Europarlement wil bescherming tegen backdoors in encryptie

Het Europees Parlement heeft het voorstel van de nieuwe ePrivacy-richtlijn voorzien van een aantal amendementen die ervoor moeten zorgen dat communicatie wordt beschermd. Zo wil het Europarlement het gebruik van end-to-endencryptie verplichten en backdoors verbieden.

De LIBE-commissie van het Europarlement heeft het voorstel in kwestie vorige week ingediend. Daarin worden enkele amendementen genoemd die tot betere bescherming van communicatie moeten leiden. Zo vermeldt amendement 116 bijvoorbeeld dat aanbieders van elektronische communicatiediensten moeten zorgen voor maatregelen tegen onbevoegde toegang tot communicatie. Een mogelijke maatregel is end-to-endencryptie. Daarnaast beschrijft het amendement een verbod op het ontsleutelen, reverse engineeren, of in de gaten houden van versleutelde communicatie.

Een derde eis is dat lidstaten aanbieders van communicatiediensten geen verplichting opleggen die tot gevolg heeft dat de beveiliging en encryptie van hun netwerken of diensten worden verzwakt. Een advocaat legde eerder aan Bloomberg uit dat het LIBE-document veel invloed kan hebben, omdat het de onderhandelingspositie van het Europarlement vastlegt. De Raad komt later met een eigen voorstel, waarin waarschijnlijk een gematigder standpunt wordt ingenomen. Hij legt aan het persbureau uit dat de positie van het Europarlement overeenkomt met die van de Artikel 29-werkgroep, waarin alle EU-privacywaakhonden zijn verenigd.

Het voorstel vraagt ook om betere bescherming tegen wifi- en bluetooth-tracking, iets waarover de werkgroep al eerder zijn zorgen had geuit. De regelgeving in kwestie is de ePrivacy-verordening, die een nieuwe verzameling regels op Europees niveau introduceert. De regels met betrekking tot browserinstellingen die cookiemuren moeten vervangen, maken eveneens deel uit van de wetgeving. De verordening moet de huidige ePrivacy-richtlijn vervangen om de regels in overeenstemming te brengen met de Algemene Verordening Gegevensbescherming, die in 2018 van kracht wordt.

Reacties (75)

In het kort samengevat heeft de Commissie een voorstel gedaan http://www.ipex.eu/IPEXL-...&number=10&extension=null
ter vervanging van de Directive die vandaag van kracht is.
http://eur-lex.europa.eu/...T/?uri=celex%3A32002L0058

Op dit voorstel heeft het Parlement nu amendementen ingediend in de LIBE Commissie vergadering.
http://www.europarl.europa.eu/committees/nl/libe/home.html. Ambtenaren van het EP verzamelen de amendementsvoorstellen van de parlementsleden. Over elk amendement wordt vervolgens gestemd in de plenaire vergadering. De finale tekst wordt vervolgens aan de Raad voorgelegd waar de lidstaten hun finale zeg krijgen over de tekst en of de regels effectief geïmplementeerd worden.

Goeie blog van mux trouwens.

Het verbaast mij ook nogal, na al die oproepen van overheidsinstanties om toegang te krijgen tot de inhoud van diensten als Whatsapp, of snap ik het niet goed?

Dit komt vanuit het Europees Parlement, niet de Commissie. Groot verschil.

Inderdaad. De commissie is niet democratisch gekozen (indirect via regeringen die meestal ook weer indirect benoemd zijn) en bestaat gewoonlijk uit oud politici die doen waar ze zin in hebben. Het EP heeft een keer een commissie naar huis gestuurd maar sindsdien weer braaf gedaan wat ze wilden.

De Commissie wordt gekozen door het Europees parlement. De voorzitter van de EC is de partijleider van de grootste fractie in het EP. En alle leden van de EC moeten worden goedgekeurd door het EP op voordracht van de EC voorzitter. Daarbij is het wel zo dat elke lidstaat vertegenwoordigd moet zijn.

Dat is dus ongeveer gelijk aan hoe het er in Nederland aan toegaat. Het volk kiest een parlement, en daaruit komt, via een coalitie, een premier voort. Die premier zoekt vervolgens zijn ministers bij elkaar en vraagt goedkeuring aan het parlement.

