Amerikaans wetsvoorstel moet verplichte encryptiebackdoors voorkomen

Een Amerikaans wetvoorstel moet ervoor gaan zorgen dat staten technologiebedrijven niet kunnen verplichten om encryptiebackdoors in hun producten aan te brengen. Het wetsvoorstel wordt aangedragen door leden van zowel de Democratische als de Republikeinse partij.

De Encrypt Act zou volgens Reuters moeten voorkomen dat een staat of lokale regering een producent, ontwikkelaar, verkoper of provider dwingt om de beveiliging van een product zo aan te passen dat decryptie mogelijk is of dat het in de gaten kan worden gehouden door de autoriteiten.

Volgens de Democratische vertegenwoordiger voor het wetsvoorstel Ted Lieu is het voorstel een reactie op voorstellen in New York en Californië. Als die worden aangenomen zou het verplicht worden voor bedrijven om alle smartphones gemaakt na 2017 te kunnen ontsleutelen. "Het is technologisch compleet onwerkbaar voor individuele staten om andere encryptiestandaarden te vereisen in consumentenproducten", zegt Lieu tegen Reuters. "Apple kan niet een andere smartphone maken voor Californië en New York en de rest van het land." De Democraat sluit zich hiermee aan bij de technologiebedrijven die tegen de decryptievoorstellen zijn.

Op verschillende plaatsen vindt er een discussie plaats over encryptie van onder andere smartphones en communicatiemethodes. Het voorstel voor de Encrypt Act volgt een dag nadat Republikeinse senator en voormalig presidentskandidaat John McCain een artikel plaatste op Bloomberg View. Hierin zet hij uiteen dat Silicon Valley, het centrum van technologie in Amerika, zich aan moet sluiten in de strijd tegen het terrorisme. Volgens hem is end-to-end-encryptie schadelijk voor de nationale veiligheid. Veel communicatie vindt echter plaats in kanalen zonder encryptie, zoals bleek bij de aanslagen in Parijs.

In Frankrijk sprak de regering zich onlangs uit tegen backdoors in encryptie toen een amendement werd ingediend om encryptie bij wet te verzwakken en het inbouwen van backdoors te verplichten. De staatssecretaris van digitale economie, Axelle Lemaire, gaf toen aan dat encryptie juist bevorderd moest worden. In Nederland liet Minister Van der Steur weten dat wetgeving die encryptie beperkt op het moment niet wenselijk is. Een decryptiebevel werd ook uit het wetsvoorstel voor computercriminaliteit III gehaald.

Reacties (51)

[citomaster]

Alleen al het feit dat vrijwel elke keer blijkt dat aanslagen en andere evil zaken via onversleutelde communicatie gepland en uitgevoerd wordt moet toch al een reden zijn om tégen een dergelijk encryptieverbod te zijn?

Buiten het feit dat het lastig is om voor elke regio een ander toestel te ontwerpen is het ook niet bepaald logisch om end-to-end encryptie te verbieden. Hoe wil je anders met zekerheid verifiëren dat het bericht dat je hebt gestuurd onderweg niet is bekeken of aangepast?

Bovendien, als er kwaadwillenden zijn die encryptie willen gebruiken bij hun communicatie dan doen ze dat toch? Een encryptieverbod voor de fabrikanten weerhoudt een individu er niet van om zijn communicatie te versleutelen.

[kramer65]

Wat ik echter wel interessant vind aan dit bericht, is dat de titel de eerste zin compleet tegenspreekt:

Titel:

Amerikaans wetsvoorstel moet verplichte encryptiebackdoors voorkomen

Eerste zin:

Een Amerikaans wetvoorstel moet ervoor gaan zorgen dat staten technologiebedrijven niet kunnen verplichten om encryptiebackdoors in hun producten aan te brengen.

Het wetsvoorstel gaat er dus over dat de individuele staten van de Verenigde Staten (enigszins vergelijkbaar met onze provincies) die verplichting niet opgelegd kunnen krijgen, maar overkoepelende overheid van de VS kan dat dus wel.

