sou · H5B389 · 2017-11-16 00:00:00 — Något som vi inte kan göra, i avsaknad av rätt verktyg och ett lagligt stöd för att kunna använda verktyget. behovsbeskrivning avseende hemlig dataavläsning under förundersökning Problem vid hemlig avlyssning av elektronisk kommunikation () Polisen har noterat att de individer som tillämpas mot allt oftare går över till andra kommunikations- sätt än telefoni. De sociala samtalen går fortfarande att fånga upp, men om samtalen ska handla om kriminell verksamhet övergår samtalen oftast till exempelvis krypterade kommunikationsappar som WhatsApp, Skype, FaceTime m.fl. Det föreligger ett stort behov av att få tillgång till hemlig dataavläsning (HDA) för att kunna säkra kommunikationen i dessa fall, och på så sätt samla bevis i förundersökningar rörande grova brott. Polisen uppskattar att har av kommunikationen mellan två parter skett krypterat vid avlyssning rörande internet- eller datatrafik avseende mobila- och fasta bredband. Alternativet är att installera hemlig rumsavlyssning (HRA) i bostäder och fordon för att försöka fånga kommunikationen. Problemet med detta är att man endast hör den ena parten och det blir svårt att få ett sammanhang i samtalen. Ofta är hörbarheten inte heller optimal. Installation av HRA är dessutom en mycket kom- plicerad metod som ofta kräver lång kartläggning av de misstänkta och deras rutiner, umgänge och familj. Exempel från förundersökningar med . Utdrag ur telefonsamtal : G: Men vad gäller det? O:Dom ska genomsöka bostaden O:Vi får ta det här på telefon.... G: Vi kan inte ta det på telefon....då får du ringa på WhatsApp O: Ok... Utdrag ur telefonsamtal : G säger att han ringer upp R på den andra. Detta är två exempel som belyser användningen av krypterad kom- munikation där man vill säkerställa att man inte blir avlyssnad. Vid avlyssning av mobiltelefoner med abonnemang med data- trafik eller av mobilt bredband kan mycket av internet- och data- trafiken inte insamlas då de avlyssnade enheterna kopplats upp mot allmänna trådlösa nätverk på till exempel på flygplatser, restauranger och affärer. Anledningen kan vara antingen att spara dataförbruk- ning på det mobila abonnemanget eller för att dölja sina förehavan- den. Konsekvensen blir att det inte går någon internet-/datatrafik via det avlyssnade mobila abonnemanget, eftersom kommunikationen istället sker via det allmänna trådlösa nätverket. Det är även vanligt att man kopplar upp sig via sitt eget trådlösa nätverk när man befin- ner sig i sin bostad. Även då går internet-/datatrafiken över till ett nätverk som kan delas av flera familjemedlemmar och blandas in i övrig datatrafik som kan vara film och musik som strömmas till mobiler, surfplattor, spelkonsoller, datorer och tv-apparater vilket gör det svårt att urskilja den trafik som ska avlyssnas och dessutom är ett problem ur integritetssynpunkt. har i stort sett samtliga appar och program som används för kommunikation inbyggd kryptering. var endast en bråkdel av internettrafiken krypterad. En tydlig trend är att kryp- tering byggs in i nya appar och att krypteringen är aktiv utan att användaren behöver vidta någon åtgärd. Allt fler webbplatser använder SSL-kryptering (Secure Sockets Layer) vilket medför att kommunikationen mellan webbplatsen och den besökande enheten är krypterad. Eftersom det är datatrafik som går via abonnemang som avlyssnas vid får man endast tillgång till krypterad data, som inte går att tolka utan att använda stora dataresurser för dekryptering, om det ens är möjligt att dekryptera inom rimlig tid. Börjar en webbadress med https:// istället för http:// är kommunikationen krypterad med SSL. Som exempel kan nämnas att man tidigare kunde se vilka bok- ningar som gjordes på SJ:s hemsida, vilka tåg som eftersöktes. Efter att SJ uppdaterat sin hemsida med SSL går boknings- och sökinfor- mation som användaren gör via krypterad kommunikation, som inte går att avläsa vid . SSL-kryptering är vanligt