'NSA kan groot deel versleuteld internetverkeer afluisteren dankzij backdoors'

De Amerikaanse geheime dienst NSA kan internetverkeer via ssl, ssh, vpn-verbindingen en mobiele netwerken afluisteren door kwetsbaarheden in de encryptiestandaarden. In sommige gevallen heeft de geheime dienst die kwetsbaarheden zelf ingebouwd.

De geheime dienst kan niet alle encryptiestandaarden omzeilen of onschadelijk maken, maar wel veel, zo claimen The New York Times en ProPublica in een gezamenlijk artikel op basis van documenten die Edward Snowden via The Guardian heeft verstrekt. De NSA opereert daarbij niet alleen, maar werkt samen met geheime diensten uit vier andere landen: Canada, Groot-Brittannië, Australië en Nieuw-Zeeland. Intern staat het project bekend onder de codenaam 'Bullrun'.

De NSA gebruikt supercomputers om encryptie te kraken, maar werkt daarnaast ook samen met technologiebedrijven om backdoors in producten te bouwen, zodat de encryptie compleet kon worden omzeild. Welke bedrijven daar aan meewerken, is onbekend: het gaat in ieder geval om bedrijven binnen en buiten de Verenigde Staten. Daarnaast kraakt de NSA computersystemen, om berichten te kunnen lezen nog voordat er encryptie wordt toegepast. Bovendien bouwt de geheime dienst zelf kwetsbaarheden in encryptie-algoritmes die onder meer worden gebruikt bij ssl- en vpn-verbindingen en op 4g-netwerken. Omdat de NSA veel expertise heeft op het gebied van cryptografie, denkt de dienst vaak mee over algoritmes.

Hoewel The New York Times en ProPublica geen namen van getroffen algoritmes noemen, blijkt uit het artikel wel dat een van de algoritmes in 2006 door de Amerikaanse overheid tot standaard is verheven en beveiligingsonderzoekers daarin in 2007 forse kwetsbaarheden vonden. Dat wijst erop dat het om het Dual_EC_DRBG-algoritme gaat, dat door de NSA zelf is ontwikkeld en wordt gebruikt voor random number generators. Van dat algoritme werd al langer vermoed dat de NSA een backdoor zou hebben ingebouwd. Betrouwbare random number generators zijn belangrijk voor de werking van encryptie-algoritmes, maar deze rng blijkt om de tuin te leiden als een gebruiker een specifieke set cijfers kent.

Verder richt de Britse geheime dienst GCHQ zich samen met de NSA op het ontsleutelen van internetverkeer dat loopt via Yahoo, Microsofts mailservers, Facebook en Google. Voor het ontsleutelen van Google-verkeer zou in 2012 een nieuwe ingang gevonden zijn, zo vermelden de documenten. Wat daarmee precies wordt bedoeld, blijkt niet uit de artikelen, en onduidelijk is eveneens of de techbedrijven meewerken of dat de NSA het verkeer zelf weet te ontcijferen. Tot slot heeft de NSA een interne database met encryptiesleutels voor verschillende commerciële producten die encryptie gebruiken, die de dienst in staat stelt om automatisch verkeer te ontsleutelen.

Veel precieze details over de lekken zijn er niet. The New York Times en ProPublica hebben na overleg met medewerkers van de NSA, die vroegen het artikel niet te publiceren, specifieke details verwijderd. Dat moet voorkomen dat buitenlandse geheime diensten zich ook toegang kunnen verschaffen. De media zeggen het artikel desondanks te hebben gepubliceerd, omdat ze het naar eigen zeggen belangrijk vinden dat er een openbaar debat over de invloed van de praktijken op de privacy ontstaat.

In de jaren negentig wilden de NSA en het Amerikaanse Witte Huis in het openbaar backdoors inbouwen in encryptie-algoritmes, maar na grote publieke consternatie werd daarvan afgezien. "En dat hebben ze dus toch gedaan, maar dan zonder het iemand te vertellen", zegt cryptografie-expert Paul Kocher tegen The New York Times en ProPublica.

Volgens de NSA is het belangrijk om encryptie te kunnen kraken, omdat de geheime dienst zijn werk anders niet zou kunnen doen. Critici werpen tegen dat de veiligheid van communicatie onder druk kan komen te staan wanneer encryptie-algoritmes welbewust worden afgezwakt: daarvan kunnen derden immers ook gebruikmaken. Het nieuws volgt op eerdere onthullingen die ook door klokkenluider Edward Snowden naar buiten zijn gebracht, waaruit blijkt dat de Amerikaanse inlichtingendienst zonder al te veel moeite toegang zou krijgen tot communicatie van internetters.

