sou · H5B389 · 2017-11-16 00:00:00 — Det innebär att innehållet i appar inte kan analyseras och information som kan vara av värde i förundersökningen inte kan tillvaratas. De metoder som finns tillgängliga för att komma åt inne- hållet i krypterade enheter har av flera experter angetts till antingen s.k. brute force, vilket innebär att man med hjälp av särskilda program och algoritmer gissar lösenordet, att den misstänkte fri- villigt lämnar ut lösenordet eller att lösenordet på annat sätt kan kommas åt, t.ex. genom att det finns en lapp med lösenordet vid ett Uppgifter från brottsbekämpande myndigheter beslag i gärningsmannens bostad. Det bör nämnas att det genom brute force, enligt uppgift från , i praktiken är omöjligt att gissa lösenordet om detta inte är av enkel beskaffenhet. De brottsbekämpande myndigheternas samlade konklusion kan således sägas vara att det är mycket ovanligt, i synnerhet när det är fråga om teknisk utrustning som förekommit i organiserad brottslig- het eller terroristsammanhang, att man får tag i de lösenord eller nycklar som behövs för att komma åt information i krypterade enheter med dagens metoder. Under en brottsutrednings gång och, kanske ännu oftare, i under- rättelseverksamhet kan det av olika anledningar finnas goda skäl att ta del av vad den misstänkte lagrar elektroniskt. En anledning till att det finns behov av att ta del av lagrade uppgifter utan den miss- tänktes kännedom om åtgärden som experterna från Polismyndig- heten framfört är att det blivit allt vanligare med raderings- och rensningsprogram. Sådan programvara gör att endast den användar- historik som skrivits efter senaste rensningen finns kvar i den tekniska utrustningen vid ett beslag. Om datorn har rensats och tillslaget sker finns inte mycket användar- historik kvar i utrustningen. Sådan användarhistorik som avses är exempelvis chattar, besökta webbsidor eller filer som har använts. Även lösenord kan ibland återfinnas genom användarhistoriken. Det kan också, särskilt i underrättelsesituationer, finnas skäl att löpande under ett ärende ta del av vad den misstänkte lagrar efter- som denna information kan göra att det är möjligt att exempelvis avstyra ett terroristattentat eller förhindra fortsatt brottslig verk- samhet, se särskild Säkerhetspolisens behovsbeskrivning i bilaga 2. Ytterligare ett, för de brottsbekämpande myndigheterna fram- trädande bekymmer när det gäller lagrade uppgifter, är att elektro- nisks uppgifter som kan vara av intresse för ett ärende inte nöd- vändigtvis lagras lokalt på datorn. I stället är det inte ovanligt att den enskilde använder s.k. molntjänster, dvs. tjänster som utnyttjar möjligheterna att lagra uppgifterna på annan plats än lokalt för att sedan tillgängliggöra den i den tekniska utrustningen på användarens begäran. Ett problem med molntjänster, ur de brottsbekämpande Uppgifter från brottsbekämpande myndigheter myndigheternas synvinkel, är att det inte sällan är så att det inte går att veta var uppgifterna finns. Det kan ställa till praktiska problem både såvitt avser jurisdiktionsfrågor (dvs. om svenska myndigheter har rätt att bereda sig tillgång till uppgifterna) och frågor om hur den brottsbekämpande myndigheten ska komma åt uppgifterna. Det förekommer i brottsutredningar att det finns kännedom om att viss teknisk utrustning, typiskt sett en mobiltelefon, kan knytas till en plats för ett brott på ett sådant sätt att den kan antas tillhöra en misstänkt. På motsvarande vis förekommer i underrättelseverksamhet att kommunikation sker mellan teknisk utrustning vars ägare/besittare är okänd men som är av intresse i ärendet och en enhet som tillhör en annan person av intresse i underrättelseverksamheten. När, som i dessa fall, det inte är känt vem som förfogar över en viss enhet av betydelse i ett ärende behöver de brottsbekämpande myndigheterna, enligt behovsbeskrivningarna, en möjlighet att ta reda på detta. Genom hemlig dataavläsning skulle den brottsbekämpande myndig- heten kunna aktivera t.ex. den tekniska utrustningens kamera eller mikrofon. På så vis skulle det finnas bättre möjligheter att identifiera den misstänkte. En annan åtgärd som, vilket