Grootste doel van deze wet lijkt me dus het harmoniseren van dergelijke verplichtingen, ipv het versplinteren ervan. "Verplichte encryptiebackdoors voorkomen" zoals de titel suggereert is dus absoluut niet de doel van dit voorstel.

[citomaster]

Volgens mij heb je het over iets anders. Er is geen sprake van harmonisatie. Het wetsvoorstel verbiedt staten om bedrijven te verplichten backdoors in te passen.

De vraag of de federale overheid dan vervolgens wél zo'n verplichting kan uitvaardigen lijkt mij negatief beantwoord te moeten worden. Ongetwijfeld heeft de federale overheid een bevoegdheid waarvan ze gebruik kunnen maken, maar een algehele verplichting? Als ik het persbericht op Reuters lees leid ik daaruit af dat het met dit wetsvoorstel niet de bedoeling is de wetgeving hieromtrent van individuele staten te harmoniseren.

Ik denk dat het een goede stap is als deze wet wordt aangenomen.

[erikpuntnl]

Als ik het originele Reuters bericht lees dan kom ik tot dezelfde conclusie als Kramer65.
Het is een wetsvoorstel wat individuele staten verbied om zwakkere encryptie bij wet te regelen.
In het originele artikel lees ik niets over een natie wijd verbod door de federale regering.

[Reactie gewijzigd door erikpuntnl op 22 juli 2024 14:04]

[citomaster]

Inderdaad. Dan denken we hetzelfde. Ik reageerde vooral op het schrijven van Kramer65 dat de wet bedoeld zou zijn de weg vrij te maken voor een federaal backdoorplicht.

[erikpuntnl]

Oke dan had ik dat niet goed begrepen.
Het originele stuk is inderdaad alleen maar duidelijk in een verbod voor individuele staten, hoe daarna verder is een groot vraagteken.

[Verwijderd]

Precies. Wie encryptie verbiedt maakt het het voor criminelen eenvoudiger onschuldige burgers te koeieneren: zonder encryptie wordt het bv. eenvoudig om een MITM tussen bank haar website en de klant uit te voeren. Zonder encryptie wordt het eenvoudig om patientgegevens bij dokters en ziekenhuizen af te luisteren. Kwakzalvers zoals waarzeggers willen bijvoorbeeld maar graag de lijst van terminale kankerpatienten hebben die ten einde raad zijn.

Zonder encryptie ook geen haalbare DRM. Dus content beveiligen tegen kopieeren: forget it.

Daar tegen over staat dat de terrorist of crimineel gewoon een one time pad gebruikt.

Dat zal een technisch bekwame crimineel of terrorist gebruiken. Dat kan je niet onmogelijk maken om te gebruiken. Dat gebruikt men al meer dan 100 jaar. Dat is eenvoudig en dat is kennis die al 100den jaren onder de mensheid bestaat.

Terroristen kunnen ook gewoon praten met elkaar om plannen te beramen. Je weet wel. Gewoon ergens afspreken in een bos. En dan ... praten. Desnoods kruipen ze eerst onder een kooi van faraday en/of fluisteren ze heel zachtjes. Geen technologie die dat kan feilloos kan afluisteren. En dan nog zouden ze code taal kunnen gebruiken. Mama gaat morgen frieten bakken kan van alles betekenen.

Encryptie verbieden om terroristen te vangen is m.a.w. quatch en onzin.

[citomaster]

Het probleem zit 'm er niet zozeer in dat het verbieden van encryptie onzin zou zijn. De technische realiteit is dat het onmogelijk is om een effectief verbod op encryptie te handhaven.

De grote groep mensen die hierdoor geraakt zal worden is niet de groep mensen die kwade bedoelingen heeft. Die mensen kunnen alsnog gebruikmaken van encryptie, alleen dan niet meer standaard ingesteld door de fabrikant. Daarom denk ik dat een encryptieverbod nutteloos is. Zeggen dat het quatsch of onzin is is imho te kort door de bocht.

