En ny hemmelig industri

Like etter at den libyske hovedstaden Tripoli falt, oppsøkte Margaret Coker fra Wall Street Journal et senter for avlytting av befolkningen. Her kunne hun konstatere at absolutt alt hadde blitt overvåket: Internett, mobilnettverk, og satellittoppkoblinger. I mappene fant hun utskrifter av e-poster og utdrag fra nettsamtaler mellom Gaddafi-motstandere. På veggene hang det plakater fra firmaet som hadde levert avlyttingsutstyret: franske Amesys.¹ Like etter ble det avslørt at det franske etterretningsorganet DRM hadde blitt bedt om å lære opp de libyske overvåkerne.²

I Syria sørger amerikansk utstyr for at Bashar al-Assad og hans regime kan sensurere internett og fange opp innbyggernes brukernavn og passord og dermed å få adgang til e-post-, Facebook- eller Twitter-kontorer. Dette er et effektivt hjelpemiddel for å spore kontakten mellom regimemotstandere og støttespillere i inn- og utland.

Teknologien som brukes, kalles «Deep Packet Inspection» (DPI). Når du sender en e-post, går den via flere titalls datamaskiner før den når fram til mottakeren. Maskinene leser bare mottakeradressen, ikke selve innholdet, før meldingen sendes videre til den neste maskinen. Jonathan Zittrain, spesialist på internett-juss, forklarer det slik: «Det er omtrent som med høflige gjester på en fest. Hvis du står langt unna baren i et trangt lokale, spør du en ved siden av deg om han ikke kan få tak i en øl. Han igjen spør sin sidemann, som står litt nærmere baren, og så videre. Omsider kommer bestillingen helt fram til baren, og ølglasset følger samme vei tilbake. Siden dette er høflige mennesker, drikker ingen av ølen din på veien.»³

Med DPI får vi en mindre høflig versjon av internett. Hva hadde du for eksempel sagt om sidemannen analyserte bestillingen din og begynte å moralisere? Eller om han bestemte seg for å endre innholdet i glasset, fylle det med vann eller sterkere saker? Det er nettopp det man kan med DPI-teknologien: lese innholdet, endre det og sende det videre til andre.

«SEE CLEARLY. ACT SWIFTLY».

Amesys er ikke alene om å tilby slike tjenester. Et annet fransk firma, Qosmos, ble nylig avslørt av Bloomberg. Det amerikanske pressebyrået viste at firmaet hadde levert DPI-utstyr til et konsortium som skal gi Syria den samme overvåkningen som i Gaddafis Libya.⁴ Og i Kina er DPI-teknologien en sentral del av den store brannmuren som lar maktapparatet sensurere samtaler og spionere på befolkningen.

Flere lekkede dokumenter fra disse selskapene, som nettstedet WikiLeaks nylig publiserte, viser at overvåkning av ulike kommunikasjonsnettverk er «en ny, hemmelig industri som omfatter 25 land. […] I tradisjonelle spionfortellinger avlytter etterretningsorganer som MI5 telefonen til en eller to personer. De siste ti årene har systemer for vilkårlig masseovervåkning blitt normen».⁵ Like før dette publiserte Wall Street Journal over 200 dokumenter som 36 ulike selskaper hadde brukt til å markedsføre seg overfor amerikanske antiterrormyndigheter, med tilbud om ulike løsninger for overvåkning eller spionering.⁶

I USA fikk DPI mye omtale i mai 2006. En tidligere tekniker hos nettleverandøren AT&T, Mark Klein, valgte å ta bladet fra munnen. Han avslørte at det var blitt installert produkter fra selskapet Narus hos den tidligere arbeidsgiveren hans, altså sentralt i den amerikanske delen av internett. Oppdragsgiveren var det beryktede National Security Agency (NSA), som på 1980- og 1990-tallet utviklet Echelon, et omfattende internasjonalt nettverk for kontroll av telekommunikasjon. Slagordet til Narus lyder: See Clearly. Act Swiftly – se klart, handle raskt. Dette DPI-selskapet med 500 ansatte som ble opprettet i 1997, omsatte i 2006 for 30 millioner dollar. I 2010 ble det kjøpt opp av Boeing. Selskapets produkter skal ha vært brukt av Hosni Mubaraks regime i Egypt.⁷

I informasjonsstrømmen som transporteres via internett, ser teleoperatørene alt fra nettsider til e-poster, nettdebatter, tale, video, asynkron dialog og rene datafiler passere. Det meste av denne utvekslingen skjer helt åpent, uten noen form for kryptering. Det er derfor enkelt å overvåke den, for hobbypirater så vel som nasjonale sikkerhetstjenester.

VÅPEN MOT FILDELING

Enkelte private aktører har også fattet interesse for denne teknologien. Noen av de store franske teleoperatørene, som Free, SFR og Orange, har begynt å irritere seg over at deres nett i praksis videresender store datamengder fra aktører som ikke betaler for denne transporten. Flere nettleverandører misliker å måtte betale for YouTube-videoer som de er forpliktet til å sende til sine abonnenter. Dermed har de kommet opp med ideen om å kreve ekstragebyr fra innholdsleverandøren eller sluttbrukeren, eller senke farten på enkelte datastrømmer og øke den på andre. Men dette forutsetter at de vet nøyaktig hva som passerer i de optiske kablene.

På samme måte har mobilselskaper, for å redusere sine kostnader til infrastruktur, besluttet å begrense brukernes nettilgang. Smarttelefoner blokkeres fra peer-to-peer-fildeling (P2P) eller tale- eller videokommunikasjon som Skype.

