I mars i fjor lanserte Samsung sin første smartmobil utstyrt med selskapets sikkerhetsteknologi Knox. Pentagon klarerte teknologien i april, og i september fikk bedrifter tilgang til de første kommersielle implementasjonene av Knox.

På Mobile World Congress i Barcelona kunngjorde Samsung en forholdsvis omfattende oppgradering av Knox, basert på tilbakemeldinger fra kunder og partnere.

Grunntanken i Knox er å legge et teknologisk grunnlag for sentral styring av sikkerheten i smartmobiler brukt av bedriftens ansatte i embets medfør. Data skal krypteres underveis og ved lokal lagring i enheten, krypteringsnøkler skal vernes om enheten mistes eller stjeles. Tilgang til bedriftstjenester skal gjøres avhengig av roll, plassering og type kopling. Smartmobilen skal kunne deles i områder for henholdsvis privatliv og jobb: Den sentrale styringen skal ikke ha tilgang til det private området.

Oppgraderingen til Knox 2.0 omfatter forbedringer i kjerneteknologien og utvidede tjenester, blant annet med tanke på anvendelse i små og mellomstore bedrifter. Oppgraderingen vil gjøres kommersielt tilgjengelig i løpet av andre kvartal. Knox 2.0 er forhåndsinstallert på den nye Galaxy S5. Teknologien forutsetter Android 4.4 («Kitkat»).

Teknologi
Håndteringen av sertifikater og krypteringsnøkler er bedret. Det skal være mulig å anvende mobilen som smartkort, og det er mulig også for tredjeparts applikasjoner å sikre krypterte data selv om systemet skulle kompromitteres.

Det er innført sanntidsovervåkning i systemet: Hensikten er å avdekke og hindre ikke-autorisert endring av kjernekode.

Tilgang til mobilens «kontainere», det vil si områder der applikasjoner og data vernes, kan underlegges tofaktor biometrisk autentisering. Galaxy S5 kommer som kjent med leser av fingeravtrykk: Autentisering kan kreve både passord og fingeravtrykk.

Tidligere var VPN i Knox begrenset til IPsec. Nå støttes også applikasjonsspesifikke løsninger for SSL-VPN, slik at man kan ta i bruk tjenester fra blant annet Juniper, F5 og Cisco.

Kontainere
Maskinvarestøtten til kontainere er utvidet slik at også tredjeparts kontainere for den samme støtten som Knox-kontaineren. Samsung spesielt leverandører som Good, Fixmo og MobileIron.

Kontaineroppgraderingen innebærer også at tredjepartsapplikasjoner kan kjøres rett inn i en kontainer fra Google Play, uten forutgående «pakking» («wrapping»).

En interessant egenskap for virkelig å skille mellom privatliv og jobb, er at datatrafikk for bedriftstjenester kan skilles fra datatrafikk for private tjenester, ved at kontainerne får hvert sitt APN (access point name). Det innebærer blant annet at de to trafikkstrømmene kan faktureres for seg. Ifølge Samsung har mangelen på mulighet til å fakturere privat dataoverføring for seg vært et alvorlig hinder mot å tillate privat utstyr på jobb. Fra et personvernsynspunkt, er det også klart fordelaktig at bedriften ikke får innsyn i den ansattes private databruk.

Delt faktura forutsetter avtaler med teleoperatører. Den første avtalen av denne typen er inngått med 3 Hong Kong Telecommunications.

Tjenester
Knox utvides med to skytjenester, henholdsvis Knox EMM («enterprise mobility management») og Knox Marketplace. Begge skal gjøre enklere, særlig for små og mellomstore bedrifter, å dra nytte av Knox.

Knox EMM tilbyr tjenester innen forvaltning av både selv telefonene og av ID og tilgang.

Knox Marketplace er en app butikk for Knox-tilpassede mobile bedriftsapplikasjoner og -tjenester.

Et poeng her er at Samsung legger til at brukerne selv melder seg på disse tjenestene. Det krever avtaler med leverandører av selvbetjeningsløsninger for applikasjoner og tjenester. Hittil er én avtale på plass, med Microsoft for tjenesten Workplace Join i System Center 2012R2.

