prop · GM03116 · 1999-01-01 00:00:00 — Regeringens skrivelse 1998/99:116 Regeringen överlämnar denna skrivelse till . Skrivelsens huvudsakliga innehåll I skrivelsen redovisar regeringen sin uppfattning när det gäller vissa aspekter på användning av kryptografi vid överföring och lagring av information i elektronisk form samt när det gäller export av kryptoprodukter. Regeringens ståndpunkt innebär i huvudsak följande. föreligger det inte skäl att begränsa användningen av kryptoteknik i . Alla skall ha rätt att själva välja sådan teknik. Import av kryptoteknik skall förbli fri. Det finns fortsatta säkerhetspolitiska skäl att förhindra spridning av kryptoteknik till olämpliga mottagare i vissa andra länder. Skulle utvecklingen motivera skärpta regler kommer regeringen att överväga lämpliga åtgärder för att skapa möjligheter till laglig åtkomst i klartext av krypterad information för brottsbekämpande och kontrollerande myndigheter. politik bör präglas av flexibilitet och lyhördhet i syfte att kunna möta en ökad efterfrågan på säker kryptoteknik, förändringar i andra länders politik och den fortsatta tekniska utvecklingen på området. Innehållsförteckning 1 Ärendet och dess beredning 3 2 Utgångspunkter 3 2.1 Bakgrund 3 2.2 Användning av kryptoteknik 5 2.3 Brottsbekämpning m.m. 8 2.4 Skydd av samhällsfunktioner 10 2.5 Exportkontroll 11 3 Vissa internationella frågor 12 3.1 Samarbetet inom EU 12 3.2 Wassenaar-arrangemanget och nya EU-regler 14 3.3 15 3.4 16 3.5 Utvecklingen i andra länder 16 4 Regeringens överväganden och slutsatser 18 Bilaga 1: Terminologi 23 Bilaga 2: Kortfattad beskrivning av kryptografi 27 Bilaga 3: riktlinjer för politik för kryptografi 35 Utdrag ur protokoll vid regeringssammanträde 43 1 Ärendet och dess beredning För att kartlägga användningen av kryptoteknik och ta fram ett underlag för politik på området inrättades en referensgrupp inom . I uppdraget har också ingått att samordna svenskt deltagande i internationella överläggningar och att förhandla om internationella riktlinjer för krypterad kommunikation. Referensgruppen presenterade rapporten möjliga svenska handlingslinjer . Rapporten har offentliggjorts och synpunkter på den har kommit in från berörda intressenter. Yttrandena finns tillgängliga i (Doss. HP 24). Referensgruppen har härefter fortsatt sitt arbete i syfte att ta fram ett underlag för en svensk ståndpunkt när det gäller användningen av kryptoteknik. Resultatet av detta arbete har legat till grund för den skrivelse som regeringen nu förelägger . Arbetet med att följa utvecklingen på området och ta ställning till vilka åtgärder denna kan motivera fortsätter. Regeringen avser att låta detta ske i delvis andra former än , i syfte att fördjupa dialogen med företrädare för olika användare och andra berörda. 2 Utgångspunkter 2.1 Bakgrund Den snabba tekniska utvecklingen underlättar en dynamisk framväxt av nationell och global elektronisk handel och elektronisk kommunikation. Detta leder i sin tur till en omfattande potential för tillväxt och effektivitet. Denna potential kan emellertid realiseras fullt ut först om myndigheter, företag och enskilda kan vara säkra på att den information som de utbyter och lagrar är oåtkomlig för obehöriga. Användning av kryptografi tillmötesgår krav på säkerhet i överföring av meddelanden och på skydd av lagrad information. Handlingars och signaturers äkthet kan också säkerställas med sådan teknik. I bilaga 1 återfinns en förklaring av tekniska termer som används i skrivelsen. Bilaga 2 innehåller en kortfattad beskrivning av kryptografi. Den tekniska utvecklingen har gjort det möjligt för såväl myndigheter och företag som enskilda personer att använda kryptoteknik vid hantering av känslig information. finns det både nationellt och internationellt ett behov av att kunna förhindra missbruk av sådan teknik. Användningsområdena för kryptoteknik har utvidgats från att tidigare främst ha använts inom försvaret och utrikesförvaltningen. Kryptoteknik är klassificerad som