'Belgische en Nederlandse politie hebben cryptotelefoondienst Sky ECC gekraakt'

In België is dinsdag een grote politieactie aan de gang en dat zou te maken hebben met het kraken van berichtendienst Sky ECC. Die dienst verkoopt telefoons en abonnementen voor versleuteld berichtenverkeer. Overheidsdiensten zouden de dienst gekraakt hebben.

Marketing van Sky ECC

Volgens het Vlaamse P-magazine zijn er dinsdag sinds vijf uur 's ochtends meer dan tweehonderd invallen gedaan door de Belgische politie. Het federaal parket bevestigt dat tegenover de website. De grootscheepse actie zou volgens een bron op touw zijn gezet na het kraken van cryptotelefoondienst Sky ECC, waardoor de politie maanden heeft mee kunnen lezen met onder andere drugscriminelen.

De politie bevestigt dat de communicatie tussen verschillende verdachten al een tijd gevolgd werd. Het Parool schrijft dat er al langer geruchten zijn dat Sky ECC gekraakt zou zijn en dat ook Nederlandse overheidsinstanties daarbij betrokken zijn geweest.

Sky ECC prijst zichzelf aan als een dienst voor versleutelde berichten en verkoopt daarvoor geprepareerde telefoons en abonnementen. Het bedrijf zegt dat iPhones, Google Pixel-toestellen en een aantal BlackBerry-modellen compatibel zijn met de dienst. Een abonnement kost 2200 euro per jaar of 600 euro voor drie maanden.

Het bedrijf werkt met eigen servers waar het de versleutelde berichten opslaat en prijst zichzelf aan als het veiligste berichtenplatform ter wereld. De dienst is vergelijkbaar met EncroChat, dat door de Nederlandse en Franse politie werd gekraakt en waardoor maandenlang meegelezen kon worden met criminelen.

Reacties (207)

[3raser]

Ligt het aan mij of is de Nederlandse politie erg goed in haar digitale opsporing? Ik ga er een beetje vanuit dat ze een server van Sky ECC hebben overgenomen om dit voor elkaar te kunnen krijgen. Maar de berichten waren dan ook niet heel sterk versleuteld, of niet end-to-end encrypted.

Ik denk dat de makers van Sky ECC zich nu wel een tijdje schuil moeten houden. Met zo'n clientèle wil je niet wachten totdat er iemand bij je langs komt om te vragen hoe dit nu kon gebeuren.

[BeepBoop]

Ik ga er een beetje vanuit dat ze een server van Sky ECC hebben overgenomen om dit voor elkaar te kunnen krijgen. Maar de berichten waren dan ook niet heel sterk versleuteld, of niet end-to-end encrypted.

Ik verwacht dat de MO hier exact hetzelfde was als EncroChat

• Lokaliseer server die verantwoordelijk is voor OTA updates
• Image deze server en doe research
• Fake downtime bij de provider en image de server nogmaals, en mirror deze image op een nieuwe server onder je eigen controle
• Start met het verspreiden van malafide OTA updates die sleutelmateriaal, MAC addressen en meer doorsturen naar een centrale server
• ???
• Win!

[bbob]

Als je dit leest: [quoteHet bedrijf werkt met eigen servers waar het de versleutelde berichten opslaat en prijst zichzelf aan als het veiligste berichtenplatform ter wereld.[/quote]
Dan weet je toch genoeg, zodra berichten op servers worden opgeslagen zijn ze niet veilig. Versleuteling klinkt dan leuk maar via updates kan men als men wil gewoon meekijken.

Op bnr radio hier laatst ook al iemand over gehoord. Die vertelde als je niet op de radar wil komen en dat kom je als je dit soort diensten gebruikt, kun je beter signal gebruiken.
Of je komt een cryptophone.com die bestond al voor snowden en dit een thema was. Geen servers waar berichten worden opgeslagen.

[BeepBoop]

Het komt er eigenlijk gewoon op neer dat zodra een aanvaller software kan draaien op je systeem je hele model uit elkaar valt. Malafide update kan dan op je telefoon gewoon op zoek gaan naar het sleutelmateriaal en oude berichten doorsluizen, of zelfs nieuwe berichten voordat deze versleuteld worden doorsturen naar overheidsdiensten.

E2EE is leuk. Vermoed dat het cryptografische deel netjes in elkaar zit maar zodra je systeem overgenomen word om vervolgens malafide updates uit te sturen dan is het klaar en over.

[bbob]

Bij cryptophone zit er dus geen server tussen en waarom heb je updates nodig als alles werkt. dus telefoon zoals cryptophone geen updates, dan kan men ook niets wijzigen en blijft je verbinding met de ander veilig.

[BeepBoop]

Bij cryptophone zit er dus geen server

Ik weet het nier hoor, maar volgens mij is dat wel het geval https://www.cryptophone.d...0i_Manual_V1.6_Online.pdf

Please note that the CryptoPhone 500i will establish a data connection to stay online (so that you can be reached) and transmits more data when you make or receive a call.

...

You can check for updates for your CryptoPhone 500i’s firmware by opening the "Updater" application and pressing "Search for Updates”.

The phone will connect to GSMK’s update servers

[bbob]

Zoals ik al schreef niet updaten dus. Werkt het dan werkt het.

Je hebt idd een dataverbinding nodig zoals men ook schrijft.
https://nl.wikipedia.org/wiki/Rop_Gonggrijp zit achter de cryptophone, niet de minste

[the_stickie]

een security device niet updaten is niet echt een waterdichte aanbeveling

[bbob]

Security is er ook vele manieren, je telefoon kun je updaten. Een beveilingsapp of app als cryptophone zou je niet hoeven updaten als alles werkt.
Een update betekend immers dat als het bedrijf onder controle van de overheid zou staan die app verander kan worden van veilig naar niet veilig.

Met die keuze hou dan in het achterhoofd dat dit de 2de dienst is onder controle van overheid en waar neem ik aan ook in dit geval updates naar gebruikers gepushed zijn waardoor overheidsdiensten totale toegang gekregen hebben.

Het is dus een keuze die je zelf moet maken.

[Terrestrial]

Wat de politie doet heeft niks met digitale opsporing te maken maar eerder spionage. Ze zetten hosters onder druk en installeren zo malware op de servers van bedrijven die dit soort dienstverlening aanbieden. Daarna luisteren of lezen ze een tijd mee en dan doen ze uiteindelijk een inval. Uiteraard zullen er minder frisse figuren tussen zitten die van zo'n dienst gebruik maken maar er zullen ook een hoop legitieme gebruikers zijn, maar daar hoor je ze niet over.

Wat ze hier doen is het recht op privacy en versleuteling ondermijnen.! Ze proberen systematisch van al dit soort aanbieders af te komen. Ik vind het geen probleem als een crimineel gericht wordt afgeluisterd na toestemming van een rechter, maar iedereen afluisteren gaat veel te ver. Gebruik maken een dienst om je communicatie te versleutelen is niet strafbaar, iedereen massaal afluisteren wel.

[360Degreez]

Uiteraard zullen er minder frisse figuren tussen zitten die van zo'n dienst gebruik maken maar er zullen ook een hoop legitieme gebruikers zijn, maar daar hoor je ze niet over.

Right; Want je koopt bewust een geprepareerde telefoon en betaalt €2000,- per jaar omdat je niets te verbergen hebt. Natuurlijk ben ik het eens met je stelling dat niet zomaar iedereen afgeluisterd mag worden, maar iedereen weet natuurlijk dat het bedrijfsmodel van deze toko bestaat uit het faciliteren van criminele activiteiten.

[Terrestrial]

Nou is dat wel vrij prijzig voor de gemiddelde Nederlander maar een miljonair zou dat waarschijnlijk heel vanzelfsprekend vinden voor dat extra stuk privacy. Als het voor 150 euro aangeboden zou worden zou het ook bereikbaar zijn voor de gemiddelde Nederlander, zou je dan nog zo redeneren?

[i-chat]

en dat is precies de faal van deze toko, als ze 150 per jaar hadden gevraagd en half nederland had er eentje gekocht dan zou de rechter die massale inbreuk niet hebben goedgekeurd.

[Stijnvi]

€150 per jaar is geen gekke prijs
Het zou dan sowieso niet inclusief telefoon kunnen zijn, maar ook zonder telefoon is dat nog een redelijke prijs
Dan is nog aannemelijk dat ook mensen die gewoon heel erg van hun privacy houden het willen gebruiken

Maar €2200 per jaar is wel heel extreem
Dan moet je wel heel erg veel van je privacy houden en dan moet je bijna altijd wel wat te verbergen hebben voordat je zoveel geld er aan uitgeeft

[Dabbel]

Ik zou zeggen dat alle hoge management bij multinationals hier gebruik van kunnen/willen maken. Die hebben zowat allemaal te maken met corporate espionage.
Iedereen die china vaak in en uit reist en een bedrijf representeert.
Iedereen die op de shortlist van de NSA/CIA staat.(zoals Angela Merkel)
Onderzoeksjournalisten die gevoelige zaken aan het licht brengen.
Infiltranten/spionnen in oorlogsgebieden.

