NRK
lanserte
for noen uker siden en ny
varslerportal som bruker
SecureDrop til å ta imot tips der det er vesentlig at ingen
utenforstående får vite at NRK er tipset. Det er et langt steg
fremover for NRK, og når en leser bloggposten om hva de har tenkt på
og hvordan løsningen er satt opp virker det som om de har gjort en
grundig jobb der. Men det er ganske mye ekstra jobb å motta tips via
SecureDrop, så varslersiden skriver "Nyhetstips som ikke krever denne
typen ekstra vern vil vi gjerne ha på nrk.no/03030", og 03030-siden
foreslår i tillegg til et webskjema å bruke epost, SMS, telefon,
personlig oppmøte og brevpost. Denne artikkelen handler disse andre
metodene.
Når en sender epost til en @nrk.no-adresse så vil eposten sendes ut
av landet til datamaskiner kontrollert av Microsoft. En kan sjekke
dette selv ved å slå opp epostleveringsadresse (MX) i DNS. For NRK er
dette i dag "nrk-no.mail.protection.outlook.com". NRK har som en ser
valgt å sette bort epostmottaket sitt til de som står bak outlook.com,
dvs. Microsoft. En kan sjekke hvor nettverkstrafikken tar veien
gjennom Internett til epostmottaket vha. programmet
traceroute, og finne ut hvem som eier en Internett-adresse
vha. whois-systemet. Når en gjør dette for epost-trafikk til @nrk.no
ser en at trafikken fra Norge mot nrk-no.mail.protection.outlook.com
går via Sverige mot enten Irland eller Tyskland (det varierer fra gang
til gang og kan endre seg over tid).
Vi vet fra
introduksjonen av
FRA-loven at IP-trafikk som passerer grensen til Sverige avlyttes
av Försvarets radioanstalt (FRA). Vi vet videre takket være
Snowden-bekreftelsene at trafikk som passerer grensen til
Storbritannia avlyttes av Government Communications Headquarters
(GCHQ). I tillegg er er det nettopp lansert et forslag i Norge om at
forsvarets E-tjeneste skal få avlytte trafikk som krysser grensen til
Norge. Jeg er ikke kjent med dokumentasjon på at Irland og Tyskland
gjør det samme. Poenget er uansett at utenlandsk etterretning har
mulighet til å snappe opp trafikken når en sender epost til @nrk.no.
I tillegg er det selvsagt tilgjengelig for Microsoft som er underlagt USAs
jurisdiksjon og
samarbeider
med USAs etterretning på flere områder. De som tipser NRK om
nyheter via epost kan dermed gå ut fra at det blir kjent for mange
andre enn NRK at det er gjort.
Bruk av SMS og telefon registreres av blant annet telefonselskapene
og er tilgjengelig i følge lov og forskrift for blant annet Politi,
NAV og Finanstilsynet, i tillegg til IT-folkene hos telefonselskapene
og deres overordnede. Hvis innringer eller mottaker bruker
smarttelefon vil slik kontakt også gjøres tilgjengelig for ulike
app-leverandører og de som lytter på trafikken mellom telefon og
app-leverandør, alt etter hva som er installert på telefonene som
brukes.
Brevpost kan virke trygt, og jeg vet ikke hvor mye som registreres
og lagres av postens datastyrte postsorteringssentraler. Det vil ikke
overraske meg om det lagres hvor i landet hver konvolutt kommer fra og
hvor den er adressert, i hvert fall for en kortere periode. Jeg vet
heller ikke hvem slik informasjon gjøres tilgjengelig for. Det kan
være nok til å ringe inn potensielle kilder når det krysses med hvem
som kjente til aktuell informasjon og hvor de befant seg (tilgjengelig
f.eks. hvis de bærer mobiltelefon eller bor i nærheten).
Personlig oppmøte hos en NRK-journalist er antagelig det tryggeste,
men en bør passe seg for å bruke NRK-kantina. Der bryter de nemlig
Sentralbanklovens
paragraf 14 og nekter folk å betale med kontanter. I stedet
krever de at en varsle sin bankkortutsteder om hvor en befinner seg
ved å bruke bankkort. Banktransaksjoner er tilgjengelig for
bankkortutsteder (det være seg VISA, Mastercard, Nets og/eller en
bank) i tillegg til politiet og i hvert fall tidligere med Se & Hør
(via utro tjenere, slik det ble avslørt etter utgivelsen av boken
«Livet, det forbannede» av Ken B. Rasmussen). Men hvor mange kjenner
en NRK-journalist personlig? Besøk på NRK på Marienlyst krever at en
registrerer sin ankost elektronisk i besøkssystemet. Jeg vet ikke hva
som skjer med det datasettet, men har grunn til å tro at det sendes ut
SMS til den en skal besøke med navnet som er oppgitt. Kanskje greit å
oppgi falskt navn.
Når så tipset er kommet frem til NRK skal det behandles
redaksjonelt i NRK. Der vet jeg via ulike kilder at de fleste
journalistene bruker lokalt installert programvare, men noen bruker
Google Docs og andre skytjenester i strid med interne retningslinjer
når de skriver. Hvordan vet en hvem det gjelder? Ikke vet jeg, men
det kan være greit å spørre for å sjekke at journalisten har tenkt på
problemstillingen, før en gir et tips. Og hvis tipset omtales internt
på epost, er det jo grunn til å tro at også intern eposten vil deles
med Microsoft og utenlands etterretning, slik tidligere nevnt, men det
kan hende at det holdes internt i NRKs interne MS Exchange-løsning.
Men Microsoft ønsker å få alle Exchange-kunder over "i skyen" (eller
andre folks datamaskiner, som det jo innebærer), så jeg vet ikke hvor
lenge det i så fall vil vare.
I tillegg vet en jo at
NRK
har valgt å gi nasjonal sikkerhetsmyndighet (NSM) tilgang til å se på
intern og ekstern Internett-trafikk hos NRK ved oppsett av såkalte
VDI-noder, på tross av
protester
fra NRKs journalistlag. Jeg vet ikke om den vil kunne snappe opp
dokumenter som lagres på interne filtjenere eller dokumenter som lages
i de interne webbaserte publiseringssystemene, men vet at hva noden
ser etter på nettet kontrolleres av NSM og oppdateres automatisk, slik
at det ikke gir så mye mening å sjekke hva noden ser etter i dag når
det kan endres automatisk i morgen.
Personlig vet jeg ikke om jeg hadde turt tipse NRK hvis jeg satt på
noe som kunne være en trussel mot den bestående makten i Norge eller
verden. Til det virker det å være for mange åpninger for
utenforstående med andre prioriteter enn NRKs journalistiske fokus.
Og den største truslen for en varsler er jo om metainformasjon kommer
på avveie, dvs. informasjon om at en har vært i kontakt med en
journalist. Det kan være nok til at en kommer i myndighetenes
søkelys, og de færreste har nok operasjonell sikkerhet til at vil tåle
slik flombelysning på sitt privatliv.