"Den rejsende Højskole", danske Tvind, er under politietterforskning for mistanker om bl.a. skatteunndragelse. I vår gjennomførte politiet razziaer mot åtte Tvind-kontorer og beslagla en rekke PC-er i håp om å finne fellende bevis mot skolesenteret. Nå viser det seg at politiet ikke klarer å lese innholdet på de konfiskerte harddiskene.
Det er Danske Computerworld som i dag skriver at politiet ikke levnes spesielt store sjanser til å tyde innholdet på de beslaglagte Tvind-maskinene. Selv om seks ulike firmaer har tilbudt seg å knekke krypteringen som skjermer innholdet på PC-ene, avviser en rekke eksperter overfor Computerworld at det faktisk lar seg gjøre.
Ett av selskapene, Secure IT i København, har hatt Tvind på kundelisten i en årrekke, og det er dette selskapet som har levert krypteringsprogrammet Safeguard Easy som nå volder politiet i Holstebro betydelig hodepine. Alle harddisker som politiet konfiskerte fra Tvind-razziaene for vel en måneds tid siden er kryptert med enten 128- eller 256-bits nøkler, skriver Computerworld. Ifølge avisen har seks uavhengige sikkerhetsfirmaer - danske så vel som utenlandske - uten hell forsøkt å knekke koden for politiet.
Og nå sier flere eksperter at politiet kan glemme å prøve videre, med mindre Tvind frivillig oppgir krypteringsnøklene.
- Det er ingen sjanse for å knekke krypteringsalgoritmen. Jeg er i hvert fall ikke kjent med danske selskaper som har den erfaring som her behøves, sier professor i kryptering Peter Landrock til den danske teknologiavisen.
Han mener det trengs en "voldsom ekspertise og supercomputere som formodentlig kun etteretningstjenester råder over".
Jan Carlsen ved Institutt for Datasikkerhet sier til www.computerworld.dk at systemet som er benyttet på Tvind-maskinene er nærmest umulig å trenge inn i dersom det er sikkerhetsgodkjent, men holder muligheten oppe dersom systemet ikke er skikkelig implementert - for eksempel ved at også passordet ligger på harddisken.
Leverandøren avviser imidlertid at selv en "halvferdig" implementering gjør Safeguard Easy sårbart. Sikkerhetskonsulent Shehzad Ahmad i SecureIT forklarer at passordet er selvkrypterende, og i de tilfeller noen velger å legge passordet på harddisken vil det i praksis bli kryptert to ganger. Overfor Computerworld hevder han bestemt at det ikke eksisterer noen bakdør i Safeguard Easy.
Politimester Jens Kaasgaard fra Holstebro sier han "aldri har hørt om et system som man ikke kan trenge inn i", og lever fremdeles i håpet om at de vil klare å løse krypteringsfloken.
Uansett mener Kaasgaard at politiet har samlet så mye annet bevismateriale mot Tvind at man kan reise sak mot skolesenteret selv uten innholdet på de krypterte harddiskene.
I kjølvannet av denne saken har det oppstått en diskusjon rundt politiets rett til å kreve utlevert de digitale nøklene som skal til for å lese krypterte dokumenter, på samme måte som det har rett til å hente dokumenter fra låste skap i forbindelse med en ransaking. Stipendiat Jens Petter Berg ved Institutt for Rettsinformatikk sier til digitoday.no at retten til å nekte å oppgi passord er forankret i den europeiske menneskerretighetskonvensjonens vern mot selvinkriminering.
- Man er fritatt for å avgi forklaring som kan felle en sjøl, sier Berg til digitoday.no.
- Den det ransakes hos, er å regne som siktet. Man kan tenke seg et tilfelle der en bedrift har felles krypteringsnøkkel for oppbevaring av data, og der person A er det ransakingen rettes mot. Hvis person B eller C i samme bedrift kan gis status som vitne, har man en vanskelig problemstilling. Vitner har forklaringsplikt. Man kan unndra seg vitneplikt hvis man frykter at vitnemålet vil føre til tap av borgerlig aktelse. Da må politiet få medhold fra en domstol dersom det likevel vil kreve at vitnet forklarer seg. Man kan også unndra seg vitneplikt hvis det man uttaler kan felle en nærtstående person. I offentlig virksomhet kan kryptonøkkelen være taushetsbelagt. I så fall må taushetsplikten oppheves før nøkkelen kan utleveres til politiet.
Berg innrømmer at det kan virke paradoksalt at mens politiet ensidig kan ransake kroppens hulrom, har det ikke adgang til å kreve dekryptering av digitale rom.
* * *
Kryptering er avledet fra det gammelgreske verbet krypto, som betyr 'jeg gjør hemmelig', og innebærer en samlebetegnelse for ulike metoder som benyttes for å sikre konfidensialitet og autentisitet i kommunikasjon. Dekryptering vil si å reversere en krypteringsprosess. For å kunne dekryptere en kryptert melding, må man kjenne den såkalte krypteringsnøkkelen som inngår i krypteringsalgoritmen.
Kompleksiteten til krypteringsalgoritmer klassifiseres etter antall bits (0- eller 1-tall) som inngår i nøklene. Om f.eks nøkkelen er bokstaven X vil dette innebære at det brukes en 8 bits nøkkel fordi ethvert tegn på datamaskinspråk representeres som en 8-bits streng. Framgangsmåten for å finne ut hvilken nøkkel som faktisk er blitt benyttet i en krypteringsalgoritme, er å teste ut alle teoretisk mulige nøkler, helt til man treffer den riktige nøkkelen. Dette er teknisk og praktisk mulig dersom nøklene ikke er så lange (f.eks gir en 8-bits nøkkel bare to opphøyd i åttende mulige nøkler, altså 256 mulige nøkler), men for hver bit man øker krypteringsnøklenes lengde med, dobles antall mulige nøkler.
En 40-bits nøkkel gir dermed omlag 1 billion mulige nøkler. Krypteringsnøkler på mer enn 40 bits ble av National Security Agency inntil for fire år siden ansett for så ressurskrevende å dekryptere at det har vært forbud mot kommersiell eksport av slike, med mindre den delen av krypteringsnøkkelen som overstiger 40 bits deponeres hos myndighetene. Etter at en amerikansk college-student i januar 1997 klarte å knekke en 40 bits nøkkel på mindre enn 4 måneder (!), har eksportrestriksjonene visstnok blitt lempet slik at de ikke gjelder for nøkler opp til 56 bits (kilde: Jens Petter Berg, "Overvåking av kryptert datakommunikasjon på internettet").