Dit lijkt mij trouwens geen overbodigheid voor ASML technici die vaak te maken hebben met China.

[Reactie gewijzigd door Dabbel op 22 juli 2024 14:43]

[hmartino]

Want zij vertrouwen dit aan een andere partij toe?
Wil je informatie in huis houden dan is het beter een eigen infrastructuur op te zetten en alle derden te verbieden.

[Dabbel]

Ja, net als dat zij knp vertrouwen als telefoon provider? Je moet doen waar je goed in bent. Ik zie een farmaceut niet snel zoiets opzetten voor haar medewerkers. zulke dingen besteed je uit.

[K-aroq]

Waarom zou een miljonair (wat helemaal niet zo'n exclusieve groep meer is tegenwoordig, bijna 3 procent van de bevolking) meer privacy moeten hebben dan een gemiddelde Nederlander? De miljonairs die ik ken leven echt niet anders dan wij eenvoudige stervelingen.

[sympa]

En miljonairs hebben ook vrienden die geen miljonair zijn. Willen ze ook mee communiceren, heel apart is dat.
Mer kans dat - mocht er iets meer prive moeten blijven dan gemiddeld - men het 1 op 1 bespreekt.

[bbob]

Klopt maar er zitten ook advocaten onder de doelgroep. Je weet dat de overheid gesprekken met advocaten niet mag afluisteren maar dat dit als jaren gewoon per ongeluk gebeurt.

Groot deel van de klantenkring zal idd tot crimineel behoren en dan ook nog dom crimineel want ze zouden beter moeten weten na encrochat dat dit soort diensten die berichten op servers bewaren niet veilig zijn.

[Aerophobia1]

Maar als het foute advocaten of beamtes zijn en de rechter toestemming heeft gegeven deze personen af te luisteren?
Vaak gooien ze eerst een beetje specifieke informatie naar zo'n verdacht persoon.
Als die informatie dan ergens anders weer opduikt.
Dan weet je dat een advocaat of agent gevoelige informatie aan het lekken is.
Ze weten waarschijnlijk al precies welk telefoon nummer bij welk persoon hoort.
Door er eentje uit het netwerk op te pakken en die telefoon de contacten uit te vissen.
Dan wordt er toestemming gevraagd bij een rechter.
Dan pas wordt er afgeluisterd.

[bbob]

Je geeft zelf het antwoord als er toestemming van een rechter is mag men foute advocaat onderzoeken/afluisteren.

Zoek je echter de afgelopen jaren dan zijn er te veel voorbeelden van afgeluisterde gesprekken die per ongeluk zijn opgenomen. Daar is al heel veel jaren veel om te doen.

[metalmania_666]

Er is ook nog een andere groep personen die hier gebruik van (kunnen) maken.
Dat zijn de topfiguren van multinationals.
Politici noem ik hier bewust niet, want die krijgen als het goed is een telefoon uitgeleverd die geprepareerd is door de AIVD/MIVD
Die willen ook graag dat wat er wordt besproken veilig blijft

[JackBol]

Die topfiguren hebben liever iets onder beheer van hun eigen CISO dan van een random clubje op het internet. Ik vraag me af waar dat intrinsieke vertrouwen in clubs zoals Sky ECC vandaan komt. Dat is compleet ongefundeerd.

[Dabbel]

Ik zou zeggen dat alle hoge management bij multinationals hier gebruik van kunnen/willen maken. Die hebben zowat allemaal te maken met corporate espionage.
Iedereen die china vaak in en uit reist en een bedrijf representeert.
Iedereen die op de shortlist van de NSA staat.(zoals Angela Merkel)
Onderzoeksjournalisten die gevoelige zaken aan het licht brengen.
Infiltranten/spionnen in oorlogsgebieden.

Dit lijkt mij trouwens geen overbodigheid voor ASML technici die vaak te maken hebben met China.
Maar natuurlijk ook criminelen.

[Reactie gewijzigd door Dabbel op 22 juli 2024 14:43]

[hp197]

Bedrijven die hun kroonjuwelen (lees: bedrijfsgeheimen) geheim willen houden lachen om die 2000 euro per jaar.
Wie heeft er ooit gezegd dat alleen (criminele) particulieren gebruik maken van dit soort services?

[JackBol]

Dus vertrouw je je info toe aan een random bedrijf op internet? I fail to see the logic here.

[AbelPelser]

Dus jouw argument hier is dat mensen die "te veel" (wat dat dan ook mag zijn) om hun privacy geven afgeluisterd mogen worden, omdat ze dan "overduidelijk" criminelen zijn? Of je iets te verbergen hebt of niet doet er niet w.b het recht op privacy.

[HndSm]

niets/iets te verbergen hebben en privacy zijn niet dezelfde dingen.

[joszman_tweak]

Iedereen die zijn deur op slot doet en de gordijnen dicht is uiteraard een crimineel

[Stijnvi]

Dit is meer:
Iemand met een 5 meter hoge muur met schrik- en prikkeldraad om z'n huis die zo stevig is gebouwd dat hij niet te forceren is, zodat hij ook een politieagent met huiszoekingsbevel kan negeren en dat ook zal doen

[themadone]

Oh is dat zo? Ik had hier na installatie van beveiligingscamera's ook ineens midden in de nacht politie op bezoek, waren op zoek naar een plantage.... Nou heb ik die niet dus dat scheelt.

Maar waarom het beveiligen van mijn mooie spulletjes meteen associaties met criminaliteit oproept gaat volledig aan mij voorbij.

In andere landen mag je mensen gewoon van je erf afknallen, dat mag hier niet, dus plaatsen we maar een stevig hek voor het geval er weer een inbraak golf voorbij komt.

Ik heb een beetje het idee dat het nooit goed is voor alle deugers, nee je hoeft niet in mijn woonkamer te kunnen loeren vanaf de straat, nee je bent niet welkom in mijn tuin. En hoe ik mijn geld verdien is nondeju niet iets waar je je zorgen over hoeft te maken buurman.

[themadone]

Ja, want dan kunnen de buren niet zien of je die leuke auto wel legaal hebt verdient. Dit land is gek geworden.

[3raser]

Toch heb ik dit veel liever dan de plannen om encryptie te verzwakken. Daar zijn letterlijk alleen legitieme gebruikers de dupe van aangezien misdadigers zich toch niet aan de regels van verzwakte encryptie houden.

[bbob]

Schreef het hier al encryptie verzwakken bestaat, daarmee bedoel je dan een zwakke encryptie die door iedereen te kraken is.
Het verkoopt echter mooi en tweakers doet er ook nog aan mee.
Wat er feitelijk bedoeld wordt is de overheid wil een masterkey tot de encryptie om dan op verzoek alles te kunnen ontcijferen.

[uiltje]

Het staat wel op gespannen voet met Kerckhoff's principle natuurlijk (Kerckhoff was overigens een Nederlander, ironisch genoeg). Of tenminste principe #2 die voor het gemak zo wordt aangeduid: "It should not require secrecy, and it should not be a problem if it falls into enemy hands;". Dat wordt onderuit gehaald als er een enkele master key is.

Buiten dat bestaan er heel veel soorten versleuteling: er is niet zomaar een algoritme te verzinnen die overal op toepasbaar is. Hier wordt vaak volledig aan voorbijgegaan. We hebben al genoeg problemen om 3DES en SHA-1 te vervangen: ik vraag me altijd af wat algoritme X dan wel niet moet zijn die dit allemaal even regelt: sommige systemen zouden compleet herschreven moeten worden, en misschien zitten niet alle software makers hier op te wachten.

[Reactie gewijzigd door uiltje op 22 juli 2024 14:43]

[merbaum]

en hoeveel resources denk je dat criminelen er in gaan stoppen om die masterkey te kraken?

[Maxxi]

Er bestaat geen master key, alleen in de film

[YopY]

Veel, en waarschijnlijk hoeft dat niet eens, want hoeveel mensen krijgen toegang tot die master key? Er hoeft maar 1 verkeerde tussen te zitten.

En het zijn niet alleen criminelen, ook regeringen hebben veel geld over voor dit soort zaken. En privébedrijven, zo is er de NSO Group of Cellebrite die o.a. / waarschijnlijk de FBI geholpen hebben om bij de data van een iphone te komen. Dit soort bedrijven hebben geld over voor exploits, zodat zij ze hebben zonder dat bijv. Apple er vanaf weet.

Het probleem met een master key is dat je niet weet wie er eentje heeft. En als je hem kwijt bent is het lastig om een nieuwe te maken.

