sou · H5B389 · 2017-11-16 00:00:00 — Ett växande antal onlineplatt- formar och applikationer erbjuder nya sätt att transferera pengar och genomföra betalningar. Dessa är inte alltid reglerade i samma ut- sträckning som traditionella tjänsteutförare vilket underlättar pen- ningtvätt. Nyttjande av kryptering för att undkomma rättsliga åtgärder De kriminella aktörerna är överlag medvetna om att teknisk bevis- ning är avgörande för en fällande dom och att inhämtning av upp- gifter om elektronisk kommunikation även används av Polisen i underrättelsefasen. Kriminella som aktivt försöker skydda sin kom- munikation från Polisen ses ha separata telefoner för kriminella kontakter som exempelvis bara har som kopplar upp via datanätet. Det förekommer även fortsatt att kriminella använder krypterade telefoner så som Blackberry. Polisen ser att de kriminella har lämnat de traditionella kommuni- kationsverktygen bakom sig och använder sig numera istället av digitala lösningar såsom chattapplikationer. De kriminella vet att polisen har svårt att komma åt den digitala trafiken. Det gör att de kriminella inte på samma sätt som tidigare aktivt behöver anstränga sig för att skydda sin kommunikation utan endast behöver använda krypteringstjänster. Även säkerhet, lönsamhet och flexi- bilitet spelar stor roll i sammanhanget. Detta i kombination med att brottsligheten är gränsöverskridande gör att behovet av snabb och säker kommunikation är mycket eftertraktad. I den gränsöverskridande brottsligheten är digitala applikationer ett enkelt sätt att hålla kostnaderna nere. För aktörer inom människohandel och koppleri är kommuni- kationen central i kontrollsyfte. De exploaterade måste löpande rapportera in när de har sexköpare på ingång, hur mycket köparen har betalat, beställa transport osv. Genom digitala lösningar, så som krypterade chattar, förenklas denna process avsevärt jämfört med traditionell telefoni och människohandlare och brottsoffer kan vara uppkopplade mot varandra. Något som förstärker känslan av kontroll och övervakning av den exploaterade parten. På liknande sätt sker kontroll av kurirer vid vapen och narkotika smuggling. Polisens möjlighet att inhämta information i enlighet med IHL En viktig del i polisens underrättelsearbete är att analysera kom- munikation mellan kriminella för att identifiera brottssamverkan och binda personer genom kommunikationsutrustning till vissa platser för att utifrån det kunna vidta operativa åtgärder. IHL ger Polisen rätt att i underrättelsesyfte, i hemlighet, inhämta sådan information om det är av särskild vikt för att förebygga, förhindra eller upptäcka brottslig verksamhet för vilket det inte är föreskrivet lindrigare straff än fängelse . Enligt lagen ska informationen kunna inhämtas från den som tillhandahåller ett elektroniskt kommunikationssätt eller en elektronisk kommunikationstjänst. Lagen gör ingen skillnad på om informationen överförts via teleoperatörernas eller och 4G näten och ifall informationen överförts krypterad eller inte. kan dock teleoperatörerna i inte se information som går krypterat via datanät vilket innebär att Polisen inte kan inhämta sådan information. I praktiken innebär det att dagens verktyg för att verkställa IHL inte är tillräckligt för att inhämta den information som Polisen enligt lag har rätt att ta del av. Polisen upplever att telefonlistor som inhämtas från telefon- bolagen saknar användbar information. Underrättelsetjänsten kan ha en god uppfattning om en persons brottsliga verksamhet och vilket eller vilka telefonnummer denna använder men det saknas bevisning då kommunikationen skett via datatrafik krypterat och därför inte syns i listorna. Vid telefon- och datatömningar i förundersökningar kan detta ofta bekräftas. Då man i tömningarna kan se att den miss- tänkta haft kriminella kontakter via krypterade kommunikations- kanaler via appar eller plattformar på nätet som Polisen i under- rättelsefasen inte känt till och kunnat agera utifrån. Teknikutvecklingen