en strategisk produkt omfattad av exportkontroll, eftersom det fortfarande finns viktiga säkerhetspolitiska aspekter på den tekniken. De aspekter som bör beaktas vid utformningen av en politik för kryptografi är: - trovärdighet hos dokument i elektronisk form som avser att ersätta dokument i skriftlig form, - trovärdighet hos elektroniska signaturer och skydd för konfidentialitet vid användning av elektronisk kommunikation samt vid lagring av information, - brottsbekämpning, kontroll eller tillsyn (exempelvis åklagar-, polis- samt skatte- och tullmyndigheter), - exportkontroll för att förhindra spridning till olämpliga mottagare i vissa länder. Gällande svenska regler för användning av kryptoteknik kan sammanfattas på följande sätt. - Det är fritt att importera, tillverka och använda denna teknik. - Ansökningar om tillstånd till utförsel av kryptoprodukter skall prövas av (). - De rättsvårdande myndigheterna har möjlighet att tvångsvis genom t.ex. husrannsakan få tillgång till användares kryptonycklar. En användare av kryptering som misstänks för brott kan emellertid inte tvingas att aktivt medverka i en brottsutredning genom att t.ex. lämna ut sin privata konfidentialitetsnyckel. I en skrivelse till om elektronisk handel (skr. 1997/98:190) har regeringen redovisat olika frågor som berörs av den snabba utvecklingen av elektronisk handel. Regeringen har där uttalat att utvecklingen bör drivas av marknadens aktörer och att regleringar bör tillgripas endast när branschstandarder och avtal inte är tillräckliga. I skrivelsen betonas att ett övergripande intresse från statsmakternas sida i fråga om såväl kryptografi som digitala signaturer är att tillit skapas till kommunikationssystemen. I regeringens proposition om statlig förvaltning i medborgarnas tjänst (prop. 1997/98:135) sägs att statliga myndigheter bör använda säker överföring av dokument och meddelanden i öppna kommunikationsnät. Regeringen aviserar att ett för myndigheterna gemensamt regelverk för säker kommunikation i statsförvaltningen kommer att utarbetas. I propositionen Förändrad omvärld - omdanat försvar (prop. 1998/99:74) säger regeringen att den avser att pröva förutsättningarna för att inrätta en särskild funktion för att motverka attacker mot informationssystem, liksom om det finns skäl att utvidga ansvarsområdet beträffande signalskyddstjänsten (skydd av kommunikationer) i enlighet med förslaget från arbetsgrupp om informationskrigföring. Arbetsgruppens förslag skulle innebära att Försvarsmaktens ansvarsområde vidgas till att även omfatta civila totalförsvarsviktiga informationssystem. För att ge underlag för ett eventuellt införande av en IT-kontrollfunktion för statsförvaltningen, kommer regeringen att uppdra åt Försvarsmakten att genomföra en försöksverksamhet inom försvarssektorn . Departementspromemorian Digitala signaturer - en teknisk och juridisk översikt (Ds 1998:14) innehåller underlag som legat till grund för svenska ståndpunkter i EU rörande digitala och elektroniska signaturer. I fortsättningen används genomgående begreppet elektroniska signaturer eftersom EU kommer att använda det i kommande reglering. Kryptografi används i avkodningsutrustning för kodade sändningar av TV- och ljudradioprogram. Detta regleras i lagen (1993:1367) om förbud beträffande viss avkodningsutrustning. 2.2 Användning av kryptoteknik Elektroniska informationstjänster i samhället har tidigare bl.a. i skrivelsen om elektronisk handel (skr. 1997/98:190) givit uttryck för uppfattningen att informationstekniken skall utnyttjas för att skapa tillväxt och sysselsättning samt ge bättre service. Därmed ökas konkurrenskraft och medborgarnas välfärd. För företagen medför informationstekniken ökad effektivitet och förbättrade möjligheter att tillgodose kunders behov. Den innebär helt nya möjligheter och förutsättningar för de ekonomiska aktiviteterna i samhället och för samhällets organisation, där geografiska avstånd inte behöver ses som svåröverkomliga hinder för att etablera