[Reactie gewijzigd door YopY op 22 juli 2024 14:43]

[bbob]

als eens gedacht aan overheden rusland, china die daar veel geld in zouden willen stoppen ?

[JackBol]

Er is geen master key. Ze willen een weakness in het algoritme zodat het makkelijker te kraken is.

[b12e]

Het probleem dat daar ontstaat is dat de politie of overheid dan een "masterkey" heeft om bvb Whatsapp berichten te kunnen ontsleutelen, maar dat criminelen die hun berichten PGP encrypten en zo via Whatsapp versturen alsnog buiten schot blijven.

Je kan dan wel afdwingen dat encryptie verzwakt moet worden, maar net zoals je nu afdwingt dat cocaine niet verkocht of bezit mag worden, zal je zien dat de criminelen er zich niks van aantrekken.

[Reactie gewijzigd door b12e op 22 juli 2024 14:43]

[MrFancyPantss]

Dat is het net, een masterkey enkel voor overheden bestaat niet. De kans dat die lekt of buitgemaakt wordt, is reëel.

[FreezeXJ]

Tja, en vermoedelijk is ook hier weer netjes toestemming van de rechter voor het aftappen geweest, want als ze dat op eigen houtje doen, is de hele zaak stuk.

Dat recht op privacy heb je, en hou je, maar soms moet jouw recht inschikken omdat anderen misbruik maken van hun stukje. Mocht je vinden dat oom agent nu ook jouw privacy aantast met het aanpakken van deze servers, dan ben ik benieuwd naar de rechtszaak daarover. Ik vrees alleen dat je dan aannemelijk moet kunnen maken dat er een agent meer deed dan z'n bevel vroeg (zoals jouw berichtjes lezen terwijl duidelijk was dat je een niet-gerelateerd bedrijf runt), en dat wordt lastig.

Vermoedelijk (speculatie alom uiteraard) wordt de dienst zo veel gebruikt door minder frisse personen dat de rechter de afweging wel durfde te maken, en gaan we horen dat 90% van het verkeer voor onwettige doeleinden was.

[Tintel]

Feitelijk maken die anderen (criminelen) ook geen misbruik van hun recht op privacy (= encrypted berichten verkeer).
Het is meer dat de politie van de rechter toestemming heeft gekregen (hopelijk) om mee te luisteren om zo crimininele activiteiten/mensen op te sporen.

Als 90% van de gebruikers crimineel is dan nog is het de vraag of je alles mag afluisteren... waar ligt die grens? Want opeens is dus iedereen verdacht om dat ze toevallig niet willen dat anderen weten wat ze elkaar vertellen.

Altijd beetje dubbel gevoel; heel fijn dat criminelen worden opgepakt maar als dat privacy kost dan twijfel ik weer.

[i-chat]

kom op als je zo'n 200 per maand betaald om het 'onmogelijk' te maken afgeluisterd te worden door de overheid dan is dat percentage wel een beetje hoger dan 90% normale mensen zoals jij en ik nemen een normale telefoon met een end-to-end (liefst opensource / zelfhosted) berichtendienst.

jan modaal gaat echt geen 2k uitgeven voor een onafluisterbare telefoon! die betaald liever zijn hypotheek af.

[Tintel]

Tja - tenzij je werk doet wat een hele hoge geheimhouding vereist of al een keer het slachtoffer bent geworden van bedrijgsspionage. Ik zeg niet dat ik weet dat zo is maar andersom kun je niet stellen dat alleen criminelen veel geld over hebben om iets geheim te houden.

De stelling dat Jan Modaal het niet doet - en geen crimineel is - betekent niet dat alle mensen die geen Jan Modaal zijn, dus meteen ook crimineel zijn.

Daarom noemde ik dat de grens een probleem is waarbij dan ook nog eens geldt dat je schuld eerst moet worden vastgesteld voordat je kan worden aangemerkt als crimineel.

Het is een beetje als: heb je liever 1 onschuldig persoon in de gevangenis of 10 schuldigen die de dans ontspringen?

[killercow]

Voor het oprollen van het Brebonet botnet hebben ze dit toch echt allemaal buiten de gerechtelijke ruimte gedaan die ze hadden. Helaas dacht de rechter (en de politek) toen, whoa, das cool!, laten we die overtreding van de politie maar tot wettelijke optie upgraden.

[lmartinl]

Die ratio gaat natuurlijk enkel op zolang

1) zowel de rechter die vooraf een beslissing maakt als het controle orgaan dat achteraf controleert of alles wel sjofel gaat a) goed geïnformeerd kunnen werken + over voldoende kennis beschikken en b) daadwerkelijk macht hebben in te grijpen

2) het als burger ook daadwerkelijk achteraf mogelijk is a) erachter te komen dat je rechten geschonden zijn b) je je recht kun halen.

Ik ben het in principe met je stelling eens, maar vind dat mijn punten 1 en 2 doorgaans onvoldoende geborgd worden

[FreezeXJ]

Ik zie het probleem, en dat is vooral dat beide einden van het spectrum foute boel zijn.
Eindpunt 1 is dat iedereen massale privacy heeft, alles mag tenzij het persoonsgegevens bevat natuurlijk. Politie kan niks meer want ze mogen niet eens een aangifte opnemen, stel je voor dat het de verkeerde persoon is, dat zou rampzalig zijn voor de privacy van die persoon. Iets onderzoeken kan alleen als die persoon vrijwillig vertelt wat ie mispeuterd heeft, want je mag er niet eens naar vragen.

Het andere eindpunt is dat je privacy niet bestaat, de staat mag alles van je weten, en we gaan richting Noord-Koreaanse of Kafkaesque praktijken, en de politie kan gewoon lekker trailen. Wil je ook niet.

Waar we nu zitten is dat we een redelijke bescherming vanuit de wet hebben, dat de rechters achteraf netjes checken of iedereen zich aan de regels houdt, en vooral: dat je aankomende week weer mag stemmen over wie die regels maakt. Gebruik het, zodat we in het midden blijven

[Terrestrial]

Nee, ik heb nooit gezegd dat iedereen en altijd recht op 100% privacy heeft, maar het uitgangspunt moet wel privacy zijn. Er zit een extreem groot verschil tussen gericht iemand afluisteren omdat daar een goede reden voor is of iedereen die versleuteling gebruikt afluisteren omdat het makkelijk is. De politie moet terug naar ouderwets rechercheren, dat daardoor wat minder criminelen gepakt worden kan ik mee leven.

Wat er nu gebeurt is een gevaarlijke ontwikkeling, iedereen letterlijk iedereen heeft wel wat te verbergen. Dat kan iets compleet onschuldigs zijn maar door massa surveillance kan alles gebruikt worden om je te chanteren of informatie af te dwingen of je bepaalde keuzes laten maken. Kennis is macht en macht corrumpeert. Ja maar dat doet oom overheid toch niet, want daar werken alleen integere mensen? Kijk inderdaad is naar de politiek want die staan aan het roer, en die mensen liegen nooit tegen je zeker? Right.

En om even terug te komen op die AVG privacy wetgeving, die is er voor de bühne, aan de ene kant maken ze een wetgeving om het de samenleving moeilijker te maken, aan de andere kant maken ze wetten waarbij er steeds meer informatie wordt uitgewisseld, neem bijv. PSD2 wat een enorm inbreuk is op de privacy.

[Reactie gewijzigd door Terrestrial op 22 juli 2024 14:43]

[bbob]

versleuteling verzwakken, niet grapje napraten he. Verzwakken is letterlijk wij willen een masterkey.
als je de versleuteling zou verzwakken dan zou iedereen eenvoudig een aanval kunnen doen.

Maar verzwakken is leuk wat als je dan een niet eu open source app gebruikt waar geen achterdeur in zit. Zullen die verboden worden ?

[CypherCell]

Misschien een slecht voorbeeld, maar kijk naar een programma als Hunted. Als je toevallig in contact bent geweest met iemand die voortvluchtig is of ze weten je op een of andere manier te linken aan die persoon, dan krijg je ook een tap. Het zal wat overdreven zijn in het programma, maar er zal zeker een kern van waarheid in zitten met betrekking tot de mogelijkheden die ze hebben.

Als je het allemaal op een rij zet wat de mogelijkheden etc. zijn die de overheid (politie) heeft, dan kun je eigenlijk concluderen dat privacy iets is wat niet bestaat.

[Terrestrial]

Ik mag hopen dat het programma fake is, want daar heb ik ook wel eens een discussie over gevoerd. Dat mensen vrijwillig meedoen aan zo'n programma's wil nog niet zeggen dat hun vrienden en kennissen hebben ingestemd om afgetapt te worden en dat voor een lullig TV programma met geen enkele vorm van rechtsgeldigheid. Als ze dat zomaar doen weet je ook meteen hoe corrupt de overheid is hier. En dat is nu exact waarom ik deze hele actie af keur!