Arild Haraldsens debattinnlegg på digi.no 25. februar inneholder en rekke interessante synspunkter om norsk IT-politikk og utviklingen av IKT i offentlig sektor. Men noen av dem er direkte feil og jeg ønsker ikke disse skal stå uimotsagt.

Haraldsen skriver mellom annet følgende:
«(…) Det er et faktum at utlysningen av digital postkasse i sin tid hadde en kravspesifikasjon som eksplisitt utelukket Altinn som leverandør av den tjenesten. Selv om Brekk ikke nevnte det, kan jeg for egen regning også legge til at Difi i fjor sommer fikk – eller tilegnet seg – driften av ELMA – adresseregisteret for e-fakturaer til det offentlige. Inntil i fjor sommer var det naturlig å se dette i sammenheng med forvaltningen av Enhetsregisteret (register over næringsdrivende). Det prinsipielle poenget her er at Difi ikke bare påtar seg driftsoppgaver på områder som hører hjemme hos andre, men at rolle- og ansvarsfordelingen mellom etatene blir utydeliggjort (…)»

For det første er det direkte feil at kravspesifikasjonen for sikker digital post utelukket Altinn som leverandør av tjenesten. Det er gjort grundige juridiske vurderinger som konkluderer med at offentlig finansierte virksomheter som Brønnøysundregistrene ikke kan konkurrere i marked med private virksomheter. Regjeringen måtte derfor ta en beslutning om tjenesten skulle leveres av private virksomheter i et marked eller av det offentlige selv via Altinn. Regjeringen besluttet at tjenesten skal leveres som en tjeneste i markedet av private aktører.

For det andre er det ikke riktig at Difi har tilegnet seg driften av adresseregisteret for e-fakturaer til det offentlige. Siden 2010 har vi hatt ansvaret for å koordinere tilretteleggingen for at det offentlige skal kunne ta i mot elektroniske fakturaer. Dette oppdraget er gitt som følge av en satsing fra regjeringens side.

Løsningen er basert på PEPPOL infrastrukturen som er etablert gjennom en pilot i EU. Infrastrukturen tilrettelegger for adressering delvis gjennom et sentralt register som identifiserer fakturamottakernes mottaksadresse i hvert enkelt land i EU og sørger for at e-fakturaer kan sendes til riktig mottaker i ulike land. Denne delen av infrastrukturen har vært etablert fra norsk side siden 2010 og har vært i full produksjon siden 2011.

Det har aldri vært tale om at Brønnøysundregistrene skal sørge for implementering av en norsk e-faktura infrastruktur. Det som har vært diskutert er om det bør etableres et felles register som sørger for riktig adressering av alle typer dokumenter mellom virksomheter (offentlig og private) i Norge. Behovet er identifisert, men det er foreløpig ikke etablert noen løsning.

Jeg brenner for utvikling av offentlig sektor og digitalisering og var tilstede på Semicolons seminar. Innhold og diskusjoner var svært interessante, inklusive det som handler om gjennomgangen av Difi. Jeg tror denne vil gi oss riktige og gode rammer for å kunne målrette regjeringens satsing på en mer kraftfull og samordnet digitalisering av offentlig sektor.

Ønske om deling var sentralt hos alle deltakerne på Semicolons møte. Vi har derfor lagt ut et fyldig referat og ser frem til flere konstruktive debatter.

(Arild Haraldsens opprinnelige innlegg kan leses her.)

Bouvet har sendt ut en pressemelding med en kort gjennomgang av regnskapet for 2013.

Årsomsetningen nådde 1,1 milliarder kroner, 8 prosent mer enn i 2012. Driftsresultatet ble 95 millioner kroner.

I fjerde kvartal ble omsetningen 298 millioner kroner, 6 prosent opp fra fjerde kvartal 2012. Driftsresultatet ble 27 millioner kroner, opp 28 prosent fra fjerde kvartal 2012.

Bouvet leverer kommunikasjon, digitale løsninger og rådgivning til kunder i offentlig og privat sektor. Blant kundene til Bouvet er Vinmonopolet, Color Line, Statoil, GDF SUEZ og Jernbaneverket.

