• Hoppa till huvudnavigering
  • Hoppa till huvudinnehåll

Anders Thoresson

  • Hem
  • Föreläsningar
  • Blogg
  • Effektivt
  • Digitalsamtal
  • Om
  • Show Search
Hide Search

data

Ett lass mobiltelefoner, en trafikstockning och varför it-säkerhet handlar om mer än datastölder

Publicerad 6 februari, 2020

Det går så klart att skratta gott åt konstnären som lastade en kärra full med mobiltelefoner och lurade Google Maps. Det går också att ta den konstnärliga installationen som en utgångspunkt för funderingar om tillit till data som används som beslutsunderlag.

Den tyske konstnären Simon Weckert har under den senaste veckan fått stor internationell uppmärksamhet för sitt verk Google Map Hacks. Genom att dra en liten kärra med mobiltelefoner efter sig på Berlins gator lyckades han lura Google Maps att tro att det handlade om trafikstockningar, vilka syns som rödmarkerade gator på kartan – en signal till bilister att välja andra, snabbare vägar.

Det är lätt att förstå varför Weckerts verk får stor spridning: Den enskilda personen som lyckas lura it-jättens system.

Men jag tycker att det finns en viktig generell lärdom att dra. När vi pratar om it-säkerhet i dagligt tal handlar det oftast om att skydda sig själv eller sin organisation från datastölder, att förhindra att känslig data som lösenord, kreditkortsnummer eller personuppgifter hamnar i fel händer. Men i takt med att allt mer besluts fattas baserat på data blir det också viktigt att hitta sätt att kontrollera datas äkthet. En fråga man behöver ställa sig är helt enkelt: Kan vi lita på den data som vi fattar våra beslut på, eller finns det en risk att någon har manipulerat den?

Kartappar kan luras med virtuella telefoner också

Redan 2014 skrev jag första gången om en lurad karttjänst. Den gången var måltavlan Waze. Men de två studenter som skapade fejkade trafikstockningarna den gången använde inte ett lass med mobiltelefoner, utan ett ”lass” med virtuella mobiltelefoner.

Först skapade Shir Yadid och Meital Ben-Sinai ett antal virtuella Android-telefoner i en dator, med hjälp av en emulator. I varje virtuell telefon installerade de Waze men också ett program som de själva hade utvecklat. Med TrafficJam matades Waze med falska gps-signaler. Och efter lite experimenterande lyckades Yadid och Ben-Sinai lista ut vilken gps-sekvens de skulle förse Waze med för att tjänsten skulle tolka det hela som en trafikstockning.

Fältförsöken genomfördes på en lågtrafikerad vägsnutt på skolans område, för att andra bilister inte skulle påverkas. Men jämfört med vad Weckert gjort nu är det inte svårt att förstå hur Yadids och Ben-Sinais teknikval kunde ge rubriker över hela världen (bland annat skrev Wired) utan faktiskt också hade potential att erbjuda lite användarnytta:

  1. Skapa en simulerad en trafikstockning (istället för att behöva ta en promenad på gatan som ska rödmarkeras).
  2. Få kartappar att föreslå en annan rutt för sina användare.
  3. Färre bilar och snabbare resa för dem som vet att trafikstockningen är en fejk och därför väljer den rutt som andra bilister undviker.

Hur ser it-säkerheten ut i de digitala annonstavlorna längst våra vägar?

Gör en sökning på billboard hacking och du får en träfflista med artiklar som handlar om hur innehållet på annons- och informationstavlor har ändrats utan ägarens samtycke. Ibland handlar det om analoga, lågtekniska historier. Men det handlar också om elektroniska anslagstavlor, där intrången ibland skett via internet. Så här långt har det ”nyinsatta” budskapet på olika sätt irriterat ägaren, genom att manipulera reklamen som visas eller genom att byta ut den mot porr.

Men om några år, när de självkörande bilarna är här på allvar, finns det potential att utbytta budskap längs våra vägar får helt andra konsekvenser än ett generat skratt och en vansinnig annonstavleägare. Jag läste redan för några år sedan om forskning som visar hur små förändringar av trafikskyltar kan få de självkörande bilarnas algoritmer att tolka dem på helt andra sätt än vad vi människor gör. Det vi människor förstår är en varning om vägarbete tolkar datorn som lämna företräde, en skylt som uppmanar till högersväng tolkas som hal vägbana och så vidare. (Eller, helt irrelevant för det här exemplet, en bild på en panda som med lite manipulation klassas som ”gibbonapa”.)

Den här veckan läste jag om nästa steg: Drönare som projicerar bilder som lurar självkörande bilar. När drönaren projicerar en bild av en gångtrafikant i vägbanan tvärbromsar bilen medan fejkade vägmarkeringar får bilen att köra i diket. Eller, som i slutet av filmen som demonstrerar forskarnas teknik, en vägskylt som bäddas in i en reklamfilm på en stortavla på ett sätt så att ett mänskligt öka inte ens kan se att den är där.

