I december ska Polismyndigheten börja utfärda den nya statliga e-legitimationen, en digital legitimation för identifiering och underskrift på internet. Den ska användas via en app för Android och Iphone. Därmed har Polismyndigheten valt att göra lösningen beroende av plattformar som kontrolleras av Google respektive Apple.
Det kan låta som en bra lösning. Många använder redan Android och Iphone. Men i dagens världsläge finns det skäl att lyfta blicken och fråga sig hur klokt det är att bygga samhällskritiska system, som e-legitimation, på tekniska plattformar som den svenska staten inte kontrollerar.
Visst kan det vara praktiskt för staten att använda teknik från privata företag, men det innebär också en risk. Det går knappast att bortse från att krig och konflikter lätt kan leda till att tekniska eller ekonomiska beroenden gör ett land sårbart. Om svensk e-legitimation är avhängig av plattformar utanför landets kontroll, får det allvarliga säkerhetspolitiska konsekvenser.
EU arbetar för att minska strategiska beroenden av teknik och tjänster från länder utanför unionen. Därför lyfter unionen fram öppen källkod, öppna standarder och interoperabilitet – alltså teknik som kan granskas, bygger på gemensamma standarder och fungerar ihop med andra system. Tanken är att Europa på så sätt ska få större kontroll över sina digitala system och bli mindre beroende av enskilda utländska aktörer.
Sverige har redan utrett flera av de frågor som är relevanta i sammanhanget. Den statliga utredningen En säker och tillgänglig statlig e-legitimation kom 2023 fram till att en statlig e-legitimation bör baseras på öppna standarder. Under remissbehandlingen, när förslaget skickades ut till olika instanser för synpunkter, betonades också behovet av internationella standarder, interoperabilitet och reservlösningar som gör att systemet kan fortsätta fungera om något går på tok.
FOI, Totalförsvarets forskningsinstitut, pekade på att en statlig e-legitimation är ett komplext sociotekniskt system med många externa beroenden. Myndigheten framhöll också att underleverantörer och försörjningsberedskap måste analyseras ur ett kris- och krigsperspektiv. MSB, Myndigheten för samhällsskydd och beredskap, betonade behovet av ökad redundans, alltså inbyggda reservlösningar om något slutar fungera.
EU har också slagit fast att digital suveränitet, alltså att ha kontroll över den digitala tekniken, ska eftersträvas. Mot den bakgrunden bör valen av teknik för e-legitimationen ifrågasättas.
Polismyndigheten har uppgett att det skydd som krävs för den planerade appen i praktiken bara finns hos Apple och Google. Men det stämmer inte. Säkerhet kan uppnås utan att den knyts till leverantörsspecifika plattformar, och då går det att behålla egen kontroll över lösningen.
Avgörande är inte bara vem som lagrar uppgifterna, utan också vem som kontrollerar tekniken som krävs för att man ska kunna bekräfta sin identitet.
Om svaret i praktiken är Apple eller Google har Sverige byggt in ett beroende som gör att staten tappar kontrollen över en samhällskritisk funktion.
Dessutom lämnar en växande skara big tech-plattformarna, de stora teknikföretagens tjänster och system, eftersom de inte vill vara beroende av till exempel Google, Apple eller Microsoft. Dessa människor riskerar att stängas ute om statens tjänster kräver sådana plattformar i stället för att bygga på öppna standarder.
En rimlig e-legitimation bör bygga på fem principer:
• Öppen specifikation: Vem som helst ska kunna skapa en kompatibel implementation som följer samma specifikation och fungerar med andra lösningar.
• Fri programvara: Den viktigaste programvaran ska vara öppen för granskning och vidareutveckling.
• Plattformsoberoende: Lösningen ska inte vara begränsad till att fungera med Apple, Google och Microsoft.
• Leverantörsoberoende: Staten ska kunna byta leverantör utan att bygga om hela infrastrukturen.
• Integritet och decentralisering: Systemet ska utformas så att central lagring och onödig överföring av personuppgifter undviks.
Öppna specifikationer, fri och öppen programvara, plattformsoberoende och skyddet av individens integritet är också centrala delar i DFRI:s, Föreningen för digitala fri- och rättigheters, arbete med e-legitimation.
Det kan låta som om allt detta rör tekniska detaljer, men så är det inte. Det handlar om något mycket djupare: både enskilda människors frihet och Sveriges handlingsfrihet som land.
Polismyndighetens lösning skulle göra oss alla beroende av ett fåtal globala plattformar och därmed försvaga Sveriges ställning som självständig stat.
En svensk e-legitimation, digital identitet, ska vara statens och medborgarnas infrastruktur, gemensamma grund, inte en funktion som i praktiken kontrolleras av några få globala teknikföretag.
EU har börjat behandla digitalt beroende av teknik och tjänster från länder utanför unionen som en strategisk sårbarhet. Sverige bör inte gå i motsatt riktning.
SKRIBENTERNA
Ulrika Vincent, ordförande för DFRI, Föreningen för digitala fri- och rättigheter
Elias Rudberg, styrelsemedlem i DFRI
Jon Arvid Johnson, medlem i DFRI
Fia Ewald, informationssäkerhetssäkerhetsexpert
Per Axbom, designstrateg och folkbildare inom digital etik
Samuel Skånberg, ordförande i Kamratdataföreningen konstellationen
Vill du också skriva på Aktuella frågor? Så här gör du.