X-Git-Url: http://pere.pagekite.me/gitweb/homepage.git/blobdiff_plain/004634752854baf4ae880b35fd697a31d4c5d0e5..a8c94673f3e4f51c47ece03204e624e68beafc38:/blog/index.rss

diff --git a/blog/index.rss b/blog/index.rss
index acc2639c71..5c61d576d6 100644
--- a/blog/index.rss
+++ b/blog/index.rss
@@ -6,6 +6,359 @@
                 <link>http://people.skolelinux.org/pere/blog/</link>
                 <atom:link href="http://people.skolelinux.org/pere/blog/index.rss" rel="self" type="application/rss+xml" />
 	
+	<item>
+		<title>Er lover brutt når personvernpolicy ikke stemmer med praksis?</title>
+		<link>http://people.skolelinux.org/pere/blog/Er_lover_brutt_n_r_personvernpolicy_ikke_stemmer_med_praksis_.html</link>
+		<guid isPermaLink="true">http://people.skolelinux.org/pere/blog/Er_lover_brutt_n_r_personvernpolicy_ikke_stemmer_med_praksis_.html</guid>
+                <pubDate>Fri, 9 Dec 2016 14:20:00 +0100</pubDate>
+		<description>&lt;p&gt;NÃ¥r jeg bruker &lt;a href=&quot;https://www.ghostery.com/&quot;&gt;Ghostery&lt;/a&gt;,
+&lt;a href=&quot;https://www.ublock.org/&quot;&gt;uBlock&lt;/a&gt;,
+&lt;a href=&quot;https://github.com/gorhill/uMatrix&quot;&gt;uMatrix&lt;/a&gt;,
+&lt;a href=&quot;https://github.com/andryou/scriptsafe&quot;&gt;ScriptSafe&lt;/a&gt; og andre
+nettleserverktøy (de passer på hverandre) for å holde styr på hvordan
+nettsteder sprer informasjon om hvilke nettsider jeg leser blir det
+veldig synlig hvilke nettsteder som er satt opp til å utveksle
+informasjon med utlandet og tredjeparter.  For en stund siden la jeg
+merke til at det virker å være avvik mellom personvernpolicy og
+praksis endel steder, og tok tak i et par konkrete eksempler og sendte
+spørsmål til Datatilsynets kontaktpunkt for veiledning:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg har et spørsmål når det gjelder bruken av Google Analytics og
+personvernpolicy.  Er det lovlig for et nettsted å si en ting i
+personvernpolicy og gjøre noe annet i virkeligheten?  Spesifikt lurer
+jeg på hvilket lov som er brutt hvis nettstedet i HTML-koden til
+nettsidene ber lesernes nettleser om å kontakte Google Analytics og
+slik overleverer sitt IP-nummer til Google, samtidig som
+personvernpolicien hevder at Google Analytics kun får anonymiserte
+data.  Google får jo i slike tilfeller alltid overført fullt
+IP-nummer, og nettstedet kan i URL-en som brukes be Google om å ikke
+lagre deler av IP-adressen (omtalt som anonymisering av Google
+Analytics)&lt;/p&gt;
+
+&lt;p&gt;Et eksempel er Nettavisen digi.no.
+&lt;a href=&quot;http://www.digi.no/artikler/personvernpolicy/208772&quot;&gt;Deres
+personvernpolicy&lt;/a&gt; sier følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  «Tredjeparter (som Google Analytics, Cxense, TNS Gallup) får kun
+  anonymiserte data.»