förekommande på webbplatser för bokning av flygresor och hyrbilar. Vid analys av internettrafik, med beslut om , har det visat sig att det är mycket vanligt att misstänkta använder sig av olika VPN-tjänster, ToR och liknande krypterings- och anonymiserings- tjänster för att dölja sina förehavanden. Illegal näthandel (t.ex. vapen, droger, barnpornografi och stulna kreditkort) sker nästan uteslutande på Darknet. Tillgång till Darknet sker via det krypterade och anonymiserade . Problem vid analys av beslagtagna databärare Kryptering av databärare har ökat markant vilket kräver mer resurser och sätter högre krav på planering inför tillslag såsom spaning och offensiv taktik vid själva tillslaget för att hinna fram till en dator innan den stängs av och blir krypterad varvid inne- hållet blir oläsligt vid en analys. Ett annat problem som blivit vanligare är raderings- och rens- ningsprogram som används på datorer. Detta gör att endast den användarhistorik som skrivits efter senaste rensningen finns kvar i databäraren vid beslagstillfället. Om datorn rensats och tillslaget sker finns inte mycket användarhistorik kvar i databäraren. Med HDA skulle man kunna fånga upp användar- historiken löpande innan den raderas. Användarhistoriken kan bestå av till exempel chattar, besökta webbsidor eller filer som har använts. Även inskrivna lösenord kan då återfinnas Allt som skrivs av användaren vid datorn skickas inte iväg via internet. Till exempel lösenord till en lokalt krypterad fil går inte iväg som ett meddelande, vilket gör att aldrig kommer fånga den informationen. Det är mer regel än undantag att mobiltelefoner är skyddade av lösenkod eller biometriskt skydd. De ledande tillverkarna av mobil- telefoner har aktiverat kryptering vid leverans. I de fall lösenordet varit känt och mobiltelefonen gått att analysera har chatthistoriken och annan information ändå inte kunnat läsas eftersom appar i mobiltelefoner använder sig av egen kryptering i stor utsträckning. Det innebär att innehållet i appar inte kan analyseras och infor- mation som kan vara av värde i förundersökningen inte kan till- varatas. är många beslagtagna datorer och mobiltelefoner krypterade. Det gäller även externa hårddiskar, USB-minnen och enskilda filer i datorerna. I de fall där en beslagtagen enhet är krypterad går den inte att undersöka utan lösenord till dekrypteringsnyckeln. Att dekryp- tera information, även om man använt relativt enklare former av kryptering, är en tidsödande process. Detta medför att dekrypterad data i vissa fall förlorat sin aktualitet om man lyckas dekryptera materialet. Vid många tillfällen har det visat sig att misstänkta använder sig av krypterade internetuppkopplingar, som ToR eller VPN. Även beslagen innehåller krypteringar. I de fall där beslaget inte gjorts i öppet och dekrypterat läge har innehållet inte gått att läsa och analy- sera och eventuellt bevismaterial kan inte tillföras förundersök- ningen. Hur kan man gå vidare i ärendet där det finns kryptering? Man kan fråga användaren efter lösenord, vilket oftast inte är någon fram- gångsfaktor. Det finns attackmetoder för att knäcka lösenord. Ju längre och mer komplicerat lösenordet är desto tar det att knäcka lösenordet, om det överhuvudtaget är möjligt. När man försökt dekryptera på alla sätt utan att lyckats får man konstatera att dessa delar av beslaget inte blir analyserade och att eventuella bevis går förlorade i förundersökningen. Inte heller omständigheter som talar till den misstänktes fördel kan omhändertas. Det förekommer ofta även att enstaka filer är låsta med hjälp av lösenord och kryptering, vilket medfört att innehållet inte kunnat analyseras. De filer som innehåller bevis som i görs oläsbara med kryptering och lösenord kan öppnas om man genom HDA kan få del av vilka lösenord som krävs för att dekryptera filen och därmed ta del av innehållet. Vid ärenden med överbelastningsattacker, så kallade DDoS- attacker, har användaren ofta