Dus ik zie niet in wat hier ondemocratisch aan is?

De Europese Commissie kan niet zomaar doen wat ze willen. Niet alleen hebben ze daar de macht niet voor, ze kunnen ook alleen maar uitvoeren wat de Raad en het Parlement willen. Zonder hun toestemming bereikt de EC vrij weinig. De Raad en Parlement kiezen de richting, de EC voert uit.

Als ik me niet vergis kan het Parlement geen wetgeving maken, ze hebben alleen een adviserende en veto-functie. Een beetje zoals de 1e kamer hier. Dat is jammer, want alleen het Parlement kiezen we direct.

De Commissie komt met voorstellen voor wetgeving. Daarin worden ze gestuurd door de Raad van de Europese Unie (ministers van EU landen), maar die schrijven zelf ook geen wetgeving.

Van de Commissie is alleen de voorzitter verkozen door de Europese Raad (premiers van EU landen) en goedgekeurd door het Parlement, de andere commissaren kiest de voorzitter uit een selectie die door de Europese Raad wordt aangedragen; daarna is de Commissie in de praktijk onaantastbaar. Erg complex en indirect allemaal.

In de praktijk is het inderdaad de Commissie die de wetgeving schrijft, net zoals het in Nederland ook de rijksambtenaren zijn die vrijwel alle wetgeving schrijven. Het is vrij uitzonderlijk dat een Tweede Kamerlid een wet maakt. Dat maakt ook verder niet uit (dat soort dingen kun je beter aan specialisten overlaten) omdat het door de Raad en het Parlement goedgekeurd moet worden voordat het ingevoerd kan worden. De Commissie heeft die bevoegdheid niet.

In de praktijk zie je dus dat de hoofdlijnen (in deze richting willen we, dit zijn de prioriteiten, deze dingen moeten we daarbij in aandacht houden etc.) bepaald worden door de Raad en het Parlement. De Commissie gaat vervolgens aan de slag om te kijken hoe dat praktisch gezien geïmplementeerd of bereikt kan worden. Als de Commissie het vertrouwen verliest dan kan ze naar huis gestuurd worden door het Parlement.

In theorie kan het Parlement alleen de hele Commissie goedkeuren, afkeuren of het vertrouwen er in opzeggen. In de praktijk kan het Parlement duidelijk maken dat ze het geen vertrouwen hebben in één lid van de Commissie en is het dan aan de Commissie om dat ene lid te vervangen of in z'n geheel op te stappen of niet aangenomen te worden.

Het werkt allemaal iets complexer dan op Nederlands niveau omdat je op nationaal niveau maar één Parlement hebt om rekening mee te houden terwijl je op Europees niveau er zowel een Europees Parlement is als de 28 nationale Parlementen die er allemaal iets over te zeggen hebben. Het kan versimpeld worden maar daar zitten de 28 nationale Parlementen niet op te wachten dus die zullen dat altijd proberen tegen te houden.

In theorie is er geen verschil tussen theorie en praktijk. In de praktijk wel.

De commissie is wel democratisch verkozen. Ze is gestemd door het Europees Parlement (na hoorzittingen). Iedereen heeft stemrecht bij de Europese verkiezingen.

EU-commissarissen zijn geen oud-politici, maar politici. Hun functie is nog steeds politiek.

maatregelen tegen onbevoegde toegang tot communicatie

Daar zal het wel om gaan. En overheden vinden zichzelf meestal bevoegd

Maar er staat ook:

Een derde eis is dat lidstaten aanbieders van communicatiediensten geen verplichting opleggen die tot gevolg heeft dat de beveiliging en encryptie van hun netwerken of diensten worden verzwakt

Dit betekent dus ook dat overheden van lidstaten geen backdoors mogen vragen aan communicatiediensten.

vragen en deals sluiten hierom mag wel, verplichten niet

Met de kennis in het achterhoofd dat dit soort deals (zeker vandaag de dag) nog wel eens willen uitlekken zal er als het goed is wel voor zorgen dat een beetje bedrijf het wel uit zijn hoofd zal laten om zo'n deal te sluiten

Al helemaal als er geen wettelijke basis is voor zo'n deal. Sowieso, is zo'n deal niet tegen privacywetgeving als er geen wettelijke plicht bestaat?

