranater som pulvriserade tjocka fästningsmurar spelade en viktig roll när Ryssland lyckades erövra sina folkrikaste kolonier. Vem som kom att styra över andra avgjordes av vem som hunnit längst i utveckling av den destruktiva tekniken.

Som journalist har min försörjning i hög grad varit förknippad med boktryckarkonsten. Ännu i början av min karriär satte typograferna för hand samman tidningarnas rubriker av stämplar med en bokstav på varje. För knappt 600 år sedan utvecklade Johannes Gutenberg sin europeiska boktryckarkonst med den här metoden. Tekniken blev avgörande för att läskunnigheten spreds i världen men fortfarande är analfabetismen inte utrotad. Det utvecklades också en social kontroll över tryckpressarna. Allt som framställdes där kunde ställas till svars inför en censur eller senare åtminstone en etisk prövning av en nämnd med representanter för olika lager i samhället.

Datoriseringen har vänt upp och ner på både artilleriet och boktryckarkonsten liksom på det mesta i samhället. Som journalist har jag lärt mig att använda tekniken inte bara för att skriva, layouta, redigera foton och göra grafik men också att dagligen följa nyhetsutvecklingen i exempelvis Uzbekistan eller det nära sambandet mellan Kreml och aktörer i Donbass.

Samtidigt har det tagit lång tid innan en stor det av det svenska samhället accepterat kunskap som hämtas in med sådana här metoder. I dag är de flesta medvetna om Rysslands aktiva roll i Donbasskonflikten men för fem år sen tvekade många som inte förstod hur lättillgänglig informationen var. Av samma skäl har många inte förstått hur sårbara vi själva är för andras intrång. Vi värjer oss inte genom att säga fy skäms till dem som driver trollfabrikerna. Vi gör det genom att ta kontroll över vårt eget Internet. Inte genom censur men genom att ta gällande lagar på allvar, satsa mera på säkerhetsutveckling och genom att ställa samma krav på dem som driver sociala nätverk som på våra egna medier när det gäller etik och bidrag till samhällets kostnader. Det är inte ett uttryck för frihet att släppa mobbning och anonyma lobbyister fria i anonyma nätverk när vi inte tillåter det i det samhälle som vi styr själva.

Om vi försummar att skydda oss mot avarterna på Internet riskerar vi att ingen myndighet att kan nå oss med råd via dagliga presskonferenser när det blir kris.