och förändrade förutsättningar för kommunikation De elektroniska kommunikationssätten är mångfaldiga i jäm- förelse med tidigare då telefonsamtal och sms via telefonopera- törernas nät, tillsammans med mail, var dominerande. Smartphones, sociala medier och lättillgängliga appar som erbjuder gratis inter- nationella förbindelser har förändrat den sociala interaktionen och kommunikationsmönstret i samhället i stort. Tillflödet av nya digi- tala kommunikationssätt möjliggör enklare, billigare och krypterad kommunikation mellan människor både inom och utanför . Ett sådant kommunikationssätt är chattappar som har funktioner som saknas i vanliga sms och som enklare medger gruppchattar. Det gör apparna attraktiva och användandet av krypterade kommuni- kationssätt är lättillgängligt och utbrett. är tjäns- terna krypterade som standard och att skicka krypterad information behöver därför inte alltid vara ett aktivt ställningstagande. Några exempel på sådana är chattappar är WhatsApp och . Apparna används inte enbart av de som aktivt söker vägar att skydda sin kom- munikation utan av gemene man. Det förekommer även att kommunikationsutrustning har som standard och är förprogrammerade att företrädelsevis låta kommuni- kation gå som krypterad datatrafik framför vanlig trafik i telenätet. Ett exempel på det är Imessage på Iphone där meddelanden mellan Apple-användare automatiskt sker krypterat via datatrafik. Utvecklingen går mot att kommunikation krypteras i allt högre utsträckning och att krypterade tjänster erbjuds användaren utan användaren behöver göra någon aktiv krypteringsåtgärd. Avancerad kryptering, krypterade nätverk och brottsforum på internet Teknikutvecklingen har inte bara förändrat den organiserade brotts- lighetens kommunikationsvägar utan även mötesforum- och brotts- platser. Där en överflyttning till internet till viss del skett. Darknet innefattar en dold och krypterad del av internet som kräver särskild programvara för att kunna ansluta till. Det mest kända kryptonät- verket är (The Onion Router) som kan användas av vem som helst. kan man ladda ner Tor-applikationer till en vanlig mobil- telefon. krypterar inte bara kommunikationen, nätverket gör även alla användare och platser inom nätverket helt anonyma. Detta har gjort att stora marknadsplatser för illegala varor har kunnat skapas och inte kunnat stängas ner. pågår en öppen handel av en stor mängd illegala varor på Darknet. Det kan handla om vapen, narkotika, gift, bilder på sexuella övergrepp på barn, förfalskad valuta, förfalskade ID-handlingar, hackade konton, hacker program- vara med mera. Utöver den inbyggda krypteringen i så använder de krimi- nella ytterligare flera lager av kryptering i sin kommunikation mellan varandra. Man använder VPN (virtuellt privat nätverk) för att ansluta till , vilket gör att man inte kan avanonymisera använ- darna om man skulle ta kontroll över hela . Man använder PGP-kryptering för att ytterligare kryptera den skickade informationen, vilket innebär att inte ens den som tillhandahåller marknadsplatsen eller tjänsten på kan avkryptera, utan bara den som verkligen är ämnad att ta emot informationen. Man använder kryptovaluta för att anonymt kunna genomföra penning- transaktioner och så vidare. På Darknet finns även ospårbara krypto- mailtjänster och chattjänster. Inte ens med rättshjälp kan man få ut någon information i efterhand eftersom man inte ens vet vilket land man skulle skicka en rättshjälp till. Det enda sätt för rättsvårdande myndigheter att kunna komma runt krypteringen är att fånga upp informationen innan den krypteras. Hemlig dataavläsning skulle vara en metod för att göra det. Ett exempel kan ges från ett underrättelseärende Polisen bedrev 2016. Polisen hade underrättelseinformation om att en person i höll på med omfattande brottslig verksamhet på Darknet. Polisen misstänkte att det handlade om storskalig försäljning av narkotika samt fentanyl på olika marknadsplatser. Verksamheten bedömdes vara så