Pind har alligevel ret: Sessionslogning afslører Skype- og Facebook-kommunikation

Skype anvender i udgangspunktet peer-to-peer-kommunikation, hvilket vil sige, at sessionslogning godt kan se, hvilke ip-adresser der kommunikerer med hinanden.

Tale-kommunikation via eksempelvis Skype eller Facebook Messenger efterlader spor, der godt kan aflæses via sessionslogning. Det fremgår af en test-opstilling udført af Version2s redaktion, hvor vi har scannet netværkstrafikken ved blandt andet Skype-opkald.

Resultatet er interessant, fordi justitsminister Søren Pind (V) netop har anført det som argument for at indføre sessionslogning, at de kriminelle kommunikerer via internettet, og at det derfor ikke er nok for politiet at have adgang til opkaldslogs fra det almindelige telenet.

I sidste uge fik Version2 imidlertid fortalt, at sessionslogning er nyttesløst i forhold til eksempelvis Skype-kommunikation.

Forklaringen var, at Skype-trafikken kører via en Microsoft-server, og derfor er det via sessionslogning ikke muligt direkte at se ip-adresserne på parterne, der måtte være involveret i et Skype-opkald.

Dette er ifølge en forklaring fra Microsoft - og de forsøg, som vi har lavet på redaktionen - ikke korrekt. Skype kommunikerer i udgangspunktet peer-to-peer, hvilket vil sige, at det faktisk er muligt at se via sessionslogning, hvilke ip-adresser der har sendt data til hinanden.

P2P trods NAT/Firewall Mange NAT- og firewall-løsninger er i udgangspunktet sat op til ikke at acceptere indgående trafik til en klient på netværket. Alligevel kan peer-to-peer-baserede programmer godt modtage indgående trafik. Det kan foregå ved hjælp af en kendt teknik kaldet UDP-hole punching. Wikipedia har et opslag om teknikken. En mere pædagogisk gennemgang findes i form af en 10 år gammel artikel på det nu lukkede medie The H Security. Et andet eksempelvis på en teknik, der gør det muligt at skabe en peer-to-peer-forbindelse, er STUN.

Flere udenlandske medier har også - på baggrund af et relativt nyt Microsoft tiltag - fortalt historien om, at Skype nu i udgangspunktet kører via en Microsoft server.

Historien lader dog umiddelbart til at bero på en misforståelse på baggrund af et blogindlæg, der handler om, at Skype-brugerens ip-adresse ikke længere kan findes alene ved at kende til deres brugernavne.

En ny funktion i Skype-klienten skulle således beskytte mod dette. Version2 har scannet netværkstrafikken fra en Skype-klient med funktionen slået fra og til.

I begge tilfælde ser det ud til, at Skype-klienten bruger peer-to-peer-kommunikation og dermed afslører sin ip-adresse for den, der kommunikeres med.

Den formodning bliver bekræftet af direktør for politik og strategi i Microsoft Danmark Anders Thomsen. Om den private Skype-løsning siger han:

»Som udgangspunkt så kører Skype-kommunikation som peer-to-peer. Og dermed vil man ved internetlogning jo kunne se ip-adresserne.«

Anders Thomsen fortæller, at det er muligt at køre en business-udgave af Skype som hosted løsning hos Microsoft, og i dette tilfælde vil kommunikationen ske via Microsofts servere.

Men for helt almindelige Skype-klienter er situationen altså en anden.

Tekstbeskeder sendt via Skype er mere anonyme. I de test, som Version2 har gennemført, ser kommunikationen ikke umiddelbart ud til at ske peer-to-peer.

Men selvom sådan en kommunikation kun måtte ske via Microsofts servere, så er den dog ikke nødvendigvis uden for ordensmagtens rækkevidde, såfremt der foreligger en dommerkendelse.

»Hvis vi ligger inde med oplysninger og dommerkendelsen er gyldig i forhold til det, de ønsker at få at vide, så kigger vi på det,« siger Anders Thomsen og tilføjer:

»Der sker en vurdering af, om dommerkendelsen er i orden, og hvis den er det, så samarbejder vi jo med politiet.«

Peer-to-peer kan være interessant

Når der kommunikeres peer-to-peer og ip-adresserne taler direkte med hinanden kan det i princippet være interessant i forhold til sessionslogning. Her lægges der blandt andet op til at registrere ip-adressen på afsender og modtager af datapakker.

På den måde kan politiet i udgangspunktet se, om to parter har været i kontakt med hinanden, altså på samme måde, som det i dag er muligt for ordensmagten af se, hvem der har ringet til hvem på det almindelige telenet.

