Fjärde dagen av konferensen är nu till ända och vår dag här började efter frukost med ett pass som tog avstamp i ett ämne som fortsatt hålls aktuellt, nämligen Edward Snowden och hela historien kring hans handlingar. Denna gång kom Chris Inglis till tals, som var vice generaldirektör på NSA vid den tidpunkt då hela Snowdenhistorien alltmer rullades upp inför allmänheten. Dagens skrattsalva kom när Chris beskrev hur han ansåg att Oliver Stones film om Edward Snowden hade fått porträtteringen av honom själv rejält om bakfoten, han dementerade bestämt att han minsann inte alls smög runt i dimräder med draget hagelgevär dagarna i ända.
Chris Inglis sa också att NSA och övrig underrättelseverksamhet dragit lärdom av hela historien och justerat sina metoder och skyddsåtgärder som omger verksamheten, information och inte minst de människor som figurerar inom ramarna för verksamheten. Där man tidigare främst sett utomstående individer som det främsta hotet utgår man nuförtiden från att man har insiders att bekämpa.
Vi fick en beskrivning av hur stämningen var på NSA efter de avskyvärda 11:e septemberattackerna och hur de direktiv som rullades ut ovanifrån i makthierarkin snabbt ledde till att man ökade NSA:s informationsinsamlingsförmåga. Förmågor till snabb reaktion på misstänkta tecken på terrorbeteenden prioriterades för det mesta. I samband med detta ansåg Chris Inglis att man tappade bort en central del av ledarskapet, nämligen att förmå all personal att förstå och ta till sig organisationens kultur och vad NSA:s arbete faktiskt betyder för det amerikanska samhället och dess allierade. Vidare bekräftades det faktum att man i det dramatiskt ökade verksamhetstempot även i ett antal fall slarvade med grundläggande säkerhetsrelaterade skyddsförmågor internt, såsom segmentering av nätverk och information, kvalitet på autentisering, behörighetstilldelning, påföljder efter misstänkt beteende hos personal och framförallt förmågan att sätta enskilda händelser i relation till varandra för att på så vis snabbare reagera på misstänkt beteende. En personlig reflektion är att det senare är en intressant observation hos en underrättelseorganisation där en av de huvudsakliga uppgifterna är att gräva fram indikationer på misstänkta beteendemönster och information som påvisar händelser som är på väg att inträffa.
En annan personlig reflektion är att hela historien under årens lopp omgärdats av så många olika synpunkter och information av både falsk och sann karaktär. Se exempelvis på ryktesspridningen över innehållet i den numera famösa metadatainsamlingen för telefonsamtal som NSA stod bakom. Det finns parter som än idag hävdar att NSA avlyssnade innehållet i samtliga röstsamtal och lagrade dem som en del av telefonsamtalsövervakningen. Detta finns det inga som helst bekräftade fakta som styrker, samtidigt som det inte går att avfärda att riktad avlyssning tagit plats. Debatten har i en hel del fall helt saknat förmåga att förstå vad som är vad och NSA har ju av naturliga skäl inte öppnat upp sin verksamhet på vid gavel för att omvärlden ska skaffa sig en uppfattning om vad en amerikansk underrättelseorganisation sysslar med.
Ett ämne som löpt genom hela veckan är hur homomorfisk kryptering skulle kunna bli ett verktyg för att skydda data i olika tillstånd och former utan att behöva ge vidlyftig åtkomst till krypteringsnycklar. Idag presenterades även ett förslag till ett nytt protokoll vid namn DEAD (Distributed Expiring Auditable Data), vars syfte är att säkerställa att information verkligen försvinner/blir oläsbar då informationsägaren önskar detta. Det hela går kortfattat ut på att all data krypteras med nycklar som ges livslängder av informationsägaren och att dessa nycklar lagras i “nyckelknippor” som informationsägaren har kontroll över. Då en nyckel expirerar eller dras tillbaka av informationsägaren blir således datat oläsbart i den tjänst där datat lagrades. Det är ett intressant koncept om man sätter det i relation till situationer där man vill säkerställa att en molntjänst inte har kvar någon läsbar kopia av information man lagrat där, inklusive i backuper, i cachefunktioner etc. Dock återstår mycket arbete innan själva DEAD-protokollet ser någon större chans att bli ett allmänt vedertaget protokoll, t.ex. saknas tankar om hur man ska se på tjänster som använder en tilldelad nyckel för att dekryptera data och hur man kan lita på att en sådan tjänst inte lagrar datat i dekrypterad form utan lov från informationsägaren. Som det är i nuläget är detta främst ett protokoll för mer eller mindre persistenta datalagringsmedia, såsom hårddiskar eller backupmedia. Det kan dock vara värt att följa utvecklingen av detta protokoll.
Med detta sagt reser vi hem imorgon efter en händelserik och bra vecka här på RSA-konferensen. Hoppas att ni som läst våra inlägg här uppskattat dem.
Conny Balazs
