Privatliv

Edit: På Git fandt jeg ud af, det nok er en fejl i seneste opdatering. Ved næste kommer muligheden for, at fjerne og rette funktioner i "symbol/talsiden". Indtil da, kan det fjernes ved, at rette i koden.

Jeg bruger HeliBoard og har gjort det længe. Har været og er glad for tastaturet. Men jeg er efterhånden noget ærgelig over, at deres autocorrect ikke virker ordentligt på dansk. Dertil har de nu tilføjet to irriterende knapper på "symbol/talsiden", dér hvor man trykker på skift og lander på tal og symboler. De har gjort mellemrumstasten væsentligt mindre, så jeg konstant rammer den nye tast.

Jeg har forsøgt at lege med indstillinger, men umuligt at fjerne de to knapper.

Hvad bruger I andre?

Jeg blev nysgerrig - særligt efter tråden Frankrig forbyder adgang til sociale medier for børn under 15 år - og oprettede AltID. Jeg er med på at jeg lægger mine æg i digitaliseringsstyrelsens kurv, dem har jeg så valgt at stole på, men derfra virker det faktisk ret smart og som en god vej frem for især aldersverifikation på nettet. Jeg har så ikke haft brug for det endnu, det var udelukkende af nysgerrighed :-)

Hvad tænker andre om AltID? Har I haft brug for det? Nogle teknik-kloge som kan kommentere på den tekniske del af løsningen?

NB: Jeg har modstået fristelsen for ikke at stave det "altid" uden versaler, hvilket, jeg klart synes, er den sjoveste måde at skrive det på og det må de da også have muntret sig med, da de valgte navnet :-=

Jeg begynder at blive mere utryg i verdenen, og den vej den går i forhold til folks privatliv. Der er også en indre frygt for, hvilken magt vi giver til staten og virksomheder.

Har tænkt lidt on-off omkring aktivisme, om der er noget jeg kan gøre? Jeg stemmer på Danske og EU forslag, men det er ikke fordi det hjælper med at brede budskabet.

Nogen der sidder med samme følelse, og måske har nogle idéer?

Jeg lavede et opslag i sidste uge hvor jeg kritiserede den nye aldersverifikation i e-Boks fordi den - stik imod hvad de lover - tillader bevismodtagere at bruge aldersbeviserne til at tracke brugernes færden.

Jeg slettede imidlertid indlægget da jeg på Reddit modtog et svar fra en person som jeg antager er involveret i udviklingen, og denne person sendte et link til en teknisk designbeskrivelse som de påstod modbeviste det jeg sagde. Jeg blev lidt nervøs for at de havde ret, og slettede derfor mit indlæg indtil jeg havde verificeret alle påstande, idet jeg ikke er interesseret i at sprede misinformation.

Det viser sig at jeg ikke tog fejl i min hovedkritik, nemlig at implementation af aldersverifikation i e-Boks genbruger det samme aldersbevis i op til et halvt år og dermed effektivt set er en tracking cookie. Der hvor jeg havde taget fejl var om hvilken standard der var blevet anvendt i implementationen (overordnet set en irrelevant detalje i den store sammenhæng, men det er stadig vigtigt at få detaljerne korrekte), og derudover at det ikke var rigtigt at kopiering af aldersbeviserne er trivielt. Det beskytter e-Boks rent faktisk imod, det var bare ikke tydeligt hvornår ens præsentation af aldersbeviset blev gendannet, og jeg overså det derfor.

Jeg har lavet en app der kan demonstrere problemet og har også skrevet en længere gennemgang af både AltID og e-Boks aldersverifikation her: https://github.com/agecredentialscanner/scanner

Som nogle af jer måske har lagt mærke til, så har e-boks uden større fanfare introduceret et digitalt aldersbevis i deres app, og de skriver at den tillader dig anonymt at dele din alder med andre. Jeg har kigget lidt næmere på det data der er indeholdt i aldersbeviset da jeg var nysgerrig på hvordan e-boks mon beskytter din identitet, og det helt korte svar er selvfølgelig: det gør de overhovedet ikke.

Lidt længere sagt: Selve aldersbeviset indeholder kun din alder som læsbar data, men det samme aldersbevis bliver anvendt igen og igen alle steder hvor du skal godkende dig og bliver kun genopfrisket hver 6. måned. Beviset er lige så anonymt som et telefonnummer eller en email, og e-boks vil til enhver tid kunne sige hvem det er der er knyttet til et givent aldersbevis. Det kan så let som ingenting anvendes som et sporingsværktøj hvis nogen skulle finde på det. F.eks. kunne en sammenslutning af værtshuse sagtens blive enige om en sortliste af aldersbeviser der ikke må lukkes ind, og hvis aldersbeviserne gemmes (du har som borger ingen mulighed for at tjekke om de bliver det når nogen scanner det) så kan myndighederne også senere gå til e-boks og finde ud af hvem der har været hvor og hvornår.

