---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Hejsa!

Nu har jeg efterhånden læst en del blandet om, hvad forskellige
virksomheder mener, om krypterede E-mails, både ind- og udgående.

Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
ikke kan være sikre på, at fortrolige oplysninger ikke forlader
virksomheden ad den vej. En ganske enkel løsning ville dog være at
kræve, at krypterede E-mails krypteres både til modtagerens nøgle samt
en for virksomheden central hovednøgle. Nyere versioner af PGP har
mulighed for at sætte en anmodning om, at 'når du krypterer til denne
nøgle, vil du så ikke også nok kryptere til denne anden nøgle?', som
skulle gøre dette lettere at håndtere. Mange af os husker vel nok
ramaskriget fra folk, der ikke helt forstod anvendeligheden af denne
feature. Alternativt kunne virksomheden have kopier af alle
hemmelige nøgler.

Det virker desuden til, at mange virksomheder ikke ser det værdifulde
i digitale signaturer. Når de kommunikerer over åbne netværk med deres
kunder, er integritet som regel mindst lige så vigtigt som
hemmeligholdelse. Et beløb ændret her, og et par velvalgte ord indsat
der, kan hurtigt komme til at betyde et stærkt forringet
kundeforhold eller det, der er værre.

Jeg ville gerne høre, hvad I har af erfaringer med forskellige
virksomheders politikker inden for dette område.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3IHIUACgkQYu1fMmOQldUiwQCdEC+hOIgL7p9iq2mbTRbn4uIg
L5sAoKQ6dVilpfo1ymQbORltB75KvXMB
=D0Ye
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
> Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
> ikke kan være sikre på, at fortrolige oplysninger ikke forlader
> virksomheden ad den vej. En ganske enkel løsning ville dog være at

Argumentet for ikke at tillade krypteret epost, er typisk for at kunne
scanne indholdet af eposten for fx virus.


--
Christian E. Lysel, http://www.spindelnet.dk/

---

Hej.


"Christian E. Lysel" <sunsite.dk.nntp@spindelnet.dk> wrote in message
news:3DC8236F.7010502@spindelnet.dk...
> Martin Christensen wrote:
> > Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
> > ikke kan være sikre på, at fortrolige oplysninger ikke forlader
> > virksomheden ad den vej. En ganske enkel løsning ville dog være at
>
> Argumentet for ikke at tillade krypteret epost, er typisk for at kunne
> scanne indholdet af eposten for fx virus.

Nu kender jeg ikke de aktuelle tilfælde, men vær også opmærksom på, at i
mange brancher , er eksempelvis en kundeliste af extrem høj værdi for
konkurrenten.

--

Med venlig hilsen/Best regards
Stig Johansen
Stig.Johansen@udvikling.it.dk
(remove dot dk)

---

"Stig Johansen" <stig.johansen@udvikling.it> wrote:

>Nu kender jeg ikke de aktuelle tilfælde, men vær også opmærksom på, at i
>mange brancher , er eksempelvis en kundeliste af extrem høj værdi for
>konkurrenten.

Den finder man nok ud af at faa med hjem, ogsaa uden kryptering.

Jeg tror naermere at forbudet mod kryptering mange steder bygger
paa en frygt for, at oplysninger bliver utilgaengelige for
firmaet, f.eks. hvis manden med noeglen bliver koert over.

Det sjove er bare, at man mange steder alligevel ikke aner,
hvordan man laeser mandens ukrypterede post, mens han ligger paa
hospitalet.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

"Christian E. Lysel" <sunsite.dk.nntp@spindelnet.dk> writes:

> Argumentet for ikke at tillade krypteret epost, er typisk for at kunne
> scanne indholdet af eposten for fx virus.

Man får da heller ikke virus.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3IXWUACgkQYu1fMmOQldXcoACdHNr8MSaDf6eJzvEHpqsALxfK
LLsAnRSnJ5dk92WAnAH7Pg5ryzkWm5Vd
=m0+X
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
> Man får da heller ikke virus.

?


--
Christian E. Lysel, http://www.spindelnet.dk/

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

"Christian E. Lysel" <sunsite.dk.nntp@spindelnet.dk> writes:

>> Man får da heller ikke virus.
> ?

Fornuftig brugeropførsel kan stort set fjerne risikoen for
E-mailbaserede vira, enten til trods for eller med hjælp fra
E-mailsoftware af varierende kvalitet.

Okay, jeg skal gerne indrømme, at min oprindelige kommentar sætter
situationen lidt på spidsen, og til trods for at de ofte ved bedre,
opfører folk sig alligevel tåbeligt, når de får en eller anden
vedhæftet fil, der ser interessant ud.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JLccACgkQYu1fMmOQldVIzACfRjy7EE53jOxPOZSG+tYyWnqy
rQoAoKK3MmjZnzMj+4GWp0Vojk+muc6J
=RPGv
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>>>Man får da heller ikke virus.
>>?
> Okay, jeg skal gerne indrømme, at min oprindelige kommentar sætter
> situationen lidt på spidsen, og til trods for at de ofte ved bedre,

Nej, du skrev man ikke får virus, dette er forkert, alle mine kunde får
masser af virus.

Det du mente var nok at man ikke bliver inficeret, det kan være rigtigt
hvis man tænker sig om :)

---
Christian E. Lysel, http://www.spindelnet.dk/

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

"Christian E. Lysel" <sunsite.dk.nntp@spindelnet.dk> writes:

> Nej, du skrev man ikke får virus, dette er forkert, alle mine kunde
> får masser af virus.
> Det du mente var nok at man ikke bliver inficeret, det kan være
> rigtigt hvis man tænker sig om :)

Grr! Flueknepper!