och driva verksamhet och bereda människor goda livsbetingelser. Regeringen anser att det är av stor vikt att ta vara på dessa möjligheter. Den tekniska utvecklingen medger att elektroniska meddelanden och dokument kan innehålla text, bild, ljud och andra data. Telefoni och datakommunikation växer samman. Gamla nät- och systemgränser suddas ut. Internet är det tydligaste exemplet på detta, och illustrerar även att gränserna mellan massmedia och interaktiv databehandling håller på att försvinna. Nya tillämpningar växer fram där t.ex. skyddet av upphovsrätt skärper kraven på informationssäkerhet och användning av kryptografi. De elektroniska tjänsterna skapar nya samarbetsformer mellan organisationer i eller utomlands, samt ger ökade möjligheter till arbete på distans. ligger långt framme när det gäller tekniska innovationer. Även inom programvarubranschen hävdar sig svenska företag väl i internationell konkurrens. Den svenska användningen av den nya informationstekniken och av kommunikationstjänster är omfattande. Enligt använde av den svenska befolkningen i åldern (dvs. 3,4 milj. personer) Internet . Även när det gäller nya tjänster har spridningen gått relativt långt. Exempelvis har ca 700 000 kunder egen anslutning till banktjänster på Internet. förutspås 1,3 milj. personer komma att handla på Internet. Den offentliga förvaltningen använder sig i stor utsträckning av informationsteknik vid sina kontakter med medborgare och företag. En viktig ambition i förvaltningspolitiken är att introducera en omfattande elektronisk självservice, med användning av Internet-teknik. Den utrustning som hushåll och företag skaffar sig för användning av Internet skall även kunna användas för elektronisk kommunikation med kommunala och statliga myndigheter. Det ger bättre service till lägre kostnad och frigör resurser som kan användas där personlig kontakt alltjämt erfordras. Informationssäkerhet och kryptografi började användningen av öppna kommunikationsnät att ta fart. Det främsta exemplet är Internet som bl.a. utmärks av att inte ha en tydlig nätägare med ansvar för hela nätets säkerhet. I stället består Internet av en mängd hopkopplade nät med skilda nätägare. förbinder dessa öppna nät verksamheter inom samhällets olika sektorer och möjliggör nya arbetsformer och allianser. Myndigheter, företag och enskilda kommer i ökad utsträckning att utnyttja de öppna kommunikationsnäten för allt flera tjänster. Ett problem är emellertid att användare måste vidta särskilda åtgärder för att skydda sin kommunikation på öppna nät. Detta skapar behov av informationssäkerhetsåtgärder, främst kryptografi. Kryptografin erbjuder även andra möjligheter och kan exempelvis användas för att försvåra eller förhindra att en avsändare förnekar att ett meddelande har skickats. Det senare är viktigt om elektroniska funktioner skall kunna ersätta pappersdokument, skrivna kvitton eller andra bevishandlingar. Grundläggande säkerhetskrav, som kan uppfyllas av kryptografi och ge förtroende för kommunikationstjänster är: - att säkerställa identiteten hos avsändare och mottagare av dokument eller meddelande, - att skydda dokument eller meddelande mot förvanskning, - att skydda dokument eller meddelande från obehörig insyn, - att en sändare inte kan förneka sina dokument eller meddelanden. Även när information lagras i datorer kan kryptografi användas som skydd mot insyn och förvanskning av informationen, t.ex. om en dator blir stulen, eller om en obehörig bereder sig tillträde till ett kontor och försöker få tillgång till data som är lagrade på datorns hårddisk eller på disketter. Kryptografi är också ett medel att skydda den personliga integriteten, t.ex. vid överföring av känsliga personuppgifter. Förutsättningar i form av infrastruktur och tillgång till kryptografi börjar nu växa fram i . För att säkerställa identitet och skydda dokument mot förvanskning krävs elektroniska signaturer. Sådana kan vid elektronisk kommunikation bl.a. ersätta traditionella underskrifter