sou · H5B389 · 2017-11-16 00:00:00 — Även identiteten på de personer och den utrust- ning den misstänkte kommunicerar med (exempelvis användar-ID i en viss app, e-postadress, ljud, bild m.m.) skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han använder utrustningen. Efter information från en uppgiftslämnare driver Säkerhetspolisen en förundersökning om spioneri. En person misstänks för att ha kom- mit över uppgifter som omfattas av sekretess med hänsyn till rikets säkerhet. Det går dock inte att säga från vilken myndighet uppgif- terna kommer. Det sannolika är att personen agerat från sin dator för att komma över uppgifterna. Vid verkställighet av hemlig avlyss- ning av elektronisk kommunikation framgår att uppgifterna är kryp- terade och att gärningsmannen använder , vilket gör att det inte går att fastställa vilken myndighet som blivit föremål för intrånget. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras och om identi- Uppgifter från brottsbekämpande myndigheter teten på den utrustning den misstänkte kommunicerar med (exempelvis IP-adress, e-postadress m.m.), dvs. vilken eller vilka myndigheter det är fråga om. Säkerhetspolisen får information från en säkerhetstjänst i ett annat land om att en person med diplomatisk immunitet misstänks ägna sig åt flyktingspionage och att han har kontakter med en kvinna i . En förundersökning om olovlig underrättelseverksamhet inleds. Det visar sig vid hemlig avlyssning av elektronisk kommuni- kation att kvinnan ofta kommunicerar med en utländsk IP-adress och att kommunikationen är krypterad. Säkerhetspolisen misstänker att hon har kontakt med sina svenska uppgiftslämnare via den adressen. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter, om utrustningens position och om vilka den misstänkta kom- municerar med (exempelvis användar-ID i en viss app, e-postadress, ljud, bild m.m.). Även identiteten på personer som den misstänkta kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkta finns när hon använder utrustningen. Personer inom vit makt-miljön planerar att mörda en tongivande vänsteraktivist. Säkerhetspolisen får information om att det i gruppen finns personer med mycket hög teknisk kompetens. All kommuni- kation inom gruppen är krypterad. Bl.a. lämnar medlemmarna infor- mation till varandra i en krypterad molntjänst. Alla datorer som med- lemmarna har är krypterade. Det visar sig under förundersökningen att molntjänsten finns i men det går inte att fastställa vilka datorer som har kontakt med tjänsten. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras och om lagrade Uppgifter från brottsbekämpande myndigheter Om det tekniska hjälpmedlet installeras i molntjänsten kan det ge information om det finns fler personer i gruppen än vad som är känt och om identiteten på annan utrustning som kommunicerar med tjänsten. Säkerhetspolisen har information om att en grupp män brukar hålla möten med muslimska ungdomar i en föreningslokal i ett utsatt område. Informationen säger att gruppen försöker rekrytera ung- domarna att åka till och ansluta sig till Daesh. Det finns indikationer på att en för Säkerhetspolisen känd anhängare av islamistisk extremism är gruppens ledare. Vid verkställighet av hemlig avlyssning av elektronisk kommunikation visar det sig att operatören inte längre lagrar historiska uppgifter om inkommande samtal till den misstänktes mobiltelefon i enlighet med för- handsbesked om s.k. datalagring. Dessutom är kommunikationen krypterad. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter (t.ex. kontaktlista och samtalslogg), om utrustningens position, om identiteten på de utrustningar den misstänkte kommunicerar med (exempelvis IP-adress, e-postadress m.m.) och om aktiviteter som inte kommuniceras eller lagras. Även identiteten på personer som den miss- tänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han använder utrustningen. En yngre man med kopplingar till vit makt-miljön blir misstänkt för grov allmänfarlig ödeläggelse genom att ha utlöst en sprängladdning vid en flyktingförläggning. Säkerhetspolisen misstänker att han har medhjälpare. Vid spaning kan det konstateras att den misstänkte använder både mobiltelefon och Ipad. Efter kontakt med opera- törerna visar det sig att information om hans IP-adress och positions- Uppgifter från brottsbekämpande myndigheter uppgifter rörande Ipad:en inte har lagrats i enlighet med EU-dom- stolens förhandsbesked om s.k. datalagring. Hemlig dataavläsning skulle ge möjlighet att fysiskt installera ett tek- niskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i kommunikationen innan det krypteras, om lagrade uppgifter, om utrustningens position samt om identiteten på de utrust- ningar den misstänkte använder själv och dem han kommunicerar med (exempelvis IP-adress, e-postadress m.m.). Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han använder utrustningen. Genom bl.a. spaning mot en känd underrättelseofficer drar Säker- hetspolisen slutsatsen att hon har lyckats värva en agent i . Agenten är dock okänd. Misstanken är att när underrättelse- officeren kommunicerar med agenten sker det genom att hon ut- nyttjar trådlösa nät (WiFi), främst på olika restauranger och ibland på hotell. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i underrättelseofficerens utrustning, vilket ger möjlighet att klarlägga identiteten på dem hon kommunicerar med, utrustningens position, vilka trådlösa nät hon använder och i vilken miljö den misstänkta finns när hon använder utrustningen. Vid förundersökning rörande grov mordbrand riktad mot en restaurang är misstanken att brottet utförts av personer inom ett lokalt kriminellt nätverk vars inkomstkälla består bland annat av att erbjuda lokala företagare beskydd. En misstänkt gärningsman är identifierad. Polisen har information om att ett e-postkonto har använts för kommunikation inom gruppen före, under och efter brottet. Det har skett på så sätt att personerna har skrivit med- delanden till varandra. För att undvika att avslöja kontakten mellan personerna och vilken information de ger till varandra, har med- Uppgifter från brottsbekämpande myndigheter delandena aldrig skickats iväg från kontot. I stället har de sparats som utkast och därigenom funnits tillgängliga för alla som haft lösenord till kontot. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustning, som kan ge information bl.a. om innehållet i den personens kommunikation med e-postkontot innan det krypteras och om inloggningsuppgifter. Med hjälp av de uppgifterna kan ett tekniskt hjälpmedel installeras i e-postservern för att ge information om vilka utrustningar som har kommunikation med det aktuella e-postkontot. Vid bedrivs en förundersökning om förberedelse till terroristbrott där en man misstänks för att på internet samla in information om bombtillverkning och försöka köpa komponenter. Det finns uppgifter om att han håller på att sammanställa en ”terror- instruktion” som ska spridas och att han inte är ensam i planeringen. Han kan ha medhjälpare som är okända för Säkerhetspolisen. Vid verkställighet av hemlig avlyssning av elektronisk kommuni- kation har det framkommit att hans kommunikation med andra liksom hans tekniska utrustning (dator och smarttelefon) är kryp- terade. Hemlig dataavläsning skulle ge möjlighet att installera tekniskt hjälp- medel, som bl.a. registrerar tryckningar på tangentbordet, vilket ger tillgång till lösenord och den text den misstänkte skriver i realtid samt andra aktiviteter som inte kommuniceras eller lagras. Säkerhetspolisen skulle kunna få information om innehållet i kommuni- kationen innan det krypteras, om lagrade uppgifter, t.ex. kontaktlista, samtalslogg och innehållet i dokument som skrivs eller har skrivits, och om utrustningens position. Även identiteten på personer som den misstänkte kommunicerar med skulle kunna fastställas, liksom i vilken miljö den misstänkte finns när han använder utrustningen. Uppgifter från brottsbekämpande myndigheter En man, som tidigare misstänkts för sexualbrott mot barn över internet i annat land, har på nytt misstänkts för likartad brottslighet. Polisen har fått upp ögonen för hans aktiviteter i ett ärende som rör livesända sexuella övergrepp mot flera barn i . Den miss- tänkte har i de tidigare ärendena haft som modus att radera infor- mation i telefon och datorer med hjälp av särskilda program, vilket inneburit att uppgifterna inte kunnat återskapas och ärendena har därför fått läggas ned. Polisen anar därför att efter ett eventuellt beslag kommer information sannolikt inte finnas kvar och inte heller kunna återskapas. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i den misstänktes utrustningar som kan ge information bl.a. om innehållet i kommunikationen, om lagrade uppgifter innan de raderas och om aktiviteter som inte kommuniceras eller lagras. Efter ett fullbordat terroristattentat i ett av våra grannländer får Säkerhetspolisen information om att en av de misstänkta gärnings- männen dagarna före dådet har haft kontakt med ett svenskt mobil- telefonnummer. Det rör sig om ett anonymt kontantkort. Miss- tanken i rör medhjälp till terroristbrott. Vid verkställighet av hemlig övervakning av elektronisk kommunikation visar det sig att utrustningen inte används för vanliga telefonsamtal utan att den har varit uppkopplad mot internet vid ett flertal tillfällen. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel så att utrustningens position blir klarlagd. kan åtgärden ge möjlighet att med hjälp av telefonens kamera och mikrofon identifiera personen som använder utrustningen. Uppgifter från brottsbekämpande myndigheter En teleoperatör lämnar information till Säkerhetspolisen om att en av dess anställda kan misstänkas för att lämna ut väldigt känslig teknisk information till främmande makt. Informationen har inte direkt bäring på rikets säkerhet men är av mycket stort värde för det aktuella bolaget i konkurrenshänseende. En förundersökning om grovt företagsspioneri inleds. Domstolen beslutar bl.a. om hemlig rumsavlyssning och hemlig kameraövervakning. Det visar sig att någon i mannens familj i stort sett alltid finns hemma i villan. Dess- utom är det omöjligt att sätta upp en kamera riktad mot bostaden. Domstolens beslut bedöms inte kunna verkställas. De beslutade tvångsmedlen skulle kunna verkställas genom att ett tekniskt hjälpmedel för hemlig dataavläsning installeras i den miss- tänktes dator. På det sättet kan datorns inbyggda mikrofon och kamera användas. Efter ett brandattentat mot en moskébyggnad bedrivs en förunder- sökning om terroristbrott mot en skäligen misstänkt person. Mannen förekommer i terrorsammanhang och mycket talar för att han inte är ensam gärningsman. Säkerhets- polisen bedriver fysisk spaning mot honom och kan konstatera att han har många kontakter som han träffar på caféer på bostadsorten. Spanarna ser att mannen använder en smartphone och bedömer att det inte är möjligt att komma så nära samtalsparterna att det går att uppfatta vad som sägs. är det inte ens möjligt att se vilka personer han träffar. Domstolen beslutar om hemlig rumsavlyss- ning och hemlig kameraövervakning och anger som platser i till- ståndet vissa caféer som han tidigare besökt. Tyvärr visar det sig när tvångsmedlen ska verkställas att han väljer nya platser för sina möten. Domstolens beslut bedöms inte kunna verkställas. De beslutade tvångsmedlen skulle kunna verkställas genom att ett tekniskt hjälpmedel för hemlig dataavläsning installeras i den miss- tänktes smartphone. På det sättet kan mobiltelefonens inbyggda mikrofon och kamera användas. Uppgifter från brottsbekämpande myndigheter 8.4Andra uppgifter från de brottsbekämpande myndigheterna 8.4.1Hur kan hemlig dataavläsning verkställas? I direktiven framgår att vi ska kartlägga och beskriva bl.a. hur en metod för hemlig dataavläsning kan förväntas verkställas. Det fram- går också av direktiven att vi ska utgå från de tekniska möjligheter som finns . Vi ska i det följande beskriva de fem faser som varje verkställighet av hemlig dataavläsning kommer behöva passera genom om åtgärden tillåts.12 Uppgifter har lämnats av tekniska experter vid brottsbekämpande myndigheter och dessa har fått till- fälle att gå igenom framställningen. Det bör framhållas att det inte vore ändamålsenligt att göra allt för detaljerade beskrivningar av de tekniker som kan användas för hemlig dataavläsning. Dels för att det inte är fråga om statiska tekniker utan i stället om dynamiska sådana som kommer behöva skräddarsys med olika detaljer och egenskaper utifrån förutsätt- ningarna i varje enskilt fall, dels för att utvecklingen på området är snabb och detaljer i teknikerna därför snabbt kan bli utdaterade. Av denna anledning görs framställningen av tekniken i det följande på en övergripande nivå. Trots detta tenderar framställningen att bli tämligen teknisk i vissa delar. För att göra den mer lättbegriplig för den som saknar tekniska förkunskaper inleder vi därför här med ett enkelt och konkret exempel avseende verkställighet av hemlig rums- avlyssning som sedan löper som en röd tråd genom framställningen av faserna. Exemplet löper sedan som jämförelsematerial i beskriv- ningen av respektive fas. Exempel: Verkställighet av hemlig rumsavlyssning Polisen har information om att en misstänkt (målpersonen) ska träffa en brottskumpan vid ett möte i målpersonens hem (1). Polisen vet genom spaning att hemmet är försett med dörrar som är svårforcerade (åtminstone utan att lämna märken efter sig) men har noterat att målpersonen, när denne lämnar hemmet , placerar nyckeln till altandörren på ett visst gömställe (1). 