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JOCgACgkQYu1fMmOQldUkmgCgjvwuu0mSmZjCQBwSV+PqduFj
uBwAnRKBsu22KGYDKn32jlUEJn7YHb26
=s0Lm
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Hejsa!
>
> Nu har jeg efterhånden læst en del blandet om, hvad forskellige
> virksomheder mener, om krypterede E-mails, både ind- og udgående.
>
> Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
> ikke kan være sikre på, at fortrolige oplysninger ikke forlader
> virksomheden ad den vej. En ganske enkel løsning ville dog være at
> kræve, at krypterede E-mails krypteres både til modtagerens nøgle samt
> en for virksomheden central hovednøgle. Nyere versioner af PGP har
> mulighed for at sætte en anmodning om, at 'når du krypterer til denne
> nøgle, vil du så ikke også nok kryptere til denne anden nøgle?', som
> skulle gøre dette lettere at håndtere.

Har du nogen detaljer om, hvordan det er implementeret? Hvis man bare
tager hele beskeden og krypterer to gange med hver sin nøgle, så vil
den jo komme til at fylde dobbelt så meget. Og samtidig har læserne
alligevel ingen garanti for, at der står det samme i begge udgaver.

En anden og bedre løsning ville nok være at bruge en sessionsnøgle
til kryptering af beskeden og blot kryptere sessionsnøglen under to
forskellige modtageres nøgler. Det kan endda indrettes sådan, at en
modtager kan checke at de andre modtagere har fået samme sessionsnøgle,
men at ingen andre end de tiltænkte modtagere kan foretage dette check.

> Mange af os husker vel nok
> ramaskriget fra folk, der ikke helt forstod anvendeligheden af denne
> feature.

Spørgsmålet er så, om man virkelig ønsker at virksomheden skal have
en central mulighed for at læse alle udgående emails. Men det er nok
mere et politisk spørgsmål end det er et teknisk/sikkerhedsmæssigt
spørgsmål.

> Alternativt kunne virksomheden have kopier af alle
> hemmelige nøgler.

Kopier af hvilke hemmelige nøgler?

>
> Det virker desuden til, at mange virksomheder ikke ser det værdifulde
> i digitale signaturer. Når de kommunikerer over åbne netværk med deres
> kunder, er integritet som regel mindst lige så vigtigt som
> hemmeligholdelse. Et beløb ændret her, og et par velvalgte ord indsat
> der, kan hurtigt komme til at betyde et stærkt forringet
> kundeforhold eller det, der er værre.

Ja, jeg mener i langt de fleste tilfælde at signaturer er langt
vigtigere end kryptering. Og de argumenter der til tider bruges imod
kryptering kan sjældent bruges imod signaturer. Hvem vil nogensinde
påstå, at signaturer på emails er en dårlig idé?

Der er naturligvis stadig folk, der ikke har forstået forskellen på
en signatur og en kryptering.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Kasper Dupont <kasperd@daimi.au.dk> writes:

>> En ganske enkel løsning ville dog være at kræve, at krypterede
>> E-mails krypteres både til modtagerens nøgle samt en for
>> virksomheden central hovednøgle. Nyere versioner af PGP har
>> mulighed for at sætte en anmodning om, at 'når du krypterer til
>> denne nøgle, vil du så ikke også nok kryptere til denne anden
>> nøgle?', som skulle gøre dette lettere at håndtere.
> Har du nogen detaljer om, hvordan det er implementeret? Hvis man bare
> tager hele beskeden og krypterer to gange med hver sin nøgle, så vil
> den jo komme til at fylde dobbelt så meget. Og samtidig har læserne
> alligevel ingen garanti for, at der står det samme i begge udgaver.

Nej, jeg ved ikke, hvordan det implementeres. Jeg kan dog se, at en
fil kun bliver omkring 500 bytes større ved at blive krypteret til to
frem for en enkelt nøgler. De der kryptologer er ikke så dumme endda,
så din frygt lader til at være ubegrundet.

>> Mange af os husker vel nok ramaskriget fra folk, der ikke helt
>> forstod anvendeligheden af denne feature.
> Spørgsmålet er så, om man virkelig ønsker at virksomheden skal have
> en central mulighed for at læse alle udgående emails. Men det er nok
> mere et politisk spørgsmål end det er et teknisk/sikkerhedsmæssigt
> spørgsmål.

Virksomheden skal da naturligvis have adgang til at
virksomhedsrelateret kommunikation, hvis det lader sig gøre og er
nyttigt, såvel elektronisk som fysisk (udgående korrespondence mv.).
Hvis nogen sender en besked hjem til konen om, at der er dukket et
uforudset møde op, er der vel ingen grundt til at kryptere det med en
af virksomhedens nøgler. I disse tilfælde går der politik i det,
ja. Men ellers kan jeg ikke se nogen gyldig grund til, at en
medarbejder skal sende E-mails ud i firmaets navn, som kun denne
bestemte medarbejder kan tilgå.

>> Alternativt kunne virksomheden have kopier af alle hemmelige
>> nøgler.
> Kopier af hvilke hemmelige nøgler?

Hvis hver medarbejder har sin egen nøgle, naturligvis signeret af
firmaets hovednøgle, vil det give god mening at gemme en ubeskyttet
kopi af alle disse nøgler. Hvis denne medarbejder skulle glemme eller
nægte/være ude af stand til at udlevere sin passphrase, den hemmelige
nøgle skulle blive slettet eller hvad ved jeg, ville det være tåbeligt
ikke at have en back-up.

