FBI: bedrijven die encryptie gebruiken moeten businessmodel heroverwegen

FBI-directeur James Comey heeft in een hoorzitting gezegd dat Amerikaanse techbedrijven die standaard hun producten versleutelen, zoals smartphones, 'zouden moeten overwegen hun businessmodel aan te passen' om gebruikersdata te kunnen leveren bij een gerechtelijk bevel.

Comey doet de uitspraak tegenover de Amerikaanse Senaat. Hij benadrukt dat hij niet wil dat de Amerikaanse overheid het plaatsen van een backdoor in apparaten gaat verplichten. "De overheid moet bedrijven niet gaan vertellen hoe ze hun systemen moeten bedienen", zei hij. Wel voorziet Comey een situatie waarin Amerikaanse fabrikanten van bijvoorbeeld smartphones een gerechtelijk bevel krijgen waarin staat dat ze gegevens van een bepaalde gebruiker moeten overhandigen, waarna zij 'zelf uitzoeken' op wat voor manier ze die gegevens bemachtigen. Verschillende partijen, waaronder president Obama zelf, benadrukken het belang van de medewerking van techbedrijven en zeggen tegelijkertijd dat ze geen wetten willen opstellen om die toegang te garanderen.

Als voorbeeld geeft de directeur van de FBI de schietpartij in Garland, Texas in mei van dit jaar. Een van de twee daders van die schietpartij heeft op die dag volgens Comey 109 berichten uitgewisseld met een 'terrorist overzee'. "Tot op de dag van vandaag kan ik niet zeggen wat hij met die terrorist besproken heeft, omdat die berichten versleuteld zijn", beweert de directeur. Bij de schietpartij kwamen alleen de twee daders om het leven door het ingrijpen van plaatselijke politieagenten. De twee waren uitgerust met kogelvrije vesten en aanvalsgeweren en wilden een Mohammed-cartoonwedstrijd binnenvallen.

Uit vragen van de senaat blijkt dat Comey zich ervan bewust is dat het ontsleutelen van bijvoorbeeld smartphones nog niet leidt tot volledige toegang tot de gegevens van een verdachte. Een app kan zelf ook encryptie toepassen op zijn datacommunicatie en -opslag, die apart omzeild zou moeten worden. Daarop zegt hij dat weliswaar niet de gegevens van iedere verdachte blootgelegd kunnen worden met een gerechtelijk bevel, maar dat het wel 'een groot deel' van het probleem weghaalt. Ook beseft hij dat fabrikanten buiten de VS hier niet onder vallen. Daarom ziet hij ook het liefst een internationale samenwerking om, wanneer nodig, hetzelfde te bewerkstelligen in het buitenland.

Reacties (169)

Ik vind dit een zeer slechte zaak, met andere woorden ze willen bij je spullen komen het liefste onder de naam dat het tegen terrorisme is? Sorry maar dat roepen ze nu, als dit niet was gebeurd hadden ze gezegd dat het was geweest ivm veiligheid, belasting, of welk ander verzinsel.

Ik ben erg pro encryptie en de overheid hoeft naar mijn mening niks te weten van de burgers behalve als het overheids gericht is (belastingen bv) maar voor de rest moeten ze zich niet bemoeien met de mensen.

De volgende stap is:
Stuurt berichtje "Ik ga morgen op vakantie"
Medewerker meldt zich ziek
Werkgever krijgt notificatie dat medewerker zegt "ik ga morgen op vakantie" terwijl hij ziek is.

Of als je wat zegt tegen een collega over iets op werk dat je werkgever dat maar meteen kan nalezen etc, of straks reclame bureaus die geld betalen op basis van woorden dat je maar meteen reclame krijgt te zien.

[Reactie gewijzigd door doenietzodom op 10 december 2015 11:23]

offtopic:
Waarom zo moeilijk doen als de mensen dat soort berichtjes op social media zetten?
Want daar wordt actief naar gezocht.

FBI terrorisme bestrijden? Ze lokken het vaak zelf uit en zijn er zo druk me dat ze minder tijd hebben om ander werk te doen. (Zoek maar eens naar 'FBI terrorism entrapment') Bijvoorbeeld:
https://news.vice.com/art...-has-not-blurred-its-gone

De EU zou backdoors moeten verbieden via de wet en daarmee zorgen dat bedrijven die daar wel aan mee doen hun producten niet in de EU mogen verkopen. Iets wat waarschijnlijk niet zomaar kan als de EU voor TTIP tekent.

De EU zou backdoors moeten verbieden [...] Iets wat waarschijnlijk niet zomaar kan als de EU voor TTIP tekent.

TTIP is niet de enige reden. Neem als voorbeeld de Nederlandse overheid die met de recent ingediende wetsvoorstellen niet alleen het hacken van computers van verdachten wil toestaan maar óók computers van mensen 'in de omgeving' van een verdachte.

Op Vice staat een artikeltje waarin dit piekfijn wordt uitgelegd:

De wet zou het uiteindelijk gaan legitimeren om overheidsorganen van afstand te laten inbreken op alle digitale apparaten (telefoons, laptops en tablets). Na inbraak mogen gegevens worden overgenomen, gewist of toegevoegd.

[ ... ]

In de wet staat nog iets wat in potentie verstrekkende gevolgen heeft: er kan niet alleen op apparaten van verdachten ingebroken worden, ook apparaten van derden worden gebruikt om in de buurt van verdachten te komen. De wet kan dus in principe echt iedereen treffen.

[ ... ]

Verdacht ben je voor je het weet [...] de bevoegdheid van politie om data toe te voegen impliceert dat er dan misschien 'ineens' belastend materiaal op je computer wordt aangetroffen dat je er zelf nooit op hebt gezet ...

[ ... ]

Niet verdacht zijn is helaas nog niet voldoende, want de wet maakt dat er op ook op apparaten van derden kan worden ingebroken.

Samenvattend kan ik me bijzonder moeilijk voorstellen dat de Nederlandse overheid zich hard zal gaan maken voor een verbod op dergelijke overheidsbackdoors.

[Reactie gewijzigd door tERRiON op 10 december 2015 13:12]

Na inbraak mogen gegevens worden overgenomen, gewist of toegevoegd.

In een rechtzaak zou computerbewijs niet meer mogen worden vertrouwd. Overheid heeft toestemming om dingen aan te passen door te hacken. Hoe kan je b.v. nu nog bewijs aandragen dat gevonden is op een computer? Gewoonlijk kan je alles aanpassen zonder dat dit nog te achterhalen is.

Stel iemand wordt uitgemaakt voor terrorist, bewijs staat op zijn computer.

Zulk bewijs hoort met deze wet niet toegelaten te worden!

Daar zit ook nou net het hele punt. Maar we zien steeds vaker dat de schaal die kant op schuift. Wie had 20 jaar geleden kunnen bedenken dat er wetgeving zou worden gemaakt voor een voor een strafbaar feit die je nog niet begaan hebt en waarvan ook allerminst zeker is dat je die zult begaan. Het kan...

En zo ook met het inbreken op computers (waar je op zichzelf best een discussie over zou kunnen voeren) maar dat de overheid data mag wijzigen of toevoegen is natuurlijk een stap die nooit gezet had mogen worden. En toch is de kans bijzonder groot dat het gaat gebeuren.

Neem als voorbeeld de Nederlandse overheid die met de recent ingediende wetsvoorstellen niet alleen het hacken van computers van verdachten wil toestaan maar óók computers van mensen 'in de omgeving' van een verdachte.

Precies, zoals met tappen ook al jaren het geval schijnt te zijn, bij monde van beroemde advocaten.
''Als ik iemand ken die iemand kent kan ik het ook hebben'', dat vond ik altijd al bij het verkrijgen van muziek en software. Nu is dat inmiddels opgewaardeerd tot "Als ik iemand ken die iemand ket die een verdachte crimineel is en gevolgd wordt, ben ik ook in mindere mate verdacht.''. Plannen en wetten wijzen er inmiddels op dat het waar is.

