I juli i fjor opplevde Sør-Korea sin største sikkerhetsbrist på nett noensinne, da personlig informasjon fra 35 millioner nettbrukere ble stjålet i et hackerangrep mot to av landets største nettportaler.
70 prosent av landets befolkning mistet kontrollen over opplysninger om navn, telefonnummer, adresse og personnummer. Angrepet var det største i en lengre rekke av datainnbrudd.
For å lettere kunne overvåke og moderere kritikk av myndighetene, ble det i 2004 innført restriksjoner mot anonymitet på nettet. Systemet krever lagring av fullt navn og personnummer fra alle brukere som ønsker å skrive innlegg eller publisere materiale på populære nettsteder, og har gjort Sør-Korea til et fristende mål for internettkriminalitet.
I 2007 ble “real name”-reglene strammet inn, og forbudet mot anonymitet gjelder nå alle nettportaler med mer enn 100.000 daglige brukere, i første rekke sosiale medier og nettaviser.
Prioriterer overvåkning foran personvern
Professor i rettsvitenskap ved Korea University i Seoul Park Kyung-sin forteller at sørkoreanerne er redde etter angrepet, som rammet de populære sosiale nettverkssidene Nate og Cyworld.
Nettverkstjenesten Nate (skjermbilde).
— Tusenvis har gått til sak og vil ha nye personnumre. Ikke alle ofrene ser sammenhengen mellom “real name”-systemet og hackingen, men nesten alle landets eksperter er enige om at systemet gir for store sikkerhetsproblemer og må avvikles, sier Park Kyung-sin til Vox Publica.
Etter hendelsen i sommer og andre liknende angrep mot både offentlige nettsider og private selskaper, så det ut til at forbudet mot anonymitet ville bli opphevet av sikkerhetshensyn. Dette har imidlertid ikke skjedd ennå, men myndighetene kommer høyst sannsynlig til å fjerne kravet om registrering med personnummer.
For sørkoreanske nettportaler ser en foreløpig løsning på sikkerhetsproblemene ut til å bli brukeridentifisering via kredittkort og mobiltelefoner. Praksisendringen ble annonsert i julen, og regnes å være en direkte konsekvens av datainnbruddene.
Nye metoder trenger ikke bety liberalisering
Park Kyung-sin mener at den seneste utviklingen vitner om endring av metoder heller enn endring av holdninger.
— Skandalene har ikke forandret sørkoreanske myndigheters holdning til anonymitet på internett. Myndighetene har stor interesse av å beholde “real name”-systemet, fordi de ønsker å kontrollere forekomsten av opposisjonelle ytringer. Dersom brukere av sosiale medier og nettaviser kan være anonyme igjen, kan ikke myndighetene overvåke enkeltindivider slik som i dag, sier han.
Han forklarer at overvåkning av nettet i dag er svært enkelt, ettersom myndighetene har krav på å få utlevert informasjon om hvem som står bak publiseringer uten å gå gjennom rettssystemet eller si ifra til brukeren det gjelder.
Dersom det innføres et forbud mot å benytte personnummer til brukerregistrering på nettsteder, er det sannsynlig at en alternativ ordning med spesielle “i‑PIN”-numre som kun kan brukes på nettet vil bli innført i stedet.
Sør-Korea har lenge vært kjent som verdens mest nett-oppkoblede land. En stor andel av befolkningen har tilgang til høyhastighets bredbåndsforbindelse.
Markedsføres som internetts redning
Sørkoreanere flest ser, ifølge Park Kyung-sin, hverken sammenhengen mellom systemet som krever oppbevaring av store mengder persondata og datainnbruddene, eller mellom systemet og myndighetenes ønske om å overvåke.
“Real-name”-systemet hadde stor støtte i befolkningen da det ble innført (selv om noen bloggere var kritiske til tallene), og er blitt markedsført som en metode for å holde internett rent, seriøst og fritt for kriminalitet.
Da forbudet først ble forsøkt lansert i 2003, lød ledertitlene i aviser som Korea JoongAng Daily, en engelskspråklig avis som blir solgt sammen med International Herald Tribune, typisk “War on Internet misuse” og “Keeping Net free of trash”. Forbrytere utnyttet anonymiteten på nett, het det i en ledeartikkel:
(…) perpetrators hide behind the Internet’s anonymity. (…) We commend the government for its decision to require Internet users in the private and public sectors to use their real names when leaving messages on Internet bulletin boards.
