Ja, de gambler

Jeg kan forsikre Bjørn Nesse Hunderi (DN i går) om at jeg slett ikke er forarget over at kommuner er tvunget til å gamble med innbyggernes penger. Jeg presenterer bare noen fakta om hvilken risiko kommunene reelt sett tar, hvorfor dette ikke er hensiktsmessig og at det faktisk er i strid med kommuneloven. Jeg er likevel klar over at fakta kan provosere, så jeg skjønner Hunderis forargelse.

Hunderi mener å ”oppklare” at Troms Krafts ruinerte svenske datterselskap ikke er kraftprodusent. Når Hunderi åpenbart mener at dette har noen som helst betydning, så kan han ikke ha satt seg veldig godt inn i saken. Kraftselskap som driver med andre ting enn bare produksjon av vannkraft er regelen og ikke unntaket.

Hunderi forklarer også hvorfor det gikk så galt for TK i Sverige. Det er jo fint, men han er ti år for sent ute. Med hundrevis av kommuner tungt investert i administrasjonsstyrte kraftselskaper med svake eiere, akkurat som TK, er potensialet for nye tap enormt. Det hadde vært interessant om Hunderi i stedet kunne fortalt oss hvor neste økonomiske katastrofer dukker opp. Etterpåklokskap er like enkelt som det er unyttig.

Hunderi mener også å vite at jeg ikke har gode argument for å hevde at å eie store posisjoner i ett enkelt selskap gir høy risiko. For at min påstand skal være usann må vi omskrive mesteparten av moderne sannsynlighetsteori. I tillegg må vi forkaste den overveldende empiriske forskningen som viser at aktiv forvaltning, for eksempel i form av å bare satse på vannkraftverk, ikke lønner seg. Alternativet er at Hunderi tar feil. Jeg tror mest på det siste.

Read More

Kommunal gambling

Kommunalt eierskap til kraftselskap har kostet Tromsø Kommune og Troms Fylkeskommune opp til halvannen milliard. Om noen fortsatt skulle være i tvil, det er risikabelt å eie enkeltaksjer.

Dagens lovgivning tillater i praksis ikke salg av kraftselskaper til private. Kommuner som eier kraftselskap er dermed forpliktet til å gamble med innbyggernes penger. Ved å sette mesteparten av kommunens investeringer i samme aksjeselskap eksponerer den seg helt unødvendig for potensielle katastrofer. Troms Kraft har tapt halvannen milliard på et svensk luftslott. Om Tromsø Kommune hadde eid 1% og ikke 40% av kraftselskapet, så hadde denne saken vært en bagatell.

Forbudet mot salg til private betyr at konkurransen blir minimal og prisen på kraftselskapene for lav. Av den grunn bør ingen kommuner selge sine kraftaksjer i dag. Nå er det riktignok tillatt å selge én tredjedel av aksjene til private, men ingen vil betale full pris for en minoritetspost. Kraftkommunene er dermed låst til høyrisikoinvesteringer i enkeltselskap.

Industrikonsesjonsloven som i praksis pålegger slikt eierskap er dermed i direkte motstrid med kommuneloven. Forbudet mot privat majoritetseierskap i innebærer at kommuner er tvunget til å ta vesentlig finansiell risiko. Kommuneloven forbyr dette.

De enorme tapene til Troms Kraft viser med all tydelighet at risikoen er reell. Tromsø kommune har trolig tapt 5-600 millioner på noe som nærmest er å betrakte som et statlig pålegg. For Troms Kraft er dette heller ikke den eneste uheldige begivenheten. Selskapet har også etter manges mening betalt overpris for kraftverk i Nordland etter et hastverksvedtak i styret. Med omlag 350 kommunalt eide kraftselskap vil slike problemer dukke opp igjen og igjen.

Katastrofer av denne type er ikke uvanlig i aksjeselskap. Tvert i mot er aksjemarkedet preget av en nær sagt kontinuerlig strøm av uventede hendelser. Verdier kan fordobles og halveres på kort tid. Det kan være alvorlige produksjonsfeil, utro medarbeidere, arbeidsuhell og alt mulig annet vi ikke kan forutse. Ikke alle hendelser er av det negative, men når negative hendelser inntreffer kan det ruinere en investor som har satset alle pengene sine på én hest.

En eier av en bred portefølje vil få akkurat samme forventede inntekt over tid. Eneste forskjell er at risikoen faller dramatisk. Sannsynligheten for at alle selskapene i porteføljen er uheldige samtidig er lik null. Ingen bør derfor holde porteføljer med én aksje.

Unntaket er dem som har særlig informasjon eller er særlig kompetent og direkte involvert i styringen av virksomheten. Ingen av disse alternativene passer på en kommune. Tvert i mot er de fleste kommuner uegnet til å drifte rene kommersielle selskaper. Dette faller ikke inn under kommunens hovedoppgaver, en byråkrat på fastlønn har ingen motivasjon til å ta ut rasjonaliseringsgevinster og politikerne er i hovedsak ikke valgt på grunn av sine egenskaper som bedriftsledere. Om det er viktig for innbyggerne å eie kraftselskap kan de kjøpe aksjene selv.