Nu heb ik geen telefoon, maar mocht ik er een willen heb ik een behoorlijke pluk werk om uit vinden welke ik ga kiezen. Voor het overige blijft de code-taal' gewoon bruikbaar.

''Vrijdag een terrasje pakken.?''

De wet is inderdaad heel erg slecht geschreven en veel te breed om een goed en veilig beleid mogelijk te maken. De overheid krijgt de mogelijkheid om geheel binnen de wet iedereen overal ter wereld te hacken en simpel weg bewijs dat zij nuttig vinden op de computer van hun doel te zetten.

Nu zijn de meeste agenten niet door en door verrot maar dat geld dus per definitie niet voor alle agenten en als een lelijke vatssige stagiaire en een sigaar al voldoende is om een president te doen struikelen dan kun je je voorstellen dat een promotie en dus een paar euro extra per maand de meeste agenten ook aan het twijfelen kunnen krijgen.

Maar goed omdat we allemaal bang zijn voor een bebaarde jurk met een AK-47 en een passie voor onzichtbare baardmannetjes in de wolken zal die wet er vast wel komen en zullen we over een paar jaar horen dat de overheid zo verbaasd is dat er op grote schaal misbruik van wordt gemaakt.

Samenvattend kan ik me bijzonder moeilijk voorstellen dat de Nederlandse overheid zich hard zal gaan maken voor een verbod op dergelijke overheidsbackdoors.

Dat hoeft niet eens. Als men daadwerkelijk overgaat tot het plaatsen van backdoors in Amerkaanse producten of de veiligheid wil afzwakken, men dat misschien nu al doet, dan worden deze producten uitermate onaantrekkelijk voor afnemers. Het feit dat ze erin zitten zal ook nog eens andere "geïnteresseerden" aanzetten deze te vinden.

Obama heeft eerder dit jaar nog verkondigd dat iedereen versleutelde mail zou moeten hebben: nieuws: Obama: iedereen zou versleutelde e-mail moeten hebben

In mijn ogen lost het misschien wel een paar problemen op, maar het zal er ook een pak nieuwe creeren...

De laatste tijd merk je dat bedrijven hun USB sleutels en laptops standaard encrypteren met Bitlocker, daardoor kan je inderdaad niet zien wat een mogelijke terrorist op zijn stick/laptop had MAAR stel je voor dat op diezelfde laptop de gegevens staan van een verzekeraar waar medische dossieren op staan en hij raakt zijn laptop kwijt door diefstal of vergetlheid, dan krijg je ook een enorme schade...

Het is dus zo, dat statischtisch gezien onversleutelde data veel meer kans heeft om schade toe te brengen, dan dat onversleutelde data informatie kan opleveren voor schade te voorkomen...

Ik vind het een beetje een kat en muis spel dat je ook ziet met sommige antivirus pakketten:
Je koopt ze aan voor vuiligheid tegen te houden die je pc kan infecteren, waarom? voornamelijk omdat de meestvoorkomende symptoom een TRAGE PC is, MAAR wat merk je op met de meeste anti-virus paketten? Dat ze ook je systeem kunnen vertragen en voor een laptop verminderen ze bovendien je batterijduur en maken ze veel warmte aan.

Een anti-virus heeft in dit geval hetzelfde effect alsof je geinfecteerd zou zijn met iets, dan vraag ik mij af of het nog veel nut heeft van een anti-virus te installeren...
Ik persoonlijk verkies sanx-boxing zoals Sanboxie levert.
Een sandbox programma heeft geen invloed op je systeem en een virus of spyware kan niet uit de sandbox weglopen.

Je koopt ze aan voor vuiligheid tegen te houden die je pc kan infecteren, waarom? voornamelijk omdat de meestvoorkomende symptoom een TRAGE PC is

Ik weet niet of dit jouw persoonlijke mening is of dat je die uit je omgeving verneemt, maar als de geachten leeft dat een virus alleen een pc kan vertragen lijkt me dat een verkeerd uitgangspunt.

Ik denk hierbij aan het onderscheppen van vertrouwelijke data (e-mail), van gevoelige data (privacy, medisch), financiële schade (misbruik credit cardgegevens, valse transacties), maatschappelijke schade (opname in een botnet), juridische risico's (valse proxy's, e-mailboms, DOS-aanvallen, kinderporno, etc).

Een beetje modern virus wil zichzelf juist niet laten opvallen, des te meer kans heeft het te overleven en goed zijn werk te kunnen doen. De pc traag maken is niet in het belang van de meeste virusmakers.

Daarbij zal een virusscanner in de praktijk je systeem enigszins vertragen maar dat is gelijk aan hoe kooiconstructies, remmen en airbags je auto zwaarder maken. Het is geen doel op zich en de fabrikanten doen hun best de impact zo klein mogelijk te houden.

[Reactie gewijzigd door Eagle Creek op 10 december 2015 12:39]

Natúúrlijk wil het virus zich niet laten opvallen.
Maar hoe inzichtelijk is bijvoorbeeld of jouw mappenstructuren in orde zijn, of er geen vreemde programmatuur op de achtergrond draait voor de gemiddelde gebruiker?
De 'standaardgebruikers' schatten veelal in "hoe druk de pc is" aan de hand van het criterium "Hoe veel langzamer lijkt het apparaat te werken".

Het is dus eerder doordat het gros van de gebruikers andere symptomen vrij moeilijk zal of kan opmerken dan de snelheidsfactor van de computer.
Oorzaak hiervan blijft dat de meeste mensen niet willen leren hoe dit soort dingen werken, maar toch wensen "dat het werkt".

Serieus? Bitlocker? Voor $179 koop je een stukje software dat dit decrypt. Grootste bezwaar om dit te doen is het geduld wat je er voor nodig hebt.....

van encrypted naar decrypted is niet meer dan de vergelijking:
(hoeveel is het me waard)*(encryptie diepte)/(hoeveel tijd wil ik er in investeren)

Het feit dat men bij encrypted berichtjes niet weet wat er in staat lijkt me dan ook heel erg sterk en vermoed dat mijnheer Comey hier een leugentje om "bestwil" verkondigd om zijn mening meer kracht bij te zetten.

Natuurlijk heb ook ik mijn notebook en mobiel ge-encrypt en dat beschermt mij tegen "jan-boeren-fluitjes" die mijn laptop vind in de trein, maar niet tegen organisaties zoals de gemiddelde TLA in de US.

Heb je goede (gratis) alternatieven voor de doorsnee gebruiker om een map/drive goed te versleutelen voor bv persoonlijke documenten?

Truecrypt is, ondanks dat de developers hun handen er van af hebben getrokken, een paar weken geleden nog uitgebreid geaudit en veilig bevonden. Er zijn ook forks van zoals verocrypt.

Let alleen wel op dat je een goed en veilig paswoord gebruikt. AES-256 encryptie betekent helemaal niks als de sleutel uit een paar makkelijk te raden letters bestaat. Om de juiste entropie te bereiken voor dat niveau van encryptie zou je eigenlijk een volledig random paswoord moeten hebben van 55 tekens (bij gebruik van alleen kleine letters) of 43 tekens (bij gebruik kleine letters, hoofdletters en cijfers).

Aangezien de meeste mensen veel kortere paswoorden gebruiken, is de meeste encryptie veel makkelijker te kraken dan de astronomische tijden die door de pure AES keylengte worden gesuggereerd.

Veracrypt

Heb je hier ook een link voor ? want om heel eerlijk te zijn ik geloof er niks van.

linkje

en linkje naar wikipedia (nee niet altijd een waarheid, maar toch)

It is in principle possible to decrypt the message without possessing the key, but, for a well-designed encryption scheme, large computational resources and skill are required. An authorized recipient can easily decrypt the message with the key provided by the originator to recipients, but not to unauthorized interceptors.

