För tio dagar sedan bloggade jag om hur göteborgsföretaget Netclean tjänar storkovan på att inskränka yttrandefriheten i Turkiet. De har skrivit ett jättekontrakt med Turkiets regering, som vill få möjlighet att blockera “otillåtet” innehåll i sociala medier.
Netclean har utvecklat ett filterverktyg med syfte på att blockera barnpornografi. Men detta verktyg är givetvis möjligt att konfigurera även på andra sätt. Turkiska regimen gör allt tydligare att man är beredd att satsa stort på att utveckla metoder för politisk censur av nätet. Allt pekar på att betalningen av 40 miljoner euro till Netclean är ett led i dessa censurplaner.
Men från Netclean är det tyst. Mitt förra inlägg fick ganska bra spridning. Det ställdes direkta frågor till Netclean på Twitter. Fortfarande inget svar. Taktiken är att låtsas som att det regnar. Men det ger bara ytterligare indicier på att Netclean vet att de sysslar med att sälja censurverktyg till en brutal regim.
Netclean har gjort en jätteaffär med en stormakt. Pengarna de får verkar i ett slag flerfaldiga företagets omsättning. Allt de gått ut med är ett fåtal rader om att deras system har utvecklats för att blockera barnpornografi. Jo, så var det ursprungliga syftet. Men vi vill veta vad det aktuella systemet kan användas till. Vad är det som Netclean säljer till Turkiet?
Turkiets president har gjort en rad uttalanden om att han vill kunna avlägsna enskilda postningar på Twitter. Det må vara möjligt i teorin, men är ingen enkel sak. Nu ställer sig frågan: är detta vad Netclean har lovat Turkiet att göra?
En hacker som föredrar att vara anonym skrev följande rader för publicering på Copyriot:
Såvitt jag förstår bygger Netcleans filter på att identifiera förbjudet innehåll, som sedan kan stoppas vid “gränsen” till nätverket. Deras stora försäljningsargument är att de kan förhindra att barnpornografi ens kommer in i nätverket – inte bara att de kan identifiera att så sker och peka ut den skyldige.
De gör det här genom att identifiera “signaturer” av innehållet, med all sannolikhet någon form av hash-summa eller något slags beskrivning av själva bilden. Alla bilder som passerar filtreringsutrustningen jämförs med databasen av “signaturer”, och de bilder som identifieras som förbjudna levereras helt enkelt inte vidare.??För att stoppa barnpornografi i betydelsen att själv inte kunna lastas för att ens nätverk transporterat innehållet är det en otroligt effektiv och tilltalande metod. Själva bilderna behöver inte sparas någonstans och identifieringen blir betydligt mycket säkrare än via webbadresser eller bildnamn. Mycket tilltalande för företag och myndigheter som utan vidare censur och övervakning effektivt kan kontrollera sitt nätverksinnehåll med hög tillförlitlighet. Oavsett om bilden laddas ner via det vanliga nätet, delas med peer-to-peer-teknologi eller anländer bifogad till ett mail kommer den upptäckas och stoppas.?
?Om det som påståtts i turkisk media stämmer – att regeringen vill ha den här teknologin för att kunna förhindra spridningen av viss information via Twitter – är det kanske ett av de mest effektiva censurverktygen vi någonsin sett. Alla typer av bilder kan inkluderas i systemet, om Netclean nu gör det möjligt för sina “storkunder” att själva lägga till “signaturer”. Och det betyder att en given bild helt kan stoppas, även om den laddas ner och delas vidare eller sprids via olika bloggar och bilduppladdningstjänster. Det är censur helt oberoende av hur bilden levereras – ett stort steg upp från den rätt grovhuggna censur som erbjuds av Kinas “Great Firewall” eller Irans snabbrörliga punktcensur av webbadresser och IP-block.??Lite spekulativt borde det här kunna utsträckas till total, selektiv Twittercensur.
