____________________________________________________________________________ DEN SVENSKA RAPPORTEN Nyheter inom Datasäkerhet och Informationsfrihet Nr. 11 November 30, 1992 Innehåll: Ledare.......................Del A Brott........................Del B Säkerhet.....................Del C Månadens Datainspektion......Del D Tele och Transmission........Del E Piratkopiering...............Del F Virus och Trojanska Hästar...Del G Blandat samt Icke-Relaterat..Del H Kontakta DSR!................Del I ____________________________________________________________________________ DEL A LEDARE DEL A ____________________________________________________________________________ Den Svenska Rapporten (DSR) är en oberoende elektronisk publikation som främst rapporterar nyheter täckande följande områden: Datasäkerhet, Tryckfrihet, Informationsfrihet, Personlig Integritet, Databrott och näraliggande brott. Även nyheter inom Tele och Transmission / relaterade brott rapporteras. Ett index över alla artiklar publicerade i DSR, samt nycklar till källa, nummer, sida, del, artikel-författare och datum finns även tillgängligt. Den Svenska Rapporten accepterar utomstående informations-lämnare. Vem som helst kan skriva för/lämna information till DSR. Skribenten/Lämnaren blir adderad som informations-lämnare, eller författare till artikeln (om det är ett eget verk). Full diskretion om författaren/lämnaren så önskar. Artiklar/Information kan lämnas på de system som finns listade i slutet av varje nummer av DSR samt nu även skickas till vår internet-adress. Ett slutligt påpekande är att DSR inte fungerar som rättande instans, och därför är alla artiklar oförändrade och i sitt ursprungsutförande. I detta nummer verkar stavfelen vara oändligt många dessutom. Men fel, stavningsfel eller rena faktafel står artikel-författaren själv för. TC, DSR Chefred. _____________________________________________________________________________ DSR 11 NYHETSINDEX DSR 11 _____________________________________________________________________________ B: BROTT ............................................................................. Dataspion i Militärdator.........................................CS104606CS.. ............................................................................. C: SÄKERHET ............................................................................. Klippan Höjer ADB-Säkerhet.......................................CS104404CS.. Utsålt När SIG Security Arrangerade Säkerhetsdagarna.............CS1044-223DF Jimmy Blev Första Mottagaren av Nya Säkerhetsstipendiet..........CS1044-223DF EG-Direktiv Stoppar Svenska Register.............................CS104508MT.. Säkrare System Från Dynasoft.....................................CS1045-205EM Failsafe Till Polisen............................................CS104604CS.. Säker PC För Känslig Miljö.......................................CS104637AS.. Protester Mot Registerförslag....................................CS104705MT.. ............................................................................. D: MÅNADENS DATAINSPEKTION ............................................................................. Datainspektionen Kräver Tuffare Tag..............................CS104401CS.. Dålig Respekt För Lagen om Insyn i Dataregister..................CS104404TZ.. Socialtjänsten Kan Datalagen Sämst...............................CS104404TZ.. Identitetsstöld Blir Fall För DI.................................CS104404CS.. Vem Bryr Sig Om Datalagen?.......................................CS104402LD.. "Hackers, Välkomna Till Datainspektionen!".......................CS104408MT.. Nybro Kommun i Registerhärva.....................................CS104506CS.. Kommunerna Kan Inte Datalagen....................................CS104606RB.. Information Istället För Inspektion..............................CS104606RB.. Bråk Om Säkerheten i AMS Nya PC-System...........................CS104701CS.. Känsliga Persondata Lagras Utan Kontroll.........................CS104704RB.. "DI Måste Öka Tillsyn"...........................................CS104708CS.. Bara Tre Godkända Personergister.................................CS104708TZ.. ............................................................................. E: TELE OCH TRANSMISSION ............................................................................. Tio Vill Tampas Med Televerket...................................CS104406CS.. ISDN-Adapter För 10 000 Kronor...................................CS104637EG.. ............................................................................. F: PIRATKOPIERING ............................................................................. Piratkopior För 50 Miljoner i Beslag.............................CS104410CS.. Slutet För Kinesiska Piratkopior.................................CS104610CS.. Upphovsrätt Inskärpes i Sydafrika................................CS104711CS.. ............................................................................. G: VIRUS OCH TROJANSKA HÄSTAR ............................................................................. Datavirus På Tidning.............................................ÖC271A15TT.. Snaran Dras Åt Kring Virus-Baserna i Sverige.....................CS104506AE.. Fredagen Den 13 - Alla Virus Dag.................................CS104509ES.. Snälla Virus Ska Göra Datasystem Snabbare........................CS104537CS.. Små, Otäcka Virus................................................CS1046MP20JB Lär Dig Mer Om Virus.............................................CS104713BN.. ............................................................................. H: BLANDAT SAMT ICKE-RELATERAT ............................................................................. ............................................................................. _____________________________________________________________ av TC, Chefredaktör för Den Svenska Rapporten förrutom de markerade med '*' vilka är inskickade av informations-lämnare och rapportörer för DSR. _____________________________________________________________ ____________________________________________________________________________ DEL B BROTT DEL B ____________________________________________________________________________ DATASPION I MILITÄRDATOR: DSR (11/92) En värnpliktig hindrade en hacker från att ta sig in i milostabens miltex- system i Skövde. Klockan tre på natten signalerade systemet en förfrågan om samtal. Värnpliktige Fredrik Kjellgren trodde först att någon skämtade innan han insåg att någon försökte hacka sig in i systemet. Kjellgren försökte hålla kvar hackern så länge som möjligt på linjen för att kunna spåra samtalet. Hackern anade dock oråd och la på. -Hackern var mycket skicklig och kunde alla samtalskoder, säger Kjellgren till tidningen Värnpliktsnytt. I Systemet förvaras hemligstämplat material som operationsorder och underrättelserapporter. ____________________________________________________________________________ ____________________________________________________________________________ DEL C SÄKERHET DEL C ____________________________________________________________________________ KLIPPAN HÖJER ADB-SÄKERHET: DSR (11/92) Klippans kommun drar igång en offensiv för att höja datasäkerheten i de kommunala förvaltningarna. Kommunen arbetar idag med 44 olika system och rutiner. Datasäkerhetsprogrammet syftar bland annat till att undvika drifts- störningar, att hindra diskettkopiering av känsliga personregisteruppgifter samt skydd mot datavirus. ____________________________________________________________________________ ____________________________________________________________________________ UTSÅLT NÄR SIG SECURITY ARRANGERADE SÄKERHETSDAGARNA: DSR (11/92) 103 deltagare. Sen var det fullt på Hasselbackens hotell i Stockholm där SIG Security arrangerade sina traditionsrika säkerhetsdagar den 6-7 oktober. Ett tiotal personer kunde tyvärr inte beredas plats. PC-området är ett viktigt och mycket intressant område för datasäkerhets- folk. Peter Soendergaard, Gartner Group, presenterade PCn i ett femårs- perspektiv. Få företag vet hur många PC som finns i organisationen, menade han och frågade: Kan man då införa någon form av säkerhet? STÖLD: 1 MILJ KR PER DYGN! Datorstölder är ett stort och växande problem som beskrevs av kriminal- inspektör Bosse Nordgren, Stockholmspolisen. Han berättade bland annat att PC och Macitnosh stjäls för ett värde av 1 miljon kr/dygn bara i Stockholm. Bosse utför ett viktigt pionjärarbete inom polisen och har med enkla metoder nått bra resultat för att spåra stulna datorer. Deltagarna fick en del praktiska tips för att underlätta sökandet efter ägaren till en "upphittad PC". Viktigt att göra en förteckning med typ av datorer, serienummer osv. RÄDDA INFORMATIONEN! Om hårddisken har kraschat pga av handhavande eller mjukvarufel finns det goda möjligheter att rädda informationen, berättade