Administrerende direktør Sverre Hurum sier årstallene er historiens beste for selskapet.

Flere aktører kunngjorde i fjor tanken om å lage modulbaserte smartmobiler, hvor kundene selv kan velge, sette sammen og skifte ut moduler etter eget ønske. Motorola Mobility var blant disse, men nå som selskapet er i ferd med å bli kjøpt av Lenovo, har dette prosjektet, Project Ara, blitt flyttet over i Google – sammen med hele Advanced Technology and Projects-gruppen (ATAP).

Arbeidet har på ingen måte stoppet opp på grunn av dette, og i går kunngjorde Google ATAP at det skal arrangeres en første konferanse for Ara-utviklere (Ara Developers’ Conference) i midten av april. Konferansen vil foregå ved Computer History Museum i Mountain View, California, med et begrenset antall deltakere, men skal også overføres live via weben.

Google planlegger tre slike konferanser i år. Denne første skal fokusere på alfautgave av Ara Module Developers’ Kit (MDK), som skal være en fri og åpen plattformspesifikasjon og referanseimplementering som inneholder det som er nødvendig for å utvikle en Ara-modul. Disse modulene kan være alt fra selve systembrikken til et artig deksel.

Under konferansen skal foredragsholderne blant annet gå i detalj gjennom eksisterende og planlagt funksjonalitet ved Ara-plattformen. Det loves svar på tilbakemeldinger og konkurranser for modulutviklere.

Videoen ovenfor er utgitt av Phonebloks, et prosjekt den nederlandske designeren Dave Hakkens står bak. Phonebloks ble kjent kort tid før Motorolas lignende prosjekt ble offentliggjort. Omtrent samtidig ble det kjent at de to prosjektene skal samarbeide.

Facebooks oppkjøp av meldingsappen og -tjenesten WhatApp er, som digi.no skrev i går, det nest dyreste IT-oppkjøpet noen sinne. Bare HPs kjøp av Compaq i i 2001 har vært dyrere enn de 19 milliarder dollarene Facebook til slutt tilbød for WhatsApp.

Det har blitt antatt at prisen på WhatsApp har blitt drevet opp gjennom en budkrig. I juli fjor ble WhatsApp vurdert til å ha en verdi på «bare» 1,5 milliarder dollar.

Hvem det er som har konkurrert med Facebook om å kjøpe WhatsApp er ukjent, men det har kommet rapporter om at Google skal ha lagt inn et bud på 10 milliarder dollar.

Dette viser seg nå ikke å stemme. Det forteller senior visepresident Sundar Pichai i Google.

– WhatsApp var definitivt et spennende produkt. Vi kom aldri med noe tilbud om å kjøpe dem. Rapportene i pressen om det motsatt er ganske enkelt usanne, forteller Pichai til britiske The Telegraph.

Facebook-sjef Mark Zuckerberg sa i begynnelsen av uken at han mener at WhatsApp faktisk er verdt mer enn 19 milliarder dollar. Han regner med at verdien vil øke ytterligere fordi han mener WhatsApp er blant de tjenestene som har mulighet til å passere én milliard brukere. I dag har WhatsApp omtrent 465 millioner brukere, noe som er imponerende nok , ikke minst fordi WhatsApp ikke ble etablert før i 2009.

Forleden dag ble Samsung Galaxy S5 presentert på Mobile World Congress i Barcelona. En av nyvinningene er den nye fingeravtrykkleseren som gjør at telefonen kan låses opp ved å sveipe fingeren over hjem-knappen; nesten på samme måte som den nye hjem-knappen fungerer på iPhone 5s.

Les også: Slik fungerer fingeravtrykkleseren på iPhone

Mens Apple lagrer en hashverdi av fingeravtrykket på selve systembrikken og ikke virker å ha noen umiddelbare planer om å gi andre tilgang (det kan kun brukes for å låse opp telefonen og autorisere kjøp i iTunes-butikken), har Samsung på et utviklerarrangement i Barcelona presentert sitt Pass API der tredjeparter får tilgang til fingeravtrykksensoren.