Risiko kan naturligvis også slå positivt ut. Det finnes eksempler på at kjøpere av kommunale kraftselskap har tjent mer enn børsindeksen på sin investering. Det vil ikke alltid lønne seg å investere i en bred børsindeks. Poenget er at det er betydelig mindre usikkerhet rundt kontantstrømmen fra en bred portefølje sammenlignet med enkeltselskap. Hovedkritikken mot Terra-kommunene var at de tok for mye risiko, ikke at de tapte på den konkrete investeringen. Beslutningen om å satse på risikable kredittderivater hadde vært like håpløs selv om kommunene hadde hatt flaks og tjent penger på det.

For en kommune som har forutsigbare forpliktelser er det derfor uhensiktsmessig å eie og drive en risikabel forretningsvirksomhet når det finnes bedre og mindre risikable alternativer. Jeg har bare hørt ett holdbart argument for slik eierskap, og det er hensynet til befolkningens følelser. Det spørs imidlertid om ikke følelsene for bedre skole og omsorgsvesen er sterkere enn følelsene for krafteierskap.

Read More

CSS :visited may be a bit overrated

OK, second time is a charm. This script is probably of some peripheral interest:

• http://lcamtuf.coredump.cx/cachetime/
  

In the past two years or so, a majority of browser vendors decided to take a drastic step of severely crippling CSS :visited selectors in order to prevent websites from stealing your browsing history.

It is widely believed that techniques such as cache timing may theoretically offer comparable insights, but the attacks demonstrated so far seemed unconvincing. Among other faults, they relied on destructive, one-shot testing that altered the state of the examined cache; produced only probabilistic results; and were far too slow and noisy to be practically useful. Consequently, no serious attempts to address the underlying weakness have been made.

My proof of concept is fairly crude, and will fail for a minority of readers; but in my testing, it offers reliable, high-performance, non-destructive cache inspection that blurs the boundary between :visited and all the "less interesting" techniques.

Read More

"The Tangled Web" is out

Okay, okay, it's official. You can now buy The Tangled Web from Amazon, Barnes & Noble, and all the other usual retailers for around $30. You can also order directly from the publisher, in which case, discount code 939758568 gets you 30% off.

No Starch provides a complimentary, DRM-free PDF, Mobi, and ePub bundle with every paper copy; you can also buy e-book edition separately. Kindle and other third-party formats should be available very soon.

More info about the book itself, including a sample chapter, can be found on this page.

Read More

In praise of anarchy: metrics are holding you back

It is a comforting to think about information security as a form of computer science - but the reality of securing complex enterprises is as unscientific as it gets. We can theoretize how to write perfectly secure software, but no large organization will ever be in a meaningful vicinity of that goal. We can also try to objectively measure our performance, and the resilience of our defenses - but by doing so, we casually stroll into a trap.

Why? I think there are two qualities that make all the difference in our line of work. One of them is adaptability - the capacity to identify and respond to new business circumstances and incremental risks that appear every day. The other is agility - the ability to make changes really fast. Despite its hypnotic allure, perfection is not a practical trait; in fact, I'm tempted to say that it is not that desirable to begin with.

Almost every framework for constructing security metrics is centered around that last pursuit - perfection. It may not seem that way, but it's usually the bottom line: the whole idea is to entice security teams to define more or less static benchmarks of their performance. From that follows the focus on continually improving the readings in order to demonstrate progress.

Many frameworks also promise to advance one's adaptability and agility, but that outcome is very seldom true. These two attributes depend entirely on having bright, inquisitive security engineers thriving in a healthy corporate culture. A dysfunctional organization, or a security team with no technical insight, will find false comfort in a checklist and a set of indicators - but will not be able to competently respond to the threats they
need to worry about the most.

A healthy team is no better off: they risk being lulled into complacency by linking their apparent performance to the result of a recurring numerical measurement. It's not that taking measurements is a bad idea; in fact it's an indispensable tool of our trade. But using metrics as long-term performance indicators is a very dangerous path: they do not really tell you how secure you are, because we have absolutely no clue how to compute that. Instead, by focusing on hundreds of trivial and often irrelevant data points, they take your eyes off the new and the unknown.

And this brings me to the other concern: the existence of predefined benchmarks impairs flexibility. Quite simply, yesterday's approach, enshrined in quarterly statistics and hundreds of pages of policy docs, will always overstay it welcome. It's not that the security landscape is constantly undergoing dramatic shifts; but if you don't observe the environment and adjust your course and goals daily, the errors do accumulate... until there is no going back.

Read More

Good news, everyone!

