Internetexchange DE-CIX klaagt Duitse overheid aan wegens aftappen

De internetexchange-beheerder DE-CIX heeft de Duitse regering aangeklaagd vanwege het aftappen van zijn knooppunten. De organisatie wil daarmee bereiken dat een rechter zich uitspreekt over de legaliteit van de taps.

De bevoegdheid voor het aftappen is volgens DE-CIX gebaseerd op de G10-wet, maar de organisatie twijfelt eraan of de overheid zich aan de nodige waarborgen heeft gehouden. In die wet zijn de bevoegdheden van de Duitse inlichtingen- en veiligheidsdiensten vastgelegd op het gebied van onderscheppen van communicatie. DE-CIX liet voor het weekend in een persbericht weten dat de aanklacht ertoe dient om klanten ervan te verzekeren dat het aftappen op legale wijze plaatsvindt en om rechtszekerheid voor zijn klanten te verkrijgen.

De beheerder ziet zich in zijn argumenten gesteund door een onlangs verschenen rapport van de voormalige president van de hoogste Duitse rechtbank, Hans-Jürgen Papier. Daarin kwam hij tot de conclusie dat het aftappen van internetknooppunten, waaronder die van DE-CIX, door de Duitse geheime dienst BND onrechtmatig is. De Duitse site Netzpolitik schrijft dat het in de aanklacht om een specifiek deel van de G10-wetgeving gaat, waarin het aftappen zonder verdachte is geregeld. De grenzen van deze bevoegdheid zouden echter op zijn minst onduidelijk zijn.

Deze conclusie komt ook terug in het rapport. Volgens Netzpolitik werd in 2013 bekend dat de Duitse BND al sinds 2011 officieel toegang had tot de knooppunten van DE-CIX en daarmee tot de gegevens van verschillende providers. Uit eerder naar buiten gekomen statistieken bleek onder andere dat de Duitse regering toegang had tot 37 miljoen e-mails in 2010.

DE-CIX, dat staat voor Deutscher Commercial Internet Exchange, is de grootste internetexchange ter wereld als het gaat om dataverkeer. De organisatie beheert verschillende knooppunten, onder andere in Duitsland, de VS, Dubai, Frankrijk en Turkije.

Reacties (87)

[Verwijderd]

Ik vermoed dat zowel de AIVD als de NSA de AMS-IX afluistert met instemming en medeweten van de NL regering! De AMS-IX is namelijk de grootste en belangrijkste ader tussen de VS en Europa.

De aanklacht gaat om 'sleepnet' methodes van aftappen, niet gericht aftappen. Volgens mij zijn deze per definitie onrechtmatig.

[Reactie gewijzigd door Verwijderd op 3 augustus 2024 18:22]

[JackBol]

De AMS-IX heeft geen fysieke verbindingen met de US.
Partijen zoals Above, Level3, NTT, Cogent en Tata verzorgen dat soort verbindingen.

Verder is het schier onmogelijk om de AMS-IX af te tappen. Ze hebben 6 core-routers die volledig uitgevuld zijn met 100G verbindingen. En daarnaast blijft nog zeker de helft van het verkeer op de PE routers. Omdat ongericht bi-directioneel te tappen heb je tientallen full-height core-routers nodig die tot de rand toe vol zitten met 100G verbindingen. Als die optische en fysieke infrastructuur bestond, was dat echt niet geheim te houden in ons kleine Nederlandse colo-wereldje.

[Verwijderd]

Maar willen Above, Level3, NTT, etc dan niet de lijnen encrypten ? Of doen ze dat al, maar staat er ergens een ""decryptor"" richting de Duitse regering ? Google en overigens andere grote providers hebben ook encryptie op hun lijnen.

https://www.washingtonpos...c-b47e45e6f8ef_story.html

[Lupusceleri]

Ten eerste: Abovenet - tegenwoordig Zayo - en ook NTT en Cogent, hebben geen trans-Atlantische kabels, maar huren capaciteit bij andere leveranciers. Wel dragen ze zeer veel verkeer naar de US op dergelijke gehuurde wavelengths. Level3 en TATA hebben daarentegen wel eigen kabels en als je wil kan je bij dit artikel van Ars Technica een kijkje in de keuken van TATA's TGN-1 kabel nemen: http://arstechnica.com/in...s-data-centres-last-mile/

Maar goed, dus de reden waarom ze niet versleutelen is omdat dat een overhead oplevert op zowel kosten als latency gebied. Er bestaan wel routers die op wirespeed data kunnen versleutelen en dan over een paar 10G poorten naar buiten stampen - bijvoorbeeld Brocade's IPsec module voor de MLXe, maar dan betaal je voor een 4* 10GbE linecard even veel als een 20 * 10GbE linecard. Voor 100GbE wat nu de nieuwe standaard begint te worden bestaat een dergelijke kaart niet eens: http://www.brocade.com/en...e-mlx-ipsec-module-ds.pdf

Daar komt nog bij dat als zo'n carrier een aftap-bevel krijgt, ze gewoon gehoor moeten geven en het anders met vadertje overheid aan de stok krijgen. De enige soort encryptie die je redelijk kan vertrouwen is end-to-end.

[JackBol]

Transatlantische verbindingen worden niet standaard versleuteld door de internationale carriers. Het zal vast mogelijk zijn om een versleutelde verbinding af te nemen van zo'n carrier, maar wie verzekert je dat die encryptie confidentieel is?

Dus als je het zeker wilt weten moet je het zelf doen.

Gelukkig zijn er genoeg point-to-point encryptie oplossingen voor optische, Ethernet en IP verbindingen.

Google encrypt op applicatie-niveau (HTTPS). Dat schaalt niet voor een carrier.

