Undgå logning af email

På Modspil gennemgår Carsten Agger logningsbekendtgørelsens vanvid, men nogle gange bliver jeg lidt usikker på, om vi mennesker, der ikke bryder os om, at andre åbner vores post, måske er en smule for selvsikre i vores tro på, at vi kan omgå logningen.

Tag nu email, for eksempel. Carsten Aggers forslag er udmærkede, men brugen af Gmail er f.eks. ikke skudsikker, hvis Gmail nu tilfældigvis har et par mailservere stående i Danmark, som tager sig af routing af email for danske brugere. Google har allerede computere stående rundt omkring i verden som en del af deres websøgning, og der ville slet ikke være noget mærkeligt i, at Google tilsvarende installerede mail-computere i Danmark til håndtering af mail sendt fra en Gmail-bruger i Danmark – hvis ikke de allerede har det.

Logningsloven angiver om email, at danske Internetudbydere skal logge afsender og modtager af email. Dette øjensynligt i erkendelsen af, at det ikke er tilstrækkeligt at notere, at man har sendt en mail via sin internetudbyder på et givet tidspunkt, men at man som aflyttende myndighed er mere interesseret i at vide, hvem modtageren er.

For at sende og modtage mail tilkobler du dig to forskellige servere. Den ene benytter du til at sende mail med, og den anden benytter du til at modtage fra. Du kan opfatte den ene som posthusets postkasse, og den anden som din egen postkasse.

Hvis du benytter CyberCity, TDC eller en af de mange andre Internetudbydere i Danmark, har du sikkert sat dit mailprogram op, så det sender mail via denne udbyder. Det har du gjort i dit mailprogram, hvor du under "SMTP" har angivet f.eks. smtp.cybercity.dk (for CyberCitys vedkommende) eller et tilsvarende navn ved din udbyder.

Dette gør det muligt for din Internetudbyder at logge såvel indholdet af din mail – med mindre det er krypteret – som de ting, der er påkrævet i logningsbekendtgørelsen, dvs. din identitet som kunde, din email-adresse og modtagerens email-adresse.

Hvis du vil undgå logning af din udgående email, kan du vælge den dyre løsning, hvor du sætter din egen mail-server op, idet den kommunikerer direkte med andre mailservere. Hermed kan din Internetudbyder kun se, at du benytter din server til at sende mail med, og hvilke servere rundt omkring i verden, du sender mail gennem (dvs. hvilke "posthuse", der kommer til at levere dine emails til modtagernes "postkasser"), men kan ikke se, hvem modtageren af din mail er.

Det kræver desværre, at din server er tændt hele tiden. Bemærk også, at hvis din server router din mail gennem din Internetudbyders mailserver (dvs. gennem smtp.cybercity.dk eller lignende), vil din Internetudbyder alligevel kunne logge dine emails. Dette kan meget være tilfældet, hvis du benytter dig af biblioteker eller en af de små foreninger, der er undtaget af logningsbekendtgørelsen.

Alternativt kan du benytte en udenlandsk SMTP server. Her kan du f.eks. benytte Google som SMTP-server, hvis ellers du tør satse på, at Google ikke har en række mailservere stående i Danmark.

Til sidst kan du benytte dig af lokale webhoteller i udlandet (der i øvrigt ofte er billigere eller tilbyder mere plads end danske webhoteller). Disse webhoteller tilbyder ofte mailservere, som du kan afsende mail igennem, idet du sætter dit mailprogram op til at benytte disse mailservere. Når først du benytter dig af en server, der ikke er placeret i Danmark, kan din danske Internetudbyder højst notere, at du sender email via denne server.

Det er ikke muligt at benytte tor til at afsende mail, fordi det ville lægge alt for meget op til misbrug til spam (spammere ville elske at få fri og ikke-sporbar adgang til port 25).

Det er bedst at logge mails på afsendingstidspunktet. Når først emailen er blevet sendt, ligger den ganske vist og venter på en computer et sted, indtil du henter din mail via POP3 eller IMAP, og selv om denne computer i ro og mag kan analysere din mail, er metoden meget usikker. Årsagen er, at når først en mail er blevet modtaget af serveren og sendt videre i systemet, kan man ikke længere med sikkerhed kan afgøre, hvem der har afsendt den pågældende email. Det er blandt andet derfor, at det er så svært at afgøre, hvor spam kommer fra.

Det giver derfor slet ikke mening at lave en sådan analyse, og det virker derfor heller ikke sandsynligt, at mails vil blive logget, når man henter dem. Skulle du alligevel ønske at være på den sikre side, så gælder der omtrent de samme forholdsregler som for afsendelse. Du behøver dog ikke bekymre dig om, hvorvidt du router gennem din Internetudbyderes mailservere, idet dit mailprogram kobler sig direkte på mailserveren, når du henter mail.

Hvis du bruger en service, der har mailserveren stående i Danmark, og den pågældende mailserver ikke allerede har analyseret din mail, så vil den kunne registrere, at du henter den mail, der er rettet til dig, og i princippet hvem mail-indholdet hævder, at den pågældende mail er fra.

For at undgå denne situation kan du ligesom for udgående mail vælge at benytte et webhotel i udlandet, som ikke har mailservere stående i Danmark. Din Internetudbyder vil herefter højst være i stand til at se, at du henter mail fra denne mailserver.

Du kan benytte tor, når du henter emails, og så kan din Internetudbyder ikke se, at du benytter den pågældende mailserver.

Igen er det også muligt at have sin egen mailserver stående til modtagelse af mail, idet andre mailservere rundt omkring i verden kobler sig direkte på din mailserver for at aflevere mail. Det kræver igen, at din mailserver står tændt hele tiden, og din Internetudbyder vil kunne se, at andre mailservere kontakter din server for at aflevere mail. På denne måde er det faktisk sværere at omgå logningen, end hvis du benytter tor.

Hvis du er helt paranoid omkring mail, så brug webmail på en udenlands server, og benyt tor på din browser. Men så er det straks lidt mere problematisk at kryptere mail. Hvis din webmail bygger på f.eks. IMP, kan det være, at udbyderen har sat den op, så du kan kryptere og dekryptere mail, men du skal i så fald uploade din private(!) nøgle til webmail-programmet.

Til sidst skal det siges, at din Internetudbyder i princippet kan logge al den trafik, du sender gennem dit modem, og vil være i stand til at få puslespillet med kommunikationselementerne ("IP-pakkerne") til at gå op, hvis blot du holder én forbindelse til én service såsom en webside. Brugen af tor kan gøre dette umuligt, og selv uden tor vil en komplet logning af samtlige husstandes Internetkommunikation være så ressourcekrævende, at det i praksis ikke er muligt. Det vil kun være "særligt mistænkelige" personer, man kan ofre disse ressourcer på.

Hvis du vil undgå, at det er dig, der bliver mistænkt, så kan du gøre det gennem "solidaritet", hvor du sammen med så mange andre Internetabonnenter som muligt er med til at gøre så megen af din helt uskyldige Internettrafik "suspekt", idet du krypterer dine mails, benytter dig af tor, går udenom danske mailservere, osv.