+&lt;/blockquote&gt;
+
+&lt;p&gt;Men når en leser artikler der så blir maskiner i Norge, USA,
+Tyskland, Danmark, Storbritannia, Irland og Nederland varslet om
+besøket og får dermed overlevert full IP-adresse, som datatilsynet har
+uttalt er en personopplysning.  Nettsidene er satt opp til be
+nettleseren å kontakte 29 ulike maskiner rundt om i verden.  Fire av
+dem er er under DNS-domenene digi.no og tek.no som tilhører samme
+eier.  I tillegg ber nettsidene ikke
+&lt;a href=&quot;https://support.google.com/analytics/answer/2763052?hl=no&quot;&gt;Google
+Analytics om å fjerne siste oktett i IP-adressen ved lagring&lt;/a&gt;,
+dvs. flagget «aip=1» er ikke satt i URL-en som brukes for å kontakte
+Google Analytics.&lt;/p&gt;
+
+&lt;p&gt;Tilsvarende er også tilfelle for andre nettsteder, så digi.no er
+ikke spesiell i så måte (dagbladet.no er et annet eksempel, det
+gjelder flere).»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Etter noen dager kunne juridisk rådgiver Elisabeth Krauss Amundsen
+hos Datatilsynet fortelle det følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+«Hei, og takk for din e-post.&lt;/p&gt;
+
+&lt;p&gt;Vår svartjeneste gir deg kortfattet rådgivning. Vi vil derfor ikke konkludere
+i saken din, men gi deg råd og veiledning.&lt;/p&gt;
+
+&lt;p&gt;Ut ifra det du skriver er det antakelig flere bestemmelser i
+personopplysingsloven som brytes dersom virksomhetens personvernpolicy
+sier noe annet om behandlingen av personopplysninger enn det som
+faktisk skjer.  Antakelig vil det være et brudd på informasjonsplikten
+i personopplysingsloven §§ 18 og
+19&amp;lt;&lt;a href=&quot;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18&quot;&gt;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§18&lt;/a&gt;&amp;gt;
+dersom det gis feilinformasjon om at opplysningene utleveres. Det kan
+også stilles spørsmål om grunnkravene for behandling av
+personopplysninger vil være oppfylt ved en utlevering av
+personopplysninger til en tredjepart, dersom dette ikke er inkludert
+behandlingsgrunnlaget og formålet med behandlingen, se
+personopplysingsloven § 11, jf.
+8.&amp;lt;&lt;a href=&quot;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11&quot;&gt;https://lovdata.no/dokument/NL/lov/2000-04-14-31/KAPITTEL_2#§11&lt;/a&gt;&amp;gt;»
+&lt;/blockquote&gt;
+
+&lt;!-- Her er full URL som digi ba nettleserne bruke for å melde fra til
+Google Analytics:
+https://www.google-analytics.com/r/collect?v=1&amp;_v=j47&amp;a=666919305&amp;t=pageview&amp;_s=1&amp;dl=http%3A%2F%2Fwww.digi.no%2F&amp;ul=nb-no&amp;de=UTF-8&amp;dt=Digi.no%20-%20IT-bransjens%20nettavis&amp;sd=32-bit&amp;sr=1024x768&amp;vp=400x300&amp;je=0&amp;_u=AEAAAMQAK~&amp;jid=592247632&amp;cid=1641512195.1480086725&amp;tid=UA-54426-28&amp;_r=1&amp;z=328520576
+--&gt;
+
+&lt;p&gt;Oppdatert med kunnskap om lover og regler tok jeg så kontakt med
+Dagbladet på epostadressen de annonserer på sine
+personvernpolicysider:&lt;p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg lurte litt i forbindelse med en bloggpost jeg skriver på, og lurer
+på om dere hjelpe meg med å finne ut av følgende.  Først litt
+bakgrunnsinformasjon.