[Reactie gewijzigd door HeorotH op 10 december 2015 20:27]

voor dat tooltje moet je wel het paswoord kennen !

step 1:Select Bitlocker Encrypted Drive
step 2:Enter User Password or Bitlocker Recovery Key
step3:Data Decryption from Bitlocker Encrypted Drive

en dat wikipedia artikel is algemeen en zegt niks over bitlocker ..
Bitlocker is tot op heden zo secure als enig ander encryptie mechanische

[Reactie gewijzigd door klakkie.57th op 10 december 2015 21:42]

Ik zou het zeker niet durven te vergelijken met Truecrypt. Microsoft heeft zich bijvoorbeeld NIET zo duidelijk uitgesproken als bv een Apple (hoewel ik die ook niet vertrouw t.a.v. backdoors), en eigenlijk ben ik er altijd vanuit gegaan dat de Bitlocker implementatie een backdoor bevat (als het al mogelijk binnen een AD omgeving de sleutel te herstellen is het erg aannemelijk dat Microsoft iets voor de NSA / FBI gemaakt heeft om hetzelfde te kunnen).

Maar ben het wel met je eens dat Bitlocker voor nu veilig is voor normaal gebruik en dat er, buiten de recovery agents en de daadwerkelijke sleutel, geen simpele manier om de encryptie heen is. (En omdat Niels Ferguson betrokken is geweest bij de implementatie denk ik dat het in de basis wel goed in elkaar steekt; Ferguson heeft toch een reputatie hoog te houden).

Is Bitlocker niet van MS? Zit daar niet een backdoor in?

De laatste tijd merk je dat bedrijven hun USB sleutels en laptops standaard encrypteren met Bitlocker, daardoor kan je inderdaad niet zien wat een mogelijke terrorist op zijn stick/laptop had MAAR stel je voor dat op diezelfde laptop de gegevens staan van een verzekeraar waar medische dossieren op staan en hij raakt zijn laptop kwijt door diefstal of vergetlheid, dan krijg je ook een enorme schade...

Sterker nog, dat verlies van gegevens moet je vanaf 1-1-2016 melden. Vandaar de toegepaste versleuteling.

De verzinsels hadden zichtbaarder op problemen gestuit...
In-feite maken óók onze banken met internet-bankieren gebruik van vormen van encryptie t.b.v. authenticatie en gegevensafscherming, als redelijk duidelijk voorbeeld m.b.t. dingen waarvan we niet zo graag de touwtjes uit handen (moeten) willen geven.

Wat ik met deze man eens ben is dat banken al een paar decennia hun businessmodel horen te overwegen, maar dan om hele andere redenen... het laat echter ook zien hoe kort over dat standpunt daadwerkelijk nagedacht is.

Nee ze willen bij data van mensen die verdacht zijn van strafbaar feit, dat kan ook uitkomen dat hij onschuldig is en hij dus niet verder vastgehouden hoeft te worden en ze de tijd en resource kunnen inzetten om de echte dader te achterhalen.

Jij draait wel erger door, is geen wild westen in de VS, men moet zich gewoon houden aan de wetten. Hangt er dus vanaf wat ze in die wet opnemen en daar moeten ze binnen handelen. Denken dat ze het gaan misbruiken voor private sector zoals zieken mensen of zo is wel heel erg raar, zo werkt het niet.

Zelfs de schandaal binnen de NSA was nog allemaal in de mazen van de wetten gedaan, was viel spelletje wat er gespeeld werd door handje vol mensen maar was binnen de wet, wetten zijn aangepast om het te voorkomen dat het langer door zou gaan, NSA is er dan ook mee gestopt.

Maar het blijft een probleem dat als rechter toezegt tot bijvoorbeeld een huiszoeking en dan niet bij de gegevens kunnen omdat die versleuteld zijn en verdachte niet meewerkt, zoals kinderporno verdachte pc die versleuteld is vol staat met kinderporno, dat is natuurlijk zeer ongewenst en probleem, daar proberen ze dus oplossing voor te vinden.

Wat ik nog gevaarlijker vind is dat op die manier de overheid ook bezwarend materiaal zou kunnen plaatsen op je computer om je toch maar te kunnen framen voor iets waar je niets te maken mee hebt.

Het voorbeeld "ik ga op vakantie en meld me ziek bij m'n werkgever" valideert de "ik heb niks te verbergen" drogreden.

Edit: want dat is gewoon fraude.

[Reactie gewijzigd door 448191 op 10 december 2015 18:02]

Het verlengde van dit soort wensen is dat niemand met elkaar mag praten zonder digitale middelen, want:
1. mensen bewaren de gegevens niet met wie ze gesproken hebben.
2. mensen bewaren de inhoud van het gesprek dat ze voeren niet.
3. de overheid heeft geen inzicht in de non digitale verbale communicatie, omdat mensen die niet beschikbaar kunnen stellen.

Ergo: communiceren mag in deze distopische toekomst alleen m.b.v. een digitaal apparaat waarvan gegarandeerd is dat de overheid inzicht heeft in de communicatie die heeft plaats gevonden. Op straffe van eenzame opsluiting in een gevangenis ergens op aarde.

Het tragische van het verhaal is dat voor 9/11 er informatie was waar de verschillende overheidsinstanties iets mee hadden moeten doen. Dat geld ook voor de aanslag in frankrijk. Als je de informatie heb dan moet je er uiteindelijk wel wat mee doen anders kan je net zo goed geen informatie hebben en overal militairen met machine geweren continue laten patrolleren.

En tot slot krijg je de wonderlijke nieuws berichten voorgeschoteld. Terroristen hebben revolutionair communicatie systeem gebruikt, waarmee men onopgemerkt door inlichtingen diensten jarenlang kon communiceren en snode plannen voorbereiden.
{ potlood, papier, postduif} .

... communiceren en snode plannen voorbereiden.
{ potlood, papier, postduif} .

Of gewoon familieberaad. Sommige terroristen hebben veel familie, broers bijvoorbeeld.
De een draagt het bomvest, de tweede rijdt de auto en de derde weet van niks.
Je mag toch wel met je broer praten ?

Voor overheden zijn de eigen burgers het gevaarlijkst; daar zijn er het meeste van en die moet je tegen elke prijs onder controle houden. Dat gaat het makkelijkst als massa-surveillance technisch mogelijk blijft. Die paar mensen die kwaad willen en encryptie toepassen kun je aanpakken met ouderwets recherchewerk. Zo valt het me op dat ze bij "echte" criminaliteit vrijwel altijd blunderen, maar bij massa-surveillance zijn motivatie, kennis, kunde, middelen en vooral visie onbegrensd

Zijn verhaal bestaat uit bangmakerij, aannames en spierballentaal Volledig naar verwachting

Ik hoor wel altijd dat het gevaarlijk en eng is dat overheden hun burgers in de gaten houden, en dat zou ik ook vinden als ik in bepaalde landen zou wonen, maar ik ken geen enkel geval waar iemand werd lastig gevallen door de westerse overheden met betrekking op massa-surveillance, kan iemand mijn info geven over hoeveel mensen onterecht zijn opgepakt door NSA of AIVD?

En is toch wel algemeen bekend en heel vaak aangetoond dat criminelen, terroristen, spionnen, hackers, en andere kwaadwillende gebruik maken van diep internet, encryptie, bitcions, etc.

Ik heb niks te verbergen waar NSA of AIVD in geïnteresseerd zou kunnen zijn, dus ik werk graag mee met onderzoek. Ik zou ook meedoen aan massa DNA onderzoek om verkrachters te kunnen sporen, en ze mogen mijn DNA houden voor toekomstige onderzoeken, was toch niet van plan om loopbaan als criminelen erop na te houden.

Worden elke dag tig criminelen veroordeeld, waar gewerkt word worden fouten gemaakt, helaas ook bij Politie en het OM, maar gelukkig gaat bijna alles altijd goed.

Ik hoor wel altijd dat het gevaarlijk en eng is dat overheden hun burgers in de gaten houden, en dat zou ik ook vinden als ik in bepaalde landen zou wonen, maar ik ken geen enkel geval waar iemand werd lastig gevallen door de westerse overheden met betrekking op massa-surveillance, kan iemand mijn info geven over hoeveel mensen onterecht zijn opgepakt door NSA of AIVD?