och ge en högre grad av säkerhet både när det gäller identifieringen och innehållet jämfört med en egenhändig underskrift. Både elektroniska signaturer och konfidentialitet skapas med hjälp av kryptoalgoritmer och kryptonycklar. Kryptoalgoritmerna bör vara starka och beprövade samt internationellt accepterade. Sambandet mellan kryptonycklarna och en bestämd person eller organisation intygas i så kallade certifikat. Särskilda organ tillhandahåller tjänster för hantering av certifikat och kryptonycklar, främst inom tre huvudområden: identifiering, signaturer och konfidentialitet. För att kryptonycklar, certifikat och elektroniska signaturer skall kunna få en omfattande användning måste dock vissa problem lösas. En fråga gäller vilken rättslig status elektroniska signaturer skall ha i förhållande till sedvanliga underskrifter. Vidare kan näringsrättsliga regler behövas för de särskilda organens verksamhet. Användare måste ha möjlighet att bli informerade om vilka regler som gäller. När dessa organ finns på plats i och erbjuder sina tjänster väntas allt flera börja använda kryptografi för säker kommunikation, men också för att skydda lagrad information. Det växande antalet datorer på arbetsplatser och i hemmen samt spridningen av Internet kommer att leda till större efterfrågan på kryptoteknik för elektroniska signaturer och för konfidentialitet. Svensk kryptografi har ett grundmurat anseende. Den första svenska kryptomaskinen konstruerades så tidigt som . Svensken kryptomaskiner var världens mest sålda. Även hävdar sig svenska kryptoprodukter väl i internationell konkurrens. Vissa gemensamma insatser i näringslivet I görs i näringslivet olika gemensamma insatser för att främja utveckling och användning av kryptografi samt för att stimulera företag att utveckla och marknadsföra kryptoprodukter och kryptotjänster. Några exempel lämnas här. SEIS (Säkrad Elektronisk Information i Samhället) är en ideell svensk förening med ett 50-tal medlemmar. Föreningens syfte är att för medlemmarnas räkning förvalta, utveckla och skapa acceptans för den elektroniska lösning för identifikation, signering och konfidentialitet som föreningen tagit fram. Föreningen har även till uppgift att bevaka och påverka utvecklingen inom sitt verksamhetsområde så att alla användare skall kunna kommunicera elektroniskt på ett tryggt och säkert sätt. har identifierat elektroniska affärer som en av de viktigaste globala näringslivsfrågorna . Förbundet anser att en förutsättning för att elektroniska affärer skall få den tillväxt som många förväntar sig är att säkerhetsfrågorna kan lösas varvid tillgången till starka kryptoprodukter är en avgörande faktor. För att stimulera och driva på utvecklingen av elektroniska affärer i har , , , , , , samt bildat föreningen för elektroniska affärer, . En av de viktigaste uppgifterna för är att arbeta för en ökad säkerhet vid elektroniska affärer. bevakar IT-säkerhetsområdet, genom Banker- nas och dess undergrupp IT-säkerhetsgruppen. a. bevakas hotbildsförändring, teknisk utveckling och standardisering. för den () har en IT-säkerhetsgrupp som är starkt engagerad i kryptografifrågorna. ICC verkar för enhetliga internationella regler och har bl.a. tillsammans med andra industri- och användargrupper i formulerat en Global Action Plan . i med ca 28 000 medlemmar i , verksamma på IT-området, har en särskild intressegrupp, , som bedriver utvecklingsarbete och tar initiativ till utbyte av erfarenheter på området IT-säkerhet och kryptografi. IT-Företagen, en branschförening inom bestående av över 600 IT-företag verksamma inom hårdvaru-, mjukvaru- och Internet- områdena, har en arbetsgrupp för säkra elektroniska affärer. Gruppen består av flera säkerhetsorienterade IT-företag tillsammans med tjänste- och systemleverantörer. Dessa företag tillverkar säkerhetsprodukter, erbjuder tjänster som certifikatutgivning eller erbjuder systemlösningar där kryptografi ingår i komponenter eller där kryptografi används i den interna