Også her gjør DPI det mulig å overvåke og kontrollere datatrafikken, samt gi større båndbredde til enkelte tjenester (for eksempel eget innhold). Dette stikk i strid med prinsippet om nettnøytralitet, som fastslår at nettleverandørenes oppgave er å transportere alle ønskede data uten hensyn til innhold.

Anvendt på nettsurfing gjør DPI det mulig å lagre spor av alt du foretar deg. Markedsførere gnir seg i hendene og drømmer om å kunne utnytte disse opplysningene. For eksempel har teleoperatøren Orange nylig lansert et abonnement som baserer seg på DPI-teknologi. Med abonnentens samtykke blir alle nettstedene han eller hun er innom analysert for å tilby skreddersydde reklametilbud. Dette kan gjøre nettleverandørene like lønnsomme som Facebook og Google. Riktignok under forutsetning av at et stort nok antall abonnenter går med på å bli overvåket. Alt som trengs for å selge tjenesten er å hevde at dataene blir anonymisert.

Den nysgjerrige leser kan gå inn på siden «Data Privacy» på nettstedet til GFK, et internasjonalt selskap som driver markedsundersøkelser. Her viser de fram nettbrukerens «cookies», datasporene vedkommende etterlatter seg. Men det står ingenting om at firmaet bruker DPI-teknologi for å spore nettaktiviteten til den enkelte bruker, som er «anonymisert» etter retningslinjer bare firmaet selv kjenner. GFK opererer i over 150 land, ikke alle av dem er demokratier.

Også organisasjoner for opphavsrettigheter og rettighetshavere har begynt å interessere seg for DPI, som et middel i kampen mot illegal fildeling, på P2P-nettverk som Bittorrent eller nettsteder for direkte nedlasting som Megaupload. For å vite nøyaktig hvilken nettbruker som forsøker å laste ned en bestemt film eller musikkfil, og blokkere denne brukerens adgang til å gjøre det, kreves det en infrastruktur for «dyp» overvåkning av alle knutepunktene til nettleverandørene.

LETT Å OMGÅ REGELVERKET

Et annet naturlig bruksområde for DPI er lovlig overvåkning. I forbindelse med en etterforskning kan politiet ha behov for å overvåke enkeltpersoner. Men dette er et nisjemarked, og angår bare en forsvinnende liten del av befolkningen. Med mindre antiterrorbudsjettene plutselig skulle stige kraftig, er det klokt av bransjen å se etter andre markeder.

Her kommer politistatene inn i bildet, stater som ønsker å overvåke hele befolkningen. Takket være disse landene kan programvare bli testet i stor skala. Ben Ali-regimet i Tunisia fikk derfor rabatt på systemer som ennå var under utprøving. For Amesys var Libya utvilsomt et egnet sted for utprøving av hva firmaets programvare Eagle er, eller ikke er, i stand til.⁸ Teleselskapet Alcatel opererer på samme måte i Burma.⁹ Data innsamlet med DPI-teknologi er gradvis med på å gjøre arrestasjoner enklere. Så ordner tortur resten og bødlene bruker velprøvde teknikker som de vet gir resultater.

Trolig forundret over det store antall europeiske firmaer som opererer på dette markedet, har EU-parlamentet vedtatt en resolusjon som forbyr salg av systemer for overvåkning av telefonsamtaler og tekstmeldinger, eller målrettet nettovervåkning, til kunder i utlandet, hvis det er fare for at de vil brukes i strid med demokratiske prinsipper, menneskerettighetene eller ytringsfriheten.¹⁰ 1. desember 2011 gikk EU-rådet inn for strengere tiltak mot regimet i Syria, og la ned forbud mot «eksport av utstyr og programvare beregnet på overvåkning av internett og telefonsamtaler».

Men lovverket for eksport av overvåkningsutstyr er uklart. Det er derfor en enkel sak for leverandørene å omgå regelverket, ikke minst fordi lovene er forskjellige fra land til land. Eksportløyvene blir ikke offentliggjort. Og denne typen programvare blir ikke definert som våpen.

Oversatt av M.B.

Fotnoter:
1 Paul Sonne og Margaret Coker, «Firms Aided Libyan Spies», The Wall Street Journal, New York, 30. august 2011

2 «Des experts des services secrets français ont aidé Kadhafi à espionner les Libyens» (Franske etterretningseksperter hjalp Gaddafi å spionere på libyerne), 7. september 2011, og «Secret militaire sur le soutien à Kadhafi» (Hemmeligstemplet hjelp til Gaddafi), Le Canard Enchaîné, Paris, 12. oktober 2011.

3 Jonathan Zittrain, «The Web as Random Acts of Kindness», TED-konferansen, juli 2009.

4 «Syria Crackdown Gets Italy Firm’s Aid With U.S.-Europe Spy Gear», Bloomberg, 3. november 2011.

5 WikiLeaks, «The Spy Files», 1. desember 2011.

6 Jennifer Valentino-Devries, Julia Angwin og Steve Stecklow, «Document Trove Exposes Surveillance Methods», The Wall Street Journal, 19. november 2011.

7 Timothy Karr, «One U.S. Corporation’s Role in Egypt’s Brutal Crackdown», The Huffington post, 28. januar 2011.

8 Se egen seksjon om Amesys på nettstedet Reflets.info [se også www.rezocitoyen.fr].

9 Diane Lisarelli og Géraldine de Margerie, «Comment Alcatel se connecte à la junta birmane» (Alcatels forbindelser til den burmesiske juntaen), Les Inrockuptibles, Paris, 26. mars 2010.

10 «Le Parlement européen interdit la vente de technologies de surveillance aux dictatures» (EU-parlamentet forbyr salg av overvåkningsteknologi til diktaturer), www.fhimt.com, 11. oktober 2011.