No Starch Press just posted a sample chapter for The Tangled Web. You can grab the PDF here and see what it's all about. The book itself should be available by November 15; you can also preorder on Amazon.

If you don't know what this is all about, you can also head over to the home page of the book; but the bottom line is that I think it's the first-ever reasonably detailed examination of the browser security model and its evolution through the years - and really, that's something you just need to know to develop modern web apps.

PS. It's apparently always April Fools' at Microsoft!

Read More

Røeggendommen

Se også kommentar til Høyesterettsdommen

Den ferske dommen fra Borgarting Lagmannsrett i saken mellom Ivar Petter Røeggen og DnB vil bety at småsparere er uten juridisk beskyttelse i møte med profesjonelle finansinstitusjoner. Ingen ville kjøpt spareproduktene som Røeggen investerte i fra DnB Nor om det var kjent hvordan de fungerte. Likevel vant banken frem. 

Det Røeggen kjøpte var i realiteten to produkter som banken selv hadde valgt å koble sammen til ett for å gjøre det salgbart. Den ene delen var et fastrenteinnskudd og det andre en opsjon som potensielt kunne bli verdiløs. Det er vanskelig å se noe annet motiv for å lage en slik pakke enn å tilsløre innholdet.

Det er ubestridt at Røeggen lånte penger av DnB Nor til 8,37% rente, og satte det inn igjen i samme bank til 5,4%. Røeggen betalte altså hvert år 3% for et bokføringstriks. Det er helt usannsynlig at verken Røeggen, rettens dommere eller andre under noen omstendighet ville takket ja til en slik avtale. Slik var imidlertid produktet Røeggen investerte i konstruert.

Lagmannsretten argumenterer likevel for at all relevant informasjonen var tilgjengelig for Røeggen. I prospektet står det nemlig at ”(produktet) bygger på et obligasjonslån som banken selv utsteder. I stedet for å betale renter på lånet kjøper DnB ulike finansielle instrumenter som gir deg som investor tilgang til en eventuell oppgang i aksjekursene i”. For det første er jo ulike finansielle instrumenter en merkelig formulering når det er opsjon banken mener. ”Opsjon” kan man slå opp i et leksikon. Forsøk det samme med ”ulike finansielle instrumenter” .

Videre, hvorfor skriver ikke banken rett ut at 73% av produktet er et fastrenteinnskudd til 5,4%? Det er slett ikke opplagt for alle at ”et obligasjonslån” er det samme som et slikt innskudd, og renten på innskuddet var etter det jeg forstår heller ikke oppgitt.

Det er naturligvis mulig å regne seg frem til denne renten, men hadde det ikke vært mye enklere om banken hadde gjort det for alle kundene? Kanskje enda mer interessant er det jo å spørre hvorfor denne informasjonen ikke var tydeligere. Kan hensyn til salget av produktet ha spilt inn her? I dagens regelverk er bankene eksplisitt forpliktet til å opplyse om slike skjulte kostnader, men det skulle da egentlig bare mangle at kunden får opplyst prisen på produktet? Her kan ikke dagens regelverk anses som annet en kodifisering av et minimumsmål for god forretningsskikk.

Retten mener imidlertid at Røeggen selv burde etterspurt eventuell mangelfull informasjon. Mener virkelig retten at det er hensiktsmessig at hver enkelt kjøper selv skal fremprovosere nødvendig informasjon for å vurdere produktene? Det vil i så fall ha vidtrekkende konsekvenser for alt fra salg av brødristere til bilkjøp. Ansvaret for tilstrekkelig informasjon kan bare ligge ett sted, og det er hos selger.

I følge dommen er det uansett i skjønneste orden at banken har vært lite meddelsom med informasjon om rentemarginen fordi ”… hvordan banken sikret at den kunne oppfylle hovedstolsgarantien, er i prinsippet uten betydning for Røeggen.”. Retten gir imidlertid ingen nærmere forklaring på hvorfor det er uten betydning for kunden hvilken rente han får på sin fastrentekonto.

Så mener retten å vite at ”Grunnen til tapet var at han var uheldig med tidspunktet for investeringen.” Nja. Markedet snudde riktignok mot Røeggen, men problemet var jo de høye skjulte kostnadene. Disse ble synliggjort av et trådt aksjemarked, men retten har misforstått dersom den trodde at dette var hovedproblemet. Problemet her var at Røeggen med sikkerhet ville tape mot alternative investeringsstrategier uten skjulte kostnader.

Uansett hvor avansert DnB Nors produkt var skrudd sammen, ville de aldri kunne oppnådd et bedre forhold mellom avkastning og risiko enn aksjeindeksen. Nedtynget av gebyrer og med en uhensiktsmessig struktur måtte dette produktet bli en ekstremt dårlig langsiktig investering. Hver enkelt investor er naturligvis i utgangspunktet selv ansvarlig egne investeringer. Det fordrer imidlertid at selgeren ikke skjuler de faktiske provisjonskostnadene for kunden.

Read More