Reset the Net 5 juni 2014

[QUOTE=Sir. Haxalot;14649753]Hold the fucking phone, är det inte allmänt känt att Google har samarbetat med NSA genom att lämna ut information? Som många andra stora amerikansta IT-bolag.[/QUOTE]
"Många" → "alla", åtminstone vad det gäller förfrågningar som är gjorda enligt det lagstöd som USA:s myndigheter har. Antingen gör man det eller så åker man i finkan. "Samarbeta" implicerar någon sorts vilja, vilket dock verkar vara överdrivet. The Guardian som först publicerade informationen om PRISM-projektet ändrade i efterhand sin artikel för att tona ner biten gällande att NSA med företagens goda vilja skulle ha intern tillgång till alla servrar, men detta återtagande propagerade naturligt inte lika snabbt i världspressen — mer om detta här.

En liten utsvävning är på sin plats, som sedermera kopplar tillbaka till ämnet: "alla", förutom exempelvis Lavabit, vilket också ledde till att hela tjänsten fick läggas ner. Hedervärt av Lavabit att ta en så stark ställning, men en omöjlighet för andra aktörer så som lagen ser ut. Eftersom Lavabit sedan tidigare hade en känd motvallsinställning till att lämna ifrån sig kunddata till staten så gick staten, enligt den information som kommit ut, steget längre och begärde att få Lavabits rotnycklar så att de själva kunde övervaka Lavabits trafik direkt utan att användare skulle kunna märka något (det har inte publikt sagts vem av Lavabits kunder det handlade om, men det var i samband med att Snowdenhistorierna började släppas, och Snowden råkade använde just Lavabit — man kan flika in att om SSL vore så fundamentalt brutet av NSA som ibland spekuleras i så vore det ju enklare att bara knäcka dessa nycklar utan att säga något alls).

Lavabit fick då givetvis inte säga något publikt om detta, så de valde att helt enkelt lägga ner i stället. På samma sätt, så om Facebook/Twitter/Microsoft/Google/Yahoo/Apple/etc., skulle börja ignorera lagliga myndighetsförfrågningar (dvs backade av giltiga domstolsbeslut) om information så skulle staten i stället kunna begära att få full tillgång till dessa aktörers rotnycklar, vilket i praktiken är nycklarna till hela kungariket: möjlighet till fullständig övervakning av alla.

Så, valet står i praktiken mellan att

1. acceptera landets gällande lagar (vilket i USA-fallet för närvarande inkluderar saker som "Patriot act")

2. ge upp allt vad säkerhet heter

3. lägga ner.

Alternativ 1 är trots allt den enda egentliga möjligheten för de flesta.

Däremot så kan man ju alltid försöka arbeta aktivt för att förändra landets lagar, vilket är vad detta initiativ verkar handla om. Google tjänar ingenting på att sådana övertramp sker — däremot förlorar de mycket på det dåliga rykte som hela amerikanska IT-branschen fått dras med sedan senaste tidens skandaler.

———

Gällande Google i allmänhet så har de historiskt gjort mycket för generell användarsäkerhet på nätet. Ett axplock:

• Google var första stora mailaktören som implementerade SSL som default (som tillval 2008, som default 2010 och numera går det inte ens välja bort). De lade därtill en algoritm för "forward secrecy", som de bakade in i OpenSSL, fri för andra att använda.

• De implementerade certificate pinning i Chromium/Chrome som mig veterligen första browser som en ytterligare mekanism för att hindra MITM-attacker vilket är en reell risk med SSL och spionerande myndigheter. Anledningen att de införde detta var just en sådan attack som spekulativt utfördes av Iran mot bland annat just Googles SSL-certifikat via en hackad tredjepartsaktör.

• Google var den första stora aktören som började publicera transparency reports där de delade med sig av all information som de lagligen har rätt att dela med sig av gällande vilka förfrågningar de fått från myndigheter.

• För några dagar sedan utannonserade de Chrometillägget End-to-end, som är en faktisk möjlig väg att få "gemene man" att börja använda krypterad överföring via den beprövade OpenPGP-standarden på ett smidigt sätt direkt i webbläsaren. Tekniken har funnits sedan 1990-talet, men utan kritisk massa har det varit svårt att få bollen i rullning. Detta kanske kommer vara en del i detta — åtminstone är det en ansats.

Projektet denna tråd handlar om är ingen helomvändning, utan snarare i linje med hur de alltid agerat i denna fråga. De får god PR av att medverka i liknande sammanhang, men i ärlighetens namn så sker det mesta av arbetet ganska dolt för allmänheten — vore det ett primärmål så hade de kunnat banka på stora trumman ordentligt mycket oftare.

