sou · GRB359d2 · 2004-01-01 00:00:00 — Secure DNS finns ännu inte implementerat i någon större mängd befintliga produkter på marknaden. För att det skall bli användbart måste såväl DNS-servrar som klienter skrivas om så att de utnyttjar den nya tekniken. När det gäller den vanligaste produkten på serversidan (Internet Name Deamon, BIND) pågår ett hektiskt arbete att uppdatera koden. Senaste versionen () klarar nätt och jämnt av att hantera secure DNS, men bara på experimentstadiet. hoppas man komma med test- versioner av en ny, från grunden omdesignad server, som skall klara secure DNS fullt ut. På klientsidan är det nog värre. Säkerhetstänkandet måste slå igenom ända ut till den lokala PC:n om det skall ge full effekt, och det innebär att man måste ändra i TCP/IP-stacken på Windows och i OpenTransport på Macintoshar samt motsvarande i andra system. Sådana ändringar kan visserligen införas med samma tidsaspekt (), men det finns en enorm installerad bas, och innan den är uppgraderad har det nog gått . Hur långt har man då kommit i med införandet av DNS? På tekniksidan kan nämnas att svenska DNS- tekniker deltar i internationella arbetsgrupper för standardisering av Internetprotokoll. Man har internationellt också börjat experi- mentera med de testimplementationer som finns, och även där deltar svenska aktörer. Den svenska domännamnsregistraturen utvecklar tekniska system för hantering av signaturer och annat. Den administrativa sidan kräver mer eftertanke. När man arbetar med säkring av system är det viktigt att den information man baserar sin tekniska säkerhet på är korrekt. Om man t.ex. utför en DNS-delegering och signerar den, så gäller det att man verkligen vet att det är rätt person/organisation man delegerar DNS- domänen till. Man måste alltså bygga upp en organisation för att säkert identifiera den som ansöker om ett domännamn. Den svenska domännamnsregistraturen har uppmärksammat problemen och arbetar på att skapa en lösning där arbetsbelastning och säker- het balanserar varandra på ett rimligt sätt. All säkerhet på Internet bygger på kryptering och förhopp- ningen om att det är svårt och omständligt att forcera . För att detta skall vara sant krävs det att man använder kryptometoder som faktiskt motsvarar den förhoppningen. Ju starkare datorer motståndaren har, desto starkare kryptosystem måste man använda för att skydda sin information rimligt . Med de datorer som var och en har på skrivbordet kan man ganska enkelt forcera vanliga kryptosystem. För att skydda sin informa- tion, t.ex. DNS-informationen, måste man alltså använda starka kryptosystem. Starka kryptosystem är en absolut förutsättning för någon som helst säkerhet på Internet. Hur vet man då om en kryptometod är stark? Det finns bara ett sätt: att låta många experter undersöka metoden och förhoppnings- vis bli överens om att den håller vissa mått. Det går inte om metoden är hemlig. En hemlig kryptometod är alltså en dålig bas för säkerhet, för vem vet om den är så bra som myndigheten eller företaget påstår? Varför är den hemlig? Styrkan hos en bra krypto- metod är inte beroende av om andra människor känner till metoden eller inte, utan bara av att andra människor inte känner till krypto- nycklarna man använt. Smarta kort är en lösning som lanseras då och då. Smarta kort kan man ha till mycket, bl.a. till att lagra kryptometoder och kryptonycklar av olika slag, men de har också flera nackdelar. I vissa av förslagen är metoderna hemliga, vilket, som framförts ovan, inte är en lämplig lösning. En annan vanlig nackdel är att kryptonyckeln i kortet stoppas dit av någon man inte känner. En direkt följd blir att denna andra människa/organisation alltså har tillgång till nyckeln, och därvid kan kopiera den, och alltså senare använda den. Det kan vara fråga om att någon anställd på bolaget som tillverkar korten uppträder oegentligt, eller att någon av statens myndigheter systematiskt samlar in alla medborgares nycklar för att kunna använda dem i olika former av myndighets- utövning. Det gäller här att starkt värna om privatpersoners och företags integritet. Problemet kan undvikas genom att personer själva skapar sina nycklar, och sedan lämnar dem krypterade till kortföretaget, så att ingen annan kan läsa dem. Det kan dock bli administrativt komplicerat. Man måste också vara väldigt försiktig med datorer som läser korten, och skapa system som gör det svårt för sådana datorer (t.ex. snabbköpskassor) att spara informationen och utnyttja den igen, på sätt som liknar de falska bankomater som lagrade kortnummer och kod. Ytterligare en nackdel, som hemliga metoder och smarta kort har gemensam, är bristen på standardisering. Man kan säkert införa en nationell standard för att använda en viss metod eller en viss typ av smart kort, men Internet är en internationell företeelse, och om man vill att handel och informationsutbyte skall kunna fungera mellan och andra länder, krävs det att de säkerhetsmetoder man använder har internationellt stöd. Hur får man tag i kryptoprogramvara? Det lättaste sättet för de flesta Internetanvändare att installera ny programvara, är att hämta den från Internet. Om man vill få stor spridning på användandet av Secure DNS, krävs det att sådan programvara är lätt