bet · GN01UU7 · 2000-02-24 00:00:00 — Kryptografi (förnyad beredning) I sina överväganden med anledning av regeringensskrivelse /99:116 Om kryptografi och motion1998/99:U16 (fp) framhåller utskottet att det delarregeringens uppfattning i fråga om användning avkryptografi vid överföring och lagring avinformation i elektronisk form samt när det gällerhandel med kryptoprodukter.Innebörden av ställningstagandet är att det förnärvarande inte föreligger skäl att begränsaanvändningen av kryptoteknik i , utan attalla skall ha rätt att själva välja sådan teknik.Skulle utvecklingen motivera skärpta regler börlämpliga åtgärder övervägas för att skapamöjligheter till laglig åtkomst i klartext avkrypterad information för brottsbekämpande ochkontrollerande myndigheter. Import av kryptoteknikskall förbli fri.Utskottet noterar införandet av interimistiskaamerikanska regler vad gäller export avkryptoprodukter och konstaterar att de svenskabestämmelserna alltjämt är lättare att tillämpa.Utformningen av exportkontroll av kryptoprodukterinnebär en svår avvägning mellan olika faktorersåsom säkerhetspolitiska överväganden, skyldighetenav att fullgöra internationellt överenskomnaåtaganden samt tillgängligheten av teknik förförsvaret och näringslivet. De civila nyttjarnasbehov och näringspolitiska intressen är andrafaktorer som måste beaktas.Sverige deltar i det internationella arbetet medexportkontroll och kommer fortsättningsvis, enligtvad utskottet erfarit, att än mer verka för enfriare handel med kryptoprodukter som ett led iutvecklingen av elektroniska tjänster men medhänsynstagande till att det kvarstår ettsäkerhetspolitiskt betingat intresse av att försvåraåtkomsten av starka för exempelvis sådanaanvändare som är länkade till utveckling ellerproduktion av massförstörelsevapen. Vidareframhåller utskottet att , för att säkra egentillgång till utländsk högteknologi, har ett behovav att upprätthålla samma kontrollnivå som viktigareleverantörsländer. Enligt utskottets mening innebärdetta en lämplig avvägning. Utskottet vill framhållaatt detta synsätt också bör vara vägledande förSveriges insatser i samband med arbetet med den nyaEG-rådsförordningen som är under utarbetande.Själva tillämpningen av exportregleringen är ibetydande utsträckning en nationell angelägenhet.Detta har utnyttjats av för att på olikasätt förenkla för företagen. Utskottet, som vid enföredragning av statsrådet erfarit attytterligare arbete med denna inriktning pågår,understryker betydelsen härav.Förhållandena beträffande exportkontroll avkryptoprodukter har i icke oväsentlig gradförändrats sedan skrivelsen underställdes riksdagenoch motionerna väcktes. Enligt utskottets bedömningär därmed flertalet av de krav som motionsledesframförts redan tillgodosedda.Utskottet delar regeringens uppfattning attSveriges politik bör präglas av flexibilitet ochlyhördhet i syfte att kunna möta en ökad efterfråganpå säker kryptoteknik, förändringar i andra länderspolitik och den fortsatta tekniska utvecklingen påområdet.Utskottet föreslår att regeringens skrivelse läggstill handlingarna. Samtliga motioner besvaras elleravstyrks.SkrivelsenRegeringen överlämnar skrivelse1998/99:116 Om kryptografi tillriksdagen. Motion väckt med anledning av skrivelsen1998/99:U16 av m.fl. (fp) vari yrkas1. att som sin mening ger regeringen tillkänna vad i motionen anförts om att inga svenskarestriktioner i rätten att använda kryptering fårfinnas,2. att som sin mening ger regeringen tillkänna vad i motionen anförts om att civila produktermed kryptoinnehåll jämställs med andra civilaprodukter i exporthänseende,3. att som sin mening ger regeringen tillkänna vad i motionen anförts om ett initiativ översyn av IT-samhällets sårbarhet ochframtagande av en plan för att minska riskerna medIT-användning,4. att som sin mening ger regeringen tillkänna vad i motionen anförts om fri import, exportoch användning av krypteringsprogram.Motioner väckta /20001999/2000:U410 av Per och ()vari yrkas1. att som sin mening ger regeringen tillkänna vad i motionen anförts om att i alltinternationellt samarbete bör verka för fri handelmed kryptoprodukter,2. att som sin mening ger regeringen tillkänna vad i motionen anförts om fasta och tydligaspelregler för de människor och företag som för sinkommunikation eller direkta verksamhet använder sigav eller tillverkar kryptoprodukter,3. att som sin mening ger regeringen tillkänna vad i motionen anförts om att det inte finnsnågra skäl att begränsa användningen av kryptotekniki ,4. att som sin mening ger regeringen tillkänna vad i motionen anförts om ett avvisande avalla planer på obligatoriska system för deponeringav krypteringsnycklar, såväl nationellt sominternationellt,5. att som sin mening ger regeringen tillkänna vad i motionen anförts om ett aktivt arbeteför att starka civila krypteringsprodukter stryksfrån den varulista för exportkontroll somWassenaararrangemanget fastställer,6. att som sin mening ger regeringen tillkänna vad i motionen anförts om en liberal tolkningav nu gällande Wassenaararrangemang,7. att som sin mening ger regeringen tillkänna vad i motionen anförts om en signal om att dennordamerikanska kryptopolitiken riskerar att bli ettrent handelshinder som gynnar amerikanska IT-företagpå andra konkurrenters bekostnad.1999/2000:T703 av m.fl. (c) variyrkas16. att som sin mening ger regeringentill känna vad i motionen anförts om framtidareglering av kryptering inom landet,17. att som sin mening ger regeringentill känna vad i motionen anförts om tolkning avWassenaararrangemanget och EG-rätten för attunderlätta export av svenska krypteringsprodukter,18. att som sin mening ger regeringentill känna vad i motionen anförts om Sverigesagerande i fortsatta förhandlingar om krypteringinom ramen för Wassenaararrangemanget och inom EU.1999/2000:T705 av m.fl. (fp) vari yrkas8. att som sin mening ger regeringen tillkänna vad i motionen anförts om borttagande avimport- och exportrestriktioner påkrypteringsprodukter.1999/2000:T717 av m.fl. (m) vari yrkas15. att som sin mening ger regeringentill känna vad i motionen anförts om användning ochexport av kryptobaserade produkter,16. att hos regeringen begär förslag omavskaffande av restriktioner när det gäller exportav kryptobaserade produkter i enlighet med vad somanförts i motionen. Ärendets beredningI betänkande 1999/2000:UU3 behandlade utskottetregeringens skrivelse 1998/99:116 jämte ett antalmotioner väckta såväl med anledning av skrivelsensom under den allmänna motionstiden. Underkammarbehandlingen yrkades attärendet skulle återremitteras till utrikesutskottetför fortsatt beredning. beslutade sammadag i enlighet härmed. Det återremitterade ärendetomfattar samtliga de frågor som behandlades ibetänkande 1999/2000:UU3.Under den förnyade beredningen av ärendet harutskottet erhållit en föredragning av statsrådetLeif samt även i övrigt inhämtatinformation om den internationella utvecklingensedan hösten 1999.Sammanfattning av skrivelsenI skrivelsen redovisar regeringen sin uppfattningnär det gäller vissaaspekter på användning av kryptografi vid överföringoch lagring avinformation i elektronisk form samt när det gällerexport av kryptoprodukter.Regeringens ståndpunkt innebär i huvudsak följande.För närvarande föreligger det inte skäl attbegränsa användningen av kryptoteknik i Sverige.Alla skall ha rätt att själva välja sådan teknik.Import av kryptoteknik skall förbli fri.Det finns fortsatta säkerhetspolitiska skäl attförhindra spridning av kryptoteknik till olämpligamottagare i vissa andra länder.Skulle utvecklingen motivera skärpta regler kommerregeringen att överväga lämpliga åtgärder för attskapa möjligheter till laglig åtkomst i klartext avkrypterad information för brottsbekämpande ochkontrollerande myndigheter.Sveriges politik bör präglas av flexibilitet ochlyhördhet i syfte att kunna möta en ökad efterfråganpå säker