12 Informationen i detta avsnitt är främst inhämtad från utredningens studiebesök och andra möten med tekniska experter vid brottsbekämpande myndigheter i såväl som utomlands. Enligt dessa kommer de åtgärder/faser som nedan anförs vara nödvändiga vid verkställighet av hemlig dataavläsning oavsett hur lagstiftning om åtgärden slutligt utformas (t.ex. avseende vilken teknik som får användas eller vilka uppgifter som får samlas in). Uppgifter från brottsbekämpande myndigheter Polisen skaffar sig tillstånd till hemlig rumsavlyssning i målpersonens hem med tillstånd att ta sig in där (1). När det blir dags att verkställa åtgärden använder sig polisen av den gömda nyckeln för att ta sig in i bostaden (2). Väl på plats där inne placerar polismännen mikrofoner och sändare på de platser där mötet förväntas äga rum (3). Mötet äger rum och den tekniska utrustningen som placerats i bostaden skickar det ljud som tas upp till polisens avlyssningsenhet som kan lyssna på det som sägs (4). När mötet har ägt rum beger sig polisen åter till bostaden för att på nytt ta sig in där och hämta tillbaka utrustningen (5). I all sin enkelhet innehåller exemplet samtliga fem faser som kommer genomgås även vid verkställighet av hemlig dataavläsning. Faserna, som framgår av de siffror som är satta inom parentes, är: 5.Avslut (avinstallation) För att hemlig dataavläsning alls ska kunna lyckas, i meningen få in uppgifter som eftersöks, är det av avgörande betydelse att den verk- ställande brottsbekämpande myndigheten har skaffat sig kunskaper om målpersonen. I första hand tar kartläggningen sikte på att identifiera vilken typ av teknisk utrustning (målobjekt) som mål- personen använder eftersom det är mot målobjektet som åtgärden ska riktas. Målobjektet kan vara både fysiskt (t.ex. en dator eller mobiltelefon) och immateriellt (t.ex. ett e-postkonto, en app eller ett program). Även uppgifter om målpersonen kan vara av stor betydelse för en lyckad verkställighet, såsom dennes säkerhetsmedvetande och var hen och målobjektet befinner sig . Också beträffande målobjektet kommer den brottsbekämpande myndig- heten som ska verkställa åtgärden behöva göra en tämligen om- fattande kartläggning, t.ex. avseende vilken version som används (såväl hård- som programvara) och vilka tekniska sårbarheter (se följande avsnitt) som är kända om målobjektet. Uppgifter från brottsbekämpande myndigheter Utifrån resultatet av kartläggningen kommer den brottsbekäm- pande myndigheten som har att verkställa åtgärden sedan behöva planera hur det ska ske. Det kan tänkas en rad olika tekniker för detta. Först när en lyckad kartläggning skett och planeringen är genomförd kommer det emellertid vara rimligt att ansöka om till- stånd att genomföra åtgärden. Om kartläggnings- och planeringsfasen kan sägas att de uppgifter som nämnts här endast är exempel på sådan information som kan vara nödvändig för en lyckad verkställighet. Det är inte möjligt att uttömmande redogöra för vilka uppgifter som kommer att behövas eftersom det kan och kommer att skilja sig åt i varje enskilt fall och beroende på vad som är syftet med åtgärden (t.ex. vilka uppgifter som eftersöks eller om åtgärden vidtas i brottsförhindrande eller brottsutredande verksamhet). Vad som däremot är säkert är att hemlig dataavläsning inte kommer att kunna genomföras utan att en kartläggning har skett. Kartläggningen uppvisar i alla delar stora likheter med traditionellt inre och yttre polisiärt spaningsarbete varför de brottsbekämpande myndigheterna är väl förberedda för sådana åtgärder som ingår här. I exemplet avseende hemlig rumsavlyssning tog kartläggningen av målpersonen (den misstänkte) sikte på att det skulle ske ett möte som bedömdes som intressant. Målobjektet (i det fallet låter vi detta representeras av den misstänktes bostad) kartlades på så vis att spaning utvisade att detta vid lämnas obevakat och att det fanns ett sätt att då ta sig in i det (den gömda nyckeln). När till- räcklig kartläggning genomförts ansöktes om tillstånd. Motsvarande uppgifter, men då i stället avseende egenskaper hos den tekniska utrustningen och möjligheter att ta sig in i den utan att det märks, kommer alltså behöva samlas in även vid hemlig dataavläsning. När en lyckad kartläggning och planering genomförts och tillstånd meddelats kan den praktiska verkställigheten inledas. Den brotts- bekämpande myndigheten som ska verkställa åtgärden går då in i det som vi kallar intrångsfasen. För att beskriva denna fas krävs först en kort förklaring av två centrala begrepp. Det första begreppet är sårbarhet (eng. vulnerability). Med begreppet avses i detta samman- Uppgifter från brottsbekämpande myndigheter hang något som gör ett it-system känsligt för angrepp. På webbsidan IT-ord13 förklaras begreppet sårbarhet enligt följande. Sårbarheter