+&lt;a href=&quot;http://www.dagbladet.no/2009/08/18/nyheter/avtale/brukeravtale/plikter/7706966/&quot;&gt;Dagbladets
+personvernpolicy&lt;/a&gt; forteller følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  &lt;p&gt;«3. Automatisk innhentet informasjon&lt;/p&gt;
+
+  &lt;p&gt;For eksempel IP-adressen din (ikke synlig for andre) samt
+  statistisk, automatisk produsert informasjon, som når du sist var
+  innlogget på tjenesten. Dette er informasjon vi samler for å gjøre
+  tjenesten best mulig.»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+
+&lt;p&gt;Men når en besøker nettsidene til Dagbladet,
+f.eks. &lt;a href=&quot;http://dagbladet.no/&quot;&gt;forsiden&lt;/a&gt;, så er nettsidene
+satt opp til å kontakte mange tredjeparter som slik får tilgang til
+både fullt IP-nummer og i de fleste tilfeller nøyaktig hvilken
+artikkel en leser hos Dagbladet ved at Referer-feltet fylles og legges
+ved.  Dette gjelder Google Analytics, Cxense, INS Gallup, Doubleclick
+med flere.  Totalt ber forsiden nettleseren om å koble seg opp til 60
+nettsteder med 149 separate oppkoblinger.  I hver av disse
+oppkoblingene oversendes IP-adressen til leseren, og i følge
+Datatilsynet er
+«&lt;a href=&quot;https://www.datatilsynet.no/Teknologi/Internett/Webanalyse/&quot;&gt;en
+IP-adresse definert som en personopplysning fordi den kan spores
+tilbake til en bestemt maskinvare og dermed til en enkeltperson&lt;/a&gt;».&lt;/p&gt;
+
+&lt;p&gt;Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
+og 19 skal informasjonen som gis om bruk og utlevering av
+personopplysninger være korrekt.  De forteller videre at det er endel
+grunnkrav som må være oppfylt ved utlevering av personopplysninger til
+tredjeparter, nærmere forklart i personopplysingsloven § 11 som
+henviser til § 8.&lt;/p&gt;
+
+&lt;p&gt;Mitt spørsmål er dermed som følger:&lt;/p&gt;
+
+  &lt;blockquote&gt;
+
+  &lt;p&gt;Hva mener dere i personpolicyen når dere skriver at IP-adressen ikke
+  er synlig for andre?»&lt;/p&gt;
+  
+  &lt;/blockquote&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Etter en uke har jeg fortsatt ikke fått svar fra Dagbladet på mitt
+spørsmål, så neste steg er antagelig å høre om Datatilsynet er
+interessert i å se på saken.&lt;/p&gt;
+
+&lt;p&gt;Men Dagbladet er ikke det eneste nettstedet som forteller at de
+ikke deler personopplysninger med andre mens observerbar praksis
+dokumenterer noe annet.  Jeg sendte derfor også et spørsmål til
+kontaktadressen til nettavisen Digi.no, og der var responsen mye
+bedre:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Jeg lurte på en ting i forbindelse med en bloggpost jeg skriver på,
+og lurer på om dere hjelpe meg.  Først litt bakgrunnsinformasjon.
+&lt;a href=&quot;http://www.digi.no/artikler/personvernpolicy/208772&quot;&gt;Digi.nos
+personvernpolicy&lt;/a&gt; forteller følgende:&lt;/p&gt;
+
+&lt;blockquote&gt;
+  «All personlig informasjon blir lagret i våre systemer, disse er ikke
+  tilgjengelig for tredjeparter, og blir ikke lagret i
+  informasjonskapsler.  Tredjeparter (som Google Analytics, Cxense,
+  TNS Gallup) får kun anonymiserte data.»
+&lt;/blockquote&gt;
+
+&lt;p&gt;Men når en besøker nettsidene til nettavisen, f.eks.
+&lt;a href=&quot;http://www.digi.no/&quot;&gt;forsiden&lt;/a&gt;, så er nettsidene satt opp
+til å kontakte mange tredjeparter som slik får tilgang til både fullt
+IP-nummer og i de fleste tilfeller nøyaktig hvilken artikkel en leser
+hos Digi.no ved at Referer-feltet fylles og legges ved.  Dette gjelder
+både Google Analytics, Cxense blant og INS Gallum.  Totalt ber
+forsiden nettleseren om å koble seg opp til 29 nettsteder med 44
+separate oppkoblinger.  I hver av disse oppkoblingene sendes
+IP-adressen til leseren over, og i følge Datatilsynet er
+«&lt;a href=&quot;https://www.datatilsynet.no/Teknologi/Internett/Webanalyse/&quot;&gt;en
+IP-adresse definert som en personopplysning fordi den kan spores
+tilbake til en bestemt maskinvare og dermed til en enkeltperson&lt;/a&gt;».