Det här handlar inte om trafik, det handlar om tillit till data

Exemplen har så här långt handlat om olika trafiksituationer. Men det går att generalisera problemen, för det handlar om tillit till data.

I fallen med Google och Waze om den data som samlas in från mobiltelefoner. Vad kan företagen (eller företaget, Waze ägs ju numera av Google) göra för att särskilja riktiga användares telefoner från ett lass på en kärra eller en uppsättning simulerade mobiltelefoner i en dator? En hel del, så klart. Tvätt och kontroll av data sker givetvis, och utvecklas hela tiden. I en kommentar till 9to5Google skriver en representant för Google att företaget har teknik som kan skilja på telefondata som kommer från en motorcyklist och som kommer från en bilist. När det gäller de självkörande fordonen så måste tillverkarna jobba med liknande teknik, som kan särskilja olika typer av visuella intryck från varandra.

Och alla andra som är inblandade i databaserade beslut behöver tänka i samma banor. ”Hur kan vi säkerställa tilltron till datan som vi baserar besluten på?” Det räcker inte att tänka att den underliggande datan är ointressant att stjäla. Det intressanta är vilka beslut som fattas med hjälp av data. Är de tillräckligt viktiga samtidigt som det är någorlunda enkelt att manipulera befintlig data eller lägga till kompletterande datapunkter, då kommer någon att försöka göra det.

Det finns en stor trend mot öppen och/eller delad data, där myndigheter och andra ska dela rå information med varandra. Där data som samlas in på ett ställe kan komma till stor nytta på andra. Det här är en utveckling som jag tror mycket på. Men de här exemplen visar behovet av att noga kontrollera tillförlitligheten i den data man använder: Hur skyddas datakällan mot olika former av manipulation? Hur kontrolleras vem som får skicka data till datakällan? Hur kontrolleras vem som ändrar?

Ett ytterst konkret och aktuellt – men också förhållandevis lågteknologiskt – exempel på det är DN:s pågående granskning av strömningsfusk, där det verkar som om det varit relativt enkelt för artister att köpa lyssnare på Spotify. Det fick P3 att under en period stoppa topplistan Digilistan, som rankade de mest spelade och strömmade låtarna i Sverige varje vecka.

Det här blir i förlängningen också ett resonemang för varför kryptering på nätet är så viktigt. Det pratas allt mer om sensornätverk, som ska mäta och samla in data, skicka den till en server, där den analyseras och lägger grunden för beslut. Det kan vara datapunkter som känns helt meningslösa att skydda: Det är ju ingen hemlighet vad utomhustemperaturen är just nu, till exempel. Så varför kryptera de temperaturuppgifter som sensorerna skickar in?

För att någon inte ska kunna ändra dem på vägen, och få systemen som använder temperaturuppgifterna att fatta helt andra beslut än de borde.

Vilken data fattar din organisation sina beslut på – och hur säkerställer ni tillförlitligheten i den?

Digitalsamtal #206 – Om data och samhälle, med danah boyd

Publicerad 29 november, 2019

danah boyd på Internetdagarnas huvudscen.

Gäst den här veckan är danah boyd, en av huvudtalarna på årets upplaga av Internetdagarna. Hon har bland annat grundat forskningsinstitutet Data & Society. Och det är om data och samhälle som samtalet handlar. Vad data är, hur data påverkar samhället och hur vi bäst kan få ut största möjliga nytta från data och dataanalys samtidigt som problemen begränsas.

Samtalet, precis som hennes keynote, kommer in på ämnet data voids. Läs gärna mer om det i rapporten som Data & Society nyligen publicerade (och som Anders har bloggat om). Missa inte heller Data & Societys föreläsningsserie Databites som går att följa på nätet.

Behöver vi ett donationsregister för persondata?

Publicerad 24 oktober, 2019

Det finns ett donationsregister där vi kan tala om vad vi vill ska hända med våra organ när vi dör. Skulle vi behöva ett liknande donationsregister för persondata, men som till skillnad från det befintliga också gäller så länge vi lever?

Det här med persondata och hur den samlas in, analyseras och används som beslutsunderlag går inte att sluta fundera på. För det är både infallsvinklarna och nyheterna för många.

En tanke som dykt upp under de senaste veckorna, medan jag fortsätter läsa Soshana Zuboffs bok The Age of Surveillance Capitalism och diskuterar personlig integritet i Digitalsamtal och efter lanseringen av Svenskarna och Internet 2019, är om det skulle vara möjligt att skapa något slags motsvarighet till donationsregistret, fast för persondata.

Tesen Zubhoff driver i sin bok är att problemen som finns kring personlig integritet i första hand handlar om hur data om oss har kommersialiserats. I flera exempel återkommer hon till teknik som började med en idé som ”slutna kretslopp”, där den data som samlades in inte delades delades mellan olika företag och där data bara användes för det syfte den faktiskt samlades in. (Har du inte läst boken kan du lyssna på samtalet när Soshana Zuboff besökte Data & Society.)