> Ja, jeg mener i langt de fleste tilfælde at signaturer er langt
> vigtigere end kryptering. Og de argumenter der til tider bruges imod
> kryptering kan sjældent bruges imod signaturer. Hvem vil nogensinde
> påstå, at signaturer på emails er en dårlig idé?

Jeg skal ikke kunne sige, at integritet konsekvent er vigtigere at
beskytte end hemmeligholdelse, men ellers er jeg helt enig med dig.
At kunne bekræfte al korrespondences ægthed i den grad, man formår at
beskytte sine hemmelige nøgler, er da absolut et gode, der er til at
føle på. Men det lader til, at der skal skade til at gøre klog (selv
om skade lige så tit gør panisk og hysterisk), så indtil en orm rammer
eksempelvis Exchange, der får den til at ændre på indholdet af de
mails, den behandler, er der nok ikke mange ikke-teknisk anlagte, der
overhovedet vil tro, at det er forholdsvist enkelt at ændre eller
forfalske E-mails.

> Der er naturligvis stadig folk, der ikke har forstået forskellen på
> en signatur og en kryptering.

Øh... digitale signaturer er som en personlig underskrift og
kryptering som en magisk konvolut, der kun kan åbnes af den rette
modtager. Ganske vist bygger de begge på samme matematiske principper
og konkrete værktøjer, men ellers har de da på et mere abstrakt plan
ikke særligt meget til fælles. Hvis de to principper bliver blandet
sammen, er der enten en, der ikke har forklaret sig særligt godt,
eller en, der ikke har lyttet ordenligt efter.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3IWbYACgkQYu1fMmOQldUJKQCfZGb+01ZjsHQ1dhmG59Nt2yoK
ncMAniRWW5j/urVcAVsGx4SQGzF7+XHt
=kz6y
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Kasper Dupont <kasperd@daimi.au.dk> writes:
>
> >> Alternativt kunne virksomheden have kopier af alle hemmelige
> >> nøgler.
> > Kopier af hvilke hemmelige nøgler?
>
> Hvis hver medarbejder har sin egen nøgle, naturligvis signeret af
> firmaets hovednøgle, vil det give god mening at gemme en ubeskyttet
> kopi af alle disse nøgler. Hvis denne medarbejder skulle glemme eller
> nægte/være ude af stand til at udlevere sin passphrase, den hemmelige
> nøgle skulle blive slettet eller hvad ved jeg, ville det være tåbeligt
> ikke at have en back-up.

Det kan du jo ikke bruge til at dekryptere udgående emails.

>
> > Der er naturligvis stadig folk, der ikke har forstået forskellen på
> > en signatur og en kryptering.
>
> Øh... digitale signaturer er som en personlig underskrift og
> kryptering som en magisk konvolut, der kun kan åbnes af den rette
> modtager. Ganske vist bygger de begge på samme matematiske principper
> og konkrete værktøjer, men ellers har de da på et mere abstrakt plan
> ikke særligt meget til fælles. Hvis de to principper bliver blandet
> sammen, er der enten en, der ikke har forklaret sig særligt godt,
> eller en, der ikke har lyttet ordenligt efter.

Jeg ved godt, hvad forskellen er. Men det er ikke alle, der
ved det. Hvad årsagen til det er, kan jeg ikke sige.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Kasper Dupont <kasperd@daimi.au.dk> writes:

>> Hvis hver medarbejder har sin egen nøgle, naturligvis signeret af
>> firmaets hovednøgle, vil det give god mening at gemme en ubeskyttet
>> kopi af alle disse nøgler. Hvis denne medarbejder skulle glemme eller
>> nægte/være ude af stand til at udlevere sin passphrase, den hemmelige
>> nøgle skulle blive slettet eller hvad ved jeg, ville det være tåbeligt
>> ikke at have en back-up.
> Det kan du jo ikke bruge til at dekryptere udgående emails.

Ikke automatisk og konsekvent, nej. Er det et problem? (Det er det
vel, hvis man insisterer på at bruge virusscannere.)

> Jeg ved godt, hvad forskellen er. Men det er ikke alle, der ved
> det. Hvad årsagen til det er, kan jeg ikke sige.

Jeg havde skam heller ikke den opfattelse, at du ikke forstod det.
At folk som sådan ikke forstår public key-infrastrukturen, er der
ikkke noget at sige til, for slet ikke at tale om web of trust. Disse
er ikke lige til at forklare lægmænd, og jeg skal da ærligt indrømme,
at det også har taget mig temmeligt lang tid at forstå ordenligt, min
tekniske viden og interesse for emnet til trods.

Er der nogen, der har en god metafor, man kan bruge til at forklare
public key-infrastrukturen og kryptering baseret på denne?

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JKlwACgkQYu1fMmOQldVO9ACfftWgTPNfnIcZDSRZrFQGTqBj
IuoAn3ZQjOowIEJK6mteSE4vfy7IUuB7
=jRjZ
-----END PGP SIGNATURE-----

---

Den Wed, 06 Nov 2002 15:42:36 +0100 skrev Martin Christensen:
>-----BEGIN PGP SIGNED MESSAGE-----
>Hash: SHA1
>
>Kasper Dupont <kasperd@daimi.au.dk> writes:
>
>>> Hvis hver medarbejder har sin egen nøgle, naturligvis signeret af
>>> firmaets hovednøgle, vil det give god mening at gemme en ubeskyttet
>>> kopi af alle disse nøgler. Hvis denne medarbejder skulle glemme eller
>>> nægte/være ude af stand til at udlevere sin passphrase, den hemmelige
>>> nøgle skulle blive slettet eller hvad ved jeg, ville det være tåbeligt
>>> ikke at have en back-up.
>> Det kan du jo ikke bruge til at dekryptere udgående emails.
>
>Ikke automatisk og konsekvent, nej. Er det et problem? (Det er det
>vel, hvis man insisterer på at bruge virusscannere.)