Reacties (306)

[SilentDecode]

Ik heb veel bovenstaande reacties gelezen, maar ben ik nu echt de enige die denkt "bom erop"?
Gewoon dat hele (en meerdere) datacentra met de grond gelijk maken... Sonde van de servers, maar beter dan alles controleren..

Vooral is het van NSA en USA 'zielig' (op z'n zachts uitgedrukt) om mensen te gaan bespioneren. Wetten zijn uitgevonden om ze te houden en niet te breken. Als wij ons aan de regels moeten houden, moeten overheidsinstanties en dergelijke dat ook doen. Zoals Snowden al zegt in het interview: 'als de volgende president komt gooien ze gewoon de knop om'. Mijn laatste zin: Bom op die datacentra...

[doltishDuke]

Je reactie wordt weggemod, maar je hebt een punt. Een belangrijk aspect van de Amerikaanse Constitution is dat men ervan uitgaat dat ieder persoon corrupt kan raken. Hier komt het 'right to bear arms' vandaan. De Amerikaanse bevolking mag, op basis van de grondwet, corruptie onder de regering met geweld bestrijden. Nou gaat een bom erop wat ver, maar fysiek geweld tegen de NSA zou moeten kunnen.

Probleem is echter dat de Amerikaanse bevolking het ten eerste geen worst lijkt te interesseren aangezien zij het eigen land nog altijd door een roze bril lijken te bekijken. Ten tweede is de regering hard bezig dit recht af te breken. Wapenwet aangescherpt, en nog voordat men in opstand gaat komen weet de NSA al waar, wanneer, hoe laat en wie er van tevoren nog een bak koffie danwel thee op had. Dit ondermijnt de kansen van het volk om op te treden tegen zijn corrupte overheid.

Wat mij persoonlijk stoort verder, is dat het bericht wat ik hier neerpen, wanneer geanalyseerd door een software algoritme, geïnterpreteerd kan worden alsof ik een aanslag op de NSA plan. Zeker in combinatie met het feit dat ik gisteren overigens uit pure interesse half Wikipedia doorgelezen heb over vliegtuigtechniek. Combineer dit met de signature strikes waar de VS zich mee inlaten, dan vind ik dat serieus een reden om bang te zijn voor het Land of the Free. Dat gaat vele malen verder dan dat de NSA weet wat ik net op Facebook gepost heb.

[Anoniem: 500749]

je geeft een heel sterk voorbeeld waar de sensatie vooral om draait, MartijnGP
de angst van mensen voor het verliezen van hun eigenwaarde, namelijk de vrijheid te zoeken naar alternatieven (in informatie) dan wat je voorgekauwd krijgt, en dus een eigen mening te vormen en kiezen in plaats van met ja en amen te accepteren wat op achterbakse wijze uit handen word genomen en opgelegd

daar mee roepen ze het over zichzelf uit dat ze misschien duistere belangen hebben

daar naast gaat er de theorie de ronde dat het juist die angst is wat gebruikt word om een idee van grootsheid en macht af te dwingen omdat hun regering zich bedreigd voelt juist door wat andere landen door middel van verschillende media, misschien met een bewuste (valse) bias, verspreiden
dat kun je dan misschien een beetje zien onder het motto van moderne oorlogsvoering
en "crowd control"

ik probeer mij er in elk geval buiten te houden in plaats van redenen aannemen
oppervlakkig vooroordelen is dé #1 reden voor delusion en paranoia en waardoor veel mensen niet eens meer normaal kunnen functioneren en waarom het alleen maar logisch word dat de regering schade wilt gaan beperken

het kan vanuit verschillende kanten komen en verschillende kanten uit gaan
in elk geval lees ik graag concrete feiten en niet het soort speculatieve sensatiemateriaal wat we gewoonlijk met de gebruikelijke vooroordelen voorgeschoteld krijgen
ik zie het als een plicht van media zoals bijvoorbeeld tweakers om concreet en onbevooroordeeld te blijven, doen ze dat niet, dan worden ook hun slachtoffer van de mogelijkheid dat ze betrokken zijn bij het verspreiden van een vooroordeel, bewust of onbewust

tenminste, dat lijkt mij het resultaat wanneer er met gezond verstand gekeken word

[ruurd v.]