Dat is ook het punt niet.
Het punt is dat jij niet weet wat ze allemaal van je proberen te weten te komen en welke "linken" er gelegd (kunnen) worden met die informatie.
Verder opereren deze instanties voornamelijk buiten de wetten dus verwacht hier geen statistieken te vinden. Maar je zou de "gevangenen" van Guantanamo Bay als voorbeeld kunnen nemen. Of misschien eerder deze grappige aanvaring met de FBI bij TED

En is toch wel algemeen bekend en heel vaak aangetoond dat criminelen, terroristen, spionnen, hackers, en andere kwaadwillende gebruik maken van diep internet, encryptie, bitcions, etc.

Klopt ook maar het is ook bekend dat andere partijen gebruik maken van Deep Web (Facebook), Encryptie (https? Bank transacties etc?), Bitcoins wordt nu toch wel serieus genomen ook door banken of in ierder geval de blockchain techniek.

Ik heb niks te verbergen waar NSA of AIVD in geïnteresseerd zou kunnen zijn, dus ik werk graag mee met onderzoek.

Ook een mooi voorbeeld van privacy, dit is dan een keuze die je zelf maakt.
De een doet zijn gordijn liever wel dicht en een ander laat het open maar je weet zelf wat je wel en niet wilt laten zien.

Worden elke dag tig criminelen veroordeeld, waar gewerkt word worden fouten gemaakt,

Of alles bijna altijd goed gaat is ook maar even de vraag als je het nu specifiek over privacy en mass surveillance hebt.

Ik hoor wel altijd dat het gevaarlijk en eng is dat overheden hun burgers in de gaten houden, en dat zou ik ook vinden als ik in bepaalde landen zou wonen, maar ik ken geen enkel geval waar iemand werd lastig gevallen door de westerse overheden met betrekking op massa-surveillance, kan iemand mijn info geven over hoeveel mensen onterecht zijn opgepakt door NSA of AIVD?

Iets wat me net te binnen schiet.
Wat als ik deze situatie met informatie eens vergelijk met de situatie met geweren in amerika. Het lijkt ver gezocht, maar als je goed nadenkt hoor je veel dezelfde drogredenen.

Als we iedereen bewapenen, dan kunnen mensen makkelijk terroristen onschadelijk maken. Wat als we nu in parijs 1 op de 10 mensen een pistool had gehad. Dan konden die mensen de terroristen gewoon tegenhouden.

Pistolen zelf vermoorden geen mensen, dus waarom zou je die niet op zak mogen hebben? Als je de veiligheidspal er gewoon ophoudt dan kan er weinig misgaan tijdens de normale gang van zaken.

... en toen kwamen terroristen in1x makkelijker aan wapens
... en toen durfden de mensen met een pistool niet op te staan als 1 man tegen de terroristen
... en toen konden die mensen die wel een pistool hadden er niet goed genoeg mee omgaan.
... en toen was niet meer duidelijk wie er nu terrorist was en wie niet, die meneer uit het midden oosten met een pistool is toch duidelijk de terrorist?
... en toen gingen terroristen zwaardere wapens gebruiken omdat iedereen al de normale pistolen hadden.
... en toen zat in1x je vriendin achter de deur ipv een inbreker

Ik hoor wel altijd dat het gevaarlijk en eng is dat overheden hun burgers in de gaten houden, en dat zou ik ook vinden als ik in bepaalde landen zou wonen, maar ik ken geen enkel geval waar iemand werd lastig gevallen door de westerse overheden met betrekking op massa-surveillance, kan iemand mijn info geven over hoeveel mensen onterecht zijn opgepakt door NSA of AIVD?

In iedere maatschappij is er een regering die uitkijkt voor zijn burgers en de orde handhaafd. Daar gaat altijd veel goed en soms iets mis, zowel digitaal als analoog. Echter je moet je jezelf wat vragen stellen, zoals:
1/ Wat wil de overheid hiermee berijken en is dat mogelijk?
Wat? Handhaven van de orde, o.a. door aanvallen tegen te houden.
Is dat mogelijk? ik betwijfel het
reden; ontregelende factoren kijken ook het nieuws en verdiepen zich in zaken, hierdoor krijg je enorm veel ruis terwijl degene die je wilt pakken zich indekken.
2/ Hebben ze de kennis en kunde om dit te doen?
Ik weet niet hoe hoge dunk jij van ICT bij de overheid hebt, maar als ik het nieuws mag geloven weet ik niet of dit wel goed komt. Al was het maar door de managerslagen.
3/ Zijn er geen andere partijen die dit tegen jou en de regering kunnen gebruiken?
Dat is al aangetoond.

Conclusie
Dus willen wij de overheid veel geld en resources laten besteden aan iets waarvan het maar de vraag is of ze het doel bereiken. In een postieve weergave waarbij er weinig ruis is en criminelen niet goed technische onderlegt zijn heb je een kans.

Maar dan moeten de nadelen zoals misbruik door andere partijen wel opwegen tegen de resultaten.

En zoals eerder genoemd door anderen worden nog steeds niet alle aanslagen tegengehouden. En is het een illusie om te denken dat dat ooit bereikt gaat worden.

Dit http://www.ted.com/talks/glenn_greenwald_why_privacy_matters vind ik er van.

Meneer Comey is, samen met zijn vriend James Clapper (bekend van het keihard LIEGEN tegen US Congress, zonder gevolgen overigens) dan ook een zeer enge man. Ook fel tegenstander (zonder valide argumenten) van Snowden.

Zeg maar de Amerikaanse tegenhanger van Opstelten/Teeven en de huidige minister Steur.
Overigens, vind het nog steeds onbegrijpelijk dat een man zoals Teeven, die verre van brandschoon is, een dergelijke taak bij Justitie heeft mogen uitvoeren. Het maakt blijkbaar niet uit of je zelf half crimineel bent.

[Reactie gewijzigd door EquiNox op 10 december 2015 15:12]

Zo valt het me op dat ze bij "echte" criminaliteit vrijwel altijd blunderen,

Tja, zo valt het me op dat het nieuws ook onder de oude 80/20 vuistregel valt. 80% is negatieve berichtgeving, 20% is positief.

Negatief nieuws komt vele malen sneller in het nieuws dan positief nieuws. En wanneer positief nieuws aan de beurt is wel even op pagina 10> plaatsen want het negatieve nieuws krijgt voorrang.

"if it bleeds, it leads"

Wat ik vooral frapant vind is het voorbeeld wat deze grapjas aanhaald. De daders wilde binnenvallen in een Mohammed cartoon wedstrijd. Dit klinkt als een risico dat bij voorbaat al bekend is en aangezien de daders neergeschoten zijn voordat ze konden binnendringen/mensen vermoorden had de politie hun werk dus goed gedaan en was aanwezig lijkt mij.

Nu ze weten naar wie de zogenoemde terrorist 100 berichten zou hebben gestuurd kunnen ze dit doelwit toch in de gaten houden en maakt de inhoud van de berichten vrij weinig uit.

[Reactie gewijzigd door debilero op 10 december 2015 19:39]

Mij viel vooral de ironie van het voorbeeld op:
telefoonfabriekanten moeten een back-door inbouwen.
Maar wapenfabrikanten worden niet genoemd, terwijl daar de daadwerkelijke slachtoffers door vallen. Echter die worden niet verantwoordelijk gehouden om achteraf even door te geven wie het wapen gekocht heeft, waar het zich nu bevind en welke munitie er precies door gebruikt is.
Dus klaarblijkelijk vind de FBI het kopen van een telefoon veel verdachter van intenties om mensen te doden dan een wapen.

Vraag is: als berichten versleuteld waren (volgens de FBI) hoe kan je dan weten dat er 109 berichten werden uitgewisseld met een terrorist overzee?

Omdat het bericht versleuteld is, niet het transport.

Dus ze hoeven geen backdoor in te bouwen, zolang ze maar een manier inbouwen zodat ze bij de gegevens kunnen?