Eftersom Twitter både på webben och via API:er till olika appar levererar varje tweet som en individuell klump av JSON (JavaScript Object Notation, ett sätt att beskriva dataobjekt) kan tweets också tilldelas en “signatur” och stoppas. Detta utan att det märks för användarna – Twitters sätt att ta emot och visa nya tweets torde inte märka av ett eller flera saknade objekt i strömmen från servern.? ?Naturligtvis förutsätter det här att Netclean kan göra en så kallad “Man In The Middle”-attack på anslutningar till Twitter.
Av bland annat anti-censurskäl har Twitter infört strikt användning av SSL (HSTS) i alla sina tjänster, det vill säga krav på att anslutningen mellan användarens dator och Twitters servrar krypteras. Netcleans utrustning måste bryta den länken och agera mellanhand, annars kan den inte analysera trafiken som passerar. Det här kan tänkas vara enkelt för ett land som Turkiet tack vare att de har regeringskontrollerade utgivare av SSL-certifikat, men kompliceras av att moderna webbläsare som Chrome och Firefox innehåller listor över vilka certifikat till exempel Twitter använder, så kallad Certificate Pinning. Hur detta kommer lösas blir spännande att se.
13 kommentarer ↓
Det här är oerhört intressant och väcker så många frågor. Kommer nätcensur bli en ny exportgren för Sverige, något som Exportrådet kommer hjälpa till att försöka sälja in till andra länder (som man gör med JAS och andra större affärer)? Kommer våra ministrar tala sig varma för Sveriges ledande position inom nätcensur?
En hash skulle inte fungera bra med komprimerat innehåll som jpg:ar. Varje gång någon sparar samma bild skulle hashen ändras? Man får därför anta att själva barnporrskydden är någon form av bildanalys eller kanske bara en dålig produkt.
Men detta är som sagt mest troligt helt irrelevant eftersom tjänsten nog främst handlar om vanlig jävla censur.
Mycket intressant text av den anonyma hackaren. Fortsätt gräv!
Eva:
En hash kan räknas ut på många sätt. Det verkar rimligt att en hash som är till för bildidentifiering inte ändras för varje liten ändring av datat, till skillnad från kryptografiska hashalgoritmer.
Tycka vad man vill om SVT:s Uppdrag Granskning, men detta borde säkert intressera dom. Det känns som om här finns många unkna ting, om man bara börjar gräva.
Frågan är om man ser det här som en fråga för exportrådet eller en fråga för svenska näringsdepartementet. Exportkontroll har ett antal nackdelar som är mycket svåra att ta sig runt, och diskussionen verkar ha uppstått mycket för att de civilsamhällesorganisationer som traditionellt jobbar med yttrandefrihetsfrågor också interagerar mycket med europeiska och amerikanska utrikesdepartement. Samtidigt har vi haft mycket liten diskussion kring internet om vad en näringspolitisk strategi vi faktiskt vill leva i den globala ekonomin kan vara.
Det är tydligt att bland annat handlingar från Justitiedepartementet i Sverige kring 2003-2005 ledde fram till att NetClean över huvud taget kunde få en fungerande affärsmodell. Det gör att Justitiedepartementet effektivt skapat en marknad för den här typen av produkter som nu försöker expandera på det sätt marknadsdrivna aktiviteter ju gör. Lyckligtvis finns en stor kundkrets med olyckliga politiker i mindre demokratiska regimer.
Cecilia Malmström – Sveriges kommissionär – har skrutit över sin förmåga att få Turkiet att skriva under en handlingsplan mot bilder på barn som utsatts för sexuellt våld, som bland annat innebär filtrering. Återigen ett justitiedepartementet eller inrikesministerium som definierar tillgång och efterfrågan på en marknad som man lätteligen förstår går att missbruka.