Erik Åberg QA-informatik. Till en kostnad av cirka 6000 kr och med hela 95 procent chans att lyckas, kan specialistföretagen åta sig renoveringsarbetet. Cirka 15 procent beror på handhavandefel, 45 procent programvara och 40 procent hårdvara. Det är ändå bäst att med frekventa intervall ta backup, dvs säkerhetskopior och att förvara dessa på annan plats. Inte vid datorn! Client/Server är ett område som många talar om. Ylva Svenberg, Infosec Prosab AB beskrev säkerhetsaspekterna. Vanlig säkerhet saknas ännu i PC-miljön och situationen blir ännu värre i en client/ server-miljö, menade hon. Till exempel så måste ett skal med ett enhetligt behörighetssystem skapas. SÄKRA PC! Den säkra PCn finns den?, frågade sig Jöran Wester, Rikspolisstyrelsen och Björn Lindberg, Öhrlings Reveko och presenterade hur en kravspecifikation på en säker allterminal kan se ut. Datainspektionen, Statskontoret, Riksförsäk- ringsverket, Rikspolisstyrelsen och Riksskatteverket samverkar i projektet där kravspecifikationen kommer att ligga som underlag för en upphandling. Lena Tuvéne, Bankgirocentralen, förklarade i ett föredrag vilka baskrav som finns för att få skydd med hjälp av digitala/elektroniska signaturer, sigill, MAC och kryptering. * Informationen har inte obehörligen ändrats (integrity). * Innehållet kan knytas till avsändaren via en signatur (authentification). * Innehållet går att verifiera i efterhand (non-repudiation). * Kryptering som insynsskudd (confidentiality). Aktiva kort (så kallade smart cards) kommer inom en kort tid att finnas ute på marknaden i större mängd, berättade Lena Anvret, Televerket. Kortet möjlig- gör en säker och bekvän identifiering av kunden. SLIT (Smart Cards Läsare i Telefonmiljö) kan t ex användas i olika talsvarssystem. SLIPC (Smart Card Läsare i PC miljö) skall kunna kopplas till en PC för identifiering av använd- aren, elektronisk signering osv. PLANERA FÖR AVBROTT Roland Frenzel, Digital Equipment refererade till några händelser inom Sverige och utlandet och förde fram budskapet att vi måste planera för avbrott! Se till att ta säkerhetskopior på informationen och förvara dessa brandsäkert. Det är också viktigt att dokumentera ned vilken utrustning man har. Gör en för- teckning med typ av dator, serienummer osv. Har ditt företag en bra försäkring? frågade Jan Magnusson, Willis Faber, och gav själv svaret genom att beskriva hur olika försäkringar är uppbyggda och vad vi bör tänka på vid en försäkrings- genomgång. How to make your organisation aware of Information Systems Security, var rubriken på Peter Thingsted, Cooper & Lybrand, föredrag. Han menade att vi försöker sälja någonting till människor som inte vill köpa! Han presenterade en metid att ta fram och införa ett säkerhetsprogram. Föredraget var ett sammandrag från en rapport från ett European Security forum projekt. PÅVERKAN Påverkan utan åverkan, den metala förändringsprocessen beskrev Kjell Enhager, chefs- och managementutvecklare. Han poängterade att avgörande för en framgångsrik förändring är om vi lyckas med att få med oss människorna, dvs i mycket hög grad en fråga om värderingar och attityder. Säkerhetschefer måste lära sig sälja in budskapet varför en förändring måste göras. ____________________________________________________________________________ ____________________________________________________________________________ JIMMY BLEV FÖRSTA MOTTAGAREN AV NYA SÄKERHETSSTIPENDIET: DSR (11/92) Jimmy Arvidsson, Bull/Diab blev första mottagaren av SIG Securitys ny- instiftade informationssäkerhetsstipendium. Utdelningen ägde rum i samband med banketten på kvällen den 6 oktober. Mottagare av stipendiet kan vara en speciellt lovande yngre förmåga eller någon med längre erfarenhet inom säkerhetsområdet, som genom att få studera ett område eller vidareutveckla en idé, på sikt kan förväntas ge ett värdefullt bidrag till informations- säkerheten i Sverige. Juryn utsåg bland flera kvalificerade kandidater Jimmy som årets stipendiat. Han studerar vid sidan av arbetet informationssäkerhet vid Stockholms Universitet sedan två år. Han avser att där på deltid gå en Mastersutbildning. Jimmy får årets stipendium för sin rapport kring säkerhet i Unix. Under våren kommer Jimmy att som motprestation göra en avrapportering vid en av SIG Secritys konferenser. NÄSTA ÅR? Intresserade att söka 1993 års stipendium kan beställa mer information från Dataföreningens kansli. Ansökan skall vara hos SIG Security senast den 30 juni 1993. ____________________________________________________________________________ ____________________________________________________________________________ EG-DIREKTIV STOPPAR SVENSKA REGISTER: DSR (11/92) Den offentliga sektorns användning av personregister kommer att begränsas kraftigt om EGs nya direktiv blir verklighet. Bland annat vill EG sätta stopp för samkörning av register. Förslaget till registerdirektiv inom EG är be- tydligt strängare än många väntat sig. Om reglerna träder i kraft påverkas Sverige vare sig vi bli medlemmar i EG eller inte, eftersom de innebär att personuppgifter inte får lämnas ut från EG till ett land som inte uppfyller integritetskraven. Direktiven skulle innebära kraftiga skärpningar på en rad områden: * Samkörning av register försvåras rejält. Förslaget till EG-direktiv innebär i princip att myndigheter måste skaffa tillstånd från varje enskild individ innan personuppgifterna lämnas ut för samkörning. * Försäljning av uppgifter blir dyrare. Av samma anledning som ovan måste företag och myndigheter som säljer adresser för exempelvis direktreklam först skaffa tillstånd av alla personer i registret. * Många privata register stoppas. Huvudregeln i förslaget till EG-direktiv är att individen ska ge sitt tillstånd innan han eller hon registreras. Man ska också ha möjlighet att ändra och stryka uppgifter. Det här påverkar bland annat företag som sysslar med kreditupplysning. * Känsliga register stoppas. Bland annat facklig tillhörighet och sjukdom får i princip inte registreras alls. Undandtag görs till exempel för myndig- heter som enligt lag måste ha sådana uppgifter och fackföreningars medlems- register. * Onödiga register stoppas. Registren måste vara nödvändiga för den övriga verksamheten. Detta påverkar bland annat statliga Spar-registret, som knappast kan anses vara nödvändigt för Dafas verksamhet. * Offentlighetsprincipen beskärs kraftigt. Hittills kan vem som helst titta i skattemyndigheternas register över personers taxerade inkomst. Detta blir inte möjligt om EG-direktiven drivs igenom. * Samma regler ska gälla för den offentliga och privata sektorn. Det innebär att offentliga register som tidigare reglerats av särskilda register- lagar nu måste följa reglerna i datalagen. ____________________________________________________________________________ ____________________________________________________________________________ SÄKRARE SYSTEM FRÅN DYNASOFT: DSR (11/92) Svenska Dynasoft meddelar att säkerhetsprodukten Boks har blivit ännu säkrare. Nyheterna innebär bland annat att: * En nonstop-funktion förhindrar att Boks går ner om ett kabelbrott eller någon annan driftstörning inträffar. * Särskilda moduler tillåter inloggning med aktiva kort. * Listning av förbjudna lösenord omöjliggör användning av banala och lättforcerade lösenord. * Boks fungerar även i X-Windows och på bärbara PC. Boks är ett koncept för säkerhet i Unix-miljö, som bland annat innehåller behörighetskontroll och inloggningsskydd. Enligt leverantören Dynasoft på- verkas den behörige användaren inte av att Boks är installerat. Den nya versionen av systemet lanseras på Unix-mässan. Priserna släpps inte förrän efter lanseringen. Den tidigare versionen av Boks kostar cirka 1 000 kronor per användare för stora system (med över 100 användare). ____________________________________________________________________________ ____________________________________________________________________________ FAILSAFE TILL POLISEN: DSR (11/92) Polismyndigheten har valt Micro Technology Scandinavia som leverantör av ett Failsafe-system. Det är ett feltolerant lagringssystem (baserat på Rald 5) på 28 gigabyte som är utbyggbart till 96 gigabyte. Ordern är värd cirka tre miljoner kronor och systemet installerades vid förra månadsskiftet. Enligt Micro Technology Scandinavia valde polismyndigheten produkten på grund av att säkerheten i Vax-världen ska vara hög. ____________________________________________________________________________ ____________________________________________________________________________ SÄKER PC FÖR KÄNSLIG MILJÖ: DSR (11/92) Siemens Nixdorf och Nordpartner har tagit fram en säkergets PC, Security Line, för speciellt känsliga miljöer. Datorn är utrustad med larm, skydd för röjande signaler (Rös) och skydd mot obehörig åtkomst av data. Datorn pro- duceras mot beställning. Priset är volymberoende, en enstaka dator kostar 100 000 kronor. Det finns skydd mot både interna och externa hot mot informa- tion i