Haha ja, het is krankzinnig als je er bij stilstaat maar dat is wel wat ze bedoelen. Feitelijk wil de Amerikaanse overheid of welke drieletterige instantie gewoon zelf niet de verantwoordelijkheid hebben voor het 'beheren' van de backdoor. Want dat zou impliceren dat ze zichzelf toegang tot de gegevens kunnen verschaffen wanneer ze een telefoon/pc etc. in beslag nemen. En dat is nu juist waar de tegenstanders van backdoors op hameren: als er een backdoor in handen is van de overheid, dan hebben kwaadwillende partijen diezelfde backdoor in no-time ook tot hun beschikking.

Nu leggen ze de verantwoordelijkheid voor het beheren van de backdoor bij de hardwarefabrikant zelf. Zo kunnen ze zichzelf vrijwaren van het beschikken over een backdoor en hoeven ze alleen een verzoek neer te leggen bij de fabrikant van het inbeslaggenomen toestel/apparaat. Komt de backdoor vervolgens in handen van kwaadwillende partijen, dan kan de overheid haar handen in onschuld wassen en de beschuldigende vinger naar de fabrikant wijzen. Immers, het beheer van de backdoor is bij de fabrikant zelf en die krijgt de verantwoordelijkheid om de backdoor niet uit te laten lekken.

Kortom: wel de lusten, niet de lasten. Welkom in het overheidsbeleid van het nieuwe millennium.

Dus ze hoeven geen backdoor in te bouwen, zolang ze maar een manier inbouwen zodat ze bij de gegevens kunnen?

Ja daar komt het wel op neer. Het zou wel mooi zijn als er daadwerkelijk geen backdoors meer zijn.
Want daar maken overheden en vermoedelijk hackers maar al te graag gebruik van.

Ja precies dit, als je geheime dienst afhankelijk is van het massaal schenden van privacy dan is de insteek niet goed. Als persoon A een bekende terrorist is en persoon B omgaat met persoon A en ook wel raar gedraagt ja ga persoon B dan gewoon volgen.

De hoeveelheid data die wij als mensheid op het net produceren is enorm groot. Daar doorheen bladeren is toch niet te doen, dus waarom zou je al die resources verspillen. Ga liever wat meer targetted aan de gang.

Dit hele verhaal hangt met haken en ogen aan elkaar, hij eist zogezegd enkel toegang tot de versleutelde data. Maar in de volgende allinea wordt aangehaald dat ze wel degelijk de versleutelde data gekregen hebben, maar die niet kunnen ontcijferen.

Wat is zijn probleem nu, hij wil dus toch een backdoor, niet?

edit: blijkbaar gaat het over twee afzonderlijke zaken: versleuteling door apps en versleuteling door fabrikanten van smartphones(?)

[Reactie gewijzigd door mdgf op 10 december 2015 11:21]

het verschil lijkt me erin te zitten dat de FBI niet zelf in de data wil kunnen zoeken maar dat een Apple/Microsoft/Google dat wel moet kunnen.

Ja, en dat maakt wel degelijk een verschil. Neem nu Apple en Microsoft. Beide kennen device encyption, maar waar bij Apple de sleutel enkel op het toestel staat zal MS deze backuppen naar onedrive. Dit betekend dat MS dus wel toegang heeft tot de sleutel en in principe de data kan ontsleutelen. Apple kan aan de data van de gebruiker zelf niet aan.

En ik neem aan dat je dat zelf echt gelooft ?

Yup we noemen het gewoon een voordeur .. et voila.
Het voornaamste wat Snowden bij overheidsinstanties heeft berijkt is een golf van zoveel mogelijk legalisatie van bestaande praktijken.

Inderdaad.

Ik vraag me in dit soort gevallen altijd af hoe goed zijn voordeur afgesloten kan worden..

En in dat nieuwe "businessmodel" kun je dan als eindgebruiker bij datzelfde (of een ander) bedrijf het product "Elite Premium Advanced Pro" kopen zodat de backdoor weer "verdwijnt"

Ik denk dat de FBI/ATF eerder moet gaan pleiten om vuurwapens uit de samenleving te krijgen. Een gesprek met iemand hebben is niet per definitie strafbaar. Maar het gemak waarmee mensen in de US toegang hebben tot wapens is werkelijk belachelijk!

Daarnaast is het bewustzijn om encryptie te gebruiken, juist ontstaan door oneigenlijke toegang tot telefoons door diverse overheidsdiensten. En nu is het huilie huilie dat ze er niet meer bijkomen.

Tot slot moeten we beseffen dat in een land waar alles wordt afgeluisterd, men niet in staat is om dergelijke rampen te voorkomen. Een gevaarlijke situatie waar we in Europa ook achteraan gaan.

[Reactie gewijzigd door Black Piet op 10 december 2015 11:49]

Dit is volgens sommige media inderdaad de kern van het verhaal rondom encryptie: Omdat 'gun control' onbespreekbaar is bij sommige (met name republikeinse) bevolkingsgroepen maar er wel druk op de politici is om 'iets te doen', wordt encryptie maar aangesproken op dit punt ondanks dat iedereen weet dat het weinig oplost.

Zie dit artikel op ARS Technica dat het probleem uitlegt. Frappant dat er net na de aanslag op de abortuskliniek een voorstel weggestemd is dat het mogelijk zou maken om mensen die als terrorist bekend staan geen wapens te verkopen!

Het is echt zo veel 'spin' daar, net als het verhaal omtrent de backdoors. De term 'backdoor' ligt niet zo lekker in de media, daarom wordt er verkondigd dat men geen backdoor wil maar wel volledige toegang tot de informatie. Natuurlijk snapt de politiek daar best dat daar een backdoor voor nodig is. Het is gewoon ordinaire spin.

[Reactie gewijzigd door GekkePrutser op 10 december 2015 13:24]

Vuurwapens uit de samenleving weren helpt geen moer.
Numoet je niets als cowboy in texas gaan rondlopen ofc, maar ik heb geen strafblad of crimineel gedrag, maar als ik een (automatisch) pistool wil bemachtigen is dat echt niet zo moeilijk hoor.

Het feit dat ik dit niet in een supermarkt of bij een wapenhandel kan kopen zoals in de VS beinvloedt dat totaal niet.

Het feit dat NL de grenzen open heeft gegooid en Jan en alleman naarbinnen heeft gehaald heeft dit zoveel makkelijker gemaakt.

Mensen die labiel zijn en/of gefrustreerd zijn, pakken eerder wapens op... Dus wapens uit de samenleving halen heeft wel dergelijk zin. In mijn visie moet alleen law enforcement beperkte toegang hebben tot wapens.

Daarnaast heb je in de US geen gedegen achtergrond onderzoek. Dat wetsvoorstel wordt nu continu tegengehouden door de Republikeinen.
En tot slot is Texas net een bijzonder voorbeeld. Je mag in die staat zichtbaar met een automatisch geweer rondlopen.

Als er echter een tepel of borst op TV wordt getoond, wordt Amerika gek. Het is en blijft een bijzonder land.

Ik denk dat de FBI/ATF eerder moet gaan pleiten om vuurwapens uit de samenleving te krijgen.

Te laat... Ze zijn er al. Niet meer kunnen of mogen kopen gaat niks bijdragen. Iedereen met plannen kent wel iemand of een manier om een wapen te bemachtigen.

heej... hoe gind dat ook alweer...
If you outlaw guns only outlaws have guns...

maar dan gaat de volgende natuurlijk ook op
If you outlaw encryption only outlaws have encryption.

Je kan zo in het campagneteam van Donald Trump.

Allemaal aan de opensource code dus. Dan *kan* er iig geen bedrijf geforceerd worden om iets ingebouwd te hebben waar jij als consument niks mee te maken wilt hebben.

Open-source is leuk en alles, maar dat biedt nog steeds geen bescherming tegen backdoors. Het maakt het moeilijker, maar zeker niet onmogelijk.

Je moet immers de software nog steeds compileren tot machinecode. Als die compiler zo aangepast is dat die backdoors inbouwt, ben je nog steeds het haasje. Een open-source compiler helpt ook niet om dezelfde reden: ook die moet je weer gecompileerd krijgen met een (andere) compiler die je niet kan betrouwen. Kijk bv. maar naar het werk van Ken Thompson. Je kan dus zelfs met open-source niet zeker zijn dat je hoog-niveau code dezelfde is als de machinecode en je moet min of meer blind vertrouwen op je compiler.