[Reactie gewijzigd door Glashelder op 19 juni 2017 11:19]

Het is onwijs naïef van me, maar de overheid wordt in EU landen normaal gesproken gecontroleerd door de rechterlijke macht.

Voorst heb je als burger een relatief goede kans jezelf tegen diezelfde overheid te verweren moest de overheid onterecht zichzelf toegang tot communicatie hebben verschaft.

In veel EU landen zijn daar duidelijke wetten voor. Die zijn meestal redelijk.

Uiteraard is de grote uitzondering in deze het VK. Maarja. Die willen toch uit de EU en ik zie dus niet in waarom de EC zich moet bekommeren om wat het VK wil.

Dit zijn de bevindingen van een werkgroep en als ik het goed lees zijn het aanbevelingen. In verschillende deelstaten zijn er inderdaad regelmatig geluiden om backdoors juist wel mogelijk te maken. Het lijkt me daarom ook onwaarschijnlijk dat het advies letterlijk wordt overgenomen als er daadwerkelijke afspraken gemaakt moeten worden.

Dit komt van de LIBE-commisie. "De commissie heeft als taak de burgerrechten, mensenrechten en grondrechten binnen de Unie te beschermen."
Dus volkomen logisch dat zij met deze aanbeveling komen. Dat wil niet zeggen dat deze ook zo uitgevoerd wordt. Dit gaat nu de politiek molen in waar het tegen allerlei andere belangen en principes moet worden afgewogen.
Het is dus afwachten wat er van overblijft.

Het Europees Parlement is geen overheidsinstantie maar zijn onze volksvertegenwoordigers.

De EU is op dit niveau vrij progressief maar ook vrij tandeloos. Het is meer een aanbeveling. Nu moet er een meerderheid voor worden gevonden. En NL is zijn vriendje UK kwijt. Dus als Duitsland/Frankrijk het niet willen of de oost-Europeanen. Dan gebeurt het niet.

Zie net-neutraliteit of roaming (afgezwakt voorstel is nu van kracht).

De UK is steevast tegen privacy en encryptie geweest, en voor belastingsontwijking (samen met NL) en tegen verder EU-samenwerking, of EU-defensie, of een eigen EU-belasting. In dat opzicht vind ik het prima dat de UK weggaat.
Alleen op gebied van eigen begrotingsverantwoordelijkheid was ik blij met ze, maar Macron zal daar geen rare dingen mee gaan doen.

De EU is op dit niveau vrij progressief maar ook vrij tandeloos.

De EU is zeker niet tandeloos. Nederland is al meerdere keren fiks op de vingers getikt voor het niet omzetten van verschillende EU richtlijnen in nationale wetgeving. Één van de bekendste is de bewaarplicht telecomgegevens. Onze eigen Erich Mielke wannabe Fred Teeven heeft hierbij een grote rol gespeeld.

En NL is zijn vriendje UK kwijt. Dus als Duitsland/Frankrijk het niet willen of de oost-Europeanen. Dan gebeurt het niet.

NL is inderdaad zijn ANTI privacy vriendje GB kwijt (wat dat betreft: opgeruimt staat netjes). Wat als powerhouse overblijft in het politieke landschap zijn Duitsland en Frankrijk.

Duitsland is wat betreft privacy wetgeving juist zeer progressief en strikt. Ik acht de kans klein dat zij een (sterk) verzwakte variant van dit voorstel zullen dulden.

Aan de andere kanst staat Macron die specifiek heeft gezegd dat de staat de mogelijkheid moet hebben om de communicatie van terroristen op social media en instant messaging platforms in te zien.

Wat een logische voorstellen ineens. Is er daar iemand aan het werk gegaan met verstand van zaken, of wat?

Het is vooral een voorstel van het Europarlement, heel kort door de bocht de 2e kamer van de EU. Zij komen vaker met interessante/ambitieuze voorstellen maar het parlement heeft weinig macht, het is vooral interessant wat de commissie en de lidstaten hiermee willen.