+Det jeg ser virker ikke å være i tråd med personvernpolicyen.&lt;/p&gt;
+
+&lt;p&gt;Når en besøker Digi.nos nettsider gjøres det to oppkoblinger til
+Google Analytics, en for å hente ned programkoden som samler
+informasjon fra nettleseren og sender over til Google (analytics.js),
+og en for å overføre det som ble samlet inn.  I den siste oppkoblingen
+er det mulig å be Google om å ikke ta vare på hele IP-adressen, men i
+stedet fjerne siste oktett i IP-adressen.  Dette omtales ofte litt
+misvisende for «anonymisert» bruk av Google Analytics, i og med at
+fullt IP-nummer blir sendt til Google og det er opp til Google om de
+vil bry seg om ønsket fra de som har laget nettsiden.  Ut fra det som
+står i personvernpolicyen ville jeg tro at Digi.no ba google om å ikke
+ta vare på hele IP-nummeret, men når en ser på den andre oppkoblingen
+kan en se at flagget «aio=1» ikke er satt, og at Digi.no ikke ber
+Google om å la være å lagre hele IP-adressen.  Dette virker heller
+ikke å være i tråd med personvernpolicyen.&lt;/p&gt;
+
+&lt;p&gt;Datatilsynet har fortalt meg at i følge personopplysingsloven §§ 18
+og 19 skal informasjonen som gis om bruk og utlevering av
+personopplysninger være korrekt.  De forteller videre at det er endel
+grunnkrav som må være oppfylt ved utlevering av personopplysninger til
+tredjeparter, nærmere forklart i personopplysingsloven § 11 som
+henviser til § 8.  Det er uklart for meg om disse kravene er oppfylt
+når IP-adresse og informasjon om hvilke websider som besøkes til
+tredjeparter.&lt;/p&gt;
+
+&lt;p&gt;Mitt spørsmål er dermed som følger:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+  &lt;p&gt;Hva mener dere i personpolicyen når dere skriver at «Tredjeparter
+  får kun anonymiserte data»?»&lt;/p&gt;
+  
+&lt;/blockquote&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Redaksjonssjef Kurt Lekanger svarte samme dag og forklarte at han
+måtte komme tilbake til meg når han hadde med utviklingsavdelingen.
+Seks dager senere lurte jeg på hva han fant ut, og etter noen timer
+fikk jeg så følgende svar fra direktøren for teknologi og
+forretningsutvikling Øystein W. Høie i Teknisk Ukeblad Media:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Takk for godt tips! Det er helt riktig at IP og referrer-adresse
+potensielt kan leses ut av tredjepart.&lt;/p&gt;
+
+&lt;p&gt;Retningslinjene våre har vært uklare på dette tidspunktet, og vi
+oppdaterer nå disse så dette kommer tydeligere frem. Ny tekst blir som
+følger:&lt;/p&gt;
+
+&lt;hr&gt;
+&lt;p&gt;3. Dette bruker vi ikke informasjonen til Informasjon du oppgir til
+oss blir lagret i våre systemer, er ikke tilgjengelig for
+tredjeparter, og blir ikke lagret i informasjonskapsler.
+Informasjonen vil kun benyttes til å gi deg som bruker mer relevant
+informasjon og bedre tjenester.&lt;/p&gt;
+
+&lt;p&gt;Tredjeparter (som Google Analytics, Cxense, TNS Gallup) vil kunne
+hente ut IP-adresse og data basert på dine surfemønstre. TU Media AS
+er pliktig å påse at disse tredjepartene behandler data i tråd med
+norsk regelverk.&lt;/p&gt;
+&lt;hr&gt;
+
+&lt;p&gt;Ellers har vi nå aktivert anonymisering i Google Analytics
+(aip=1). Kan også nevne at Tek.no-brukere som har kjøpt Tek Ekstra har
+mulighet til å skru av all tracking i kontrollpanelet sitt. Dette er
+noe vi vurderer å rulle ut på alle sidene i vårt nettverk.»&lt;/p&gt;
+
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det var nyttig å vite at vi er enige om at formuleringen i
+personvernpolicyen er misvisende.  Derimot var det nedslående at i
+stedet for å endre praksis for å følge det personvernpolicyen sier om
+å ikke dele personinformasjon med tredjeparter, så velger Digi.no å
+fortsette praksis og i stedet endre personvernpolicyen slik at den å
+dokumentere dagens praksis med spredning av personopplysninger.&lt;/p&gt;
+
+&lt;p&gt;Med bakgrunn i at Digi.no ikke har fulgt sin egen personvernpolicy
+spurte jeg hvordan Digi.no kom til å håndtere endringen:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Tusen takk for beskjed om endring av personvernpolicy for digi.no.