[SED]

Als ze dat zomaar doen weet je ook meteen hoe corrupt de overheid is hier.

Dus omgekeerd als ze het niet doen is onze overheid zeer betrouwbaar.
Goed om te weten maar beide opties zijn volslagen onzin!

[K-aroq]

Er is volgens mij niets mis met wat hij schrijft. De wereld is niet binair.

[Osiummaster]

Het is een geheel binaire zin en mensen die blijven doen alsof het een "grijs" gebied is vormen een groot probleem voor onze vrijheid. Als de politie stelselmatig iedereen aftapt onder het mom van sleepwet e.d. hebben we dus geen privacy en ook geen recht op privacy.

China is a democratie want dat claimen ze
Acties geen woorden.

[Reactie gewijzigd door Osiummaster op 22 juli 2024 14:43]

[blorf]

Ik heb mijn twijfels bij de waarheid van dit verhaal. Door dataretentie-plicht van telecom-providers is bij elk toestel is te achterhalen met welke online services er verbinding is geweest. Oftewel, elk toestel dat gebruik maakt van Sky ECC kan actief gevolgd worden.
Criminelen zijn niet achterlijk. Die communiceren binnen de massa, niet via een op netwerk-niveau gescheiden systeem.

[field33P]

Ja, maar dan hebben ze niet de inhoud van de berichten, en ‘communiceren met anderen via een communicatiedienst waarbij het grootste deel van het klantenbestand toevallig georganiseerde criminelen zijn’ is geen strafbaar feit. Bovendien weten ze op basis van de metadata ook niet naar wie de berichten verzonden worden, alleen dat er data uitgewisseld wordt.

[blorf]

Hoe belangrijk is dat? Een netwerk van drugsdealers is zo tot op de persoon in kaart gebracht met alleen maar informatie over welke toestellen vanaf welke locaties waarmee verbinding gehad hebben. Waar ze het over hebben is al bekend.

[Stijnvi]

maar er zullen ook een hoop legitieme gebruikers zijn

Welke legitieme gebruiker gaat €2200 per jaar betalen om berichten te versturen?
Al helemaal terwijl Whatsapp, Telegram en Signal gratis zijn
En SMS bestaat ook nog steeds
Tenzij je heel veel te verbergen hebt zijn die diensten gewoon veilig genoeg

[the_stickie]

Ik kan best wel wat 'high profile targets' bedenken die mogelijk bewust kiezen voor een commerciele oplossing, no matter the cost. 2200€/jaar is peanuts.

Uiteraard doen die dat om iets te verbergen. Dat kan voor de wetgever zijn, maar ook voor concurrenten of "overheidsinstantanties"... maar 't heft nit altijd crimineel te ijn - alleen uiterst geheim. het soort dat je niet toevertrouwt aan Whatsapp of Signal?

[Stijnvi]

Dat zou inderdaad kunnen
Maar de kans dat je iets wil verbergen voor de overheid wat niet illegaal is, is zeer klein
En als ze het inderdaad alleen voor concurrenten willen verbergen, dan hoeven ze zich geen zorgen te maken, want dan zal de overheid er niks mee doen

Het gaat er vooral om dat deze dienst voornamelijk door criminelen gebruikt wordt, en dat het aandeel legitieme gebruikers erg klein zal zijn

[sympa]

En dat dan willen kopen bij een zaak die geen bonnetjes geeft, en geen klantenadministratie bijhoudt?

[AbelPelser]

Om je privacy geven staat niet gelijk aan misdaad. En als je denkt dat SMS veilig is...

[dimitrivisser]

Ik vind het geen probleem als een crimineel gericht wordt afgeluisterd na toestemming van een rechter, maar iedereen afluisteren gaat veel te ver. Gebruik maken een dienst om je communicatie te versleutelen is niet strafbaar, iedereen massaal afluisteren wel.

Kan je er bij deze dienst niet automatisch vanuit gaan dat het enkel wordt gebruikt door criminelen? E 200 per maand voor een Whatsapp alternatief is voor een normale burger toch iets te gek.

[Schockie]

De meerderheid van de mensen die Sky ECC gebruiken zullen wel in een niet zo fris milieu zitten. Maar er zijn echt wel genoeg mensen die wel wat geld zouden neerleggen voor een gevoel van privacy zonder dat zij zich bezighouden met illegale zaken.

Alleen het gebruikt van deze dienst is echt geen reden om deze communicatie te proberen onderscheppen.

[Reactie gewijzigd door Schockie op 22 juli 2024 14:43]

[j4nhertog]

Ik vind de distinctie tussen opsporing en spionage die je maakt nogal arbitrair en gekleurd. Waar houdt opsporing op en waar begint spionage? Als je een rechtstaat wilt zijn (ik durf te stellen dat Nederland steeds minder een rechtsstaat is), dan dien je je eigen wetten te volgen. Als er wetten zijn tegen drugshandel (ik ben voor legalisering; soit) dan moet de politie daartegen op kunnen treden. In een digitaliserende wereld heb je dan niet alleen speurhonden en ondervragingen nodig maar ook andere middelen. Wat voor oplossing draag je dan aan? Ik voorzie dat als de politie hier niks tegen kan doen, dat de criminele economie oneindig door blijft groeien. Dan zijn we niet alleen een belastingparadijs, maar ook een cocainerepubliek en geen rechtsstaat.

[Kain_niaK]

Gebruik dan gewoon member.cash of de functionaliteit in je bitcoin wallet.

Politie doet puik werk, hopelijk blijven criminelen nog jaren zo dom.

[aval0ne]

Wie zegt dat er geen toestemming was van een rechter?

[nightraven79]

Belgische justitie kennende zal die toestemming er wel geweest zijn.
Al zeker omdat het parket zélf met de info naar buiten kwam... gaan ze nooit doen als niet alles juridisch in orde was

[Ronwiel]

In dat opzicht is "Het is oorlog maar niemand die het ziet" een goede leestip.Huib Modderkolk toont aan de hand van zijn eigen onderzoek aan welke rol inlichtingendiensten in NL in de wereld spelen. TLDR: NL behoort op dat gebied tot de top van de wereld.

[Boudewijn]

Dat boek gaat over inlichtingendiensten. dit artikel over de politie.

In principe zijn dat twee compartimenten, info van de eerste kan nooit in een rechtzaak (van de tweede) gebruikt worden. Dus een tendentieuze comment.

[WillySis]

Politie en inlichtingendienst werken best wel eens samen.
Bij de AIVD werken een aantal mensen die heel goed zijn in het kraken van beveiligingen. Daar de politie en de AIVD een gezamenlijk belang hebben (misdaad / terrorisme) ligt samenwerking hier voor de hand. Als de encryptie eenmaal gekraakt is kunnen politie en AIVD gewoon hun eigen informatie gaan verzamelen.

Voor rechtszaken is er dan geen enkel probleem. Dat zou er ook niet zijn als de politie een bedrijf inschakelt om de encryptie te kraken, of de techniek gewoon koopt.

[Jerie]

Politie en inlichtingendienst werken best wel eens samen.

Klopt, op zijn minst via ambtsberichten. Daarnaast valt te denken aan deconflictie. Maar binnen de AIVD (en de politie ook) is ook sprake van compartimentering (compartmentalization). Daardoor kun je voorkomen dat geheime informatie lekt. Een lek in iets (zoals het camerasysteem van GRU, of een lek in EncroChat) wil je vanuit offensief oogpunt (en offensief die vinden het 9 van de 10 keer) voor je eigenbelang bewaren.

[Maxxi]

Hoeft niet om bewijs te gaan, kan ook technische expertise zijn.

[Soldaatje]

Dit klopt niet helemaal, het bewijs kan toelaatbaar zijn, dat is dan aan de rechter:

Een onderzoek door een inlichtingen- en veiligheidsdienst vindt plaats buiten de verantwoordelijkheid van de politie en het openbaar ministerie. De wetgever heeft de toetsing van de rechtmatigheid van het handelen van de AIVD toebedeeld aan de CTIVD. Dat daarmee de rechtmatigheidstoets aan de strafrechter onttrokken is en art. 359a Sv niet van toepassing is, neemt niet weg dat in een strafprocedure waarin van een inlichtingen- en veiligheidsdienst afkomstig materiaal voor het bewijs wordt gebruikt, moet zijn voldaan aan de eisen van een eerlijk proces. De strafrechter moet toetsen of dat het geval is. Onder omstandigheden mogen de resultaten van het door een inlichtingen- en veiligheidsdienst ingesteld onderzoek niet tot het bewijs worden gebezigd, bijvoorbeeld indien het optreden van de betrokken dienst een schending van de aan een verdachte toekomende fundamentele rechten heeft opgeleverd die van dien aard is dat daardoor geen sprake meer is van fair trial als bedoeld in art. 6 EVRM. (Vgl. HR 5 september 2006, ECLI:NL:HR:2006:AV4122, NJ 2007/336.)

uit een strafzaak over afluisteren journalisten door Aivd 2015. https://uitspraken.rechts...nt?id=ECLI:NL:HR:2015:768
Juist op cyber gebied zijn er ook afspraken gemaakt: https://zoek.officielebek....nl/stcrt-2020-30702.html

[Reactie gewijzigd door Soldaatje op 22 juli 2024 14:43]

[vide]

Daarvoor gebruik je dan ook "parallelle constructie": op basis van die onbruikbare informatie kom je toch wel "ineens" op een paar geweldige sporen die wel bruikbaar zijn.