Hvis firmaet forbyder krypterede e-mails, må det nødvendigvis være
udgående mails der er tale om.

At forbyde en bestemt type indgående mails kommer man ikke langt med.
(Jeg forbyder hermed al spam til mine e-mail adresser)

Mvh
Kent
--
6.0 FDiv 3.0 = 1.999773462873 - Intel Pentium bug

---

Kasper Dupont <kasperd@daimi.au.dk> wrote:

>Har du nogen detaljer om, hvordan det er implementeret? Hvis man bare
>tager hele beskeden og krypterer to gange med hver sin nøgle, så vil
>den jo komme til at fylde dobbelt så meget. Og samtidig har læserne
>alligevel ingen garanti for, at der står det samme i begge udgaver.

Utvivlsomt på samme måde som PGP alle dage har gjort det når man
krypterer en besked til mere end én modtager. Og det er,
medmindre jeg husker meget galt, ved at filen indeholder flere
krypterede udgaver af den symmetriske nøgle som brødteksten er
krypteret med. Den symmetriske nøgle er naturligvis genereret
tilfældigt hver gang.

--
Jesper Dybdal, Denmark.
http://www.dybdal.dk (in Danish).

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

leeloo@phreaker.net (Kent Friis) writes:

>>> Det kan du jo ikke bruge til at dekryptere udgående emails.
>>Ikke automatisk og konsekvent, nej. Er det et problem? (Det er det
>>vel, hvis man insisterer på at bruge virusscannere.)
> Hvis firmaet forbyder krypterede e-mails, må det nødvendigvis være
> udgående mails der er tale om.

Altså... lad mig se, om den sev ordenligt ind: du vil altså have, at
man automatisk og konsekvent kan dekryptere udgående mails i en
virksomhed, der forbyder brugen af kryptering?! Og hvordan giver det
mening?

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JTCAACgkQYu1fMmOQldVbagCfSUuO2w2K64bzFhMudNE0AtuJ
qoUAn3hHPD7AacAXUcN9HsEfZMcw5eNe
=9AUa
-----END PGP SIGNATURE-----

---

Den Wed, 06 Nov 2002 18:06:40 +0100 skrev Martin Christensen:
>-----BEGIN PGP SIGNED MESSAGE-----
>Hash: SHA1
>
>leeloo@phreaker.net (Kent Friis) writes:
>
>>>> Det kan du jo ikke bruge til at dekryptere udgående emails.
>>>Ikke automatisk og konsekvent, nej. Er det et problem? (Det er det
>>>vel, hvis man insisterer på at bruge virusscannere.)
>> Hvis firmaet forbyder krypterede e-mails, må det nødvendigvis være
>> udgående mails der er tale om.
>
>Altså... lad mig se, om den sev ordenligt ind: du vil altså have, at
>man automatisk og konsekvent kan dekryptere udgående mails i en
>virksomhed, der forbyder brugen af kryptering?! Og hvordan giver det
>mening?

Jeg prøver igen...

Man kan ikke forbyde indgående krypterede e-mails - og hvis man gør
det alligevel, vil det være virkningsløst.

Altså må det nødvendigvis være udgående e-mails det forbydes at
kryptere. Hvis man krypterer udgående mails, så foregår det det jo
ikke med medarbejderens nøgle (som virksomheden kunne have en kopi
af), men derimod med modtagerens (kundens / leverandørens) offentlige
nøgle. Dette kunne måske være årsagen til at man forbyder krypteringen...

Ved nærmere eftertanke burde det stadig være muligt at kryptere mail'en
med både virksomhedens egen nøgle, og kundens nøgle, så udgående
kommunikation stadig kan læses. Men det finder man jo først ud af når
man har sat sig en smule ind i kryptering, hvilket jeg ikke tror disse
virksomheder har.

Hvad gør en sådan virksomhed iøvrigt hvis de får en kunde/leverandør
der har en sikkerhedspolitik der siger "alle forretningsmails SKAL
være krypterede"[1]? Bruger FAX?

Mvh
Kent

[1] IMHO en meget fornuftig politik.
--
Exception 0E in module IFSMGR.VXD
Press control-alt-delete to reboot

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

leeloo@phreaker.net (Kent Friis) writes:

> Ved nærmere eftertanke burde det stadig være muligt at kryptere mail'en
> med både virksomhedens egen nøgle, og kundens nøgle, så udgående
> kommunikation stadig kan læses.

Det var jo det, jeg foreslog i første omgang.

> Men det finder man jo først ud af når
> man har sat sig en smule ind i kryptering, hvilket jeg ikke tror disse
> virksomheder har.

I teorien burde IT-afdelingen jo hurtigt kunne sætte sig ind i disse
muligheder, hvis ikke allerede de ved det i forvejen. Men som vi ved
er teori og praksis to vidt forskellige størrelser.

> Hvad gør en sådan virksomhed iøvrigt hvis de får en kunde/leverandør
> der har en sikkerhedspolitik der siger "alle forretningsmails SKAL
> være krypterede"[1]? Bruger FAX?

Telefonnettet er ikke helt så åbent som Internettet, men det kan være
slemt nok. Normal brevpost i 'sikre' konvolutter er meget bedre, og de
koster ikke forfærdeligt meget.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JlFEACgkQYu1fMmOQldVd+ACeNpS6tr+VYvNjsS0vY8oZ14at
aEwAnjiCGN3dgrzck3Ct8TTDLZQS471o
=espy
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> leeloo@phreaker.net (Kent Friis) writes:
>
> > Ved nærmere eftertanke burde det stadig være muligt at kryptere mail'en
> > med både virksomhedens egen nøgle, og kundens nøgle, så udgående
> > kommunikation stadig kan læses.
>
> Det var jo det, jeg foreslog i første omgang.