kan vara tekniska brister eller förbiseenden, mänskliga svag- heter eller en kombination. menar man brister i datornätverkens system för identifiering, inloggning och rättigheter. Kontrollen av in- och utgående datatrafik kan ha sårbarheter, liksom granskningen av den utrustning som ansluts till nätverket, och de program som körs. I en bredare bemärkelse kan sårbarheter också vara mänskliga svagheter som slarv, tanklöshet och naivitet […] i kombination med teknik som inte har utformats för att kompensera för sådana svagheter.14 När vi i detta betänkande talar om sårbarheter gör vi det i den bredare bemärkelse som nämns i citatet. Det innebär att en sårbarhet kan vara både av teknisk natur, såsom en bugg15 i ett it-system eller en felaktig inställning däri, eller av personlig natur, såsom brister i säkerhetstänkande hos en användare. Det kanske kan förefalla enklare att förstå att mänskliga tillkorta- kommanden förekommer (t.ex. att en person använder samma lösenord på flera olika konton, använder ett lösenord som är lätt att lista ut eller har dålig kontroll på sin telefons säkerhetsinställningar) än att det finns inbyggda sårbarheter i de it-system som vi alla dag- ligen använder. Naturligtvis arbetar de allra flesta företag och organi- sationer som tillhandahåller elektroniska tjänster eller utvecklar pro- dukter för elektronisk kommunikation kontinuerligt med att för- söka hålla en hög säkerhet. Det tycks dock vara omöjligt att utforma systemlösningar helt utan buggar, och i förlängningen därmed helt utan potentiella sårbarheter. Mycket förenklat kan detta förklaras med att datorer är dumma, i meningen att de gör vad den som programmerar sagt åt dem att göra. Det innebär att programmeringen måsta vara helt exakt och korrekt. Minsta lilla, om än obetydliga, fel i programmeringen (som ju som utgångspunkt genomförs av människor) kan leda till buggar som i sin tur kan innebära sårbarheter som kan utnyttjas för att bereda sig tillträde till utrustningen.16 13IT-ord är en sajt med ord och termer från it-branschen som tillhandahålls av och IDG. IT-ord redigeras och uppdateras av , skribent på IDG och representant för IDG i Svenska Datatermgruppen. (it-ord.idg.se/om-it-ord/) 14it-ord.idg.se/ord/sarbarhet/ 15Buggar är fel i programkod eller i andra tekniska konstruktioner, se it-ord.idg.se/ord/bugg/ 16För en mer utförlig beskrivning av olika typer av buggar och sårbarheter och varför det troligen alltid kommer att finnas sådana i it-system se Bellovin et. Lawful Hacking: Using Uppgifter från brottsbekämpande myndigheter Själva utnyttjandet av en sårbarhet för oss in på det andra begrep- pet som behöver förklaras för att intrångsfasen ska bli förståelig, nämligen exploit. Vi har valt att använda det engelska uttrycket efter- som det saknas en vedertagen svensk motsvarighet i förevarande sammanhang, även om attackmetod, attack mot sårbarhet och utnyttjande av sårbarhet ibland används. På webbsidan IT-ord för- exploit på följande vis. Metod som utnyttjar en sårbarhet i ett datorsystem för att komma åt skyddad information eller för sabotage. Kallas ofta för exploit script, men en exploit behöver inte vara ett skript utan kan vara ett komplett program eller en annan metod. Ordet exploit används om: –själva attacken (även kallad exploitation); –metoden eller programmet som används; –sårbarheten som angriparen drar fördel av.17 För att undvika begreppsförvirring använder vi här inte exploit för att beskriva sårbarheten i sig, den benämner vi helt enkelt sårbarhet. Givetvis avses inte heller med exploit att utnyttja en sårbarhet för sabotage, utan målet för en exploit i förevarande sammanhang är endast att komma åt skyddade uppgifter. Det bör redan här nämnas att en exploit sällan avser endast intrångsfasen utan också kan sägas vara en del av installationsfasen. Till detta återkommer vi i nästa avsnitt. I förevarande avsnitt är därför endast själva intrångsdelen av intresse när vi talar om exploit. En exploit ser olika ut beroende bland annat på vilken sorts sårbarhet som ska utnyttjas och om den kräver fysisk tillgång till it- systemet mot vilket den ska adresseras eller om det är möjligt att genomföra den på distans (t.ex. via en webbsida eller ett e-post- meddelande). En enkel form av exploit kan vara att logga in på mål- personens e-postkonto genom att använda dennes inloggnings- uppgifter. En mer avancerad form kan vara att styra om ett anrop från en dator till en webbsida så att datorn i stället dirigeras till en webbsida som kontrolleras av angriparen. existing vulnerabilities for wiretapping on the internet s. 22 ff.