Minister Grapperhaus pleit bij Europese Unie voor achterdeur in encryptie

De Nederlandse minister Ferd Grapperhaus van Veiligheid pleit opnieuw voor een achterdeur in versleutelde software en diensten. Hij roept de EU op een wet aan te nemen die zo'n achterdeur mogelijk maakt. Eerder zei Grapperhaus dat dat niet het Nederlandse kabinetsstandpunt is.

Grapperhaus deed zijn uitspraak tegen Politico. De minister van Justitie en Veiligheid roept EU-lidstaten op om harder op te treden tegen online kindermisbruik door opsporingsdiensten meer toegang te geven tot data die door techbedrijven wordt verzameld. Het gaat daarbij ook om versleutelde data. Grapperhaus noemt de term 'achterdeur' niet, maar zegt wel dat het 'onmogelijk zou moeten zijn om encryptie te gebruiken om kinderporno uit te wisselen'.

Grapperhaus wil dat landen daarvoor een Europese wet aannemen. Die moet techbedrijven dwingen om bewijs aan te leveren over kindermisbruiknetwerken als politiediensten daarom vragen. "Internetbedrijven hebben laten zien dat ze welwillend meewerken. Ze hebben gedragscodes opgesteld en gezegd dat ze kinderporno zo snel mogelijk offline halen", zegt Grapperhaus tegen Politico. Hij wil dat ook kleinere platforms aan dergelijke regels voldoen. "Er zijn ook kleine partijen met slechte intenties. Die kun je niet dwingen om vrijwillige inzet te respecteren."

Het is niet de eerste keer dat Grapperhaus publiekelijk pleit voor zwakkere encryptie om kindermisbruik tegen te gaan. Vorige maand wilde de minister ook al een achterdeur in encryptie, al leek het toen meer te gaan om een vluchtige uitspraak tegen Nieuwsuur dan om echt beleid. Zwakke encryptie lijkt haaks te staan op het officiële kabinetsstandpunt dat sterke versleuteling essentieel is voor de vrijheid op internet. Na zijn uitspraken antwoordde Grapperhaus op Kamervragen dat hij 'ondanks zijn zorgen toch het kabinetsstandpunt handhaaft'.

Die Kamervragen gingen over een gesprek dat Grapperhaus deze week had. De minister was in Washington D.C. om met zijn Amerikaanse collega William Barr te spreken over uitgerekend dit onderwerp. Barr is zelf een fel voorstander van encryptieachterdeurtjes. Ook andere partijen zoals Interpol pleiten inmiddels voor een achterdeur. D66-Kamerlid Kees Verhoeven heeft nieuwe vragen gesteld.

Reacties (396)

[mg794613]

Ik zal mijn uitspraak van een jaar geleden nog even herhalen.
En al helemaal omdat ik 0 effort gezien in daadwerkelijk hulp voor slachtoffers (zodat je een beetje weet hoe veel ze achter hun eigen standpunt staan):

Ik ga een niet heel erg populaire mening uiten.
Full disclosure: Ik ben zelf slachtoffer geweest van misbruik.

Dat kinderporno moet verdwijnen zijn we het gelukkig allemaal over eens!

Echter is het niet het materiaal dat al bestaat dat doet lijden.
Meestal zit de foute factor gewoon in de familie zelf.
Ook is het zo dat al die viespeuken, lang en breed vertrokken zijn naar gencrypte platformen.

Dat betekend dat dit eigenlijk alleen symbool politiek is.

Van mij mogen diezelfde energie stoppen in het daadwerkelijk onderzoeken van zaken en zo makkelijk mogelijk maken voor kinderen om het aan te melden.

Dacht namelijk dat voorkomen altijd beter was dan effecten uitwissen , toch?

Ook zal het misschien raar uit mijn mond klinken, maar ik maak mij echt zorgen over hoe makkelijk er met de vlag gezwaaid wordt en daarmee onze rechten via een gradient langzaam worden afgepakt (eigenlijk geven we het gewoon weg, maar dat willen we nog niet toegeven).

Na voorstel X, publiek moppert. "Ja maar Terrorisme!!" hoppa, alle hersenen uit en weggeven.
Na voorstel Y, publiek moppert. "Ja maar Kinderporno!!" hoppa, alle hersenen uit en weggeven.

[Fluttershy]

Dit dus.

Kinderporno als grafisch materiaal is schadelijk en strafbaar maar bij lange na niet het primaire aspect waarom kindermisbruik aangepakt dient te worden. Want kinderporno als grafisch materiaal is simpelweg materiaal dat in het verleden is gemaakt en waarbij bij de verspreiding zelf geen fysieke misbruik meer plaats vindt. Het misbruik zelf is dan al verleden tijd en de enige waarde die kinderporno heeft in de bestrijding van kindermisbruik is het mogelijk identificeren van het slachtoffer en de dader.

De focus zou dus moeten liggen op het voorkomen van kindermisbruik in plaats van het vervolgen van verspreiding van grafisch materiaal dat is ontstaan vanuit deze kindermisbruik. Want ook kinderporno is maar een subset van kindermisbruik; hoeveel pedofielen misbruiken kinderen zonder hierbij kinderporno te produceren? Daar helpen tien 'achterdeurtjes' ook niet aan…

En als kinderporno bestrijden al zo belangrijk is, waarom dan zo'n focus op encryptie? Waarom geen focus op preventie van kindermisbruik? Verder onderzoek naar of nieuw beleid richting het verlagen van de kans op recidive? Behandeling en verder onderzoek naar nieuwe behandelmethodes voor slachtoffers?

[BarôZZa]

Omdat het natuurlijk niet om de kinderen gaat, dat moet nu toch wel duidelijk zijn.

Als je 10 jaar lang je dochters vanaf hun geboorte seksueel misbruikt dan krijg je drie jaar cel. Waarvan één voorwaardelijk. Dus eigenlijk twee jaar, waarvan je nog een derde af kan trekken. Houd je 16 maanden cel over.

Kindermisbruik en mishandeling komt enorm vaak voor en is een sociaal taboe. Wordt zwak aangepakt, kinderen worden maar uit huis geplaatst (en dan is het maar hopen dat het misbruik daar niet doorgaat) en daders krijgen een lichte straf. Daarna hoor je er niks meer over. Dat komt zelden in het nieuws, alleen als het hele schrijnende zaken zijn. Het zijn meestal geen onbekenden die je kind misbruiken, maar het gros gebeurt in huiselijke/familiekring. Veel mensen zullen wel verhalen gehoord hebben over een bekende met wie het allemaal niet goed liep in de jeugd.

Kinderporno staat wat verder van de mensen af en jaagt meer angst aan. Het komt ook veel minder vaak voor. Het is een beproefd onderwerp om in te zetten voor politiek gewin. Omdat het zo verwerpelijk is, is het makkelijk om in te zetten om iets wat op zichzelf verwerpelijk is in te voeren. Het wint van alles. Achterdeurtjes zijn erg, maar kinderporno is erger, dus dan kiezen mensen voor achterdeurtjes.

[Reactie gewijzigd door BarôZZa op 23 juli 2024 16:31]

[remotica]

Er is wel een mogelijk valide argument waarom je zoveel nadruk op het bestrijden van het verspreiden van kinderporno zou willen leggen: dat het zien van dergelijk materiaal de neiging vergroot naar het zien van nog meer, en zo indirect het produceren van nieuw materiaal stimuleert.

Niet dat ik het eens ben met het aanbrengen van achterdeurtjes. BTW.

[BarôZZa]

Ik vind dat een beetje het kip-ei verhaal. Als ik gay-porn ga kijken, wil krijg ik dan de neiging om homoseksuele handelingen te verrichten? Of zat dat er altijd al in? En hoe groot is die kans dat je daar naar gaat handelen? Is dat 50%? Of gebeurt het in 0.1% van de gevallen?

Maar als je het doortrekt naar de realiteit: sinds het internet is kinderporno net als alle andere vormen van content makkelijker dan ooit te verkrijgen. Volgens die logica zou kindermisbruik nu dus meer moeten voorkomen dan ooit in de geschiedenis.

Is dit zo? Kan je dat staven met cijfers? Of kwam het meer voor toen kinderen nog niet als het belangrijkste in je leven werden beschouwd (kinderarbeid is nog niet zo lang geleden hier en elders nog gebruikelijk)? Of zijn mensen met pedoseksuele gevoelens van alle tijden en grijpen ze vooral hun kans als ze ermee kunnen komen, zoals in familiekring of de kerk waarbij het niet naar buiten komt?

Begrijp me niet verkeerd, ik vind kinderporno verwerpelijk, maar dit soort zaken zijn cruciaal om de omvang te kunnen schatten en welke middelen gepast zijn om in te zetten. Het klinkt was cru om te zeggen, maar hoeveel kinderen bespaar je leed door achterdeuren in encryptie te plaatsen? Of misschien maakt het wel niks uit en is de nevenschade veel groter?

Alsof de lui die kinderporno verspreiden ook ineens voor de brakke encryptiemethoden gaan kiezen.

[Reactie gewijzigd door BarôZZa op 23 juli 2024 16:31]

[InductiePlaat]

Wat Putin betreft wordt gay-porn gelijk gesteld aan kinderporno.
Achterdeur in encryptie geeft dan gelijk aan hoe kwetsbaar onschuldige mensen worden in staten waar er een andere mening op na gehouden wordt.

[Jerie]

Maar als je het doortrekt naar de realiteit: sinds het internet is kinderporno net als alle andere vormen van content makkelijker dan ooit te verkrijgen.

Mwah, door internet kunnen 0etjes en 1tjes goedkoop en snel worden verplaatst maar zo vaak kom je het niet tegen als je op Tweakers.net of Nu.nl zit. Je moet er daadwerkelijk actief naar op zoek gaan. Op clearnet zul je niet het niet zo 1, 2, 3 tegenkomen, en zelfs op darknet niet. Want darknet content aanbieders willen er niet mee geassocieerd worden.

Je bespaard met deze maatregel geen leed. Meer mensen aannemen bij Bureau Jeugdzorg om voor goede begeleiding te zorgen en klachten serieus te nemen, daar bespaar je leed mee.

[BarôZZa]

Mwah, door internet kunnen 0etjes en 1tjes goedkoop en snel worden verplaatst maar zo vaak kom je het niet tegen als je op Tweakers.net of Nu.nl zit. Je moet er daadwerkelijk actief naar op zoek gaan. Op clearnet zul je niet het niet zo 1, 2, 3 tegenkomen, en zelfs op darknet niet. Want darknet content aanbieders willen er niet mee geassocieerd worden.

Maar je moet het vergelijken met de periode voor het internet. Hoeveel moeite moest het hebben gekost voor die mensen om elkaar te vinden? Toen kon je dat niet vanuit huis doen, dan moest je wel in hele schimmige rosse buurten gaan hangen. Naast het feit dat het destijds een investering vereiste van (video)camera's en videorecorders om het fysiek beschikbaar te maken. Nu heeft iedereen een 4K video recorder in z'n broekzak.

[Jerie]

Weet niet specifiek kindermisbruik maar seksueel misbruik in algemeen heb ik juist het idee dat dit makkelijker exposed is tegenwoordig. Het voorbeeld van katholieke kerk inderdaad (vroeger kwam men, net als in tijden van oorlog, weg met bijv zedenmisdrijven), maar ook is het gewoonweg makkelijker te achterhalen want men laat makkelijker sporen na. Denk ook aan dingen als #metoo. Ipv schaamte hebben als slachtoffer, kunnen ook de slachtoffers elkaar makkelijker vinden. Daardoor komt men makkelijker uit voor het misbruik, en zijn daders eenvoudiger te achterhalen. Zeker icm bijv iets als lokatiedata of andere OSINT.

[tweaknico]

Hoeveel (kinder)leed gaat er veroorzaakt worden door legaal -slechte encryptie en illegaal goede encryptie... Want de foute mensen zullen natuurlijk niet gaan afzwakken, key escrow etc.

Schijn en symbool politiek..

[bloq]

Ben het met je eens. Toch is het zo dat encryptie gewoon een wiskundige aangelegenheid is. Als er een verbod komt, dan maakt dat correct toegepaste encryptie nog steeds onleesbaar voor de overheid. Drie keer raden wat er gebeurd na een achterdeurtje: iedereen die niet de wet wilt overtreden is zn privacy verloren en iedereen die de wet wilt overtreden gebruikt een veilige encryptie.

Het is ook al jaren bekend bij de sleepnetters dat criminelen via PGP communiceren. Bij een uitgeworpen sleepnet is de enige met privacy in de hoop data met bijvangst de daadwerkelijke crimineel.

[wkb]

Of die klokkenluider op Grapperhaus' eigen ministerie?

[bloq]

Ooh die heb ik even gemist blijkbaar! Wat een grap

[TWeaKLeGeND]

Ik ben oprecht benieuwd of KP meer schade doet in de zin van zoals jij zegt dat deze mensen er juist meer meer en meer door willen en dat uiteindelijk dus schade doet door weer nieuw misbruik. Dan dat mensen zichzelf kunnen beheersen en niet zelf op pad gaan van misbruik omdat ze het al wel ziek genoeg vinden van zichzelf dat ze wat van dit foto/videomateriaal hebben en het dus daarbij laten. (lijkt mij in ieder geval geen pretje om te weten dat je een geheel verboden sexuele voorkeur hebt die naar mijn weten met zo vast zit als een homo homo is.)

[iAR]

Volgens mij zijn alleen de daders het niet eens dat misbruik, kinderporno en terrorisme uitgebannen moeten worden. Maar het is inderdaad symboolpolitiek. En wat je zegt: de hersenen gaan uit bij mensen. Dus is het een populaire uitspraak die je kan maken.
In theorie haalt het denk ik weinig uit (is daar onderzoek naar gedaan)? Maar tegelijkertijd haal je een hele andere beerput open. Als Grapperhaus namelijk via de achterdeur kan meekijken dan kunnen criminelen dat ook. Ik kan me wel wat voorbeelden indenken wat daarmee allemaal mis kan gaan.

Ik weet niet wat jou precies is overkomen maar het is ook fijn als "slachtoffers" niet blind voor dat soort ideeën gaan. Nadenken moeten we blijven doen!

[GeoBeo]

(eigenlijk geven we het gewoon weg, maar dat willen we nog niet toegeven).

Ik wil best toegeven dat we de afgelopen decennia onze rechten keihard weggegeven hebben met onzin excuses als kinderporno en terrorisme.

En dan?

Zolang er geen directe democratie bestaat kunnen we hier exact helemaal niets aan doen met z'n allen. En nee: op andere partijen stemmen helpt ook niet.

Ten eerste: alle grote partijen doen mee aan deze afbraak van rechten, nu VVD, in het verleden PvdA, CDA (Donner was echt verschrikkelijk) en D66 (afschaffen referendum). Ondertussen draait de propaganda machine gewoon lekker verder en blijft iedereen op dezelfde partijen stemmen die al 60 jaar aan de macht zijn.

Ten tweede: al zou Nederland massaal op een partij met nieuwe ideeën stemmen (gaat niet gebeuren): dan is dat veel te indirect om de tegen die tijd ingevoerde achterdeuren in software weer terug te draaien. Lost dus ook helemaal niets op.

En daarom gaat dit gewoon lekker zo door en kunnen we hier precies helemaal niets aan doen. De ergste schandalen komen naar buiten en er blijft precies helemaal niets veranderen.

Tot er weer eens een "harde reset" komt als een oorlog en/of revolutie. Voorafgegaan door dood en verderf.

[Reactie gewijzigd door GeoBeo op 23 juli 2024 16:31]

[digifan]

Grapperhaus is een gevaarlijke gek, en helaas is hij niet alleen in het parlement. Helaas hebben we heel veel gevaarlijke gekken in Nederland die bijv op de VVD en D66 blijven stemmen. Het gaat deze figuren niet om het vertegenwoordigen van het volk maar om het spekken van hun eigen zakken. Dit wordt zo'n beetje dagelijks bewezen. Geen enkele minister en zelfs deMin.Pres. neemt nog verantwoordelijkheid. Of het nu gaat om het bewust kapot maken van gezinnen (opvang en zorgkosten belasting) of het bewust toestaan van bombardementen op burgers en het verzwijgen hiervan etc.etc.