[Reactie gewijzigd door JackBol op 3 augustus 2024 23:45]

[Marty007]

Volgens mij tappen ze die dingen tegenwoordig al af onder water hoor. Kan zo even geen bron erbij halen maar ik las het laatst nog ergens.
Die onderwater glasvezel lijn heeft versterkers om de zoveel afstand en daar zou je al op in kunnen haken meen ik me te herinneren

[Mr_gadget]

Klopt, ze hebben een duikboot omgebouwd hiervoor. En er zijn al wat 'storingen' geweest die door vissers waren maar dat zou ook de NSA zijn geweest kunnen zijn.
http://www.theatlantic.co...sea-cable-tapping/277855/
Voor de informatie af te voeren leg je er een glasvezel naast oid?

[Marty007]

https://en.m.wikipedia.org/wiki/Fiber_tapping

According to reports, the US government used fiber tapping for surveillance following the September 11, 2001 attacks and a nuclear submarine, the USS Jimmy Carter, was modified to allow tapping undersea cables


Dit is al vaker gedaan dan wij denken hoor.

[supersnathan94]

Hoe dan? Hoe wil je zoiets in het geheim opzetten? Dat is onbegonnen werk. Je hebt eerst al een infrastructuur nodig die tenminste 5 Tb/s aan data kan verwerken en dan ook nog een rekencentrum ter grootte van een AM1 om er ook maar iets van te kunnen maken en er realtime analyses op te kunnen doen.

En dan kan je alsnog helemaal niets met de data die NSA achtige instanties willen hebben (communicatie via VOIP en messaging), want dat is bijna allemaal asymmetrisch versleuteld.

[Marty007]

En jij denk dat een Datacenter alleen kan bestaan in een mega versie in een kantoorgebouw?

Zie mijn post hieronder voor bronvermelding en link naar hoe dit werkt.

[Reactie gewijzigd door Marty007 op 3 augustus 2024 23:45]

[supersnathan94]

Verwijzen naar een post hierboven werkt niet. threads worden gesorteerd op relevantie dus kan het ieder moment wisselen.

[Verwijderd]

Zo: https://en.wikipedia.org/wiki/Room_641A

[mashell]

In dit artikel wordt DE-CIX het grootste knooppuntenbedrijf ter wereld genoemd, wordt door de aanklacht het aftappen door de BND bevestigt. Dus blijkbaar kan het in Duitsland, is het dan niet naief om op basis van getallen aan te nemen dat het in Nederland niet ook kan en gebeurt?

[JackBol]

DE-CIX wordt dan ook niet ongericht afgetapt. Als je de nieuwsberichten een beetje had gevolgd dan wist je dat BND specifiek tapte op +/- 25 ISPs en voornamelijk op VoIP. Het gaat slechts om 2% van het verkeer of zo.

[cobis taba]

Of je laat de core-routers van de AMS-IX zelf hun logs direct uitspugen, dan kom je al een heel eind.

[JackBol]

Het gaat niet over logs maar over optische taps.

[dasiro]

Verder is het schier onmogelijk om de AMS-IX af te tappen
...
Omdat ongericht bi-directioneel te tappen heb je tientallen full-height core-routers nodig die tot de rand toe vol zitten met 100G verbindingen

je onderschat de middelen van geheime diensten, zeker die van de VS (alleen al maar omdat die onbekend zijn). Het zou niet de eerste keer zijn dat iets onmogelijk geacht wordt (zelfs voor ingewijden) terwijl achteraf blijkt dat er al jaren een veelvoud van in gebruik is.

[supersnathan94]

Het kan op zich ook wel, maar zomaar ongemerkt een centrumpje neerzetten wordt lastig. Daar zullen ze dus andere methoden voor moeten gebruiken.

[CAPSLOCK2000]

Verder is het schier onmogelijk om de AMS-IX af te tappen. Ze hebben 6 core-routers die volledig uitgevuld zijn met 100G verbindingen.

Dat vertelde ik ook aan iedereen die het wilde horen, tot Snowden kwam. Sinds Snowden denk ik er anders over. Als de NSA jarenlang geheim kan houden dat ze alle internationale kabels aftappen, dan kan het ook in Nederland.
Ik geloof niet dat ze de hele AMSIX 24/7 100% aftappen, dat lijkt me technisch wat te veel gevraagd, maar er zijn andere mogelijkheden die je een aardig eind op weg kunnen komen.
Je zou bijvoorbeeld kunnen beginnen met de grootste deelnemers (zoals ISP's) aan de bron te tappen, dan hoeft het niet meer op de AMS-IX. Hetzelfde kun je doen met de internationale kabels die ons land binnen komen.

Je hoeft ook niet alle pakketjes de te analyseren, na de paar eerste kun je vaak al vaststellen dat er weer een kattenfilmpje van youtube komt dat verder niet interessant is. Aangezien 90% van internet bestaat uit video schiet dat lekker op.

[satya]

Altijd maar die NSA, terwijl de Britten (GCHQ) de grootste vuillakken zijn.

Ze doen het al, taps door heel Europa en inmiddels mogelijk bijna 100% van al het verkeer in zicht.
Van elke potentieel gebruiker worden profilen opgebouwd. Gebeurt er iets, is de kans groot dat de data jou in beeld zal brengen.

bron: https://theintercept.com/...-users-online-identities/

[Reactie gewijzigd door satya op 3 augustus 2024 23:45]

[Lupusceleri]

De AMS-IX verzorgt geen verbinding tussen de VS en Europa, het is alleen verzamelpunt waar carriers verkeer kunnen uitwisselen binnen de omgeving van Amsterdam. Soms brengen die carriers het verkeer daarna naar de VS maar dat hoeft natuurlijk niet.

[Geim]

Even in perspectief: 37 miljoen e-mails in 2010 onderschept, terwijl er in 2012 per dag 144 miljard verstuurd werden (wereldwijd).

http://www.marketingfacts.nl/berichten/internet-2012-in-cijfers

[Yariva]

Spam is ook zo oninteressant als de pest. En dat is meer dan 90% van dat nummer.

