Google kan op afstand toestelbeveiliging van veel Android-toestellen uitzetten

Met Windows Phone woord de key net als Windows 10 online opgeslagen toch? (One drive)

Nope, er wordt geen password opgeslagen. Net zo min als dat gebeurt bij andere online zaken.
Er wordt slechts een hash van het password opgeslagen. En die is niet zo 1-2-3 om te zetten naar een password.

Ook op WP/W10M kan je je telefoon versleutelen.

Bij Apple kan je via icloud ook de find my iphone uitschakelen. Met jou beredenering betekend het dat Apple dus deze mogelijkheid bij elke klant kan uitvoeren. Gelukkig kunnen ze dat niet en slaat MS alle data van de klanten in hun datacenter encrypted op. Ze zijn al jaren in een juridisch gevecht dat de amerikaanse overheid toegang wilt hebben tot de europese office365 data. Dus waarom zouden ze dat in dit geval wel doen?

Daarnaast geldt het opslaan van encryptie op Microsoft servers alleen voor consumenten. Bitlocker bestaat namelijk uit twee versies en bedrijven kunnen ervoor kiezen om deze op hun eigen servers op te slaan. De reden dat MS het bij hun online opslaat komt meer om de gebruikers te beschermen. Aangezien grotendeels niet IT-ers zijn en al moeite hebben om over technieken zoals two-way-authenticatie aan te zetten, dan zal het bewaren van encryptie sleutel op hun toestel ook al een brug te ver zijn. Als ze hun password niet meer weten komen ze er nooit meer in. In geval met Windows op je smartphone en/of tablet,desktop of laptop kan je er via outlook.com alsnog. Enige wat op de MS servers wordt opgeslagen is de recovery key, natuurlijk geen data.

Dus mocht de overheid je bijvoorbeeld van kinderporno verdenken dan zou je als persoon alsnog je wachtwoord moeten afgeven mocht de overheid er niet in kunnen. Dit is in het verleden bij rechtszaken (in Nederland) ook voorgekomen.

[Reactie gewijzigd door vali op 23 november 2015 09:33]

Dus volgens jouw optiek kan je dus zomaar iedereen in het gevang houden omdat jij iemand verdenkt?
Moeten de agenten/justitie niet daarvoor zorgen?
Hoezo zouden verdachten aan hun eigen veroordeling meewerken?
Daarnaast ga jij dus akkoord met het opheffen van alle privacy die de mens gegund is volgens de rechten van de mens.

Uiteindelijk is het de oplossing vrij simpel als devices niet meer uitgelezen kunnen worden: er komt gewoon wetgeving die je verplicht mee te werken als er voldoende bewijsmateriaal is dat je ergens bij bent betrokken. Je blijft gewoon vastzitten totdat je de code hebt gegeven. Oplossingen hoeven niet altijd in technologie te worden gezocht.

Ahh... de decryptieplicht. Het idee is al zo oud als dat er encryptie is en de discussie loopt al sinds de jaren 70. Iedere drie jaar wordt het opnieuw voorgesteld om dan door hoge rechters en juristen te worden afgekeurd. Menig minister van justie heeft z'n tanden er al op stuk gebeten want op het eerste gezicht lijkt het een goed idee.

Een groot probleem met zo'n wet is dat mensen vergeetachtig zijn. Je kan het verschil niet maken tussen iemand die het wachtwoord niet wíl geven en iemand die het vergeten is en/of daarover liegt.
Ten tweede is versleutelde data bijna per definitie niet als zodandig te herkennen. Het is in principe onmogelijk om het verschil te zien tussen random data en encryptie. Daarbij zijn er encryptiesystemen mogelijk met meerdere sleutels (bv truecrypt). Het wachtwoord dat je gebruikt bepaalt welke data er na decryptie uit komt. Ook hierbij is niet worden bewezen of zo'n techniek wordt gebruikt. Het is dus altijd mogelijk dat er nóg een wachtwoord is dat de verdachte nog niet heeft gegeven.

In praktijk betekent het dat je op geen enkele manier kan vaststellen of iets versleuteld is én je kan niet vaststellen of je de juiste sleutel hebt. Een kwaadwillende agent kan dus een willekeurig stuk data pakken en vragen om het te decrypten. Als de verdachte zegt dat hij dat niet kan dan is hij strafbaar en er is geen enkele manier om zijn onschuld te bewijzen.