Maar zoals gezegd de meeste medelanders zijn gevaarlijke collaborateurs die niet zelf meer kunnen denken, en wss ook geen moeite hebben om de wc deur open te laten of hun huissleutel af te geven ;-)

[tweaknico]

"wc deur open te laten", of een "outhouse" zonder deur met het zicht op de openbareweg...
Waarom de huissleutel niet in een kastje naast de deur anders is het veel te lastig om als die sleutelbossen uit elkaar te houden.
Alternatief: iedereen hetzelfde slot.

[fluffy1]

Even advocaat van de duivel spelen:
Jamaar, een slot kan je altijd in noodgevallen open krijgen. Of je kan de deur intrappen of het raam ingooien.
Encryptie is nodig om de privacy te beschermen, maar we moeten ervoor zorgen dat we toch altijd binnen kunnen in noodgevallen.

Note: Ik ben het met je eens (en ik moet even mijn handen gaan wassen na dit uit te typen. Jakkes), maar dit is hoe het standpunt wordt verdedigd. En als je dit vertelt aan een gemiddelde persoon geloven ze de politieker en niet de ITer. Probeer maar eens uit te leggen hoe encryptie werkt en waarom een achterdeur een extreem slecht idee is. En dit op een manier waarop 90% van de bevolking begrijpt wat je juist gezegd hebt. Geen gemakkelijke opgave.

[RaJitsu]

Waarom is dit niet een populaire mening dan? Dit is toch, zeker in deze community, waar de meesten voor staan? Of mis ik wat?

[litebyte]

Vrijwel iedereen is tegen kinderporno, net zoals vrijwel iedereen is tegen uitbuiting van vrouwen (middels online prostitutie) etc etc etc

Grapperhaus kiest de makkelijkste 'weg' (is relatief) om te scoren (populisme) en om de mogelijkheid te krijgen voor achterdeurtjes die veel breder inzetbaar zijn.

[RaJitsu]

Ja, maar hij plaatst zijn reactie hier. Hier vinden we kinderporno en terrorismebestrijding ook belangrijk, maar is de algemene mening dat dit niet ten koste kan en hoeft te gaan van vrijheden op het digitale front.

[litebyte]

Ik denk dat als je de bevolking goed en eerlijk (en vooral begrijpelijk) uitlegt wat voor risico's eraan zitten, en je als overheid privacy werkelijk serieus neemt en op inzet - niet alleen selectief voor de buhne en als het uitkomt. De meerderheid/alg. mening er absoluut op tegen is.

[RaJitsu]

Buiten het feit dat de meerderheid toegang heeft tot alle info en het zich niet willen informeren precies is waar de crux zit, denk ik dat je vanuit de andere zijde mensen met zo goed kunt beïnvloeden door te praten over gevaar en dat binnen het kader van waarin ze toegang hebben tot je gegevens, echt heel zorgvuldig met deze verantwoordelijkheid omgaan en niets van de nadelen dus als basis voor een relevant argument dienen.

[litebyte]

Mee eens.

[MauriceEnschede]

Maar zegt wel dat het 'onmogelijk zou moeten zijn om encryptie te gebruiken om kinderporno uit te wisselen'

Dus het doel is specifiek het onmogelijk maken een middel te gebruiken voor een illegale activiteit? Kinderporno uitwisselen op andere manieren is al onmogelijk mag ik aannemen als ik dit zo hoor? Ik zou zeggen dat het belangrijker is om de illegale activiteit zelf aan te pakken. Op deze manier kan ik ook wel geniale manieren bedenken om criminaliteit in te perken.

Willen we dat er geen kinderporno meer opgenomen kan worden? Verbied camera's. Willen we dat criminelen niet meer weg kunnen rennen? Ontdoe de gehele bevolking van hun benen. Willen we dat er geen wetten meer overtreden kunnen worden? Vaag gewoon de gehele mensheid weg!

We kunnen niet de hele tijd middelen de schuld geven van de illegale activiteit. Dit is gewoonweg een slecht argument.

[crackletinned]

Het is wel een handige manier om je macht te vergroten.
Je weet dat het probleem toch wel blijft bestaan.
Wat later een reden is om je macht nog verder te vergroten.

[AEngineer]

De meeste tweakers kijken dwars door deze bullshit verhalen en zien gelijk dat dit weer een poging is om iets door te pushen waarvan ze weten dat de meeste mensen het niet mee eens zullen zijn.

Misschien is het een idee als wij als tweakers dit soort stellingen OOK verwerpen bij onze naasten(vrienden en familie) ipv alleen hier op tweakers. Door deze 'inzicht' te verspreiden kunnen we mensen alerter maken op het feit dat de politiek telkens die Kindermisbruik en Terrorisme kaart iedere keer opnieuw speelt om wetten en regels door te drukken waar gezond verstand niet bij kan.

Het is naar mijn mening de enige manier om deze onzin te laten stoppen. Hoe meer mensen deze fratsen leren herkennen hoe minder effect het zal hebben en hoe minder het uiteindelijk zal worden toegepast.

[prutser001]

Ze snappen ook niet dat als ze het doen mensen toch wel een manier vinden en het helemaal versplinterd.

Voor een aantal chat apps kun je zelfs een eigen server draaien met end to end encryptie. Riot.im werkt goed.

Het is gewoon triest dat die 'Grappenmaker' er nog zit, die man heeft daar niets te zoeken.

[tweaknico]

Het kan nog iets anders.. keybase bv.
Daar is alleen een centrale set van public keys beschikbaar.
vgl GP Keyservers alleen wat effectiever geregeld.

[MadEgg]

De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen. Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is - zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet. En dan moet de grens nog wel zo zijn dat de AIVD dat wel gericht kan doen maar niet ál het verkeer kan ontsleutelen. Dat blijft natuurlijk een moving target met technologische ontwikkelingen en mogelijk zelfs quantum computing dus eigenlijk is het ook een vrij slechte maatregel.

Backdoors werken gewoon niet, die gaan gegarandeerd uitlekken en dan ligt alles op straat.

Maar wat tegen dit alles spreekt en wat politici stelselmatig vergeten is dat als je toch al bezig bent met kinderpornonetwerken of terrorisme je willens en wetens een zwaar strafbaar feit begaat dus dat de stap om dan de wet voor zwakkere encryptie of verplichte achterdeurtjes te negeren niet zo groot meer is. En ja, die nagenoeg onkraakbare encryptiemethoden zijn gewoon opensource verkrijgbaar dus zo moeilijk gaat dat niet worden voor de enigszins georganiseerde misdaad. Het gevolg van de maatregel is daarmee dus dat je alsnog de "onschuldige burger" af gaat luisteren terwijl de echte misdaad net zo goed onder de radar blijft als nu.

[Reactie gewijzigd door MadEgg op 23 juli 2024 16:31]

[m3gA]

Iedereen met geld en toegang tot een clouddienst kan dan bruteforcen. Vooral als er een zwakheid in een algoritme ontdekt wordt.

Kinderporno en terrorisme is een drogreden. Ze willen gewoon alles kunnen bekijken.

[Tjidde]

Geld?

Als ik echt zou willen zelfs bijna gratis. Jat of koop ergens creditcard gegevens, zet een AWS of Azure service op en kan los. Het mooiste is nog ze pas naar een maand een factuur sturen.

Kinderporno en terrorisme is inderdaad een "hoofdreden" die ze opgeven maar hoeveel procent van de Nederlandse bevolking doet aan die twee dingen? Ik neem(hoop) aan het er geen miljoenen zijn. Waar zou je van 100% van de bevolking een zwakheid forceren om dit te "op te lossen" .

Stel ik ben een Harry die van kinderporno houd, wat houd mij tegen om zelf een chat te maken die 100% encrypted is zonder backdoor. En ik kan alles doen wat ik wil. Kinderporno delen terwijl ik een terroristische aanslag aan het plegen ben via een eigen chat.

[Zen1581]

Stel ik ben een Harry die van kinderporno houd, wat houd mij tegen om zelf een chat te maken die 100% encrypted is zonder backdoor. En ik kan alles doen wat ik wil. Kinderporno delen terwijl ik een terroristische aanslag aan het plegen ben via een eigen chat.

Precies, dit is het hele probleem. Criminelen staan er nou niet om bekend dat ze de wet gehoorzamen, dus waarom zouden zij zich wat aantrekken van een verbod op (waterdichte) encryptie? Met dit soort maatregelen pak je enkel de normale burger aan. De “geavanceerde” crimineel/terrorist verzint wel wat anders.

[chaoscontrol]

Geavanceerd hoeft niet eens. Er zijn terroristen geweest die een Gmail account deelde en alles opsloegen als concept/draft mail. Zo werd de mail nooit verstuurd en viel er dus ook niets af te luisteren.

[MIB75]

Dit is onzin. Een mailtje dat verstuurd wordt kan dan misschien afgeluisterd worden, een mailtje dat getypt wordt via HTTPS kan net zo goed afgeluisterd worden indien er een achterdeur is. Een mailtje dat ergens geencrypt opgeslagen wordt, kan met een achterdeur gedecrypt worden. Dat kan op een "eigen" mailserver, maar net zo goed op de mailserver van Google. Wat jij stelt is absoluut geen steekhoudend argument.

[chaoscontrol]

Ik zeg niet dat het onmogelijk is. Ik zeg dat ze veel moeite doen om mail verkeer af te luisteren en dat criminele daar een weg omheen gevonden hebben. Dat het heeft gewerkt is wel duidelijk. Zal de bron hier later even bijplakken als ik achter de PC zit.

Alles is te hacken, ook encryptie zonder backdoor. Neemt niet weg dat er toch wel wegen omheen worden gevonden.

[Micahve]

Encryptie zonder backdoor is theoretisch te hacken ja,
In de praktijk met een normale computer, of server gaat het duizenden tot miljoenen jaren duren,
Ligt aan de encryptie natuurlijk, maar een goede encryptie is niet te hacken zonder backdoor of zwakke schakel!

[GreatDictator]

Dit is onzin. Een mailtje dat verstuurd wordt kan dan misschien afgeluisterd worden, een mailtje dat getypt wordt via HTTPS kan net zo goed afgeluisterd worden indien er een achterdeur is. Een mailtje dat ergens geencrypt opgeslagen wordt, kan met een achterdeur gedecrypt worden. Dat kan op een "eigen" mailserver, maar net zo goed op de mailserver van Google. Wat jij stelt is absoluut geen steekhoudend argument.

Ik heb even geen tijd om te gaan zoeken, maar ik meen me ook te herinneren dat dit de methode was die een stel Al-Qaidatypes gebruikte om met Bin Laden te communiceren. We praten hier over het begin van de jaren 2000, inmiddels zou die truc waarschijnlijk wel niet meer werken.

[MIB75]

De truc zal best gewerkt hebben (en ik heb er ook eerder van gehoord), maar het is geen valide argument in deze discussie.

[Reactie gewijzigd door MIB75 op 23 juli 2024 16:31]

[tweaknico]

Aanslagen in Spanje enkele jaren geleden waren via een open mail dienst geregeld.
Echter zonder mail ooit te verzenden. Het is dus gedaan.
Ik denk niet dat Google een goede keus is.

[MIB75]

Mensen, goed lezen... Ik zeg niet dat het niet gedaan is, ik zeg dat het geen valide argument is in deze discussie.

[Rabb]

Maar het formulier word toch alsnog verstuurd naar de Google servers? Dat kunnen ze toch gewoon afluisteren?

[chaoscontrol]

Het gaat er om dat ze daar blijkbaar niet naar kijken omdat ze te druk waren met het afluisteren van mailverkeer.

Er worden bijvoorbeeld ook bergen met drugs verkocht via online games en hun private chats. Terwijl de politie druk bezig is met whatsapp af te luisteren, wat alleen jij en je oma gebruiken (en geen een crimineel).

[mkools24]

Precies met domme systemen vang je domme criminelen, en het kan nog erger waarbij de slimme criminelen het tegen je gebruiken.

Dus expres via Whatsapp een fake aanslag plannen omdat je weet dat dat wordt afgeluisterd. Vervolgens via en ander kanaal de echte aanslag beramen zodat je daar vrij spel hebt.

[V3LoXy]

Stel ik ben een Harry die van kinderporno houd, wat houd mij tegen om zelf een chat te maken die 100% encrypted is zonder backdoor. En ik kan alles doen wat ik wil. Kinderporno delen terwijl ik een terroristische aanslag aan het plegen ben via een eigen chat.

Het is nog makkelijker, er zijn talloze open source chat clients/servers die al veilig zijn, zonder achterdeurtjes. Deze zullen gewoon doorontwikkeld worden, ook door mensen die helemaal geen criminele achtergrond hebben.

Het probleem blijft gewoon bestaan, uiteindelijk kunnen ze iedereen afluisteren behalve de mensen die ze willen afluisteren (of ten minste de mensen die ze zeggen te willen afluisteren).

[MadEgg]

Tja, dat hangt er wel mee samen natuurlijk.

Maar laten we zeggen dat de "toegestane" encryptie zo zwaar is dat het je een paar duizend euro kost aan cloud-services om een bericht te ontsleutelen binnen laten we zeggen een dag of 2/3, dan is er een wat mij betreft acceptabele middenweg. Als je hele gesprekken wilt ontsleutelen zul je dan diep in de buidel moeten tasten dus laagdrempelig is het niet.

Maar zoals ik al zei: het is een moving target. Als er zwakheden worden ontdekt of als de CPU's of GPU's veel krachtiger worden of als er dedicated ASIC's voor een encryptie ontwikkeld worden die het snel voor elkaar krijgen dan wordt de drempel te laag en moet de wetgeving daarop aangepast worden. Erg praktisch toepasbaar is het dus sowieso niet.

[bwerg]

Als je hele gesprekken wilt ontsleutelen zul je dan diep in de buidel moeten tasten dus laagdrempelig is het niet.

Oke, dus de partij met het meeste geld kan dan encryptie kraken. Ik denk nu aan de aanpak van de drugswereld, waarin een groot probleem is dat juist de criminele wereld veel méér geld heeft dan de politie. Of aan de discussie over inmenging van andere landen (Rusland? Noord-Korea? China? zeg het maar) in verkiezingen van andere landen. Met een maatregel die feitelijk zegt dat de rijkste partij de meeste informatie krijgt, kan je je eigen glazen behoorlijk ingooien.

Daar komt nog het nadeel bij dat je encryptie eigenlijk veel sterker wil hebben dan op dit moment nodig is, omdat je niet wil dat je data over 10 jaar zo gelezen kan worden, wanneer rekenkracht weer toegenomen is. Zit je op het randje van net wel/net niet sterk genoeg, dan is de data simpelweg te zwak om ook over 10 jaar nog bescherming te bieden. We lachen allemaal als een website dingen met MD5 hasht - dat is dan precies wat je aan het doen bent. Vind je nu een 20 jaar oude database met encryptie die destijds met moeite door een inlichtingendienst gekraakt kon worden? Dan kun je die database vandaag als leesbaar beschouwen.

Dus nee, doe maar gewoon niet.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[Coolstart]

De belangrijkste nuance = ‘mass surveillance’ vs doelgerichte opsporingsmethoden.

Grapperhaus wil heel duidelijk richting grote hoeveelheden data door dat achterpoortje (dat ooit openstaat voor iedereen met macht) kunnen scannen om zo criminaliteit op te sporen.

Terwijl de wetgeving nu al perfect toelaat verdachte mensen te schaduwen, te infiltreren, in de val te lokken en gesprekken af te luisteren. (al dan niet in zijn/haar auto/huis/werk..) op zo fraude, witwaspraktijken, heling, drugstrafieken en kinderporno op te sporen.