In de praktijk worden de voorstellen van het parlement eerst flink verwaterd en afgezwakt door lobbies van het bedrijfsleven en de lidstaten voor ze überhaupt worden overwogen.

Met andere woorden, eerst veel te hoog schieten, en dan na wat handjeklap uitkomen op een voorstel waar je eigenlijk op terecht wou komen?

Hangt er vanaf wie je bent. Ik als burger wil de niet afgezwakte variant aangenomen hebben (dus zonder handjeklap). Echter heb je als burger weinig invloed op de europeese commisie (alleen indirect) die dus de uiteindelijke wetgeving voorstelt en spelen lobbies, politieke spelletjes en beloftes op andere dossiers onderling een veel grotere rol dan in een democatie gewenst zou zijn.

Ik denk dat er gewoon eens iemand naar een lobbyist van een aanbieder van encrypted communicatiion heeft geluisterd en dat min of meer heeft overgenomen.

Als er iemand werkelijk verstand van zake had gehad, hadden ze ook de tracking van individuele apps meegenomen. Zodra je een app toestaat je locatiegegevens te gebruiken mogen ze je in principe al 24/7 volgen. Als je een Android telefoon met een Google account hebt, wordt dat zelfs al standaard gedaan! Als je toestaat om je microfoon te gebruiken kan men je in theorie ook gewoon 24/7 afluisteren. De toestemmingen zijn niet gebonden aan het doel van de app zelf.
De "slimme luidsprekers" zijn eigenlijk gewoon microfoons die de hele dag meeluisteren. Ze komen pas in actie als je het "magic word" roept, maar wie weet wat er de rest van de dag gedaan wordt met wat via de microfoon te horen is?

Zolang de toestemmingen voor het gebruik van app's zo algemeen zijn, is wifi tracking en een backdoor op encrypted communication zelfs overbodig.

Nee, hoor, dat is niet opeens. Er worden al decennialang logische en nuttige zaken gedaan op dat niveau, maar de meeste halen de media niet. Het is leuker om heel veel nadruk op de minder goede dingen van de EU te leggen, daar verkoop je nl. meer kranten mee....

Hmmm. Het verbieden van backdoors moet je als volgt lezen: "Wij willen niet dat Amerikaanse, Chineze of Russische overheden backdoors kennen in apps ontwikkelt in hun land die door onze burgers gebruikt worden, die wij niet kennen".

Dit kán ook meespelen natuurlijk

[Reactie gewijzigd door phamoen op 19 juni 2017 10:52]

True, ik lees het allemaal met een enorme korrel zout en moet het allemaal nog zien voordat ik het geloof, maar het klinkt alsof ze het licht hebben gezien.

Ik zal het genuanceerder stellen. Het is een logische positie om in te nemen als EU als je haar positie in de wereld in je achterhoofd houdt. Eerder pragmatisme dan het licht gezien als je het mij vraagt in ieder geval.

Ik dacht exact hetzelfde bij het lezen van dit artikel.

Alsof daar in de praktijk nog iets zal van overblijven
Zoals gewoonlijk veel duur geblaat zonder enig resultaat.

Het Europarlement is altijd erg pro-privacy en pro-consument. Wie ook maar een beetje aandacht voor Europese politiek heeft weet dat wel

Zo wil het Europarlement het gebruik van end-to-endencryptie verplichten en backdoors verbieden.

Wauw, dat ik een uitspraak als deze nog mag meemaken. Ik had echt verwacht dat het alleen nog maar bergafwaarts ging, maar als ze het nu echt zo willen gaan vastleggen, dan ligt het ook wel echt vast, toch? Of zijn er dan weer juridische mogelijkheden om hier onderuit te komen?

Komt er toch niet doorheen, of met allerlei moeilijk geschreven richtlijnen die de boel weer wagenwijd openzetten.
Want is een gevonden bug waarmee je het systeem binnen kan komen een backdoor? Dat wordt het namelijk wel als niemand er iets van zegt en je het gaat gebruiken voor je eigen gewin.
En kan ik, als dat naar buiten komt, dan de leverancier van het product schuldig bevinden omdat hij een backdoor, al dan niet onbewust, had ingebouwd?

