Hans Wallberg
Version 1.3 1999-03-09

Internet, med mer än 40 miljoner anslutna datorer och med en tillväxt som motsvarar en fördubbling av trafik och antal anslutna datorer var nionde månad, är redan idag det dominerande nätet för datakommunikation. Internet ersätter successivt speciella företagsnät som bankernas nät, flygbolagens nät, försäkringsbolagens nät osv. Inom kort kommer Internet att användas, inte enbart för allmän datakommunikation, utan även för all så kallad företagsintern datakommunikation. Dessutom kommer Internet inom en nära framtid att bli dominerande vad gäller all annan elektronisk kommunikation som telefoni, förmedling av videokonferenser samt överföring av radio- och tv-program.

Internets funktionalitet och driftsäkerhet är livsviktiga förutsättningar för informationssamhället. Nätets funktion och säkerhet måste vara så god att man kan utföra hjärnkirurgi på distans via nätet utan att riskera patientens hälsa. Den enda riktigt säkra metoden att åstadkomma säkerhet på Internet, och för övrigt inom alla elektroniska kommunikationsnät, är att använda krypteringsteknik i stor skala. Med hjälp av krypteringsteknik kan risken för intrång samt effekterna av intrång minskas, användare och tjänster identifieras på ett säkert sätt samt information skyddas både mot förvanskning och mot insyn. Riskerna som följer av att inte använda stark kryptering är mycket allvarliga för samhället och dess informationsförsörjning. Utan krypteringsteknik är det omöjligt att åstadkomma ett nät som kan hantera information på ett säkert sätt. Detta gäller både det som transporteras i nätet och nätets egna styrfunktioner.

Internets infrastruktur, såväl den fysiska infrastrukturen med kommunikationsförbindelser, transmissionsutrustning och routrar, som den logiska infrastrukturen med katalogsystem (DNS), knutpunkter, tidstjänster, vägvalsregister o.s.v., måste skyddas mot avlyssning, intrång, förvanskning av data och andra ingrepp. Den enda säkra metoden är kryptering och elektroniska signaturer. Krypteringsteknik med stödsystem för bl.a. hantering av nycklar är en del av Internets infrastruktur. Kryptering är en integrerad del i säkerhetsarkitekturen i Internet.

I många fall behöver inte hela informationen krypteras utan det räcker med att använda krypteringsteknik för att skapa elektroniska signaturer och sigill samt för funktioner för säker identifiering av användare. Genom elektroniska signaturer och sigill kan avsändaren av elektronisk information säkert identifieras och det går att garantera att förvanskning av information upptäcks.

I många tillämpningar krävs dock att informationen skyddas mot insyn och då måste hela informationen krypteras. I de flesta fall kommer den elektroniska signaturen att användas för att identifiera användaren och sedan krypteras all information som överförs via nätet. Många företag är geografiskt spridda, såväl nationellt som internationellt, och behöver överföra information om konstruktioner, marknadsplaner, offertunderlag, kostnadsuppgifter, strategiska planer och beställningar till de spridda enheterna. För att företagen ska kunna använda Internet för dessa ändamål måste informationen kunna skyddas mot insyn och manipulation. Inom sjukvården är det ett självklart krav att patientinformation skyddas mot insyn. Genom ökad användning av telemedicin överförs journaler och andra patientdata elektroniskt och patienternas integritet kan säkras bara om informationen krypteras. Många myndigheter behandlar och utbyter personinformation och annan information som är så känslig att den måste krypteras för att inte kunna läsas av obehöriga. Allt mer av nöjesindustrins produkter är digitala och distribueras elektroniskt via Internet. I dessa fall behöver kryptering användas för att skydda upphovsmannens rättigheter och för att skydda mot olaglig kopiering. De kunskapsbaserade företagen försöker skydda sina investeringar i immateriella tillgångar. Kryptering är en given komponent för att kunna genomföra detta.

Även enskilda personer har rätt till avskildhet och har behov av att skydda sitt privatliv. Dessa rättigheter och behov finns också vid överföring av e-post eller annan användning av Internet och det enda säkra sättet är att informationen krypteras. Kryptering behövs för att garantera yttrandefriheten och för att garantera individen rätt att sända meddelanden utan att innehållet blir uppenbarat (jämför med brevhemligheten). Elektronisk handel, i alla dess former, kräver tillgång till kryptering för att säkerheten skall kunna garanteras.