datorn. Datorn är försedd med ett nätfilter som ska förhindra läckage ut på det elektriska nätet. Alla övriga anslutningar är optiska så de går inte att avlyssna. Disken är löstagbar för att man ska kunna låsa in den vid behov. Försöker någon obehörig ta lös den går larmet. Hårddisken kan bara köras på den egna datorn. Det finns inga diskettstationer för att förhindra kopiering från hårddisk eller införsel av virus. Kommunikationen sker via fiberoptik och för att säkerheten ska kunna garanteras krävs att även kring- utrustningen är Rös-godkänd. Datorn har i sitt standardutförande en 80386DX- processor, 25 MHz klockfrekvens, VGA-skärm och upp till 1 GB hårddisk. Internminnet är 4-32 MB. ____________________________________________________________________________ ____________________________________________________________________________ PROTESTER MOT REGISTERFÖRSLAG: DSR (11/92) EG-förslaget till skärpta integritetsregler kritiseras hårt av kredit- upplysningsföretagen. Företag som lever på att sälja personuppgifter kan räkna med betydande extrakostnader om förslaget går igenom. Men för företag i direkt- reklambranschen kan förslaget på sikt vara gynnsamt. Ett av de företag som kommer att drabbas hårdast om EGs nya direktiv går igenom är Upplysnings- centralen, som samlar uppgifter om privatpersoners kreditvärdighet. Sju miljoner svenskar är registrerade av företaget. Förslaget till direktiv innebär att Upplysningscentralen måste begära tillstånd av var och en av dessa sju miljoner personer. LÅNTAGAREN BETALAR Det blir ett nätt litet projekt som beräknas kosta mellan 75 och 125 miljoner kronor, vilket är ganska mycket pengar för ett företag som omsätter cirka 180 miljoner kronor. -Det här är en kostnad som måste tas ut av kunderna och i slutändan av den som söker krediten, säger UCs VD Tommy Bisander. Han menar att resultatet kan mycket väl bli att folk i praktiken inte har något annat val än att låta registrera sig. TVÅNG VARA REGISTRERAD -Den som inte är med i registret kommer att upptäcka att han får mycket svårt att få lån. Och sedan räcker det inte med att begära återinträde, för vi vet ju inte historiken på personen, så det kommer ändå att dröja några år innan han kan få ett banklån. Bankföreningens VD Claes-Göran Källner är inte lika övertygad om att registren är helt nödvändiga. Det handlar snarare om att kreditbedömningen kommer att bli svårare. -Man har ju gjort kreditbedömningar i alla tider. Man kan ju tänka sig att titta på folks deklarationer och ta in referenser från bland annat arbets- givare. GYNNAR DIREKTREKLAM Siv Axelsson, VD på DM-Bolaget, ser däremot flera positiva saker i EG- förslaget för den brasnch hon själv företräder. -Till att börja med tror jag att det öppnar nya vägar för oss inom direktreklambranschen att ta oss in på den europeiska marknaden, säger hon. Siv Axelsson menar att det på sikt är positivt om direktreklamföretagen tvingas ta in tillstånd från de registrerade. -Det ökar kvaliteten på våra register, i och med att bara personer som är intresserade av att få reklam kommer att finnas med. ____________________________________________________________________________ ____________________________________________________________________________ DEL D MÅNADENS DATAINSPEKTION DEL D ____________________________________________________________________________ DATAINSPEKTIONEN KRÄVER TUFFARE TAG: DSR (11/92) Myndigheter fortsätter att strunta i lagen. Knappt ett år efter av- slöjandet att myndigheter systematiskt bryter mot datalagen har ingenting hänt. En ny undersökning av högskolan i Västerås visar att myndigheterna är lika dåliga nu på att följa datalagen. "Helt oacceptabelt", säger Datainspektionens nya generaldirektör Anitha Bondestam som kräver tuffare tag mot registersyndarna. Hårda straff och skärpt tillsyn står på programmet. ____________________________________________________________________________ ____________________________________________________________________________ DÅLIG RESPEKT FÖR LAGEN OM INSYN I DATAREGISTER: DSR (11/92) Västerås-studenters studie upprör nya DI-chefen. Nu har högskolan i Västerås gjort om sin undersökning av hur myndigheterna följer data- och sekretesslagen. Resultatet: ingen förbättring har skett. Myndigheterna har fortfarande så dålig ordning på sina dataregister att de bryter mot lagen. Knappt en enda myndighet kan visa upp en registerförteckning, trots att lagen kräver det. -De flesta myndigheter klarar inte av att uppfylla lagens krav. Kan de någon gång visa upp en registerförteckning så är den inte fullständig, säger Rolf Andersson, lektor på institutionen för ekonomi och ADB vid högskolan Västerås/Eskilstuna, och ansvarig för undersökningarna av myndigheternas laglydnad. TESTAR VARJE ÅR Under ett par år har han skickat ut studenter på den dataadministrativa linjen till myndigheter för att kontrollera att skötseln av dataregistren följer gällande lagstiftning. Studenternas uppdrag är bland annat att under- söka om myndigheten har en aktuell förteckning över sina dataregister, och att denna är tillgänglig för allmänheten. Datalagen kräver att alla person- register är upptagna i en sådan förteckning, och sekretesslagen kräver att alla ADB-register finns förtecknade. Lagen kräver också att det en ansvarig person håller registerförteckningen aktuell. Resultatet av studenternas kart- läggningar är nedslående. Knappast någon av de undersökta myndigheterna visade sig ha en samlad bild av sina dataregister. INGEN VET NÅGOT Det hörde till undantagen att en myndighet kunde visa upp en aktuell registerförteckning. Och på de allra flesta ställen rådde stor förvirring vem som hade registeransvaret. Studenterna bollades oftast runt mellan olika tjänstemän i en ändlösa cirkelrörelser. -Det är inget högprioriterat område för myndigheterna, det har jag för- stått. Problemet är oftast att förklara för dem vad en registerförteckning överhuvudtaget är för något, säger Rolf Andersson. När hans studenter i början av året gjorde en likadan undersökning med samma dystra resultat blev reaktionerna starka. Datainspektionen, DI, som är ansvarig för att se till att datalagen följs, fördömde slarvet. Myndighetschefer tvådde sina händer och lovade att bättra sig. Studenternas undersökning blev till och med föremål för en riksdagsdebatt. Statsrådet Reidunn Laurén sade att lag- brotten var oacceptabla och krävde att "myndigheterna höjde sin kunskaps- nivå". Men studenternas nya undersökning visar att ingenting har hänt. Myndigheterna bryter fortfarande mot lagen. Kunskapsnivån är lika dålig som tidigare. Och knappast någon myndighet har råkat ut för något rättsligt efterspel. -Signalen till allmänheten blir att myndigheterna inte tycker att de här reglerna är viktiga. Det är ju aldeles uppenbart, säger Rolf Andersson. Data- inspektionens generaldirektör Anitha Bondestam anser att studenternas kart- läggning ger en representativ bild av kunskapsbristen: -Ja tyvärr. DI har exempelvis nyligen tittat på televerkets register- hållning. Televerket, som har ett trettiotal gällande tillstånd, lämnade in en sådan registerförteckning. På den fanns endast två av dessa upptagna plus en mängd andra register utan tillstånd. Vi har liknande erfarenheter från andra registeransvariga, säger Anitha Bondestam. REJÄLA VITEN Hon menar att ansvaret för att lagen följs först och främst måste läggas på myndigheterna själva. -I slutänden ska DI se till att integritetsskyddet i ADB-hanteringen upp- rätthålls. Men DI kommer aldrig att få så stora resurser att vi kan göra det utan allmänhetens hjälp, säger Anitha Bondestam, som tycker det är bra att studenterna med sin kartläggning hjälper till att blottlägga bristerna. -Jag har en idé om hur vi ska kunna snabba upp ingreppen mot lagöverträd- arna i den privata sektorn. Om våra föreskrifter förenas med kraftiga viten kan DI vända sig till länsrätterna för att få snabb rättelse till stånd eller få vitet utdömt direkt av dem som trilskas. De registeransvariga får då klart för sig vad ett övertramp kostar, säger Anitha Bondestam. När det gäller myndigheter som slarvar så är det inte lika lätt, eftersom de inte kan dömas att betala vite. -Där ska vi i första hand se över vår tillsyns- och informationsverksamhet. Vi måste försöka hitta nya former för att nå ut. Jag tar med glädje emot nya idéer och uppslag, avslutar Anitha Bondestam. ____________________________________________________________________________ ____________________________________________________________________________ SOCIALTJÄNSTEN KAN DATALAGEN SÄMST: DSR (11/92) "Myndigheterna bemötte oss med förvåning, förvirring, irritation och misstänksamhet." Så summerar två studenter sina erfarenheter efter att de försökt få se uppenbart offentlig information i myndigheternas dataregister. Trots att det handlade om registeruppgifter som myndigheterna enligt lag är skyldiga att hålla tillgängliga för allmänheten nekades studenterna i de flesta fall att få informationen. -En