Få medier tok opp myndighetenes nyvunne evne til å overvåke internettbruk, eller begrensningene i ytringsfriheten forbudet mot anonymitet medfører. Det er i dag enighet blant menneskerettighetsorganisasjoner om at systemet fører til forhåndssensur og knebler offentlig debatt og opinion (se rapport fra organisasjonen Freedom House — pdf).
Ingen tegn til ønsket effekt
Da forbudet ble strammet inn i 2007 ved “The Act on the Promotion of Information and Communications Network Utilization and User Protection” var flere medier kritiske enn i 2003, men fortsatt får myndighetene mye spalteplass til å forklare at tiltakene blir gjort for å beskytte brukere mot nettkriminalitet.
Park Kyung-sin mener imidlertid at tiltakene ikke har hatt noen positiv effekt.
— Myndighetene tror at de vil redusere uønsket eller kriminell aktivitet, men det har vist seg å ikke stemme. Personer som vil publisere uønsket innhold vil fortsette under falsk identitet uansett. Det eneste som skjer er at folk uten slike hensikter får en høyere terskel for å delta i diskusjoner, sier han.
Ifølge professoren viser koreanske studier at forbudet mot anonymitet har ført til høyere andel uønsket innhold på nettet, ettersom total nettaktivitet har gått ned mens uønsket nettaktivitet forblir på samme nivå.
Dagens ordning er også lett å omgå, og dette skal være en av grunnene til at koreanske myndigheter nå revurderer systemet. Siden reglene bare gjelder koreanske portaler, blir systemet også kritisert for å diskriminere koreanske selskaper.
Kina i Sør-Koreas fotspor
Kina går imidlertid i motsatt retning, og innførte i desember et liknende identifikasjonssystem for mikroblogging, noe bl.a. kommunistpartiets organ Folkets Dagblad kaller et “steg i riktig retning”. Argumentene er svært like dem som blir brukt i Sør-Korea. Avisen skriver at anonym mikroblogging resulterte i:
(…) widespread irresponsible remarks, served as soil and air for rumors and encouraged fake online personas who manipulated Web opinions. (…) The new rules could change the online world from a bathroom wall to a channel for rational expression of opinion.
Tiltakene blir altså også i dette landet framstilt som forsøk på å ivareta den “legitime ytringsfriheten”. Fra 1. januar 2012 ble reglene innført også for mange betalingssystemer, bl.a. for kjøp av togbilletter.
Mange bloggere og hackere har den siste måneden protestert mot de nye reglene, bl.a. ved å utføre angrep liknende dem som ble sett i Sør-Korea (se video). Håpet er at også kinesiske myndigheter skal se sikkerhetsproblemene systemer som krever oppbevaring av personopplysninger medfører.
Kina kommer mye dårligere ut enn demokratiet Sør-Korea i Freedom House sine vurderinger av internettfrihet, og blir i 2011 betegnet som “ikke fritt” (se rapport om Kina — pdf ). Sør-Korea har til sammenlikning status som “delvis fritt”.
Bekymret for datasikkerhet i norske nettaviser
Flere norske nettaviser har den siste tiden innført restriksjoner når det gjelder anonyme innlegg i sine nettdebatter. Et av alternativene som har vært diskutert, er å kreve at debattanter oppgir hvem de er overfor redaksjonen, men framstår med pseudonym utad.
Selv om ikke brukere vil måtte oppgi personnummer for å delta i norske nettavisers kommentarfelt, vil endringene likevel føre til økt lagring av persondata hos norske nettaviser og deres samarbeidspartnere.
Torgeir Waterhouse, direktør for internett og nye medier i IKT-Norge, mener at nettaviser og liknende fora kan være interessante mål for hackere.
— Det vil alltid finnes aktører som har interesse av å vite hvem debattdeltakerne er, og som kan utnytte eventuelle sikkerhetsbrister, sier han.
Waterhouse mener at dersom pressens kildevern skal gjelde for de ytringene som skjer i kommentarfelt og debattfora, er det naturlig at også ansvaret for det tekniske kildevernet ligger hos redaktørene.
— Dersom nettdebatt skal sees på som en redaksjonell tjeneste, så har redaksjonen ansvar for å sikre at dine data ikke kommer på avveie. Jeg blir ikke overrasket dersom norske redaktører ikke har reflektert særlig mye rundt den tekniske sikkerheten når de innfører slike ordninger, sier han.
Waterhouse understreker at han ikke sitter med detaljkunnskap om hvordan norske nettaviser og debattportaler oppbevarer personopplysninger, men han mener at problemstillingen burde diskuteres.
— Jeg er bekymret for at sikkerhetsnivået for slike tjenester i dag nok er mer tilfeldig enn det burde være, sier han.