omfattande att de borde vara ett flertal personer inblandade med olika roller i brottsupplägget. Med anledning av detta togs en telefonlista in i enlighet med IHL för att kartlägga nät- verket, hitta ytterligare medverkande och kanske få en uppfattning om rollfördelningen. Telefonlistan gav i princip ingen information av värde. En förundersökning kunde inledas ändå och bedömdes personen vi börjat med vara huvudman. Till- slag och husrannsakan genomfördes och stora mängder narkotika togs i beslag. Först efter analys av dator och en krypterad email som man lyckats hitta lösenordet till kunde man konstatera att det fanns ytterligare en huvudman. De två huvudmännen hade daglig kontakt via den krypterade och återkommande tillfällen via en chattjänst på . De två huvudmännen hade inte haft ett enda fysiskt möte under flera månaders spaning och inte ett enda telefon- samtal eller SMS. Det enda sättet att få kunskap om deras kom- munikation i underrättelsefasen hade varit genom hemlig dataavläs- ning. Tack vare att man i efterhand kunde avkryptera kommuni- kationen så kunde båda huvudmännen dömas. Båda fick fängelse. Med hjälp av hemlig dataavläsning hade man kanske inte varit beroende av denna tursamma slump. De brott som Polisen har rätt att inhämta information kring i enlig- het med IHL är grova brott som medför stor påverkan på samhället. Det rör brottslighet som genererar stora summor pengar, som inne- bär men för enskilda och som påverkar allmänhetens trygghet och tilltro till rättssamhället. Brottsligheten är ofta komplex och karaktä- riseras av ständig utveckling där de kriminella anpassar sig till polisens metodik. Det utgör en stor utmaning för polisen och måste bekäm- pas med ett proaktivt arbetsätt där kunskap om kriminella aktörer är en av förutsättningarna. Möjlighet till underrättelseinhämtning av uppgifter om elektronisk kommunikation är avgörande för att bekämpa den brottslighet som polisen och har att bekämpa. Den utökade användningen av krypterad kommunikation har för polisens del det inneburit att underrättelsearbetet försvårats då in- hämtning i enlighet med IHL varit verkningslös. Detta som tidigare nämnts på grund av att kriminella i mindre ut- sträckning använder okrypterad traditionell telekommunikation som är det Polisen rent faktiskt har verktyg till att inhämta genom IHL. Tillsammans med en ökad brottslighet på internet och den avancerade krypteringen som sker på Darknet är det en stor ut- maning för Polisen att hantera. För att kunna fullgöra den uppgift Polisen är ålagd att göra enligt Polislagen krävs ändamålsenliga verktyg och att Polisen ges samma möjligheter att agera på internet som i den reella världen. En del i det innefattar verktyg att samla elektronisk kommunikation som går krypterat via datanätet. Hemlig dataavläsning skulle ge Polisen möjlighet att utföra en effektivare brottsbekämpning. Klarar inte de rättvårdande myndigheterna att hantera den organi- serade brottsligheten riskerar den att urholka rättsstaten och i för- längningen det demokratiska samhället. I särskilt utsatta områden anses läget akut. Ett redan sargat förtroende för rättsstaten riskerar där att fördjupas om inte polisen effektivare klarar att stävja den öppen narkotikahandel och de dödsskjutningar som utvecklats . Det är därför av stor vikt att säkerställa att de brottsföre- byggande myndigheterna kan upprätthålla sin förmåga att bekämpa brott. Med den snabba teknikutveckling som skett har polisen i bekämpningen av allvarlig och organiserad brottslighet kommit att ligga steget efter vilket försvårar både underrättelse- och utrednings- arbetet. Det är därför av yttersta vikt att nya metoder ges till polisen för att Polisen även fortsättningsvis framgångsrikt kunna angripa dessa brott. behovsbeskrivning avseende hemlig dataavläsning Införandet av tvångsmedlet hemlig avlyssning av elektronisk kom- munikation () (då hemlig teleavlyssning) innebar ett stort steg framåt avseende bevissäkring i brottmål och därmed