Den gode nyhed er så, at det også er trivielt at kopiere et aldersbevis fordi udviklerne hos e-boks er nogle lallende amatører. Du kan ganske enkelt optage en video af app'en (aldersbeviset er for stort til at være i en enkelt QR-kode, så det vises i 6 koder der hurtigt skifter) og sende den til en anden person som så åbner den på deres telefon. Man kan også nemt stjæle andre folks beviser ved at klæde sig ud som dørmand og scanne løs i en kø. Voila. Standarden bag aldersbeviset, "Mobile Driver's License" (ISO/IEC 18013-5), kræver faktisk at man først skal scanne en "challenge" og derefter generere et unikt bevis der kun passer til denne challenge, netop for at undgå kopiering, men genierne hos e-boks der har presset den her dampende implementation ud mellem ballerne har specifikt omgået dette ved at indsætte hardcodede dummy-værdier i de relevante felter i datastrukturen. Det er altså ikke blot uvidenhed men overlagt forkert implementation af en standard.

Jeg kan også se at AltID-app'en er kommet ud i Play Store, og jeg ville gerne have lavet en tilsvarende analyse for den. Det kan jeg dog ikke da genierne hos Digitaliseringsstyrelseren - en styrelse der efter sigende arbejder for at gøre os mindre afhængige af amerikanske techvirksomheder - har valgt at app'en ikke må kunne køre GrapheneOS der lige nu er det bedste og mest sikre alternativ til Android hvis du gerne vil gøre dig uafhængig af Google og Apple.

Tilføj meget gerne en negativ kommentar og en stjerne til AltID i Play Store hvis du er enig med mig i at dette er uacceptabelt. Jeg har lige gjort det, men fik på bedste dystopiske vis min anmeldelse fjernet af en automatisk bot fordi "Reviews must not contain political or social commentary, nor should they include solicitations".

En lille demonstration af hvilke oplysninger din browser automatisk deler med et website, uden at du giver tilladelse eller udfylder nogen formularer. Den viser, hvordan og selv med et par privatlivs foranstaltninger, websider kan indsamle data om dig blot ved, at du besøger dem.

Jeg, ligesom mange andre, er begyndt at skifte væk fra amerikanske tech-giganter. Jeg har skiftet til Linux Mint (har dog stadig Windows 11 til at spille nogle computer spil). Jeg er gradvist i gang med at skifte min mail over til Proton. Jeg prøver at vælge de rigtige privat-fokuseret platforme og tech-løsninger. Jeg har ikke noget mod lidt mere besvær, for at holde mig mere privat. Men jeg gør det mest kun fordi folk siger det er klogt?

At skifte fra amerikanske tech-giganter kan jeg godt forklare overfor mig selv. Jeg ser ikke mine værdier afspejlet i USA længere og derfor er det et etisk valg for mig at skifte væk fra deres løsninger.

Men jeg har svært ved at forklare hvorfor privatliv er vigtigt at vælge. Så derfor spørger jeg - og forhåbentligt ligger det op til lidt diskussion - Hvorfor privatliv på internettet? (Den klassiske) Er det ikke ligemeget når jeg ikke gør noget forkert/ulovligt? Er det ikke ligemeget at firmaer ved præcist hvem jeg er så de kan sælge mig flere ting? Jeg har alligevel en adblocker på, så jeg får alligevel ikke reklamere. Og reklamere, når jeg ser dem, så har de da ingen indflydelse på mig? Håber nogen har en den helt rigtige forklaring, der får det til at klikke for mig.

Noget der har gået og naget mig et stykke tid er de forskellige tiltag som chat-kontrol og aldersverifikation og hvad de egentlig kommer til at betyde i prakisis for systemer der er protokolbaserede (fx activitypub, lemmy og mastodon).

Som sådan er der jo ikke rigtig nogen "udbyder" staten meningsfuldt kan fokusere en indsats på..

Selvfølgelig kan staten komme og sige noget a la "fra nu af må feddit.dk ikke føderere med instans x/y/z", men dels er der jo ikke noget der stopper nogen fra bare at benytte en anden instans eller i sidste ende bare drive en instans selv.

End-2-end-kryptering har en lignende problemstilling.. om en besked er krypteret har jo ikke noget at gøre med mediet der bærer den.

Som sådan kan man næsten sige at protokolbaserede systemer kan reduceres til en slags signalhåndbog, og hvis bare man kender dens indhold, så kan man kommunikere ubegrænset.

Det eneste virkningsfyldte indgreb jeg kan forestille mig er at forbyde bogen / softwaren.. og den vej ligger der i hvert fald ikke megen udfoldelsesmuligheder for fri software.

Men det værste er at det ikke er tydeligt for mig hvilken verden der er værst.. for på den ene side er friheden til selv at stykke software samman uden indblanding udefra helt utrolig værdifuld. Men på den anden side vil man heller ikke give en sikker platform for organiseret kriminalitet og fremmede magter. Der er også et element af anarkist-paradoks, da at magtvakum har det med at blive udfyldt af nogen - og fri og sikker kommunikation er et magtmiddel i sig selv.

Hvad tænker I derude?

Den irske databeskyttelsekommission har lavet en virkelig god og meget kort video, til deres kampagne om faren ved at dele indhold hvor ens børn indgår, på internettet.

Opslagets link peger på den artikel kommissionen offentliggjorde da de annoncerede kampagnen tidligere på ugen. Videoen kan også ses her:

https://youtu.be/4QL1FmBaof8

Det kunne være fint om Datatilsynet lavede noget lignende, synes jeg.