Dit werkt perfect! kost veel geld en moeite maar net daarom ben ik als burger relatief veilig want vadertje staat gaat mij niet schaduwen als daar geen grondige reden voor is en tegelijk worden duizenden vieze IS accounts gesloten, kinderpornonetwerken en drugsbendes opgerold etc. Je kan kwaadwilligen te lijf gaan, geen nood onze basisrechten op het spel te zetten. Denk aan Snowden zou ik zeggen.

Grapperhaus draait de boel om. Iedereen is verdacht, alle verkeer wordt afgeluisterd en als er iets raars opduikt wordt de politie ingeschakeld = mass surveillance. Koppel dat aan uw online identiteit (Wees maar zeker dat een internet pasje de volgende stap is) en Grapperhaus zijn natte droom komt uit en jij komt van een koude douche terug thuis.

Ik heb een beter idee: Draai de boel gewoon om: Mss is het een idee een wet te stemmen waarbij politici alle data op hun pc en smartphone apps publiek moeten delen zodat de democratie kan nagaan wat politici allemaal uitspoken met hun mandaat. Zo roeien we eindelijk corruptie uit en garanderen we een transparante en open democratie. :-)

[Reactie gewijzigd door Coolstart op 23 juli 2024 16:31]

[lecrab]

Ik heb een beter idee: Draai de boel gewoon om: Mss is het een idee een wet te stemmen waarbij politici alle data op hun pc en smartphone apps publiek moeten delen zodat de democratie kan nagaan wat politici allemaal uitspoken met hun mandaat. Zo roeien we eindelijk corruptie uit en garanderen we een transparante en open democratie. :-)

Ha, wat zeg je nu toch weer, transparantie en open democratie, zo kunnen de zakken niet worden gevuld hoor.

[Anoniem: 85014]

Ik heb een beter idee: Draai de boel gewoon om: Mss is het een idee een wet te stemmen waarbij politici alle data op hun pc en smartphone apps publiek moeten delen zodat de democratie kan nagaan wat politici allemaal uitspoken met hun mandaat. Zo roeien we eindelijk corruptie uit en garanderen we een transparante en open democratie. :-)

Overtuig politici dat met het systeem van onveilige encryptie op korte termijn (= gedurende hun legislatuur) hun geheimen ook openbaar worden.

Bv. maak een wet die de afluisterende politie en inlichtingendiensten verplicht om alle politici op die manier af te luisteren én alle duistere zaakjes openbaar moet maken. Bovendien maak je het een schandaal wanneer ze eens één keer niet het communicatiesysteem (met achterdeurtjes) dat ze zelf zo graag willen voor hun eigen communicatie gebruiken.

Bv. luister hen af met honderden burgers tegelijk, lek hun documenten, publiceer alles en duw al hun geëncrypteerd materiaal door de nodige tools die de zwakke en verplicht zwakke encryptie ongedaan maakt. Want die tools, om die zwakke encryptie te breken, gaan zowizo lekken. Dat geldt dan ook voor hun communicaties en documenten (E-mails, en zo verder). Want als iets wet is, dan mag een politicus die ook niet breken. Dus als zwakke encryptie moet gebruikt worden, dan moeten zij dat ook gebruiken: iedereen is gelijk voor de wet.

Het zal rap gedaan zijn met dit soort gekke wetten. Ze zullen rap terug serieuze encryptie willen.

[JanvD]

Dat is inderdaad een beter idee. Helaas nog steeds geen goede

[tweaknico]

Verantwoording voor gemaakte keuzen zou niet zo gek zijn idd.

[MadEgg]

Daar komt het op neer. Dat geld nu natuurlijk ook voor het slot van je voordeur. Hoe meer je eraan uitgeeft hoe lastiger het wordt, maar uiteindelijk kan het wel gekraakt worden als de inbreker maar genoeg tijd en goed genoeg gereedschap heeft.

Nogmaals: ik zie het niet als een praktische of goede oplossing, maar het is wel de enige manier waarop deze maatregel niet direct onherroepelijk tot massa-surveillance leidt. Want ook een schatrijke drugsbaron gaat geen miljoenen uitgeven om mijn versleutelde berichten te ontsleutelen. Als hij mijn privé-collectie naakfoto's wil zien stuurt hij wel iemand langs om mij een mes op de keel te drukken, dat is een stuk eenvoudiger. Hij zou het wellicht kunnen, maar dan geeft hij dat liever uit aan het ontsleutelen van de versleutelde berichten van de politie.

[bwerg]

Daar komt het op neer. Dat geld nu natuurlijk ook voor het slot van je voordeur. Hoe meer je eraan uitgeeft hoe lastiger het wordt, maar uiteindelijk kan het wel gekraakt worden als de inbreker maar genoeg tijd en goed genoeg gereedschap heeft.

Die vergelijking wordt vaak gemaakt maar is in feite erg slecht. Fysieke inbraak in woningen is niet ongemerkt op te schalen en kan moeilijk anoniem vanwege sociale controle. Nee, ik zie geen buitenlandse inlichtingendiensten fysiek en massaal bij mij in de wijk inbreken, hoe rijk ze ook moge zijn. Doen ze dat wel, dan hebben ze meteen een diplomatiek schandaal aan de broek (zie Rusland in het pollonium-gebeuren - en dat gaat dan nota bene nog om een minimale, gerichte actie).

Ik ben tevens niet bang dat een drugsbaron mij fysiek iets aandoet, ik schat de kans op misbruik van persoonsgegevens o.i.d. honderd keer hoger voor iedereen die geen gekke dingen doet.

Verder: zie mijn toevoeging waarom dit idee überhaupt niet werkt.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[mkools24]

Ik heb two-factor authentication op m'n voordeur want als je die door bent moet je nog langs de herdershond

[LordMike]

Alsof een hond wat betekent als het een doelgerichte aanval op jouw huis is. Niet bepaald moeilijker te hacken dan een goede deur.

[Micahve]

@MadEgg en @bwerg

Ten eerste een fatsoenlijke enctryptie is niet te breken met enig computer, al heb je een supercomputer tot je beschiking, als jij je berichten encrypt met duizenden tekens dan heeft de sterkste computer op aarde alsnog miljoenen jaren nodig om hem te ontsleutelen.

Dit komt door de ingewikkelde wiskunde erachter, daar gaan we het nu niet over hebben, maar de basis is:
Om encryptie te breken heb je één van deze 2 dingen nodig:

De sleutel
of Genoeg tijd om alle mogenlijkheden te proberen.
Dat laatste gaat hem niet worden, en zonder backdoor / zwakke schakel krijg je ook geen sleutel.

De enige technologie die in opkomst is die encryptie kan breken in een fatsoenlijk tijdsbestek is de quantum computer, deze heeft nog vele jaren nodig voordat die enigzins nuttig worden dus vrees niet.

Iedereen kan thuis op hun computer een bestand encrypten, zelfs zonder pc, als je maar genoeg tijd hebt en kennis.
Morse code is ook een vorm van encryptie, een simpele encryptie, maar wel encryptie.

En criminelen gebruiken nu al hun eigen chats, hun eigen webhosting en hun eigen encryptie, het enige wat je met een backdoor aanpakt is domme, kleine criminelen en de complete vernietiging van de privacy van burgers, wat tegen de grondwet is.

@MadEgg Een geld barrière creëren zodat je alleen met veel geld encryptie kan gebruiken is al helemaal een stom plan, want dat betekent dat je als burger helemaal geen veiligheid hebt, dat de encryptie die je koopt ook waardeloos is, want er zit een backdoor in.
Wat je dan veroorzaakt is dat iedereen die iets van computers weet en een beetje kennis heeft zelf gaat encrypten, je douwt dan veel meer criminelen in hun eigen hoekje van het internet en burgers gaan zelf encrypten waardoor de overheid alleen maar brave onwetende burgers vrij kan afluisteren!

Zo'n backdoor, of geld barrière heeft allebei geen zin, want het pakt alleen de mensen aan die niet het probleem zijn, het is net als het verbieden van alcohol, wat je doet is productie in de criminele sector gooien waardoor je helemaal geen controle meer hebt.
Dit is natuurlijk onhandig en totaal het tegenovergestelde van wat je probeert te bereiken,

dit geld wat aan deze nutteloze natte droom van grapperhaus wordt besteed kan veel beter besteed worden aan de politie en het oprollen van drugs bendes.

Kinderporno is slecht en smerig, maar je gaat het niet oplossen met de makers en gebruikers ervan dieper in het dark-web te duwen, dat is het tegenovergestelde effect, waardoor de politie juist minder makkelijk de bendes kan oprollen!

[bwerg]

Paar details:

De enige technologie die in opkomst is die encryptie kan breken in een fatsoenlijk tijdsbestek is de quantum computer, deze heeft nog vele jaren nodig voordat die enigzins nuttig worden dus vrees niet.

Er wordt nu al overgeschakeld op encryptiestandaarden die bestendig zijn tegen quantumalgoritmes, dus nee, als je je encryptie nu goed inricht is er geen enkel uitzicht op dat dat gebroken wordt, anders dan toekomstige inzichten waar we nu geheel geen weet van hebben.

Morse code is ook een vorm van encryptie, een simpele encryptie, maar wel encryptie.

Morse code is een encoding, dat is niet hetzelfde als encryptie. Elke vorm van data heeft een bepaalde encoding, datmaakt nog niet dat alles geëncrypt is. Encryptie is, kort door de bocht, encoding met het oog op bepaalde beveiligingsdoeleinden.

[tweaknico]

Dat hangt er maar vanaf.
De Intel microcode was ook "beveiligd" en "encrypted".... maar bleek achteraf ook alleen maar encoded.
(lz compressie, alleen zonder de lookup tables).

Als je de sleutel niet weet (kan ook encoding zijn) dan heb je wel degelijk een probleem.
aes is ook alleen maar een vorm van encoding.

[bwerg]

De Intel microcode was ook "beveiligd" en "encrypted".... maar bleek achteraf ook alleen maar encoded.

Dat je in het geval van intel kan discussiëren of je het nou encryptie mag noemen of niet, doet toch niets af aan dat encryptie een specifieke vorm van encoding is?

aes is ook alleen maar een vorm van encoding.

"Alleen maar een vorm van encoding" die alleen door specifieke partijen gelezen kan worden ten behoeve van beveiliging van informatie is encryptie. Dus nee, AES is niet "gewoon" een vorm van encoding, het is heel specifieke vorm.

[tweaknico]

Als je de sleutel weet dan kan je decoderen.
Bij Morse is de sleutel gelegen in een bepaalde combinatie van kort/lang signaal.
CDR, DVD zijn ook een encoding. Maar zonder de juiste apparatuur & software is er van een CD niets meer te maken, dus encrypted info.

Oud-Egyptisch schrift of ook cuneiform was ook heel lang een "code" totdat er vertaal tabellen gevonden werden. Ook Kleitabletten zijn nu leesbaar. zelfs in verschillende talen uit verschillende regio's.
Elke vorm is specifiek voor z'n toepassing anders waren er minder varianten.

[bwerg]

Bij Morse is de sleutel gelegen in een bepaalde combinatie van kort/lang signaal.

Hier sla je echt de plank mis: wat je hier "sleutel" noemt is gewoon weten hoe de encoding zelf werkt, op dezelfde manier dat je de kennis van latijns schrift nodig hebt om te weten dat een streepje met een puntje erboven de letter "i" voorstelt. Dat je die kennis van de encoding nodig hebt is geenszins om het bruikbaar te maken voor beveiligingsdoeleinden. Bij Morse noteer je die letter niet met een puntje en een streepje maar met twee keert "kort", maar verder is er geen verschil. Die kennis is geheel niet geparametriseerd per instantie, maar is gewoon de globale werking van het coderingssysteem. Als je Morse encryptie noemt, is elke vorm van taal encryptie - want elke uiting van taal heeft een encoding, waarvan je moet weten hoe dat werkt voordat je het kan lezen. Waarmee je het woord 'encryptie' een heel andere betekenis geeft dan gangbaar.

Een cryptografische sleutel is wél geparametriseerd, waardoor een aanvaller prima mag weten hoe het systeem werkt. Om decryptie te kunnen toepassen moet hij weten welke sleutel specifiek voor die instantie gebruikt is.

Dan hebben we natuurlijk ook nog vormen van encryptie die wél gebaseerd zijn op obscurity, en die dus omvallen zodra überhaupt bekend wordt hoe ze werken, maar die worden in het algemeen toch niet serieus genomen. Maar ook daar geld dat de obscurity gericht is op beveiliging, i.t.t. iemand die geen Morse kan lezen simpelweg omdat hij niet op wikipedia de Morse-tabellen opgezocht heeft.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[tweaknico]

Caesar encryptie? of encoding.. het slechts een paar plaatsjes opschuiven van de letterreeks. (aka rot-13).
Encryptie kan ook met symbolen. Bepaald teken bij een deur.. in de trands van hier is makkelijk handel te halen vs. hier niet komen..
m.b.t. cuneiform zijn juist grote vooruitgang met her "decoderen" van he schrift gedaan via aanvalsmethoden voor encryptie..

Recente vormen van encryptie zijn zodanig ontwikkeld dat de methode bekend kan zijn en alleen een sleutel nodig is. Oudere vormen van encryptie hebben die eigenschap niet. Vrijmetselaars gebruikten een vrij omslachtige vorm van encryptie. Deels met symboll substitutie deels met translaties/rotaties.

[bwerg]

Dat is waar, maar zie mijn laatste alinea. Hoewel Caesar-encryptie erg primitief en zwak is, en nauwelijks meer beveiliging biedt dan platte tekst, was het doel wél beveiliging. De encoding is gericht op (een poging tot) onleesbaar zijn. Er is nooit een moment geweest waarop de manier van uitlezen van Morse op enige manier geheim was en het is dus simpelweg net zo min encryptie als platte Nederlandse tekst dat is.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[Jeroenneman]

Maar totaal nutteloos, want criminelen gebruiken dan andere encryptie...

Criminelen doen namelijk wel meer dingen die niet zijn toegestaan.

[RebelwaClue]

Klopt maar aangezien encryptie zonder achterdeur dan bij wet verboden is, kan je ze dus opsluiten op basis van die overtreding. Al helpt dat natuurlijk niet als daar milde straffen opstaan.

[xorpd]

Encryptie = algoritme = wiskunde. Daar kun je niet iemand voor opsluiten.

[bzzzt]

Tuurlijk wel, en daar gaan we hard naartoe als meneer Grapperhaus zijn zin krijgt:
https://arstechnica.com/t...hard-drives-loses-appeal/

[RebelwaClue]

Met die logica kunnen ze Facebook, Google, Apple etc ook niet meer aanklagen, allemaal algoritmes dus wiskunde.

[tweaknico]

Klopt want Faceboek vraagt jouw toetemming, EN dat jij toestemming hebt van iedereeen waarover je publiceerd.

Ik weet zeker dat er een persoon is die mij ooit gevraagd heeft of ik bezwaar had tegen posting op FB, waarop ik aangaf dat ik dat inderdaad had... Verder zijn er best wel foto's waar ik op zou kunnen staan op FB gezet zonder dat het mij gevraagd is.
Ook moet de eerste mij nog vragen of ik bezwaar heb dat ze zich inschrijven bij Whatsapp terwijl ik in de contacten verzameling sta... idd. ik heb bezwaar.

[MneoreJ]

Je kunt wetten uitschrijven en mensen veroordelen op basis van welke criteria dan ook, zolang er maar draagvlak voor is. Dan kun je in de rechtbank wel aanvoeren "maar het is maar wiskunde", maar het gaat niet om de theoretische onderbouwing maar om hoe de wetgevende macht jouw daden ziet en welke intentie erachter zat. Sterker nog, als je enige tegenargument is "maar dit kun je allemaal reduceren tot getalletjes en hoe kan dat nou verboden zijn" dan weet je bijna zeker dat er gehakt van je gemaakt zal worden in een rechtszaal. Als er een expert bij komt en die maakt het aannemelijk dat jij encryptie zonder achterdeur hebt toegepast, en dat is verboden, dan heb je pech, of dat nu theoretisch wiskundig hard te maken is of niet. Het enige dat dan helpt zijn dingen als steganografie en plausible deniability, m.a.w. het verbergen van het feit dat je inderdaad encryptie toepaste, niet de technische merites van de encryptie zelf.