[Zenomyscus]

Precies. Iedere crimineel kan ook plaintext een set encrypted data versturen. Voor hen hoef je die wet niet te maken en software met backdoor houd niemand tegen alsnog encrypted te communiceren. Encrypted data versturen zou dan niet mogen, maar het zijn toch al criminelen, dus waarom zouden ze zich er aan houden?

[H!GHGuY]

Wie spreekt over het "verbieden van encryptie"? Dit staat niet in het artikel.
Wat er wel staat is het verbieden van de verplichting van encryptie-backdoors. En groot verschil.

[eheijnen]

Het lijkt, alweer, op een krampachtige poging om het imago van Amerikaanse producten voor de export op te veizelen.

[citomaster]

Ik zou niet durven zeggen wat de achterliggende gedachte is. Het zou best wel eens zo kunnen zijn dat de tech-sector een succesvolle lobby heeft uitgevoerd.

Aan de andere kant kan je ook niet uitsluiten dat er in dit geval echt is nagedacht over de gevolgen van een backdoorplicht.

[eheijnen]

100% kun je dat niet, dat is zo. Echter blijven dit soort berichten zich aandienen. De engiste die daar steeds als winnaar uit springt is de industrie.

Door de onthullingen van Snowden en andere whistleblowers hebben ze in de VS. behoorlijk te kampen met imago problemen. Niet geheel onterecht. Neem maar eens zo'n actie als die van MS om hun cloud door T-Systems te laten runnen in Duitsland.

[Verwijderd]

Alleen al het feit dat vrijwel elke keer blijkt dat aanslagen en andere evil zaken via onversleutelde communicatie gepland en uitgevoerd wordt moet toch al een reden zijn om tégen een dergelijk encryptieverbod te zijn?

Maar dat is simpelweg niet waar. Bij de planning van de aanslagen in Parijs werd bijvoorbeeld wel degelijk gebruik gemaakt van encryptie. Bij de uitvoering van de aanslagen werd dat niet gedaan. De reden daarvoor is heel simpel: Zelfs al zou die communicatie opgepikt zijn, dan was er sowieso veel te weinig tijd om in te grijpen. Er was dus geen reden voor de terroristen om hun eigen communicatie op de dag van de aanslag ingewikkelder te maken via encryptie.

[citomaster]

Heb je misschien een bron daarvoor; ik ben wel geïnteresseerd in de details namelijk.

Voor zover ik weet hebben de aanslagplegers geen encryptie gebruikt, in ieder geval geen degelijke encryptie:

https://www.schneier.com/...5/11/paris_terrorist.html
http://www.bloombergview....ion-won-t-stop-terrorists

[Marctraider]

Met andere woorden het wordt niet verplicht, maar mag het nog wel, m.a.w. Zoethoudertje voor het volk. 'Zie eens, nu klinkt het toch al iets minder indringend!'

[Verwijderd]

Met andere woorden het wordt niet verplicht, maar mag het nog wel, m.a.w. Zoethoudertje voor het volk. 'Zie eens, nu klinkt het toch al iets minder indringend!'

Als de bedrijven het zelf willen mogen ze dat, nu mogen staten ze dat niet verplichten. Wat is daar in juw ogen slecht aan? Ik vind het goed nieuws.

[mard0]

Als de bedrijven het zelf willen mogen ze dat, nu mogen staten ze dat niet verplichten. Wat is daar in juw ogen slecht aan? Ik vind het goed nieuws.

Het laat de mogelijkheid open dat de bedrijven gedwongen worden het te willen, zoals nu ook al gebeurd, door geheime rechtbanken waar (bijna) niemand ooit meer iets over hoort.

Het is dan ook niet het verplichten wat aangepakt zou moeten worden, maar het moedwillig inbouwen van veiligheids risico's. Want dat zijn het uiteindelijk: veiligheids risico's die daar maar liggen te wachten tot een 3e partij ze ook vind en misbruikt.