En al die amendementen die het lastig maken worden weer via de lokale regeringen ingebracht. Als je dit soort dingen goed wilt regelen moet er gewoon meer EU komen die naar het belang van de EU als geheel kijkt. Nu wordt er nog veel te veel naar lokale belangen gekeken waardoor je vaak gedrochten van regelgeving krijgt. En ja, meer EU kan betekenen dat iets wel eens negatief uitpakt voor een bepaalde regio, maar andere dingen kunnen weer positief uitpakken. Uiteindelijk moet het er om gaan dat we als gehele EU beter worden.

Het Europees Parlement heeft wel vaker verstandige dingen hoor, maar vergeet niet dat de lidstaten en de Europese Commissie hier uiteindelijk meer over te zeggen hebben. En vooral de lidstaten liggen vaak dwars bij dit soort zaken, denk maar aan de Europese netneutraliteit.

De kans dat het verbieden van lidstaten om te vragen om het inbouwen van een backdoor heeft weinig kans om door de Europese commissie redte worden overgenomen. Ik ben bang dat er veel landen zijn die hier niet mee eens zijn. Over het standaard inbouwen van een backdoor op verzoek van Europa staat overigens niets vermeld. Mogelijk is dat het addertje onder het gras.

Het voorstel voor betere regelgeving omtrent wifi en bluetooth tracking is zo natuurlijk een wassen neus.
Ten eerste staat er verder geen enkel voorstel in hoe de regelgeving moet worden verbeterd. Het laat ook nog veel gaten open. Tracken via de gsm masten staat er niet bij, Apps kunnen ook nog steeds vragen om je locatiegegevens te gebruiken. Als je dat toestaat, is men ook vrij om je 24/7 te volgen, ook wanneer de app niet zichtbaar actief is). Men kan de techniek beter achterwege laten en er "personal tracking of tracking van personal devices" van maken.

Het is helaas een nutteloos besluit.

Bedrijven die encryptie mogelijk maken opereren wereldwijd. Fijn dat Europese overheden geen verplichtingen meer mogen stellen aan deze bedrijven. Maar buiten Europa lachen ze zich kapot en verplichten de overheden deze bedrijven om backdoors toe te passen. Met name de VS is daar goed in.

En dan kunnen we in de toekomst binnen Europa een eigen encryptie systeem hebben, de encryptie die wereldwijd gebruikt wordt blijft toch de standaard.

Tenzij die bedrijven zich dan gaan vestigen in Europa en ze volledig de europese wetgeving hebben. De enige die backdoors wilt zijn de veiligheidsdiensten. Bedrijven willen dit voorkomen als dit mogelijk is.

Vaak kunnen overheden toch wel druk uitoefenen op het bedrijfsleven om hun software aan hun eisen te laten voldoen.

Zo heeft China (ironisch genoeg) zich hardgemaakt om privacy-gevoelige delen uit Windows 10 te laten aanpassen.
http://computerworld.nl/s...dan-de-chinese-windows-10

Dit gaat nog leuk worden tegen de VS en VK...die willen juist de backdoors er in hebben

Ik ben benieuwd of het ook bedrijven aan gaat trekken die liever de bescherming genieten. Uitgaande dat ze dit uberhaupt uitvoeren uiteraard

Geen backdoors is wellicht een geweldig competitief voordeel voor de Europese bedrijven. Ik hoop dat onze economie aan de goeie kant van de backdoordiscussies belandt.

"Zo wil het Europarlement het gebruik van end-to-endencryptie verplichten en backdoors verbieden."

Is daarmee alle bewijs verkregen via een achterdeurje niet toelaatbaar in de rechtbank?
Of is alleen het bedrijf dat toch een achterdeurtje (onder dwang) in de software bouwt fout bezig?

Dat weet ik niet, maar al is de end-to-end communicatie dichtgetimmerd (zowel technisch als juridisch). Dan is het nog niet zeker dat overheden niet iets op je device mogen zetten om alsnog bijv je toetsaanslagen te monitoren...

