Categories
CERT Politics

A review of the “Concluding report of the High-Level Group on access to data for effective law enforcement”

(Crossposted from the CERT.at blog.)

As I’ve written here, the EU unveiled a roadmap for addressing the encryption woes of law enforcement agencies in June 2025. As a preparation for this push, a “High-Level Group on access to data for effective law enforcement” has summarized the problems for law enforcement and developed a list of recommendations.

(Side note: While the EU Chat Control proposal is making headlines these days and has ben defeated – halleluja -, the HLG report is dealing with a larger topic. I will not comment on the Chat Control/CSAM issues here at all.)

I’ve read this this report and its conclusions, and it is certainly a well-argued document, but strictly from a law enforcement perspective. Some points are pretty un-controversial (shared training and tooling), others are pretty spicy. In a lot of cases, it hedges by using language similar to the one used by the Commission:

In 2026, the Commission will present a Technology Roadmap on encryption to identify and evaluate solutions that enable lawful access to encrypted data by law enforcement, while safeguarding cybersecurity and fundamental rights.

They are not presenting concrete solutions; they are hoping that there is a magic bullet which will fulfill all the requirements. Let’s see what this expert group will come up with.

Categories
CERT Internet Politics

Chat Control vs. File Sharing

The spectre of “law-enforcement going dark“ is on the EU agenda once again. I’ve written about the unintended consequences of states using malware to break into mobile phones to monitor communication multiple times. See here and here. Recently it became known that yet another democratic EU Member state has employed such software to spy on journalists and other civil society figures – and not on the hardened criminals or terrorists which are always cited as the reason why these methods are needed.

Anyway, I want to discuss a different aspect today: the intention of various law enforcement agencies to enact legislation to force the operators of “over-the-top” (OTT) communication services (WhatsApp, Signal, iChat, Skype, …) to implement a backdoor to the end-to-end encryption feature that all modern applications have introduced over the last years. When I talked to a Belgian public prosecutor last year about that topic he said: “we don’t want a backdoor for the encryption, we want the collaboration of the operators to give us access when we ask for it”

Let’s assume the law enforcement folks win the debate in the EU and chat control becomes law. How might this play out?

Categories
Austria Politics

Ein paar Thesen zu aktuellen Gesetzesentwürfen

(Diesen Blogpost habe ich 2017 für den CERT.at Blog geschrieben. Das hier ist quasi eine Sicherheitskopie.)

Das Thema “LE going dark in the age of encrytion” kocht mal wieder hoch, und noch schnell vor den Neuwahlen wurden entsprechende Gesetzesentwürfe eingebracht. Ich will hier aus technischer Sicht ein paar Argumente in die Diskussion einwerfen, beschränke mich hier aber rein auf den Aspekt Überwachung trotz Verschlüsselung. Die anderen Punkte (Registrierung und Zugriff auf Kameras, Zugriff auf Daten der ISPs, …) sind zwar auch interessant, treffen aber nicht so sehr in das Kerngeschäft von CERTs, ich werde sie daher nicht mit dem CERT.at Hut kommentieren.

Categories
Austria Politics

#define gerechte Pensionen

Weil mal wieder der Generationenvertrag in Sachen Pensionen im Gespräch ist, und Alt gegen Jung diskutiert, will ich hier mal einen Gedanken einwerfen, der zu oft ignoriert wird.

Wir haben ein Umlagesystem bei den Pensionen: die jetzt Arbeitenden zahlen die Pensionen der vorigen Generation in der Erwartung, dass dann ihre Kinder und Enkel das Gleiche für sie machen werden. Alles gut und sinnvoll, aber was genau meinen wir eigentlich mit “das Gleiche machen”?

Durch die demoskopischen Entwicklungen und die Änderungen in der Lebenserwartung sind die Randbedingungen nicht konstant geblieben, die Frage hat daher keine triviale Antwort. Ich sehe grob zwei Ansätze, wobei ich bewusst nicht behaupte, dass der eine wahrer ist als der andere.