Jaja, men jeg forstår stadig ikke hvad du mente med:
"Alternativt kunne virksomheden have kopier af alle
hemmelige nøgler."

>
> Telefonnettet er ikke helt så åbent som Internettet, men det kan være
> slemt nok. Normal brevpost i 'sikre' konvolutter er meget bedre, og de
> koster ikke forfærdeligt meget.

Tror du at post er bedre sikret mod "aflytning" end
en fax?

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Kasper Dupont <kasperd@daimi.au.dk> writes:

> Jaja, men jeg forstår stadig ikke hvad du mente med:
> "Alternativt kunne virksomheden have kopier af alle
> hemmelige nøgler."

Hver ansat har en krypteringsnøgle, som er beskyttet med en
passphrase, og virksomheden har endvidere en kopi af hver af de
ansattes hemmelige nøgler, som ikke er beskyttet af de ansattes
passphrases. Sandsynligvis skulle disse være gemt godt af vejen, så de
ikke kan opsnappes af tilfældige indbrydende.

> Tror du at post er bedre sikret mod "aflytning" end
> en fax?

Ja, afgjort. 'Sikre' konvolutter kan ikke åbnes uden at blive
ødelagt. Det kræver selvfølgeligt, at man så kan beskytte sig mod, at
den første konvolut bliver skiftet ud med en anden sikker
konvolut. Dette kan fx gøres vha. underskrifter eller vokssegl på
konvolutten. Det bliver i hvert fald mere omstændigt at skulle lytte
med, end at sætte et par krokodillenæb på et par ledninger i det
nærmeste telefonfordelerskab, eller hvad de nu hedder.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3LBY0ACgkQYu1fMmOQldWj7wCfd+OWjjo3LTM2YmBt+vMIXiuk
J1YAnjli6nQvgIHyt+JThfN4Z+p/sDha
=5rzQ
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Kasper Dupont <kasperd@daimi.au.dk> writes:
>
> > Jaja, men jeg forstår stadig ikke hvad du mente med:
> > "Alternativt kunne virksomheden have kopier af alle
> > hemmelige nøgler."
>
> Hver ansat har en krypteringsnøgle, som er beskyttet med en
> passphrase, og virksomheden har endvidere en kopi af hver af de
> ansattes hemmelige nøgler, som ikke er beskyttet af de ansattes
> passphrases. Sandsynligvis skulle disse være gemt godt af vejen, så de
> ikke kan opsnappes af tilfældige indbrydende.

Hvorfor er det et alternativ til også at kryptere udgående mails med
virksomhedens offentlige nøgle, når man ønsker at kunne se indholdet
af de udgående mails?

>
> > Tror du at post er bedre sikret mod "aflytning" end
> > en fax?
>
> Ja, afgjort. 'Sikre' konvolutter kan ikke åbnes uden at blive
> ødelagt. Det kræver selvfølgeligt, at man så kan beskytte sig mod, at
> den første konvolut bliver skiftet ud med en anden sikker
> konvolut. Dette kan fx gøres vha. underskrifter eller vokssegl på
> konvolutten.

Det er altså muligt at åbne konvoluten og læse brevet, dog ikke uden
at modtageren kan opdage det. Men er det godt nok? Det kræver at
modtageren er opmærksom på, at han faktisk skal forvente at modtage
brevet i en speciel konvolut.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Kasper Dupont <kasperd@daimi.au.dk> writes:

>> Hver ansat har en krypteringsnøgle, som er beskyttet med en
>> passphrase, og virksomheden har endvidere en kopi af hver af de
>> ansattes hemmelige nøgler, som ikke er beskyttet af de ansattes
>> passphrases. Sandsynligvis skulle disse være gemt godt af vejen, så de
>> ikke kan opsnappes af tilfældige indbrydende.
> Hvorfor er det et alternativ til også at kryptere udgående mails med
> virksomhedens offentlige nøgle, når man ønsker at kunne se indholdet
> af de udgående mails?

Øh... det er vel et alternativ, fordi det virker. Det er måske også et
bedre alternativ, hvis ikke virksomhedens krypteringsprogrammer
understøtter automatisk kryptering til firmanøglen, da ansatte sikkert
af og til vil glemme at kryptere til denne.

>> Ja, afgjort. 'Sikre' konvolutter kan ikke åbnes uden at blive
>> ødelagt. Det kræver selvfølgeligt, at man så kan beskytte sig mod, at
>> den første konvolut bliver skiftet ud med en anden sikker
>> konvolut. Dette kan fx gøres vha. underskrifter eller vokssegl på
>> konvolutten.
> Det er altså muligt at åbne konvoluten og læse brevet, dog ikke uden
> at modtageren kan opdage det. Men er det godt nok? Det kræver at
> modtageren er opmærksom på, at han faktisk skal forvente at modtage
> brevet i en speciel konvolut.

Det er at foretrække frem for fax, hvilket var det oprindeligt
forslåede alternativ til elektronisk kryptering.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3QBDIACgkQYu1fMmOQldUtMACfVJpY+9amTme6fxlqvz+dUfmN
b9EAnilfHuAt9YO1fp1DunO8TqaM9p0e
=wNn7
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Kasper Dupont <kasperd@daimi.au.dk> writes:
>
> >> Hver ansat har en krypteringsnøgle, som er beskyttet med en
> >> passphrase, og virksomheden har endvidere en kopi af hver af de
> >> ansattes hemmelige nøgler, som ikke er beskyttet af de ansattes
> >> passphrases. Sandsynligvis skulle disse være gemt godt af vejen, så de
> >> ikke kan opsnappes af tilfældige indbrydende.
> > Hvorfor er det et alternativ til også at kryptere udgående mails med
> > virksomhedens offentlige nøgle, når man ønsker at kunne se indholdet
> > af de udgående mails?
>
> Øh... det er vel et alternativ, fordi det virker.