+Gjelder endringen også andre nettsteder?&lt;/p&gt;
+
+&lt;p&gt;Vil tidligere håndteringen av IP-adresser og lesemønster i strid
+med dokumentert personvernpolicy bli varslet til Datatilsynet i tråd
+med
+&lt;a href=&quot;https://lovdata.no/forskrift/2000-12-15-1265/§2-6&quot;&gt;personopplysningsforskriften
+§ 2-6&lt;/a&gt;?  Vil leserne bli varslet på en prominent og synlig måte om
+at lesernes IP-adresser og lesemønster har vært utlevert til
+tredjeparter i stid med tidligere formulering om at tredjeparter kun
+får anonymiserte data, og at utleveringen fortsetter etter at
+personvernpolicy er endret for å dokumentere praksis?&lt;/p&gt;
+
+&lt;p&gt;Appropos ekstra tilbud til betalende lesere, tilbyr dere en
+mulighet for å betale for å lese som ikke innebærer at en må gjøre det
+mulig å la sine lesevaner blir registeret av tek.no?  Betaler gjerne
+for å lese nyheter, men ikke med en bit av privatlivet mitt. :)»&lt;/p&gt;
+&lt;/blockquote&gt;
+
+&lt;p&gt;Jeg fikk raskt svar tilbake fra direktøren Høie:&lt;/p&gt;
+
+&lt;blockquote&gt;
+&lt;p&gt;«Tydeliggjøringen i personvernpolicy gjelder alle våre nettsteder.&lt;/p&gt;
+
+&lt;p&gt;Vi kommer til å ta en runde og gå over vår policy i forbindelse med
+dette, og vil i de tilfeller det er påkrevd selvsagt være tydelig
+overfor brukere og tilsyn. Vil samtidig understreke at vår bruk av
+tredjeparts analyseverktøy og annonsetracking er helt på linje med det
+som er normalt for norske kommersielle nettsteder.&lt;/p&gt;
+
+&lt;p&gt;Angående spørsmålet ditt: 
+&lt;br&gt;Du vil fortsatt vise i våre interne systemer om du blir Ekstra-bruker,
+vi skrur bare av tredjeparts tracking.»&lt;/p&gt;
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det høres jo ikke bra ut at det er normalt for norske kommersielle
+nettsteder å utlevere lesernes personopplysninger til utlandet.  Men
+som en kan lese fra &lt;a href=&quot;https://www.nrk.no/norge/kommunen-deler-informasjon-om-deg-med-facebook-og-google-1.13248945&quot;&gt;gårdagens oppslag fra NRK&lt;/a&gt; gjelder
+det også norske kommuner og andre offentlige aktører, og
+&lt;a href=&quot;http://people.skolelinux.org/pere/blog/Snurpenot_overv_kning_av_sensitiv_personinformasjon.html&quot;&gt;jeg
+skrev om omfanget av problemet i fjor&lt;/a&gt;.  Det er uansett ikke en
+praksis jeg tror er i tråd med kravene i personopplysningsloven, og
+heller ikke en praksis jeg som leser synes er greit.  Jeg manglet dog
+fortsatt svar på om Digi.no kom til å varsle lesere og Datatilsynet om
+avviket mellom praksis og policy, så jeg forsøkte meg med en ny epost
+i går kveld:&lt;/p&gt;
+
+&lt;blockquote&gt;
+
+&lt;p&gt;«Kan du fortelle meg om dere anser det å være påkrevd å varsle
+tilsyn og brukere nå, når dere har oppdaget at praksis ikke har vært i
+tråd med personvernpolicy?»&lt;/p&gt;
+       
+&lt;/blockquote&gt;
+
+&lt;p&gt;Det spørsmålet vet jeg så langt ikke svaret på, men antagelig kan
+Datatilsynet svare på om det er påkrevd å varsle tilsyn og lesere om
+dette.  Jeg planlegger å oppdatere denne bloggposten med svaret når
+det kommer.&lt;/p&gt;
+
+&lt;p&gt;Jeg synes jo det er spesielt ille når barn får sine
+personopplysninger spredt til utlandet, noe jeg
+&lt;a href=&quot;https://www.mimesbronn.no/request/opplysninger_samlet_inn_av_mobil&quot;&gt;tok
+opp med NRK i fjor&lt;/a&gt;.  De to eksemplene jeg nevner er som dere
+forstår ikke unike, men jeg har ikke full oversikt over hvor mange
+nettsteder dette gjelder.  Jeg har ikke kapasitet til eller glede av å
+lese alle personvernpolicyer i landet.  Kanskje mine lesere kan sende
+meg tips på epost om andre nettsteder med avvik mellom policy og