tillgänglig för alla, och import och export måste kunna ske obehindrat. Det är viktigt att svenskar kan utnyttja teknologi från andra länder, och det är viktigt att svensk teknologi kan exporteras till andra länder om skall kunna vara en fullvärdig deltagare i ett säkert och internationellt Internet. Programvara som läggs upp lätt åtkomlig på Internet blir tillgänglig för alla, inte bara för svenskar, och eftersom det inte finns någon metod att identifiera vem som är svensk på Internet, måste export av kryptoprodukter tillåtas om produkterna skall kunna vara lätt tillgängliga för svenskar. Detta torde också öka förtroendet för som en ansvarstagande nation i säkerhetsfrågor, och skulle kunna öppna en marknad för svenska företag som vill profilera sig inom säkerhetsprodukter, ett område där det finns kunnande och erfarenhet i , och det skulle kunna fungera som draghjälp åt hela IT-industrin. Det skulle vara till stor hjälp om svenska myndigheter i sitt internationella arbete verkade för en öppenhet i dessa frågor mellan olika länder, inte bara i , utan också i och i andra delar av världen. Svenska myndigheter skulle också kunna bidra till en spridning av Secure DNS genom att tidigt själva börja använda det, och därigenom skapa förtroende för metoderna. Att kunna vara säker på att man verkligen kommunicerar med rätt myndighet i den allt större elektroniska korrespondensen skulle vara en draghjälp åt hela systemet, och få upp intresset hos företag och privatpersoner. För att Secure DNS skall kunna införas i , måste det alltså från myndigheterna sida skapas en miljö där landet har fri import, export och användning av stark kryptering, och de bör förespråka lösningar som bygger på öppna kryptometoder och på programvara och hårdvara som är öppna för fri konkurrens. Uppmuntran till internationellt samarbete och aktiv egen användning av Secure DNS från myndigheternas sida skulle snabba upp processen att sprida systemet allmänt. Det händer ganska mycket på området DNS-teknik. Man har t.ex. utvecklat metoder för att bara överföra förändringar från master- till slavserver när något har uppdaterats, i stället för att, som , kopiera hela databasdelen. Det utvecklas också nya typer av poster man kan lagra i DNS, såsom vilka personer som är ansvariga för olika delar av informationen, och geografisk informa- tion, samt kryptonycklar och certifikat. Även poster för den nya versionen av Internetprotokoll (IPv6) kräver nya poster för att man skall kunna använda den ordentligt. Följande referenser kan nämnas för den som vill fördjupa sig i ämnet. Den första är en bok som är mycket heltäckande och varmt rekommenderas. RFC:erna (Requests for Comments) är dokument ur den serie av dokument som reglerar tekniken på Internet. Flera RFC:er har statusen Internet Standard, bl.a. [2] och [3]. [1]Cricket , DNS and BIND, 3rd Edition, O', Inc. [2]P.V. Mockapetris, RFC 1034 Domain names – concepts and facilities. [3]P.V. Mockapetris, RFC 1035 Domain names – implementation and specification. [4]Eastlake, RFC 2535 Extensions. , Hans, Mänskliga rättigheter i europeisk praxis, En kom- mentar till om de mänskliga rättigheterna, 2:a uppl., 2002. Hemström, , Stiftelsernas rättsliga ställning – Enligt stiftelselag, , 1996. , , Varumärkens särskiljningsförmåga, , juridik, 1999 Isoz, , Stiftelselagen – En kommentar, , juridik, 1997. , , m.fl., Praktisk varumärkesrätt, , juridik, 1998. Nergelius, , Konstitutionellt rättighetsskydd: svensk rätt i ett komparativt perspektiv, , juridik, 1996. , , Upphovsrättslagstiftningen – En kommen- tar, , juridik, 1996. , /Ragnemalm, Hans, grundlagar, 12:e uppl., , Liber, 1980. Ragnemalm, Hans, Överlämnande av förvaltningsuppgift till enskilt subjekt, Förvaltningsrättslig tidsskrift 1976 s. 105 – 145. , , Allmän förvaltningsrätt, 21:a uppl., , Liber, 2002. , , Normgivningsmakten enligt regerings- form, 3. uppl., , Juristförlaget, 1999. Tuula, , IT-bolagen och de immateriella tillgångarna: vid företagsrekonstruktion och konkurs, , juridik, 2002. , , Kärnkraftsavvecklingen och , SvJT 1998, s. 315 – 340. , Förändringar av organisatorisk och rättslig karaktär som är nödvändiga för att skall kunna verifiera eller vidta åtgärder för att säkerställa att Internet i kan drivas oberoende av funktioner utomlands, 01-023882, . , Internets robusthet, 01-026614, . , Drift av Internet oberoende av funktioner utomlands, 01-026615, . , Är Internet i robust? (PTS-ER 2003:1). Informationstekniska standardiseringen, Rapport 6 – Termino- logi för Informationssäkerhet (numera SIS), . , Vem använder Internet och till vad? Spridning av Internet bland befolkningen, 1/2002. Med förslag till lag om allmänna förvaltnings- Med förslag till ny regeringsform och ny Fri- och rättigheter i grundlag Offentlighet, integritet och ADB andra fri- och rättighetsfrågor Åtgärder för att bredda och utveckla Rättsligt skydd för databaser, m.m. Ett informationssamhälle för alla Samhällets säkerhet och beredskap Lag om elektronisk kommunikation, m.m. Säkerhet i en ny tid Lag om elektronisk kommunikation m.fl. mot , dom , Ser. mot , dom , Ser. mot , dom , Ser. m.fl. mot , dom , Ser. Pressos Compania Naviera S.A. m.fl. mot , dom 1995-11- 20, Ser. NJA 1948 s 414 NJA 1995 s 256 RÅ 2001 ref 72.