Les 1 van surveillance: Zorg ervoor dat je weet wie met wie communiceert (en hoe). Wat ze uitwisselen is minder belangrijk. Met deze info kan je al een netwerk in kaart brengen.
Daarna kan je altijd nog gerichter te werk gaan. (Al dat visnetten zou niet zo nodig moeten zijn, is in mijn optiek ook een soort van "omdat het kan")

Precies, en encryptie kan garanderen dat je weet wie met wie communiceert. I.p.v. dat door middel van een MiTM het mogelijk is dat A met C, C met B, B met C en C met A communiceert. En dat in plaats van A met B en B met A. Encrypteer de boel tussen A en B, en het is al véél, véél moeilijker voor C om dat geintje met A en B uit te halen.

Dat dat véél, véél moeilijk is, maakt het voor de netwerkbeveiliger véél, véél makkelijker. Plots hoeft hij enkel nog de endpoints A en B te overtuigen zich te beveiligen. En niet langer, of nauwelijks, het netwerk zelf.

Slechte netwerkbeveiligers willen geen encryptie tussen A en B, om zo A en B te kunnen afluisteren. Ze krijgen daar een gevoel van schijnveiligheid van. Maar dat zijn dus slechte netwerkbeveiligers. De goeie netwerkbeveiligers, die maken het onmogelijk voor A en B om zonder encryptie te kunnen communiceren. Zo houden ze die C buiten de communicatie. Het is namelijk die C die het gevaar vormt. Niet wat A en B tegen elkaar vertellen (niet als A en B elkaar vertrouwen).

Daarnaast beschrijft het amendement een verbod op het ontsleutelen, reverse engineeren, of in de gaten houden van versleutelde communicatie.

Als dit nog wel gedaan mag worden voor onderzoeksdoeleinden om daarmee beveiligingssystemen te verbeteren op een manier die academisch en ethisch verantwoord is, dan is dit een goed voorstel.

Zo wil het Europarlement het gebruik van end-to-endencryptie verplichten en backdoors verbieden.

(...)

Een derde eis is dat lidstaten aanbieders van communicatiediensten geen verplichting opleggen die tot gevolg heeft dat de beveiliging en encryptie van hun netwerken of diensten worden verzwakt.

Dit zijn de zware delen van het voorstel, en hier zullen overheden veel tegen gaan stribbelen. Het is maar goed dat Airstrip One het Verenigd Koninkrijk (decryptiebevel) opstapt, anders is het echt niet haalbaar.

[Reactie gewijzigd door The Zep Man op 19 juni 2017 10:38]

Het verbod op reverse-engineering vind ik dan weer een beetje vreemd..

Encryptie is juist zo sterk doordat het door onderzoekers op alle mogelijke manieren aangevallen wordt, de zogenaamde peer review. Daarom worden door nieuwe inzichten ook steeds encryptie algoritmes niet meer veilig verklaard.

Ook het verbod op in de gaten houden snap ik niet helemaal. Als de encryptie goed is maakt dat helemaal niets uit. Dan kan je loggen wat je wil. Waarom verbieden? Het loggen maakt juist dat je kan controleren of de encryptie wel goed werkt.

Dat ze willen verbieden dat er backdoors ingevoerd worden: Prima. Perfect. Maar een verbod op ontsleutelen en reverse-engineeren komt de veiligheid juist niet ten goede.

Waar ik een beetje bang voor ben is dat alle discussie op het gebied van encryptie methoden op die manier verstomt omdat het mogelijk illegaal zou zijn. Hierdoor moet je de producenten van software slechts op hun blauwe ogen geloven dat het veilig is, en dat is in heel veel gevallen natuurlijk niet juist gebleken.

[Reactie gewijzigd door GekkePrutser op 19 juni 2017 14:16]

Feit is wel dat machtige landen zoals Frankrijk en Duitsland de mogelijkheid willen hebben om alle versleutelde communicatie te kunnen lezen.

Ik denk dat de macht van deze landen toch veel groter is dan het Europarlement van ja-knikkers. Je zal zien dat het uiteindelijk voorstel vrijwel geen waarborgen heeft en dat men toch via de achterdeur (letterlijk en figuurlijk) de communicatie wil lezen.