Alhoewel ik het gedeeltelijk met je eens ben, is het wel heel naïef om te denken dat USA het enige land ter wereld die er spionage praktijken op na houdt... Elk zichzelf respecterend land heeft een inlichtingendienst en het enige doel daarvan is, zoals de naam al doet vermoeden, informatie verzamelen. Dit is ook echt niet iets van de laatste tijd, maar het gebeurt al sinds het begin der tijden. Natuurlijk is het met de komst van het internet allemaal wel een stuk makkelijker voor ze geworden.
Als je op zoek bent naar specifieke informatie (bv anti-terrorisme) dan ontkom je er natuurlijk niet aan dat je tegelijkertijd een enorme hoeveelheid 'irrelevante' informatie verzamelt. Het gaat er dan natuurlijk om wat je met die extra informatie doet... Aangezien we het hier hebben over inlichtingendiensten zullen ze ook die informatie willen bewaren, want je weet nooit wanneer dit van pas komt.

Zoals hierboven ook al een paar keer is aangehaald, als de NSA (of elke andere instantie) stopt met spionage lopen ze hopeloos achter de feiten aan zal bij een aanslag het hele land op zijn achterste benen staan omdat de overheid er niets aan heeft gedaan om het te voorkomen. Als ze doorgaan zouden ze eventuele aanslagen kunnen voorkomen, maar is de bevolking boos omdat ze worden afgeluisterd. Het is inderdaad nooit goed!

[Gendji]

Ik vraag me langzaam af waarom, na alles wat er gepubliceerd is over de criminele activiteiten van de NSA, er op geen enkele wijze wordt gereageerd door b.v. de EU.

Ja af en toe een vingertje en foei toch en dat was het.

De enige conclusie die ik daaruit trekken kan is dat het nog veel groter is dan wij met zijn allen denken in de zin van, dat iedereen dankbaar gebruik maakt van deze smerige praktijken.

De dooddoener dat Amerika het grootste leger heeft bijvoorbeeld en er daarom mee wegkomt gaat allang niet meer op. Als je alleen naar de EU kijkt is het leger al groter, laat staan als je Rusland China enz. nog even meerekent.

Er is dus geen enkele reden (nee ook geen economische) om er niet tegen in te gaan, wat alleen maar kan betekenen dat men er aan meewerkt en dat het eens tijd wordt elke regering onder de loep te nemen.

Iedereen die gebruikt maakt van op deze manier verkregen informatie, maakt zich net zo schuldig aan criminele activiteiten als de NSA.

[sypie]

Waarom er niet wordt gereageerd door de EU? Omdat zij geregeerd worden door de USA.

Wat moet de EU doen dan? Alle internet en telefoonlijnen naar de USA doorsnijden en een eigen "internet.eu" maken? Alles opnieuw en zelf uitvinden (zoals TrueCrypt bijvoorbeeld)? Nee. Het is veel makkelijker om het zo te laten want ook de EU wordt natuurlijk gewaarschuwd door de USA over vermeende terroristen die de EU betreden.

[Anoniem: 529096]

Rechercheren gaat veel verder dan alleen afluisteren. Door de huidige techniek is hier echter de nadruk op komen te liggen, net zoals de luchtfoto's in de jaren '50-'60 zijn vervangen door de satelliet.

Het mooiste zou natuurlijk zijn om de oorzaken voor terrorisme (als we naïef aannemen dat terrorisme de hoofdoorzaak is voor het afluisteren) weg te nemen, maar dat zal wel niet gebeuren.

Maar zoals ik al zei, rechercheren gaat veel verder. Het betekend je gezicht laten zien, risico nemen, mensen verhoren. Veel criminele zaken worden opgelost doordat mensen in gewetensnood kwamen (bv Snowden zelf) of ze zijn gaan praten uit jaloezie, aangemoedigd door een kleine fooi.

[beantherio]

Het begint inmiddels wel duidelijk te worden dat het Internet feitelijk een groot afluisternetwerk voor de VS is. M'n vertrouwen in het medium 'Internet' begint steeds meer weg te ebben.

En de praktijken die de Amerikanen erop na houden horen toch niet bij een democratische staat? Een paar jaar geleden had ik de complotdenkers nog weggelachen, maar inmiddels ben ik bereid om de meest extreme verhalen te geloven. Ik geloof werkelijk niets meer van wat Amerikaanse autoriteiten vertellen.

[tanzu]

Wat ook een gevaar is - is dat de NSA zelf al heeft bewezen een niet geheel goed beveiligde organisatie te zijn: Edward Snowden.