kryptoteknik, förändringar i andra länderspolitik och den fortsatta tekniska utvecklingen påområdet.BakgrundFör att kartlägga användningen av kryptoteknik ochta fram ett underlag för politik på områdetinrättades en referensgrupp inomRegeringskansliet.Referensgruppen presenterade i oktober 1997rapporten - möjliga svenskahandlingslinjer. Rapporten har offentliggjorts ochsynpunkter på den har kommit in från berördaintressenter. Yttrandena finns tillgängliga iRegeringskansliet (Doss. HP 24). Referensgruppen harhärefter fortsatt sitt arbete i syfte att ta framett underlag för en svensk ståndpunkt när det gälleranvändningen av kryptoteknik. Resultatet av dettaarbete har legat till grund för den skrivelse somregeringen nu förelägger riksdagen.Arbetet med att följa utvecklingen på området ochta ställning till vilka åtgärder denna kan motiverafortsätter. Regeringen avser att låta detta ske idelvis andra former än , i syfte attfördjupa dialogen med företrädare för olikaanvändare och andra berörda.Som bakgrund till sina överväganden och slutsatseranför regeringen bl.a. följande.Den snabba tekniska utvecklingen underlättar endynamisk framväxt av nationell och globalelektronisk handel och elektronisk kommunikation.Detta leder i sin tur till en omfattande potentialför tillväxt och effektivitet. Denna potential kanemellertid realiseras fullt ut först om myndigheter,företag och enskilda kan vara säkra på att deninformation som de utbyter och lagrar är oåtkomligför obehöriga.Den tekniska utvecklingen har gjort det möjligt försåväl myndigheter och företag som enskilda personeratt använda kryptoteknik vid hantering av känsliginformation. finns det både nationellt ochinternationellt ett behov av att kunna förhindramissbruk av sådan teknik.Användningsområdena för kryptoteknik har utvidgatsunder från att tidigare främst haanvänts inom försvaret och utrikesförvaltningen.Kryptoteknik är klassificerad som en strategiskprodukt omfattad av exportkontroll, eftersom detfortfarande finns viktiga säkerhetspolitiskaaspekter på den tekniken.De aspekter som bör beaktas vid utformningen av enpolitik för kryptografi är:- trovärdighet hos dokument i elektronisk form somavser att ersätta dokument i skriftlig form,-- trovärdighet hos elektroniska signaturer och skyddför konfidentialitet vid användning av elektroniskkommunikation samt vid lagring av information,-- brottsbekämpning, kontroll eller tillsyn(exempelvis åklagar-, polis- samt skatte- ochtullmyndigheter),-- exportkontroll för att förhindra spridning tillolämpliga mottagare i vissa länder.-Gällande svenska regler för användning avkryptoteknik kan sammanfattas på följande sätt.Det är fritt att importera, tillverka och användadenna teknik.Ansökningar om tillstånd till utförsel avkryptoprodukter skall prövas av Inspektionen förstrategiska produkter (ISP).De rättsvårdande myndigheterna har möjlighet atttvångsvis - genom t.ex. husrannsakan - få tillgångtill användares kryptonycklar. En användare avkryptering som misstänks för brott kan emellertidinte tvingas att aktivt medverka i enbrottsutredning genom att t.ex. lämna ut sin privatakonfidentialitetsnyckel.I en skrivelse till om elektronisk handel(skr. 1997/98:190) har regeringen redovisat olikafrågor som berörs av den snabba utvecklingen avelektronisk handel. Regeringen har där uttalat attutvecklingen bör drivas av marknadens aktörer ochatt regleringar bör tillgripas endast närbranschstandarder och avtal inte är tillräckliga. Iskrivelsen betonas att ett övergripande intressefrån statsmakternas sida i fråga om såvälkryptografi som digitala signaturer är att tillitskapas till kommunikationssystemen.I regeringens proposition om statlig förvaltning imedborgarnas tjänst (prop. 1997/98:135) sägs attstatliga myndigheter bör använda säker överföring avdokument och meddelanden i öppna kommunikationsnät.Regeringen aviserar att ett för myndigheternagemensamt regelverk för säker kommunikation istatsförvaltningen