Tweakers maakt gebruik van cookies, onder andere om de website te analyseren, het gebruiksgemak te vergroten en advertenties te tonen. Door gebruik te maken van deze website, of door op 'Ga verder' te klikken, geef je toestemming voor het gebruik van cookies. Je kunt ook een cookievrije versie van de website bezoeken met minder functionaliteit. Wil je meer informatie over cookies en hoe ze worden gebruikt, bekijk dan ons cookiebeleid.

Meer informatie

Door , , reacties: 29, views: 18.235 •

De digitale communicatie van de Belgische antiterreurdiensten geschiedt volledig via onbeveiligde kanalen. Dat meldt een Belgische krant op basis van een jaarverslag van het Federaal Parket. Geheime informatie wordt fysiek afgeleverd.

De Belgische krant De Tijd noemt de beveiliging van de communicatie tussen de Belgische antiterreurdiensten 'rampzalig'. Uit het jaarverslag van het Belgische Federaal Parket, dat zich bezig houdt met het bestrijden van terrorisme, blijkt dat de digitale communicatie tussen de inlichtingendiensten, de politie en het 'crisiscentrum' enkel via onveilige kanalen worden verzonden. De krant tekent uit de mond van de zogenoemde federaal procureur Johan Delmulle op dat dergelijke informatie vaak wordt verstuurd 'via fax, internet, zelfs via e-mail', zonder dat versleuteling wordt toegepast.

Omdat geheime informatie niet over onveilige netwerken mag worden verzonden, hebben de antiterreurdiensten voor dergelijke communicatie een wat ouderwetse oplossing gevonden: die wordt door een auto met chauffeur met een dossier afgeleverd bij de correspondent. De procureur noemt dat 'niet professioneel en eigenlijk onverantwoord'.

Bovendien heeft de omslachtige manier van informatie-uitwisseling tot gevolg dat bepaalde informatie simpelweg niet meer wordt verstuurd. De 'monitor terrorisme', die instellingen en politiekorpsen op de hoogte moet houden van ontwikkelingen en die eigenlijk wekelijks zou moeten worden verstuurd, wordt vaak niet meer verspreid. De Belgische justitie werkt al jaren aan een beveiligd communicatiesysteem, volgens procureur Delmulle, maar ingevoerd is het systeem nog altijd niet.

Overigens hapert ook de fysieke beveiliging van het Federaal Parket, waar alle dossiers over terrorismezaken liggen. Permanente bewaking is 's nachts niet aanwezig en bij een incident kan het een paar uur duren voordat een beveiliger aanwezig is. Overdag kunnen bewakers vaak niet met elkaar communiceren omdat hun mobiele telefoons op veel plaatsen in het pand geen dekking hebben, terwijl portofoons niet voorhanden zijn.

Reacties (29)

"De meeste algo's die we momenteel gebruiken zijn bewezen 'hard problems' te zijn (np=p)"

Wat bedoel je hiermee? Van AES (meestgebruikte symmetrische block-cipher) bestaat geen wiskundig bewijs dat het (op een praktisch toepasbare manier) kraken ervan niet mogelijk zal zijn; dat is echter wel veilig aan te nemen gezien de vele aanvallen en analyses die AES al weerstaan heeft. Idem voor SHA-2 (één van de populairste cryptografische hash-algoritmen).

Volgens mij heeft het kraken van AES ook niet veel met het P=NP-probleem te maken: ik zou zelf niet echt een manier weten (en kan het zo snel ook niet vinden) om het kraken van AES als een beslissingsprobleem in NP weer te geven.

RSA (de populairste assymetrische cipher), aan de andere kant, kan gekraakt worden wanneer er een manier gevonden zou worden om snel gehele getallen in priemfactoren te ontbinden. Er is volgens mij wel bewezen dat, bij een correcte implementatie, het niet mogelijk is RSA te kraken zonder brute-force en zonder dit probleem op te kunnen lossen.

Priemfactorisatie, waarvoor (nog) geen 'snel' algoritme bekend is, ligt in NP, maar het is niet zeker of het ook NP-compleet is. Als P=NP zou gelden, dan betekend het dat er een polynomiaal algoritme zou moeten bestaan om het op te lossen (een slecht teken), maar zelfs als P != NP (wat de meeste wetenschappers denken) zou het nog steeds kunnen dat zo'n algoritme bestaat.

Oftewel: harde wiskundige garanties over de veiligheid van onze cryptografie hebben we niet. Desalniettemin is er nog geen reden voor paniek: priemfactorisatie probeert men al duizenden jaren zonder succes op te lossen, en AES weet zich prima tegen alle geprobeerde aanvallen te verdedigen. Deze cryptografische algoritmen blijven toch vaak de sterkste schakels in de security van de meeste systemen.

[Reactie gewijzigd door AardvarkSoep op 17 november 2012 16:55]

Dat er verschil is tussen theorie en implementatie en dat daarin fouten kunnen ontstaan, zover. In Nederland heeft fox-it een fork van openvpn gemaakt voor de Nederlandse overheid met daarin enkel de toegestane methodes om dit probleem aan te pakken.

Ik vermoed dat je twijfels over veilige communicatie ook ontstaan bij het verspreiden van de keys en handshaking zit, bekijk eens Diffie–Hellman key exchange (in combinatie met PKI).

NIST geeft in de USA protocollen tot overheids cryptografie uit: Guideline for Implementing Cryptography in the Federal Government.

[Reactie gewijzigd door analog_ op 16 november 2012 20:35]

En zelfs de partij die deze speciale versie van OpenVPN heeft gemaakt heeft hun zaakjes niet op orde. Als je de SSL-configuratie van hun website onderzoekt kun je zien dat ze vatbaar zijn voor zowel de BEAST-attack als de CRIME-attack.

SSL overview voor openvpn.fox-it.com

[Reactie gewijzigd door cyberstalker op 17 november 2012 15:07]

Op dit item kan niet meer gereageerd worden.