del av de ansvariga är omedvetna om sina skyldigheter enligt sekretess- och datalagen. Andra är medvetna om dem men struntar i dem, tvingas två av studenterna konstatera i en av undersökningsrapporterna. Här är en samman- ställning över hur myndigheterna agerade när studenterna ville titta i deras dataregister: * Länsstyrelser: På länsstyrelsen förklarade den ansvarige tjänstemannen man varken hade tid eller råd att hålla sin register- förteckning uppdaterad. * Försäkringskassor: När studenterna besökte ett kontor och bad att få se registerförteckningen, hänvisades de till dataav- delningen i Sundsvall. På en kassa tvingades student- erna visa legitimation innan de fick se de offentliga registeruppgifterna. * Skattekontor: På ett kontor satsade tjänstemännen på en bluff för att bli av med de besvärliga studenterna: "Här är alla register sekretessbelagda", förklarade tjänstemännen. Genomgående ville tjänstemännen hemligstämpla betydligt mer register- information än lagen ger rätt till. * Polismyndigheter: Inte heller de undersökta polismyndigheterna klarade av att skilja på offentlig och sekretessbelagd in- formation i sina dataregister. Bara två polismyndig- heter kunde visa upp en registerförteckning. * Socialtjänsten: Får jumbopriset i högskolans kartläggning. Ingenstans kunde tjänstemännen visa fram en förteckning över sina dataregister. På ett socialkontor bollades studenterna runt mellan sju olika tjänstemän innan det stod klart att myndigheten helt enkelt inte brytt sig om att upp- rätta någon registerförteckning. * Arbetsförmedlingskontor: Tjänstemännen var ovilliga att hjälpa till när studenterna begärde fram de registerförteck- ningar som lagen kräver. Förklaringen visade sig snart: det fanns inga. Några myndigheter visade sig dock ha mycket goda kunskaper och kunde hantera offentlighets- och sekretessfrågor korrekt. I den här gruppen fanns bland annat tingsrätter, kronofogdemyndigheterna, länsarbetsnämnden i Eskilstuna och Tullkammaren i Västerås. ____________________________________________________________________________ ____________________________________________________________________________ IDENTITETSSTÖLD BLIR FALL FÖR DI: DSR (11/92) Fallet med en 23-årig kvinna som fått sin identitet utnyttjad av en missbrukare har fått datainspektionen att reagera. Inspektionen ska nu hjälpa kvinnan med att få alla oriktiga uppgifter om henne i olika register strukna. Problemen för den 23-åriga kvinnan började för åtta år sedan. Då använde en annan kvinna hennes identitet för första gången. Kvinnan som använde hennes namn och personnummer hade missbrukarproblem och fortsatte vid flera till- fällen att utnyttja 23-åringens identitet. Under årens lopp har det bland annat lett till att den 23-åriga kvinnan har fått en rad inkassokrav, att oriktiga uppgifter antecknats i hennes sjukjournal och att hon polisanmälts flera gånger. Att så kunnat ske beror på att myndigheter och företag inte har kontrollerat den missbrukande kvinnans identitet. Datainspektionen ser mycket allvarligt på det inträffade och ska behandla ärendet med förtur. ____________________________________________________________________________ ____________________________________________________________________________ VEM BRYR SIG OM DATALAGEN?: DSR (11/92) I början av året slog Computer Sweden larm om att datalagen inte efterlevs. Vi lyfte fram en undersökning som visade att ytterst få av landets myndigheter kände till vad lagen säger. Vissa var "bara" okunniga om lagarna, andra visste vad som gällde men struntade ändå helt i det! När saken kom i ljuset var alla dock rörande ense om att det var gräsligt illa. Bot och bättring utlovades. Datainspektionen talade om att "fundament i datalagen" hotades och frågan togs också upp i riksdagen. Men ingenting har hänt! Studenterna på dataadministrativa linjen i Västerås/Eskilstuna visar att det är precis lika uselt idag, snart ett år efter de stora avslöjandena. Jag hade kanske inte trott att de ansvariga på myndigheterna skulle åstadkomma underverk på så kort tid, men något hade jag räknat med. En bättre attityd, tendenser åt rätt håll med några personer här och där som förstår vad det handlar om. Men icke. Det vi talar om är inte krångliga och byråkratiska registerregler utan intresse för "vanligt folk". Nej det handlar om en mycket enkel och grundläggande rättighet: att i alla lägen kunna få reda på vad som står om en själv i myndigheternas register. Det har heller egentligen inte något med datorer att göra, men det är de omfattande datoriserade registren som gör lagen livsviktig. Datainspektionens nya generaldirektör Anitha Bondestam verkar ta sin uppgift på allvar och har flera intressanta nyheter på gång. Men när det gäller de här frågorna står hon handfallen och efterlyser fräscha idéer. Vite går inte så vad ska man göra? Utbildning och information säger hon själv. Bah! Fram med hårdhanskarna! De registeransvariga har fått information och de är utbildade, trots det begår de grova tjänstefel år efter år. Då återstår det bara att ge registeransvaret till kompetent personal. Ett nödvändigt steg är att polis och åklagare börjar att ta de här brotten på allvar. Idag kan myndigheterna bryta mot lagen utan risk för påföljd. Det är dags att åtala och ge den ansvarige böter. För en sak är klar: ska vi ha en lag så ska den också följas! ____________________________________________________________________________ ____________________________________________________________________________ "HACKERS, VÄLKOMNA TILL DATAINSPEKTIONEN!": DSR (11/92) Friska idéer från ny generaldirektör. "Det behövs nya idéer för att komma åt integritetsbrotten", menar Datainspektionens nya generaldirektör. En av Anitha Bondestams första åtgärder är att bjuda in Swedish Hacking Association. Hon talar också om att med höga viten ta i hårdare mot dem som bryter mot data- lagen. Det är knappast som dataexpert som Anitha Bondestam vill se sig i sin nya roll som generaldirektör på Datainspektionen (DI). De praktiska data- erfarenheterna sträcker sig till att hon använt en terminal på kammarrätten. -En viktig erfarenhet jag har är att jag som domare har en god insikt i hur viktig integriteten är. Jag har också lärt mig att vara skeptisk till hur verkningsfullt det är med bara lagar för att komma åt ett problem. Sedan tror jag att jag med min ganska långa erfarenhet är en obyråkratisk och glad chef, säger hon när hon ska beskriva sina meriter. Men trots att Anitha Bondestam bara jobbat på DI ett par veckor när Computer Sweden träffar henne är hon mycket påläst och full med idéer. VILL TRÄFFA HACKERS En av de vildare är att inbjuda Swedish Hacking Association till ett möte. -Vi har insett att vi måste nå ut med informationen tidigt i skolorna. Ungdomarna ska veta att de kan bli straffade för intrång. Vi måste också visa för lärare och föräldrar att det här är viktigt. Anitha Bondestam tänker sig också att låta elever i åttan och nian prya på DI. -Då talar vi om att låta de bästa eleverna komma hit. Vi tror att de ska kunna lära oss en hel del också. ÅTAL INTE LÖSNINGEN Något som Datainspektionen ofta kritiseras för är att så få brott mot datalagen leder till åtal. -Som domare har jag dock en viss förståelse för detta, säger Anitha Bonde- stam. Hon pekar på att polis och åklagare på grund av tidsbrist och dåliga kun- skaper inte prioriterar brott mot datalagen. -Om man anmäler något till åtal och inget händer får det precis motsatt effekt. Då drar folk slutsatsen att man tydligen kan bryta mot lagen utan risk. Då tror hon mer på att utdöma vite när någon bryter mot datalagen. -Möjligheten finns faktiskt redan idag och jag förstår inte varför den inte har använts. Principen är enkel. Samtidigt som DI ger tillstånd för ett nytt register bestäms ett vitebelopp om den ansvariga bryter mot föreskrifterna. Finessen är att om DI senare kommer på ett brott så kan länsrätten mycket snabbt utdöma vite. MINDRE PERSONNUMMER Anitha Bondestam efterlyser också fler tekniska begränsningar, till exempel ett minskat antal användande av personnummer för att stoppa brott mot data- lagen. -Om det finns möjlighet att samköra register tack vare personnummren kommer folk att göra det, oavsett om det är tillåtet eller inte. Alltså måste vi göra det omöjligt att begå brotten, till exempel genom att minska användningen av personnummer. Det som hon ser som det största problemet just nu är slarv med säkerhetsföreskrifter. För att komma till rätta med det här har DI nu börjat skriva in strafföreskrifter i tillstånden. Den som inte har en tillräckligt hög säkerhet ska alltså kunna få böter, eller i framtiden vite, för detta. DI ska inte bara ge tillstånd för nya register, utan också bevaka att lagen verkligen efterlevs. Idag är alla överens om att den delen är eftersatt. Det kommer dock ett lagförslag som går ut på att tillståndsgivningen för register helt av- skaffas. Istället ska lagar och generella föreskrifter reglera hur