Hvad virker? Hvis man centralt opbevarer kopier af alle medarbejderes
hemmelige nøgler kan man dekryptere alle indgående emails. Men man
kan da ikke dekryptere udgående emails. Du har jo ikke modtagerens
hemmelige nøgle.

> Det er måske også et
> bedre alternativ, hvis ikke virksomhedens krypteringsprogrammer
> understøtter automatisk kryptering til firmanøglen, da ansatte sikkert
> af og til vil glemme at kryptere til denne.

Man kan da bare lade mailserveren sende en fejlmelding tilbage, hvis
afsenderen glemmer det.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Kasper Dupont <kasperd@daimi.au.dk> writes:

> Hvad virker? Hvis man centralt opbevarer kopier af alle medarbejderes
> hemmelige nøgler kan man dekryptere alle indgående emails. Men man
> kan da ikke dekryptere udgående emails. Du har jo ikke modtagerens
> hemmelige nøgle.

Ja, jeg glemte jo lige at nævne en enkelt detalje. De fleste
krypteringsprogrammer understøtter i hvert fald automatisk kryptering
til afsenderen selv som en indstillingsmulighed.

>> Det er måske også et bedre alternativ, hvis ikke virksomhedens
>> krypteringsprogrammer understøtter automatisk kryptering til
>> firmanøglen, da ansatte sikkert af og til vil glemme at kryptere
>> til denne.
> Man kan da bare lade mailserveren sende en fejlmelding tilbage, hvis
> afsenderen glemmer det.

Det er naturligvis også muligt. Det tænkte jeg ikke lige over.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3QNJ0ACgkQYu1fMmOQldW8SQCeMfPFlqCmbK8WftNIc42HwFa+
JGIAoKHbAgqeJxm1neWL8J75/Z8/nc3g
=T/AY
-----END PGP SIGNATURE-----

---

Martin Christensen wrote:
>
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA1
>
> Kasper Dupont <kasperd@daimi.au.dk> writes:
>
> > Hvad virker? Hvis man centralt opbevarer kopier af alle medarbejderes
> > hemmelige nøgler kan man dekryptere alle indgående emails. Men man
> > kan da ikke dekryptere udgående emails. Du har jo ikke modtagerens
> > hemmelige nøgle.
>
> Ja, jeg glemte jo lige at nævne en enkelt detalje. De fleste
> krypteringsprogrammer understøtter i hvert fald automatisk kryptering
> til afsenderen selv som en indstillingsmulighed.

Nå sådan. Nu giver det pludselig mening.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

In article <87r8dz24qi.fsf@gvdnet.dk>, Martin Christensen wrote:
> Nu har jeg efterhånden læst en del blandet om, hvad forskellige
> virksomheder mener, om krypterede E-mails, både ind- og udgående.
>
> Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
> ikke kan være sikre på, at fortrolige oplysninger ikke forlader
> virksomheden ad den vej.

Det argument har jeg ikke hørt. Og jeg har ikke hørt om steder
hvor man direkte har forbudt medarbejdere at kryptere mails.

Det er dog typisk at en IT politik forbyder at sende fortrolige
oplysninger pr. e-mail.

Jeg har hørt argumenter som udrulning, oplæring af brugere,
support, falsk tryghed (hvis der ikke er modtager certfikat),
problemer omkring den initielle certifikatvalidering etc.

Derudover er der så problemet med at krypterede mails ikke
virusscannes, og dermed udgør en sikkerhedsrisiko. Så man skal
sikre sig, at alle brugere med kryptering har seneste version
af anti-virus software, og man kan så ikke opbygge en flerlags-
model med virusscan af et fabrikat på mailserveren, og et andet
på klienten.

> En ganske enkel løsning ville dog være at
> kræve, at krypterede E-mails krypteres både til modtagerens nøgle samt
> en for virksomheden central hovednøgle. Nyere versioner af PGP har
> mulighed for at sætte en anmodning om, at 'når du krypterer til denne
> nøgle, vil du så ikke også nok kryptere til denne anden nøgle?', som
> skulle gøre dette lettere at håndtere. Mange af os husker vel nok
> ramaskriget fra folk, der ikke helt forstod anvendeligheden af denne
> feature. Alternativt kunne virksomheden have kopier af alle
> hemmelige nøgler.

Der er stadig noget administrativ i dette. Og det er ikke helt
trivielt at skulle rulle nøgler ud, få etableret trust-relationship
med alle kunder/leverandører etc...

Det koster mange penge penge at få det til at virke korrekt.

Man ser i stigende grad VPN tuneller mellem virksomheder, og man
router så mails den vej. Dvs de ikke kan opsnappes af 3die-part
på Internet. Men de kan selvfølgelig opsnappes og forvanskes i
infrastrukturen i begge ender.

> Det virker desuden til, at mange virksomheder ikke ser det værdifulde
> i digitale signaturer. Når de kommunikerer over åbne netværk med deres
> kunder, er integritet som regel mindst lige så vigtigt som
> hemmeligholdelse. Et beløb ændret her, og et par velvalgte ord indsat
> der, kan hurtigt komme til at betyde et stærkt forringet
> kundeforhold eller det, der er værre.