Oftewel een algehele decryptieplicht betekent dat de bewijslast wordt omgekeerd. Niet langer ben je onschuldig tot het tegendeel is bewezen. Je moet zelf je onschuld bewijzen terwijl dat bij kwade opzet onmogelijk is. Dat zet de deur open voor Kafka'eske situaties waar niemand op zit te wachten.

<intermezzo featurecreep>
O ja, het is uiteraard alleen voor kinderporno.
Zo'n wet zal uiteraard nooit op een andere manier worden ingezet. Nouja, nooit behalve als het om terroristen gaat. Dus alleen kinderporno en terroristen en de belastingdienst, want die mogen alles. Maar dus niemand anders dan de politie, de belastingdienst en Hollywood, want de copyrights moeten wel beschermd worden, kan er gebruik van maken. Met uitzondering van de zorgverzekeraars uiteraard want je mag niks verborgen houden voor je verzekering... etc...
</intermezzo>

Ik ben dus tegen een decryptieplicht omdat het een oncontroleerbaar middel is. Met een decryptieplicht kun je iedereen strafbaar stellen en dat past niet in een rechtstaat.

Daarmee is niet gezegd dat we alle hoop moeten opgeven als we een versleuteld bestand vinden. In plaats van de stok kunnen we ook de wortel gebruiken. Het is nog steeds mogelijk om een verdachte te overtuigen om z'n steutel vrijwillig af te staan, bijvoorbeeld door strafvermindering aan te bieden.
Wie onschuldig is hoeft z'n wachtwoord dan niet af te staan. Als je niet gestraft wordt heb je ook geen strafvermindering nodig. (Er even van uitgaande dat ons juridische systeem verder wel op orde is en geen onschuldige veroordeelt). Het belangrijkste is echter dat je niet meer gestraft kan worden voor het niet afstaan van je wachtwoord. Bij kleine vergrijpen hoef je dus niet te vrezen dat je een zware straf krijgt omdat je je wachtwoord bent vergeten of omdat je je privacy niet wil opofferen om bezwaar te maken tegen een parkeerboete.

Dankzij die vertraging zou een bruteforce wel erg lang duren. Bovendien moet je dan hopen dat de functie dat de telefoon alle data wist na tien verkeerde codes niet aan staat.

Lockscreens zijn er volgens mij vooral zodat andere mensen niet zomaar bij jouw data kunnen als zij de telefoon fysiek hebben (al dan niet gestolen of gevonden). Daar werkt het redelijk effectief tegen en in tegenstelling tot een laptop kun je het interne geheugen niet eventjes formatteren als het puur gaat om de telefoon zelf door te verkopen.

De encryptie in iOS hoef je niet aan te zetten, die staat standaard aan. Volgens mij kun je die niet eens uit zetten.

Onzin, encryptie is altijd trager. Magische apple gaat daar niks aan veranderen.

Waarschijnlijk ook 90% van de stock-Android gebruikers gebruikt de nieuwste versie. Het verschil is alleen dat iOS niet allerlei forks heeft van verschillende fabrikanten. Als die er wel waren hadden ze die ook niet up-to-date gehouden, dus ik vind het een beetje appels met peren vergelijken.

Dus jij vindt het oke als een bedrijf een overheid onder druk zet om een wet ongedaan te maken? Of is alles geoorloofd zolang het maar goed is voor je privacy?

Niet dat zoiets gaat gebeuren ik dit geval. Apple/Google/MS zullen zich in dit opzicht netjes aan de wet houden omdat ze alleen maar verliezen als ze het niet doen.

En uiteindelijk is het interessanter om te zien met wie mensen hebben gecommuniceerd dan de inhoud. De inhoud kan je voor buitenstaanders onbegrijpelijk maken door via afgesproken codes te communiceren. Daarvoor hoef je geeneens encryptie te gebruiken.

Het gaat erom dat de data op de telefoon versleuteld is met je pincode/wachtwoord, en je pincode/wachtwoord word niet met het netwerk of de telefoon/os maker gedeeld, tot voorkort kon Google het wachtwoord op afstand veranderen om toegang te verlenen tot een telefoon (Apple kon het wachtwoord ook veranderen maar dan alleen binnen Apple winkels/kantoren) dat kunnen ze nu op recentere versies van Android en iOS zeer waarschijnlijk nog steeds, maar het heeft geen zin meer, want dan is de telefoon wel ontgrendeld, maar is de data nog steeds encrypted, kunnen ze dus niets uitlezen.