personupp- gifter får hanteras. Tanken är att DIs ansvar för att bevaka lagen samtidigt skärps. SYSSLA MED RÄTT SAKER Anitha Bondestam tror inte att DI med sin nuvarande storlek får några problem att ta på sig det ansvaret. -Jag tror inte att ökade resurser är lösningen på allting. Det handlar lika mycket om att syssla med rätt saker. ____________________________________________________________________________ ____________________________________________________________________________ NYBRO KOMMUN I REGISTERHÄRVA: DSR (11/92) Stor förvirring råder i Nyköping om kommunens olika dataregister. Kommunen och Datainspektionen (DI) har olika uppfattningar om hur dataregister ska föras. Det konstaterar Kommunrevisionen efter en granskning av Nybros dataregister. Kommunstyrelsen säger exempelvis att byggnadsnämnden har licens för bostadsbidragsregistret. Men enligt DI är det fastighetsnämnden som har licens för det registret. Fastighetsnämnden i Nybro har inte något sådant register i sin förteckning. Kommunrevisionens granskning visar också att styrelser och nämnder saknar kontroll på vilka tillstånd att föra personregister man har. Dessutom stämmer DIs uppgifter på vilka personer som är kontaktpersoner för Nybros dataregister inte med kommunens egna. -Vi måste lägga fast de olika förvaltningarnas och nämndernas samt kommun- styrelses ansvar, säger kommunalrådet Stig Davidsson (c) till tidningen Östra Småland. ____________________________________________________________________________ ____________________________________________________________________________ KOMMUNERNA KAN INTE DATALAGEN: DSR (11/92) Kommunerna omorganiserar och decentraliserar samtidigt som en lagenlig hantering av personregister prioriteras lågt. Enligt Kommunförbundet borde Datainspektionen (DI) informera kommunerna bättre. -DI borde informera mer om bestämmelserna. Det är viktigt att kommunerna känner till lagstiftningen och försöker leva upp till den, säger Ulrika Lindmark, förbundsjurist på Kommunförbundet. På landets 286 kommuner mer än 3 000 nämnder och kommunstyrelser. Nästan alla använder datorer. DI har ingen lätt uppgift i att informera kommunerna om vilka föreskrifter som gäller. -Det finns ett enormt utbildningsbehov som vi inte kan tillgodose med våra resurser, säger Ulf G Berg, byråchef på DI. 1988 genomförde DI ett omfattande projekt där kommunerna skulle gå igenom sina personergister och upprätta för- teckningar över dem. Redan då hade kommunerna själva svårt att avgöra vem som var registeransvarig för olika personregister. Det lär inte ha blivit bättre. Många kommuner omorganiserar och rationaliserar. Nämnder slås ihop och data- systemen decentraliseras. -Förrut fanns kunskapen om datalagen centralt. Nu finns risken att an- svaret för att lagarna efterlevs hamnar mellan stolarna, säger Ulf G Berg. I Nora kommun har antalet PC ökat från 10 till 60 de senaste tre åren och det blir allt lättare för tjänstemännen att upprätta egna personregister. -Det blir allt svårare att hålla kontroll på registren, säger Ulf Zetter- lund, ADB-samordnare i Nora. Det är kommunernas revisorer som granskar kom- munernas hantering av registren. Kommunernas egen revisionsbyrå, Komrev, an- litas bland annat för att övervaka hur registren sköts. -Ingen missköter registren medvetet, men kommunerna prioriterar inte detta särskilt högt, säger Lars-Gunnar Nykvist på Komrev. Problemet är ofta att ingen är säkerhetsansvarig i kommunerna. Ansvaret kanske hamnar på en ADB-samordnare som redan har tusentals saker att göra. Komrev undersökte nyligen Nybro kommun och fann en riktig härva. Där fanns nämnder som hade licens för register de inte förde och flera nämnder saknade kontroll på vilka registertillstånden. ____________________________________________________________________________ ____________________________________________________________________________ INFORMATION ISTÄLLET FÖR INSPEKTION: DSR (11/92) Datainspektionen (DI) ägnar sig för mycket åt tillstånd och för lite åt tillsyn. Dessutom har DI dålig kontroll på hur olika personregister sam- körs, fastslår riksdagens revisorer i rapporten "ADB och Integritet" DI utför varje år ett 20-tal flygande inspektioner hos landets register- ansvariga. Eftersom det finns drygt 150 000 personregister i landet räcker helt enkelt DI resurser till. Konsekvensen är att ingen idag vet hur bra integritetsskyddet för medborgarna är. -Vi försökte få svar på den frågan, men kunde inte få något, säger Ingrid Carlman, revisor på riksdagen. DIs ägnar endast 20 procent av sin tid till tillsyn, medan arbetet med att utfärda tillstånd och hantera licenser tar 38 procent av tiden, konstaterar riksdagens revisorer. Anledningen är att DI måste utreda varje ärende för sig. Dessutom ägnar DI mycket tid åt att informera personer i regeringen om hur de statliga registren ska skötas. Ett annat problem är att DI saknar insyn i hur olika personregister samkörs, skriver riksdagens utredare som föreslår att DI utökar informationen till de register- ansvariga så de själva kan klara integritetsfrågorna. ____________________________________________________________________________ ____________________________________________________________________________ BRÅK OM SÄKERHETEN I AMS NYA PC-SYSTEM: DSR (11/92) Vad för slags information får lagras i AMS nya system AF90:2? Arbets- förmedlingarna vill bli helt papperslösa och lagra information om arbetssökande i ett stort dokumentlagringssystem. Datainspektionen tillåter inte att någon som helst känslig information lagras i systemet. AF90:2 tas i drift i hela landet den 30 november, men det lär dröja flera månader innan Datainspektionen kan komma med nya föreskrifter. Tills dess är det risk för att känslig infor- mation åker in i de mer än 6 000 persondatorer som står hos arbetsförmedlingar- na ute i landet. ____________________________________________________________________________ ____________________________________________________________________________ KÄNSLIGA PERSONDATA LAGRAS UTAN KONTROLL: DSR (11/92) I AMS nya system AF90:2 blir det möjligt att skriva in integritets- känslig information om arbetssökande rakt i systemet. Systemet tas i drift den 30 november - men då är det ännu inte bestämt vad som får lagras i det. AMS kan inte garantera att ingen känslig information matas in trots att Data- inspektionen (DI) har sagt blankt nej tills nya föreskrifter har utarbetats. Med 469 nya Unix-servrar, 3 723 nya PC och ett nytt system för 2,2 miljoner kronor ska landets arbetsförmedlingar bli "pappers-snåla". Platsförmedlarnas pappersmappar ska läggas upp i systemet AF90:2. Men i de arbetssökandes mappar kan det finnas känslig information som arbetsförmedlingarna saknar tillstånd att lägga in i systemet. Uppgifter om att den arbetssökande har brottslig belastning, problem med hälsan eller har det trassligt socialt kan finnas i mapparna. Men får inte förekomma i systemet enligt DIs föreskrifter. Syftet med AF90:2 är dock att papperen ska bort. AMS vill därför lägga in så många uppgifter som möjligt i systemet. -Ska vi kunna arbeta med systemet och förmedla lämpliga jobb måste vi skriva in känslig information, säger Marie-Louise Nohlberg, projektansvarig på länsarbetsnämnden i Jönköping. Jönköpings län har fungerat som testlän sedan den 1 juli. Arbetsförmedlarna där gör sina daganteckningar direkt i systemet. Men vad för slags information som hamnar i länets 329 persondatorer har hon ingen kontroll över. -Jag kan inte garantera att ingen känslig information förs in i systemet, säger Marie-Louise Nohlberg. I mars meddelade AMS sina avsikter med AF90:2 till DI. Men DI lär inte komma med några nya föreskrifter förrän om tidigast två månader. Då är AF90:2 redan i full drift. DI BESTÄMMER Tills vidare gäller DIs föreskrifter från 70-talet, då AMS började dator- iseras. Frågan är bara om AMS har tid att vänta. På arbetsförmedlingen i Tyresö pågår förberedelserna för AF90:2. -Vi hade hoppats på att få bränna alla papper och i stället lägga upp alla mappar på data, säger Lennart Skog, platsförmedlare på arbetsförmedlingen i Tyresö. Enligt en person med god insyn i AMS nya system har redan känslig information börjat lagras. DI anser att problemet är komplicerat, och att det därför tar lång tid att ta fram nya föreskrifter. -Arbetsmarknadsverket har omorganiserat och det ser inte alls ut som på 70-talet då föreskrifterna skrevs, säger Marcus Miettinen, som handlägger ärendet på AMS. För några veckor sedan gjorde DI en inspektion på plats i Jönköping. Så här kommenterar Miettinen: -Jag såg inget jag vill prata om, men hade allt varit klart hade också föreskrifterna varit klara. ____________________________________________________________________________ ____________________________________________________________________________ "DI MÅSTE ÖKA TILLSYN": DSR (11/92) Datainspektionen är överlastad med tillståndsärenden och hinner inte ägna sig tillräckligt åt tillsynen av dataregister, skriver