Med GDPR har EU försökt stämma i bäcken, och satt upp regler för just det: Man har satt upp regler för hur data får samlas in och dessutom bestämt att den bara får användas för det syfte som den ursprungligen samlades in för.

Men jag har fortfarande inte träffat någon som är helt nöjd med GDPR. Kritiken handlar bland annat om att de villkor där vi användare godkänner hur data samlas in fortfarande är så luddigt skrivna att de i praktiken är meningslösa. Men jag hör också röster inom bland annat den akademiska forskningen, inte minst inom medicin, som är oroliga för att GDPR begränsar deras möjligheter att göra dataanalyser för mycket. Det finns data som skulle kunna ge svar på viktiga medicinska frågor eller hjälpa sjukvården till bättre diagnosverktyg, men som GDPR i nuläget sätter stopp för.

Vad skulle krävas för att vi ska kunna kasta om förhållandet? Att vi som teknikanvändare upprepade gånger ska ge vårt tillstånd till att använda data om oss på olika sätt till att en gång för alla kunna säga att det här är jag okej med, i det här kretsloppet får mina personuppgifter finnas. En opt-in på en högre nivå, istället för opt-out tjänst för tjänst.

Det jag läst om Tim Berners-Lees nya projekt Inrupt/Solid drar åt det hållet, till exempel. Men vilka fler projekt, idéer, texter finns kring det här? Jag gör mig inga illusioner om att jag är först med den här tanken, så dela gärna länkar i kommentarsfältet eller via e-post!

Litar du verkligen på molnet?

Publicerad 12 september, 2016

Skilj på arbetsmaterial och referensmaterial. Skilj på sånt du behöver imorgon och sånt du behöver om två, tre år. Eller kanske ännu längre in i framtiden.

Sånt du behöver här och nu kan absolut få ligga hos en molntjänst. Men tänk efter med sånt du behöver på sikt.
För ett litet tag sedan skrev jag om att jag valt Devonthink istället för Evernote. En viktig anledning är bättre funktioner för att hitta det jag letar efter.

Men det viktigaste skälet är att Devonthink inte är en molntjänst och att allt jag sparar i programmet sparas i standardformat som kan öppnas i andra program också.

För referensmaterial som ska finnas kvar om några år är båda de här aspekterna väldigt, väldigt viktiga.

Kraschande hårddiskar och inlåsta filer

Alla molntjänster kan drabbas av en rejäl hårddiskkrasch i eftermiddag1, men sannolikheten att ett företag läggs ner över en natt är liten. Att ha sina att göra-listor hos ett företag som Todoist ser jag därför inget jätteproblem med, men däremot att ha arkivet hos Evernote. Av den anledning att driftsproblem inte är den enda orsaken till att den data som lagras hos ett molnföretag försvinner. Företaget kan köpas upp, få finansiella problem eller av andra anledningar försvinna. I Digitalsamtal #041 pratade Carl och jag om ett sånt fall. Eftersom det är svårt att göra säkerhetskopior av det du sparar hos en molntjänst är du i ett sånt fall körd2.

Ett arkiv är långtidslagring, något vars värde växer med tiden. Om du om några år får ett mail från Evernote att pengarna är slut och bolaget läggs ned om ett halvår, vad gör du då?

Att jag valt Devonthink istället för Evernote handlar därmed också om min återkommande käpphäst: Data som har värde över tid ska lagras i så standardiserade filformat som möjligt. Att stoppa in saker i Evernote är enkelt, att flytta ut dem mer bökigt. Det går och möjligheterna har stadigt förbättrats. Men det här är möjligheter som är beroende av att andra utvecklare skapar lösningar som kan hantera export-filerna som Evernote skapar. Evernote många användare, vilket gör det intressant för andra att kunna ta hand om exportfilerna. Här och nu innebär det att en flytt från Evernote går rätt lätt att genomföra.

Sämre funktioner nu, men tillgång till data sen

Men som jag skrev ovan: För data som över tid är värdefull för mig är här och nu inte rätt bedömningsgrund när jag väljer vad jag ska använda för tjänster och program.

Det här är ett fantastiskt torrt och tråkigt resonemang. Dessutom kan det leda till att en får nöja sig med mjukvara som här och nu är sämre än alternativen.

Med Evernote har det länge varit så, att jag inte hittat något alternativ som funktionsmässigt känns fullvärdigt. Med Devonthink dök ett sånt program upp, med bättre funktioner till och med. Och eftersom jag hade all data i mina referensmappar på hårddisken i välkända filformat tog det mig inte mer än någon halvtimme att vara igång med Devonthink.


  1. Åtminstone i teorin. Sen får vi hoppas att de största, med miljontals användare, har rejäla backupsystem som gör sannolikheten får ordentliga driftsproblem liten. ↩
  2. Att använda molntjänster för att spara säkerhetskopior är däremot ett utmärkt alternativ för hur molnet kan användas! Och då ska kopiorna givetvis helst krypteras innan de lämnar din dator. För det ändamålet kan jag verkligen rekommendera Arq! ↩

Copyright © 2022 · Monochrome Pro på Genesis Framework · WordPress · Logga in