försökt dölja sina spår med hjälp av kryptering. HDA kan vid förberedelser och under pågående över- belastningsattacker säkra bevis för brottet. De gärningsmän vars intresse är att samla på bilder och filmer som skildrar sexuella övergrepp på barn vill skydda sitt material. sker vanligtvis genom att lägga bilderna och filmerna på krypterade externa hårddiskar. Lösenorden är oftast komplicerade och gärnings- männen lämnar inte ut sina lösenord. Gärningsmännen ligger ofta i framkant när det gäller de nya möjligheterna som teknikutvecklingen ger. Man är oftast högt med- veten om vilka tekniska och legala begräsningar rättsvårdande myndig- heter har. Även om man inte ligger i framkant begränsas våra möjlig- heter genom att innehållsleverantörerna för internettjänster implementerat integritetsskydd i sina applikationer som är automatiskt påslagna från början. Vi har tagit del av de komplette- rande behovsbeskrivningarna från övriga experter i denna utredning och konstaterar att gärningsmännen använder samma modus för att försvåra utredningsarbetet. Det enda som skiljer är brottsrubricer- ingarna på de olika myndigheterna. Av den anledningen nöjer vi oss med att komplettera endast några typfall som vi hoppas tillför några ytterligare behovsbilder, istället för att upprepa sådant som redan beskrivits. Ytterligare en försvårande omständighet för brottutredande myndig- heter är SSD-diskar (solid-state drive) och flashminnen. Tillsammans med en teknik som kallas TRIM kan filsystemet snabbt återanvända utrymme på hårddisken när filer som funnits där har raderats. TRIM rensar automatiskt den tidigare ytan i bakgrunden utan att användare behöver använda ett rensningsverktyg. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge brottsbekämpande myndigheter informationen innan den raderas. har information om att en känd kriminell grupper- ing planerar en hämndaktion mot en konkurrearande gruppering. Informationen gör gällande att man ska skjuta en framstående med- lem i den andra grupperingen. I samband med telefonavlyssning i ärendet framgår det att man skriver instruktioner om det planerade brottet i datorn med programmet Anteckningar. Instruktionerna sparas inte på datorn, utan skrivs ut direkt på en skrivare. Detta för att undvika eventuella spår efter lagrade filer. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel i de misstänktas utrustning som kan ge information om det som skrivit i Anteckningar innan det skrivits ut och applikationen stängts ner utan att dokumentet sparats. Grovt sexuellt tvång och grovt utnyttjande av barn för sexuell posering En av polisen känd person som avtjänat sitt straff är åter igen miss- tänkt för grovt sexuellt tvång och grovt utnyttjande av barn för sexuell posering mot ett stort antal minderåriga flickor. Personen som dömts ett flertal gånger för liknande brottslighet har efter varje dom blivit bättre på att skydda sig med hjälp av ToR och kryptering. Liksom i många andra groomingärenden använder sig personen även av raderingsprogram efter varje kontakt med sina offer. Genom att återanvända sparade filmer och bilder från tidigare offer kan perso- nen fortsätta med hot och nya groominginspelningar. Dessa sparade filmer och bilder kunde vid tidigare utredningar inte bevissäkras på grund av krypterade lagringsmedia och installerade raderings- program. Datorn och lagringsmedia kunde därför inte förverkas och filerna återanvänds i fortsatt brottslighet. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge information om var tidigare sparat material finns lagrat samt binda personen till aktuellt brott. Den information som kontinuerligt raderas skulle kunna fångas upp med hjälp av HDA. Grovt dataintrång och grovt bedrägeri En kriminell gruppering har utarbetat ett sätt att få in skadlig kod i företags affärssystem. Den skadliga koden har gett huvudmannen administratörsrättigheter i systemen i många fall och genom detta har han kunnat ändra konton för betalningar, genom- föra beställningar i företagets namn, få komplett insyn i anställdas epostkonton och därigenom tillgång till lösenord. Efter gripandet av huvudmannen nekar denne till att använt den beslagtagna datorn. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge information om vem som brukat datorn vid ett visst tillfälle och om det är huvudmannen som skapat den skadliga koden. Det skulle ge möjlighet till tidigare lagföring och ingripande. Bidra till bra bevisning som skulle göra att man inte behöver invänta huvudbrottet för att få ihop tillräcklig bevisning för lagföring. De personer som ägnar sig åt att samla på bilder av barnpornografisk karaktär vill skydda sin samling. Det sker genom att lägga bilderna och filmerna på hårddiskar och på avgränsade ytor som sedan kryp- teras. Lösenorden är oftast komplicerade och personerna lämnar inte ut dessa. Vissa krypteringsprogram lagrar inte lösenord över huvud taget, utan dessa måste samlas in när de skrivs in av användaren i realtid. I samtliga ärenden hos Nationellt it-brotts- centrum har det förekommit installerade raderingsprogram på datorn. Ett raderingsprogram suddar ut alla spår av hanteringen av bild- och filmfiler. Det raderar både sökvägar och namn på filer på de lokala lagringsenheterna. Även filernas väg in till datorn raderas. Det går följaktligen inte att se hur eller varifrån filerna har laddats ner till datorn. Det har även förekommit fall där den misstänkte har installerat om hela datorn en gång för att radera alla spår. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge information om inloggningsuppgifter, vilket gör att utredningstiderna kan minskas. Det skulle även kunna ge infor- mation om vilka andra som sprider barnpornografiska bilder och filmer. Den information som kontinuerligt raderas skulle kunna fångas upp med hjälp av HDA. bedriver en förundersökning rörande grovt narkotikabrott. Huvudmannen misstänks för att driva en marknads- plats på Darknet där säljare och köpare av narkotiska preparat kan mötas. Domstolstillstånd för har getts, men analysen av IP- trafik visar att all kommunikation sker via ToR. Enligt underrättelse- information administrerar huvudmannen marknadsplatsen helt och hållet från ett krypterat USB-minne med operativsystemet Linux installerat. Vid husrannsakan hos huvudmannen anträffas ett kryp- terat USB-minne och en dator som saknar hårddisk. Det är sannolikt att datorn har startats från det krypterade USB-minnet och att anslutningen via ToR och marknadsplatsen skett med hjälp av denna. Tyvärr går det inte att styrka brott då det inte går att säkra infor- mationen på det krypterade USB-minnet Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge information om innehållet i det krypterade USB-minnet och styrka brottet. Flera fall av grova åldringsbrott har skett i norra delarna av landet. Modus tyder på att det är samma gärningsmän som ligger bakom brotten. Polisen tar kontakt med ett företag som tillhandahåller en söktjänst på internet och hör efter om sökningar gjorts på offrens adresser. Företaget kan bekräfta att så skett på ett par av offrens adresser strax för brottstillfällena. Företaget kan leverera IP-adressen som sökning skett från. Dessvärre visar kontroll att IP-adressen tillhör ett kontant mobilt bredband med okänd abonnent. Tele- operatören levererar inte mastpositioner till rättsvårdande myndig- heter, varför det inte går att lokalisera utrustningen som sökningarna skett från eller misstänkt gärningsman. Hemlig dataavläsning skulle ge möjlighet att installera ett tekniskt hjälpmedel som kan ge information utrustningens geografiska position samt misstänkt gärningsman. behovsbeskrivning avseende hemlig dataavläsning i underrättelseverksamhet har ombetts av Utredningen om hemlig data- avläsning att inkomma med ett yttrande gällande behov av hemlig dataavläsning i underrättelsesyfte genom lagen (2012:278) om inhämtning av uppgifter om elektronisk kommuni- kation i de