för brottsbekämpningen i stort. Ungefär i mitten av 2000- talet kunde en ny trend skönjas. Alltfler kommunikationslösningar blev tillgängliga via internet och i takt med att kriminella började använda sig av nya kommunikationssätt har som metod blivit allt mindre betydelsefull. Kriminella personer räknar med att deras telefoner kan vara avlyssnade. Det gjorde de även , men den avgörande skillnaden är att det då inte fanns så många andra kommunikationsmöjligheter tillgängliga för realtids- kommunikation. För att kringgå en eventuell avlyssning kunde kriminella använda sig av kodord eller omskrivningar. Inte sällan var det ändå ganska enkelt för utredarna att förstå vad de avlyssnade pratade om. I takt med att nya kommunikationslösningar har gjorts tillgäng- liga, som t.ex. Skype, , WhatsApp, Signal m.fl. har de kriminella i ökande grad i stället övergått till just dessa tjänster. Det största problemet, ur polisens och åklagarens perspektiv, är att dessa tjänster normalt innebär att kommunikationen är hårt krypterad. Tjänsterna kan installeras på en kommunicerande enhet, vanligen en dator eller en mobiltelefon, och kan t.ex. användas via anonyma internetupp- kopplingar i stället för via mobiloperatörer där abonnemang och telefoner lättare kan knytas till en användare. Enligt uppgift från nationellt IT-brottscentrum är uppåt av internetavlyss- ningen omöjlig att avlyssna på grund av kryptering. Ett annat pro- blem är att även de enheter som används för kommunikation, typiskt sett mobiltelefoner och datorer jämte externa hårddiskar och annan lagringsmedia, numera är krypterade. Även med dagens kraftfulla dekrypteringsprogram är det i princip omöjligt att knäcka annat än de allra enklaste lösenorden. Detta betyder att det också blir allt svårare att undersöka enheterna inom ramen för beslag. De befintliga tvångsmedlens effektivitet har i takt med teknik- utvecklingen minskat kraftigt . Men som den tekniska utvecklingen ger de brottsbekämpande myndig- heterna stora utmaningar innebär den också möjligheter till nya och effektivare utredningsmetoder. Ett samhälle behöver effektivt kunna skydda sig mot kriminalitet, och därmed måste det finnas effektiva metoder att säkra bevis med. Det finns också internationella åtaganden som gör att vi måste upp- rätthålla en effektiv brottsbekämpning (t.ex. The Financial Action Task Force, FATF). Mot denna bakgrund är det mycket angeläget för de brottsbekämpande myndigheterna att få ett nytt tvångsmedel, vi kallar det HDA i fortsättningen, som möter den teknikutveckling som skett. Behoven, som kan indelas i flera delar, speglar de problem eller hinder för det brottsbekämpande arbetet som teknikutveck- lingen har fört med sig. a) Att omvandla kryptering till klartext Det tillkommer ständigt nya program och applikationer för kom- munikation som bygger på nya krypteringsprinciper. Eftersom kom- munikationen kan ske anonymt via internet är det nästan omöjligt att avlyssna kommunikationen även om kommunikationen skulle vara möjlig att dekryptera. Det mest effektiva sättet att angripa problemet vore HDA som möjliggör att avlyssningen kan ske direkt på de kommunicerande en- heterna och som därmed möjliggör att avlyssningen kan ske i själva enheten innan programmet eller applikationen krypterar trafiken. Det kan tilläggas att omfattas – till skillnad från t.ex. mobil- telefonoperatörer – inte internetoperatörer, s.k. Internet service providers (ISP), av den s.k. anpassningsskyldigheten i 6 kap. 19 § LEK och därmed inte av skyldigheten att se till att trafiken kan av- lyssnas okrypterat. En fråga man bör ställa sig är varför det inte är möjligt att avlyssna en enhet genom att t.ex. installera hårdvara eller att install- era en programvara i en dator eller telefon. Detta beror i huvudsak på två omständigheter. Att installera t.ex. hårdvara på en dator eller en telefon innebär att föremålet måste tas i beslag. Enligt nuvarande beslagsregler är det inte möjligt med ”hemliga beslag” på ett sätt