[Boudewijn]

Dan ga je ervanuit dat er geen rechtstaat is en beide organisaties dat soort info met elkaar uitwisselen. Lijkt me een prachtige manier om je juridische case om zeep te helpen als deze voor de rechter komt.

[vide]

Laten we van een rechtstaat vanuit gaan en dat de inlichtingendiensten niet zomaar mensen laten verdwijnen. Dan wil je waarschijnlijk hun informatie niet rechtstreeks gebruiken (kwestie observatie van bepaalde individuen niet te laten uitlekken), maar misschien komt er wel een "anonieme" tip waar de politie wel eens moeten gaan zoeken.

Uiteraard "bestaat" de illegaal verkregen informatie "niet", dan verknoei je inderdaad de rechtszaak.

[Boudewijn]

Tsja als je daarin gelooft ben je wel een redelijke complotdenker . Dan kun je de overheid wel overal van gaan verdenken als je in "anonieme tips" en op die manier informatie witwassen gelooft.

[Reactie gewijzigd door Boudewijn op 22 juli 2024 14:43]

[vide]

Waarschijnlijk dat het in de benelux wel meevalt, maar in de Verenigde Staten is er al wel vaak genoeg gesproken over "stingrays" (bijvoorbeeld https://www.aclu.org/issu...ing-devices-whos-got-them) en hoe die misbruikt worden.

[Anoniem: 428562]

Over ironchat

https://www.rtvoost.nl/ni...itieonderzoek-cryptofoons

'Foute gronden voor onderzoek'

De eerste strafzaken zijn intussen begonnen. De advocaten van enkele verdachten zeggen echter over aanwijzingen te beschikken dat de recherche niet dankzij digitaal speurwerk de berichten kon meelezen, maar dat dat te danken is aan een een criminele verklikker die de politie letterlijk de sleutel in handen speelde. Dat zou betekenen dat politie en justitie op foute gronden het onderzoek zijn gestart. In het uiterste geval kan dat verstrekkende gevolgen hebben voor de rechtszaken.

[bbob]

Dat boek gaat over inlichtingendiensten. dit artikel over de politie.

In principe zijn dat twee compartimenten, info van de eerste kan nooit in een rechtzaak (van de tweede) gebruikt worden. Dus een tendentieuze comment.

hahaha jij geloofd dat info van de eerste niet bij de 2de gebruikt kan worden.

Zie daar de tapwet met je weet wel ongecontroleerde data delen met buitenlandse diensten.
dat gebeurt dan met een buitenlandse dienst en zie daar die tip dan jou tweede en informatie is mooi witgewassen en ook nog volkomen legaal.

[nightraven79]

niets te maken met "geloven" maar met zijn.
bewijs dat illegaal (in het geval van het kraken dus: zonder gerechterlijk bevel) verkregen is wordt aanschouwd als ongeldig bewijs.
in veel landen is het zelfs zo dat legaal verkregen bewijs gevonden dankzij illegaal verkregen bewijs ook uit het dossier dient te worden gehaald en niet meer gebruikt mag worden

[bbob]

Als bewijs via buitenlandse diensten wordt aangeleverd is het voor een Nederlandse rechter niet te controleren hoe dat verkregen is.

[nightraven79]

nochtans is dat niet alleen een basis maar ook in Nederlandse rechtsspraak: indien onduidelijk is dat het bewijs onrechtmatig of illegaal verkregen is dient dat bewijs genegeerd te worden... dus ook indien de rechter dit niet kan controleren

[bbob]

Probleem is als een buitenlandse dienst een tip geeft iets aanlevert kan men niet controleren hoe dit verkregen is en gaat men er van uit dat het rechtmatig verkregen is.
In het land van die dienst moet die dienst ook volgens de wet opereren en bewijs dient dus rechtmatig verkregen te zijn.
Probleem is dat er dus idd geen controle is maar ook dat bijv bewijs van een criminele informant in de USa wel als rechtmatig gezien kan worden en dat hier niet het geval hoeft te zijn.
De Nederlandse rechtspraak kan ook niet in het buitenland controleren en moet er dus van uit gaan als het door een buitenlandse dienst aangeleverd is dat dat rechtmatig verkregen is.
het is krmo maar zoals ik hierboven schreef kan men op die manier via het buitenland ook bewijs witwassen.

[nightraven79]

tips zijn dan ook geen bewijs
een tip kan aanleiding geven tot een onderzoeksdaad, maakt niet uit uit welke bron die komt, de tip zelf wordt zal niet gebruikt worden tijdens een rechtzaak, het is het bewijs dat gebruikt wordt.
Indien de tip er bijv voor zorgde dat ee huiszoeking verricht werd dan is het het punt om de aanhouding of de huiszoeking legaal te maken, zijnde een gerechterlijk bevel...
nog makkelijker wordt het als je door een tip een persoon of voertuig op straat controleert... alles wat je dan vindt is een toevallige vondst... je hoeft zelfs niet over de tip te spreken
En van bewijs moét zelfs aangetoond worden van waar en hoe het verkregen is en het mag niet gebruikt worden in véél westerse landen.

Indien het door de buitenlandse dienst aangeleverde bewijs gebruikt zou worden in een rechtzaak mag je er zeker van zijn dat die buitenlandse dienst dan ook het bewijs dat het legaal verkregen was mee aanleveren, juist omdat het zo gevoelig ligt.
Kijk gewoon al naar de fameuze panamaleaks: er is een reden waarom er officieel huiszoekingen verricht zijn bij die journalisten, het gevondene is dan legaal verkregen door de speurders, en zij vinden documenten die wijzen op iets illegaals (ongeacht hoe die verkregen zijn) en dus moet onderzocht worden of hetgeen in de documenten klopt

[Reactie gewijzigd door nightraven79 op 22 juli 2024 14:43]

[Flavius]

Informatie die de AIVD/MIVD verzamelen komen inderdaad niet zomaar op het bordje van de politie. Sowieso hebben beiden (inlichtingen versus opsporing) een geheel andere taakstelling. Indien de AIVD toch wilt dat de politie in actie moet komen dan kunnen ze gebruik maken van een zogenoemd ambtsbericht verstuurd aan het OM. Op basis van dit ambtsbericht mag en kan de politie vervolgens een strafrechtelijk onderzoek instelling.

https://www.aivd.nl/onderwerpen/ambtsbericht

[bbob]

Gaf hierboven al aan info delen met buitenlandse diensten, die wassen het wit. Het kan wettelijk gewoon.

[_Eend_]

Daar kan Danny M. van Ennetcom: https://www.parool.nl/nie...-misdaad-danny-m~b21c00a0 over meepraten.

[jaenster]

Ja, we zijn nou eenmaal relatief jong opgegroeit met computers, dus we zijn er relatief goed in.

Maar, natuurlijk zul je op een Nederlandse website sneller aandacht vinden voor een successvol Nederlands onderzoek, tegenover zeg, een success van de digitale politie van Noorwegen.

[sampoo]

De Nederlandse politie zal er niet slecht in zijn maar in dit geval zal het meer te maken hebben met tekortkomingen van de encryptiedienst en/of de bevoegdheden van internationaal samenwerkende politie.

[Jerie]

Ligt het aan mij of is de Nederlandse politie erg goed in haar digitale opsporing? Ik ga er een beetje vanuit dat ze een server van Sky ECC hebben overgenomen om dit voor elkaar te kunnen krijgen. Maar de berichten waren dan ook niet heel sterk versleuteld, of niet end-to-end encrypted.

Ik denk dat de makers van Sky ECC zich nu wel een tijdje schuil moeten houden. Met zo'n clientèle wil je niet wachten totdat er iemand bij je langs komt om te vragen hoe dit nu kon gebeuren.

Daar staan wij internationaal om bekend, inderdaad. Met name THTC en AIVD (geen politie, maar toch). Maar ze doen het niet alleen, natuurlijk.