Wie zegt dat er niet nog zo iemand bestaat, die dit soort informatie doorverkoopt aan andere landen of instituten, en zelf nooit in de schijnwerpers komt.

Dan zijn al onze privé gegevens ineens ook toegankelijk voor weer anderen, waarvan we niet eens weten wie het zijn.

[Stefanovic45]

En iedereen Rusland maar voor gek verklaren:

http://www.nu.nl/tech/352...ale-lekken-voorkomen.html

Toch zorgelijk dat overheden zelf zwakheden (backdoors) gaan inbouwen om encryptie te omzeilen om toch toegang te krijgen tot allerlei privacy gevoelige informatie. Als de NSA inderdaad documenten van mogelijke toekomstige vijanden kan inzien, hebben ze toch wel een streepje voor in een mogelijke oorlog. Maar nu deze backdoors van de NSA in het openbaar komen denk ik toch wel dat er zorgvuldiger wordt omgegaan met zeer belangrijke data. Zolang je je data en belangrijke computers offline houd kan natuurlijk niemand erbij via internet. Noem het doemdenkers, maar het blijkt maar weer eens andermaal dat het openbare internet niet te vertrouwen is. Om dan nog maar niet te spreken over cloudoplossingen die gegarandeerd veilig zouden moeten zijn.

Waterdicht is dus alleen de internetverbinding verbreken.

Ik snap daarom ook wel dat America mensen zoals Edward Snowden aanpakt. Het zijn in feite ook mensen die voor America zeer kritische geheimen lekken. Het is natuurlijk onrechtvaardig dat dit soort zwakheden door de NSA worden geïmplementeerd, maar welke oorlog is nu wel rechtvaardig? Bij een (dreiging) van oorlog is het juist van groot belang om de vijand te slim af te zijn. Over eeuwen zullen de backdoors en cyberoorlogen wellicht als doorslaggevend worden opgemerkt in de geschiedenisboeken.

[Rembert]

Wat ik in de Echelon jaren had begrepen, mocht de NSA aanvankelijk niet de eigen VS burgers bespioneren. Ze vonden een simpele oplossing: ze vroegen een andere, vertrouwde, staat om de VS burgers te bespioneren. De NSA bespioneerde dan de burgers van die staat - want die werden op soortgelijke wijze beperkt in hun handelen. Dit betrof een samenwerkingsverband tussen de VS, Canada, Groot-Brittanië, Australië en Nieuw-Zeeland - exact de landen die hier worden genoemd. En ook exact de landen die destijds in verband werden gebracht met Echelon (en toendertijd ook met die hele key-escrow rel dat met een sisser afgelopen leek te zijn, tot vandaag).

Nieuwe ingang voor het ontsleutelen van google verkeer in 2012. Zou dat niet 2011 zijn geweest? Dat matcht zo mooi met het Diginotar gebeuren.

Kortom, de NSA heeft dan wel beschikking over de copieen van secret keys in geval van public / private key encryption of heeft het voor elkaar gekregen dat een tweede sleutel kan functioneren bij decryptie of zelfs iets als een master key. Beetje opmerkelijk want de source code van bv. SSL is gewoon openbaar en te bekijken door iedere cryptografie expert. Encryptie als RSA is zelfs prima te begrijpen voor mensen die een beetje geavanceerde wiskunde hebben gehad. Of, ze zijn er in geslaagd om een public key te herleiden naar de bijbehorende secret key - waarmee feitelijk die hele encryptie methode waardeloos wordt. Zolang 'de wereld' dat niet doorheeft, is het dan kat-in-het-bakkie voor de NSA.

[Berendhoo]

Ik denk dat men gewoon de master key in bezit heeft

[Gomez12]

Ik blijf me toch afvragen wat hiervan nou daadwerkelijk waar is. Een backdoor in een open source encryption (veelal de meest gebruikte voor internet communicatie) heb je niet zomaar verborgen en de kans op ontdekking is ook erg groot.

Qua closed-source encryptions geloof ik het direct, maar open source implementaties die veelvuldig doorgekeken zijn juist op zoek naar backdoors, tja daar sta ik toch ietwat kritisch tegenover...

Helemaal omdat je ervanuit kan gaan dat alles wat hun hebben, hun "vijanden" ook hebben.

[BeerenburgCola]

Inderdaad, maar bij DES heb je standaard de zogenaamde S-Boxen. Deze zijn special
gemaakte bitmap tabellen met speciale cryptografische eigenschappen.
Men heeft altijd vermoed dat deze speciale tabellen geheime zwakheden bevatten.