[TWyk]

Plausible deniability is vooral een idee.
Het is vrijwel onmogelijk om op geen sporen achter te laten die er op duiden dat je verborgen activiteiten op een computer hebt ondernomen.
Sowieso worden veel kinderporno verdachten gevonden door wel gelogde activiteiten op het internet op bijvoorbeeld op in beslag genomen servers van een kinderporno netwerk..
Als je dan thuis een computer hebt waar dan weer geen enkel spoor van die activiteiten te vinden is maar wel een encyptieprogamma dat hidden partities kent dan is dat al helemaal niet meer zo plausibel.

[MneoreJ]

Makkelijk te doen is zoiets inderdaad niet, maar onmogelijk ook weer niet. Als ik dat programma vanaf een USB sleutel draai die ik ongezien strategisch in een vijver weet te deponeren voor ik gepakt word bijvoorbeeld, en de partitie verder niet zichtbaar is in de partitietabel, dan moet het al neerkomen op argumenten als "waarom is hier een stuk harde schijf schijnbaar ongebruikt en niet vol met nullen, dat zal wel versleutelde data bevatten die het daglicht niet kan verdragen, betrapt". Je komt dan al echter snel op het punt dat niet meer het zwakke vermoeden van "verboden" encryptie gebruikt wordt om me te veroordelen, maar ander, steviger bewijs waarop ik waarschijnlijk om te beginnen al gepakt ben, zoals inderdaad het bestaan van sporen elders.

Sowieso is het belangrijke punt natuurlijk dat het niet uitmaakt of iets al dan niet wiskundig onderbouwd is maar hoe aannemelijk ze de aantijgingen kunnen maken. Dat kan variëren, maar heeft met wiskunde in ieder geval niets meer te maken.

[tweaknico]

Schijf vol met nullen? dat is zo 1990.
moderne systemen zijn al encrypted, dus ergens random data aantreffen zal eerder norm dan uitzondering zijn. een schijf die helemaal vol gestaan heeft zal ook weinig nullen meer bevatten op blok niveau.

Dus iedereen kan dan veroordeeld worden op basis van volgelopen en leeg gehaalde schijven.
waarbij de encryptie onkraakbaar lijkt. (omdat die er niet is..) hoezo rechtsongelijkheid.

Daarnaast is het een beetje vreemd dat iemand aan de eigen veroordeling mee zou moeten werken, dan wel bewijs van onschuld moet leveren. Bij mijn weten moet degene die aanklaagt ook het bewijs leveren.

Of zitten we weer te wachten op een instantie als de "spaanse inquisitie" en "heksen processen", het is in het verleden als verschillende malen aangetoond: angst is een slechte raadgever.

[Reactie gewijzigd door tweaknico op 23 juli 2024 16:31]

[bwerg]

Dan kan je degene opsluiten die je te pakken krijgt. Zo kun je waarschijnlijk alleen wat illegale hosters vinden, vergelijkbaar met een geldezel bij fraude. Pro-actief op zoek gaan naar encryptie waar geen achterdeur in zit is geen doen, dus zo nu en dan bestraf je eens iemand die wat onleesbare bitjes op zijn servertje heeft staan, terwijl alle verdere criminele activiteit die daarachter schuilgaat onbestraft blijft. Ik denk niet dat dat nou zoveel beter is dan wat er nu al mogelijk is.

[Waah]

Ook met strenge straffen gaat dat niet helpen. Er is nog nooit aangetoond dat strenger straffen afschrikkend werkt namelijk.

[Just1n12]

Precies dit, alsof ze alle ontwikkelaars van alle mogelijke vormen van cryptografie kunnen gaan verplichten om er een ''achterdeur'' in te bouwen.

[Anoniem: 85014]

Bovendien kan je die achterdeur en dan ook terug uithalen.

bv. Gebruik een elliptical curve die niet van de NSA komt.

Het is ook niet onmogelijk om die wiskunde in de gedissasembled binary code te vinden en ze daar aan te passen. Zoiets deden tieners in de jaren 80 en 90 ook om kopieerbeveiliging van software te omzeilen. Die technieken werken ook om onderdelen van een crypto algorithme te vervangen in je chat software.

[vectormatic]

Dan sluit je mogelijk een opstandige puber uit (als je inderdaad je moving target netjes bijhoudt), maar je geeft wel elk groot bedrijf hiermee een vrije hand, voor de rijken geldt de wet/encryptie niet...

Lijkt me het tegenovergestelde van wat we nu als maatschappij willen

[TimmiX]

Helemaal mee eens, maar dit is wel hoe de maatschappij nu ook al werkt.
Dit is ook hoe het principe van bekeuringen in absolute bedragen werkt.

Een bekeuring voor van 200 euro heeft voor een Jan Modaal veel meer impact dan voor een (multi)miljoenair. Dit schommelt ook aan alle kanten, en zal ook aangepast moeten worden. Bijvoorbeeld inkomsafhankelijk.

[spNk]

Daar heb je helemaal geen geld voor nodig; wat dacht je van een botnet achtige constructie? Distributed computing? Beetje wat ook met trojans met cryptominders erin gebeurt? Of zoals bij DDOS aanvallen.
Geen geld voor nodig, maar wel nogmaals de burger die de sjaak is.

[MadEgg]

En die botnets zijn gratis? Nee natuurlijk niet. Het geld komt niet bij de eigenaar van de hardware terecht. Maar je zult wel ofwel flink moeten investeren in het ontwikkelen van trojans om je eigen botnet uit te rollen, of je zult simpelweg compute power moeten kopen van iemand anders die dergelijke botnets beheerd. En daarmee is het nog steeds een soort cloud computing, alleen zijn de machines hier geen servers die voor het doel zijn opgezet maar gehackte computers van consumenten.

En ook daarmee is het nog steeds niet mogelijk om dit in op massa-surveillance-schaal te doen.

[spNk]

Ligt er uiteraard maar net aan door wie of voor wie/wat het gebruikt gaat worden.

[tweaknico]

Er zijn voldoende systemen die als botnet worden toegepast, in handen van de criminelen. Kortom de criminelen hebben EN geld EN motivatie EN middelen om massaal misbruik te maken van zwakheden.

Kortom verzwakking zou zo maar een verslechtering voor iedereen behalve criminelen kunnen zijn.

Ben trouwens benieuwd waar Grapperhaus na de verkiezingen heen gaat dat zou zo maar eens met z'n huidige politieke keuzes opgelijnd kunnen zijn. (key escrow business aan het opzetten?)

[Yalopa]

Neen.. Waneer ik company secret data verwerk wil ik gerust zijn dat het encryptimechanisme het beste is wat er is. Soms wisselen we gegevens uit die zeer waardevol zijn voor de concurrentie. Waneer mijn medische gegevens over een netwerk gaan (en dat doen ze) dan wil ik zeker zijn dat de verzekeringsmaatschappij, voor wie die paar 1000 euro peanuts is niet aan mijn gegevens kan.

Ook als het een paar 1000 euro's kost zal er altijd iemand zijn die het op tafel wil leggen, omdat die info waardevol is voor hen.

ik heb het echt gehad met het kindermisbruik door politici* om hun verborgen agenda door te drukken..

*het werken op het gemoed van de burger door het kind als potentiële slachtoffer voor te stellen in zeden, verkeer en andere area's

[tweaknico]

Tja dat is ook een standpunt, ik had het zo nog niet bekeken dank voor de zienswijze.

De politici als terrorist (ze jagen de burger meer angst aan met dreiging etc.)
De politici als kindermisbruikers.

Dan moet de Minister helemaal gaan oppassen. (hij zou in beide categorien passen).
En ook nog aanzetten tot misdaad (voor mensen die privacy wel serieus willen nemen).

[Reactie gewijzigd door tweaknico op 23 juli 2024 16:31]

[WhatsappHack]

“dan wil ik zeker zijn dat de verzekeringsmaatschappij, voor wie die paar 1000 euro peanuts is niet aan mijn gegevens kan.”

De verzekeringsmaatschappij vraagt indien ze dat nodig achten gewoon je complete medische dossier op. Het beroepsgeheim geld niet meer.

Dit is een (achterlijke) maatregel om 0.015% fraude tegen te gaan (slordige 11 miljoen euro, peanuts.), een besluit genomen onder zeer dubieuze omstandigheden.

[curkey]

Dus een bedrijf dat een multi-miljoenencontract aan het uitonderhandelen is, moet zijn files minder goed beschermen, met als gevolg dat een spionerend land, die de files 'toevallig' in handen krijgt, ook de details kan bekijken. En dat allemaal om een paar potentiële ransapen in de gaten te kunnen houden?

[borbit]

Voor bijvoorbeeld bedrijfsgeheimen kan ik me best een scenario voorstellen dat een paar duizend euro een koopje is. Die drempel zorgt er dus enkel voor dat personen of organisaties met onvoldoende budget de encryptie van personen of organisaties die zich netjes aan de wet houden niet makkelijk kunnen kraken. Criminelen houden zich niet aan de wet en kunnen dus gewoon zwaardere encryptie toepassen.

[ArawnofAnnwn]

Je spreekt jezelf nogal tegen. Als die achterdeur er is, dan is het per definitie mogelijk om alle berichten van alle burgers te ontsleutelen. Een achterdeur is een achterdeur. Ook is je data dan per definitie beschikbaar voor andere kwaadwillenden, want een achterdeur is ook voor hun een achterdeur.

"Als je een persoon bent die met zeer gevoelige informatie werkt (bijvoorbeeld vanuit bedrijfsperspectief of vanuit politieke of journalistieke overwegingen) is dit zeker geen oplossing - dan moet het onkraakbaar zijn."

Daar heb je wel gelijk in. Maar alle data is per definitie gevoelige data, of het nu je bericht op facebook, je belastingaangifte is of je documenten van je werk.

[kazz1980]

Precies dit.... Als de deur op een kiertje gaat kun je er vergif op innemen dat in no time de deur wagenwijd openstaat. En zwaai dan maar dag naar je privacy! Vind het niet de bedoeling dat de overheid zomaar gemakkelijk bij alle data kan, maar ook niet dat als je dat gaat regelen andere kwaadwillenden de weg naar binnen ook heus gaan vinden!

[MadEgg]

De backdoor is de deur op een kiertje zetten, zoals je zegt. De encryptie minder sterk maken is de deur wat minder dik maken. Geen deur op een kiertje, en ook geen deur wagenwijd open. Je hebt wel een stormram nodig van een paar duizend euro om de deur open te krijgen, per individuele deur, en dat gaat massasurveillance tegen. Vandaag dan. Over een jaar kan dat anders zijn door technologische ontwikkelingen.

[kazz1980]

Qua techniek eens. Qua wetgeving echter.... Als ze het er nu doorheen krijgen dat de deur dunner wordt (om even dezelfde bewoording aan te houden) betekent dit dat het juridisch ineens een heel stuk gemakkelijker wordt om de deur later nog eens dunner te maken (want anders wordt het allemaal te duur hè...) en tja... als die deur dan toch zó dun is, kan hij net zo goed op een kiertje.... En als hij dan toch op een kier staat... Daar maak ik me vooral zorgen om bij dergelijke ontwikkelingen.

[tweaknico]

Vergelijk de camera's langs de snelweg. Die waren er eerst ook alleen voor de "ERNSTIGE" gevallen.
Ze worden nu al gebruikt voor "opsporing" in "tv" shows.

[daan!]

De encryptie minder sterk maken betekent dat over 5 jaar (of eeder!) de deur alsnog wagenwijd open staat voor iedereen.
De encryptie minder sterk maken betekent dat NU de deur wagenwijd openstaat voor instanties met voldoende middelen. Dat is niet alleen onze AIVD, of de Russische variant daarvan, maar ook een heleboel bedrijven.

De bedrijfsspionage zal hoogtijdagen kennen als encryptie gelimiteerd wordt. Medische gegevens zijn niet meer veilig. Buitenlandse inlichtingendiensten hebben enorme mogelijkheden om onze informatie in te zien.
En dat is dan nu, het aantal mensen en instanties met toegang zal alleen maar toenemen met krachtigere computers in de (nabije) toekomst.

Minder sterke encryptie is een wassen neus.

[MadEgg]

Niet wagenwijd. Absoluut niet. Momenteel is het volledig volstrekt totaal onhaalbaar om berichten op bijvoorbeeld WhatsApp te ontsleutelen. Niet de doen. Ook niet een enkel bericht.

Met minder sterke encryptie zou het mogelijk kunnen zijn om één bericht te ontsleutelen. Maar daarmee niet automatisch de vorige of volgende ook weer. Wil men die ook lezen dan kost dat weer enkele weken en weer enkele duizenden euro's. En daarmee is het dus onmogelijk om alle communicatie massaal te ontsleutelen en staat er dus geen deur wagenwijd open. Elke deur zit dicht, maar ze zijn wel in te trappen.

Nogmaals: ik ben tegen! Het mist het doel doordat criminelen zich tot andere kanalen zullen wenden en je dus sowieso alleen de "gewone" burger treft. Maar het is haalbaarder dan een backdoor in te bouwen zoals Grapperhaus graag wil.

[Annihlator]

Er is niet minder-sterke-encryptie. Encryptie heeft een voldoende niveau of onvoldoende, daar zit geen tussenweg in en wordt enkel bepaald door de schaal waarop anderen inbreuk zouden kunnen verrichten...

Dus élke deur die dun genoeg is om in te trappen is onvoldoende dik, simpel.

Wat je verder benoemt mbt forward secrecy is géén argument; het verwijderen van die forward secrecy is wat zou moeten bespoedigen dat die encryptie zwakker wordt, op een andere manier is de schaling ervan die het juist zo moeilijk te kraken maakt niet te omzeilen.

Er is gewoon géén tussenweg.

Daar bovenop; zou aan banken individueel toegestaan moeten worden dat die afwijken van de wet zodat gelden niet ontvreemd kunnen worden of bijvoorbeeld een externe entiteit de aandeelmarkten gaat bespelen? Dat risico alléén al zal men niet af kunnen bakenen met verzwakte encryptie... en als dan de banken daar toestemming voor krijgen om een veiligere encryptie toe te passen gaan daar vervolgens geen criminelen/terroristen/NSA mee aan de wandel? Lijkt mij eveneens heel stug dat grapperhaus voor het afbreken van de digitale economie is; ik vind het vooral storend dat hij lijkt te doen alsof zo'n factor niet mee zou kúnnen wegen door het niet te noemen in contrast tot de frequentie van het benoemen van kinderporno.

[daan!]

Nee mist de essentie. Het staat wagenwijd open omdat ieder bericht dan geopend kan worden. Met de middelen die ze tot hun beschikking hebben is dat dan peanuts met slechte encryptie.

En nee, dat zal jou waarschijnlijk niet treffen. Denk hierbij aan politiek activisten of vervolgde minderheidsgroeperingen. Die kan je doeltreffend volgen op die manier.

Het voorbeeld dat je aanhaalt mist ook nog wat onderbouwing. Gebruikt Whatsapp een nieuwe key voor ieder bericht? Daar zou ik graag een bron van zien. En dan nog zijn dus wel alle berichten te ontsleutelen met zwakke encryptie. Als die zwak genoeg moet zijn voor de inlichtingendiensten om bruikbaar te zijn dan is die dus automatisch ook zwak genoeg voor buitenlandse inlichtingendiensten.

[MadEgg]

Ik ben geen cryptografie-expert. Wel weet ik dat het Signal-protocol perfect forward secrecy heeft en met key rotation werk, wat moet tegengaan dat als één bericht ontsleuteld is de rest ook ontsleuteld kan worden.

En nee, voor de situaties die je noemt is het niet geschikt. Absoluut niet. Maar ik zie het als tussenweg voor "gewone" communicatie via chatapps. Ik wil ook niet dat die en masse ontsleuteld worden voor profilering of veiligheidsdiensten, maar eventueel wel zeer gericht bij strafrechtelijk onderzoek.