företagskommunikationen, t.ex. mellan enheter lokaliserade i olika delar av världen. Föreningen är en branschförening i med ca 70 programvaruföretag som medlemmar. Flera utvecklar kryptoteknik och kryptosystem. Ännu fler bygger in sådana säkerhetslösningar i sina produkter och programvaror. Det är ett viktigt samhällsintresse att användarna själva skyddar sin informationsbehandling och kommunikation och därmed förhindrar eller försvårar brottslig verksamhet. Att använda kryptografi är ur denna synvinkel en önskvärd åtgärd. Kryptoteknik kan dock användas även i syfte att dölja brottslighet. För att förhindra och utreda brott som utförs med stöd av denna teknik, är det nödvändigt att brottsbekämpande myndigheter får effektiva redskap till sitt förfogande. De brottsbekämpande myndigheterna har behov av att få tillgång till lagrad information hos misstänkta samt kunna ta del av information som inhämtats genom avlyssning. Om informationen är krypterad måste den kunna dekrypteras av de brottsbekämpande myndigheterna. De grundläggande bestämmelserna om husrannsakan och beslag vid utredning av brott finns i . En husrannsakan får bl.a. ske i syfte att söka efter föremål som är underkastat beslag eller för att på annat sätt utröna omständigheter som kan ha betydelse för utredningen av ett brott. Ett föremål som skäligen kan antas ha betydelse för utredningen av ett brott får tas i beslag. Några särskilda regler som avser IT-miljön finns inte, men regelsystemet är föremål för en översyn inom . Regler om hemlig teleavlyssning m.m. finns i . Hemlig teleavlyssning innebär att alla slags telemeddelanden, också datakommunikation kan avlyssnas i hemlighet. För att sådan avlyssning skall få ske enligt krävs bl.a. att någon är misstänkt för ett brott som har ett minimistraff fängelse eller att misstanken avser ett förbrott till ett sådant brott. Det krävs att åtgärden är av synnerlig vikt för brottsutredningen. Det är domstol som beslutar om avlyssning skall få ske. En teleoperatör är i princip skyldig att tillhandahålla en av operatören själv krypterad signal i klartext. Hemlig teleavlyssning är ett viktigt hjälpmedel för att utreda och avslöja brott. Misstänkta som blivit föremål för hemlig teleavlyssning har inte i någon påtaglig utsträckning utnyttjat möjligheten att använda sig av kryptering. Den hemliga teleavlyssningen har därför fungerat i stort sett som avsett. Om kommunikationsnät i ökad utsträckning utnyttjas för brottslig verksamhet och tillgången till effektiv kryptoteknik underlättas, kan det förutses att de brottsbekämpande myndigheterna kommer att möta allvarliga hinder om det inte finns möjlighet att få tillgång i klartext till krypterad kommunikation eller lagrad information. Av regeringens skrivelse till om hemlig teleavlyssning, hemlig teleövervakning och hemlig kameraövervakning vid förundersökning i brottmål (skr. 1998/99:21) framgår att domstol under , när det gäller förundersökning avseende grova narkotikabrott, har meddelat tillstånd att i hemlighet avlyssna kommunikation till eller från telefonapparater eller andra teleanläggningar som har innehafts eller använts av 281 misstänkta personer. har antalet fall legat mellan 210 och 333. När det gäller andra grova brott där det enligt är tillåtet att använda hemlig teleavlyssning har detta skett i 58 fall . har antalet fall legat mellan 13 och 91. Det har gällt förundersökningar huvudsakligen rörande mord eller försök, förberedelse och stämpling till detta brott, grovt rån eller medhjälp, försök och förberedelse till detta brott, människorov, mordbrand, grovt koppleri och grov penningförfalskning. Avlyssningen har haft betydelse för förundersökningen i fråga om den misstänkte i av fallen . har antalet fall där åtgärden haft betydelse för förundersökningen legat mellan . lämnades tillstånd i 165 fall till hemlig teleövervakning. Av dessa avsåg 115 fall narkotikabrott. Övervakningen hade betydelse för förundersökningen beträffande den misstänkte i av fallen. Skattemyndigheter och