Zie: http://en.wikipedia.org/wiki/S-box

[GekkePrutser]

Ja, de NSA heeft tijdens het ontwerp van DES aan die S-boxen zitten sleutelen, maar later bleek dat dit DES alleen maar veiliger gemaakt heeft, namelijk heeft het het bestand gemaakt tegen een techniek die pas 20 jaar later bekend werd (en daarmee gedemonstreerd dat de NSA in crypto kennis toen een jaar of 20 vooruit liep op de openbare wetenschap!)

Technieken als AES zijn openbaar bedacht door wetenschappers, en geselecteerd door middel van een prijsvraag, waarna nog een heleboel peer review is gebeurd (controle door collega wetenschappers). Dus dat daar een backdoor in zit lijkt me sterk (maar wel een stuk waarschijnlijker dat die zitten in software die gebruik maakt van deze algoritmes!)

Crypto implementeren als programmeur is ook niet echt eenvoudig, als je het niet goed doet is het ook makkelijk te kraken, zelfs als je een goed algoritme gebruikt. Bijvoorbeeld als je blokken data onafhankelijk loopt te encrypten zonder voor elk blok een 'Initialisatie Vector' toe te voegen, dan is aan het ge-encrypte resultaat te zien of er herhalende blokken in de plaintext zitten. Of geen random keys gebruiken maar een hash van een paswoord van maar een paar tekens, dat kan je simpel bruteforcen. Ik denk dat het ook vaak gaat om misbruik van dit soort foutjes.

[RGAT]

Het lijkt me makkelijker en veiliger voor een partij als de NSA om via backdoors in closed source software zoals Windows op een pc aanwezige software te manipuleren tot een encryptieprogramma wat tijdens encryptie ook stieken een en ander naar de NSA stuurt...
Zo blijft de encryptiestandaard sterk, ook voor de NSA om te gebruiken (en de rest van de overheden etc.) maar is er altijd mogelijkheid invloed uit te oefenen op de effectiviteit.

Gebruikers testen wel vaak de MD5 code van een download maar na instalatie kan er werkelijk alles mee gebeuren, je hebt als NSA dan vrij letterlijk vrij spel...

[GekkePrutser]

Makkelijker wel ja, maar veiliger? Als een PC zomaar data loopt te versturen dan wordt dat echt wel een keer door iemand opgemerkt... En er hoeft er maar 1 bij te zitten die dat wereldkundig maakt. Dan was dat inmiddels al wel gebeurd.

Het zou wel kunnen dat ze iets inbouwen dat decryptie ook met een andere sleutel mogelijk maakt. Maar ook dat kan ontdekt worden, zelfs van closed-source software kan je gewoon bekijken hoe het werkt, het is alleen meer werk omdat je de assembler code moet lezen.

[marcelkraan]

Maar AES is wel safe toch?

[Anoniem: 303530]

Dat is niet te bevestigen.

Maar dat is het mooie van AES: het is open source. Iedereen ter wereld kan proberen het algoritme te kraken.

[marcelkraan]

precies.. en een stukje vage code wordt ook door meerdere gechecked

[Mentalist]

Ik blijf me toch afvragen wat hiervan nou daadwerkelijk waar is. Een backdoor in een open source encryption (veelal de meest gebruikte voor internet communicatie) heb je niet zomaar verborgen en de kans op ontdekking is ook erg groot.

Qua closed-source encryptions geloof ik het direct, maar open source implementaties die veelvuldig doorgekeken zijn juist op zoek naar backdoors, tja daar sta ik toch ietwat kritisch tegenover...

Helemaal omdat je ervanuit kan gaan dat alles wat hun hebben, hun "vijanden" ook hebben.

Ik denk dat de source misschien wel veilig is, maar ik vraag me af.. Bijna al onze CPU's waar we mee compileren komen van twee grote fabrikanten: Intel en AMD. Wat nu als er een "backdoor" in de CPU zit waardoor bij het compileren van veilige source voor AES ze een backdoor injecteren?

Zou dat kunnen? Hoe zouden we er ooit achter komen?

Nu klink ik misschien paranoïde maar na dit bericht begin ik aan alles te twijfelen.

[Reactie gewijzigd door Mentalist op 22 juli 2024 14:30]

[tinoz]

Nee, je bent niet paranoïde, het is een terechte zorg want alles staat nu op zijn kop. Dit schandaal is nog veel groter dan Watergate destijds.