[Reactie gewijzigd door mard0 op 22 juli 2024 14:04]

[Blokker_1999]

Als men het zou verbieden heeft MS bijvoorbeeld een probleem daar zij de key van mobiele telefoons backuppen naar onedrive.

[omgwtfbbq]

"Het is technologisch compleet onwerkbaar voor individuele staten om andere encryptiestandaarden te vereisen in consumentenproducten," zegt Lieu tegen Reuters. "Apple kan niet een andere smartphone maken voor Californië en New York en de rest van het land."

Leuk, maar de gedachte onderwater is dus eigenlijk: We zouden het wel willen maar we kunnen het bedrijven eigenlijk niet te moeilijk maken want anders vertrekken ze (met alle gevolgen van dien).

[Verwijderd]

Wat ze precies denken is moeilijk te achterhalen. Met deze bewoordingen is het namelijk ook makkelijker te verkopen aan de achterban. Een achterban die zich in hun onwetendheid en onder het mom van terroristen en kinderporno zomaar achter een anti-encryptie wet zou kunnen scharen. Dreigen met "Apple wordt dan een Chinees bedrijf" is nu eenmaal makkelijker dan precies uitleggen waarom encryptie een goede zaak is.

[Devata]

Goed voorstel. Overheden zouden dit niet moeten ogen. Het is sowieso absurd dat je als overheid feitelijk een dienst van een bedrijf gaat eisen die dat bedrijf helemaal niet aan bied.

[u_nix_we_all]

Misschien ben ik te wantrouwend, maar je zou het ook anders kunnen interpreteren: lokale overheden en staten moeten dit niet doen, omdat ze zo in het vaarwater van de federale overheid komen. Want wanneer hoor je nu over een backdoor die door toedoen van een staat in een product is gekomen ? Nee, het is steevast de NSA of andere federale club die met hun backdoors in het nieuws komen.

[Verwijderd]

Gek, ze hebben de grootste moeite om door encryptie heen te komen in de gevallen waarbij ze het wel willen.

US investigators are still unable to unlock a phone owned by one of the attackers involved in the shootings in San Bernardino last year, the FBI says.
Syed Farook and his wife Tashfeen Malik killed 14 people in the Islamic State-inspired attack in California.
A mobile phone belonging to Farook was recovered but FBI Director James Comey said encryption technology meant they had not been able to access it.
Such technology was "overwhelmingly" affecting law enforcement, he warned.

http://www.bbc.com/news/world-us-canada-35537954

[Verwijderd]

Dit artikel klinkt positief voor mensen die gesteld zijn op hun privacy, maar ik geloof dat de anti-privacybeweging netto steeds groter wordt. Kortom, dit artikel lijkt voor mijn gevoel een druppel op een gloeiende plaat.

[the iMad]

Het zou eigenlijk heel simpel moeten zijn, als iemand verdachte is in een zaak dan ben je als verdachte verplicht je telefoon af te geven met de code om je telefoon te openen, zodat de bevoegde instanties je telefoon kunnen onderzoeken.
Werk je niet mee, dan wordt je opgesloten totdat je wel de code afgeeft, als verdachte betaal je zelf voor de onkosten die je maakt als je opgesloten bent.

Aan de andere kant moeten de instanties zo werken dat ze andere informatie, die geen betrekking heeft tot andere illegale zaken, te gebruiken of misbruiken.
Maar omdat wij mensen zo oneerlijk zijn, zowel de verdachte als vele instanties, komen we nooit tot een simpele afspraak.

Kijk als een regering niet openheid van zaken geeft, hoeft een inwoner dat ook niet te doen. Iedereen ook de Koning is verplicht zijn telefoon af te staan met de code.

[CharlesND]

Goed idee. En als de bevoegde instantie dan je telefoon onderzocht heeft en allerlei namen en nummers gevonden heeft kunnen ze de bijbehorende personen ook gelijk even verzoeken om hun telefoon in te komen leveren met de ontgrendelcode.