kommer att utarbetas.I propositionen Förändrad omvärld - omdanat försvar(prop. 1998/99:74) säger regeringen att den avseratt pröva förutsättningarna för att inrätta ensärskild funktion för att motverka attacker motinformationssystem, liksom om det finns skäl attutvidga ansvarsområdet beträffandesignalskyddstjänsten (skydd av kommunikationer) ienlighet med förslaget från Regeringskanslietsarbetsgrupp om informationskrigföring.Arbetsgruppens förslag skulle innebära attFörsvarsmaktens ansvarsområde vidgas till att ävenomfatta civila totalförsvarsviktigainformationssystem. För att ge underlag för etteventuellt införande av en IT-kontrollfunktion förstatsförvaltningen kommer regeringen att uppdra åtFörsvarsmakten att genomföra en försöksverksamhetinom försvarssektorn under år 2000.Regeringens överväganden och slutsatserRegeringens bedömningRegeringen bedömer att det inte finnsskäl att begränsa användningen av kryptoteknik iSverige utan att alla skall ha rätt att själva väljasådan teknik.Import av kryptoteknik skall förbli fri.Det finns fortsatta säkerhetspolitiska skäl för attförhindra spridning av kryptoteknik till olämpligamottagare i vissa andra länder.Skulle utvecklingen motivera skärpta regler kommerregeringen att överväga lämpliga åtgärder för attskapa möjligheter till laglig åtkomst i klartext avkrypterad information för brottsbekämpande ochkontrollerande myndigheter.Sveriges politik bör präglas av flexibilitet ochlyhördhet i syfte att kunna möta en ökad efterfråganpå säker kryptoteknik, förändringar i andra länderspolitik och den fortsatta tekniska utvecklingen påområdet.Skälen för regeringens bedömningBakgrundDet kan konstateras att ett flertal olika synsättkommer fram i diskussionen om användningen avkryptoteknik.Användare (en myndighet, ett företag, en enskild)betonar friheten att kryptera information och skyddaden mot obehörig insyn eller mot brottsligverksamhet och vill i det avseendet inte utsättasför några inskränkningar. Användare har ,liksom samhället i övrigt, intresse av att polisenhar förmåga att i sin brottsbekämpande verksamhetkunna dekryptera meddelanden för spaning ochbevissäkring.Användare vill ha ett starkt skydd av deninformation som skickas eller lagras i krypteradform. Han vill också kunna rädda sådan informationom hans privata konfidentialitetsnyckel skulleförkomma och vill då kunna få tillgång till en kopiaav nyckeln. Rättsvårdande myndigheter måste fåanvända tvångsmedel för att få laglig tillgång tillsådana privata nycklar.Användare vill, vid eventuell deponering av sinprivata konfidentialitetsnyckel, att den förvaras påett säkert och förtroendefullt sätt. Om denna nyckelmåste deponeras utanför användarens kontroll minskarförtroendet. Användaren kan då föredra ett annatsätt för förmedling av meddelanden ändatakommunikation, t.ex. kurirpost eller enpersonlig resa.Rättsvårdande myndigheter har intresse av attanvändare skyddar sig med starka kryptosystem föratt försvåra eller förhindra brottslig verksamhet.Samtidigt kan en fri tillgång till kryptoteknik föratt skydda data och meddelanden leda till att vissbrottsbekämpning försvåras eller förhindras.Staten, som ansvarar för rikets säkerhet ochskyddar samhället mot terrorism och annanbrottslighet, har klassificerat kryptoteknik som enteknik med både civil och militär användning, varsutförsel ur landet bör kontrolleras. Andra anser attexport av kryptoteknik inte behöver kontrolleras.Elektronisk handel m.m.Elektronisk handel och annan elektroniskkommunikation har vuxit framsom betydelsefulla användningsområden för denmoderna informationstekniken. Det medför nyaaffärsmöjligheter och nya arbetssätt som gertillväxt och sysselsättning. ställs storakrav på säkerhet i överföring av meddelanden ochdokument samt på säker identifiering av användarna.Detta kan åstadkommas med stöd av kryptografi. Detfinns således ett allmänt intresse av att användarnafår tillgång till starka kryptosystem