Der anspruchsbasierte Ansatz

Nach x Jahren Arbeit / ab dem y. Lebensjahr hat man einen Anspruch auf eine Pension in der Höhe von f(Arbeitseinkommen). Wenn die Generation, die jetzt in Pension ist, das für ihre Vorgänger ermöglicht hat, dann ist es nur fair, wenn auch sie zu den gleichen Konditionen in Pension gehen können. Ja, an ein paar der Parameter wurde in den letzten Jahren leicht gedreht, etwa der Funktion, die aus dem Einkommen über die Berufsjahre die Pensionshöhe ermittelt, aber der Ansatz blieb der gleiche: man hat sich eine Pension in einer gewissen Höhe verdient, und die haben die Kinder und der Staat zu garantieren. “Ist ja fair, wir haben das gleiche für unsere Vorfahren gemacht.”

Der kostenbasierte Ansatz

Wir können aber auch andersherum rechnen: die jetzigen Pensionisten mussten während ihres Arbeitslebens für die Unterstützung ihrer Eltern/Großeltern einen gewissen Teil ihres Einkommens abgeben. Teils direkt per SV-Abgaben auf ihr Einkommen, teils per Arbeitsgeberbeiträge auf ihren Lohn aber auch über Zuschüsse aus dem regulärem Staatsbudget. Das könnte man sicher aus historischen Statistik- und Budgetdaten für jedes Nachkriegsjahr ausheben. Der genaue Prozentwert spielt hier keine Rolle, aber ich bin mir sehr sicher, dass er über die Jahre hinweg gestiegen ist, weil die Bevölkerung nicht mehr so stark wächst (was das Ganze in Richtung Ponzi-Schema gerückt hat) und die Lebenserwartung viel stärker gestiegen ist als das Pensionseintrittsalter. Man kann gut argumentieren, dass das nicht fair ist. Warum sollen heutigen Arbeitenden mehr ihrer Wirtschaftsleistung an die Pensionisten abgeben, als was diese früher für ihre Vorgänger abgegeben haben?


Aus einer rein rationalen Sicht sind beide Ansätze gleich richtig. Beide sind in sich konsistent und logisch. Der Mathematiker und Informatiker in mir sagt: wenn man bei einer Optimierungsaufgabe die Zielfunktion nicht klar definiert (hier “Was ist gerecht?”), dann kann man nicht objektiv die beste Lösung suchen. Das geht mir bei der aktuellen Debatte ab. Die Anerkennung, dass es mehr als einen Blickwinkel auf das Thema gibt, und dass man daher einen politischen Kompromiss suchen wird müssen.

Aber in einem Bereich bin ich ganz hart für den kostenbasierten Ansatz: Angeblich sind die Politikerpensionen in Italien komplett aus dem Ruder gelaufen, weil schon kurze Karrieren dort großen Pensionsansprüche triggern. Hier wäre ein hartes “Aber in Summe kriegen sie nicht mehr als x% vom BIP.” hilfreich.  

Categories
Austria Internet Politics

ID Austria und der Bundestrojaner

[2022-08-16: ein paar Klarstellungen hinzugefügt.]

Letztens hat wer auf Twitter geschrieben, dass es doch sein könnte, dass in die für ID Austria vorgesehene Smartphone App (“Digitales Amt”) ein Bundestrojaner eingebaut ist. Ich halte das für ausgesprochen unwahrscheinlich, die Argumente dahinter (neben den trivialen “das schaffen sie nicht” und “das wäre illegal”) eignen sich aber nicht für Twitter, daher dieser Blogpost.

Auf die Frage, warum SMS nicht mehr sicher genug ist, und warum eine App am Smartphone als zweiten Faktor die Lösung sein soll, will ich hier nicht eingehen. Das ist ein anderes Thema, und ist in der Form auch gar nicht mehr wahr, da auch FIDO Tokens (Level 2) unterstützt werden. Auch das Thema Datenschutz will ich hier nicht ansprechen.