Geen zin? Ja, dan moeten we u helaas opsluiten op eigen kosten, u staat in de contacten of heeft gebeld met de verdachte en dat vinden wij van de onderzoekende instantie echt wel verdacht en nu bent u dus ook een verdachte... En als u niets te verbergen heeft is er toch geen enkel bezwaar tegen dat wij uw telefoon even leegtrekken??

Ja, mensen opsluiten als ze niet direct hun mobieltje willen opengooien voor een onderzoekende instantie is echt de oplossing.

[the iMad]

Pas als de persoon ook als verdachte wordt aangemerkt, kan je over gaan tot inname van de telefoon.
Moet wel een gegronde reden zijn om iemand als verdachte aan te houden.
Trouwens laat je toch gewoon je inhoud van je telefoon zien, de instanties moeten zich aan de regel houden die hierboven heb beschreven.

[Tjidde]

Maar volgens mij is het in de grondwet van de VS beschreven dat je niet hoeft mee te werken aan je eigen veroordeling. Als jij verplicht wordt je code te geven betekent dat je dus verplicht moet mee werken met je veroordeling.

[the iMad]

Klopt helemaal, liever hebben we een duur Politie apparaat die moet uitvogelen of degene wel of niet de dader is.
Liever betalen we verdachten om andere verdachten te veroordelen, of geven we verdachten de vrijheid voor al hun daden om andere verdachten te kunnen veroordelen.

[WhatsappHack]

Het is een zeer mooi voorstel, en dat is een erg goede ontwikkeling.
De vraag is echter of het voor de bühne is om zieltjes te winnen, terwijl ze in de achterkamertjes toch iets heel anders aan het doen zijn; of dat ze oprecht menen dat ze de consument willen beveiligen.
Immers mogen ze gewoon de wet naast zich neer leggen en in het geheim iets heel anders aan bedrijven opleggen, al is het dan natuurlijk met risico op Snowden's en opstandige bedrijven.

Eerst zien, dan geloven; en eerst maar eens zien of het wetsvoorstel er uberhaupt doorheen komt.

[downtime]

Beter lezen: Ze willen alleen voorkomen dat elke staat aparte eisen gaat formuleren zodat telefoonfabrikanten straks 50 verschillende versies van een telefoon moeten uitbrengen. Dit heeft niks met bühne, zieltjes of consumenten te maken. Er staat niet in die wet dat de Federale overheid ook geen encryptie-eisen mag stellen.

[Blokker_1999]

Men mag de wet helemaal niet naast zich neerleggen (waarom denk je dat ze terreurverdachten bijvoorbeeld niet opsluiten in eigen land?) wat niet wegneemt dat het niet kan en zal gebeuren. Als dat dan uitkomt rollen er evenwel wel koppen.

[thisischrys]

whoosh

[Devata]

Wat me overigens een beetje stoort aan dit artikel is de weergave alsof dit vooral iets van de republikeinen zou zijn die willen dat bedrijven voor overheden willen inbouwen en democraten degene zijn die hier tegen.

Ja er staat dat dit voorstel komt van zowel democraten als republikeinen. Echter komt er vervolgens een heel verhaal van de democraat Ted Lieu die voor dit besluit is. Vervolgens komt het verhaal van republikein John McCain die juist zou wilt dat overheden dit kunnen afdwingen.

Dit wekt toch op zijn minst de suggestie dat over het algemeen de democraten hier tegen zijn terwijl de republikeinen voor zijn.

Klein detail. De twee staten die willen dat bedrijven zorgen dat telefoons gemaakt vanaf 2017 te ontsleutelen zijn, zijn twee van de meest democraat gezinde staten. Zie: https://en.wikipedia.org/wiki/Red_states_and_blue_states

[Verwijderd]

Reuters had van Ted wel een quote en van Blake niet. Kan gewoon zijn dat ze van Blake nog geen reactie hadden gekregen ten tijde van de publicatie. Weet niet of je daar per se wat achter moet zoeken.