Da Skype og flere andre programmers dataudveksling foregår krypteret og baserer sig på en lukket protokol, at det dog ikke direkte muligt at se, hvorvidt der faktisk er tale om Skype-trafik mellem de to ip-adresser.

Men da der i forbindelse med et Skype-opkald også foregår en kommunikation til en ip-adresse hos en Microsoft-server, vil det i princippet ad den vej være muligt at se, at der har været kommunikation til en Skype-relateret server. Hvorvidt det så faktisk også kan bruges til at udlede, at peer-to-peer-trafikken er Skype-relateret, er uvist.

Den trafik Version2 har registreret foregår desuden hovedsageligt via UDP-protokollen. Typen af anvendt protokol er også noget af det, der lægges op til at ville blive registreret i forbindelse med sessionslogning, og dette kan måske tjene som et yderligere spor i forhold til, hvilken form for kommunikation, der er tale om.

Hvis en kunde eksempelvis hacker en server, så har vi en log, der viser hvilken privat IP-adresse og hvilket device kunden har brugt. *Pressechef i 3 Rikke Juul*

Flere af de test Version2 har foretaget via et program til scanning af netværkstrafik kaldet Wireshark (se længere nede) bekræfter, at der foregår peer-to-peer kommunikation ved taleopkald ikke alene ved Skype, men også ved Facebooks Messenger-klient.

Kaldene i test-setuppet er sket fra en desktop-maskine på et internt virksomhedsnetværk til en mobiltelefon på mobilselskabet 3's net. I udgangspunktet deler mobiltelefonen en global ip-adresse med flere af 3's andre kunder.

Men ifølge pressechef i 3 Rikke Juul kan selskabet godt finde ud af, hvilken kunde, der har anvendt ip-adressen på et givent tidspunkt.

»Hvis en kunde eksempelvis hacker en server, så har vi en log, der viser hvilken privat IP-adresse og hvilket device kunden har brugt. I forbindelse med de lovkrav, der er stillet fra myndighederne, kan vi på baggrund af en dommerkendelse hente disse informationer frem og udlevere dem til politiet,« skriver pressechefen i en mail til Version2.

Det vil som udgangspunkt også sige, at hvis politiet fandt frem til en interessant ip-adresse via sessionslogning, så ville eksempelvis 3 kunne hjælpe med at opklare, hvem der har brugt adressen, selvom det måtte være sket fra en mobil dataforbindelse.

Kritikere: Logning kan i princippet hjælpe politiet

Internetaktivist fra Bitbureauet Christian Panton medvirkede i den oprindelige artikel om at Skype kommunikerer via en Microsoft-server. Version2 har forelagt ham de nye oplysninger om, at kommunikationen i udgangspunktet ser ud til at ske peer-to-peer.

Panton peger på, at der kan være netværkskonfigurationer, hvor Skypes indbyggede teknik til at skabe peer-to-peer-forbindelser ikke fungerer. En af de teknikker, Skype kan anvende i den forbindelse, kaldes overordnet UDP-hole punching.

Men kunne man ikke forestille sig det omvendte, at to ip-adresser kommunikerer direkte med hinanden og at det her UDP-hole punching virker i langt de fleste tilfælde?

»Det kan også godt være, det gør det. Det virker så for de applikationer, hvor man for eksempel snakker Voice.«

Christian Panton fremhæver, at selv hvis sessionslogning skulle vise sig at give efterforskningsmæssigt mening i forhold til Skype-taletrafik, så vil logningen i udgangspunktet registrere data om al internetkommunikation.

»Hvorom alting er, så lad os kalde det Skype-logning. Så er det Skype man skal logge i stedet for at gå så vidt som at registrere alt.«

Panton peger desuden på, at ip-baseret kommunikation generelt set ikke giver samme entydige billede, som ved almindelige telefonopkald, hvor teleselskaberne kan oplyse politiet om, hvem der har ringet til hvem.

»Hvis man har en logning i telefonnetværket, så er man jo sikker på, der har været en kommunikation på en eller anden måde. Det er ikke lige så stensikkert, når man begynder at lave det med (inter)net. Det er meget mere usikkert.«

Hvis man som anklager står i en situation, og skal sandsynliggøre, at x har haft en kommunikation med y, så er det (sessionslogning) vel ikke helt uanvendeligt?

»Nej, det er jeg helt enig i. Der kan være visse tilfælde, hvor man kan anvende det her. Jeg synes bare ikke, det er så bredt anvendeligt, som for eksempel almindelig telelogning.«

Uanset, om der måtte være sager, hvor data fra sessionslogning kunne bidrage til politiets opklaringsarbejde, så mener Christian Panton ikke, det kan retfærdiggøre den registrering af alle danskeres internetbrug, som sessionslogning ville medføre.