+praksis?  Hvis vi alle går sammen og kontakter de ansvarlige, kanskje
+noen til slutt endrer praksis og slutter å dele lesernes
+personopplysninger med tredjeparter?&lt;/p&gt;
+
+&lt;p&gt;Apropos bruken av Google Analytics kan jeg forresten nevne at
+Universitetet i Oslo også har tatt i bruk Google Analytics, men der
+lagres programkoden som overføres til nettleserne lokalt og deler av
+IP-adressen fjernes lokalt på universitetet via en mellomtjener/proxy
+(&lt;a href=&quot;https://github.com/unioslo/ipproxy&quot;&gt;tilgjengelig via
+github&lt;/a&gt;) før informasjon sendes over til Google Analytics.  Dermed
+er det mulig for ansvarlige for nettstedet å &lt;em&gt;vite&lt;/em&gt; at Google
+ikke har tilgang til komplett IP-adresse.  Årsaken til at denne
+metoden brukes er at juristene ved universitetet har konkludert med at
+det er eneste måten en kunne vurdere å bruke Google Analytics uten å
+bryte loven.  Risikoen for gjenidentifisering og
+&lt;a href=&quot;https://panopticlick.eff.org/&quot;&gt;identifisering ved hjelp av
+nettleserinformasjon&lt;/a&gt; er fortsatt tilstede, så det er ingen optimal
+løsning, men det er bedre enn å håpe at f.eks. Google og alle som
+lytter på veien skal prioritere norsk lov over sin lokale
+lovgivning.&lt;/p&gt;
+</description>
+	</item>
+	
 	<item>
 		<title>Fri programvare-tilbakeblikk for 2015 og 2016</title>
 		<link>http://people.skolelinux.org/pere/blog/Fri_programvare_tilbakeblikk_for_2015_og_2016.html</link>
@@ -804,189 +1157,5 @@ dele sine personopplysninger med leverandøren.&lt;/p&gt;
 </description>
 	</item>
 	
-	<item>
-		<title>Experience and updated recipe for using the Signal app without a mobile phone</title>
-		<link>http://people.skolelinux.org/pere/blog/Experience_and_updated_recipe_for_using_the_Signal_app_without_a_mobile_phone.html</link>
-		<guid isPermaLink="true">http://people.skolelinux.org/pere/blog/Experience_and_updated_recipe_for_using_the_Signal_app_without_a_mobile_phone.html</guid>
-                <pubDate>Mon, 10 Oct 2016 11:30:00 +0200</pubDate>
-		<description>&lt;p&gt;In July
-&lt;a href=&quot;http://people.skolelinux.org/pere/blog/How_to_use_the_Signal_app_if_you_only_have_a_land_line__ie_no_mobile_phone_.html&quot;&gt;I
-wrote how to get the Signal Chrome/Chromium app working&lt;/a&gt; without
-the ability to receive SMS messages (aka without a cell phone).  It is
-time to share some experiences and provide an updated setup.&lt;/p&gt;
-
-&lt;p&gt;The Signal app have worked fine for several months now, and I use
-it regularly to chat with my loved ones.  I had a major snag at the
-end of my summer vacation, when the the app completely forgot my
-setup, identity and keys.  The reason behind this major mess was
-running out of disk space.  To avoid that ever happening again I have
-started storing everything in &lt;tt&gt;userdata/&lt;/tt&gt; in git, to be able to
-roll back to an earlier version if the files are wiped by mistake.  I
-had to use it once after introducing the git backup.  When rolling
-back to an earlier version, one need to use the &#39;reset session&#39; option
-in Signal to get going, and notify the people you talk with about the
-problem.  I assume there is some sequence number tracking in the
-protocol to detect rollback attacks.  The git repository is rather big
-(674 MiB so far), but I have not tried to figure out if some of the
-content can be added to a .gitignore file due to lack of spare
-time.&lt;/p&gt;
-
-&lt;p&gt;I&#39;ve also hit the 90 days timeout blocking, and noticed that this
-make it impossible to send messages using Signal.  I could still
-receive them, but had to patch the code with a new timestamp to send.