För att såväl företag, myndigheter och andra organisationer som enskilda personer skall ha förtroende för att utnyttja alla de möjligheter Internet erbjuder och kommer att erbjuda krävs det att information kan krypteras. Denna kryptering måste vara stark, d.v.s. så avancerad att det bara med ofattbart stora insatser av tid och pengar går att knäcka koden och dechiffrera innehållet. De algoritmer som används vid krypteringen måste vara erkända och accepterade av kryptografisk expertis. Dessutom måste de krypteringsnycklar som används ha en sådan längd att informationen är skyddad under lång tid (flera år). Inom den s.k. Wassenaar-överenskommelsen anges dock att krypteringsprodukter med en nyckellängd överstigande 56 bitar för symmetriska algoritmer eller 512 bitar för asymmetriska algoritmer skall underkastas exportkontroll. De nyckellängder som får användas i krypteringsprodukter utan exportkontroll ger, med dagens datorer, endast ett temporärt skydd (upp till några timmar) för den information som krypterats. Detta kallas för svag kryptering. För att det skall vara möjligt att ha fullt förtroende för kryptering av elektronisk kommunikation måste nyckellängderna flerdubblas. Då erhålls det som brukar kallas stark kryptering. Datorers beräkningskapacitet fördubblas ungefär var 18:e månad och det gör att tiden det tar att forcera ett krypto med given nyckellängd halveras under samma tid. För varje bit som en krypteringsnyckel förlängs fördubblas antalet beräkningar som krävs för att motsvarande krypto skall kunna forceras. Detta gör att tillräckligt långa nycklar, trots datorernas ständigt ökande beräkningskapacitet, kan ge ett gott skydd för krypterad information under överskådlig tid.

Wassenaar-överenskommelsen som träffats av en rad länder, bl.a. Sverige, innebär att exporten av krypteringsprodukter med säker kryptering kontrolleras och begränsas. Detta innebär direkta ekonomiska konsekvenser för datasäkerhets- och programvaruindustrin eftersom masstillverkad programvara med säker kryptering inte kan exporteras fritt och enkelt. Följaktligen innebär exportbegränsningarna, eftersom de flesta industrialiserade länderna har undertecknat Wassenaar-överenskommelsen, att också importen av säkra krypteringsprodukter indirekt begränsas på motsvarande sätt. Denna begränsning av möjligheterna att importera säkra krypteringsprogram är allvarlig. Det innebär t.ex. att vi i Sverige själva måste utveckla de krypteringsprogram vi behöver. Vi har företag som har och som kan utveckla krypteringsprodukter med hög kvalitet och god säkerhet. Eftersom Internet är världsomspännande måste även krypteringsprogram följa internationella standarder. Då programmen inte fritt kan exporteras kommer det att vara svårt att verifiera att nationellt utvecklade program med stark kryptering följer fastslagna standarder och kan fungera tillsammans med motsvarande program utvecklade i andra länder.

USA har haft förbud mot fri export av produkter med starka krypton i många år. Program exporterade från USA, som t.ex. Microsofts alla produkter, inkluderar överhuvudtaget inte kryptering, eller har så försvagade krypteringsfunktioner att i stort sett vem som helst med en modern standarddator kan tolka det som skulle skyddas. I Sverige kan vi i stället köpa nationellt utvecklade krypteringsprogram som skyddar vår information på ett säkert sätt och under lång tid. Problemet med dessa program är att de inte kan integreras i operativsystem och andra program utvecklade i USA. Detta gäller bl.a. Windows och andra vanliga produkter från Microsoft.

De begränsningar som Wassenaar-överenskommelsen inför för export av krypteringsprodukter innebär alltså mycket starka inskränkningar såväl för företagens, myndigheternas och andra organisationers som för den enskildes möjligheter att lagligt få tillgång till lättanvända program med stark kryptering.

Det hävdas i många sammanhang att man måste begränsa möjligheterna att använda stark kryptering eftersom det befaras att spioner, terrorister och andra kriminella kan dra nytta av tekniken. Detta synsätt är mycket kortsiktigt. Sannolikt kommer de som har för avsikt att begå brott att ändå ha tillgång till stark kryptering. Det är tveksamt om dessa spioner, terrorister och andra kriminella bryr sig om regler och lagar som på ett eller annat sätt begränsar tillgången till säker kryptering. Tvärtom, sådana lagar och regler drabbar de seriösa och laglydiga.

Kryptering, som en gång i tiden var en udda konstart, allt för svår och allt för dyr att för gemene man, är nu omöjlig att skilja från allmän datorteknik. Krypteringsprodukter är inte svåra att tillverka och de kräver inte heller några särskilda beräkningsresurser. Varje försök att styra användningen av krypteringsprodukter måste ta hänsyn till detta faktum. Det är oändligt mycket svårare att begränsa användningen av kryptering än det är att begränsa användningen av vapen, eftersom hemgjorda vapen oftast ligger bortom möjligheternas gräns. Det är dessutom mycket lätt att smuggla krypteringsprogram över nationsgränserna. Det är svårt att tro att gränskontrollen kan vara så effektiv att den aldrig släpper igenom en CD-skiva med krypteringsprogram. I praktiken kan vem som helst, när som helst, ladda ner program med stark kryptering från Internet utan att några myndigheter kan kontrollera det. Vem som helst kan alltså utan större svårighet skaffa sig program med stark kryptering oberoende av om syftet är gott eller ont.