Categories
Internet Life Pet Peeves Politics

Kunst hat Rechte, aber nicht immer recht

Aktuell wird mal wieder viel über das Urheberrecht und die armen Künstler gesprochen. Die Piratenpartei feiert Wahlerfolge und die Gegenseite formiert sich auch.

Ich hab in einem Online-Forum Kommentare dazu geschrieben, hier die kurze Zusammenfassung:

Die Menschen fühlen sich aktuell von der Content / IP – Industrie massiv verarscht. Der kleine Schaffende, der jetzt unter die Räder kommt, ist nicht schuld dran.

Wenn man sich ein bisschen in die Thematik eingelesen hat, und die Exzesse der IP-Industrie sieht, dann ist es mit der Sympathie für diese Leute schlicht vorbei. Beispiele:

  • Software/Business-Patente. Das ist zu einem Kartell der Erpresser verkommen.
  • Verarschung der legitimen Kunden. Ich sag nur DVD mit Region-code, non-skippable Werbung/warnungen (kommt genial auf Kinder-DVDs)
  • Die Explosion des Wissens
  • RIAA Accounting
  • Wir kennen das Lied schon.
  • “Nein, du kannst das nicht in der Form kaufen, die du haben willst.” Beispiel: aktuelle US-Serien. Das ist ein relevanter Markt, der nicht bedient wird. No na wird da filesharing gemacht.

So ganz einseitig und einfach ist aber aber auch nicht, ich empfehle den Piraten mal die Lektüre von Charlie Stross’ Common Misconceptions About Publishing.

Weiters:

Der normale Bürger da draußen, der sich sein Brot in der freien Wirtschaft verdient, fühlt sich ernsthaft verarscht, wenn er von den Künstler ein “Ich brauche die Festplattenabgabe, weil sonst kann ich nicht mehr von meiner Kunst leben!” hört.

Das “ich kann nicht davon leben, was ich gern machen / gelernt habe” ist leider eine Sache, die viele trifft. Vom Greißler über den Cafe-Besitzer bis hin zur Historikerin. Ganze Scharen von arbeitslosen Akademikern haben genau das Problem.

Ja, Diebstahl ist ein Problem. Aber ein vorbeiproduzieren an dem, was (und wie) die Leute denn kaufen würden ist es ebenfalls. Und falls die Kunst meint, es kann ihr egal sein, ob sie was macht das der Markt haben will, dann ist das Liebhaberei und ein Hobby. Aber keine Berechtigung, davon Leben können zu müssen.

Die Gesellschaft als Ganze mag entscheiden, dass man sich Kunst leisten will. Dann sind wir wieder in der Subventions/Almosen/… Schiene, die manchen Künstlern so aufstößt.

Aber:

Der Kern der Problems ist meiner Meinung nach was ziemlich Böses: Die Industrie hat sich daraus entwickelt, dass das Duplizieren von Information (inc. Musik und Filmen) ein technisch anspruchsvolles und daher teuer zu lösendes Problem war. Die Studios, Verlage, … haben eine Lösung für einen Mangel verkauft.

Das hat sich jetzt massiv verändert: Das technische Problem existiert nicht mehr. Der Mangel ist weg. Und es gibt in vielen Bereichen einen massiven Überfluss an Inhalten. Die alten Methoden können in diesem Szenario nicht mehr funktionieren. Ein Beharren darauf kann es nicht sein.

Ein “jeder kann alles und immer ohne jegliche Vergütung kopieren” wird auch kaum die Lösung sein.

Interesting Times. Ich seh keine simple Lösung für das Problem. (und ja, das ist eines)

Addendum (10.5.2012): Auch Meldungen wir diese erhöhen nicht das Verständnis der Bevölkerung für die Forderungen der Musikindustrie.