[tom.cx]

"68,8% – Percentage van het e-mailverkeer dat als spam gemarkeerd kan worden"
"50,76% – Percentage van de spam afkomstig pharmaceuten, daarmee de grootste categorie van alle verstuurde spam,"

Is toch iets minder ;-).

[Reactie gewijzigd door tom.cx op 2 augustus 2024 15:27]

[Verwijderd]

Spam + Promotie is wel ongeveer 90%

[MrFax]

Ja als emails met jou toestemming verstuurd worden(bijv. Nieuwsbrieven van tweakers.net) dan kan dat niet als spam gemarkeerd worden.

[Verwijderd]

Klopt, maar dat maakt zo nog niet interessant voor tappen.

[Marty007]

Niet interessant voor tappen maar geen spam...

Iemand die veelvuldig promoties krijgt over de diesel prijzen en aanbiedingen van kunstmest is misschien wel degelijk interessant en vallen beide van die mails onder jouw 90%

Zie daar dan ook gelijk het grote probleem van tappen...
Je kan niet deels tappen... het gaat juist om die 0.01 % mails en die vind je maar op 1 manier tenzij je al weet waar en of wie je moet zoeken

[Verwijderd]

Ik zeg ook nergens dat het spam is..

Nee, dan is de order bevestiging van zijn bestelde diesel en kunstmest relevanter. Ga maar na, bedrijven die promo sturen heb je vaak ook gewoon digitaal besteld.

Je kunt niet deels tappen, maar promotie en spam filter je wel uit je tap-database!

[Geim]

10% van 144 miljard zijn 5,1 biljoen mails per jaar die geen spam zijn.

[CH4OS]

10% van 144 miljard (144.000.000.000) is 14.400.000.000 (14,4 miljard dus), geen idee hoe dat 5,1 biljoen is. Een biljoen is in Nederlandse termen namelijk 1000 miljard.

[Geim]

Klopt, 14,4 miljard per dag is 5,1 biljoen per jaar. De 37 miljoen onderschepte mails waren ook per jaar.

[CH4OS]

Blijkbaar wordt er desondanks genoeg mee verdiend, anders was het totaal oninteressant om dergelijke spamberichten te versturen.

Ik wil nergens spammen goed praten, maar het is een simpel sommetje; wegen de kosten op tegen de baten en die zijn er schijnbaar, want anders wordt de spam immers niet verstuurd.

[Reactie gewijzigd door CH4OS op 23 juli 2024 09:05]

[n4m3l355]

En hoeveel aanslagen zijn ermee voorkomen? Hoeveel man is hierdoor opgepakt? De overheid meet zich talloze methodes aan om "terroristen op te pakken" maar wat is nou hun success rate uiteindelijk? En worden ze daadwerkelijk gepakt door deze middelen die ze nu vergaren of gewoon door puur ouderwets detective werk?

Zonder dit inzichtelijk te maken vind ik dit soort middelen moeilijk te accepteren. Uiteindelijk wordt dus van 1 op de 2 Duitsers potentieel een email opgevangen. Dan ga je toch wel erg grof te werk om terroristen op te pakken. Sterker nog, je mag je afvragen of het perken van onze privacy het uberhaubt waard is. Dit jaar mag dan een minder goed jaar zijn echter zelfs dan nog willen we dit als inwoner van een land? Zijn we daadwerkelijk zoveel veiliger, wil ik uberhaubt wel zoveel veiliger zijn.

[jaapzb]

Als ik Rob Bertholee (baas van de AIVD) mag geloven, kan dat niet inzichtelijk gemaakt worden want dan worden de methoden duidelijk voor de terroristen. (bron: sorry voor de paywall)

[Stoney3K]

Als ik Rob Bertholee (baas van de AIVD) mag geloven, kan dat niet inzichtelijk gemaakt worden want dan worden de methoden duidelijk voor de terroristen.

Je zou bijna zeggen dat ze iets te verbergen hebben. Practice what you preach much?

[Wolfos]

Ofwel, wij moeten kunnen doen wat we willen en er mag geen controle plaatsvinden. Compleet ondemocratisch.

Wel dus.

[Reactie gewijzigd door Wolfos op 3 augustus 2024 23:45]

[jaapzb]

Hij had nog wel meer mooie uitspraken, bijvoorbeeld, in de context van Apple die weigerde de FBI te helpen met het ontsleutelen van een iPhone:

... zou het het oogmerk van Apple moeten zijn dat ze terroristen veilig helpen communiceren?

Of, over het "sleepnet":

Vraag: Het probleem is: een beetje versleuteling bestaat niet. Als de AIVD erbij kan, is het voor miljoenen anderen ook waardeloos geworden.

Antwoord: Ja, maar bij al die andere mensen willen we niet meekijken.

Ofwel die man heeft geen flauw benul hoe (goede) encryptie in zijn werk gaat, of hij leeft in een fantasiewereld.

EDIT: woorden

[Reactie gewijzigd door jaapzb op 3 augustus 2024 23:45]

[mashell]

Er is natuurlijk wel controle. Door de commisie Stiekem, die uit gekozen volksvertegenwoordigers bestaat.

[R4gnax]

Dat is alleen wel een geval van "Quis custodiet ipsos custodes?"

Als we even een aluhoedje opzetten en puur hypothetisch naar de worst case kijken, dan kunnen die mensen in principe ook gewoon gekocht of gechanteerd worden. Wellicht nog wel met hun eigen browse-gedrag.

De vraag is of dat soort constructies wenselijk en toereikend gaam zijn wanneer de gerechtelijke mogelijkheden tot het afluisteren van internetverkeer nog verder opgerekt gaan worden.

[CAPSLOCK2000]

Er is natuurlijk wel controle. Door de commisie Stiekem, die uit gekozen volksvertegenwoordigers bestaat.