Med API-et kan man gjøre følgende:

• Be om gjenkjenning av fingeravtrykk
• Avbryte gjenkjenning av fingeravtrtykk
• Verifisere at fingeravtrykket samsvarer med fingeravtrykket lagret på telefonen
• Kalle Samsungs funksjon for å registrere nytt fingeravtrykk dersom det ikke er blitt registrert

Da telefonen ble lansert, var også PayPal en av Samsungs samarbeidspartnere, som da vil få støtte for godkjenning av transaksjoner ved at man sveiper fingeren over sensoren. Siden dette API-et nå er tilgjengeliggjort, vil det være rimelig å anta at mange andre utviklere også vil bake inn denne funksjonaliteten i sine apper.

Samsung har også lansert API-er for helsefunksjoner, bevegelsessensorer og mer til. Hele API-et finner du her.

Både Visa og Mastercard kunngjorde nylig at de står klare til å støtte Host Card Emulation (HCE), en teknologi som gjør det mulig for applikasjoner med NFC-støtte å emulere et smartkort. Mens kortinformasjonen i NFC-løsninger til nå har vært lagret i et sikkert element (SE – Secure Element) i smartmobilen eller på SIM- eller SD-kort, lagres det hele i stedet i nettskyen. Dette overføres til applikasjonen når den skal fullføre en transaksjon.

Til Associated Press sier Sam Shrauger, Visas direktør for digitale tjenester i utviklede markeder, at det å ha betalingsinformasjonen tilgjengelig på servere er billigere og enklere å drifte enn å bruke telefonens maskinvare.

– Med maskinvarebaserte systemer må tjenestene inngå avtaler med mobiloperatører og -leverandører, forteller Shrauger. Associated Press skriver at mange amerikanske operatører blant annet har blokker eller vanskeliggjort bruken av Googles NFC-baseret Wallet-applikasjon fordi de selv utvikler et konkurrerende system, Isis. Dette skal ha gjort Wallet bortimot ubrukelig.

Android
Ikke overraskende støttes HCE derfor av Android, men bare fra og med versjon 4.4 (KitKat). Fra før støttes HCE av BlackBerry 7 og nyere. Det betyr at mengden av enheter som kan ta i bruk den nye teknologien, foreløpig er begrenset. Men mye tyder på at dette er i ferd med å løsne. Blant annet kunngjorde Samsung nylig at KitKat nå kommer til en rekke eksisterende modeller, inkludert snart to år gamle Galaxy S3 – i alle fall i USA.

– Vi introduserte HCE for å gjøre det enklere for utviklere å lage NFC-applikasjoner for slik som mobil betaling, lojalitetsprogrammer, billetter og andre tilpassede tjenester, forteller Berjamin Poiesz, en produktsjef i Google, i Visas pressemelding.

Både MasterCard og Visa har gjennomført pilottester av løsningen i samarbeid med banker i blant annet USA og Spania.

Geoposisjonering
I en separat kunngjøring fortalte Mastercard i går at selskapet, i samarbeid med teknologileverandøren Syniverse skal tilby flere nye tjenester rettet mot kredittbruker på utenlandsreise. Blant annet pilottester de to selskapene nå en frivillig løsning som knyttet kredittkortet til den geografiske posisjonen til korteierens mobil. Dette sikrer at kredittkortet ikke kan brukes i andre land enn det landet hvor korteieren mobil befinner seg, men skal også kunne bidra til at færre legitime transaksjoner stoppes. Mellom 50 og 80 prosent av alle MasterCard-transaksjoner som blir stoppet i dag, er legitime, noe som kan føre til betydelige problemer for brukerne.

EMCs sikkerhetsselskap RSA, opphavet til mye av krypteringsteknologien i daglig bruk verden over, holder i disse dager en samling i San Francisco, RSA Conference USA 2014, med 25 000 deltakere, 550 innledere, 400 sponsorer og utstillere, og et stort antall pressefolk. Arrangementet har en sentral plass i det globale IT-sikkerhetsmiljøet.