och att detfinns förutsättningar för bruk av elektroniskasignaturer och för skydd av konfidentialitet.Regeringens bedömning är att en bred användning avkryptografi ökar tilliten tillkommunikationssystemen. Risken för missbruk avkryptografi är inte heller av sådant slag att detför närvarande föreligger skäl att begränsaanvändningen. Alla skall ha rätt att själva väljakryptoteknik och importen av kryptoteknik skallförbli fri.Elektroniska signaturer används för att säkerställaidentitet och skydda dokument mot förvanskning. Encentral fråga vid utformandet av svenska regler förelektroniska signaturer är hur hanteringen avcertifikat och kryptonycklar skall utformas. En s.k.certifieringsinstans är det organ somtillhandahåller signaturtjänster. Organet utställeroch signerar certifikat som anger vem som ärinnehavare av den öppna signaturnyckeln.Certifieringsinstansens roll är alltså avgörande förtilliten till elektroniska signaturer. Vissagrundläggande krav behöver därför ställas på sådanainstansers inre organisation samt på de certifikatoch nycklar som de utfärdar.Användarna har ett behov av säkra elektroniskasignaturer och tillgång till en öppen marknad försignaturtjänster. Hur ett system för tillsyn ochkontroll av signaturtjänster kommer att se ut iSverige måste ses mot bakgrund av de regler som detkommande EG-direktivet om elektroniska signatureruppställer. Utgångspunkten är att medlemsstaternainte får införa obligatoriska tillståndsvillkor försignaturverksamhet. Däremot finns möjlighet attutforma frivilliga ackrediteringssystem. Statenkommer att kunna fungera som förebild i sitt egetanvändande av signaturtjänster.Inom har arbete påbörjats med attskyndsamt ta fram handlingsmöjligheter och förslagtill en framtida struktur och organisation avsignaturtjänster. Detta arbete kommer att bedrivas inära samarbete med myndigheter, näringsliv ochintresseorganisationer på området.Brottsbekämpning m.m.Kryptografi är ett viktigt hjälpmedel för attförhindra eller försvåra brottslig verksamhet.Användare som skyddar sin information med stöd avkryptografi bidrar till att förebygga brott.Kryptoteknik kan dock även användas i brottsligtsyfte. Brottsbekämpande myndigheter har därför ettbehov av att vid tvångsmedelsanvändning, t.ex.husrannsakan och beslag, få tillgång till krypteradinformation i klartext samt vid hemligteleavlyssning få tillgång till privatakonfidentialitetsnycklar, utan den misstänktesvetskap, för att kunna dekryptera meddelanden.Kontroll- eller tillsynsmyndigheter har likaså behovav att vid revision och annan kontroll eller tillsynfå tillgång i klartext till lagrad och krypteradinformation.De nuvarande reglerna om tvångsmedel skulle erbjudabrottsbekämpande och kontrollerande myndighetervissa möjligheter att från särskilda organ somtillhandahåller tjänster för hantering av certifikatoch kryptonycklar få tillgång till t.ex. privatakonfidentialitetsnycklar som deponerats eller annaninformation som finns om det särskilda organetskunder. Husrannsakan, vittnesförhör eller liknandeåtgärder kan också användas för att åstadkommadetta. Sådan tvångsmedelsanvändning sker med stöd avlag och i kontrollerade former. Det är angeläget attden teknik som används i ett särskilt fall inteutgör hinder för sådan legal åtkomst. Kryptonycklaravsedda för elektroniska signaturer bör inteanvändas för att också skydda konfidentialitet,eftersom en privat signaturnyckel inte bördeponeras. I stället bör separata signaturnycklaroch konfidentialitetsnycklar användas.Brottsbekämpande och andra utredande myndighetersmöjligheter till laglig åtkomst i klartext tillkrypterad information måste säkerställas. För attmöjliggöra detta kan, förutom erforderliga inhemskaåtgärder, initiativ behöva tas på detinternationella planet. Skulle utvecklingen motiveraskärpta regler kommer regeringen att övervägalämpliga åtgärder för att skapa möjligheter tilllaglig åtkomst i klartext av krypterad informationför