Det er korrekt at intergritet er vigtigt, men som regel verificeres
vigtige aftaler hvor man er i tvivl over telefonen. Og enhver der
indgår kontrakter i større mængder skriver under på hver eneste
side, da han ved at der er svindelleverandører der finde på at
skifte enkelte ark ud.

Man har også problemet med papir.
>
> Jeg ville gerne høre, hvad I har af erfaringer med forskellige
> virksomheders politikker inden for dette område.

Jeg har ikke set eller hørt om krypteringsforbud. Men har mange
gode grunde for hvorfor det ikke rulles ud.

---

"Povl H. Pedersen" <povlhp@povl-h-pedersens-computer.local>
wrote:

>Jeg har ikke set eller hørt om krypteringsforbud. Men har mange
>gode grunde for hvorfor det ikke rulles ud.

Da jeg i sin tid blev ansat, skulle jeg skrive under paa, at jeg
ikke maatte have krypterede filer paa min computer. Mails var dog
ikke naevnt.

--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

Allan Olesen wrote:
>
> "Povl H. Pedersen" <povlhp@povl-h-pedersens-computer.local>
> wrote:
>
> >Jeg har ikke set eller hørt om krypteringsforbud. Men har mange
> >gode grunde for hvorfor det ikke rulles ud.
>
> Da jeg i sin tid blev ansat, skulle jeg skrive under paa, at jeg
> ikke maatte have krypterede filer paa min computer. Mails var dog
> ikke naevnt.

Var "filer på min computer", den præcise formulering? Hvad med
filer på en server? Og mails vil jo tit blive gemt i midlertidige
filer undervejs. Men der er jo stadig lige den detalje, at mails
du sender jo ender på en andens computer, mens mails du modtager
har du ikke selv krypteret. Må du have en krypteret fil liggende
på din computer, hvis du ikke selv har krypteret den?

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

Kasper Dupont <kasperd@daimi.au.dk> wrote:

>Var "filer på min computer", den præcise formulering? Hvad med
>filer på en server?

Beklager. Glemte lige, at jeg her i gruppen ville blive udsat for
pernittengryneri.

Formuleringen var sandsynligvis ikke "computer", men det var det,
der var hurtigst for mig at skrive uden at odelaegge pointen.

>Må du have en krypteret fil liggende
>på din computer, hvis du ikke selv har krypteret den?

Hvis jeg husker rigtigt, daekkede formuleringen enhver fil, jeg
havde liggende. Dermed daekkede den i princippet vel ogsaa min
password-fil i Windows, og min .pst-fil i Outlook...

For at teste forbudet havde jeg i oevrigt en meget ioejnefaldende
fil ved navn "krypteret_fil.txt" liggende. Den indeholdt en tekst
i retning af "Den roede hane galer i den gule mose klokken to.".
Det havde jeg meget fornoejelse ud af, da den efter flere aar
blev opdaget.


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

"Martin Christensen" <knightsofspamalot-factotum@gvdnet.dk> skrev i en
meddelelse news:87r8dz24qi.fsf@gvdnet.dk...

> Nu har jeg efterhånden læst en del blandet om, hvad forskellige
> virksomheder mener, om krypterede E-mails, både ind- og udgående.
>
> Det lader til, at mange firmaer forbyder krypterede E-mails, fordi de
> ikke kan være sikre på, at fortrolige oplysninger ikke forlader
> virksomheden ad den vej. En ganske enkel løsning ville dog være at
> kræve, at krypterede E-mails krypteres både til modtagerens nøgle samt
> en for virksomheden central hovednøgle. Nyere versioner af PGP har
> mulighed for at sætte en anmodning om, at 'når du krypterer til denne
> nøgle, vil du så ikke også nok kryptere til denne anden nøgle?', som
> skulle gøre dette lettere at håndtere. Mange af os husker vel nok
> ramaskriget fra folk, der ikke helt forstod anvendeligheden af denne
> feature. Alternativt kunne virksomheden have kopier af alle
> hemmelige nøgler.
>
> Det virker desuden til, at mange virksomheder ikke ser det værdifulde
> i digitale signaturer. Når de kommunikerer over åbne netværk med deres
> kunder, er integritet som regel mindst lige så vigtigt som
> hemmeligholdelse. Et beløb ændret her, og et par velvalgte ord indsat
> der, kan hurtigt komme til at betyde et stærkt forringet
> kundeforhold eller det, der er værre.
>
> Jeg ville gerne høre, hvad I har af erfaringer med forskellige
> virksomheders politikker inden for dette område.

Uden at der er en egentlig stillingtagen på området, skal man medtage den
faktor, at man når man arbejder på eksportmarkedet kan opleve at der er
lovgivningsmæssige restriktioner på brugen af kryptering. I en række lande
bla. europædiske har myndighederne lov til at kræve en tekst afkrypteret.
Onde tunger påstår at disse regler er lavet for at kunne beskytte
hjemmeindustrien, men ihvertfald bør man ikke stille medarbejderne i den
situation, at de risikerer fængsel fordi de vil nægte at afkryptere indtil
at de kan få ledelsens godkendelse til at gøre det.

Så hellere lade være med at kryptere for at undgå at stille medarbejderne i
denne situation.

Med venlig hilsen
Carsten Overgaard

---

Carsten Overgaard wrote:
>
> I en række lande
> bla. europædiske har myndighederne lov til at kræve en tekst afkrypteret.
> Onde tunger påstår at disse regler er lavet for at kunne beskytte
> hjemmeindustrien, men ihvertfald bør man ikke stille medarbejderne i den
> situation, at de risikerer fængsel fordi de vil nægte at afkryptere indtil
> at de kan få ledelsens godkendelse til at gøre det.

