Dags att fylla kryptoapparnas kontaktlistor

Why Johnny Can’t Encrypt? är en välciterad akademisk artikel från 2005. I den granskar artikelförfattaren användargränssnittet i krypteringsprogrammet PGP. Och förklaringen till varför Johnny och andra inte krypterar sin e-post handlar till stor del av användarupplevelse. Det är för komplicerat att komma igång, för lätt att göra fel och så vidare.

Sedan 2005 har det blivit enklare att börja använda PGP. Inte minst tack vare webbläsartillägget Mailvelope, ett alternativ som tas upp i den Internetguide jag skrivit åt IIS: Kom igång med PGP.

Men “enklare” innebär tyvärr inte “enkelt”. Johnny och andra väljer fortfarande att skicka okrypterad e-post.

Däremot skickar Johnny (och ja – alla andra) krypterade meddelanden till varandra i större omfattning än någonsin tidigare. Och ofta utan att ens veta om det.

Med start hösten 2014 började till exempel WhatsApp att aktivera kryptering för alla sina användare. Och Facebook, som sedan en tid tillbaka äger WhatsApp, lagade i somras till möjligheten även i Messenger.

Det här är en utveckling som Carl och jag pratar om i det 44:e avsnittet av Digitalsamtal, Från osäker mejl till säkrare appar.

I diskussioner om kryptering landar ofta i en diskussion om vem som har nytta av kryptering. “Bara de som har något att dölja” – underförstått personer med onda avsikter. Och “jag behöver inte kryptering” – underförstått att man inte har onda avsikter.

Den typen av resonemang försvagades rejält i somras. Av amerikanska Democratic Party. Sedan partiet drabbats av hackerattacker gick man ut med en uppmaning om att använda “den Snowden-godkända” appen Signal. För så är det ju. De med onda avsikter har ofta något de vill dölja. Men de har också ett intresse av att läsa det som motståndarna (oavsett på vilket plan någon är en motståndare) kommunicerar till varandra.

Det som är viktigt att komma ihåg är framför allt två saker:

1. Något måste inte vara olagligt, eller ens på gränsen till olagligt, för att vara värt att hålla hemligt. Det räcker bara att det är personligt eller privat.
2. Det som inte är krypterat när det skickas via internet är okrypterat. Och okrypterat innebär lätt för andra att ta del av.

Om du använder WhatsApp som din huvudsakliga kommunikationskanal med dina vänner skickar ni alltså med största sannolikhet krypterade meddelanden till varandra1. Och det är bra. Men kring WhatsApp finns andra frågetecken värda att ha i bakhuvudet, beroende på hur känslig information du skickar och till vem.

I slutet av sommaren ändrades användarvillkoren för WhatsApp så att viss information får delas med moderbolaget Facebook. Vilka konsekvenser ett sånt informationsutbyte får går inte att säga. Men vilka kontakter du har i mobilen kan spela roll för vilket pussel som tjänster på nätet kan lägga.

Både WhatsApp, Facebook Messenger och några andra appar som också fått kryptering inbyggd på sistone använder en teknik utvecklad av den välkände säkerhetsexperten Moxie Marlinspike. Men hans krypteringslösning finns även i den egna appen Signal. Den är ett riktigt bra alternativ. Ett annat är Wire.

Både Wire och Signal löser de problem som Johnny hade (och har) med PGP. Apparna är lika enkla att installera som vilken annan app helst. Och själva krypteringen behöver man som användare över huvud taget inte tänka på. Den är där – och den fungerar.

Pokémon Go fick miljontals användare över en natt. Men trots alla avslöjanden om säkerhetshål och avlyssningsskandaler ekar kontaktlistorna tomma för mig, både i Signal och i Wire. Någon handfull i varje app, och i stort sätt samma personer i båda.

Jag tycker att det är dags att se till att kontaktlistorna växer. Installera någon av apparna (själv gillar jag Wire bäst för tillfället, tack vare lite fler smarta funktioner) – och se till att dina vänner gör samma sak.

Det är inte svårt. Det tar inte lång tid. Men det låter er kommunicera på säkrast möjliga sätt utan att ni behöver lära er något om kryptering.

2. Undantaget är om någon av er fortfarande använder en gammal version av appen, där kryptering inte finns. ↩