brottsbekämpande och kontrollerande myndigheter.Regeringen anser härutöver att aktivt börmedverka i utvecklingen av EU-gemensamma regler ochandra internationella överenskommelser på dettaområde.ExportkontrollEnligt regeringens bedömning finns det fortsattasäkerhetspolitiska skäl att förhindra spridning avkryptoteknik till olämpliga mottagare i vissa andraländer. Den svenska inställningen till kontrollen avspridning av kryptoteknik till utlandet(exportkontroll) bör ta hänsyn till att Sverigegynnas av frihandel och global elektroniskkommunikation. är för sinnationella säkerhet beroende av ett internationelltsamarbete där exportkontrollen utgör en del.Regeringen anser att följande åtgärder bör vidtas.Exportkontrollen av kryptoprodukter fortsätter ienlighet med och förpliktelseri Wassenaararrangemanget (WA). verkar bl.a.för att skapa en enhetlig och icke-diskriminerandetillämpning av reglerna i de länder som samarbetarinom WA och inom EU, så att svenska företag inte fåren konkurrensnackdel.Med nuvarande regler för exportkontroll gynnasföretag i länder med en stor hemmamarknad. Sverigevälkomnar därför att kommissionen föreslagit attkryptoprodukter skall omfattas av den inremarknadens fria rörlighet.Det är viktigt att exportkontrollen successivtliberaliseras och koncentreras på sådana känsligakryptoprodukter där kontrollintresset väger överfrihandelsintresset.Regelverken bör uttryckligen likställa fysiskutförsel av kryptoprogram med att göra demtillgängliga via datanät. Spridningen på nät harredan i dag nått betydande omfattning, och därmedhar förutsättningarna för den nuvarandeexportkontrollpolitiken förändrats.Den offentliga sektornDen offentliga sektorn är liksom andra delar avsamhället i behov av säker och tillförlitligkryptoteknik. Här ingår att kunna bedöma vilkaprodukter och tekniker som bör utnyttjas. Dettaställer särskilda krav på god kunskap och godabedömningar i myndigheternas upphandlingar och denrådgivning som de kan behöva i samband därmed.Statliga myndigheter bör utnyttjanyckelhanteringssystem med inbyggda funktioner förnyckelåterskapande. För att främja detta tordeinterna organ för hantering av certifikat ochkryptonycklar behöva inrättas. De statliga organenbör ha ett sådant regelverk att de kan tjäna sommodell även för den privata marknaden. Arbete medsådan inriktning bedrivs i länder som Austra-lien,, , och USA.I propositionen Statlig förvaltning i medborgarnastjänst informerade regeringen om att ett gemensamtregelverk för säker kommunikation istatsförvaltningen kommer att utarbetas.Den fortsatta utvecklingenUtvecklingen inom EU och i länder utanför unionen,bl.a. , är av betydelse för utformningen av ensvensk politik för användningen av kryptografi. Desenaste årens erfarenheter visar emellertid attutvecklingen är svårbedömd och att flera länderskryptopolitik förändrats, ibland snabbt och oväntat.Även tekniken och användningen förändras ständigt.Detta talar för att en svensk politik bör vara öppenför de krav som ställs. Beslut och åtgärder måstefortlöpande kunna omprövas.Antalet datorer är stort och användningen avInternet är utbredd i . En betydande del avinformationstjänsterna och försäljningen avprogramvara sker via datanät, och allt bättrekryptoprogramvaror blir tillgängliga på Internet. Enkraftigt ökad användning av kryptografi är därföratt vänta under de närmaste åren.En viktig fråga i detta sammanhang är i vilkenomfattning kryptoteknik används för att döljabrottslig verksamhet. Datakunniga brottslingar kanredan i dag skaffa sig mycket kraftfullakryptoredskap och använda dem utan möjligheter förde rättsvårdande myndigheterna att dekrypterameddelanden och dokument. , liksom andraländer i EU, följer denna utveckling. Skulleutvecklingen motivera detta kommer regeringen attöverväga skärpta regler. Även detta talar för att ensvensk politik bör utvecklas stegvis.Man kan tänka sig olika handlingsvägar vidutformningen av en kryptopolitik.