[Kain_niaK]

Waarschijnlijk gewoon honeypot opgezet door politie zelf. Er was grote vraag naar nieuwe dienst na de eerste variant. Bitcoin is ook beter te traceren dan een zwitserse bankrekening. Jammer dat Bitcoin gebruik binnenkort te duur zal zijn voor kleinecriminelen nu dat de billionares er mee spelen


Puike actie. Criminelen kunnen behoorlijk grote idioten zijn als ze het niet zelf voor elkaar kunnen krijgen met free open source software encryptie en monero of cash fushion

[Reactie gewijzigd door Kain_niaK op 22 juli 2024 14:43]

[bouwfraude]

Als ze zelf de service op de markt zetten is het niet zo moeilijk om te hacken.

[Mushroomician]

Waarom gebruiken criminelen niet gewoon Whatsapp? Zou toch ook goed versleuteld zijn? Of is dat een gevalletje wij-van-wc eend?

[Reactie gewijzigd door Mushroomician op 22 juli 2024 14:43]

[The Zep Man]

Waarom gebruiken criminelen niet gewoon Whatsapp?

Of Signal (die minder persoonsgegevens verzamelt). Vaak komt het vanuit onwetendheid en een 'ik betaal ervoor, dus het zal wel goed zijn' mentaliteit.

Let op dat Signal of WhatsApp ook een zwakheid kennen, en dat zijn de betreffende organisaties erachter. Die kunnen in theorie een update met een backdoor de deur uitsturen. Door reproducible builds zou dat echter (voor Signal) waarschijnlijk snel bekend worden.

Signal en WhatsApp gebruiken het principe 'wat ik niet kan weten, dat deert mij niet'. Dat geeft hen een grote mate van bescherming ten opzichte van 'cryptotelefoondiensten'.

[Reactie gewijzigd door The Zep Man op 22 juli 2024 14:43]

[Eonfge]

Ik zat zelf al te speculeren over Briar of Session. Die make beide geen gebruik van telefoonnummers, zodat je daarmee niet gebonden bent aan 1 identiteit, en ze maken beide gebruik van Tor om zo hun verbindingen te maskeren.

Voor een crimineel die dealt (want veel drugshandel gaat tegenwoordig ook gewoon digitaal) lijkt het mij super handig om Session te gebruiken. Je heeft id-code code aan vaste klanten en laat hun vervolgens jouw identiteit delen. Nu gaat dat vaak nog via-via, stilletjes met whatsapp en zo, maar daarmee heb je dus wel meteen een 06-nummer in handen die je kunt gaan traceren en volgen.

[jaenster]

Ja, want het is super moeilijk om een lycra/lebara prepaid kaart mee te nemen bij de amazing orriental, die eenmalig te actieveren voor whatsapp buiten de winkel en t simkaartje weg te gooien.

[Eonfge]

Hoe lang zal het duren voordat jouw nummer bekend wordt bij een informant, of een kleinere crimineel die tegen de lamp loopt. Het voordeel van een tor-identiteit die niet aan een nummer te knopen is, is dat je bij de eerste de beste lek niet meteen in staat bent om een triangulatie op te zetten. Het probleem van zo'n lycra-06 is vooral dat je elke week een nieuwe moet hebben, wat het snel onwerkbaar maakt.

Uiteindelijk zal het niet teveel uitmaken, maar de wetenschap dat er geen centrale server is met sleutels en namen is voor een crimineel natuurlijk wel belangrijk

[Reactie gewijzigd door Eonfge op 22 juli 2024 14:43]

[RangedNeedles]

Ik weet niet hoe het in NL zit, maar in BE moet je vooraleer je prepaid actief wordt, je persoonsgegevens adhv je identiteitskaart verifiëren. Een burner phone regelen is zo'n heel pak ingewikkelder geworden.

[maevian]

Ik heb gehoord dat ze dit tegenwoordig laten doen door heroïne junkies, ze geven ze wat gratis heroïne als ze even naar de krantenwinkel gaan en er een simkaart voor activeren.
Deze mensen zitten vaak zover dat ze die dealers totaal niet meer kunnen identificeren en het ook niet zo snel zullen doen, omdat deze hun leven controleren.

Het blijven afrgrijselijke criminelen die voor niets terugdeinzen, moet nog altijd terug denken aan de martel containers die ze gevonden hebben door de hack van Encrochat.
https://www.vrt.be/vrtnws...dat-martelcontainers-van/

[FreezeXJ]

Diezelfde zwakheid zit dus in alle organisaties, als de politie ze pusht om een decrypting update te verspreiden, ben je alsnog de pineut. Bij Signal zou je die vrij vlot moeten kunnen zien, tenzij je DNS-server ook aangepakt is, en alleen jij dus een nieuwe brak-beveiligde versie krijgt.

De encryptie zelf van eigenlijk alle partijen is onkraakbaar mits goed gedaan, dus daarom gaat de politie (en inlichtingendiensten en whatever else) aan achter de andere schakels in de keten. De hoster, de servers, de telefoon zelf, desnoods je verbindingen. Genoeg opties tegenwoordig.

[Arnoud Engelfriet]

Dat laat chatlogs achter op je telefoon, en als je niet oplet ook gebackupt bij Google of andere backupdienstverlener. Je zult maar net een loopjongen hebben die dat niet uitzet, of die z'n telefoon laat afpakken en ontgrendelen.

Verder kan (en heeft) de politie metadata vorderen bij Facebook, want die is wel altijd zichtbaar op de servers (zelfs met e2e encryptie). Dan is dus je hele netwerk direct in kaart. Peil vervolgens de 06-nummers uit en men kan haast live zien waar je bende aan het opereren is.

[Jerie]

Peil vervolgens de 06-nummers uit en men kan haast live zien waar je bende aan het opereren is.

Triangulation is verre van altijd accuraat genoeg voor bewijslast. Je hebt dan nog andere data nodig voor de accuraatheid. GPS is daarentegen accuraat genoeg. Ook handig dat Google dat standaard logt.

[Arnoud Engelfriet]

Klopt, maar voor opsporing is het handig om ergens te beginnen. Zeker als diezelfde telefoon elke dag in dezelfde driehoek opereert. Dan ga je eens kijken wie er opvallend rondhangt, en dan bel je vanaf een prepaid dat nummer "sorry verkeerd verbonden" om te zien of ie opneemt. Dat soort soft bewijs is prima voor het gewone politiewerk.

[Eonfge]

Om hier op in te haken, dit is geen speculatie, maar er is duidelijk bewijs dat deze backups ingezet worden als backdoor voor politie en opsporingsdiensten:

https://www.reuters.com/a...d-exclusive-idUSKBN1ZK1CT

[Jogai]

Bij signal is ook de metadata encrypted, en backups bestaan alleen lokaal en zijn ook geencrypt.

[Countess]

maar slecht een unlockte telefoon in handen van de politie en al die encryptie is nutteloos geworden.

[Jogai]

Natuurlijk, maar mijn reactie gaat vooral over data die te vorderen is bij dienstverleners. Een gecompromitteerde telefoon is een veel kleinere schaal.

[Jerie]

Of gelocked met vingerafdrukscanner/faceID.

[dabronsg]

Whatsapp houdt wel bij wie met wie appt. En dat wil een zelf respecterende crimineel natuurlijk ook niet...


in gewoon Nederlands. https://radar.avrotros.nl...tie-en-hoe-veilig-is-het/

[Reactie gewijzigd door dabronsg op 22 juli 2024 14:43]

[supersnathan94]

Om eerlijk te zijn heb ik meer vertrouwen in Whatsapp met het versturen van incriminerende data dan een bedrijfje als dit.

[Krimglas]

(Gezonde) paranoia? Kan niet garanderen dat er geen achterdeurtje is waarbij een derde partij de sleutels krijgt bij uitwisseling van sleutels.

[The Zep Man]

Kan niet garanderen dat er geen achterdeurtje is waarbij een derde partij de sleutels krijgt bij uitwisseling van sleutels.

Dat kan je ook niet bij een 'cryptotelefoondienst'. Meer mensen toetsen de beveiliging van Signal en WhatsApp.

[DigitalExorcist]

Tsja. Dat zou kunnen. Zal ook wel over nagedacht zijn.

Echter, als jij een groepje criminelen 'aanstuurt' via Whatsapp, wie zegt dat die personen zijn wie ze zeggen te zijn? Als ik 20 man in een groep heb zitten en 1 ervan is een mol, dan kun je nog steeds versleutelen wat je wil, maar dat gaat je niet helpen.

[hjebbers]

2 verschillende problemen op te lossen:
1. Piet zegt: "ik ben Jan".
2. Jan is Jan, maar praat met Piet
Probleem 1 is op te lossen, probleem 2 is altijd probleem bij criminelen.