[hackerhater]

Het is niet ondoenbaar om ze te ontsleutelen:
Besmet het apparaat en je kan doodleuk live meekijken.

En dit kan netjes met de huidige wetgeving en een rechtelijk bevel.

[Reactie gewijzigd door hackerhater op 23 juli 2024 16:31]

[Micahve]

Ik denk dat u niet goed doorheeft wat een backdoor in encryptie is.

Bij deze zal ik het u uitleggen:

Een backdoor in encryptie is het toevoegen van een tweede sleutel.
Normaal als ik u een bericht stuur op whatsapp, dan hebben alleen u en ik een sleutel, waardoor alleen wij tweeën het bericht kunnen lezen.

Door een tweede sleutel toe te voegen, kan een bedrijf of de overheid die encryptie ook bekijken.
Het klopt dat dit de encryptie verzwakt.

De manier waarop werkt zo:

Normaal is er maar één manier om het bericht te lezen zonder sleutel, dat is het juist raden van de sleutel, normaal gezien zijn er miljarden, of zelfs biljoenen mogelijkheden waarvan maar één juist is.

Door een tweede sleutel toe te voegen maak je een tweede oplossing, nu zijn er 2 keer zoveel oplossingen, dit verhoogd de kans van het raden.
Dit is niet de enige verzwakking, want deze sleutel is een sleutel die op alle sloten past, dit is een erg groot probleem, want als je de sleutel één keer goed raakt dan heb je alle encryptie gebroken.
Normaal als alleen de encryptie tussen onze berichten wordt gebroken, dan zijn de berichten tussen u en uw familieleden nog geëncrypt, in het geval van een tweede sleutel niet, dan kan die 'hacker' dus de berichten van iedereen lezen en dat is een erg groot probleem!

[MadEgg]

Hoe kom je erbij dat ik niet zou weten wat een backdoor is... De post waar je op reageert ging over mijn "alternatief" van minder sterke encryptie gebruiken, bijvoorbeeld door de lengte van de sleutel te beperken, en heeft niets met backdoors te maken. Backdoors zijn zoals we hier op Tweakers allemaal weten geen oplossing omdat daarmee de hele encryptie bij voorbaat al volledig instort.

[Micahve]

Een backdoor verzwakt de encryptie en het express verzwaken van encryptie door het verminderen van het aantal bits is ook geen oplossing, want dat zorgt ervoor dat encryptie nutteloos is en zorgt er ook voor dat criminelen zelf gaan encrypten.

Er is geen oplossing die alleen criminelen aanpakt, iedere oplossing die u, ik of grabberhaus kan bedenken zal alleen het gewone volk van rechten ontnemen en criminelen meer vrij pad geven

[MadEgg]

Ik denk niet dat Grapperhaus oplossingen gaat bedenken

En inderdaad, criminelen gaan zelf encrypten. Dat is wat ik in mijn eerste post ook al aanhaalde (MadEgg in 'nieuws: Minister Grapperhaus pleit bij Europese Unie voor achterde...)

Het punt is dat meneer Grapperhaus en andere politici continu aan het huilen zijn dat ze niet bij encrypted teksten kunnen, waarbij ze vooral wijzen naar diensten met heel veel marktaandeel zoals WhatsApp. Het is ze een doorn in het oog dat WhatsApp praktisch onkraakbare E2E-encryptie heeft. Als je puur logisch redeneert is er geen enkele manier dat wetgeving hier iets aan gaat doen. Een backdoor bereikt niet alleen helemaal niets op het gebied van opsporing van criminelen maar zet ook direct de deur open voor massasurveillance op alles wat de normale burgers via WhatsApp versturen. Daarmee bereikt het dus niet alleen het publiekelijk verkondigde doel niet, maar perkt het ook nog eens structureel het briefgeheim van alle burgers in doordat alles zonder omhaal direct in te zien is.

Mijn alternatief met een beperking van de sleutellengte op populaire diensten als WhatsApp bereikt nog steeds niet dat criminelen beter opgepakt kunnen worden. Dat gaat sowieso niet lukken. Wat het wel doet is het stokpaardje van Grapperhaus en anderen onderuit halen omdat ze plotseling met de nodige moeite wel gericht communicatie kunnen ontcijferen van de populaire diensten. En dan wel op zo'n manier dat het nog steeds niet mogelijk is om dit op grote schaal te doen voor alle gebruikers in alle berichten. Dus het bereikt het doel nog steeds niet (want dat kan simpelweg niet) maar komt Grapperhaus en andere politici wel ietwat tegemoet en ontneemt hen hun stokpaardje, terwijl het nog steeds niet veel ruimte voor het mogelijk verborgen motief van de backdoor (massasurveillance) overlaat.

[comecme]

Hoe zou je een tweede sleutel kunnen toevoegen? De data wordt immers versleuteld mét een sleutel.

Voor twee sleutels zou je de data twee keer moeten versleutelen en dan dus twee keer moeten versturen of opslaan.

Maar hoe weet je dan zeker of beide keren dezélfde data is versleuteld?

[tweaknico]

Geef het goede voorbeeld. Zet alle redelijke encryptie uit. En houd DES + MD5 in ere.
(voor eigen gebruik, blijkbaar is het voldoende voor jou..., er zijn voldoen aanvallen bekend)
Je voldoet dan zelfs aan de officiele USA export vereisten.

[curkey]

De sterke encryptie van vandaag is de zwakke van morgen. De ordegroottes waarmee gewerkt wordt "uren, dagen, weken, etc) om berichten te kraken zijn statistische gemiddeldes. Je kunt dus geluk of pech hebben bij het kraken.
Door nu bewust verzwakkingen aan te brengen, neemt de kwetsbaarheid ook met een ordegrootte toe, en daarmee de oplosbaarheid van je sleutel.

[MadEgg]

Het gaat ook om de gemiddelden. Als ik bijvoorbeeld "Ik ben over 15 minuten thuis" stuur naar mijn vrouw is dat op zich amper gevoelige informatie. Toch vind ik het niet fijn als iemand mee kan lezen. Met een backdoor waarbij het dus voor de veiligheidsdiensten triviaal is om mijn berichten te ontsleutelen kunnen ze gewoon meelezen, met alle berichten.

Gebruik je daarentegen minder sterke encryptie dan is er een kans dat ze dat ene bericht triviaal kunnen ontsleutelen omdat ze mazzel hebben bij het bruteforcen. Daar staat dan tegenover dat ze bij het volgende bericht pech kunnen hebben en het veel moeite kost. Gemiddeld gezien moet dat dan een dermate hoge last opleveren dat het niet te doen is om structureel alle communicatie te ontsleutelen. Dan wordt er voor mij aan een belangrijke eis voldaan. En dan kan het nog steeds gedaan worden als iemand specifiek het op mij gemunt heeft. Voor de écht gevoelige berichten zal ik dus zeker uitwijken naar een alternatief met sterkere encryptie.

[curkey]

Ik snap je niet.

Met een backdoor maak je je encryptie bewust zwakker, en niet alleen voor de good guys. Dus mocht je nu met een algoritme werken wat over een paar maanden zwak blijkt, dan zijn je berichten dus leesbaar. Met een extra zwakheid erin, wordt het exploiteren van die zwakheid een ordegrootte eenvoudiger, omdat er minstens 2 routes zijn. En als het voor een overheid triviaal is om mijn kattenbelletjes te ontsleutelen, hoe gemakkelijk is het dan voor een crimineel met een botnet?

En dan je opmerking om voor de "echt gevoelige" berichten over te schakelen op een capabel alternatief.. Alsof je een auto hebt die een zwakheid bevat waardoor deze zomaar in de brand kan vliegen. En dan zeg je: "Ja, maar als ik een flink stuk moet rijden, dan huur ik wel een auto die dat probleem niet heeft". Dat wil toch helemaal niemand?

Als ik iets versleutel, dan moet dat goed zijn. Losstaand van het feit of ik een boodschappenlijstje naar mijn vriendin stuur of een geniepig complot aan het beramen ben. Ik wil geen halfbakken troep gebruiken alleen maar om een potentiele goede zaak te steunen die in 99.9% van de gevallen niet relevant is.

Plus, de mensen die dan met echt duistere zaken bezig zijn, gebruiken gelijk al de goede spullen. Dus al mijn sh*t ligt praktisch op straat, en degenen die je moet hebben, krijg je nog steeds niet te pakken ondanks je hyperinvasieve maatregelen.

[ArawnofAnnwn]

De deur staat open of dicht. Elk lek zet de deur wagenwijd open. Elke backdoor is een lek. "De encryptie minder sterk maken" betekend een slechtere encryptie, wat alle hackers en overheden van andere landen je ook zeer dankbaar voor zullen zijn. Hoe jij denkt dat encryptie werkt, is niet vergelijkbaar met de werkelijkheid.

[bommel]

Exact, 8x NVidia Tesla V100 instance (p3.x16 large) kun je voor spot(instance) prijzen krijgen bij AWS. Die instance beschikt over een enorme "hashpower" om bijv. hashcat te draaien. Om een voorbeeldje te geven: een hash van een IPMI (bijv. HP iLO) wachtwoord kun je binnen een minuut bruteforcen.

En als 1 niet snel genoeg is dan neem je er toch meerdere 🤷‍♂️

[Anoniem: 428562]

HP adviseert voor iLO een password van minimaal 8 karakters met upper/lower case, digit, special character. Dat geeft een maximaal 6.704.780.954.517.120 combinaties.

Je hebt minimaal 111746,34 GH/s nodig om alle combinaties binnen een minuut te doorlopen.

HP iLO gebruikt MD5. Voor MD5 presteert je 8x NVidia Tesla V100 instance maar 450 GH/s.
https://github.com/siseci...rge%20Hashcat%20Benchmark

Volgens mij een factor 250 te weinig.

[tweaknico]

Je hoeft niet ALLE hashes to berekenen, er zijn ook afkort mogelijkheden waarbij tegenwoordig MD5 ook voor datacom doeleinden niet meer aan te raden is.
MD5 blijkt een paar zwakheden te hebben waarmee makkelijk collisions gevonden kunnen worden.

(als het wahtwoord "Ab32DFG+*" is maar de hash van "abcdefgh01" blijkt hetzelfde te zijn dan is abcdefgh01 ook goed bruikbaar als ww.
Zie ook: https://en.wikipedia.org/wiki/MD5

[bommel]

De hashes zijn via een IPMI exploit te bemachtigen doordat iLO veelal niet gepatched is en kunnen dan door mode 7300 (IPMI2 RAKP HMAC-SHA1). De default wachtwoorden zijn altijd 8 karakters met enkel hoofdletters en cijfers en dat beperkt het aantal mogelijkheden drastisch. Helaas blijkt dat deze default wachtwoorden vaak niet gewijzigd worden...

Hier een voorbeeld met een enkele iLO hash.

Als de wachtwoorden wel gewijzigd zijn dan kun je natuurlijk ook nog een dictionary attack met rules of een hybrid proberen.

[Micahve]

Ja en nee, je vergeet dat de computer kracht exponentieel vergroot wordt bij iedere letter of cijfer die je aan een wachtwoord toevoegt.

Dus een wachtwoord van 8 cijfers is niet dubbel zo moeilijk om te breken dan een 4 cijfer wachtwoord.

De hoeveelheid letters/cijfers is een stuk belangrijker dan de werkelijke inhoud van het wachtwoord!
Ook de hoeveelheid mogelijkheden van verschillende letters en cijfers is belangrijk.

Dit is waarom een goed wachtwoord systeem dus:
kleine letters, grote letters, cijfers en speciale tekens gebruikt.

[Znorkus]

Nogal een heftige beschuldiging.

[Robkazoe]

Krijg je dan zo meteen dat willekeurige vrienden/mensen/afpersers jouw Whatsapp of E-mail gaat zitten kraken? Dat gaat een gezellige boel worden.

Ben ik slachtoffer mag ik lekker naar het politiebureau toe, al mijn privacy kwijt en ik kom ergens onderop de stapel te liggen. Voordeel is wel dat we dan Grapperhaus zelf ook vrij eenvoudig kunnen gaan hacken. Maar als je dat dan weer gaat doen, ben je enemy of the state en ben je de lul. Want dan wordt er aan zo'n handeling ineens wel aandacht/prio gegeven.

[mocean]

Precies, als de hoofdreden kinderporno/terrorisme was, dan zouden ze daar eerst wat meer mensen op moeten zetten. Vrijwel alle aanslagen uit het recente verleden zijn gepleegd door mensen die al in-beeld waren maar gebrek aan tijd en inschattingsfouten zorgden dat de aanslagen toch gebeuren.

[soundvision]

Zo ontzettend kortzichtig.
De gemiddelde burger verliest zo zijn privacy en de 'gemiddelde' crimineel gebruikt gewoon een app of ontwikkeld er een die wél encrypted is zonder backdoor.

[4x4]

Waarom zijn wij burgers bij voorbaat verdacht? Waarom bouwt de overheid een wereld waarin iedere burger bespied kan worden?

[walteij]

De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen. Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is - zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet.

En met de opkomst van quantum computing, waarbij rekenkracht ineens wat goedkoper is en bruteforcen veel sneller gaat, is die bovengrens van die complexiteit ineens geen Chinese muur meer, maar een drempeltje van 2 mm hoog.

[Anoniem: 162126]

Het statement : "En met de opkomst van quantum computing, waarbij rekenkracht ineens wat goedkoper is en bruteforcen veel sneller gaat" is gewoon niet waar. Quantum computing bevat geen algemene rekenkracht zoals een huidige processor.

Hier wat meer leesvoer : https://cloudblogs.micros...on-public-key-encryption/

[kazz1980]

Helemaal waar! Maar het is wel een feit dat quantum computers met veel encryptie geen hele grote moeite zullen hebben.... (afhankelijk van het gekozen encryptie algoritme uiteraard).

[Anoniem: 85014]

Belangrijk stukje:

If you use the straightforward approach without optimization, you would require a million qubits. But the right mix of algorithmic tricks to cut down the cost of computing the inverse yields a dramatic reduction—from one million down to 2330 logical qubits.

Versus

IBM reveals its biggest yet quantum computer, consisting of 53 qubits. The system goes online in October 2019.[230]

M.a.w. IBM's meest geavanceerde quantum computer moet nog eens 43 omvangrijker worden om in de buurt te komen van een systeem te hebben dat de huidige encryptiestandaarden kan breken.

[.oisyn]

Dat is ook wat kort door de bocht, quantum resilient cryptografie is gewoon mogelijk en daar wordt ook een hoop onderzoek naar gedaan. Quantum computers zijn geen magische dingen die ineens alle brute forcing ineens substantieel sneller kunnen maken. In het ergste geval halen ze max O(√n) (met Grover's search) waar een conventionele computer O(n) doet, maar daar staat weer tegenover dat een operatie zelf vele malen duurder is om te doen op een quantumcomptuter dan op een conventionele computer (waardoor die n ontzettend hoog moet zijn om er praktisch voordeel uit te kunnen halen).

[dehardstyler]

Wat een kortzichtige uitspraak. Ja dan kan de AIVD het ook. En ook China en ook Rusland en als ik onze eigen overheid mag geloven moeten we daar heel bang voor zijn, dus misschien moet Grapperhaus dat dan ook gaan uitstralen en vragen om sterkere encryptie, zodat we ons als land zijnde ook kunnen verdedigen tegen deze 2 gevaarlijke landen? Het idee is werkelijk waar te idioot voor woorden eigenlijk.

[MadEgg]

Hoezo kortzichtig? Realistisch. Grapperhaus wil onrealistische maatregelen: een backdoor. Dat biedt misschien enkele dagen bescherming en dan is het gebeurd. Voor iedereen. Zijn wens is om een specifieke set organisaties waaronder de eigen veiligheidsdiensten toegang te verschaffen. Dat is niet mogelijk. Wel kun je enigszins beperkingen leggen door een minimale tijds- en geldinvestering te vereisen voordat je iets kunt ontsleutelen. Naar de actuele stand van de technologie. Nee, een goede oplossing is het zeker niet, maar het is wel het enige wat nog enigszins aan zijn wensen tegemoet kan komen.