Als je een vermoeden van NSA spionage een paar jaar geleden aan anderen had verteld dan zou je vierkant uitgelachen zijn. WIE worden er NU vierkant uitgelachen, die over een paar jaar gewoon keihard gelijk blijken te hebben? Zijn die rare verhalen misschien WEL waar?

Wat is er gebeurd in de V.S., het land van vrijheid, waar ik veel van hou, dat dit zo uit de hand is gelopen? Welk trauma is er dat ze hun eigen wetten aan de kant schuiven?
Is dit begonnen na Pearl Harbor? Na Roswell? Na 9/11?

[Anoniem: 399807]

Het is altijd zo geweest, het verlangen van overheden om controle te houden op de massa. Het verschil zit hem in de ICT. Dat schaalt alles op tot misbruik ineens miljoenen mensen schaadt.

Als je meer wilt weten, zie dat 'The Century of the Self' van Adam Curtis. Dat geeft tenminste een deel van het perspectief.

[Mel33]

Ja soms zie je het overduidelijke niet meer, Intel staat voor........
Vanaf de Pentuim 3 is er een id in de chip gebouwd, dus je kan gemaakte os ook herleiden, net als de printers en typemachine verhalen, (watermerk)

[-ETz-candyman]

Je mag je source nog zo vaak publiek zetten, als er in je binaries die je aan het publiek geeft een lijntje extra zit komen het merendeel van de gebruikers alsnog bedrogen uit.

[Stoney3K]

Je mag je source nog zo vaak publiek zetten, als er in je binaries die je aan het publiek geeft een lijntje extra zit komen het merendeel van de gebruikers alsnog bedrogen uit.

Je publiek is natuurlijk vrij om het zelf te compileren. Als die eigen gecompileerde versie dan zich iets anders gedraagt dan de 'officiële' binary moet er toch bij genoeg mensen een lampje gaan branden, dunkt me.

[Dutchman01]

De backdoor hoeft echt niet in de encryptie zelf te zitten!
Het kan bijv ook via een lek login pagina of een deel van een gebruikt software pakket zitten.

[Twizzlerz]

Kortom, geen enkele digitale communicatie is meer veilig. Op iedere plek is het door de NSA wel af te luisteren.

[johnkeates]

Als je kwetsbare algoritmes of software gebruikt is dat inderdaad zo. Maar als je zelf weet hoe het werkt en het kan controleren, dan kan de NSA hoog of laag springen, maar breken ze die encryptie echt niet.

Stel dat je elliptic curve cryptography of RSA gebruikt, en dat goed implementeert. Daarna zorg je voor grote keys, en dan heeft de NSA er toch echt wel moeite mee om zo iets binnen 40 jaar te kraken.

Wat ik me kan voorstellen is dat het hier vooral over dingen als, RC4, MS-CHAP, MD5, A5/1, bepaalde DES en AES soorten/modussen gaat. Dat maakt het natuurlijk niet goed, maar als je bijv. wel veilig wil werken en je iets als OpenVPN gebruikt en degelijke encryptie configuraties gebruikt gaat de NSA echt niet zomaar even kunnen 'meeluisteren'. Dat zal met commerciele VPN software anders zijn, bijvoorbeeld als Cisco VPN software maakt. De NSA gaat daar dan gewoon langs en verplicht ze iets in te bouwen zodat ze er makkelijk bij kunnen. SSTP van Microsoft heeft hetzelfde verhaal. OpenVPN heeft geen last van dat soort problemen om dat er ten eerste niet een partij is waar je als NSA heen kan gaan, en ten tweede is het nogal duidelijk als de broncode opeens aangepast is en vol zit net problemen.

[koelpasta]

"Als je kwetsbare algoritmes of software gebruikt is dat inderdaad zo. Maar als je zelf weet hoe het werkt en het kan controleren, dan kan de NSA hoog of laag springen, maar breken ze die encryptie echt niet."

Je moet breder denken, denk ik.

De VS beschuldigt met name China ervan dat ze bewust hacktools en backdoors in IC's inbouwen.
Maar ik denk dat de NSA ook wel een keer bij ome Intel is langsgeweest en daar wat heeft geregeld.

Zolang je je hardware niet kan garanderen ben je nog niks opgeschoten en heeft encryptie op uncontroled hardware uiteindelijk, als ze het echt willen, geen nut.

Zaken als TPM zijn natuurlijk een weggevertje.