[DigitalExorcist]

Mja daar gaat geen encryptie bij helpen vrees ik. Net als https. "Ja maar dat is toch veilig?" euh.. ja... HTTPS is best veilig ja, maar het zegt *niks* over wat de ontvangende partij met jouw informatie doet. Facebook gebruikt ook HTTPS, maar dat ze via de achterkant jouw data verhandelen*, daar gaat geen https bij helpen.

* Niet 'jouw individuele data', maar profielen gebaseerd op trends die uit oa. jouw data opgebouwd worden, voor de nuance..

[JeroenED]

Het gaat volgens mij niet om de berichtenapplicatie, maar over de features van de telefoon zelf. Deze zouden gps en andere zaken die tot identificatie of localisatie kunnen leiden onklaar maken. Dit betekent dus dat de politie niet adhv malware op de toestellen tot localisatie of identificatie kan overgaan.

[Kain_niaK]

Waarom niet gewoon dezelfde encryptie als je Bitcoin wallet gebruikt? Messaging zat al in 2009 in de eerste versie. Ik gebruik member.cash nu. Website down? Geen probleem mijn plugin in Electron Cash blijft werken, zelfde functionalieit.

[Reactie gewijzigd door Kain_niaK op 22 juli 2024 14:43]

[elmariachi]

Mooie aanvulling over de impact: https://www.standaard.be/cnt/dmf20210309_93750346

[Tyrian]

Klanten kunnen beter een GSMK CryptoPhone gebruiken. Deze hebben end-to-end encryptie en source-available software. O.a. de bekende ex-hacker en privacyactivist Rop Gonggrijp heeft hier aan gewerkt.
https://www.cryptophone.de/

[habbekrats]

Op naar het volgende systeem met nog langere sleutels. Blijft een kat en muis spel.

[Gropah]

Ik denk dat in dit soort gevallen, de lengte van de sleutels niet het aanvalspunt is. Ze gebruiken een 521 bit ECC key, wat schijnbaar zo sterk is als een 15k RSA key.

Als er ergens een oversight in de beveiliging zit waardoor er keys worden gelekt dan kan de server zelf het aanvallen waard zijn. En anders probeer je op de telefoon te komen zodat je de berichten kan onderscheppen voordat ze versleuteld zijn. Dit lijkt bijvoorbeeld ook te zijn gebeurd bij encrochat

[Reactie gewijzigd door Gropah op 22 juli 2024 14:43]

[uiltje]

Een nadeel van ECC is dat het sterk afhankelijk is van hoe ze gebruikt worden. In die zin zijn ze gevaarlijker dan RSA sleutels. Zo is het mogelijk om ECC sleutels te achterhalen als ze verkeerd worden gebruikt voor het genereren van handtekeningen: je hebt dan slechts twee handtekeningen nodig om de private sleutel uit te kunnen rekenen.

Tevens zijn ECC sleutels makkelijker te kraken met een Quantum Computer. Hierbij moet echter wel aantekent worden dat er ruim vier keer zoveel qubits voor nodig zijn als de sleutellengte. Dit moeten dan ook nog eens stabiele / logische qubits zijn. Een quantum computer die 521 bit sleutels aan kan laat nog wel even op zich wachten - als ie er ooit komt.

Dat gezegd hebbende: RSA is dan weer meer kwetsbaar waar het gaat om sleutelgeneratie. Over het algemeen is de sleutellengte nog steeds niet het grote probleem, maar het verkeerde gebruik van een (generatie) algoritme kan wel degelijk kwetsbaar zijn. Dus helemaal uitsluiten kan je het pas als de details bekend zijn. Nu al zeggen: ECC 521 is onkwetsbaar dus het is de server is iets te voorbarig - het is naar mijn mening natuurlijk wel het meest waarschijnlijke.

[Reactie gewijzigd door uiltje op 22 juli 2024 14:43]

[Rudie_V]

In een vorige hack, volgens mij de EnchroChat, had men de servers overgenomen en een update gepusht die alle chats voor de versleuteling al onderschepte.

[L2GX]

Ondertussen blijft toch duidelijk dat niet technische maar wettelijke beperkingen nodig zijn om te voorkomen dat een democratie een politiestaat wordt.
Hier in de Benelux is dat een marge probleem, ik hoor zelden van dissidenten dat ze dit soort technische maatregelen gebruiken. (Van de piraten wel, maar dan weer op hun Facebook groep dus neem het met een korrel zout.) Het is practisch hier meestal niet nodig, want zelden wordt hier door politie opgetreden tegen de politieke oppositie of dissidenten. Niet ‘nooit’, het komt voor.
Elders, ook in de EU, is er wél nood aan bescherming en ook hier kan je je voorstellen dat een verkiezingsuitslag resulteert in een regering die de justitie ziet als handig drukkingsmiddel.

[downtime]

Die wettelijke beperkingen zijn er. Dat is de Grondwet.

[L2GX]

Die laat bepaalde openingen waarbij het politieke aspect helaas niet voldoende zekerheid biedt.
Meest recente voorbeeld: https://www.hln.be/binnen...umanitaire-visa~a44c04d0/

[downtime]

Ik snap jouw voorbeeld niet. Het lijkt mij niet raar als een inlichtingendienst andere diensten tipt als ze tegen zaken aanlopen die buiten hun jurisdictie vallen.
Stel dat een inlichtingendienst door het afluisteren van een andere inlichtingendienst weet dat er iemand een aanslag in Nederland wil plegen dan vind jij ook dat ze dat niet aan de politie door mogen geven?

[L2GX]

Het punt is dat hier en in andere gevallen er politici aan te pas komen die informatie oneigenlijk gebruiken.
Een van de nachtmerriescenarios is dat een politicus bij de staatsveiligheid vuile was kan bestellen over hun concurrenten.
Of (zoals in Belgie gebeurde) dat een politicus zijn campagne bijstaat door publiek opdrachten te geven aan rechters om dissidenten te onderzoeken.
Het gaat dan om duidelijke schendingen van de scheiding der machten.
Want: wie het 'gereedschap' inlichtingendienst in handen heeft kan dan in principe eeuwig aan de macht blijven.

Tegelijk is het natuurlijk zo dat een inlichtingendienst die zich moet bezig houden met politieke onderzoeken, daardoor vaak een blinde vlek oploopt nét waar het gevaarlijk is. Dat zagen we onlangs in Washington.

[downtime]

Dat klopt op zich. Legio landen waar veiligheidsdiensten op die manier misbruikt worden. Daar ligt dan ook een taak voor toezichthouders en het parlement. Met wetgeving alleen los je dat probleem niet op.

[Djordjo]

Waar lees jij dat te korte sleutels de oorzaak van de kraak zijn?

[BeepBoop]

Sleutels zijn irrelevant als je de OTA server over neemt en je eigen update deelt die de data in plain-text vorm deelt met overheidsdiensten : - )

[Dark Angel 58]

Op naar het volgende systeem met nog langere sleutels. Blijft een kat en muis spel.

ja een sleutel van 1 miljoen tekens, dat is vast het meest onkraakbare sleutel.
Ben wel benieuwd hoeveel processors het nodig heeft om het te kraken.

Geen idee of een telefoon door een lange sleutel langzamer wordt...

[Reactie gewijzigd door Dark Angel 58 op 22 juli 2024 14:43]

[mphilipp]

ja een sleutel van 1 miljoen tekens, dat is vast het meest onkraakbare sleutel.
Ben wel benieuwd hoeveel processors het nodig heeft om het te kraken.

Niet een kwestie van hoeveel processors, maar een kwestie van hoe lang je dan nodig hebt...

[zarex]

De crypto zelf wordt praktish nooit aangevallen. De implementatie daarom heen wel. Oftewel: Jezelf toegang verschaffen tot het systeem waar de sleutel beschikbaar is, is veel makkelijker dan de sleutel zelf achterhalen.

[OxWax]

Al is de sleutel nog zo lang, met de server in handen , begint het spel

[MattiVM]

Goed, maar vraag mij af of het effect groot genoeg gaat zijn...

Ik vraag mij nu eigenlijk ook af of diegenen die nu opgepakt zijn door de politie nu ook niet Sky ECC kunnen aanklagen omdat hun product niet voldoet aan de beschrijvingen en wat ze beloven (ze betalen er immers toch een pak geld voor). Kan daarop Sky ECC de politie dan weer niet aanklagen vanwege het kraken van hun systemen (kraken is toch nog altijd illegaal, of misschien niet voor iedereen?) ?

[chime]

De politie mag ook een deur forceren bij een huiszoeking - terwijl dat inbraak toch echt wel illegaal is.
Maar daar kan dus rondgewerkt worden met huiszoekingsbevelen enzo.