som t.ex. motsvarar ”hemlig husrannsakan”. Det senare är möjligt efter- som den som tvångsåtgärden riktas emot inte behöver underrättas förrän detta kan ske utan men för utredningen (28 kap 7 § BrB). Avseende beslag ska den som beslaget riktas mot i stället skyndsamt underrättas om att beslag har skett (27 kap 11 § BrB). Att i stället skicka in programvara i en dator skulle innebära ett dataintrång. Ett beslut från domstol om tillstånd till avlyssning gör inte en sådan åtgärd lovlig. Utgångspunkten är ju att domstolen ger tillstånd till avlyssning av en teleadress, men den sanktionerar inte metoden för avlyssningen som i stället måste följa övrig lagstiftning. För att möjliggöra en avlyssning av krypterade meddelanden på en misstänkt persons telefon, dator eller liknande genom exempelvis installation av en hård- eller mjukvara fordras alltså även en uttryck- lig möjlighet att verkställa denna åtgärd, vare sig detta sker genom intrång i slutet förvar, genom dataintrång eller på annat sätt. En metod för att komma åt lösenord och liknande för att underlätta undersökning av beslag – keylogger För att komma åt lagrade uppgifter i t.ex. datorer, telefoner eller usb- minnen behöver brottsutredande myndigheter i förekommande fall ha tillgång till lösenord. I princip all hårdvara har någon form av skydd som hindrar vem som helst från att komma in i telefonen eller datorn. Det kan vara ett enklare lösenord som man behöver för att komma in i datorn, t.ex. ett Windows-lösenord eller en pinkod eller ett fingeravtryck för att komma in i telefonen. Detta behöver normalt inte betyda att det är något avgörande problem att komma åt innehållet eftersom det ofta bara handlar om ett enklare åtkomstskydd som det är möjligt att komma runt. Däremot kan det också finnas ett krypteringsprogram på hård- varan, t.ex. Truecrypt eller Bitlocker eller inbyggd programvara som i t.ex. IOS (). Med kryptering menar vi i en vidare bemärkelse en särskild programvara med ett lösenord som gör att innehållet på datorn eller mobilen blir krypterat på ett sådant sätt att den enda möjligheten att kunna ta del av informationen där är att presentera rätt lösenord. finns det, starkt förenklat, bara tre saker som gör det möjligt att hitta rätt lösenord. 1.Brute force, dvs. att med hjälp av särskilda program och särskilda algoritmer gissa lösenordet. I praktiken är det omöjligt om inte lösenordet är av mycket enkel beskaffenhet. 2.Att den misstänkte frivilligt lämnar ut lösenordet. 3.Att lösenordet kan fås fram på annat sätt, t.ex. att det finns på en lapp i gärningsmannens bostad eller om det kan hämtas ut genom att man söker efter lösenord i datorns internminne om datorn är igång vid ett tillslag. I praktiken är dessa metoder förenade med olika svårigheter och fungerar kanske i hälften av de fall som vi har. Det betyder att vi därmed i övriga fall inte kommer åt viktig information som skulle kunna utgöra bevisning för brott. En lösning skulle därmed vara möjligheten att i hemlighet install- era en programvara på en dator eller telefon som t.ex. registrerar knapptryckningar, en s.k. keylogger. Genom att den skickar knapp- tryckningarna i en särskild fil så skulle en it-forensiker utifrån en analys får fram det lösenord som den misstänkte slår in på datorn eller telefonen och därmed skulle polisen kunna komma in i en krypterad dator eller telefon som tas i beslag. c) Tillgång till krypterad information i informationsbärare på distans I utredningar om grov brottslighet förekommer regelmässigt beslag av informationsbärare av olika slag såsom datorer, mobiltelefoner, usb-minnen etc. När man väl kommer åt informationen i dessa beslag visar sig denna vara mycket värdefull för utred- ningen. Det kan röra sig om intressanta uppgifter i själva den infor- mation som lagrats där (vad har förmedlats till och från användaren) eller uppgifter om själva användandet av informationsbäraren (t.ex. när och möjligen var informationsbäraren har varit aktiv). Vid utred- ningar