Att införa lagar eller regler som begränsar användningen av kryptering, av rädsla för att dessa kan nyttjas i kriminella syften, är ett slag i luften. På samma sätt är det orimligt att tro att begränsningar i den lagliga tillgången till krypteringsprodukter kan minska hotet mot den nationella säkerheten. Här krävs en helt ny syn på frågan om användning av kryptering. Rättsvårdande myndigheter måste förstå den digitala världen. Det är för sent att försöka begränsa tillgången till program som redan idag kan hämtas från Internet.

Trots att det är möjligt att använda kryptering med onda avsikter (solen lyser på både onda och goda) bör det inte begränsa den nyttiga användningen av kryptering. Vem som helst kan köpa sig ett par handskar trots att tjuven kan använda dessa för att plundra ett hus utan att lämna fingeravtryck. Kryptering skyddar information mot hackers, industrispioner och annan otillbörlig insyn medan handskarna skyddar mot skrapsår, värme och kyla. Kryptering gör det hopplöst för polisen att avlyssna datatrafik och handskarna gör det omöjligt för polisen att hitta fingeravtryck. Både krypteringsprogram och handskar är billiga och lätta att få tag på. Oberoende av vilka lagar och regler vi har kommer den som så önskar att kunna skaffa sig effektiva krypteringsprogram utan att någon myndighet eller någon annan kan förhindra det eller ens känna till det.

Utan stark kryptering kommer elektronisk handel i alla dess former att drabbas av mängder av bedrägerier, förfalskningar och förvanskningar. Stark kryptering gör det möjligt att bevisa vem som utfört elektroniska affärstransaktioner samt att bevisa att transaktionerna inte förändrats på vägen från avsändare till mottagare. Om den enskilde inte kan använda stark kryptering för att skydda sina transaktioner och andra aktiviteter på nätet kommer han eller hon att vara ett lätt byte för den inhemska brottsligheten. Stark kryptering är ett effektivt sätt att upptäcka och förhindra viss brottslighet.

Nyckeldeponering är en metod som diskuteras för att minska risken för användning av kryptering i olagliga syften. Det innebär att var och en som använder kryptering skall registrera information hos någon utpekad myndighet som gör att den myndigheten kan tolka krypterade meddelanden. Detta löser dock inga problem. Den som är ute i olagliga ärenden kommer inte att bry sig om regler om nyckeldeponering eller kommer att deponera falska nycklar och ingen kan kontrollera det. Hela hanteringen är mycket dyr och komplicerad och säkerhetsrisken är enorm. Den som kommer åt nycklar som deponerats hos myndigheten får tillgång till stora mängder information som krypterats. De seriösa och laglydiga kommer att deponera sina nycklar om deponeringstvång införs, samtidigt som de har all anledning att känna oro och minskat förtroende för säkerheten vid elektronisk kommunikation. Nyckeldeponering möjliggör allvarliga former av maktmissbruk och intrång i den personliga integriteten. I stället för bestämmelser om nyckeldeponering bör det finnas lagar eller regler som säger att den som krypterat information måste lämna ut krypteringsnyckeln eller informationen i klartext efter beslut på motsvarande sätt som gäller för husrannsakan.

Begränsningar, direkta eller indirekta, i möjligheterna att använda kryptering drabbar endast de laglydiga och seriösa. De som hotar landets säkerhet, terrorister och andra kriminella kommer inte att respektera några förbud eller begränsningar.

För att Sverige skall kunna utveckla användningen av informationstekniken på ett säkert och effektivt sätt måste kryptering kunna användas. Regeringen bör därför:

• Rekommendera användningen av stark kryptering,
• Klart uttala att det i Sverige är fritt att använda stark kryptering och att det så kommer att förbli,
• På alla sätt verka för att Sverige fritt kan importera starka krypteringsprodukter,
• Tolka Wassenaar-överenskommelsen generöst så att svenska starka krypteringsprodukter kan exporteras så enkelt och fritt som möjligt så länge överenskommelsen om exportkontroll av krypteringsprodukter finns kvar , samt
• Omgående verka för att starka krypteringsprodukter som är tillgängliga på den öppna, civila marknaden stryks från Wassenaararrangemangets lista över produkter som skall exportkontrolleras.

Referenser:

Whitfield, Diffie & Susan Landau, 1998, Privacy on the Line - The Politics of Wiretapping and Encryption, The MIT Press, ISBN 0-262-04167-7

Ronald L. Rivest, 1998, The Case against Regulating Encryption Technology, Scientific American, October 1998, ISSN 0036-8733

Markus Sadeniemi , 1999, You don’t need privacy - only criminals have something to hide!, CSC News, February 1998, ISSN 0787-7536

Statskontoret, 1997, Svenska Delen av Internet (dnr 360/96-5).