RSAs arbeidende styreleder («executive chairman») Art Coviello brukte sin hovedinnledning (pdf, 15 sider) til en appell alle verdens nasjoner om å holde seg til fire prinsipper for omgang i den digitale verden:

1. Avstå fra å bruke kybervåpen og fra å gjøre Internett til slagmark.
2. Samarbeid globalt om å etterforske, pågripe og straffeforfølge kyberkriminelle.
3. Forsvar den frie forretningsvirksomheten på Internett og sørg for respekt for åndsverk og opphavsrett.
4. Forsvar og respekter alle individers personvern.

Hadde Coviello vært norsk, ville han helt sikkert trukket en parallell til Magnus Lagabøte: Med lov skal Nettet bygges.

Appellen om å avstå fra å bruke kybervåpen strider, som kjent, mot synspunktene til det offisielle USA.

Noen vil oppfatte at RSA her sitter i glasshus. To ganger de siste årene har RSAs forhold til det offisielle USA skiftet karakter.

Fram til slutten av 1990-tallet kjempet selskapet mot den strenge eksportkontrollen som de ble underlagt, fordi krypteringsteknologi ble klassifisert som våpen. RSA var en høyrøstet kritiker av kreftene bak denne ordningen, særlig etterretningstjenesten NSA.

Eksportkontrollen ble opphevet i 1999. Året etter gikk RSAs patenter gikk ut på dato, og kryptering ble gjenstand for åpne standarder. NSA engasjerte seg i utviklingen av krypteringsstandarder. RSA gikk fra å være kritiker til partner, og støttet NSA i arbeidet for å gjøre Dual_EC_DRBG, en generator av psevdotilfeldige tall, til standard anerkjent av den amerikanske standardiseringsorganisasjonen NIST. Det er siden kommet fram berettiget mistanke om at denne standarden har en bakdør til NSA. I september i fjor advarte NIST mot å bruke standarden. I desember i fjor ble det stilt spørsmål ved om RSA hadde mottatt ti millioner dollar fra NSA for å støtte opp om Dual_EC_DRBG.

I hovedinnlegget nevnte ikke Coviello korrupsjonsanklagen direkte.

Men han pekte på at RSA erstattet Dual_EC_DRBG med andre tallgeneratorer i sine produkter straks NIST kom med sin advarsel. Og han kom med hard kritikk mot NSA for å forkludre skillet mellom tjenestens defensive og offensive roller. Han sluttet seg til anbefalingen til utvalget som president Barack Obama opprettet i fjor høst om å stramme inn amerikanske spiontjenester, blant annet ved å innføre et skarpere skille mellom det defensive, det vil si forsvaret mot kybertrusler, og det offensive, det vil si overvåkning og avlytting.

Coviello understreket at dette rådet ikke bare gjelder USA, det gjelder alle land.

– All etterretning verden over må legge opp en styringsmodell der de gjør mer for å forsvare oss og mindre for å fornærme oss, sa han.

Slik Coviello ser det, er det kyberrommets framtid som står på spill. Verdenssamfunnet mangler normer for opptreden i kyberrom: Uten slike normer går det mot kaos og deretter ruin. Normer er nødvendig for å gjøre forretninger i kyberrom, og for at kyberrom skal oppfattes som trygt å kommunisere i. Stordata («big data») og tingenes Internett er løfterike, men uten normer leder de til «en ødeleggende kraft på høyde alt vi har opplevet siden innledningen på atomalderen».

Derfor må vi «vise samme avsky overfor kyberkrig som overfor kjernefysisk og kjemisk krig».

Derfor må vi sørge for at dagens situasjon, der «kriminelle er de eneste som tjener på at stater prøver å bruke Internett til å styrke seg på andres bekostning», må opphøre.

Derfor må dagens anarki erstattes av normer, lov og orden, slik at framgangen utløst av digitaliseringen kan komme alle til gode.

Og derfor er det påkrevet å håndheve personvernet, gjennom en balanse mellom individuelle rettigheter og felles sikkerhet, regjert etter en rettferdig og åpen modell.

– Mange vil tro at jeg er naiv. Men det finnes presedens. Vi lever i en farlig verden, men avtaler om ikke-spredning av kjernefysiske våpen, forbud mot kjemiske våpen, og forbud mot krig i verdensrommet har gjort den mindre farlig. Hvorfor ikke [gjøre noe tilsvarende] i kyberrom?