Säkerhetspolisen framhållit, skulle kunna vidtas genom hemlig dataavläsning är att den brottsbekäm- pande myndigheten aktiverar GPS-funktionen på den tekniska utrustningen så att det genom lokalisering av den misstänkte blir möjligt att identifiera den misstänkte. Aktivering av en teknisk utrustnings GPS-funktion (eller annan funktion som kan möjliggöra lokalisering/positionering) behöver emellertid inte vara begränsad bara till situationer där den misstänktes identitet är okänd. Även i situationer där den misstänkte är känd för den brottsbekämpande myndigheten kan det ur utredningssynpunkt vara viktigt att veta var hen befinner sig eller i vilka miljöer denne rör sig. Uppgifter från brottsbekämpande myndigheter 8.3.5Nya möjligheter för vissa andra hemliga tvångsmedel Det har inte från någon av de brottsbekämpande myndigheterna uttryckligen angetts att hemlig rumsavlyssning eller hemlig kamera- övervakning fungerar särskilt dåligt på grund av förändrade tekniska förutsättningar, motsvarande exempelvis den effekt som kryptering haft för värdet av hemlig avlyssning av elektronisk kommunikation. Om förändringar skett till det (för de brottsbekämpande myndig- heterna) negativa synes detta snarare bero på att kriminella blir allt mer medvetna om vilka metoder de brottsbekämpande myndig- heterna använder. expert har t.ex. anfört att det ofta hän- der att möten och känsliga samtal undviks för att inte riskera even- tuell s.k. buggning i förutsägbara rum eller bilar och att mötena i stället genomförs flexibelt och oannonserat på allmänna och öppna platser. Även om inget särskilt behov till följd av minskat värde hos hem- lig rumsavlyssning eller hemlig kameraövervakning framhållits har representanter från olika brottsbekämpande myndigheter anfört att eftersom hemlig dataavläsning skulle kunna innefatta verkställande av dessa åtgärder så bör en sådan möjlighet ges. expert har anfört att verket anser att reglerna om hemlig rumsavlyssning bör ses över och ändras så att åtgärden riktas mot en misstänkt person och utan krav på plats. 8.3.6Typfall som visar på behov Som nämnts har experterna från de brottsbekämpande myndig- heterna ombetts att komma in med exempel som tydliggör och kon- kretiserar i vilka situationer hemlig dataavläsning enligt myndig- heternas uppfattning behövs och hur åtgärden skulle kunna använ- das. I detta avsnitt redovisas de typfall som Säkerhetspolisen har anfört tillsammans med en förklaring på vad som skulle kunna åstad- kommas i respektive typfall genom hemlig dataavläsning. För att inte framställningen ska få en allt för stor inriktning mot Säkerhets- polisens verksamhet har en del av typfallen förändrats till att avse även andra brottsbekämpande myndigheters verksamheter. Det bör nämnas att typfallen i sitt ursprungliga skick (se Säker- hetspolisens behovsbeskrivning i bilaga 2), enligt uppgift från Säker- hetspolisen, är autentiska situationer som avidentifierats och, i vissa Uppgifter från brottsbekämpande myndigheter fall modifierats, för att de inte ska gå att härleda till en särskild händelse eller utredning. Även de andra brottsbekämpande myndig- heterna har lämnat exempel och typfall från sina verksamheter. Dessa framgår också i behovsbeskrivningarna i bilaga 2. Säkerhetspolisen har information om att fem personer kan vara i färd med att planera terroristattentat i . De fem männen bor på visst avstånd från varandra och använder elektronisk kommunikation i kontakten mellan dem. Vid verkställighet av hemlig avlyssning av elektronisk kommunikation hör Säkerhetspolisen hur personerna pratar med varandra om alldagliga saker men också att de ibland säger att ”vi tar Skype”. Det kan starkt misstänkas att man då pratar om de brott som planeras. Eftersom Skype, liksom t.ex. Twitter, och , är en krypterad tjänst, kan Säkerhetspolisen inte få del av innehållet i kommunikationen. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrad infor- mation och om utrustningens position (GPS) både historiskt och i realtid. En privatperson tar kontakt med Säkerhetspolisen och informerar om att han blivit kontaktad av en man via en social medietjänst på internet. har det framgått att mannens avsikter med kontakten har varit att få hjälp med information som bedöms vara av betydelse vid attentatsplanering mot . Vid kontakter med internetoperatören framgår att kontot som mannen använt vid kontakten tillhör en för Säkerhetspolisen känd person. Vid spaning får Säkerhetspolisen fram att personen använder en smarttelefon. Säkerhetspolisen får information om abonnemanget som mannen har men inga uppgifter om hans kommunikation. Säkerhetspolisen misstänker att mannen utnyttjar trådlösa nät (WiFi) för att kom- municera anonymt. Uppgifter från brottsbekämpande myndigheter Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning (smartphone), som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter, om utrustningens position och om aktiviteter som inte kommuniceras eller lagras. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas. Vid en förundersökning framkommer information om att man från två kända grovt kriminella grupperingar ”mobiliserar” inför en större händelse som är av intresse för båda sidor. Stämningen är så hatisk att det finns farhågor om att synnerligen grovt våld kommer att användas. Vid den förundersökning som inleds försöker polisen kartlägga de individer som kan vara inblandade. Det visar sig att man från båda sidor undviker att ha fysiska möten. I stället sker all kon- takt via krypterade sociala medietjänster eller andra egenutvecklade slutna forum. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgif- ter, om utrustningens position och om aktiviteter som inte kommunice- ras eller lagras. Även identiteten på personer som de misstänkta kom- municerar med skulle kunna fastställas. Efter ett fullbordat terroristattentat utomlands får Säkerhetspolisen information från sin motsvarighet i det aktuella landet att någon av gärningsmännen har haft kontakt med flera IP-adresser som sanno- likt är kopplade till en mobiltelefon i . Efter att information inhämtats från den aktuella operatören kan IP-adresserna knytas till en viss mobiltelefon, som har ett anonymt abonnemang. Genom uppgifter från hemlig övervakning av elektronisk kommunikation kan innehavaren av mobiltelefonen identifieras som en person med koppling till terroraktörer i . Vid avlyssning av telefonen visar Uppgifter från brottsbekämpande myndigheter det sig att den används endast för krypterad IP-baserad kommuni- kation. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas. Det gäller även i vilken miljö den misstänkte finns när han kommunicerar. Efter att ett terroristbrott fullbordats i står det klart att gär- ningsmannen måste ha haft hjälp av andra för att utföra dådet. Vid kartläggning av gärningsmannens kommunikationer framkommer att han haft ett flertal kontakter via internet med personer både i och utomlands. Säkerhetspolisen ser en uppenbar risk för att ytterligare attentat kan komma att genomföras och behöver få kontroll på vilka de övriga personerna är. Gärnings- mannens datorer och telefoner tas i beslag. Undersökningen av föremålen visar att gärningsmannen strax före attentatet har haft kontakt med en IP-adress. När hemlig övervakning av elektronisk kommunikation verkställs avseende den IP-adressen framkommer att kommunikation sker med andra IP-adresser såväl i som utomlands. En av IP-adresserna kan knytas till en känd anhängare av våldsbejakande islamistisk extremism. När hemlig avlyssning av elektronisk kommunikation verkställs visar det sig att den personens kommunikation är krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han kommunicerar. Uppgifter från brottsbekämpande myndigheter får information om att en gruppering som är välkänd i narkotikakretsar planerar att föra in ett mycket stort parti heroin till . En förundersökning om förberedelse till synnerligen grov narkotikasmuggling och synnerligen grovt narko- tikabrott inleds. Vid verkställighet av hemlig avlyssning av elek- tronisk kommunikation kommer det fram att de misstänkta använ- der sig av Facebook men också motsvarande typ av tjänst i . Man har också skapat egna slutna forum där endast särskilt betrodda medlemmar har fått inloggningsuppgifter. Samtliga kommunikations- tjänster är krypterade. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Även identiteten på personer som de misstänkta kommunicerar med skulle kunna fastställas liksom i vilken miljö de misstänkta finns när de kommunicerar. Flera personer lämnar information om att det inom ett slutet forum pågår en ”hatkampanj” mot de politiker som står bakom flyk- tingpolitik. Flera av de inblandade har uttryckt en vilja att spränga lokaler där centrala statsledningen finns, och man har också efter- frågat vapen och sprängämnen. Hemlig avlyssning av elektronisk kommunikation har inte kunnat ge någon ytterligare information till utredningen eftersom all kommunikation är krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Även identiteten på personer som de misstänkta kommunicerar med skulle kunna fastställas liksom i vilken miljö de misstänkta finns när de kommunicerar. Uppgifter från brottsbekämpande myndigheter Flera personer har lämnat information till Säkerhetspolisen om att två bröder, , har radikaliserats snabbt. Deras när- stående är mycket oroliga för att de kan agera okontrollerat. En av bröderna har haft kontakt med personer som kommer från samma bostadsområde och som befinner sig i för att slåss för Daesh. Bröderna har själva uttalat att de vill kriga för Daesh oavsett var i världen det sker. Vid verkställighet av hemlig avlyssning av elektro- nisk kommunikation framkommer att en stor del av brödernas kom- munikation, både med varandra och med andra, går via krypterade sociala medietjänster. Dessutom har bröderna kontakt med IP- adresser som vid kontroll visar sig innehas av mindre resebyråer utomlands. En av Säkerhetspolisens hypoteser är att bröderna för- söker få stridstränade personer från att komma hem för att begå terroristbrott i . Eftersom kommunikationen med rese- byråerna är krypterad går det inte att få klarlagt vad bröderna har för avsikt med kontakterna. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Säkerhetspolisen har konstaterat att en lägenhet används av flera personer som är kända i terrorkretsar. En förundersökning om stämpling till terroristbrott pågår och domstolen har beslutat om hemlig avlyssning av elektronisk kommunikation avseende de miss- tänktas telefoner. under avlyssningen uttalar en av de misstänkta att han har information i sin dator men att den är kryp- terad och säker. Säkerhetspolisen bedömer att den informationen skulle kunna vara av mycket stort värde i förundersökningen och överväger att göra husrannsakan i lägenheten där datorn finns. En sådan kan dock inte ske öppet, eftersom det skulle riskera att spoliera utredningsresultatet. I lägenheten bor en familj där någon av familjemedlemmarna alltid är hemma, dvs. lägenheten är aldrig tom. Uppgifter från brottsbekämpande myndigheter Det finns med andra ord ingen möjlighet att i detta läge av utred- ningen komma åt informationen i datorn. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter och om aktiviteter som inte kommuniceras eller lagras. har via finanspolisen fått information om att en person, som är känd av myndigheten i grova eko- brottssammanhang, har blivit rapporterad av en bank för misstänkt penningtvätt. Uppgifterna gör att misstankarna mot personen stärks och en förundersökning rörande grovt penningtvättsbrott inleds. Uppgifter inkommer från banken, som visar att den misstänkte har överfört pengar till bankkonton utomlands. Vem som är innehavare av de utländska kontona framgår däremot inte. Den misstänktes kontakter med banken har uteslutande skett via internet och en specifik IP-adress har använts. Den misstänkte har avslutat kontot. Banken har ingen uppgift om att den misstänkte har bytt bank. Vid verkställighet av hemlig avlyssning av elektronisk kommunikation framgår att den misstänkte kommunicerar med en IP-adress som innehas av en bank utomlands. Det är omöjligt att få uppgifter från banken. Eftersom kommunikationen med banken är krypterad går det inte att få fram vad kommunikationen rör. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras och om lagrade uppgifter. Vid övervakning av en känd underrättelseofficer upptäcker Säker- hetspolisen att hon har svårförklarliga kontakter med en man som vid kontroll visar sig vara anställd vid ett stort teknikföretag som levererar materiel till en myndighet inom det svenska försvaret. Uppgifter från brottsbekämpande myndigheter kontakt med den aktuella myndigheten står det klart att mannen arbetar med teknik som direkt kan kopplas till verksamhet som rör rikets säkerhet. En förundersökning om grovt spioneri inleds. Vid verkställighet av hemlig avlyssning av elektronisk kommunikation går det att dra slutsatsen att hårddisken i mannens dator är kryp- terad. Det framkommer dessutom att en del av hans kommunikation sker via en app som inte är känd och som är krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter och om aktiviteter som inte kommuniceras eller lagras. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han kommunicerar. Vid verkställighet av hemlig avlyssning av elektronisk kommuni- kation mot ledande personer i ett känt motorcykelgäng framkom- mer att de undviker att prata om i sammanhanget känsliga saker i klartext över telefon. Det enda man säger efter att ha ringt upp varandra är ”WhatsApp”. Av sammanhanget är det lätt att dra slut- satsen att all kommunikation som avser kriminell verksamhet sker via den tjänsten, där överföring av både tal och bild är krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om den miljö där de misstänkta finns när de använder utrustningen. Säkerhetspolisen misstänker att en viss person med tillgång till kvalificerat hemlig information har värvats som agent av en utländsk underrättelseofficer. Personen har bl.a. vid ett flertal tillfällen besökt det aktuella landet utan att berätta om det för sin arbetsgivare. Uppgifter från brottsbekämpande myndigheter Arbetsgivaren misstänker, efter att ha granskat säkerhetsloggar, att mannen sannolikt har kopierat hemliga uppgifter. Vid verkställighet av hemlig avlyssning av elektronisk kommunikation framgår att kommunikationen till och från hans mobiltelefon och dator är krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustningar, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han använder utrustningen. En serie grova dataintrång sker mot flera myndigheter. Det är oklart vem eller vilka som står bakom brottsligheten när en förundersök- ning om grova dataintrång inleds. Intrången kan spåras till en server som finns i . Vid undersökning av servern framgår att den ofta kontaktas från en specifik IP-adress och att kommunikationen är krypterad. Vid kontroll med operatören fastställs att IP-adressen är hemmahörande hos ett mindre bolag inom it-branschen. Det går däremot inte att fastställa vem som är användare eller vilket innehåll kommunikationen har. Polisen bedömer att bolaget inte kan kon- taktas för upplysningar utan att utredningen röjs. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i bolagets utrustning, som kan ge information bl.a. om vilka som kommunicerar, innehållet i kommunikationen innan det krypteras och om lagrade uppgifter. Säkerhetspolisen har fått information om att en viss namngiven person har sagt till flera bekanta att hans högsta önskan är att dö och att han vill resa till , kriga för Daesh och bli martyr. Säker- hetspolisen vet att han har försökt att resa till Uppgifter från brottsbekämpande myndigheter men stoppats av utländska gränskontrollmyndigheter. Om han inte kommer iväg så vill han göra något i och har börjat söka efter vapen och sprängämnen på internet, både i och utomlands. Säkerhetspolisen kan genom spaning konstatera att han har tillgång till mobiltelefoner, och han har setts använda en bärbar dator, typ Ipad. En förundersökning om förberedelse till terroristbrott har inletts. När tillståndet till hemlig avlyssning av elektronisk kom- munikation ska verkställas går det att se att han kommunicerar i stor omfattning men det går inte att få fram med vem eller vilka och inte heller vilka websidor han besöker. Kommunikationen är krypterad. Kontroll av de IP-adresser som den misstänkte kommunicerar med leder inte utredningen vidare eftersom det rör sig om Tor-kom- munikation. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade upp- gifter, om utrustningens position och om aktiviteter som inte kom- municeras eller lagras.