andra myndigheter behöver också tillgång till lagrad information för att kunna utöva kontroll och tillsyn. Om informationen är krypterad måste den först omvandlas till klartext. Enskilda är skyldiga att medverka i skatteutredningar, men självklart kan ett skattesystem inte fungera enbart på uppgifter som den skattskyldige lämnar frivilligt. måste kunna använda sig av olika former av tvångsåtgärder för att säkerställa skattesystemets funktion. Om den skattskyldige inte fullgör sina skyldigheter får skattemyndigheten förelägga vite. Om det finns anledning att anta att den skattskyldige har begått brott så får dock den skattskyldige inte föreläggas att medverka i utredningen av en fråga som har samband med den gärning som brottsmisstanken avser. kan vidare göra revision för att granska näringsidkares bokföring m.m. Vid revision skall den skattskyldige tillhandahålla de handlingar och lämna de upplysningar som behövs för revisionen. kan också under vissa förutsättningar tillgripa tvångsåtgärder för att kunna genomföra en revision, bl.a. får ADB-material omhändertas. Det kan i detta sammanhang nämnas att det enligt bokföringslagen inte är tillåtet att göra bokföringsmaterial oläsligt. Bokföringsmaterialet skall alltid kunna tas fram i läsbar form, och det får således inte vara krypterat vid presentationen. 2.4 Skydd av samhällsfunktioner För att skydda säkerhet och oberoende samt ge underlag för regeringens bedömning av den allmänna utrikes- och säkerhetspolitiska utvecklingen bedriver försvaret signalspaning i syfte att upptäcka verksamhet riktad mot vårt land. Svensk signalspaning är enbart riktad mot utlandet och har därför inte behov av att den inhemska användningen av kryptografi regleras. Signalspaningens möjligheter att förvarna om olika slags hot beror bl.a. på om man genom exportkontroll lyckas förhindra spridning av avancerad kryptoteknik till oönskade användare. En vidgad internationell användning av avancerad kryptoteknik riskerar att försvåra eller omöjliggöra för signalspaningen att dekryptera signaler och redovisa meddelanden i klartext. Om kryptosystem som används i totalförsvaret eller utrikesförvalt- ningen är behäftade med svagheter och främmande makt får tillgång till känslig information, kan konsekvenserna bli förödande i en krigssituation. Om instruktioner inför en regeringsförhandling blir kända av motparten kan det påverka förhandlingsresultatet. Information kan läcka ut , eftersom den som har lyckats forcera ett system kan hålla detta hemligt. Kryptosystem som används inom utrikesförvaltningen och totalförsvaret granskas och godkänns av TSA (Totalförsvarets signalskyddssamordning) innan de tas i bruk. TSA utför också inspektioner för att kontrollera att systemen handhas på ett riktigt sätt. TSA har möjlighet att ge råd till verksamheter i utanför totalförsvaret, såväl inom den offentliga som den privata sektorn. Den praktiska hanteringen av driftsatta kryptosystem är vital för att de skall ge avsett skydd. Den i avsnitt 2.1 föreslagna IT-kontrollfunktionen för statsförvaltningen kan enligt arbetsgruppen om informationskrigföring ha TSA som en lämplig bas. Svaga system kan leda till problem, även då de används av myndigheter som inte tillhör totalförsvaret. Ett dataintrång kan ske i syfte att störa samhällsfunktioner såsom utbetalningar av pensioner eller försäkringar och för att förorsaka problem av olika slag. Den som lyckas tränga in i centrala datasystem kan slå ut viktiga infrastrukturer som järnvägstrafik, flygledning och elförsörjning. Det är även ett nationellt intresse att näringslivet genom säkra kryptosystem skyddar sig mot kvalificerad brottslighet och industrispionage. Företagen är beroende av korrekta och snabba informationer och tillförlitliga tekniska system. När valutahandel och finansiella system störs och viktiga företagshemligheter kan inhämtas av utländska konkurrenter, får detta konsekvenser för hela samhället. 2.5 Exportkontroll Exportkontroll av vissa strategiska produkter, dvs.