riksdagens revisorer i en rapport. De varnar för att den snabba utvecklingen av datortekniken även- tyrar integritetsskyddet. Revisorerna anser att datainspektionen behöver öka informationen till de registeransvariga om reglerna för integritetsskydd. Även den tillsyn inspektionen själva tar initiativ till bör öka. ____________________________________________________________________________ ____________________________________________________________________________ BARA TRE GODKÄNDA PERSONREGISTER: DSR (11/92) Datainspektionen gick ut och undersökte datasäkerheten på tio företag och myndigheter. Resultatet belv nedslående. Bara tre fick godkänt. Slapp lösen- ordshantering, bristfälliga loggnings-rutiner, oskyddade filservrar och lagringsmedia samt avsaknad av skriftliga regler för ADB-ansvariga. Det är några exempel på brister som datainspektionen kunde konstatera i sin under- sökning. Tio företag och myndigheter besöktes i undersökningen. Bland dem fanns en polismyndighet, en skattemyndighet, ett kyrkoråd, advokatbyråer samt en vårdcentral. En gemensam nämnare är att de alla har minst ett datoriserat personregister som av datainspektionen klassas som känsligt eller mycket känsligt. SÄKERHETSNIVÅ Datalagen kräver att de företag och myndigheter som får tillstånd att ha personregister måste klara att hålla en viss datasäkerhetsnivå. Dessa krav kan specificeras av datainspektionen i samband med att ett personregister be- viljas. En annan variant är att myndigheten eller företaget åläggs att följa de allmänna datasäkerhetsråd som finns samlade i en skrift från datainspektion- en. Men datainspektionens undersökning visar att knappt någon ute på de kon- trollerade myndigheterna känner till de allmänna datasäkerhetsråden. "Intrycket är att råden inte är kända till sitt innehåll, än mindre har de använts i det praktiska ADB-säkerhetsarbetet", skriver datainspektionen i sin rapport. OKÄNDA RÅD Varken ansvariga chefer eller de som dagligen arbetar med personregistren kände i de flesta fall till vad som står i de allmäna datasäkerhetsråden. "Generellt sett når de inspekterade inte upp till den nivå av säkerhet som de allmänna råden kräver", slår datainspektionen fast. En förklaring till de dåliga säkerhetskunskaperna kan vara att de allmänna datasäkerhetsråden ofta inte tycks nå fram till personerna som är skyldiga att följa dem. En annan förklaring kan vara de berörda tjänstemännen helt enkelt inte förstår att säkerhetsföreskrifterna måste följas och att det kan medföra straff om så inte sker, skriver datainspektionen. ____________________________________________________________________________ ____________________________________________________________________________ DEL E TELE OCH TRANSMISSION DEL E ____________________________________________________________________________ TIO VILL TAMPAS MED TELEVERKET: DSR (11/92) Slaget om statens datakommunikation kan börja. Den 19 oktober var sista offertdag i statens förestående upphandling. På Statskontoret har man börjat sprätta upp kuvert från mindre än tio operatörer, både svenska och utländska, som vill vara med och konkurrera med Televerket. Ett 40-tal leverantörer hade fått erbjudande om att lämna offert. Enligt uppgift från Statskontoret fanns inga överraskningar bland leverantörerna som hade lämnat offert. Några leverantörer avstod med motiveringen att det är för svårt att få lönsamhet i den tuffa konkurrensen med Televerket. Statskontoret gör nu en grov sållning bland leverantörerna fram till jul. Tidigast den 2 april 1993 skriver staten avtal med en eller flera leverantörer. ____________________________________________________________________________ ____________________________________________________________________________ ISDN-ADAPTER FÖR 10 000 KRONOR: DSR (11/92) Lagerkrantz Communication i Sollentuna introducerar ISDN-kortet DAP 4100 från tillverkaren Racal Datacom. Den kostar från 9 900 kronor, beroende på konfiguration. Enligt distributören ska det bland annat kunna ersätta ett normalt AT-uppringt modem. Kortet kan även simulera en fast linje, och därmed spara linjekostnader. Den kopplar upp automatiskt vid inkommande data och kopplar sedan ner när överföringen är färdig. Uppkopplingstiden ska vara en sekund. Tillsammans med televerkets ISDN2-tjänst klarar DAP 4100 överförings- hastigheten 64 kbit/sekund, och kan skicka tal, bild, musik och data över samma ledning. DAP 4100 kan fås med en eller två V.24, X.21 eller V.35-an slutningar. Det finns även en speciell modell för backup. ____________________________________________________________________________ ____________________________________________________________________________ DEL F PIRATKOPIERING DEL F ____________________________________________________________________________ PIRATKOPIOR FÖR 50 MILJONER I BESLAG: DSR (11/92) Amerikansk polis har beslagtagit DOS-kopior till ett värde av 50 miljoner kronor. Microsoft har stämt företaget som kopierat, som dock säger sig haft rätt att utföra kopieringen. Amerikansk polis beslagtog nyligen 16 fullastade lastbilar med DOS-program i två räder i New Jersey och norra Kalifornien. Man hittade sammanlagt 150 000 förfalskade piratkopior av DOS version 5.0 från ett företag som heter U-Top Printing. FEM ÅRS FÄNGELSE Marknadsvärdet på gatan är över 9 miljoner dollar, cirka 50 miljoner kronor, enligt bedömare på tillverkaren Microsoft. Räderna ägde rum strax innan den amerikanska kongressen beslöt att ta i med hårdhanskarna mot piratkopiering. Inom kort väntas ett beslut som innebär att piratkopierare kan få upp till fem års fängelse, eller dömas till böter på upp till 250 000 dollar. UTFÖRT LAGLIG KOPIERING FÖRR Idag är det maximala bötesbeloppet 25 000 dollar, och i extrema fall döms ett års fängelsestraff. Microsoft har lagt in en stämningsansökan mot U-Tops ägare, James och Shirley Sung för överträdelse mot upphovsrättsliga principer och varumärkesintrång. Ägarnas advokat säger att U-Top bara producerat DOS- kopior till datortillverkare som de själva trodde hade rätt att tillverka operativsystemet. Tidigare har U-Top utfört laglig kopiering av DOS-kopior, bland annat för tillverkare som Mimtipas, Caliber Computer och MTD Data Services. Enligt den amerikanska branschorganisationen kostade piratkopiering amerikanska programtillverkare över 12 miljarder dollar, eller över 60 miljarder kronor förra året. ____________________________________________________________________________ ____________________________________________________________________________ SLUTET FÖR KINESISKA PIRATKOPIOR: DSR (11/92) Santa Cruz Operation, SCO, banérföraren för Unix på PC, har lagt under sig den kinesiska marknaden utan att lägga ut ett öre på reklam. Å andra sidan har SCO inte tjänat ett öre heller, eftersom kineserna har piratkopierat program- men. Nu ska det bli ändring på det, med den kinesiska regimens välsignelse. Kina har anslutit sig till konventionen om intellektuell upphovsrätt till dataprogram, och statens egen datakoncern CSNS kommer att bli återförsäljare för SCO. Vilket lär betyda att licensavgifterna blir betalda. SCO beräknar att 30 000 exemplar av Xenix, den Unix-dialekt som är föregångaren till SCO Unix, surrar på datorer i kinesiska företag sedan ungefär fyra år. Att köra Xenix på 286:or är det billigaste sättet att skapa en fungerande fleranvändarmiljö, fann kineserna, som modifierat systemet och skaffat sig goda kunskaper. Därför tänker SCO erbjuda kineserna uppgradering till en ny version av Xenix, i stället för att lansera SCO Unix. Den nya versionen av Xenix, som fortfarande står för 40 procent av SCOs globala intäkter, kommer även att lanseras på Taiwan. ____________________________________________________________________________ ____________________________________________________________________________ UPPHOVSRÄTT INSKÄRPES I SYDAFRIKA: DSR (11/92) Mjukvaruföretagens intresseorganisation BSA, Business Software Alliance, har öppnat kontor i Sydafrika. Syftet är att propagera för hederligt inköpta program och att främja tillämpningen av den nya sydafrikanska lagstiftningen om upphovsrätt. BSA består av Autodesk, Borland, Lotus, Microsoft och Word- perfect. Bojkotten mot Sydafrika har givetvis befrämjat piratkopiering, och landets hela databransch är relativt efterbliven. -Även om användandet av piratkopierade dataprogram har minskat i Sydafrika sedan slutet av 80-talet, då det fanns upp till åtta piratkopior för varje lagligt program, så är piratkopiering fortfarande mycket vanligt, bedömer Bill Gordon från Autodesk. BSA kommer att peka på de allmänt förekommande datavirus- en, bristen på tekniskt stöd, dokumentation och uppgraderingar samt svårig- heterna att utnyttja programmen till fullo som skäl att byta ut befintliga piratkopior mot lagligen inköpta program. Risken för straff för piratkopiering kommer också att inskärpas. -Cheferna på företagen kan nu ställas personligen till ansvar om pirat- kopierade program används på deras