Google tjänar pengar på att människor vill använda nätet till så mycket som möjligt, så det ligger i deras intresse att människor ska känna att de vågar använda deras tjänster — ju mer information vi är bekväma med att dela med oss av, desto bättre, i deras ögon. Det är ingen motsägelse: begrepp som "säkerhet" och "integritet" har visst överlapp, men är inte samma sak generellt.

Ja, Googles uppdrag är inte primärt att kämpa för individers rättigheter i alla väder, och om man ställer dem i ett så gynnsamt ljus så är man väl okritisk; det råkar bara sammanfalla med deras vinstintresse i vissa fall, främst gällande säkerhet på internet.

Vad gäller donttrack.us så är framställan lite märklig, och på vissa sätt rent felaktig. Den verkar försöka implicera (givetvis utan att riktigt säga det rakt ut) att Google skickar browser- och datorinformation till respektive sida, men det är ju information som ens browser vanligen skickar till alla sidor man använder genom sin user-agent string, och klickar man på Google så skickar man inte detta direkt (Google Webmaster Tools kan dock ge anonymiserade uppgifter; mer om det nedan). Vad de egentligen säger är att Google skickar söktermen till respektive sida, men det är inte heller riktigt sant.

Om jag söker på "sweclockers.com" och klickar på länken så går den inte direkt till sidan: hade den gjort det så hade sidan i fråga kunnat kolla webbläsarens REFERER och se söktermen, så som donttrack.us verkar vilja påskina. I stället så, vilket man ser om man kopierar länken som Google presenterar, så ser den ut enligt exempelvis:

https://www.google.se/url?q=http://www.sweclockers.com/&sa=U&...

Detta är den REFERER som skickas (med vissa komplikationer, men jag tror den informationen idag är utdaterad), och den är nonsens för sidan i fråga. Google själva vet så klart vad användaren klickade på, och är man inloggad så kopplas det direkt till ens användarkonto. Detta använder de sedan för att rikta annonser, men det är ju detta som är deras "affärsidé", så det vore ju genomdumt att ge denna information till tredje part, vilket ej heller sker (står i användaravtal, och det finns vad jag vet inga kända fall av att Google sålt denna data direkt (och det lär bli ramaskri om det händer)), vilket donttrack.us också försöker "starkt implicera" att Google gör (men återigen utan att säga det explicit, om man tittar på deras formuleringar).

Sidan i fråga som en användare klickat på är ju dock säkert intresserad av vilka söktermer som ledde till ett klick, och denna information kan man få genom Google Webmaster Tools, men då anonymiserad. Sidan kan se aggregerad statistik så som geografisk position, söktermer, etc., för de som klickat, men inte längre använda fingeravtryckstekniker för att säga exakt vem det var som kom från en viss Googlesökning.

Däremot så kan ju tredjepartsaktörer göra detta ändå när man väl navigerat till och laddar sidan i fråga, men det är frånkopplat huruvida man gått via Google eller skrivit in "http://www.sweclockers.com/" direkt i adressfältet. Detta gäller så klart även om man använder Duck Duck Go (DDG), även om nu donttrack.us "undviker" att nämna detta. Här är saker som NoScript, Ghostery, Privacy Badger, etc., till hjälp för att undvika spårning. Att använda DDG, eller att inte använda en sökmotor överhuvudtaget, hjälper inte alls här.

Fördelen med DDG är att söktermerna i sig (enligt deras egna uppgifter, åtminstone; däremot så samlar de ju även sökresultat från tredje part, och jag vet inte hur mekanismen bakom det ser ut) inte lagras tillsammans med något användarkonto; information som exempelvis polisväsende och andra skulle kunna begära ut genom domstolsbeslut, men gällande "tracking" så är den stora attackytan det som händer på själva hemsidan man besöker snarare än på söksidan man använt. Var exempelvis inloggad på Facebook i en webbläsarsession och surfa runt lite på andra sidor, så ser man snabbt hur Facebook "magiskt" börjar rikta annonserna till de ämnen som kopplar till de sidor man besökt, även om man inte använt en enda sökmotor eller skrivit något om ämnet på Facebook.

Merparten av infon på donttrack.us handlar om saker som händer även om man använder DDG (att man "trackas" när man surfar och profiler byggs upp som sedan säljs till tredje part). En del handlar om att Google skickar söktermer till webbsidor, vilket inte är riktigt sant; åtminstone inte som något annat än generell statistik, ej kopplat till individer. Däremot så är det sant att Google lagrar sökningar: det är det som är en del av "priset" användare betalar för att använda Google. "Inga gratisluncher", osv.

Som sagt: Google är inte en generell "vit riddare" för användares rättigheter, men samtidigt så måste man kunna ge dem uppskattning för de positiva saker de gjort och gör (så som denna kampanj), och skilja ut de negativa saker som kvarstår. Om man inte gör detta så får företagen ingen uppmuntran att faktiskt "sköta sig".