Daarnaast, als je goede machinecode zou hebben, moet die nog uitgevoerd worden op je hardware. Die hardware kan je het beste zien als "closed-source": je weet immers niet wat binnenin gaande is (om maar een voorbeeld te geven: x86 chips die op zich dus een CISC-architectuur hebben, bestaan binnenin vaak uit RISC-cores die microcode interpreteren). Het zal ook niet gaan gebeuren dat bv. Intel of AMD hun designs "open-source" (lees: volledig publieke elektrische schema's, transistorschema's, masks, ...) gaan maken omdat er zoveel trade secrets nodig zijn om de huidige procesoren te laten werken. Nieuwe spelers op die markt zijn onwaarschijnlijk: de instapkost is gewoon veel te hoog. Bovendien kan je die schema's wel open maken, dat geeft nog steeds garantie dat je fysieke CPU identiek is (en veel succes om zelf je CPU te laten fabriceren bij een fab). Ook daar moet je dus betrouwen dat er geen backdoors in de hardware zitten.

Nu, bij closed-source kan je voor zowel hardware als software wel aanhalen dat je ook daar eigenlijk alles in handen (chip of machinecode) hebt om te achterhalen wat er gebeurt. Maar voor dat reverse-engineeren heb je zeer specifieke kennis nodig die maar relatief weinig mensen bezitten en je hebt veel tijd nodig. Bij "open source" is dat inspecteren iets makkelijker, maar het geeft nog steeds geen garanties: bv. HeartBleed heeft 2 jaar lang onopgemerkt bestaan en zo zullen er nog tig voorbeelden zijn. Cryptografische code is nu eenmaal erg ingewikkeld (door het ontwerp van de wiskunde erachter).

"Een van de twee daders van die schietpartij heeft op die dag volgens Comey 109 berichten uitgewisseld met een 'terrorist overzee'. "Tot op de dag van vandaag kan ik niet zeggen wat hij met die terrorist besproken heeft, omdat die berichten versleuteld zijn", beweert de directeur."

Lolwut? Als je niet kunt achterhalen wat er uitgewisseld is, hoe weet je dan zo zeker dat het een terrorist betreft? Wat een ontzettend domme uitspraken zijn dit weer zeg!

Ik ben Pro-encryptie, omdat ik als de dood ben voor wat er gebeurt als dit soort pannekoeken toegang tot dat soort gegevens krijgen! Overheden hoeven helemaal niets van me te weten (behalve spul dat met belastingen te maken heeft, en zelfs daarin vind ik al veel teveel informatie toegankelijk gemaakt!). Ik vind het een ontzettend zorgwekkende ontwikkeling dat iedere keer in het kader van bestrijding van terrorisme/kinderporno/whatever geroepen wordt dat je extra privacy moet opgeven. Ik hoop dat die mentaliteit een hele snelle dood sterft!

Ik vind het nog zorgwekkender dat grote groepen mensen dit oké vinden onder het mom dat het misschien, wellicht, ooit een van aangehaalde zaken zou kunnen voorkomen.
Eens een zwakte in encryptie is altijd een zwakte encryptie. Als deze nu door de fbi/whatever gebruikt kan worden dan is er geen garantie dat dit voor altijd zo blijft of wat voor politieke agenda er t.z.t. op nagehouden gaat worden.

Wat minstens zo zorgwekkend is, is dat grote groepen mensen niet bereid zijn hun eigen leven aan te passen.

We zijn bang voor een te grote machtige overheid. Maar men vergeet dat als we zélf minder afhankelijk worden van onze eigen behoefte of verslaving aan internet, waarop we van alles willen doen van game tot sociale media, van cloud service tot diverse vormen van communicatie, van huis netwerken tot the internet of things, we de overheid reguleren.

Een stok heeft twee uiteinden, uiteindelijk. Als we zelf terugschalen, dan heeft de overheid minder redenen om de race aan te gaan met wat mensen in cyberspace doen.

zelf terugschalen? Tja, dat zou wel werken, maar het is m.i. niet realistisch om te verwachten dat het gebruik van smart apparaten zal afnemen in de komende jaren. Ik vind dit een over-versimpeling van de werkelijkheid.
Er is bij consumenten behoefte aan privacy, en als logisch gevolg is er bij opsporingsinstanties de behoefte om die privacy te kunnen doorbreken. Dat los je niet zomaar op.

Het is niet simpel. Maar je denkfout ligt in het feit dat, zoals ik al zei, we zelf niet WILLEN terug-schalen. Het gebruik neemt om die reden niet af, of zelfs toe. Het is een cirkelredenering.

Ik vind het nog zorgwekkender dat grote groepen mensen dit oké vinden ...

Zorgwekkend misschien, maar niet verbazingwekkend.
Geschiedenisboeken vol met verhalen over mensen met vreemde en gevaarlijke denkbeelden die aanhangers hadden.

Overigens maakt de FBI in dezen geen gebruik van de zwakke encryptie maar wordt de maker van de telefoon verplicht de informatie te ontsleutelen en aan de FBI te overhandigen op verzoek / bevel.
Nu is het nog de maker van de telefoon, morgen is het de maker van VeraCrypt of BitLocker of ....

Het opslaan van een key bij de maker van de telefoon is hierbij dus in mijn optiek een vorm van zwakke encryptie. Wat is encryptie waard als je geen idee hebt hoe er met sleutels omgegaan worden buiten die in je eigen beheer?

( En niemand kent de geschiedenis meer lijkt het, van Enigma tot DDR and beyond. )

( En niemand kent de geschiedenis meer lijkt het, van Enigma tot DDR and beyond. )

Ik gaf elders al wat voorbeelden en denk dat zelfs ten tijde van de Romeinen er wel aanslagen, hinderlagen en moordpartijen waren. Om maar wat langer terug te gaan dan een eeuw.

Metadata. De meeste communicatie systemen zijn niet in staat om te verbergen welke accounts/devices met elkaar communiceren. Je kan de inhoud van een email encrypten maar niet het adres waar de mail naar toe moet.

Maar als je de inhoud niet kunt zien blijft het toch lastig.

een 'terrorist overzee'. "Tot op de dag van vandaag kan ik niet zeggen wat hij met die terrorist besproken heeft, omdat die berichten versleuteld zijn", beweert de directeur.

Mooi toch, dat briefgeheim en versleuteling.

Dat kan wel als je in het bericht nog een geencrypt bericht hebt + volgend adress, en je de 1e geaddresseerde vraagt het bericht door te sturen.
Mooie basis voor een communicatie protocol.

Moet je weten wat er in die berichten staat om te weten dat het om een terrorist gaat ?
De bestemmeling kan gewoon algemeen gekend staan als terrorist. En ze hadden graag geweten wat de berichten inhielden.

Beetje "pot verwijt de ketel..." als het gaat om domme uitspraken ??

Ik heb liever dat zo'n uitspraak gewoon onderbouwd wordt eigenlijk. Iemand beschuldigen van terrorisme is best een flinke beschuldiging namelijk. Wie zegt niet dat het een wisseling van berichten met een van de ouders van deze terroristen was? Een moeder die smeekt om een heroverweging? Er wordt al heel snel geroepen dat het om een terrorist gaat, maar klopt dat wel altijd? Leuk dat jij er van uit gaat dat het ook meteen zo is, maar houdt wel even in gedachten dat het in het belang van de spreker is om dat te roepen.

Misschien omdat het telefoonnummer of e-mailadres van een "Known-Terrorist" is? De inhoud is dan misschien encrypted, maar de headers niet. Anders weet "het internet" niet waar het bericht heen moet.

Alleen zo jammer dat het labeltje terrorist nogal makkelijk op iemand toe te passen is, om hem/haar even snel al zijn/haar rechten om wat voor reden dan ook af te nemen. Ook handig om eventuele oppositie monddood te maken. Zolang de beschuldiging niet wordt onderbouwd met feiten, neem ik het labeltje niet serieus. En zijn alle aan het labeltje 'terrorist' gekoppelde maatregelen volstrekt ontoelaatbaar. (Sowieso is het uitkleden van de rechten bij zo'n label ontoelaatbaar, maar dat terzijde).