Coviello avviser at de fire prinsippene han forslår er en utopisk visjon. Han ser for seg at de kan realiseres, forutsatt at styresmakter legger godvilje til, og forutsatt at IT-bedrifter og andre organisasjoner trer støttende til.

Et grep er å tilby fora der tillit kan bygges ved å utveksle erfaringer og synspunkter.

– Denne RSA-konferansen samler kybertsarene til 12 land for å diskutere sikkerhet og personvern, sa Coviello.

Han ber hele IT-bransjen vise sin oppslutning om prinsippene han foreslår gjennom tilsvarende tiltak.

Han ber om oppslutning rundt det han kaller «innsiktsdrevet sikkerhetsmodell» («intelligence-driven security model»), med løsninger som automatisk avdekker og sperrer for misbruk av nulldagstrusler. Han ber om at en tilsvarende innsikts-basert tilnærming til identitetsløsninger. Han ber om at IT-sikkerhetsbransjen konsentrerer seg om de defensive tiltakene som verner om forretninger, kommunikasjon og tillit, og motvirker tiltak og løsninger som kan føre til at nettet rives i filler.

– Ingen av oss kan få til dette på egen hånd. Privat og offentlig sektor må gå sammen om å skape den digitale verden slik vi vil ha den. Derfor ber jeg alle dere og alle verdens nasjoner arbeide som til menneskehetens felles beste.

Et spørsmål til slutt til dere som leser dette: Burde de fire prinsippene som Coviello foreslår, gjøres til offisiell norsk IT-politikk?

Svenske iZettle har siden juni 2011 levert løsninger som gjør en smartmobil til en betalingsterminal. Målgruppen er små virksomheter som finner det uhensiktsmessig å betale for egne betalingsterminaler, og som trenger en annen ordning for å ta i mot betaling uten å sende faktura.

Teknologisk sett ser løsningen ut til å ha fungert utmerket. iZettle har derimot hatt problemer med å finne en egnet forretningsmodell.

Til å begynne med måtte kunden betale 1,50 kroner per transaksjon, og så 2,75 prosent av det overførte beløpet. Allerede ved 100 transaksjoner per måned, og 400 kroner per transaksjon, medført denne modellen en årlig utgift på 13 800 kroner av en årsomsetning på 480 000. Det var på høyde med årsutgiften til en dedikert mobil betalingsterminal.

iZettle bestemte seg raskt for at de ikke ville ta seg betalt per transaksjon, og utelukkende bygge forretningsmodellen på en andel av overført beløp.

Nå er prismodellen igjen revidert.

Prosentsatsen som skal betales til iZettle senkes etter hvert som omsetningen øker: Den starter på 2,75 prosent og faller til 1,5 prosent ved en månedsomsetning på over 300 000 kroner. En månedsomsetning på 50 000 kroner gir en avgift til iZettle på 2,36 prosent.

iZettle mener den nye modellen gjør dem mer konkurransedyktige sammenliknet med tradisjonelle betalingsterminaler.

Referansekunde for iZettle er Svein Inge Myhre, daglig leder i Trygge Rom, låsesmed og tilbyder av sikkerhetsløsninger. Selskapet brukte tradisjonelle kortterminaler i bilene sine i mange år, men har nå byttet til iZettle. Han sier iZettle befrir dem fra store og tunge terminaler, og i tillegg løser det de opplevde av problemer med dårlig dekning. Han ser fram til at den nye prismodellen også gjør at de kan fokusere på å øke salget uten frykt for høye, faste kostnader.

Den nye prismodellen innføres fra 1. mars. iZettle tar på seg å følge med på omsetningen, og tilbakebetale kostnadsbesparelsen etter den nye modellen ved utgangen av hver måned.

iZettles betalingsløsning består av en kortleser som koples til en mobiltelefon eller et nettbrett over Bluetooth, og en tilhørende applikasjon. Brukeren kjøper kortleseren, installerer applikasjonen og oppretter en konto. Etter ti minutter er løsningen klar til bruk. Kortleseren koster 795 kroner, eks merverdiavgift.