Det synspunkt deles af Jesper Lund fra IT-Politisk Forening. Han beklikker i udgangspunktet ikke, at talekald via eksempelvis Skype kan foregå peer-to-peer.

»Men den der idé med, at man kan grave frem, hvem der har kommunikeret med hvem. Selv hvis det har været peer-to-peer-kommunikation, så vil det være meget svært at skelne mellem, om det er peer-to-peer-talekommunikation eller anden kommunikation,« siger Jesper Lund og nævner som eksempler online-spil og fildeling på noget, der også kan give peer-to-peer-trafik.

Han fortæller, at der i England arbejdes på at indføre logning, der kun registrerer de kommunikationstjenester, folk har brugt. Som Skype. Herefter kan ordensmagten så gå til Microsoft med en dommerkendelse og få nærmere oplysninger om et individs kommunikation.

Det kan eksempelvis lade sig gøre at se, hvorvidt folk har brugt Skype, fordi klienten også ringer til Microsofts server, selvom der bliver brugt peer-to-peer.

Jesper Lund kalder på den baggrund det britiske forslag om sessionslogning for mere gennemarbejdet end det danske, hvor der lægges op til at lagre informationer om al kommunikation.

»Jeg har ikke set noget, og jeg kan ikke forestille mig, hvad det skulle være, som kan retfærdiggøre, at man indsamler så detaljerede oplysninger om en hel befolkning,« siger Jesper Lund.

På samme måde, som Skype gør brug af peer-to-peer-taleopkald, og på samme måde som Facebooks Messenger i Version2’s test ser ud til at gøre det, så har Google netop meldt ud, at også chat-klienten Hangouts fremover vil gøre brug af peer-to-peer-opkald.

I den forbindelse oplyser Google i øvrigt i et indlæg, at der kan være privacy-udfordringer forbundet med teknologien, da det netop er muligt at se ip-adressen, på den person, man kommunikerer med.

Det tekniske setup

Version2 har gennemført flere scanninger at netværkstrafikken i forbindelse med Skype-opkald med open source-programmet Wireshark. Testen er foregået ved at kalde fra en Skype-klient på en desktop-maskine til en Android-mobiltelefon med Skype-installeret.

Desktop-klienten har befundet sig på et netværk bag en NAT (Network Address Translation). Det vil sige, at desktop-klienten ikke uden videre har kunnet tilgås udefra, og at den har delt en offentlig ip-adresse med en stribe andre maskiner.

Mobiltelefonen har ligeledes befundet sig bag, hvad teleselskabet 3 beskriver som en NAT. Det vil sige, at telefonen har fået tildelt en intern ip-adresse hos 3.

Pressechef hos 3 Rikke Juul forklarer i en mail 3’s løsning som følger:

»Her hos 3 har vi flere kunder end IPv4-adresser. Derfor bruger vi en teknisk løsning der gør, at flere kunder kan bruge den samme offentlige IP-adresse. Det vil sige en ’NAT løsning’. Med denne løsning får en kunde en privat IP-adresse (10.X.X.X) inden for vores netværk, mens trafik til internettet er kortlagt fra den private IP-adresse og til en bestemt port. Denne overgang fra privat til offentlig adresse bliver logget i NAT-løsningen, og log-filerne gemmes i et specielt Legal Data Warehouse, hvor de kan hentes efter anmodning fra politiet.«

Wireshark har kørt på desktop-klienten.

Når desktop-klienten har modtaget opkald fra mobiltelefonens Skype-klient, er telefonens globale ip-adresse fremgået i Wireshark-loggen i form af UDP-trafik. Det vil altså sige ip-adressen, som flere 3-kunder deles om, og som teleselskabet kan finde ud af, hvem der har brugt.

Ligeledes har mobiltelefonens globale ip-adresse kunne læses i loggen, når Skype-programmet på desktop-klienten har ringet telefonen op.

Version2 har også scannet netværkstrafikken i forbindelse med talekald via Facebook-messenger. Her er det ligeledes muligt at se, at kaldet foregår fra desktop-computerens ip-adresse til og fra mobiltelefonens globale ip-adresse.

Hvis du som læser har mod på det, hører vi gerne om dine erfaringer med netværksscanninger i henhold til den aktuelle debat om sessionslogning i debatten herunder. Og mener du i det lys, netværksdataene kan bruges til noget eller ej? Kommunikerer Skype altid peer-to-peer? Hvornår gør det ikke? Er der andre, mindre oplagte programmer, som også viser sig at bruge peer-to-peer-kommunikation?

Hvis ikke det er dit eget netværk, du sidder på, så husk at spørge rette vedkommende om lov, inden du bruger programmer som Wireshark.