Zolang de beschuldiging niet wordt onderbouwd met feiten, neem ik het labeltje niet serieus.

Maar als de FBI en de bedenkers dat wel doen, dan ben je toch de pineut. En heeft de maker van de telefoon maar de gegevens te ontsleutelen en te leveren.

Dit zou ik als bedrijf door een rechter laten bepalen en niet door een drie- of vier-letterige instantie, daar deze laatste twee duidelijk hebben gemaakt dat ze het liever niet zo nauw nemen met de regelgeving.

[Reactie gewijzigd door halofreak1990 op 10 december 2015 15:54]

Vier handen op een buik. Uit het artikel:

... 'zouden moeten overwegen hun businessmodel aan te passen' om gebruikersdata te kunnen leveren bij een gerechtelijk bevel.

Formaliteit dus. Staatveiligheid gaat voor.

Er kunnen wel 109 berichten zijn uitgewisseld maar de inhoud van die berichten kunnen nog niet gedecrypt zijn.

En als een provider zich nu elders vestigd buiten de USA om? Of moeten ze als bedrijf als je diensten in USA aan wil bieden daaraan voldoen?

Nice. Een backdoor hebben betekend ook mogelijk exploits voor andere, derde partijen. Wie verzekerd namelijk dat een backdoor ook daadwerkelijk alleen toegankelijk is voor een bevel?

Lolwut? Als je niet kunt achterhalen wat er uitgewisseld is, hoe weet je dan zo zeker dat het een terrorist betreft? Wat een ontzettend domme uitspraken zijn dit weer zeg!

Ik vermoed dat de meneer in kwestie ook wel op andere manieren gecommuniceerd heeft dan met de berichtjes waarover gesproken wordt. En ik vermoed ook dat ie dingen gedaan heeft en dat mensen getuigen waren van zaken waardoor deze meneer als terrorist is aangemerkt.

Hier los je toch helemaal niets mee op? Dan gaan fabrikanten kun producten niet meer standaard versleutelen... maar iemand die gesteld is op privacy, om wat voor reden dan ook, past dat dan toch gewoon zelf toe? Dan kan Apple/Google/Microsoft hoog of laag springen, die data is versleuteld en niet beschikbaar voor de overheid of wie dan ook.

Sorry maar ik zou niet weten hoe ik dat zou moeten doen en velen met mij. Zo maar "even" encryptie toepassen klinkt leuk, maar kost zo gruwelijk veel tijd en moeite dat het voor de meeste mensen het niet waard is.

Er zijn genoeg voorbeelden te vinden van chat-apps bijvoorbeeld waar je end to end encryptie hebt. Een beetje zoeken naar apps die aan je criteria voldoen levert je snel een lijstje op.
Een voorbeeld hiervan is Signal, waarmee je zonder moeite je communicatie met andere Signal gebruikers kan encrypteren. Programma installeren, eventueel je contactpersoon uitnodigen om dat ook te doen, en chatten maar...

Ja en we hebben gezien hoe goed dat werkt met bv Telegram. Ten opzichte van whatsapp heeft deze app ook nog steeds alleen maar voordelen, maar daar hebben veel mensen ook gewoon maling aan, omdat iederen whatsapp heeft. Je zult en mass over moeten gaan wil het werken. Voor de rest geldt dat er dan alsnog een keylogger op mijn apparaat kan staan of een screenreader of whatever.

Dat de mensen het eigenlijk niet interesseert en ze dus niet willen kan je moeilijk vertalen als 'het kost gruwelijk veel moeite, zodat het het niet waard is voor de meeste mensen'.

Wie geencrypteerd wil chatten/bellen kan dat zonder veel moeite op voorwaarde dat beide partijen dat willen. Dat sluit inderdaad niet uit dat ze op een andere manier aan je data zouden kunnen geraken, maar daar ging je originele statement ook helemaal niet over.

Enkel nadelen, en een walhalla voor inlichtingendiensten omdat alles in de cloud staat en een MITM mogelijk is op beveiligde chats. Dat een app zegt voordelen te bieden, betekend niet dat het werkelijk enig voordeel biedt, en dat is een nog veel groter gevaar dan slechte encryptie: mensen die marketing geloven, en zich veilig gaan wanen op een onveilig systeem... zoals Telegram.

Wat dat betreft is het schaapjesgedrag om bij WhatsApp te blijven op dit moment gek genoeg de redding voor velen die hun privacy belangrijk vinden.

Het is gewoon een probleem, mensen worden veelal verkeerd ingelicht over veiligheid van systemen, en geloven de verhaaltjes en marketing; maar weten verder eigenlijk helemaal niets. De overheid vindt dat geweldig en stimuleert maar wat graag dit soort zaken... Vandaar ook dat je niet zoveel hoort van de overheid over "hoe bewaak ik mijn privacy" of "hoe beveilig ik mijn communicatie"... De bevolking dom houden houdt criminelen ook dom, zo dom denkt de overheid.

Helaas.

Nja, je kunt lezen en googlen toch? Het is echt niet zo moeilijk. Ik snap dit soort maatregelen niet. Mensen die niet willen dat iemand meekijkt kunnen alsnog encryptie toepassen, en dan is er netto helemaal niets bereikt.

Als Apple geen encryptie zou gebruiken in hun OS voor alle data op het toestel. Hoe wou je dit dan in vredesnaam gaan doen? Dat gaat gewoon niet, want je hebt helemaal nergens toegang tot. Op android is het misschien wat makkelijker, maar ook daar geldt, moeite en versplintering van de verschillende versies.

je kunt gewoon encryptie in de app bouwen, daar is helemaal niets moelijks aan. Er zijn standaard libraries voor. Hoe denk je dat een app een https verbinding kan opzetten?

Overigens denk ik dat voor de mensen die echt wat te verbergen hebben, het de moeite wel degelijk waard is.

[Reactie gewijzigd door borft op 10 december 2015 15:34]

Ja die app die je als gebruiker zelf maakt?

Snap je wat ik bedoel? Ik heb het over de encryptie in het OS. niet op app niveau. Dat kan me namelijk vrij weinig schelen, Echter alle gegevens voor SMS berichten en e-mails wil ik niet onversleuteld op mijn apparaat hebben staan.

Als je os geen encryptie beidt, dan fix je dus een app die het kan. Ik zie niet in waarom dat anders zou zijn voor email of sms.

maar kost zo gruwelijk veel tijd en moeite dat het voor de meeste mensen het niet waard is.

Het scheelt ook een heel stuk dat 'de meeste mensen' geen crimineel zijn en dus niet door de drie-letter-bastards worden gezocht of gevolgd.

De crimineel echter, is nu wederom op de hoogte van de vernieuwde plannen en kan zijn maatregelen (laten) treffen. En ook wij zijn weer gewaarschuwd.
Je kunt wel alle elektronische communicatie verbieden, maar dat weerhoudt niemand om met zijn geweer op pad te gaan.

Die crimineel kan het aan zijn reet roesten, als je namelijk van die vage plannen hebt dan zorg je er wel voor dat je niet alleen op encryptie van anderen vertrouwd en dus regel je het goed. Dus het hele totaalpakket van encryptie, VPN, Proxies, alles.

Dat is gewoon een vereiste en uitspraken zoals hierboven in het artikel gaan daar niets aan veranderen.

[Reactie gewijzigd door supersnathan94 op 10 december 2015 13:54]

Die crimineel kaan het aan zijn reet roesten,

Zo is het.
Een voordeel zou kunnen zijn (zou kunnen zijn !) dat niet iedereen ontsleuteld hoeft te worden maar dat de overheden enkel aan de provider of fabrikant moeten melden dat ze gegevens van die-en-die verdachte willen hebben.

