Privacyexperts hekelen Belgische dataretentiewet die e2e-encryptie ondermijnt

Een groep van privacyexperts en -organisaties vraagt in een open brief aan de Belgische regering dat wetshandhavers geen toegang mogen krijgen tot inhoud van end-to-end versleutelde gesprekken. Ze stellen dat de privacy van alle gebruikers op die manier ondermijnd wordt.

De auteurs schreven de open brief naar aanleiding van het nieuwe wetsvoorstel voor de dataretentiewet. Die stelt dat communicatiediensten zoals WhatsApp, Facebook Messenger en Telegram verplicht zullen worden om metadata op te slaan en moeten bijhouden wie met wie in contact stond en waar dat gebeurde. In het wetsvoorstel staat ook te lezen dat versleutelingssystemen niet mogen verhinderen dat een operator identificatie-, verkeers-, of locatiegegevens kan bewaren die bedoeld zijn voor de autoriteiten en daar reageren de auteurs van de open brief op.

"Het is niet mogelijk om een derde partij toegang te geven tot deze versleutelde communicatie zonder daarbij een backdoor te creëren die op zijn beurt kan uitgebuit worden door andere partijen", klinkt het. “Backdoors verzwakken de beveiliging van het hele systeem en dat brengt alle gebruikers in gevaar. Journalisten, dokters, advocaten, beleidsmedewerkers en organisaties zullen hierdoor kwetsbaarder zijn voor aanvallen”, schrijven de auteurs.

Volgens de auteurs brengt de wet ook technische moeilijkheden met zich mee. "Als operatoren verplicht worden om vanaf een vooropgestelde datum gebruikersdata van bepaalde individuen aan te leveren, dan moet er een nieuw systeem ontwikkeld worden. Dat is technisch een hele klus en breekt ook de belofte van privacy via end-to-end versleutelde communicatiediensten." Volgens de auteurs zullen de backdoors ook effect hebben op de credibiliteit van Belgische technologische bedrijven. Zij zouden een concurrentienadeel ervaren op de Europese en internationale markten.

Reacties (59)

[CAPSLOCK2000]

En daarom zorg ik liever zelf voor mijn communicatie dan dat ik het over laat aan grote bedrijven want die kunnen door de overheid gedwongen worden om hier aan mee te werken.

Ik geloof echt dat die overheid dat met de beste bedoelingen doet, je wil ook geen vrijbrief geven aan criminelen, maar ik geloof ook dat ze de gevolgen niet overzien.

Het hele "encryptie" vs "backdoor" debat kenmerkt zich door mensen die het eigenlijk niet snappen. Die vragen hoe je ijs moet koken zonder het te smelten. En dan kun je 100 keer uitleggen dat wat ze willen niet kan maar dat bestaat niet voor politici, die geloven over het algemeen niet in zwart-wit situaties. Als je zegt dat iets niet kan dan is hun conclusie dat jij de verkeerde adviseur bent en dat ze door moeten zoeken tot ze iemand vinden die zegt dat het wel kan, of ze schuiven het probleem naar de markt toe, zoals hier. "Het maakt ons niet uit dat het onmogelijk is zolang jullie het maar doen".

Het is ook een beetje van onze hele management cultuur, het eindeloos geloven in de maakbaarheid van alles zonder stil te staan bij de concrete gevolgen. Heeft de ambulance een lekke band en is een nieuwe te duur? Dan gaan we zes maanden met 3 dure managers met twee linkerhanden onderhandelen over manieren om banden te plakken. Dat er ondertussen mensen dood liggen te gaan is niet het probleem dat ze is voorgelegd dus dat is niet hun probleem.

[Anoniem: 696166]

En daarom zorg ik liever zelf voor mijn communicatie dan dat ik het over laat aan grote bedrijven

Hoe doe je dat dan?

Die vragen hoe je ijs moet koken zonder het te smelten. En dan kun je 100 keer uitleggen dat wat ze willen niet kan

Sublimatie...

[CAPSLOCK2000]

Hoe doe je dat dan?