Het vervelende alleen is dat die commissie alles geheim moeten houden. Ze mogen eens per jaar vertellen hoe vaak ze vergaderd hebben en welke onderwerpen zijn besproken. Niemand weet wat er over gezegd is en of de commissie tevreden was of niet. Als ze niet tevreden zijn dan hebben ze pech.

Slechts eens in de geschiedenis heeft de commisie ooit iets meer los gelaten. Dat ging, wat een toeval, over het aftappen van data, en de commisie zei dat ze onvoldoende informatie kregen. In die tijd heeft Elsevier ook eens onderzoek gedaan naar hoe de commissie werkt. Daar kwam onder andere uit dat de leden tijdens de vergadering hun telefoons bij zich mogen houden. Dat roept de vraag op of ze wel echt de grootste geheimen te horen krijgen.

[skunkopaat]

Als er daadwerkelijk openbaar wordt gemaakt of er aanslagen zijn voorkomen, dan kan je daarmee best wel eens onbedoeld angst zaaien.

[supersnathan94]

En als ze daadwerkelijk aangeven jo we hebben dertig aanslagen kunnen voorkomen de afgelopen 3 maanden dan zou ik ook daddwerkelijk het idee hebben dat ze goed bezig zijn.

[Verwijderd]

De laatste tijd zijn er toch aardig wat aanslagen voorkomen door de daders vooraf in de kraag te vatten.

[supersnathan94]

© Rob Bertholee 2016

[Verwijderd]

Hehehe Nee, niet alleen in NL.

Nou ja, lastige materie dit hoor. Als je wel aftapt (zonder dat het achteraf nodig bleek te zijn) ben je de boeman, maar als er weer ergens een bom ontploft in een winkelcentrum dat voorkomen had kunnen worden door een tap dan krijg je ook weer de schuld dat het niet gebeurd was.

[dyrc]

en de andere kant van de medaille: als ik 20 mailtjes per dag tik en deze worden allen onderschept, dan zou dit goed zijn voor 5000+ e-mail jaren aan onderschepping. Klinkt toch als een boel.

Tevens is het 37 miljoen e-mails in 1 jaar voor alleen de duitse regering, en waarbij deze "kennis van" ook nog eens via de media bekend gemaakt is... Voelt als een topje van de ijsberg.

[Geim]

Oh, dat ze meer gedaan hebben geloof ik direct. Alleen Die schier enorme data aan emails, hoe wil je daar in hemelsnaam een mail uitpikken die voor de geheime diensten van belang kan zijn?

[Netrunner]

wees maar niet bang, hiervoor hebben we ontwikkelaars die tools schrijven om door big data te scrollen

[Stoney3K]

wees maar niet bang, hiervoor hebben we ontwikkelaars die tools schrijven om door big data te scrollen

Werken die net zo goed als spamfilters, waar nog altijd rommel doorheen valt? En wat doen dat soort filters met mail van 'terroristen' die hun mailverkeer als spam vermommen om niet door het filter heen te komen?

Op het moment dat je gaat filteren is het nooit 100% waterdicht, en als je alles ongefilterd opslaat is de hoeveelheid ruis gewoon veel te groot.

Het massaal opslaan van grote hoeveelheden communicatie werkt gewoon niet en is zelfs contraproductief.

[ImaPseudonym]

Aanvullend perspectief: Op de 80 miljoen inwoners van Duitsland is dat iets minder dan een halve e-mail per inwoner, aannemend dat het hier om 37 miljoen 'Duitse' mails ging (aangezien er een Duitse exchange afgetapt wordt).

[Marty007]

Emails... of email adressen. ...?
37 miljoen emails lijkt inderdaad veel maar dat is bij het geheel nog niet eens een tiende procent.
37 miljoen email adressen is een ander verhaal. Kan me voorstellen dat dit meer reden zou zijn voor paniek.

[Geim]

E-mails volgens de tekst:
"Uit eerder naar buiten gekomen statistieken bleek onder andere dat de Duitse regering toegang had tot 37 miljoen e-mails in 2010."

[Marty007]

Bedankt voor het copy en pasten van het artikel waar ik op reageerde...
Ik vroeg dit omdat een fout als deze juist in de vertaling makkelijk gemaakt zou kunnen worden en ik vroeg me hardop af of dit echt een storm in een glas water was of dat Duitsland massaal USA praktijken uitvoerde...
De quote die jij plaatst plaatste ik zelf al als open vraag in mijn eerste reactie. Bedankt voor geen bijdrage.

[Geim]

Je reageerde niet op een artikel, maar op mijn reactie.
Verder graag gedaan!

[Harm_H]

Hoe analyseer je effectief 37 miljoen emails?

[ShellGhost]

Steekwoorden, afzenders, ontvangers, type email.

[borft]

Dat is toch niet zoveel? dat is grofweg 100K/dag, wat neerkomt op iets meer dan 1/seconde. Lijkt me prima te doen met een vrij simpele server.

[mashell]

Je haalt ze door een soort van spam filter. Dat zoekt op verdachte woorden en namen. Komt daar wat uit dan leg je dat voor een data analist bij de geheime dienst.

[Liberteh]

On demand wanneer nodig

[Verwijderd]

Ik heb er persoonlijk ook mijn vraagtekens bij, of het tappen op deze basis zo door moet blijven gaan. Al mijn internetverkeer op niet HTTPS gebaseerde sites ligt eigenlijk voor het oprapen. Mijn data en alles wat ik doe wordt gekoppeld op mijn IP adres en elders weet men aan de hand van Metadata wat ik heb gedaan, zonder ook maar verdacht te zijn.

Maar dit is niet alleen in Duitsland, zowat elk europees land met een exchange heeft hetzelfde. Niets is heilig meer. VPN en encryptie hebben ze vaak meestal al een antwoord op. GPU's worden zo sterk tegenwoordig dat een cluster opzetten om beveiliging te kraken een eitje is.