Theoretisch zou iemand die klant is van Sky ECC een klacht kunnen leerleggen en een schadevergoeding bekomen.
Maar meer dan het abonnementsgeld gaat moeilijk worden.
Als de schade groter is dan dat: waarom geen extra SLA afgesproken?, extra support?, wat zijn je eigen testen om te zien of het wel veilig genoeg was?, ...
Nu zelfs dan nog gaan ze geen vergoeding kunnen eisen bij een rechter voor het crimineel spul dat ze nu kwijt spelen - want ja, dat is crimineel dus mocht niet.

Qua effect: het vergroot de onzekerheid, het maakt dat men terug wat lastiger moet gaan communiceren, het zal een aantal twijfelaars mss overhalen om braaf te blijven, het zorgt ervoor dat men iets meer moeite moet gaan doen - waardoor het sop de kolen niet meer waard is in sommige gevallen.

[Blokker_1999]

Edelachtbare, ik eis een schadevergoeding van honderden miljoenen van Sky ECC omdat door hun falen om mijn communicatie te beschermen mijn miljardenbusiness in illegale drugs is opgerold.

Denk niet dat je ver gaat komen bij de rechter.

[OxWax]

Dat niet maar naar ik begrijp was de dienst niet goedkoop, je zou dat geld dus kunnen terug eisen

[gaskabouter]

Het is een legaal product, wat je gebruikt voor illegale doeleinden. Daarmee zijn je consumentenrechten doorgaans wel verdampt. Bovendien voldeed het product prima, maar was het niet bestand tegen nationale opsporingsinstanties, 100% garantie verkoopt niemand denk ik.

Bovendien is niet gezegd dat de fout bij de software ligt, volgens mij is er bij dat vorige systeem ook een lek ontstaan door een infiltrant.

[OxWax]

Bovendien is niet gezegd dat de fout bij de software ligt, volgens mij is er bij dat vorige systeem ook een lek ontstaan door een infiltrant.

Voila, nu zijn we er.
Er is helemaal niets 'gekraakt' , de servers zijn overgenomen.

[bzzzt]

In het beste geval zouden ze 'geld terug' kunnen vragen vanwege niet-conformerend product, al denk ik dat dat heel erg laag op de prioriteitenlijst staat als je net bent opgepakt. Dat je gepakt bent door de politie kan je moeilijk verhalen op een leverancier. Illegale bezigheden zijn ook niet verzekerbaar...

[laptopleon]

We weten niet hoe de politie mee heeft kunnen kijken, maar als de encryptie gebroken is, mag dat op zich gewoon. Kraken als in het ontcijferen van berichten op zich is niet illegaal. Aan die berichten komen is vers twee. Wat dat betreft begrijp ik de opmerking van @gaskabouter niet want hoe open en bloot is hun communicatie nou helemaal? Zelfs al heb je een telefoon met verdachte berichten, dan moet de politie altijd nog aantonen wie hem gebruikt heeft. Wordt hier wel eens heel makkelijk over dit soort details gedacht. En reken maar dat criminelen nog steeds vaak code en schuilnamen gebruiken.

Onder voorwaarden en met explicite toestemming van Justitie mag de politie onderzoek doen, ook voorbij de voordeur.

[Chielllie]

Heling is ik verboden maar de belastingdienst mocht wel een bij een Luxemburgse bank gestolen cd-rom/data gebruiken in een onderzoek naar zwart geld.
Ik probeer het te begrijpen, maar 't lukt me niet altijd.

[bouwfraude]

De wet is voor de burgers niet voor de machthebbers.

[Groningerkoek]

Zoals het motto op Tweakers luid bij Torrenting: Een kopie maken is geen diefstal.

Daarnaast is het meer dat men informatie van een tipgever koopt, en het is niet verboden om informatie van een tipgever te kopen ook al is die informatie illegaal verkregen. Wat niet mag is een burger aanzetten tot crimineel handelen, maar als die burger de gegevens al heeft via eigen initiatief is daar niets mis mee.

[Arnoud Engelfriet]

De https://www.skyecc.com/terms-of-service/ zijn vrij duidelijk: verboden te gebruiken voor illegale doeleinden. Dus nee, er is geen conformiteitsclaim mogelijk voor dit soort situaties.

En de politie mag dit soort kraakwerk uitvoeren, een machtiging RC is nodig maar toestemming van de provider absoluut niet.

[nightraven79]

kraken is illegaal, inbraak ook.
echter, met gerechterlijk bevel is dit niet meer het geval

[Aerophobia1]

Volgens mij is een simpel whatsapp bericht nog moeilijker te kraken?

[Master FX]

Volgens mij is het verhaal nu juist dat er niks gekraakt is. Maar dat ze in staat zijn geweest om een bewerkte versie van de app gedistribueerd te krijgen.
Zelfde als wanneer jouw WhatsApp wordt vervangen door een versie waarmee meegekeken kan worden. Er lijkt dus helemaal geen sprake te zijn van het kraken van de encryptie. Dat was nog groter nieuws geweest.

[bdraw]

Sky ECC zelf beweert zoiets.
Echter van vrt.be: "Het federaal parket ontkent de beweringen van Sky ECC en zegt dat ze wel degelijk de servers van het bedrijf hebben gekraakt."
Woord tegen woord dus.
En als dat klopt van die 1 miljard onderschepte berichten, waarvan de helft uitgelezen: ik vind dat al veel voor totaal 70.000 gebruikers. Voor maar 3 weken? Laat staan als het maar over een kleiner deel van de gebruikers zou gaan.
En als je bedoelt dat er een niet officiele onveilige app versie (via update of zo?) de ronde deed: dat komt in praktijk toch overeen met een hack IMHO. Want een paar (1 miljard berichten?) mensen mbv phishing beetnemen is 1 zaak, maar zeer velen (via officiele, central site wss): dat is een hack. Of Sky ECC die mee helpte om dit te doen.

[_--[]--__]

Kan de politie ook mooi die 5 miljoen dollar vangen die ze uitloven voor iedereen die hun encryptie weet te kraken

[uiltje]

Uh, nee, dan moet je eerst enrollen en dan in 3 maanden het device weten te kraken. Waarschijnlijk is dit ook weer een server die is gecompromitteerd.

The First Device will be considered successfully compromised if a Participant is able to: (i) unlock the First Device and open the SKY ECC application, (ii) decrypt the encrypted information stored in the vault of the SKY ECC application on the First Device to uncover a BTC private key, and (iii) use the private key to withdraw funds placed in a BTC wallet owned by Sky and created specifically for the purpose of the Challenge. The Participant must email Sky at [e-mail] to notify Sky that the funds have been withdrawn no later than 11:59 p.m. on the last day of the Initial Challenge Period.

Ik weet, je post was waarschijnlijk niet serieus, maar voor de mensen die ook nieuwsgierig waren geworden...

[Reactie gewijzigd door uiltje op 22 juli 2024 14:43]

[gaskabouter]

Wel cynisch dat ze vroeger alles in code en zo deden en doordat ze zich nu veilig wanen open en bloot alles bespreken en de bewijslast een stuk beter is.

Zo kan een veilig gevoel je grootste risico zijn

[GewoonWatSpulle]

Precies daarom zeggen wij nog altijd de geiten kunnen gemolken worden en de koelkasten staat op pallet, geen idee hoe een geit gemolken kan worden en ook geen flauw idee hoe je een koelkast op een pallet krijgt maar toch meld ik het met enige regelmaat.

[Craftynl]

https://nl.wikihow.com/Een-geit-met-de-hand-melken

Vraag en gij zult krijgen

[R1]

raar, tot een uur geleden stond er op de Sky site zelf dat het ging om een illegale versie die sideloaded wordt op devices, en zou het dus niet hun servers betreffen ? wat is hiervan waar ?

in Google cache is het nog te vinden:

Sky ECC platform remains secure and our authorized devices have not been hacked.

There have been recent news articles that claim Sky ECC has been hacked and is involved in criminal activity. This information is not accurate. We have looked into these claims and discovered that a small group of individuals illegally created and distributed an unauthorized version of Sky ECC which they modified and side-loaded onto unsecure devices. Security features that come standard with the Sky ECC phones were eliminated in these bogus devices.

Sky ECC considers these actions as malicious and we are taking legal action against these individuals for defamation and fraud.

We have also blocked these users from our system and enhanced security to prevent reoccurrence of this issue. The implementation of these enhancements temporarily interrupted our Sky ECC service which has now been re-established.

We continue to stand by our position and our product. We strongly support that people have the fundamental right to privacy. With the extensive and broadly documented rise worldwide of corporate espionage, cybercrime and malicious data breaches, systems like SKY ECC are the foundation of the effective functioning for many industries including legal professionals, public health providers and vaccine supply chains, celebrities, manufacturers and many more.

We believe that the individual right to privacy is paramount for those who are acting within the law and we do not condone the use of our product for criminal activity. We also have our Terms of Service that every user must adhere to and, provided that they do, our company will work feverishly to protect their rights with the world's most secure platform.