Hvorfor skulle man nægte at dekryptere beskeden bare fordi ledelsen
ikke har godkendt det? Hvis loven kræver det, er det da fuldstændig
ligegyldigt hvad ledelsen i virksomheden siger.

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

"Kasper Dupont" <kasperd@daimi.au.dk> skrev i en meddelelse
news:3DC8DC14.211B6614@daimi.au.dk...
> Carsten Overgaard wrote:
> >
> > I en række lande
> > bla. europædiske har myndighederne lov til at kræve en tekst
afkrypteret.
> > Onde tunger påstår at disse regler er lavet for at kunne beskytte
> > hjemmeindustrien, men ihvertfald bør man ikke stille medarbejderne i den
> > situation, at de risikerer fængsel fordi de vil nægte at afkryptere
indtil
> > at de kan få ledelsens godkendelse til at gøre det.
>
> Hvorfor skulle man nægte at dekryptere beskeden bare fordi ledelsen
> ikke har godkendt det? Hvis loven kræver det, er det da fuldstændig
> ligegyldigt hvad ledelsen i virksomheden siger.
>
Det må være sådan at indtil at indtil at de rette eksperter er blevet
konsulteret, hvilket ledelsen normalt skal igangsætte, så gøres der
ingenting. Man kunne nemlig godt forestille sig, at fordi at man giver efter
for et lands lovgiving så overtræder man det andet. Enhver loyal medarbejder
må nødvendigvis afvente en beslutning ovenfra når det drejer sig om disse
sager.

En læge medbringende en journal ville overtræde dansk lovgivning omkring
tavshedspligt hvis han udleverer denne til en fremmed lands myndigheder.

Så kommer man ind på en almen diskusion omkring hvad der tæller mest.
Tilfældige regimers regler eller firmaets regler. Men det vil være for
vidtgående at komme ind på dette.

Med venlig hilsen
Carsten Overgaard

---

Carsten Overgaard wrote:
>
> Man kunne nemlig godt forestille sig, at fordi at man giver efter
> for et lands lovgiving så overtræder man det andet. Enhver loyal medarbejder
> må nødvendigvis afvente en beslutning ovenfra når det drejer sig om disse
> sager.

Mener du dermed, at en loyal medarbejder har pligt til at bevidst
overtræde loven for sin virksomheds skyld? Det er jeg ikke enig i,
og hvis medarbejderen bliver fyret for f.eks. at have rettet sig
efter en dommerkendelse, tror jeg han vil have en god chance i en
erstatningssag mod virksomheden.

>
> En læge medbringende en journal ville overtræde dansk lovgivning omkring
> tavshedspligt hvis han udleverer denne til en fremmed lands myndigheder.

Diskutionen gik så vidt jeg forstod ikke på, at forskellige landes
lovgivning kunne være i modstrid med hinanden. Men derimod på at
en enkelt virksomheds interesser kunne være i modstrid med lokal
lovgivning.

>
> Så kommer man ind på en almen diskusion omkring hvad der tæller mest.
> Tilfældige regimers regler eller firmaets regler. Men det vil være for
> vidtgående at komme ind på dette.

Ja.

XFUT: dk.videnskab.jura

--
Kasper Dupont -- der bruger for meget tid på usenet.
For sending spam use mailto:aaarep@daimi.au.dk
Don't do this at home kids: touch -- -rf

---

Kasper Dupont <kasperd@daimi.au.dk> wrote:

>Mener du dermed, at en loyal medarbejder har pligt til at bevidst
>overtræde loven for sin virksomheds skyld?

Overtraeder man loven ved at soege juridisk bistand?

Er det unaturligt at soege denne bistand gennem firmaet, naar det
er deres interesser, der staar paa spil - og dem, der helst skal
komme til at haenge paa regningen for bistanden?


--
Allan Olesen, Lunderskov.
Danske musikere tjener penge ved ulovlig softwarekopiering.

---

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

"Carsten Overgaard" <info@carstenovergaard.dk> writes:

> Uden at der er en egentlig stillingtagen på området, skal man medtage den
> faktor, at man når man arbejder på eksportmarkedet kan opleve at der er
> lovgivningsmæssige restriktioner på brugen af kryptering. I en række lande
> bla. europædiske har myndighederne lov til at kræve en tekst afkrypteret.
> Onde tunger påstår at disse regler er lavet for at kunne beskytte
> hjemmeindustrien, men ihvertfald bør man ikke stille medarbejderne i den
> situation, at de risikerer fængsel fordi de vil nægte at afkryptere indtil
> at de kan få ledelsens godkendelse til at gøre det.

Hvorfor skulle det være anderledes med krypteret materiale end med alt
muligt andet? "Det må I snakke med min chef om," er da vist et både
normalt og fuldt ud acceptabelt svar, hvis der står en i døren med en
dommerkendelse. At materialet er krypteret betyder ikke andet, end at
de bliver nødt til at dukke op med denne dommerkendelse, og ikke bare
frit kan opsnappe det andetsteds. Dette forudsætter selvfølgeligt, at
virksomheden formår at hemmeligholde sine private nøgler.

Martin

- --
Homepage: http://www.cs.auc.dk/~factotum/
GPG public key: http://www.cs.auc.dk/~factotum/gpgkey.txt
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: Using Mailcrypt+GnuPG <http://www.gnupg.org>

iEYEARECAAYFAj3JK6kACgkQYu1fMmOQldV09wCgloeMM5yNkplSoq6w8zpF81Q9
9G8AnjePO+LAx4TZdR/G+VWKAfVDG/ax
=LsO+
-----END PGP SIGNATURE-----