Tor is ook bewezen onveilig naarmate er meer en meer exitnodes door belanghebbende worden opgezet om alles duidelijk in kaart te krijgen.

[Verwijderd]

Die laatste twee stellingen zijn complete onzin. Je kan met GPU's echt geen AES-128 laat staan AES-256 kraken, dat is onmogelijk.

En bij Tor kan men alleen onder heel specifieke omstandigheden de identiteit van gebruikers achterhalen.

[Verwijderd]

Weet je het zeker? Wat denk je dat een halve DC vol met GPU's aan capaciteit heeft voor het kraken van beveiliging? Das meer dan dat wij consumenten in ieder geval op kunnen zetten. NSA ter voorbeeld zal een veel groter budget hebben om een duizendtal clusters van GPU's op te kunnen zetten.

[GekkePrutser]

Daarmee kan je misschien in de tijd van een jaar een handjevol AES-128 keys kraken. 256 kan je helemaal vergeten.

Dat zou dan ook helemaal niet erg zijn want dat dwingt de inlichtingendiensten om gericht te selecteren in wie ze in de gaten houden. Het kraken van jan en alleman's HTTPS en VPN verkeer is daarmee zeker niet mogelijk.

Wat wel een flinke impact gaat hebben op encryptie is quantum computing. AES is daar niet enorm zwak tegen, maar RSA (de meest gebruikte public key encryptie van dit moment) juist wel. En dat is een probleem want bij bijvoorbeeld HTTPS wordt de AES key eerst onderling via RSA afgesproken (of via Diffie-Hellman bij gebruik van perfect forward secrecy, maar niet veel sites doen dat, bovendien is dat ook niet sterk tegen quantum computing). RSA kan eigenlijk als kapot worden beschouwd op het moment dat de eerste quantum computer online komt.

Vandaar dat er nu al druk gezocht wordt naar vervangingen hiervoor voor het 'Post quantum' tijdperk. Zoals Elliptic Curve.

Een interessantere vraag is dus wanneer de eerste inlichtingendienst over zo'n quantumcomputer gaat beschikken. En of we dat gaan weten of niet. Bovendien is er het risico dat ze ongemerkt in de nieuwe algoritmen achterdeurtjes gaan verstoppen, zoals het bekende verhaal van de pseudo random generator Dual_EC_DRBG die door de NSA verzwakt is. De bestaande algoritmen zijn bijzonder goed begrepen (en bovendien bedacht door onafhankelijke onderzoekers), bij de post quantum algoritmen moet het vertrouwen weer vanaf 0 opgebouwd worden.

[Reactie gewijzigd door GekkePrutser op 3 augustus 2024 23:45]

[Verwijderd]

Iemand (ik meen dat ik het in een cryptografie boek van Bruce Schneier heb gelezen) heeft eens uitgerekend dat als je ALLE energie van de zon continue zou kunnen opvangen en omzetten in elektrische energie dat de zon in zijn resterende levensduur niet genoeg energie zou kunnen produceren om de computers te voeden om één AES-128 sleutel te kraken. Dat boek was tien jaar geleden geschreven en de computers zijn nu sneller, maar dan nog denk ik niet dat het mogelijk is.

De reden dat we AES-256 gebruiken heeft te maken met kwantum computers, deze kunnen het aantal bits namelijk halveren. Dus AES-128 zou met een kwantum computer 64-bits worden (te kraken) maar AES-256 zou AES-128 worden (niet te kraken).

[Reactie gewijzigd door Verwijderd op 23 juli 2024 11:59]

[Sando]

Ik kijk dan ook uit naar de final versie van SAFEnet (van MaidSafe). MaidSafe is een 'startup' die in 2006 begon aan een plan om het internet te 'vervangen'. Dat is nog vòòrdat Bitcoin uitkwam.

Als je je inleest op de techniek erachter dan is het erg interessant. Maar een van de simpelere features is een wereldwijde encrpyted cloud. Mensen 'minen' niet met processorkracht (zoals bij bitcoins) maar 'farmen' met vrije schijfruimte. Zie https://www.youtube.com/watch?v=U1ffmf6z50E

Er wordt verder geen DNS gebruikt en alles is encrypted. Je kan websites en apps publiceren. Messengers en VoIP. Als het feest doorgaat dan zijn we met zijn allen de afluisterpraktijken zo'n grote stap voor dat we een totaal nieuwe playingfield hebben.

In 2014 haalden ze 6 miljoen dollar op in 5 uur via crowdfunding. Ik heb alvast een paar euro aan coins gekocht, hopende op een leuk kerstcadeau over 10 jaar.

[SuperDre]

tja, het zal toch door blijven gaan, desnoods wordt de wet er gewoon op aangepast.. Enige wat je kunt doen is wel er over klagen, maar verder kun je weinig, anders dan zorgen dat je gewoon geen gekke/strafbare dingen doet.

[Verwijderd]

De aantallen doen er niet toe. Het is ongericht en, zoals gesuggereerd wordt, 100% onrechtmatig.

Kampioenaftapper heeft ook de afgelopen dagen geen bommen tegen gehouden in eigen land.

Criminelen en terroristen gebruiken goede encrypties. Sommige encrypties zijn verankerd in schijnbaar onschuldige berichten zoals: Overmorgen trouwt X, zorg jij voor het bier, dan neem ik de bloemen mee. Zal ik rode of witte rozen kopen?

Het bovenstaande is volledig verzonnen, maar de strekking is wel hoe terroristen communiceerden (en wellicht nog steeds) bij aanvallen in en op Israël. Normale alledaagse zaken gebruiken om de boel te coördineren en uit te voeren.

Keer op keer komt naar boven: alleen infiltreren is doelmatig, op afstand met een sleepnet werkt niet ...althans voor wat ze zeggen dat ze het gebruiken. Om grote hoeveelheden normale burgers in de gaten te houden, daarvoor werkt het uiteraard prima.