-I believe the timeout is added by the developers to force people to
-upgrade to the latest version of the app, even when there is no
-protocol changes, to reduce the version skew among the user base and
-thus try to keep the number of support requests down.&lt;/p&gt;
-
-&lt;p&gt;Since my original recipe, the Signal source code changed slightly,
-making the old patch fail to apply cleanly.  Below is an updated
-patch, including the shell wrapper I use to start Signal.  The
-original version required a new user to locate the JavaScript console
-and call a function from there.  I got help from a friend with more
-JavaScript knowledge than me to modify the code to provide a GUI
-button instead.  This mean that to get started you just need to run
-the wrapper and click the &#39;Register without mobile phone&#39; to get going
-now.  I&#39;ve also modified the timeout code to always set it to 90 days
-in the future, to avoid having to patch the code regularly.&lt;/p&gt;
-
-&lt;p&gt;So, the updated recipe for Debian Jessie:&lt;/p&gt;
-
-&lt;ol&gt;
-
-&lt;li&gt;First, install required packages to get the source code and the
-browser you need.  Signal only work with Chrome/Chromium, as far as I
-know, so you need to install it.
-
-&lt;pre&gt;
-apt install git tor chromium
-git clone https://github.com/WhisperSystems/Signal-Desktop.git
-&lt;/pre&gt;&lt;/li&gt;
-
-&lt;li&gt;Modify the source code using command listed in the the patch
-block below.&lt;/li&gt;
-
-&lt;li&gt;Start Signal using the run-signal-app wrapper (for example using
-&lt;tt&gt;`pwd`/run-signal-app&lt;/tt&gt;).
-
-&lt;li&gt;Click on the &#39;Register without mobile phone&#39;, will in a phone
-number you can receive calls to the next minute, receive the
-verification code and enter it into the form field and press
-&#39;Register&#39;.  Note, the phone number you use will be user Signal
-username, ie the way others can find you on Signal.&lt;/li&gt;
-
-&lt;li&gt;You can now use Signal to contact others.  Note, new contacts do
-not show up in the contact list until you restart Signal, and there is
-no way to assign names to Contacts.  There is also no way to create or
-update chat groups.  I suspect this is because the web app do not have
-a associated contact database.&lt;/li&gt;
-
-&lt;/ol&gt;
-
-&lt;p&gt;I am still a bit uneasy about using Signal, because of the way its
-main author moxie0 reject federation and accept dependencies to major
-corporations like Google (part of the code is fetched from Google) and
-Amazon (the central coordination point is owned by Amazon).  See for
-example
-&lt;a href=&quot;https://github.com/LibreSignal/LibreSignal/issues/37&quot;&gt;the
-LibreSignal issue tracker&lt;/a&gt; for a thread documenting the authors
-view on these issues.  But the network effect is strong in this case,
-and several of the people I want to communicate with already use
-Signal.  Perhaps we can all move to &lt;a href=&quot;https://ring.cx/&quot;&gt;Ring&lt;/a&gt;
-once it &lt;a href=&quot;https://bugs.debian.org/830265&quot;&gt;work on my
-laptop&lt;/a&gt;?  It already work on Windows and Android, and is included
-in &lt;a href=&quot;https://tracker.debian.org/pkg/ring&quot;&gt;Debian&lt;/a&gt; and
-&lt;a href=&quot;https://launchpad.net/ubuntu/+source/ring&quot;&gt;Ubuntu&lt;/a&gt;, but not
-working on Debian Stable.&lt;/p&gt;
-
-&lt;p&gt;Anyway, this is the patch I apply to the Signal code to get it
-working.  It switch to the production servers, disable to timeout,
-make registration easier and add the shell wrapper:&lt;/p&gt;
-
-&lt;pre&gt;
-cd Signal-Desktop; cat &amp;lt;&amp;lt;EOF | patch -p1