[Annihlator]

Daar is niets realistisch aan; je gaat hierbij bot op de aanname dat de mensen waar deze zwakte tégen bedoeld is hier niet alleen niks tegen zúllen maar ook niks zouden kúnnen doen;
zoals het voeren van niet-toegestane encryptie.

Top, we hebben een manier voor legitieme dingen om de gegevens snel te benaderen, maar als we dat doen komen we vervolgens nog een versleutelingslaag tegen die zich niet aan die regels houdt; verspilde moeite.

Het gaat hier om een middel tégen kwaadwillenden; die houden zich haast per-definitie niet aan de wet, of dat is minstens een veiligere aanname dan zowel jij als Grapperhaus willen maken.

[MadEgg]

Het gaat hier om een middel tégen kwaadwillenden; die houden zich haast per-definitie niet aan de wet, of dat is minstens een veiligere aanname dan zowel jij als Grapperhaus willen maken.

Die aanname maak ik nergens. Het punt is dat de oplossing die Grapperhaus aandraagt per direct tot gevolg heeft dat álle gegevens die "normale" burgers uitwisselen op straat liggen, terwijl de criminelen er geen greintje last van vinden. De oplossing die op aandraag raakt de criminelen inderdaad nog steeds niet want die houden zich per definitie van het woord crimineel niet aan de wet. Maar het legt de gegevens van de "normale" burger in ieder geval niet open en bloot op straat - er zal nog steeds een significante hoeveelheid effort gedaan moeten worden om die in te zien. Alleen is die effort dan wel redelijkerwijs uit te voeren terwijl dat in de huidige situatie gewoon volstrekt onmogelijk is.

[Annihlator]

Juist wél en alléén de nette burger wordt ermee getroffen.
Het is bijna precies hetzelfde als de Dual_EC_DRBG situatie wat je hier suggereert...

De aanname maak je misschien niet bewust, maar dan alsnog onbewust door het te pogen als een oplossing aan te dragen; Met het uitblijven van zo'n aanname kan het namelijk nimmer als oplossing gezien worden.

De effort die daar nu voor gedaan moet worden is significant, en dat is de enige juiste oplossing;
als je daarmee ophoudt motiveer je bovendien álle entiteiten om zich tot het laaghangend fruit te beperken wat vervolgens de ongenaakbaarheid van mensen met wel-degelijk sterkere encryptie zou kunnen vergroten door de indirecte effecten daarvan (zoals de opgeslokte budgetten door het pogen te zoeken binnen laaghangend fruit).
En de mensen die je op dat moment zou missen? Kinderporno en terroristen met een serieuzere hoeveelheid middelen (en dus ook potentiële dreiging).

[dehardstyler]

Nee, dat vind ik niet realistisch. Wie gaat er in godsnaam encryptie aanpassen, zodat het in een bepaald tijdsvak valt te kraken? Op die manier kan iedereen met geld ( dus tot Noord Korea aan toe ) de encryptie doorbreken. Ik vind het een achterlijk idee.
Verder veranderd de hardware met de dag, dus wat vandaag 5 dagen duurt, kan morgen weer veel minder zijn als iemand weer met een mooie ASIC chip komt. En zo hebben we gewoon geen encryptie meer. Dat kun je nooit bij gaan houden en garanderen dat ook daadwerkelijk alleen de AIVD en consorten erbij kunnen. Daar is helemaal niks realistisch aan.

[dehardstyler]

Feitelijk is het nu ook al zo dat encryptie die vandaag de dag als onkraakbaar beschouwd wordt waardoor je duizenden jaren zou nodig hebben om het te brute-forcen door een ontdekte kwetsbaarheid morgen plotseling in minuten te kraken is. Dat risico is er altijd.

Maar dat is niet wat jij zei. Jij zei: "De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen. Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is - zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet."
En dat slaat nergens op en wel om de redenen die ik al gaf. Je kunt simpelweg niet weten wanneer de kraaktijd naar beneden duikelt, omdat iemand een ASIC gemaakt heeft die alles ineens veel sneller kan.
Of wanneer iemand zijn beste supercomputer gewoon nog een keer bouwt, zoals bijvoorbeeld China of de nieuwe exascale computer die nu gebouwd wordt in de VS door het ministerie van Energie.
Of over kwaadwillende pubers gesproken, Kim Jong Un van Noord Korea.

En die fouten ga je zeker niet vinden in AES256. Daar zijn al zoveel ogen overheen gegaan, dat dat zichzelf inmiddels wel bewezen heeft.

[bwerg]

Feitelijk is het nu ook al zo dat encryptie die vandaag de dag als onkraakbaar beschouwd wordt waardoor je duizenden jaren zou nodig hebben om het te brute-forcen door een ontdekte kwetsbaarheid morgen plotseling in minuten te kraken is. Dat risico is er altijd.

Als je binair gaat redeneren met "het kan gekraakt worden of het kan niet gekraakt worden, en dat verandert niet" kun je net zo goed voor altijd op cryptografie uit 1990 blijven hangen, want daarvoor geldt dat immers ook...

Je pleit er juist voor om deze grens inherent te verlagen en de rand op te zoeken van cryptografie die nú al zwak is. Nu kraakbaar met veel geld betekent bijna zeker over 10 jaar kraakbaar door iedereen. Gooi je daarentegen sterke state-of-the-art encryptie op je data, dan is er een redelijke kans dat dit over 20 jaar nog steeds onkraakbaar is (ja, er is al cryptografie in gebruik die ook onkraakbaar zouden moeten zijn met quantumcomputing). En nee, ik wil niet dat mijn gegevens over 10 of 20 jaar voor iedereen leesbaar zijn.

Dat er altijd een minieme kans bestaat dat de huidige standaarden binnen X jaar kwetsbaar blijken, wil niet zeggen dat je sterke encryptie daarom maar gewoon overboord moet kieperen. Zelfs standaarden waarvan tegenwoordig wordt geadviseerd ze te vermijden, waren (ten tijde van gebruik, en soms zelfs vandaag nog) nog lang niet zo zwak als de encryptie die je nu voorstelt.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[bwerg]

Het is in mijn ogen de enige enigszins haalbare implementatie van wat Grapperhaus wil, een backdoor.

Mwah, ik zie te veel praktische nadelen om dat een serieuze implementatie te noemen. Inderdaad omdat het niet werkt tegen iedereen die niet meewerkt, en omdat het feitelijk encryptie een zeer beperkte houdbaarheid geeft.

Je zou ook nog kunnen denken aan treshhold-schemes waarbij onafhankelijke toezichthouders een deel van de decryptie onder controle hebben. Dan kan de inlichtingendienst zijn stiekeme dingetjes doen die ze nu doen, maar kan een toezichthouder met zekerheid zeggen hoeveel data er wordt ontsleuteld, en simpelweg weigeren of vragen gaan stellen als dit te veel wordt.

Maar wederom: dit werkt dan allemaal mooi voor iedereen die hier aan meewerkt, en niet voor iedereen die gewoon zelf zijn encryptie installeert, buiten dit systeem om. Dat zal zelfs de voorkeur hebben voor iedereen die gemak, performance en betrouwbaarheid meeweegt, want zo'n systeem met encryptie via overheidspartijen wordt nogal een draak van een systeem als dit massaal de encryptie van het hele land moet gaan regelen.

[Reactie gewijzigd door bwerg op 23 juli 2024 16:31]

[tweaknico]

Voor whatsapp onsleutelen zijn er eenvoudiger methoden.
Door in elke chat een extra deelnemer mee te nemen (die niet zichtbaar is) die krijgt van aanvang van de groep gelijk ook alle sleutelwijzigingen mee.
Whatsapp is als closed source makkelijk aan te passen aan evt eisen op dit gebied. (als er niet al een FB account in elke groep zit voor de harvesting).

[tweaknico]

Criminelen hebben vermoedelijk ook meer middelen.
Zeker in de Drugs handel komt het geld met bakken binnen.

[Anoniem: 159816]

Dat is echt het slechtste idee ooit. Niet alleen kan je cpu kracht inkopen bij een cloud dienst, maar wat denk je van Bot-nets. Er wordt nu al via malware Bitcoin gemined, het is een kleine stap naar het kraken van encryptie via malware.

[MadEgg]

Natuurlijk kan dat. Het punt is nu de grens zo groot te maken dat het onmogelijk is om dat op massa-surveillance-schaal te doen. Nu is voor elk afzonderlijk WhatsApp-berichtje een paar duizend jaar (of meer) nodig om het te kraken. Als je dat terugbrengt naar een paar weken, is het behapbaar voor de AIVD om dat te doen. En ja, ook voor botnets of clouddiensten. Het is dan nog steeds onmogelijk om dat voor álle whatsapp-berichten te doen. Dus je zal al onder de spotlight moeten liggen van een veiligheidsdienst (of criminele organisatie) voordat die de investering gaat doen om jouw berichten te kraken.

[Annihlator]

Daarmee maak je het juist Zéér goed mogelijk om massa-surveillance toe te passen...

Tip; lees je in op wat de problemen zijn bij een insteek als-deze zoals eigenlijk ook de NSA in het verleden heeft gedaan mbv Dual_EC_DRBG

[Annihlator]

Élke stelselmatige vorm van verzwakking is in den ende een backdoor...

Dual_EC_DRBG had niet maar één additionele loper maar een ongedocumenteerde manier om éxtra sleutels te vinden; stelselmatig verzwakte encryptie door bewust voor een curve te kiezen met meer overlap dan de bedoeling is voor een encryptie die op één set sleutels zou werken.

Dus de sleutel was vooraf niet bekend die men nodig had, maar men had toch een stuk minder rekenkracht nodig om het te breken als bij ándere vormen; precies wat je suggereert.

Met dezelfde redenatie: een deurslot dat "gebumpt" kan worden heeft de bumpkey als backdoor, ookal is dat niet een sleutel maar een methode.

[Reactie gewijzigd door Annihlator op 23 juli 2024 16:31]

[MadEgg]

Het verschil is dat ik geen ongedocumenteerde zwakheid wil voorstellen. Maar een gedocumenteerde beperking van de sterkte. En dan niet een beperking zodat het voor "ingewijden" bijna triviaal is om te kraken, maar een beperking zodat het voor iedereen met een flinke moeite mogelijk is, maar zeker niet op grote schaal.

Als we nu 256 bit sleutels gebruiken zou je ook kunnen zeggen dat dat een "backdoor" is omdat we ook sleutels van 512 bits zouden kunnen gebruiken volgens jouw redenering. Of 1024 bits sleutels. Of 2048. Of 4096...

[Annihlator]

Ook zonder gedocumenteerde zwakheid is het voor iedereen met flinke (en onrealistische moeite) mogelijk, dit hele principe garandeert dat het niet voortijdig gebeurt...

We zouden inderdaad 512 en grotere sleutels standaard kunnen hanteren en de enige reden dát we dat niet doen is omdat het de benodigde eisen onevenredig verhoogt met de behaalde resultaten; totdat het nódig is omdat bijvoorbeeld 256 niet-afdoende is en het triviaal geworden is om te kraken.

De methode die je suggereert is botweg de meestvoorkomende motivatie om op te stappen naar een ándere vorm van encryptie; en dat is iets wat je niet op een constructieve manier stopzet (en dan letterlijk in de trend van dat er hoofdzakelijk nadelen aan kleven om het niet zo te doen).

Maar dat een sleutel nu 256 bits in plaats van 512 is maakt het niet tot een backdoor; zorgen dat bepaalde reeksen van sleutels aannemelijker zijn om gebruikt te worden (om een voorbeeld te noemen) wél; zolang de kansen gelijkmatig verdeeld zijn is dat (iig puur statistisch) niet toe te delen als een backdoor, dat zou enkel kunnen doordat er een teveel is aan rekenkracht om x-bits sleutels als afdoende te willen zien en heeft verder dus niets te maken met het format van de sleutel zelve behalve dat een vergroting een logaritmische impect heeft op de (mogelijke) entropiteit van de gehele encryptie; het gaat niet om de maximale lengte van de sleutel, maar of er ook maar énige reden kan zijn binnen een sleutel van eenzelfde lengte bepaalde sleutels éérder te willen vermoeden dan een ander (om welke reden dan ook, of het nou gaat om een "ongelukkige" curve of loper maakt daarin 0,0 uit; het eindeffect is botweg hetzelfde.)
Ook bereikt het niets voor een AIVD om enkel de sleutellengte te beperken; ze heeft vóóral meer aan een methode waarmee het aantal mogelijke sleutels voor haar béter uitvalt dan anderen en dan kleven daar altijd dezelfde nadelen aan en bovendien sluit het niet uit dat iemand anders daarbuiten kiest voor een implementatie met langere sleutels wat vervolgens die hele encryptiemethode buiten schot kan stellen (en in feitelijke context dus motiveert tot het gebruiken ervan bóven de implementatie van Grapperhaus/AIVD zegmaar.)

Tegenovergesteld voorbeeld: een sleutel met 64-bits lengte is waarschijnlijk zo triviaal om te brute-forcen dat het toepassen van die encryptie mogelijk meer resources vereist dan effect het bereikt waardoor het zelfs reëler is géén encryptie in het algeheel toe te passen; het kost immers wel rekenkracht om toe te passen en in die zwartwitstelling kan je maar béter besparen als het tóch niets oplevert (en dat geldt dan dubbel voor de benodigde development om het op te zetten en onderhouden).

Ook is het zwakker maken van de ene vorm van encryptie en die vooral herkenbaar maken (ook een eerdere suggestie van in dit geval de NSA) een wassen neus; ook binnen die geëncapsuleerde data kán je reeds-geëncapsuleerde data stoppen. Dus je detecteert dan ook alleen maar iets wat je alsnog niet kan decrypten; hetzelfde als in wanneer die eerste laag encryptie in zijn geheel niet had bestaan. Ditzelfde argument gaat zelfs op bij het afdwingen van een maximale sleutellengte bij de allerlaatste/buitenste/bovenste laag encryptie...

Als het defacto niets oplevert behalve kosten, gaat geen zinnig persoon daarin investeren.

Aanvulling: het hele eigenlijke doel van encryptie is te pogen garanderen dat het onwerkelijk is om te verwachten dat ook maar één andere entiteit dan de bedoelde het bericht kan ontcijferen voordat dat géén probleem oplevert, en daar zal je altijd tegenaan lopen met élke poging encryptie te verzwakken óf beperken; het druist lijnrecht tegen het doel in. Wat dat betreft is Enigma een mooi voorbeeld in waarom zo-moeilijk-mogelijk alleen maar het doel makkelijker te bereiken houdt zolang de benodigde vernuft om die encryptie te verkrijgen en ongedaan te maken voor de beoogde lezers haalbaar en redelijk is tegenóver het risico. Wat dat betreft is m.i. het hoofdonderwerp nooit daadwerkelijk veranderd, enkel de methoden waarop we het bereiken.

[Reactie gewijzigd door Annihlator op 23 juli 2024 16:31]

[Faeron]

Nee, het voorstel uit je eerste alinea gaat niet werken. De kwaadwillende puber is niet de actor waartegen je je wil beschermen. Dat zijn criminelen en statelijke actoren. En waarom zou de AIVD een rekencapaciteit kunnen aanschaffen die zij niet kunnen verkrijgen? Daarnaast, om het dan een beetje veilig te houden, moet met een grote rekenkracht het niet in een paar seconden gekraakt zijn. Anders heb je met een stuk minder rekenkracht 'slechts' een iets langere tijd nodig. Verdubbeling van rekenkracht is halvering van tijd. Dus ook de AIVD zal met veel rekenkracht weken tijd nodig moeten hebben om de encryptie sterk genoeg te houden. Dat is geen werkbare oplossing. En los van de stroom om alle data uit de vele lopende onderzoeken te kraken.