[mashell]

Of het onrechtmatig is dat beoordeelt de rechter. Hoeveel aanslagen er verhindert zijn is wordt bewust onbekend gehouden, stellen dat er dat 0 zijn is dus speculatie.

Overmorgen trouwt X, zorg jij voor het bier, dan neem ik de bloemen mee. Zal ik rode of witte rozen kopen?

Dat is inderdaad een manier, je moet elkaar echter al wel kennen en een code taal hebben afgesproken. De gek met de bijl in de trein bij Würzbug chatte gewoon ononwonden met zijn IS contactpersoon (stond in de SZ vorige week).

Keer op keer komt naar boven: alleen infiltreren is doelmatig, op afstand met een sleepnet werkt niet ...

Ook dat laatste is speculatie. Ja infiltreren is effectief. Alleen moet je wel weten waar te infilteren en je moet er op tijd bij zijn. Een voorbeeld van effectieve infiltratie is de Stasi in Oost Duitsland, die zaten echt overal. Maar dat nou net wat we niet willen. Dus misschien is zo'n sleepnet maar een klein kwaad om een veel groter kwaad te verhinderen.

[Verwijderd]

Wat je feitelijk zegt: ik weet het niet, maar ik vertrouw erop dat het allemaal goed gebeurd, laten we onze privacy maar afgeven.

Buiten het feit dat er al heel wat stapels documenten zijn die misbruik, zowel op persoonlijk als op staatsniveau, duidelijk maken, zijn de berichtgevingen niet te vertrouwen.

Vergeet niet, Irak is binnen gevallen op basis van aantoonbare en sluitende bewijzen van het hebben van massa vernietigingswapens. Het bewijs wilden ze niet laten zien omdat dit in de kaart zou spelen van Saddam. We kennen het resultaat: ze hebben 0,0 gevonden.

Dan haal je erbij van de messentrekker die in gewone taal met een IS contactpersoon heeft gesproken. Deze aanslag was een impulsmoment zoals ik heb begrepen en die hou je niet tegen met sleepnetten.

De Stazi wil je niet omdat die overal geïnfiltreerd was, maar sleepnetten, wat feitelijk hetzelfde is, maar veel minder effectief, wil je wel.

Dat je moet weten waar je infiltreert, dat is waar. Maar ik kan je op een briefje geven dat je dit niet hoeft te zoeken bij een oud mannenkoor en dat bepaalde Vlogs en theehuizen veel beter zijn.

En, zelfs als dat nu effectief zou zijn, wat niemand ooit heeft aangetoond, criminelen en terroristen passen zich razendsnel aan. Ofwel, privacy naar de maan en hooguit is er voor de korte termijn effect waarna nog meer aan privacy ingeleverd moet worden.

Een oorlog win je niet door te domineren, een oorlog win je door mensen voor je te winnen. De gemeenschap rondom de terroristen en criminelen is, om wat voor reden dan ook, geen anti terrorist of anti crimineel. Zolang dit het geval is, hebben ze vrij spel met hooguit wat hobbeltjes tussendoor.

En om nog een menselijk aspect erbij te halen, de industrie rondom anti-terreur en anti-criminelen is een hele goede gevestigde business; zij zijn de laatsten die gebaat zijn bij een wereld zonder terreur en criminelen.

[mashell]

Wat je feitelijk zegt: ik weet het niet, maar ik vertrouw erop dat het allemaal goed gebeurd, laten we onze privacy maar afgeven.

Dat zeg ik nogal nadrukkelijk niet.

maar sleepnetten, wat feitelijk hetzelfde is, maar veel minder effectief, wil je wel.

Ik zeg niet dat ik sleepnetten wil. Ik zeg alleen dat we moeten overwegen of dat niet het kleinere kwaad is. Wat ik wil is in vrijheid leven, zonder angst. En daarvoor is terrorisme bestrijding een vereiste.

Deze aanslag was een impulsmoment zoals ik heb begrepen

Er was een voorbereding in die dagen ervoor. Als er een sleepnet op de chat communicatie was geweest dan was er de kans geweest dat deze tegen gehouden was.

Maar ik kan je op een briefje geven dat je dit niet hoeft te zoeken bij een oud mannenkoor en dat bepaalde Vlogs en theehuizen veel beter zijn.

Aannames, aannames, aannames. Nu hebben we te maken met islamistisch terrorisme. Maar als we te maken krijgen met een minister president Wilders kan ik je op een briefje geven dat er links radicaal terrorisme bijkomt. En ook Christelijk terrorisme bestaat.

criminelen en terroristen passen zich razendsnel aan

Nog meer aannames. Je wordt geen terrorist of crimineel omdat je zo intelligent of succesvol bent, juist het tegendeel. Je wordt dat omdat je het in de gewone maatschappij niet rooit.

de industrie rondom anti-terreur en anti-criminelen is een hele goede gevestigde busines

En dat is ook goed zo. We hebben daar tegen te strijden om onze maatschappij leefbaar te houden.
Ik denk dat een sleepnet een noodzakelijk kwaad is, maar wat we kunnen en moeten doen is regelen wat er met die data gebeurt. Dat de data die als niet relevant bestempelt wordt (het overgrote meerendeel) meteen wordt weggegooid. Op die manier kun je zowel de opsporingshulpmiddelen als de privacy hebben.

[Reactie gewijzigd door mashell op 3 augustus 2024 23:45]

[Durandal]

Ik zeg niet dat ik sleepnetten wil. Ik zeg alleen dat we moeten overwegen of dat niet het kleinere kwaad is. Wat ik wil is in vrijheid leven, zonder angst. En daarvoor is terrorisme bestrijding een vereiste.

En juist die vrijheid komt sterk in gevaar wanneer een overheid steeds meer kennis en macht krijgt over zijn onderdanen. Kijk eens naar Turkije, 80000 mensen worden daar gewoon gevangen gezet omdat ze aanhanger zijn van een opponent van de president.