brottsbekämpande myndigheternas underrättelseverk- samhet (IHL) och anför härmed följande; •Elektronisk kommunikation är avgörande i Polisens arbete mot den organiserade brottsligheten. •Polisen har inte tillräckliga verktyg för att inhämta elek- tronisk kommunikation. •Elektronisk kommunikation är ofta krypterad och är därmed otillgänglig hos telefonoperatörerna. •Kommunikationen i samhället sker i större utsträckning via data- nätet och krypterade chattappar. •Kriminella söker ständigt sätt att undkomma rättsliga åtgärder och teknikutvecklingen underlättar deras verksamhet. •It-teknikutvecklingen skapar nya brottsmöjligheter, brottsforum och arenor för brott. •På internet och på krypterade nätverk finns en stor marknad för kriminella varor och tjänster. •Polisen behöver samma verktyg att verka på internet som i reella världen. •Lagstiftaren har bedömt att Polisen ska få inhämta elektronisk kommunikation i underrättelse syfte och lagstadgat det i IHL. •Hemlig dataavläsning i enlighet med IHL skulle inte förändra vilken typ av uppgifter Polisen har rätt att inhämta utan ge ett verktyg att verkställa den redan lagstadgade inhämtningen. •Intrånget i den personliga integriteten som hemlig dataavläsning genom IHL skulle innebära står i proportion till den påverkan de brott lagen omfattar har på samhället i stort. Enligt Polislagen 2§ (1984:387) har Polisen till uppgift att förebygga, förhindra och upptäcka brottslig verksamhet vilket i huvudsak bedrivs vid Polisens underrättelsetjänst som finns verksam på samt- liga nivåer i organisationen. Underrättelseverksamhet är i huvudsak inriktad på att avslöja om en viss, inte närmare specificerad brottslighet, har ägt rum, pågår eller kan antas komma att begås. Till skillnad från Polisens utredande verksamhet fokuserar underrättelseverksamheten inte på enskilda brott, utan på brottslig verksamhet. Utredande verksamhet i form av en förundersökning eller primärutredning är att betrakta som bakåt- blickande, då utredningen avser ett specifikt brott som har begåtts. Underrättelseverksamheten är typiskt sett framåtblickande, då den syftar till att upptäcka, förutse och beskriva en viss brottslighet, brottsutveckling eller ett visst fenomen i syfte att förebygga och förhindra. Det finns vissa brottsområden och kriminella miljöer där under- rättelseverksamheten är mer central för det polisiära arbetet. Det handlar främst om brott som vanligtvis inte anmäls till Polisen och som kräver aktiva åtgärder att uppdaga som exempelvis narkotika- eller vapensmuggling. Underrättelseverksamheten är särskilt viktigt i bekämpning av organiserad brottslighet. Dels för att brott sker systematiskt, och genom komplexa brottsupplägg, som kräver kvali- ficerad kartläggning och analys för att hantera. Dels för att benägen- heten att samverka med Polisen är låg vilket ställer högre krav på annan information till grund för brottsbekämpningen, så som elek- tronisk kommunikation. Dels för att de kriminella vidtar avancerade motåtgärder för att undgå polisiär upptäckt. Mot bakgrund av de senaste årens utveckling inom marknaden med gratis appar med högre prestanda och utbyggnad av 4G-näten är det troligt att de kriminella i ännu större utsträckning kommer före- dra att använda datakommunikation framför traditionell telekom- munikation. Polisen har därav ett behov av hemlig dataavläsning för att möjlig- göra inhämtning av information som lagstiftaren avsett att Polisen ska ha rätt att inhämta men som Polisen inte kan ta del av då informationen ofta är krypterad och därmed på grund av tekniska skäl inte är tillgänglighos telefonbolagen för den inhämtning som medges i IHL. Organiserad brottslighet kräver ett aktivt arbeta för att uppdagas Polisens underrättelsetjänst hanterar främst organiserad brottslighet, vilken till stor del står för den brottslighet som avses i IHL (brottslig verksamhet som innefattar brott för vilket inte är föreskrivet lindrigare straff än fängelse ). Flera av