[marcelkraan]

deze zijn zeker brak RC4, MS-CHAP ik kan me ook niet voorstellen dat als is SMIME of PGP key maak ( openssl of gnupg) op 4096 dat deze door de overheid/NSA gedecryped kunnen worden. ik geloof wel dan mijn radius server voor wifi niet heel safe is.. maar dit ligt meer aan het apparaat wat alleen MS-CHAP hanteert.

brake happen zooi.. ik mail niet meer zonder S/MIME of PGP

[? ?]

En hoeveel mensen ken jij die mailen met encryptie?

Toen ik laatst een onderzoekje deed in een universitair ziekenhuis, moest ik de resultaten opvragen via email via een Dr. Prof.
Plain text email offcourse...

[analog_]

Dual Elliptic Curve Deterministic Random Bit Generator

PRNGs worden ook gebruikt in asymmetrische methodes.

[Eonfge]

Ze zouden gewoon de sleutels en backdoors openbaar moeten maken.

Op de korte termijn wordt dat een ravage: bank communicatie, communicatie tussen overheden en communicatie tussen politie, leger en dergelijke komt totaal open te liggen. Miljarden zijn er te verdienen in het bestelen van banken en bankiers. Het is maar te hopen dat kern reactoren niet berijkbaar zijn of dat het dienstdoende personeel snel de reactor uit zet. De schade die een klein groepje hackers kan aanrichten met deze gegevens is immens.

En dan? Daarna zal er nog maar één oplossing zijn: De gaten dichten. Vanaf dat moment moeten we inzien dat ook overheden niet met alle communicatie kunnen worden vertrouwd en dat als wij een veilig systeem bouwen, dat het ook echt veilig dient te zijn.

Het is een hoge prijs die we dienen te betalen. Was Snowden minder trots op zijn land geweest dan had hij heel veel schade kunnen aanrichten. Het is veilig om aan te nemen dat er op een dag, een medewerker van de Amerikaanse inlichtingendienst het slechte pad kiest... we kunnen dan maar beter onze systemen tegen iedereen beveiligd hebben, dan dat er dan nog enkele backdoors zijn 'voor de nationale veiligheid'.

[Rey Nemaattori]

Ze zouden gewoon de sleutels en backdoors openbaar moeten maken.

Op de korte termijn wordt dat een ravage: bank communicatie, communicatie tussen overheden en communicatie tussen politie, leger en dergelijke komt totaal open te liggen. Miljarden zijn er te verdienen in het bestelen van banken en bankiers. Het is maar te hopen dat kern reactoren niet berijkbaar zijn of dat het dienstdoende personeel snel de reactor uit zet. De schade die een klein groepje hackers kan aanrichten met deze gegevens is immens.

En dan? Daarna zal er nog maar één oplossing zijn: De gaten dichten. Vanaf dat moment moeten we inzien dat ook overheden niet met alle communicatie kunnen worden vertrouwd en dat als wij een veilig systeem bouwen, dat het ook echt veilig dient te zijn.

Het is een hoge prijs die we dienen te betalen. Was Snowden minder trots op zijn land geweest dan had hij heel veel schade kunnen aanrichten. Het is veilig om aan te nemen dat er op een dag, een medewerker van de Amerikaanse inlichtingendienst het slechte pad kiest... we kunnen dan maar beter onze systemen tegen iedereen beveiligd hebben, dan dat er dan nog enkele backdoors zijn 'voor de nationale veiligheid'.

Of gewoon totale openheid, at the rate this is going zie ik de mensheid nog wel instaat tzt onze hersens aan elkaar te knopen en één hive mind te bouwen waarin iedereen al zijn gedachten deelt. Dat zou ideaal zijn, ware het niet dat in het huidige cultuur de machthebbers(whoever that really may be) zelf allerlei command & control elementen inbouwen, het geen precies tegenovergestelde van totale openheid is.

[Stoney3K]

Ze zouden gewoon de sleutels en backdoors openbaar moeten maken.

Daar zal het uiteindelijk wel naartoe gaan. Met zaken als een decryptiebevel zal het uiteindelijk uitdraaien op een totaalverbod op alle cryptografie, omwille van 'kinderporno' en 'terrorisme'..

Wat ze dan over het hoofd zien is dat ze zichzelf daarmee grandioos in de voet schieten, want ook banken en grote (media)bedrijven hebben veel baat bij het versleutelen van data.