Voor de opslag van mijn bestanden gebruik ik VeraCrypt (de opvolger van TrueCrypt) met full disk encryptie. Werkt feilloos en ik heb er nooit omkijken naar. Met cloud storage hou ik gevoelige data even apart, in Dropbox heb ik bijvoorbeeld behalve losse bestanden (waarvan het me niet zoveel boeit dat 'ze' er eventueel bij zouden kunnen) ook een VC container.

ja op PC misschien, maar mobile is een heel ander verhaal om het zelf te doen.

Mee eens, een normale Android, iOS of Windows mobiel is inherent onveilig.

Met rooten + custom Android builds kom je een aardig eind, maar dat is inderdaad veel te omslachtig, voor normale gebruikers natuurlijk geen doen.

Toch is bij een aantal toestellen met de nieuwste versie van Android encryptie standaard ingeschakeld geweest. Dit is wel weer teruggedraaid, zodat het nu een opt-in is, maar dan nog is het een kwestie van een vakje aanvinken en je toestel is encrypted. De meeste mensen zullen daar inderdaad niets van merken, maar op de achtergrond wordt wel degelijk van alles versleuteld.

Tuurlijk, maar het versleutelen van 8GB terwijl je met het toestel bezig bent kost toch behoorlijk veel tijd als je dit achteraf gaat doen. Tijd waarin je toestel ook een stuk trager zal zijn, omdat bepaalde delen al wel en andere delen nog niet versleuteld zijn. Ook kan het zijn dat je toestel te weinig ruimte heeft om versleutelde kopies te maken.

Zo moeilijk is het nou ook weer niet om encryptie toe te passen, als je precies wil weten hoe de wiskundige vork in de steel steekt mbt encryptie, dan ja, dan moet je wel een aantal boekjes lezen.

Voor android kun je agp installeren om sleutels te maken en k9 om versleutelde mails te versturen en ontvangen.

Linux heeft standaard gpg geïnstalleerde om sleutels te maken, je kunt seahorse installeren voor het beheer van je sleutels. Mozilla thunderbird kun je gebruiken voor sturen en ontvangen van versleutelde mail.
Sudo aptitude -rPv install seahorse thunderbird
Sudo dnf install seahorse thunderbird

Voor windows format c en dan even linux installeren...

Als je meer wilt weten stuur me gerust een berichtje

Voor android kun je agp installeren om sleutels te maken en k9 om versleutelde mails te versturen en ontvangen.

Hoe weet ik dat er in de stock android op nexus telefoon geen backdoor zit? Ik kan al mijn communicatie en opslag encrypten wat ik wil... Als er een keylogger in zit die de boel af en toe even naar de NSA lekt, ben ik nog nergens.

Als je meer wilt weten stuur me gerust een berichtje

Bovenstaande vraag over de backdoor was eigenlijk retorisch bedoeld, want volgens mij kun je binnen een normale android omgeving je privacy eigenlijk al niet garanderen. Maar ik weet van dat OS ook niet heel veel, dus misschien zit ik er naast? In dat geval ben ik erg benieuwd hoe het moet!

Nee, dat klopt, en dat is juist wat er schort aan zijn uitspraken. De meeste mensen zullen de moeite niet nemen. Juist die terroristen / kinderporno-handelaars etc zullen dat wel doen, waardoor er alsnog niets onderschept kan worden. En het zijn niet alleen die terroristen etc, maar ook gewoon technisch onderlegde mensen die wel op hun privacy gesteld zijn. Dus je kunt niet zeggen dat het gebruik van encryptie gelijk staat aan terrorisme / kinderporno.

Je maakt hiermee dus alleen inbreuk op de privacy van onschuldige mensen, terwijl het niets doet tegen de mensen die je wel aan wilt pakken.

Je zegt het zelf, het is inderdaad voor de meeste mensen niet de moeite waard. Diezelfde mensen die niet gecontroleerd hoeven te worden omdat ze niets fout doen, maar wel in de grote hoop als verdachte meegenomen worden.

Degene die het wel daadwerkelijk onderzocht en gecontroleerd moeten worden nemen dan weer juist wel die moeite.
De enige andere die die moeite nemen zijn mensen met vertrouwelijke informatie (bv bedrijfsgegevens) of die gesteld zijn op privacy. Vooral die mensen worden door zoiets geraakt lijkt me.
The bad guys (die niet voor zelfmoordaanslagen gaan) zoeken wel een andere niet of moeilijk te controleren vorm van communicatie.

Dus wat is dan het voordeel van toestel encryptie of welke vorm dan ook te verbieden / moeilijker maken?

het blijft altijd weer verbazen dat dit soort organisaties altijd in het symptoom bestrijden blijft hangen. Waar zouden ze zijn zonder criminelen, terroristen etc. Het is hun bestaansrecht en dat is dus ook de propaganda terreur die we ondergaan.

het blijft altijd weer verbazen dat dit soort organisaties altijd in het symptoom bestrijden blijft hangen. Waar zouden ze zijn zonder criminelen, terroristen etc.

Precies! Ze moeten die terroristen juist dankbaar zijn, anders had hun carriere er heel anders uit gezien.

Ze hoeven niet echt voor hun carrière te vrezen, gewoon een verhaaltje meer ophangen dat er steeds meer terroristen bijkomen en kans op een aanslag groot is. Ze kunnen complete massavernietigingswapens bij elkaar fantaseren om een oorlog te beginnen, die terroristen lukt hun ook wel.

het blijft altijd weer verbazen dat dit soort organisaties altijd in het symptoom bestrijden blijft hangen. Waar zouden ze zijn zonder criminelen, terroristen etc.

Eigenlijk hebben ze nog mazzel dat zij zelf niet te vaak doelwit zijn van aanslagen. Er zijn gebieden waar juist overheden en dit soort diensten als politieposten worden aangevallen of zelfs opgeblazen.

Vandaar ook de vele false flag vermoedens waarschijnlijk, zo houden ze hun bestaansrecht en subsidies

Als voorbeeld geeft de directeur van de FBI de schietpartij in Garland, Texas in mei van dit jaar. Een van de twee daders van die schietpartij heeft op die dag volgens Comey 109 berichten uitgewisseld met een 'terrorist overzee'. "Tot op de dag van vandaag kan ik niet zeggen wat hij met die terrorist besproken heeft, omdat die berichten versleuteld zijn",

Dit zijn dus die gevaarlijke opmerkingen, er is 0 bewijs maar er word wel meteen beweerd een "terrorist overzee" en 109 berichten.
Misschien was het wel een recept voor poffertjes, er is 0 bewijs de berichten zijn versleuteld en onleesbaar.
Maar goed vooral je volk bang houden en alles goed praten met "Wegens terrorisme moeten we..."

Je doet de aanname dat die 109 versleutelde berichten de enige beschikbare bewijzen zijn dat deze meneer een terrorist is. Dat lijkt me niet waarschijnlijk.

nee wat ik zeg is dat er 0 bewijs is dat die 109 versleutelde berichten iets te maken hebben met terrorisme, ik heb het nergens anders over. je begint er nu dingen bij te verzinnen, dit gaat puur over de 109 encrypted berichten.

Je zegt in je oorspronkelijke posting (2x) letterlijk "er is 0 bewijs" en niet "er is 0 bewijs dat die 109 versleutelde berichten iets te maken hebben met terrorisme". Als je het anders bedoelde dan staat het er in ieder geval niet.

Dit zijn dus die gevaarlijke opmerkingen, er is 0 bewijs maar er word wel meteen beweerd een "terrorist overzee" en 109 berichten.
Misschien was het wel een recept voor poffertjes, er is 0 bewijs de berichten zijn versleuteld en onleesbaar.
Maar goed vooral je volk bang houden en alles goed praten met "Wegens terrorisme moeten we..."

En, hebben ze die berichten van te voren geflagged of pas NA de schietpartij? Uiteraard NA de schietpartij, want ze konden de gevonden telefoon niet de-crypten. Heeft dus geen enkele invloed gehad op het VOORKOMEN van deze aanslag.

Ik zie dus nog steeds geen enkele noodzaak om hiermee voor iedereen het vertrouwen in encryptie te beschadigen.

Elke backdoor leidt onherroepelijk tot een aanvalsvector voor kwaadwillenden. Moet je niet willen. Punt uit.