Samtidigt är det inte säkert att exportkontroller är ett bra verktyg att komma åt problemet. Rimligtvis behöver ett exportråd godkänna att NetCleans produkter säljs för att filtrera barnpornografi – om vi själva har skapat efterfrågan och tillgång är det orimligt att vi inte låter andra vara lika goda som oss. Alltså kommer exportrådet behöva titta på hur länderna annars använder sådana produkter och tjänster – och hur ska man göra det? Samma diskussion finns kring nätverkssäkerhetsverktyg – man kan använda verktygen för att testa säkerheten i nätverk, eller för att hacka persondatorer. Har man otur kommer exportrådsstrategin bara att leda till att redan fattiga länder med ostabilt politiskt klimat dessutom inte kan bygga upp någon inhemsk säkerhetsindustri.
Netcleans hemsida innehåller en hel del intressant för den som gräver runt lite. Kärnan i deras teknologi tycks vara “den patentsökta algoritmen” NetClean FileDNA, uppenbarligen någon form av fingerprinting för bilder för att kunna matcha dessa mot polisens databaser över kända övergreppsbilder [detta är det officiella användningsområdet]. Detta implementeras dels genom utrustning för DPI samt någon form av trojan avsedd att installeras på exempelvis företagsdatorer. Värt att notera är att denna loggar aktivitet som sker offline för att sedan kunna skicka det hela för “analys” hos företagets centralserver.
Härifrån kan vi snappa upp att en av Netcleans innovationer är att identifieringen av material sker på paketnivå, alltså utan att hela filer behöver analyseras (vilket även innebär att överföringen kan kapas i realtid så fort något misstänkt innehåll har flaggats). Risken för falska positiver tycks uppenbar, vilket inte är så lite anmärkningsvärt när man beaktar följande:
Enligt det här nyhetsbrevet används detta redan inom flera svenska myndigheter och förvaltningar, med följande erfarenheter:
VäxJö Municipality, which has more than 5500 users, first installed NetClean ProActive in 2007 and has experience of a number of alert management processes. All the cases involving staff have resulted in the person in question handing in their notice or being dismissed. The municipality has also reported all the cases to the public prosecutor.
Man får förmoda att antalet sådana alerts inte är 0 och att människor därmed har sagts upp från sina jobb på grund av Netcleans filter, om några fall där det hela ens gått till åtal föreligger har detta åtminstone gått mig förbi.
Amelia: Exportrådet som det hänvisas till ett flertal gånger finns inte. Exportrådet slogs ihop med Invest Sweden för nått år sedan å heter nu Business Sweden. Å dom har ingenting med exportkontroll att göra, deras uppgift är bara att främja svensk handel. Å dom främjar den handel som deras ägare (hälften staten å hälften privata aktörer) säger åt dom att främja.
Den myndighet som skulle kunna vara relevanta är Inspektionen för strategiska produkter (ISP) (som liksom invest sweden också är en myndighet inom UD), men det är den inte eftersom filtrering knappast skulle klassas som en produkt som kan ha “dubbla använingsområden” (i den meningen som ISP menar alltså).
Jag tror sverige har mer att vinna på att inte exportera censur än de har på att göra det. Om sveriges anseende förämras kraftigt så minskar möjligheterna för gullegrisen ericsson att vinna upphandlingar.
Lite off topic, men ville bara tipsa om det komiska i att Svenska institutet (myndighet som också ligger inom UD) promotar TPB AFK. Ingår i deras filmpaket som går ut till alla utlandsmyndigheter som vill. Absurt.
Den publicerade patentansökan har nummer WO 2009/146536. Länk till Espacenet på min signatur.
[…] Exakt vad är det som Netclean ska blockera i Turkiet? […]
[…] Liksom Rasmus Fleischer: Exakt vad är det som Netclean ska blockera i Turkiet? […]
Jah tycke de e braa.
Nej men helt ärligt. Utifrån den artikeln så grundar jag mitt slutgiltiga beslut att författaren INTE är en go gubbe!
Kommentera