om brott där den databurna informationen utgör brottslig- hetens själva mål eller medel är tillgången till denna information omistlig för utredningen. Möjligheten att med viss programvara radera all möjlig infor- mation – vilket även låter sig göra på distans för såväl mobiltelefoner som datorer – gör att en undersökning av en beslagtagen infor- mationsbärare visar vad som finns i denna vid undersökningstillfället men inte nödvändigtvis vad som har funnits där tidigare och om information har tillförts eller tagits bort från informationsbäraren. Det tycks saknas någon säker statistik på hur ofta förekommande det är att information i datorer/mobiltelefoner m.m. i beslag har raderats. En erfaren it-forensiker vid Region syd uppskattar företeel- sen som ökande i ärenden om grov brottslighet och har erfarit det främst i ärenden med väl teknikmedvetna misstänkta som är måna om att dölja sina förehavanden. Enligt denna uppskattning förekom- mer detta i uppemot vart åttonde ärende. Vid utredning av pågående brottslighet – vare sig det handlar om narkotikahantering, framställning och spridning av barnpornografi, människohandel, grovt penningtvättsbrott, bedrägeri eller annat – finns ofta ett behov av att kunna ta del av både kommunikation och lagrad information i datamedier löpande och i realtid. Behovet kom- mer troligtvis att växa, eftersom trenden tycks gå mot att hårddiskar försvinner till förmån för molntjänster och att den information av intresse som befinner sig närmast användaren är datorns eller telefonens arbetsminne (RAM-minnet). Av intresse blir då att ta del av informationen i RAM-minnet alternativt ta sig in i de moln- tjänster som utnyttjas för lagring av information. Fördelarna med en möjlighet att under hand och i hemlighet kunna inhämta och kontrollera innehållet i en informationsbärare är flera. En förutsättning för att nå framgång med denna metod är att den utförs i hemlighet. •Metoden kan användas för att ta ut stickprov i syfte att kon- trollera att det t.ex. är rätt dator man är intresserad av, vilket i någon mån kan begränsa omfattningen av tillämpningen av hem- liga tvångsmedel för de fall man tagit miste eller datorn bytt användare. •Genom denna åtgärd kan man under hand på distans plocka ut information som lagras i RAM-minnet för att komma åt lösen- ord, vilka kan ändras också de på distans, men även se vilken information som datorn har tillgång till för tillfället. •Löpande undersökningar av innehållet i t.ex. en dator kan tillsam- mans med fysisk spaning mot den misstänkte knyta den miss- tänkte till den information som fanns i datorn vid en viss tid- punkt. •Löpande undersökningar gör det möjligt att säkra bevis- ning som sedan försvinner på grund av att den misstänkte använ- der raderingsprogram. Radering kan ske på distans. Även vid ett tillslag kan det finnas möjlighet för en misstänkt person eller dennes medhjälpare att effektuera en radering av information innan informationsbärarens innehåll hunnit säkras av it-forensiker. Radering på distans har erfarits t.ex. i samband med undersökning av beslagtagna mobiltelefoner. Risken för liknande radering är också påtaglig beträffande information som sparas i molntjänster. Utan möjlighet till löpande tömningar av information från en informationsbärare skulle HDA som metod för att få fram lösen- ord till krypteringsprogram vara verkningslös, om de kriminella kunde omintetgöra en undersökning av ett beslag genom att använda raderingsprogram. Metoden behövs med andra ord för att motverka den givna motåtgärd som de kriminella kan sätta in för att skydda icke raderad information i samband med beslag. •I samband med tillslag och direkt därpå inledande undersökning av dator kan uppdagas att datorn har en öppen anslutning till en annan dator, t.ex. en filserver som den arbetar mot. Denna dator kan vara omöjlig att lokalisera exakt för undersökning. En hus- rannsakan på distans skulle då vara den enda möjligheten att säkra information från den datorn.