[koelpasta]

"En dan? Daarna zal er nog maar één oplossing zijn: De gaten dichten. Vanaf dat moment moeten we inzien dat ook overheden niet met alle communicatie kunnen worden vertrouwd en dat als wij een veilig systeem bouwen, dat het ook echt veilig dient te zijn."

Ja, maar dan zijn we er niet.
De algoritmes moeten nog steeds gemaakt worden, op zn minst moet het systeem eerst bedacht worden. En daarbij komen mensen om de hoek kijken. En geld. En macht.
Het gaat nog een hele klus worden om zoiets in goede banen te leiden.
Opnieuw beginnen wil niet zeggen dat dezelfde fouten niet nog een keer gemaakt zullen worden.
De gaten die in het artiekel genoemd worden bestaan officieel ook niet en toch zitten ze er.
En gaten kun je op veel manieren 'dichten'.

[Janus Bier]

Is er bekend welke encryptie Robert. M precies gebruikte?

Als je dat weet, zou je die encryptie als veilig kunnen beschouwen toch?

[Berendhoo]

Veilig tegen de Nederlandse politie.
De NSA gaat jou (of een nl agent) niet vertellen dat ze truecrypt kunnen kraken.
Het volgende gaat over het hebben van de private keys van servers, uit het NYT artikel:

To keep such methods secret, the N.S.A. shares decrypted messages with other agencies only if the keys could have been acquired through legal means. “Approval to release to non-Sigint agencies,” a GCHQ document says, “will depend on there being a proven non-Sigint method of acquiring keys.”

Ze zullen dus niet zomaar even overal truecrypt gaan decrypten. Dan stapt 'de tegenstander' over op wat anders. Uit hetzelfde artikel:

“These capabilities are among the Sigint community’s most fragile, and the inadvertent disclosure of the simple ‘fact of’ could alert the adversary and result in immediate loss of the capability,” a GCHQ document outlining the Bullrun program warned.

[Anoniem: 353647]

't is ook een kwestie van tijd: we kunnen nu heel oude zip en rar bestanden zo kraken met tooltjes.

[Yzord]

Hij gebruikte dus Truecrypt, wat ik ooit heb gelezen met daarin een eigen volume.

Ik heb trouwens ook het idee dat ze nu er juist misbruik van maken dat iedereen weet dat de NSA iets kan. Ik vermoed dat ze nu juist onzinberichten de wereld ingooien om angst aan te jagen.

[marcelkraan]

Toch Truecrypt... zit dit artikel
nieuws: Roberts M. gebruikte waarschijnlijk TrueCrypt

[RGAT]

Niet per se, dat de politie er niet in komt wil niet zeggen dat een 'wat' grotere partij als de NSA met volledig datacenter vol rekenkracht en slimme koppen er ook niet inkomt...
Maar inderdaad, die encryptie zou veilig moeten zijn zolang de politie erin wilt komen.

[BertV]

De Nederlandse justitie/overheid kwam niet voorbij AES, dat wil absoluut niet zeggen dat de NSA daar niet makkelijk voorbij klikt.

[Zalmanman]

"Mother should I run for president? Mother should I trust the government? Mother will they put me in the firing line?"

Ik begin me steeds onveiliger te voelen op het internet. Tot voorkort kon ik lekker op het internet rondneuzen naar de meest uiteenlopende, vooral technische, dingen. Nu heb ik continue het idee dat er iemand meekijkt; het voelt niet meer zo veilig.

[Anoniem: 445817]

Hoewel ik me jouw reactie kan voorstellen is deze grotendeels onterecht:

* De meeste verbindingen die je opzet waren toch al niet versleuteld en het bijhouden van logs is in veel landen al jaren verplicht.

* HTTPS / SSL verbindingen waren veilig ten opzichte van derden en zijn dat nog steeds. Geheime diensten (en soms ook hackers) konden die altijd al kraken door het vorderen (of stelen) van autoriseerde sleutels en een man-in-the-middle aanval. (Er zitten behoorlijk dubieuze partijen standaard in je browser.)

* Voor geheime diensten is het meestal eenvoudiger om informatie van de host te vorderen dan om zelf te gaan zitten afluisteren. Dit was altijd al zo en is met deze onthullingen ook niet veranderd.

Uiteraard zijn er andere toepassingen voor encryptie die wel extra gevaar lopen, met name voor bedrijven, maar volgens mij is bovenstaande van toepassing op de meeste particuliere Internet gebruikers.

[Reactie gewijzigd door Anoniem: 445817 op 22 juli 2024 14:30]

[Anoniem: 399807]

Als ik jouw lees wordt ik eerder banger.