företag, säger Hasmukh Gajjar, chef för Wordperfect i Sydafrika. Upphovsrättslagen har nyligen ändrats i Sydafrika. Lagen omfattar nu uttryckligen dataprogram, och straffen för piratkopiering och försäljning av piratkopior har skärpts. FN-bojkotten mot Sydafrika är fortfarande i kraft, men den gäller generellt bara olja och vapen. ____________________________________________________________________________ ____________________________________________________________________________ DEL G VIRUS OCH TROJANSKA HÄSTAR DEL G ____________________________________________________________________________ DATAVIRUS PÅ TIDNING: DSR (11/92) Tidningen Norrbottens-Kuriren har drabbats av datavirus. Tidningen håller på att installera ett nytt PC-baserat system och innan installationen ens var klar hade virus spritt sig i maskinerna. Viruset kallas Cascade 1701 och sägs vara det vanligaste viruset i Sverige. Det är ett förhållandevis snällt virus. Det lägger till 1701 byte till alla COM-filer på maskinen som smittats. Alla smittade datorer visar inte upp påvisbara effekter men ibland kan viruset göra att bokstäver på bildskärmen ser ut att ramla ner och lägga sig längst ner. Med hjälp av speciella städningsdataprogram har Norbottens-Kuriren rensat sina nya datorer. Sedan skall ytterligare program installeras som bevakar att inte nya virus letar sig in i maskinerna. ____________________________________________________________________________ ____________________________________________________________________________ SNARAN DRAS ÅT KRING VIRUS-BASERNA I SVERIGE: DSR (11/92) Antalet kända virus skjuter i höjden. En vanlig spridningsväg är publika databaser. Även exotiska och tidigare ovanliga virus sprids i Sverige, men nu dras snaran åt. Virusjägaren Mikael Winterkvist har kartlagt virusbaserna, och publicerat en rapport. Mörkret lägrar sig utanför fönstret. Endast det kalla ljuset från en bildskärm lyser upp rummet. Plötsligt börjar modemet pipa: en ny användare loggar in. Den unge systemoperatören bestämmer sig för att bryta in och en elektronisk konversation utspelar sig: -Har du fått några nya virus då? -Nej, inte än, min hårddisk är full. Men i nästa väcka får jag min nya hårddisk, en gigabyte, och då skall jag lägga upp det för download. -Det tackar jag för, herr... -Mindbender -Nå, Mindbender, har du mitt riktiga namn? Jag är Georgio Mendocca från Rimini, Italien. ÅTTA MÅNADERS JAKT Två saker i ovanstående är osant. Dels är konversationen översatt från engelska. Dels är "Georgio Mendocca" egentligen Mikael Winterkvist, från databasen Computer Security Center i Skellefteå. Han ägnade åtta månader åt att kartlägga virusbaserna i Sverige. Genom att låtsas vara en exotisk ita- lienare öppnade han alla dörrar. Hans rapport finns nu som en specialutgåva av det elektroniska nyhetsbrevet Svensk Hack Rapport (ur vilken dialogen ovan är hämtad). För de seriösa databaserna har virusspridningen varit ett gissel. Det har framgångsrikt bekämpats genom att de centrala hårddiskarna regelbundet genomsökts efter virus. BASERNA SOM SPRIDER VIRUS Men det är ett passivt försvar. Virusbaserna som sådana har funnits kvar och fortsatt utgöra ett hot. Nu har användarna gått till motattack. I Svensk Hack Rapport namnges flera av virus-spridarna och det mesta om deras verksamhet avslöjas. Ett flertal virusbaser identifieras. En bild av den typiske virus- spridaren växer fram: det är skolungdom (en medger att han bara är 15 år), de verkar i grupper, och de är målinriktade. Hack-rapporten räknar upp vad dessa så kallade filareor i virusbaserna innehåller. En har hela 295 olika virus på lager! Enligt Mikael Winterkvist finns det minst sju virusbaser. De byter ofta namn och telefonnummer. De flesta av baserna i Göteborgstrakten ingår i något som kallas Virii-net, med El Paso som distributörsnod. Efter avslöjandet av virusdatabaserna ringde Computer Sweden runt till flera av dem. Minst tre föreföll inte längre operativa. Från en kastades vi ut och en stannade under körning. Virusspridarna har tvingats på reträtt, vilket förmodligen var tanken med avslöjandet. ELEKTRONISKT KLOTTER -Det finns olika grupper som gör virus för att bräcka varandra, säger virusjägaren Roger Gustafsson. Det är ingen folkrörelse direkt, men det finns ett tiotal personer i Sverige som sysslar med det. Han påpekar att virusläget hänger ihop med hur många virusdatabaser det finns. -På senare tid har det kommit nya, exotiska virus. Det beror på att virusdatabaserna spridit dem. Jag och andra som bekämpar virus har i ungefär ett och ett halvt år vetat om några virusdatabaser i Sverige. Nu vet vi att det finns fler. Det finns olika uppfattningar om hur virusbaserna skall be- kämpas. Roger Gustafsson tycker att det bästa är att tiga ihjäl dem. Virus- makarna vill få uppmärksamhet, under sina pseudonymer, och framstå som "mystiska och duktiga". Mikael Winterkvist har gått på linjen att göra allt offentligt, så att alla andra användare kan reagera. -Frågan är om det är så bra. Det kan gå över till terror åt andra hållet i stället, säger Roger Gustafsson. Til syvende og sidst tror jag att vi får vända oss till politikerna och be om lagstiftning. Under dagens lagstiftning är virusbaser ytterst svåra att komma åt. Den som sprider virus måste fångas på bar gärning med att sprida virus. Men i och med att virusbaserna avslöjas får de iallafall svårare att verka. ____________________________________________________________________________ ____________________________________________________________________________ FREDAGEN DEN 13 - ALLA VIRUS DAG: DSR (11/92) Om en vecka, fredagen den 13, kan ett virus drabba din hårddisk. Bland annat beräknas flera varianter på viruset Jerusalem slå till. November månad i år är mer virusdrabbad än andra månader, vilket naturligtvis beror på att den trettonde infaller på en fredag. Viruset Jerusalem dyker upp i olika skepnader. RAM är ett minnesresident virus som infekterar com-, exe-, command.com- och overlay-filer, det vill säga de filer programmet som laddas in vid behov. När RAM-viruset varit minnesresident i 30 minuter dyker en svart låda upp på skärmen och systemet blir långsammare. WESTWOOD är en annan variant på Jerusalem. Det påminner om RAM på så sätt att en svart låda dyker upp på skärmen efter att viruset varit minnesresident i 30 minuter. HYBRID heter ett annat virus som slår till den trettonde. Det är ett icke-resident virus som infekterar com-filer inklusive command.com. Hybrid skriver över den aktuella diskens boot-sektor varje gång en infekterad fil öppnas. Andra virus som slår till den trettonde är: FRIDAY THE 13TH, MONXLA, JERUSALEM D och E och NEW JERUSALEM. Men det är inte slut på eländet efter fredagen den trettonde. Den 14 november dyker ett nytt virus upp. SATURDAY 14TH eller DURBAN. Det infekterar com-, exe- och overlay-filer, men inte command.com. Viruset skriver över de 100 första logiska sektorerna i a:, b: och c:-diskarna och det förstör hårddiskens boot-sektor, partitionstabell och filallokeringstabell. Den 17 november är det dags för nästa virus: NOVEMBER 17TH, den 18 slår KENNEDY-viruset till (Joseph Kennedy Sr avled då), likaså den 22 (mordet på John F Kennedy), den 24 FORM och den 27 SKISM. Sedan är det bara att akta sig för otäckheterna som dyker upp i december. ____________________________________________________________________________ ____________________________________________________________________________ SNÄLLA VIRUS SKA GÖRA DATASYSTEM SNABBARE: DSR (11/92) Självständiga programsnuttar löser problemen. Säg virus och de flesta tänker på illasinnade små programsnuttar som ställer till med elände i datorerna. Nu menar forskare i USA att samma teknik också kan användas för nyttiga ändamål. Till exempel kan "snälla" virus agera som ett snabbt pro- gram som hämtar uppgifter i en databas. Datavirus kan vara antingen skadliga eller nyttiga, helt beroende på vem som konstruerat dem och varför. Enkelt uttryckt kan man säga att nyttiga virus ska agera som små självständiga programsnuttar, helt osynliga för slut- användaren. -Samma egenskaper som gör dem till ett hot, gör också virus till ett kraftfullt verktyg för att till exempel distribuera resurser i ett datasystem, säger forskaren Frederick Cohen, som också är chef för programföretaget ASP i USA. Cohen pekar på att många stora system ägnar mer tid åt att fördela processorresurser än att verkligen få instruktioner utförda. Virusens uppgift skulle här vara att åka runt i systemet, ta reda på var resurserna behövs bäst och sedan styra dem dit. SKÖTER UNDERHÅLL Ett liknande virus skulle kunna användas för att sköta en del av under- hållet av ett större program. -Det blir mycket billigare att underhålla ett system som underhåller sig självt, säger Frederick Cohen. Virus ska också kunna effektivisera arbetet med databaser. Till exempel tänker sig Cohen att man ska använda sig av virusens förmåga att koppla sig till andra program. De kan uppdatera databaser