Ik snap de wens om data van criminelen in te kunnen zien, maar het simpelweg een alles of niets situatie. Je kan encryptie niet selectief zwakker maken. En bedenk dat zwakke encryptie criminaliteit ook weer kan helpen. Dat moet je dus gewoon niet willen. De opsporingsdiensten zullen moeten accepteren dat ze andere middelen en methodieken inzetten. Ik zou zeggen, ga weer lekker ouderwets infiltreren.

[Faeron]

De tijdsduur voor kraken kan je regelen met de sleutellengte. Je kan criminelen niet tegenhouden om langere sleutellengten te kiezen. Daarnaas, een kraaktijd is nooit hard te bepalen. Je moet namelijk een sleutel raden. Je kan extreem geluk hebben, dan kan je dezelfde dag nog klaar zijn. Heb je pech, dan ben je misschien een jaar later nog niet klaar. En in die tijd zijn de criminelen al lang gevlogen. Je voorstel is dus niet werkbaar. Daarnaast, als de AIVD het kan, dan kunnen andere statelijke actoren het ook. Vind jij het oke dat de Noord Koreanen al jouw bankverkeer, persoonlijke berichten, DigiD informatie, et cetera over twee maanden kunnen inzien?

[Reactie gewijzigd door Faeron op 23 juli 2024 16:31]

[Annihlator]

Huidige encryptiemethoden vereisen duizenden tot tienduizenden jaren met hedendaagse rekencapaciteit om te kraken. Als je dat kunt terugbrengen maar maanden door de complexiteit te verlagen heb je een (voor nu) acceptabel alternatief.

Dat lijkt dan wel zo, maar je kan niet beveiligen middels aannames;
Hoe ga je voorkomen dat iemand zo'n individuele zwakte vindt, zodat die "acceptabele complexiteit" gehalveerd wordt of érger?
Hoe ga je voorkomen dat die persoon/personen zo'n zwakte geheim houden?
Hoe ben je van plan te voorspellen wanneer er voldoende entropie in het breken van de encryptie blijft wetende dat je de voorgaande twee factoren nooit met 100% zekerheid vast te stellen?

Dit is waarom we altijd de theoretische kraaktijd "zo lang mogelijk" maken; we kunnen alleen een best-case inschatten en vervolgens hópen dat niemand tussentijds verbetering maakt in het kunnen kraken, met een theoretische kraaktijd van x jaar is die onnauwkeurigheid nou eenmaal wat minder riskant dan wanneer die terug zou lopen naar uren/maanden; zéker wanneer er nieuwe technieken gevonden worden.

Het lijkt een prima voorstel om te zorgen dat het voor de AIVD behapbaar is bepaalde data binnen x tijd te ontsleutelen, echter duurt een jaar te lang voor de AIVD haar processen, en zal de AIVD ook zoeken naar methoden én kapstokargumenten om dat terug te dringen naar mínder dan een Maand (desnoods onder de kop kosten).
Dit houdt gewoon uiteindelijk in dat elk ánder die ook maar een potentieel lek vindt álle info die de AIVD kan ontsleutelen nog snéller kan ontsleutelen; en de ware wapenwedloop is begonnen.

Wat moeten we op dat moment? De encryptie op álle voerende dingen binnen de verwachte kraaktijd vervangen? Dat lijkt een prima oplossing, tot je nagaat dat als dit voorstel doorgevoerd wordt dit inhoudt dat iedereen, z'n moeder en de hond ZSM (en dan eerder in de trend van minuten tot uren dan trager) van álles moet updaten en bovendien moet voorkomen dat door die wijziging per abuis een nog grótere zwakte geïntroduceerd wordt... Dat lijkt vooral makkelijker dan dat is.

Het is op die manier gewoon vrágen om problemen.

Als we vervolgens kijken naar de vooruitgangen bijv m.b.t. quantum-computing is een doorbraak die zorgt dat enkele methoden 10 tot 100 keer makkelijker/sneller gekraakt kunnen worden op voorhand niet uitgesloten, we kunnen dus ook wat-dat-betreft maar beter een grote slag om de arm hebben; we weten namelijk niet zéker

[Eonfge]

De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen.

Dus alle brave burgers hebben zwakke encryptie, en alle criminelen hebben sterke encryptie.

Het is belangrijk om te weten dat 'goede encryptie' veel gemeen heeft met vuurwapenrecht: Regulatie is alleen van toepassingen op de eerlijke meerderheid. Sterker nog, als het niet was voor de Second Amendment in de VS, dan hadden we waarschijnlijk helemaal geen encryptie. Vice, Independent

[Reactie gewijzigd door Eonfge op 23 juli 2024 16:31]

[Stevie-P]

En dan moet de grens nog wel zo zijn dat de AIVD dat wel gericht kan doen maar niet ál het verkeer kan ontsleutelen.
En dat is ook erg lastig haalbaar, want alles waar je nu een cluster voor nodig hebt om te brute forcen kan over 10 jaar ontzettend veel goedkoper. Omdat hardware in de tussentijd veel sneller is geworden, maar ook door lekken en zwakheden die in een decennia gevonden zijn.

[MadEgg]

Klopt. De vraag is hoe ernstig dat is natuurlijk. Datzelfde kan net zo goed gelden voor AES-encryptie als daar volgend jaar een zwakheid in gevonden wordt, vanzelfsprekend. Een veiligheidsdienst die 10 jaar achter de feiten aanloopt heb je niet zo veel aan. En een social media boer die je persoonlijke profiel opbouwt over je gedrag van 10 jaar terug zal ook niet echt hoge ogen gooien.

Voor de journalist, kritische burger in een onderdrukt regime, bedrijfsvertegenwoordiger met top-security informatie en dergelijke is het inderdaad zeker niet voldoende. Voor iets als WhatsApp lijkt het me wél afdoende, dan kunnen de zeer gevoelige zaken langs andere kanalen gecommuniceerd worden.

[ArawnofAnnwn]

Wat jij voorstelt geld voor zowel de journalist, de kritische burger in een onderdrukt regime, bedrijfsvertegenwoordigers met top-security informatie etc. Hoe denk je dat de meeste daarvan communiceren? Jij wilt al die encryptie open en bloot op straat zetten, Jij pleit namelijk voor zwaktes in encryptie in meerdere berichten bij dit artikel.

[Reactie gewijzigd door ArawnofAnnwn op 23 juli 2024 16:31]

[tweaknico]

De onderliggende wiskunde maakt geen onderscheid in doel van de data...
Dus hoe ga je bepalen of er data in transit KP bevat... dan met je alles bekijken... ook de data van de journalist, advocaat, klokkeluider etc. (mooie bijvangsten natuurlijk)..

[MadEgg]

Dat moeten ze vanzelfsprekend zelf doen!

[doeternietoe]

De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen. Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is - zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet.

Dat heeft ook tot gevolg dat de versleutelde usb-stick die je op dit moment verliest misschien nu niet ontsleuteld kan worden door iedere willekeurige voorbijganger, maar over 5 of 10 jaar wel. Uiteraard heeft elke vorm van encryptie de potentie om ingehaald te worden door de technische vooruitgang, maar om nu bewust op het randje te gaan lopen, lijkt me ook onwenselijk. Misschien marginaal minder onverstandig dan een echte backdoor, maar nog steeds een slecht idee.

De crux van de discussie is inderdaad dat je iedereen treft die encryptie gebruikt, terwijl potentiële wetsovertreders de regels zullen negeren. Nu ben ik me ervan bewust dat dit argument ook bij het verbod op wapenbezit en -verkoop wordt gebruikt, maar het cruciale verschil is m.i. dat het wapenverbod nog enigszins gehandhaafd kan worden. Een verbod op encryptie is absoluut onmogelijk te handhaven.

[Reactie gewijzigd door doeternietoe op 23 juli 2024 16:31]

[SirBlade]

Niet perse. Je moet alleen end-to-end encryptie verbieden.

A stuurt een bericht versleuteld met de publieke sleutel van WhatsApp.
WhatsApp decrypt dat bericht en encrypt het vervolgens met de publieke sleutel van gebruiker B
Gebruiker B decrypt het bericht.

Tijdens een officieel onderzoek kan dan een plain-text kopie van het bericht worden opgeslagen tijdens de 2de stap. Dat bied een redelijke balans tussen de privacy van gebruikers en de noodzaak van opsporing van criminelen.

[Eosus]

En dan gebruiken de criminelen simpelweg geen whatsapp... maar een " illegale dienst" die hier niet aan meedoet

[MadEgg]

Dat is dus wat voorheen gebruikt werd, Client-Server encryptie. Grapperhaus blij inderdaad. Maar dan zijn we helemaal weer terug bij af want de diensten kunnen dan een tap plaatsen. Mogelijk voor de overheid of een veiligheidsorganisatie. Mogelijk door een hack van een of andere schurkenstaat. Mogelijk door het bedrijf zelf om beter advertenties te kunnen targetten. Daar wordt het dus ook niet beter van.

[hyriand]

Nee, dat is zeker niet de enige mogelijkheid. Je kan bijvoorbeeld de gebruikte key versleutelen met de public key(s) van een (aantal) instantie(s) en die aan elk bericht of key exchange bijvoegen of uploaden naar een server. Voegt wat overhead toe, maar technisch een beter alternatief dan een bovengrens aan complexiteit.

Grootste nadelen zijn dat als de bijbehorende private key uit lekt (wat natuurlijk een keer gaat gebeuren) iedereen die de berichten kan onderscheppen dan ook kan decrypten en dat dingen als key roulatie lastig zijn omdat dan alle apps geupdatet moeten worden.

En natuurlijk, wat ook met enige regelmaat in het nieuws is, ambtenaren die zulke systemen misbruiken voor privé doeleinden, maar dat geldt voor elk systeem dat er gebruikt gaat worden.

[Reactie gewijzigd door hyriand op 23 juli 2024 16:31]

[Bensimpel]

Tijdelijke oplossing, zodra computers sneller worden is dit weer achterhaald. Of mensen die genoeg geld hebben kunnen dit vrij makkelijk regelen.

[monojack]

Wat is dan het nut van end to end encriptie? Voorbeeld Ik ben Google en ik wil weten wat Facebook uitvoert. Geld genoeg om alle communicatie van het bedrijf te onderscheppen. Ander voorbeeld: ik ben een activist in weet-ik-welke dictatuur, dictatuur heeft geld genoeg om mijn communicatie te onderscheppen.

Je moet altijd naar het grotere plaatje kijken dan enkel het onderwerp dat nu ter sprake komt

[MadEgg]

Ja. Daar is het ook niet geschikt voor. Bedrijfsgeheimen, onderdrukten en andere mensen die sowieso al onder een vergrootglas liggen zullen hier absoluut niet voldoende aan hebben.

En de criminelen zullen zich vanzelfsprekend wenden tot andere platformen. Maar het kan wellicht onze lokale politici zoethouden als ze weten dat ze met voldoende moeite de WhatsApp berichten van Henk en Ingrid kunnen inzien, zonder dat het het pad open zet voor massasurveillance.

[atthias]

geef politici een vinger en ze nemen je hele hand

dus dit gaat echt niet werken

[Mamoulian]

Dan plaats je -op zijn minst- een houdbaarheidsdatum op alle geëncrypteerde data. Wat nu nog doorgaat voor peperdure, hoogtechnologische hardware kan binnen een paar jaar voor betaalbare prijzen aangekocht worden door de puber in je voorbeeld.

[Pompi]

Als de AIVD het kan dan kan Noord-Korea, China of welk ander land het ook. Dit zorgt er dus voor dat dingen die geheim moeten blijven maar niet illegaal zijn dat dus niet meer kunnen. Bijvoorbeeld Noord-Korea zal het vast heel leuk vinden om nog gemakkelijker aan gegevens over kernwapens te komen omdat ze dan minder werk hoeven te doen om de encryptie te kraken.

[timvisee]

>Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is - zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet.

In feite geef je hier al aan dat het dan ook niet functioneert.

Bovendien heb ik liever niet dat een partij als de AIVD tonnen aan staatsgeld gaat steken in het brute forcen van encryptie.

[CAPSLOCK2000]

De enige mogelijkheid om nog enigszins aan zijn wensen tegemoet te komen is een bepaalde bovengrens aan complexiteit van encryptie te stellen. Zodat de encryptie wel functioneel is maar met voldoende hardware wel te brute-forcen is -

Dat hebben we in de jaren 90 al geprobeerd en we plukken er nu nog de zure vruchten van. Toen waren het de VS die probeerde om goede crypto voor zichzelf konden houden en alleen kraakbare encryptie naar het buitenland te laten gaan. Helaas is de wereld steeds internationaler en zeker de grote bedrijven zijn over de hele wereld verspreidt. Om met de rest van de wereld te kunnen communiceren moesten Amerikanen dus zelf ook gebruik maken van "export crypto".

Daarnaast hebben ze totaal misrekend hoe lang software in gebruik blijft. Er is nog steeds software in gebruik die de zwakke encryptie van toen gebruikt (al begint het gelukkig zeldzaam te worden) en die kun je tegenwoordig zelfs op je telefoon brute-forcen.
https://en.wikipedia.org/wiki/Crypto_wars

zo op een niveau dat een organisatie als de AIVD het wel kan bekostingen maar de kwaadwillende puber niet.

De ontwikkelingen gaan helaas(?) veel te snel daar voor. De combinatie van snellere hardware (wet van Moore) en verbeteringen in de software zorgen er voor dat de snelheid waarop je crypto kan kraken ieder jaar verdubbeld.
Als je crypto wil die 20 jaar mee gaat (en dat is eigenlijk niet lang genoeg) moet je nu een systeem maken dat meer dan een miljoen keer (2^20) sneller is dan waar een hedendaagse aanvaller over kan beschikken.

De AVID heeft een budget van 250 miljoen per jaar. Als ze het hele jaarlijkse budget zouden uitgeven aan computers om crypto te kraken dan kan diezelfde crypto over 20 jaar gekraakt worden op een computer van 250 euro (zoals de telefoon van een kwaadwillende puber).

Als je wil dat het over 20 jaar minstens 1 miljoen kost om die crypto te kraken, moet de AIVD dit jaar dus 1M * 1M = 1 biljoen euro (€1.000.000.000.000) uitgeven om datzelfde te doen. Het GDP van heel Nederland samen is ook ongeveer 1 biljoen euro.
Heel Nederland zou dus al z'n inkomsten moeten inzetten om dit te kunnen betalen. Dat gaat niet werken.

Ten slotte is alle moderene cryptografie gebaseerd op openbare wetenschap. Pas nadat wetenschappers jarenlang gestudeerd hebben op een nieuwe algoritme durven we te zeggen dat het veilig is. De meeste voorstellen halen dat niet. Alle kennis om zelf de best mogelijke crypto-software te schrijven is dus gewoon beschikbaar voor iedereen die er tijd (of geld) in wil steken.

[sympa]

Dat hebben we in de jaren 90 al geprobeerd en we plukken er nu nog de zure vruchten van.

Ondanks dat dit een onzinnige maatregel was (die sterkere encryptie hadden we gewoon) werd die toch niet gebruikt - vanwege browsersupport en zo.
Helaas hebben alleen 'de goeden' daaronder te lijden gehad, slechterikken wisten prima wat ze wel en niet moesten doen.

[Iced Maggot]

Kunnen ze ipv van met backdoors niet beter met een of ander certificaten systeem werken?
Die kan je intrekken als ze worden misbruikt.
Gewoon een idee.
Zijn mss/wss ook wel nadelen aan verbonden

[MadEgg]

Certificaten geven vertrouwen in de encryptie weer, maar het intrekken ervan heeft niet tot gevolg dat de versleuteling niet meer werkt. Het betekent alleen dat je geen goedkeuring / garantie van de CA meer krijgt dat het om een legitiem certificaat gaat.

Als je een dergelijk systeem zou willen implementeren zal dat dan al in een afgeschermde chip moeten die de certificaten regelt, waarbij de encryptie geweigerd wordt als het certificaat ingetrokken wordt. Dat zie ik niet snel voet aan de grond krijgen.