brotten är av sådan art att Polisen måste arbeta aktivt för att upptäcka den. Det kan vara svårt då den sker i internationell brottssamverkan eller via krypterade forum på internet. Polisen har även liksom Säker- hetspolisen i uppgift att arbeta mot kontraterrorism, ensamagerande och inhemsk extremism där underrättelseverksamheten som kräver en effektiv underrättelseinhämtning. Motorn i organiserad brottslighet är individer som har förmågan att utveckla sin brottsförmåga och förvalta av brott. Det är även grundläggande för organiserad brottslighet att aktörerna har ett trovärdigt våldskapital som skyddar mot att bli förrådd eller påläggas fiktiva skulder. En våldseskalering har skett i den krimi- nella miljön, särskilt kopplat till utsatta områden och skjutvapen eller handgranater används i allt större utsträckning. Vid flera fall har skjutningar och sprängningar skett vårdslöst på allmän plats och inneburit fara eller skadat tredjeman. Polisen upplever allt större svårigheter att stävja de våldsamma konflikterna i kriminella miljöer. Våldet manar till tystnad vilket ökar behovet av andra typer av information såsom exempelvis elek- tronisk kommunikation för att verifiera underrättelseinformation. Konfliktaktörerna är därtill väl medvetna om Polisens metoder och skyddar sin kommunikation genom krypretade kommunikations- sätt. har Polisen en god underrättelsebild gällande konflikterna men saknar verktyg att verifiera underrättelseinfor- mation som kan vara avgörande för Polisen i arbetet att förhindra nya mord och mordförsök. Behovet av nya insamlingsverktyg, så som hemlig dataavläsning, anses därför i detta avseende vara akut. Ökningen av det grova våldet inom kriminella kretsar har bidragit till en ökad efterfrågan på vapen. Illegala vapen och handgranatar smugglas till från exempelvis . Aktörer i vapenhandeln får ofta kontakt med varandra via internetforum. Vapen kan även beställas på öppna internet eller på det krypterade Darknet och skickas per post. En stor del av den organiserade brottsligheten kretsar kring handel med narkotika. ses allt mer en öppen narkotikahandel i utsatta områden och narkotika är även viktig inkomstkälla för MC- miljön. Försäljning av narkotika sker även i stor utsträckning på öppna internet och på Darknet. är främst ett konsumtions- land av narkotika vilket gör att de internationella kopplingarna i narkotikahandeln är högst påtagliga. Flera kriminella nätverk sam- verkar vanligtvis i distributionskedjan från ursprungslandet till de nationella distributörerna vilket kräver samarbete både inom och utanför . För att identifiera distributionskedjan och var narkotikan tar vägen krävs omfattande kartläggning som i de allra flesta fallen bygger på elektronisk kommunikation. På samma sätt kartläggs internationella nätverk som ägnar sig åt människohandel för sexuella ändamål, tiggeri eller exploatering i arbete. På internet och på krypterade nätverk finns en stor marknad för kriminella varor och tjänster. Säkerhetsluckor utnyttjas av kriminella för att genomföra bedrägerier och dataintrång. Komplex cyber- brottslighet riktad mot sker både innanför och utanför landets gränser. Det utövas i ekonomiskt syfte, vid exempelvis ut- pressning genom dataintrång, men även som ett led i aktivism eller it-sabotage. Ett annat brottsområde som utgör en omfattande brottslighet på internet är it-relaterade sexuella övergrepp mot barn. Den tekniska utvecklingen av anonymiseringstjänster och delningsmöjligheter gör det lättare för gärningsmän att få tillgång till, dela bilder och filmer som innehåller sexuella övergrepp. En ökande trend ses gällande att material med sexuella övergrepp mot barn produceras av kriminella aktörer för ekonomisk . Vidare är penningtvätt utbrett inom organiserad brottslighet och sker gränsöverskridande. Nya betalningsmedel och virtuell valuta är ett sätt att betala utan att använda kontanter, traditionella kreditkort eller överföringar mellan bankkonton.