därifrån och se till att inaktuella uppgifter raderas. En konkret tillämpning kan vara att skicka ut räkningar och sedan bokföra att betalningen gjorts. Viruset skapas med uppgiften att skicka ut brev till en person ända tills han eller hon betalt sin räkning. När pengarna kommit in omvandlar sig viruset till en ny funktion och förflyttar sig till en annan del av databasen där det gör en notering om att betalningen är utförd. Därefter förstör viruset sig självt. SJÄLVFÖRSTÖRANDE Just detta att uppgiften är klart avgränsad och att viruset förstör sig självt är en av de avgörande skillnaderna mot de mer illasinnade kusinerna. En liknande tillämpning används redan nu av Cohens företag i ett program som kallas Payback. Enligt Frederick Cohen ska snälla virus inte heller kunna ställa till med skada utanför det system de finns i. -De här virusen kan inte föröka sig i en PC-miljö eftersom de inte över- lever utanför det program de föds i, säger han. ANNAN TYP AV VIRUS Ett annat exempel på nyttiga virus är ett program kallat Lenstra-Manasse. Programmet utför komplexa matematiska operationer på mycket stora tal genom att använda sig av processorkraften i flera datorer. Varje virus tar var sin del av problemet och rapporterar sedan in resultatet till ett centralt program. KRITISERAS Frederick Cohen och hans forskarkollegor får dock knappast vara oemotsagda. Kritikerna menar att virus alltid måste ses som objudna gäster som varken visar sig eller ber om tillstånd för att rumstera omkring i systemet. -Virus är per definition någonting som sker i systemet utan din vetskap. Hur kan det vara av godo, undrar virusforskaren Chengi Jimmy Kuo. Andra kritik- er menar att om ett program förändras på något sätt av ett virus så kan licens- tagaren förlora sin rätt till support från leverantören. Ytterligare en invänd- ning är av mer praktisk natur: Hur ska ett antivirusprogram skilja mellan goda virus som ska lämnas i fred och onda som ska förstöras? Så fort man rensar sin hårddisk från Fredagen den 13 och andra elaka program försvinner också alla nyttiga virus som ska snabba upp systemet. +--------------+ +-------------+ | SNÄLLA VIRUS | | ELAKA VIRUS | +--------------+ +-------------+ skicka ut räkning kontrollera dagens datum <+ | nej | | nej Har pengarna kommit in? ------------+ Är det rätt datum?----+ | ja | | ja Omvandla sig till ny funktion <- Skicka ut <--+ Förstör alla filer | | påminnelse | Förstör sig själv Notera att pengarna betalts | | | | | Har pengarna | Förstör sig själv | kommit in? --+ nej | | ja +-------+ ____________________________________________________________________________ ____________________________________________________________________________ SMÅ, OTÄCKA VIRUS: DSR (11/92) Mac-ägare är lyckligt lottade på ett viktigt område i förhållande till PC-användarna. Det finns bara ett 50-tal datavirus som kan infektera en Macintosh. Det finns kanske bort emot 1 500 virus som kan angripa en PC. Men för den skull är inte datavirus något som ens den gode Mac-användaren får ta lätt på. De kan trots allt sänka prestandan ganska skapligt om oturen är framme. Därför ska man när man tar backuper, spara dem i minst tre genera- tioner. På så sätt underlättar man återskapandet av data på en hårddisk som vid något tillfälle har blivit smittad. SAM ÄR BÄST De överlägst bästa och mest populära kommersiella antivirusprogrammen i Sverige heter SAM (Symantic Antivirus for Macintosh) och Virex. De har bland annat den fördelen att du själv kan skriva in information om de nya virus som dyker upp och på så sätt hindra att dessa infekterar datorn. För att reparera redan infekterade filer måste du dock uppdatera själva programmet. Det finns även några andra produkter som är av intresse. Det är två amerikanska free- ware-program, det vill säga program som man fritt och gratis får lov att kopiera och ge till andra. IDEELL KAMP I fallet med Gatekeeper och Disinfectant är det dessutom något som kon- struktörerna eftersträvar. De bekämpar virusfaran på ideell basis och skriver program som i mångt och mycket matchar de kommersiella produkterna. Fördelen med SAM och Virex är att du kan prenumerera på information om nya virus och själv uppdatera den funktion som hindrar dem att tränga in i din Mac. ____________________________________________________________________________ ____________________________________________________________________________ LÄR DIG MER OM VIRUS: DSR (11/92) Kunskap är det bästa skyddet mot virus. Den som vet hur virus sprids kan undvika farorna utan överdriven försiktighet. Tyvärr har datorpressen inte bidragit till att skapa klarhet i ämnet. I en svensk datortidning läste jag att PC kan få virus när man gör Dir på en smittad diskett. Det stämmer inte. I PC-världen finns det två typer av virus: fil- och bootvirus. De är idag ungefär lika vanliga, men filvirus tycks vara på frammarsch. Inga andra typer av virus existerar i PC-världen. Filvirus sprids via vanliga program. När det smittade programmet körs laddas också viruset in i minnet och ligger där som ett minnesresident program: det ligger aktivt i bakgrunden medan andra program körs som vanligt. Viruset kopierar sig själv till andra programfiler, både på hårddisk och diskett. Bootvirus fungerar på samma sätt, men sprids med via en annan metod. När datorn startas med en diskett på plats i enhet A: försöker datorn läsa in ett program från startspåret på disketten. Finns det inget startprogram ger datorn meddelandet "Ingen systemdiskett, tryck på valfri tangen för att fortsätta". Den här smygvägen utnyttjar bootviruset, som placeras på diskettens startspår. När datorn slås på med en smittad diskett i enhet A: laddas viruset in i minnet och lägger sig som ett minnesresident program. Det döljer sig genom att lämna samma meddelande som en ren diskett hade funnits i A:. Det aktiva bootviruset passar på att infektera hårddiskens startspår. Varje gång datorn slås på, med eller utan diskett, laddas viruset in i minnet. Viruset sprids vidare genom att kopiera sig självt till andra disketter som används i datorn. Varje diskett som stoppas in i en smittad dator kan få boot- viruset. Det förökar sig på så vis snabbt. Virus i PC-världen kan inte smitta på något annat sätt. Mot bootvirus finns det ett hundraprocentigt skydd i de flesta moderna datorer. Läs min spalt i Computer Sweden nummer 36/1992. (Red: eller se DSR 08-10). ____________________________________________________________________________ ____________________________________________________________________________ DEL H BLANDAT SAMT ICKE-RELATERAT DEL H ____________________________________________________________________________ ____________________________________________________________________________ DEL I KONTAKTA DSR! DEL I ____________________________________________________________________________ DSR tar gärna emot nya sponsor/support-system. Om du har speciellt intresse för Rapporten, och/eller vill stödja DSR -- Lämna ditt BBS nummer och annan vital information på The Stash, Sedes Diaboli eller skicka ett E-Mail till vår internet adress för vidare information. ____________________________________________________________________________ ____________________________________________________________________________ ---------------------------------------------------------------------------- ---- The Stash :: Telegard :: 300-14400 :: 24HRS :: DSR #1 Node ---- ---- Sedes Diaboli :: AmiUnix :: 300-14400 :: 24HRS :: DSR Information ---- ---------------------------------------------------------------------------- *** Tidigare nummer av DSR - E-Mail till: chief@lysator.liu.se Endast på förfrågan och endast genom E-Mail. Glöm ej att ange nummer. *** Rapportera / Lämna information - E-Mail till chief@lysator.liu.se med din artikel. Ange om du vill bli listad som informations-lämnare. OBS! Detta måste vara med för att artikeln skall accepteras OBS! ---------------------------------------------------------------- | Källa, Datum, Eventuell Del, Sida, Artikel-författare. | | ---- Och glöm inte artikelns titel ---- | | Ex: Dagens Nyheter, 921120, Del A, Sida 12, Bertil Nyhetsson | ---------------------------------------------------------------- * DSR Internet Mailing List nu fungerande! * Vill du få DSR direkt till din internet-adress? Skicka då E-Mail till chief@lysator.liu.se med texten 'Addera DSR' i "body'n". OBS! 'Addera DSR' *MÅSTE* finnas med, annars fungerar det inte. Då blir du adderad till DSR's Mailing List, och får DSR direkt när den kommer ut, bekvämt och utan arbete, till din adress. ____________________________________________________________________________ ____________________________________________________________________________ Den Svenska Rapporten Nr. 11 November 30, 1992 av TC Chefredaktör för Den Svenska Rapporten ____________________________________________________________________________ ____________________________________________________________________________