-diff --git a/js/background.js b/js/background.js
-index 24b4c1d..579345f 100644
---- a/js/background.js
-+++ b/js/background.js
-@@ -33,9 +33,9 @@
-         });
-     });
- 
--    var SERVER_URL = &#39;https://textsecure-service-staging.whispersystems.org&#39;;
-+    var SERVER_URL = &#39;https://textsecure-service-ca.whispersystems.org&#39;;
-     var SERVER_PORTS = [80, 4433, 8443];
--    var ATTACHMENT_SERVER_URL = &#39;https://whispersystems-textsecure-attachments-staging.s3.amazonaws.com&#39;;
-+    var ATTACHMENT_SERVER_URL = &#39;https://whispersystems-textsecure-attachments.s3.amazonaws.com&#39;;
-     var messageReceiver;
-     window.getSocketStatus = function() {
-         if (messageReceiver) {
-diff --git a/js/expire.js b/js/expire.js
-index 639aeae..beb91c3 100644
---- a/js/expire.js
-+++ b/js/expire.js
-@@ -1,6 +1,6 @@
- ;(function() {
-     &#39;use strict&#39;;
--    var BUILD_EXPIRATION = 0;
-+    var BUILD_EXPIRATION = Date.now() + (90 * 24 * 60 * 60 * 1000);
- 
-     window.extension = window.extension || {};
- 
-diff --git a/js/views/install_view.js b/js/views/install_view.js
-index 7816f4f..1d6233b 100644
---- a/js/views/install_view.js
-+++ b/js/views/install_view.js
-@@ -38,7 +38,8 @@
-             return {
-                 &#39;click .step1&#39;: this.selectStep.bind(this, 1),
-                 &#39;click .step2&#39;: this.selectStep.bind(this, 2),
--                &#39;click .step3&#39;: this.selectStep.bind(this, 3)
-+                &#39;click .step3&#39;: this.selectStep.bind(this, 3),
-+                &#39;click .callreg&#39;: function() { extension.install(&#39;standalone&#39;) },
-             };
-         },
-         clearQR: function() {
-diff --git a/options.html b/options.html
-index dc0f28e..8d709f6 100644
---- a/options.html
-+++ b/options.html
-@@ -14,7 +14,10 @@
-         &amp;lt;div class=&#39;nav&#39;&gt;
-           &amp;lt;h1&gt;{{ installWelcome }}&amp;lt;/h1&gt;
-           &amp;lt;p&gt;{{ installTagline }}&amp;lt;/p&gt;
--          &amp;lt;div&gt; &amp;lt;a class=&#39;button step2&#39;&gt;{{ installGetStartedButton }}&amp;lt;/a&gt; &amp;lt;/div&gt;
-+          &amp;lt;div&gt; &amp;lt;a class=&#39;button step2&#39;&gt;{{ installGetStartedButton }}&amp;lt;/a&gt;
-+	    &amp;lt;br&gt; &amp;lt;a class=&quot;button callreg&quot;&gt;Register without mobile phone&amp;lt;/a&gt;
-+
-+	  &amp;lt;/div&gt;
-           &amp;lt;span class=&#39;dot step1 selected&#39;&gt;&amp;lt;/span&gt;
-           &amp;lt;span class=&#39;dot step2&#39;&gt;&amp;lt;/span&gt;
-           &amp;lt;span class=&#39;dot step3&#39;&gt;&amp;lt;/span&gt;
---- /dev/null   2016-10-07 09:55:13.730181472 +0200
-+++ b/run-signal-app   2016-10-10 08:54:09.434172391 +0200
-@@ -0,0 +1,12 @@
-+#!/bin/sh
-+set -e
-+cd $(dirname $0)
-+mkdir -p userdata
-+userdata=&quot;`pwd`/userdata&quot;
-+if [ -d &quot;$userdata&quot; ] &amp;&amp; [ ! -d &quot;$userdata/.git&quot; ] ; then
-+    (cd $userdata &amp;&amp; git init)
-+fi
-+(cd $userdata &amp;&amp; git add . &amp;&amp; git commit -m &quot;Current status.&quot; || true)
-+exec chromium \
-+  --proxy-server=&quot;socks://localhost:9050&quot; \
-+  --user-data-dir=$userdata --load-and-launch-app=`pwd`
-EOF
-chmod a+rx run-signal-app
-&lt;/pre&gt;
-
-&lt;p&gt;As usual, if you use Bitcoin and want to show your support of my
-activities, please send Bitcoin donations to my address
-&lt;b&gt;&lt;a href=&quot;bitcoin:15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b&amp;label=PetterReinholdtsenBlog&quot;&gt;15oWEoG9dUPovwmUL9KWAnYRtNJEkP1u1b&lt;/a&gt;&lt;/b&gt;.&lt;/p&gt;
-</description>
-	</item>
-	
         </channel>
 </rss>