Hoe vrij is je vrijheid nog als je niet meer vrij kan spreken of schrijven (ook prive!), omdat alles toegankelijk is en opgeslagen wordt, en je bang bent dat je vroeg of laat de cel in gaat, of erger. Zeg niet dat het hier niet kan gebeuren.
Vrijheid is niet alleen de vrijheid van bewegen.

Er is geen ontkomen aan. We moeten onze vrijheid hoger inschalen dan onze veiligheid, and anders zijn we wel veilig, maar niet vrij (en vervolgens waarschijnlijk ook niet meer veilig).

Tenslotte, vrijheden die je weg geeft zal je vroeg of laat met bloed moeten terugkopen. Je (over)grootouders hebben misschien nog onder de duitse bezetting geleefd, en een van de dingen die we na de oorlog gewonnen hadden is dat Nederlanders niet meer met een ausweiss overstraat hoefden. Identificatieplicht is inmiddels al weer een tijdje ingevoerd. Pas op..

[ShellGhost]

Links terrorisme bestaat al, al jaaaren. Dat ze niet als terroristen worden weggezet wil niet zeggen dat het niet bestaat.

[Verwijderd]

Een sleepnet is geen noodzakelijk kwaad, het is net zo erg als terrorisme en criminaliteit. Een sleepnet lost niets op, werkt alleen tijdelijk en daar waar wel interventie heeft kunnen plaatsvinden, creëert het een 'mooie' mesthoop voor een volgende generatie terroristen..

Je opmerkingen komen over van iemand die aan het lobbyen is om privacy voor gewone burgers op te geven. De big-business tegen terrorisme is een business die hand-in-hand met terroristen groeit en 'bloeit'.

Je was nogal negatief over de Stazi. De data scrapers van nu, is de Stazi van toen ...maar wel met één verschil, met heel wat minder menselijkheid omdat ze zich niet tussen de mensen in bewegen; ze ervaren veel minder de ellende die ze veroorzaken en lopen veel minder risico. Data scrapers zijn mensen die nu al roepen wat lijkt op "ich habe est nicht gewust ...bevel ist bevel".

Kijk naar Engeland vs Ierland. Snoeihard optreden was een vicieuze cirkel. Alleen doordat de gemeenschappen met name elkaar met rust wilden/moesten laten, is een vorm van vrede ontstaan. Niet omdat de ene gemeenschap de andere in de gaten hield, maar doordat de gemeenschappen zichzelf in de gaten hielden.

De idiote gedragsgestoorde savants van heden ten dage die denken dat ze met IT anderen in de gaten kunnen houden en 'preventief' kunnen handelen, die moeten ze gewoon opsluiten in een gesloten inrichting. Samen met mensen die er handel in zien en bijbehorende lobbyisten.

[mashell]

Data scrapers zijn mensen die nu al roepen wat lijkt op "ich habe est nicht gewust ...bevel ist bevel".

Nou, nou. Als je geen inhoudelijke argumenten hebt gooi het maar op de emotie?

Je opmerkingen komen over van iemand die aan het lobbyen is om privacy voor gewone burgers op te geven

Nee. Van iemand die weet dat vrijheid het hoogste goed is en we daarom terrorisme en criminaliteit moeten bestrijden. En daar soms een afweging over moeten maken die in theorie de privacy kan aantasten. Want alles dat er in dat sleepnet landt en als oninteressant wordt weggegooid dat tast geen privacy aan.

[mashell]

Je weet niets

Als iemand het niet met je eens is dan is het niet sterk argumenteren als je met zoiets aankomt.

Als een dienst bij mijn data kan, kan een crimineel of terrorist dit ook; hooguit een kwestie van tijd.

Alweer een aanname. Criminelen zijn uit op geld, terroristen op angst zaaien. Ja, data heeft waarde. Dat is heel het verdienmodel van Google en Facebook. Die bedrijven zijn dan ook veel gevaarlijker voor je privacy dan alle overheden, criminelen en terroristen bij elkaar. Omdat ze er een veel groter belang bij hebben.
Ik kijk dus wel naar de geschiedenis. Het heden en naar de toekomst. De gescheidenis heeft ons geleerd dat infiltratie te ingrijpend is in de privacy van de onschuldigen, dat is niet de weg te gaan. Het heden is je gewoon realiseren dat we in het tijdperk van de databank leven. Data worden verzameld, overal. Dat is niet meer te stoppen. Dus als je in de toekomst nog privacy wilt hebben moet je dat data verzamelen en vooral het gebruik er van reguleren. Daar kun je nog wat bereiken.

[Verwijderd]

Je raaskalt. Wat hebben Google en Facebook te maken met deze discussie?

Ik ben helemaal voor het reguleren van dataverzameling. Daarom ben ik ook 100% tegen de sleepnetmethoden voor dataverzameling.

Even los van het feit dat sleepnetmethoden nog geen deuk in een pakje boter kunnen slaan als het aankomt op het 'toevallig' vinden van criminelen en terroristen.

Heb je wel eens gehoord van false positives en wat de consequenties zijn? https://www.youtube.com/watch?v=M8xlOm2wPAA

En dit gaat nog wel over gevalideerde onderzoeksmethoden.

In de VS en UK, en in Nederland ook meer en meer, is er een Credit Rating probleem. Eenmaal op de lijst, terecht of niet, je komt er niet/nauwelijks vanaf.

Even samenvattend: sleepnetmethoden gaan veel false postives creëren, leiden tot een 'vlaggetje' dat mensen en zelfs hun omgeving raken in hun hele hebben en houwen. En in tegenstelling tot Credit Rating, mensen weten niet eens waardoor dit komt noch kunnen dit herleiden of aanvechten.