[CAPSLOCK2000]

Kunnen ze ipv van met backdoors niet beter met een of ander certificaten systeem werken?
Die kan je intrekken als ze worden misbruikt.
Gewoon een idee.
Zijn mss/wss ook wel nadelen aan verbonden

Dat is precies de bedoeling. Maar dat kan op twee manieren die allebei niet handig zijn.
De eerste manier is dat er ergens een master-key is die nooit mag uitlekken, die gebruikt wordt om andere sleutels mee aan te maken. Maar wie krijgt die sleutel? De Nederlandse politie, de Amerikaane, de Russische of allemaal? Of als ieder land z'n eigen master key krijgt hoe ga je dan ooit met iemand in het buitenland communiceren? Slechts één van de twee landen kan de benodigde master key hebben.

De tweede manier is dat iedereen altijd twee sleutels aanmaken en er eentje opsturen naar de politie. Dan komt er dus een gigantische stroom met sleutelmateriaal en een gigantische database om al die sleutels op te slaan. Helemaal als je weet dat er applicaties zijn die voor iedere verbinding een nieuwe sleutel aanmaken die dan maar een paar seconde geldig is. Daarbij kan je nooit controleren of iedereen z'n sleutels opstuurt.

Binnen een bedrijf waarin iedereen goede bedoelingen heeft kunnen dit soort systemen werken. Wereldwijd niet.

Er is wel eens geprobeerd om een systeem op te zetten voor communicatiechips waarbij de overheid zelf een sleutel heeft en dat is totaal mislukt. Saillant detail is dat de Amerikaanse regering de sleutel had, niet de Nederlandse. De meeste landen wilden daar dus niks mee te maken hebben maar wij hebben er geld in gestoken.
https://en.wikipedia.org/wiki/Clipper_chip

[Reactie gewijzigd door CAPSLOCK2000 op 23 juli 2024 16:31]

[wiseger]

Probleem is dat menig script kiddie meer computer power heeft dan de hele aivd.

[ArtyShock]

Het is heel simpel. Of je hebt encryptie die werkt, of je hebt encryptie die niet werkt. Daar is geen tussenweg.
(Met nuance dat perfecte encryptie niet bestaat maar voor het moment van toepassen complex genoeg is dat het niet in redelijke tijd te kraken is. Maar dat spreek je zelf ook niet tegen.)

Zodra je ook maar een beetje onderscheid probeert te maken, tref je uiteindelijk de gemiddelde gebruiker terwijl kwaadwillenden vrijuit gaan.

Als je als overheid dan toch alles op straat wil hebben liggen, verbied dan encryptie. Dan ben je in ieder geval duidelijk in plaats van dat halfslachtige beargumenteren met drogredenen.

[ArtyShock]

Dat is niet waar. Bijvoorbeeld de E2E-encryptie van Telegram: er is door experts heel veel op aan te merken waarom het sub-par is, en wat theoretische kwetsbaarheden zou hebben. Toch is er nog niemand in geslaagd om de berichten te kraken.

Wat is er niet waar aan? Alle encryptie is kraakbaar, totdat er een methode gevonden wordt (algoritmische zwakte, technologische vooruitgang) waardoor het te makkelijk te omzeilen wordt. En zodra dat gebeurt, stappen we over op betere algoritmes of langere sleutels. En schijnbaar is Telegram in de praktijk als drempel nog hoog genoeg - al is dat een aanname.

Jouw voorstel is kunstmatig de bruteforce-tijd terug te schroeven zodat het voor sommigen haalbaar wordt. Hoe is dit uitenindelijk beter dan een backdoor inbouwen? Je hebt nóg minder zicht op wie wel en wie niet de encryptie kan breken. Ik snap je argument van proportionaliteit wel, maar het maakt in mijn ogen de situatie niet beter dan met een backdoor; Als je encryptie gebruikt, moet je er redelijkerwijs van op aan kunnen. Wat is anders het nut als ik niet de keuze heb wie ik wel of niet laat meekijken. Is jouw vertrouwen in overheidsdiensten zo groot dan?

En voor beide methoden geldt dat kwaadwillenden hun eigen versleutelde communicatiekanalen gaan opzetten die deze zwakheden niet hebben als het gevaar gepakt te worden te groot wordt.

[MadEgg]

Het verschil met een backdoor is dat deze binnen no-time op straat komt te liggen waarna iedereen zonder enige moeite alle communicatie kan ontsleutelen. Hiermee heb je dus 0,0 zicht op wie de encryptie kan breken of niet. Of eigenlijk 100% zicht: iedereen.

Met de technische drempel dat gedurende een redelijke hoeveelheid tijd een significante hoeveelheid rekenkracht ingezet moet worden om het te kraken beperk je dat nog tot organisaties die dat kunnen bekostingen en voorkom je dat het voor alles en iedereen gedaan wordt.

[henk717]

Advocaat van de duivel, het tegengaan van (bekende) kinderporno is wel mogelijk zonder achterdeur. De client zou de hash van het bestand kunnen rapporteren. Onbekende prive bestanden zouden daarmee buiten schot blijven en wel versleuteld worden verstuurd.

Wel vind ik het schandalig dat een minister buiten het kabinetsbeleid om handeld via een orgaan die boven dat beleid staat en daarmee het volk buiten spel zet.

Update: Ik merk dat mijn reactie niet goed begrepen wordt dus hier wat extra uitleg. Ik weet dat er expliciet toegang tot de bestanden wordt genoemt en het dus een achterdeur betreft. Wat ik zeg is dat als ze enkel kinderporno (deels) willen tegengaan dat wel mogelijk is zonder het verzwakken van de encryptie zelf als je de client een hash laat sturen buiten de encryptie om. Zo heeft de overheid wel inzagen in bekend materiaal maar geen inzagen in prive documenten en de berichten zelf. Persoonlijk vind ik dat alsnog ingrijpend (gezien dit uiteraard weer uitgebreid zal worden naar elke vorm van materiaal waar de overheid niet op wacjt) en het is vrij makkelijk te omzijlen dus ik wil het niet als oplossing maar als mogelijke uitweg aandragen. Ik wil vooral aantonen dat een pure achterdeur niet alleen onwenselijk maar ook wel heel vergaand is tenopzichte van een implementatie die niet verzwakt maar wel rapporteerd wat er wordt verzonden zodat je inzagen hebt in wie de bestanden heeft verstuurd zodra een hash in handen komt van de politie.

Zelf pleit ik omwillen van de privacy voor geen enkele implementatie in deze richting zodat de burgers beschermd zijn tegen de overheid en raad ik aan decentrale netwerken te gebruiken voor gevoelige communicatie.

[Reactie gewijzigd door henk717 op 23 juli 2024 16:31]

[Stoelpoot]

Oke, maar de andere client doet dat dan niet, en die client past ook een onbelangrijke bit aan waardoor de hash niet meer overeenkomt. Hashes zijn leuk om bestanden op authenticiteit te testen, maar om te blacklisten is het enorm achterhaald.

Alles is te substitueren als het nodig is, je kan enkel de daadwerkelijke bestanden intelligent analyseren.

[thomasmoors]

Encryptie != hashing. Iedereen heeft unieke sleutels. Daarnaast al was het wel hashing, dan nog is een minuscule aanpassing of toevoeging van een salt genoeg om de volledige hash te veranderen.

[PatrickH89]

Dat IS een vorm van een achterdeur. Het maakt de encryptie slechter en dat is ongewenst. Of dat zou het moeten zijn.

[Reactie gewijzigd door PatrickH89 op 23 juli 2024 16:31]

[PhantomPotato]

De data is encrypted zoals nu, maar er is directe toegang tot een hash van de media in het bericht bijvoorbeeld. Mocht deze hash in een database staan van bekende kinderporno, is dat voldoende bewijs zonder het bericht gezien te hebben. Je gewone vakantiefoto's staan niet in deze lijst, en zijn ook nog steeds encrypted, dus ben je veilig.
Dat was wat henk dus bedoelt. Er is geen backdoor in de encryptie zelf.

Je kan beargumenteren dat zo de key kan worden gebrute-forced als de bekende hash kan worden ge-reverse engineered, maar een onbekende salt of pepper in het bericht zelf maakt dat weer onmogelijk met alleen de hash van de media.

[PatrickH89]

Ik snap wat bedoeld wordt, maar dat betekent dus dat er alsnog hashes van content bijgehouden worden. Als daar een dictionary van bekend is dan hoeft daar niet alleen kinderporno in te staan. Het is dus een bepaalde vorm van een achterdeur (niet letterlijk in de encryptie zelf). Van de kinderporno zal dan een dictionary zijn, maar wat houdt zekere partijen tegen om ook hashes van andere content bij te houden?

[PhantomPotato]

Dat zal alleen van bekende content zijn. Eigen foto's zullen dat niet zijn.
Enige waar dat een probleem zal zijn is landen waar mensenrechten niet worden gerespecteerd, zoals China. Mocht je een pro-Hong Kong poster delen die bekend is, kunnen ze je proberen te vervolgen ja, maar bij dergelijke content is de context belangrijk, bij kinderporno is het bezit al verboden, dus geen context nodig.

[PatrickH89]

Dat is dus exact de reden van encryptie, dat niemand weet wat erin staat. Arbitraire hashes die bijgehouden worden (waarom zou de overheid alleen van kinderporno een terrorisme content hashes bijhouden?) verzwakken deze encryptie en dat is een probleem. De criminelen zullen een andere tool gaan gebruiken en normale mensen hebben verzwakte encryptie.

[roelboel]

Hoe controleert iemand (“de overheid”) of de hash de werkelijke hash is?

[henk717]

Via een database aan centrale hashes, kan je eventueel ook dusdanig opzetten dat je bij de politie via een gratis API kan controleren of een hash kinderporno betreft waarbij de app handelt zodra er een match is. Op die manier wordt anoniem de data gecontrolleerd gezien er geen identiteitsgegevens worden meegezonden.

[comecme]

Door het in een wet vast te leggen? Dat is toch ook hoe ze denken een achterdeur af te kunnen dwingen?

[White Feather]

Hij roept de Europese Unie op een wet aan te nemen die zo'n achterdeur mogelijk maakt.

Eerder zei Grapperhaus dat dat niet het Nederlandse kabinetsstandpunt is.

Sorry hoor, zit je daar nu voor je eigen ego/jezelf?

Of zit je daar omdat je een volk/regering vertegenwoordigd?

Het kabinet is in ieder geval nog een soort van afspiegeling van een meerderheid van de bevolking.

Dit soort mensen mag je van mij direct de kamer uit gooien. Ik vind dit gewoon misbruik maken van de macht die ze gegeven is. Het zou voor mij als kamerlid (als ik het zou zijn ) ook een reden te zijn om een motie van wantrouwen te starten.

En dan vinden ze het gek dat het volk werkelijk niets met politiek meer heeft, rara.

[TLLRS]

Ik denk dat je een paar dingen door elkaar haalt. Het kabinet is niet hetzelfde als de (tweede) kamer.
Het kabinet is de executieve macht en wordt door de koning benoemd. Met steun van de tweede kamer is tegenwoordig de traditie. Grapperhaus is een kabinetslid, door de koning benoemd. Hij is echter door een coalitie in de tweede kamer voorgedragen.

De tweede kamer is de wetgevende instelling en wordt door ons verkozen. Theoretisch is het niet de bedoeling dat de tweede kamer een afspiegeling is van de maatschappij, maar 'de besten onder ons' zouden moeten plaatsnemen. Anders zou maar 15% van de kamer een WO-opleiding hebben genoten, wat resulteert in een lagere kwaliteit bestuur en wetgeving.

'Het volk' of de gemiddelde inwoner zal nooit iets met politiek hebben omdat de meerderheid van de kwesties en dossiers te complex zijn om zich 1-2-3 in te verdiepen. Daar begint ook het populisme, die doen alsof alles heel simpel is.

[Reactie gewijzigd door TLLRS op 23 juli 2024 16:31]

[Anoniem: 951889]

Anders zou maar 15% van de kamer een WO-opleiding hebben genoten, wat resulteert in een lagere kwaliteit bestuur en wetgeving.

Als ik kijk naar de egoïstische omhooggevallen balletjes die via-via door de uni heen gefietst zijn en via connecties van pappie een carriëre in de politiek ambiëren en egocentrische zelfverrijkers die vanuit het bedrijfsleven komen om lekker wat rechtse wetten door te drukken (Rutte!) moet ik het heel erg oneens zijn met die stelling.

Er zitten wellicht een aantal weldenkende mensen tussen maar die houden het nooit lang vol

[White Feather]

Ik doelde op afspiegeling als zijnde de keuze van de bevolking (qua stemmen), niet dat er daadwerkelijk bakkers, slagers, automonteurs, ICT'ers in zouden zitten. (al zou dat laatste wel erg handig zijn )

Uiteindelijk komt het kabinet natuurlijk voort uit de regerende partijen, meestal dus een meerderheid van de kamer/stemmen.

[Jerie]

We hebben in Nederland nou eenmaal geen directe democratie, of referendum (HAHA!).

[Fido]

Correct me if i'm wrong, maar is dit überhaupt wel technisch te realiseren met de huidige encryptiestandaarden? Je hebt een private key en een public key. Afhankelijk van het doel kan je met de public key een bericht encrypten dat alleen met de private key te decrypten is, of met de private key een bericht encrypten dat met de public key is te decrypten. Daar zou dan een sleutel aan toegevoegd moeten worden die altijd kan decrypten.

Bemoeienis van de politiek ook altijd... zucht

[Khrome]

Dit is onmogelijk om te realiseren.

Het blijft gewoon mogelijk een eigen app met eigen encryptiemethodes te (laten) programmeren.

Zelfs het verbieden van programmeren gaat niet helpen, omdat de groep die je hiermee wil raken juist laak heeft aan wettelijke beperkingen....

[The Zep Man]

Correct me if i'm wrong, maar is dit überhaupt wel technisch te realiseren met de huidige encryptiestandaarden?

Nee. In de cryptografie spreekt men vaak van Alice, Bob en Eve. De overheid is als elke andere Eve, en je kan daar geen uitzondering voor maken zonder in te leveren op beveiliging.

Men vergeet ook dat 'de overheid' niet een enkele partij is. Het zijn mensen die fouten gaan maken. Tevens zijn er meerdere overheden. Tevens is er geen technisch verschil tussen overheden en criminele organisaties, in zowel wat zij kunnen als wat zij ter beschikking hebben qua middelen.

Een ketting is zo sterk als de zwakste schakel. Een achterdeur is de zwakste schakel waardoor niemand die ketting gaat gebruiken.

[Reactie gewijzigd door The Zep Man op 23 juli 2024 16:31]

[ThaWalrus]

Als je het puur hebt over public-key cryptography is het inderdaad zo dat er geen 'loper' gemaakt kan worden.

Maar, je kunt wat je wilt wel degelijk bereiken: Door een eenmalige key-pair te gebruiken om de inhoud te versleutelen en deze key-pair te versleutelen voor zowel de ontvanger(s) als de overheid. Dit is standaardpraktijk bij het versturen van berichten naar meerdere ontvangers.

[Anoniem: 951889]

Het is technisch onmogelijk met de huidige standaarden, én het is economisch onmogelijk omdat Europa dan in een soort Noord Korea verandert met zijn eigen internet en eigen computersystemen. Als deze wet er op de een of andere manier toch komt verhuis ik naar een ander continent, en dat meen ik met heel mijn hart én verstand.

[jpsch]

Want een achterdeurtje kan niet door criminelen of spionerende landen gebruikt worden?

[Stoelpoot]

Nee, want dat is wettelijk verboden, snap je? Anno 2019 houden criminelen zich toch gewoon netjes aan de wet?

[Erazher]

Here we go again.

Wat voor nut heeft een encryptie nog als die een achterdeur heeft, dan gaat ze toch naar een andere variant of software?

[Simkin]

Zo oliedom en nutteloos. Zij die willen, encrypten hun zaakjes zelf wel.