En het idiote is, voor de doelgroep waar de claim is dat het voor bedoeld is, daar werkt het niet of maar heel even.

Wil je echt iets doen, dan moet je de reden voor de strijd weghalen. Als je wilt vechten, dan werkt alleen boots-on-the-ground en dus infiltratie. Hoogover vliegen, data scraping ...op papier leuk, gigantisch goede business voor diegene die wel varen bij het bestaan van terroristen (en doorgaans deze gasten aardig sponsoren), maar een ramp voor de normale bevolking.

Als ik jouw redenatie volg: data verzamelen is niet te stoppen het is overal. Terroristen en criminelen ook, ze zijn niet te stoppen, dus moet je het gaan reguleren om nog iets te bereiken.

Je bent een slechte lobbyist van diegene die garen spinnen bij criminele en terroristische activiteiten.

[kdekker]

De reacties gaan zoals gebruikelijk dezelfde kant op, maar wat ik me afvraag: een diender die op straat rondloopt, doet aan ongerichte surveillance. Zijn/haar aanwezigheid is bedoeld om potentiële boeven af te schrikken en aanspreekpunt te zijn voor medelanders. Als er opeens iets gebeurd, dan komt - hopelijk - de agent in kwestie in actie.

Is ongericht aftappen niet te vergelijken met surveillance? Het technische probleem is dat je data moet analyseren met tools, aangezien je met je ogen niets 'onwettigs' zult zien. Daarvoor is opslag nodig. En bij 'niet te zien' zou die opslag direct verwijderd moeten worden.

De vraag is: zijn internetknooppunten te vergelijken met de openbare straat, of is het te vergelijken met privé ruimtes in je huis? Persoonlijk lijkt me de hoofdinfrastructuur van internet eerder te vergelijken met een straat, dan met een privé omgeving. Je mailbox is wel privé. Maar de uitwisseling van mail gebeurd weer via die 'publieke' straat (en om in termen van de briefpost te blijven: zonder envelop of enige andere vorm van afscherming). Kortom: encryptie is de 'afscherming' van je email. En dan zou je een justitiële of rechterlijke toetsing verwachten, om die envelop open te maken. Alleen, bij goede encryptie lukt dat niet (of niet snel genoeg vs. de kosten/tijd). De eigenaar hoeft niet mee te werken aan zijn/haar veroordeling, hier heb je dus een spanningsveld.

Ik zou best wel eens diepste artikel willen zien (tweakers i.c.m. een jurist) wat de achtergronden eens goed toelicht. Als je dit overlaat aan de overheid, dan heb je kans dat de uitkomst anders is dan wat het publiek zelf liever zou willen. De overheid moet wel middelen houden om rust/stabiliteit te garanderen. Achterdocht van de burger naar de overheid (soms terecht) maakt die taak lastig/onmogelijk. En de onmogelijkheid encryptie te doorbreken kan indirect een vrijbrief voor criminelen vormen (maar vormt w.s. pas een probleem voor de burger als ze zelf slachtoffer zijn).

[BadRespawn]

De reacties gaan zoals gebruikelijk dezelfde kant op, maar wat ik me afvraag: een diender die op straat rondloopt, doet aan ongerichte surveillance.

Is ongericht aftappen niet te vergelijken met surveillance?

Nee, het verschil zit 'm er in dat een agent op straat niet de details of communicaties nagaat van individuen die zich in de omgeving ophouden - niet gericht noch ongericht. Met aftappen gebeurt dat wel - ook indien ongericht: er wordt dan toch iemand getapt.

Tappen is meer dan "aanwezig zijn".
Ongericht tappen komt overeen met een agent die random mensen aanhoudt en om hun papieren vraagt.

[Reactie gewijzigd door BadRespawn op 3 augustus 2024 23:45]

[kdekker]

Je begrijpt dat ik een metafoor hanteerde. Op internet is alles data, en fysieke aanwezigheid kan bijna alleen door aftappen van berichten of infiltreren in een community. Veel andere mogelijkheden zijn er volgens mij niet. Aftappen is dan wellicht de weg van de minste weerstand (qua kosten/mankracht).

[BadRespawn]

Op internet is alles data, en fysieke aanwezigheid kan bijna alleen door aftappen van berichten of infiltreren in een community.

Precies waarom "ongerichte surveillance" op internet niet mogelijk is.

[kdekker]

Maar er is wel iets nodig om criminelen te vinden. Die zijn er ook. En daar kan de echte wereld ook heel serieus last van hebben. Dat hoeft niet eens altijd terrorisme te zijn, maar identiteitsfraude, bankfraude etc kunnen ook heel vervelende gevolgen hebben. Vandaar - in mijn eerste post - de oproep om een jurist (met ICT kennis en privacy specialist) hier i.s.m. tweakers eens een artikel aan wijdt.

[BadRespawn]

Maar er is wel iets nodig om criminelen te vinden.

Daartoe is is niet een 'pre-crime' crime benadering nodig - net zo min als offline, waar we boeven vinden nadat ze iets fout hebben gedaan, ipv iedereen te monitoren just in case iemand iets fout gaat doen.

[kdekker]

Ik denk dat zonder/onvoldoende zoekmiddelen dat 'vinden' erg lastig wordt. En gezien de aard van de mensheid, lijkt me een pre-crime benaderingen ook verdedigbaar. Ik hoor alleen van jou weinig alternatieven. Alleen afschieten van dingen. Dat schiet niet echt op.

[BadRespawn]

Ik hoor alleen van jou weinig alternatieven.

Het alternatief is geïmpliceerd in wat ik zei, maar jij vindt dat alternatief niet goed genoeg.

[themac1983]

En vervolgens vinden ze het raar dat iedereen massaal overstapt naar sterke encryptie, anonieme sim kaarten wil, en producten als TOR gebruikt om toch nog een BEETJE privacy te hebben. Dat zijn dan de mensen die het fout doen en terrorisme in de hand werken....