Ik bedoelde concreet dat ik mijn eigen e-mail-server draai en bij voorkeur chat via decentrale chat-diensten zoals Matrix of IRC.

Ik zet verschillende overlay-netwerken (VPNs en tor enzo) in zodat er niet een land/bedrijf is dat ál mijn internetverkeer kan zien.

Maar om het wat breder te trekken kies ik zoveel mogelijk voor decentrale diensten die ik zelf kost hosten zonder afhankelijk te zijn van 1 centraal punt of bedrijf. Daarbij heb ik de voorkeur voor software die end-to-end versleuteld is.

Ik heb niet de illussie dat dit een waterdichte oplossing is, die bestaan niet en die heb ik ook niet nodig.
Het gaat mij dan ook niet alleen om privacy maar ik vind ook dat internet veel gecentraliseerd is geworden en er veel te veel macht ligt bij een handvol van die centrale megabedrijven.
Neem bijvoorbeeld het gedoe rond bedrijven die hun website censureren. Ik snap dat ze wel moeten omdat anders iedere site zo vol staat met reclame, porno en malware (van andere aanbieders ) maar het is niet gezond dat de keuzes van een bedrijf (soms 1 mens) hele onderwerpen van internet kunnen laten verdwijnen. Die bedrijven hebben macht die je verder alleen bij overheden ziet, maar dan zonder wet of rechtspraak om die macht te controleren.

[robvanwijk]

Ik bedoelde concreet dat ik mijn eigen e-mail-server draai

En wat doe je dan als de politie bij jou (als eigenaar van die server) gegevens op komt eisen? Daar moet jijzelf net zo goed aan meewerken als andere hosters dat moeten (of dat nou je ISP is of Gmail of waar andere mensen hun email ook hosten).

[CAPSLOCK2000]

En wat doe je dan als de politie bij jou (als eigenaar van die server) gegevens op komt eisen? Daar moet jijzelf net zo goed aan meewerken als andere hosters dat moeten (of dat nou je ISP is of Gmail of waar andere mensen hun email ook hosten).

Natuurlijk, dat is ook niet waar ik me zorgen over maak.

Ik maak me niet zo'n zorgen over de Nederlandse politie.
Ik maak me zorgen om de centralisatie van internet.

De Nederlandse politie kan inderdaad hier langs komen en mijn gegevens opeisen.
Maar de regering/politie/... van Spanje of Thailand (om maar wat willekeurige landen te noemen) kan niet naar Facebook gaan om daar al mijn WhatsApp contacten op te eisen want die heb ik niet. En Facebook kan ook domweg een foutje maken waardoor mijn gegevens, samen met die van miljarden anderen, op straat liggen.

En als iemand mijn gegevens hier komt opeisen of wegroven dan hebben ze alleen mijn gegevens. Als ze de gegevens van een miljoen mensen willen zullen ze een miljoen keer meer werk moeten doen en dat zal niet snel gebeuren als de belangen niet heel erg groot zijn. Met een centraal punt maakt het nauwelijks uit of je data van één gebruiker wil hebben of van een miljoen. Dan is het heel aantrekkelijk om maar zoveel mogelijk op te vragen zodat je het papierwerk maar één keer hoeft te doen.

Niet dat ik denk dat Facebook die gegevens zomaar afstaat, maar als de druk maar hoog genoeg wordt gaat ieder bedrijf door de knieen.

Je zou, waarschijnlijk terecht, kunnen redeneren dat een bedrijf als Facebook veel meer middelen heeft om mijn data te beschermen. Maar ze zijn ook een veel groter doel en de gevolgen van een lek (technisch of juridisch) zijn enorm. En fouten worden overal gemaakt en chantage of omkoping kun je ook nooit helemaal uitsluiten.

[Reactie gewijzigd door CAPSLOCK2000 op 24 juli 2024 09:42]

[Tim AtSharp]

Sublimatie...

Helaas heb je het mis. Sublimeren is overgaan van vast naar gas - dus zonder vloeilbare toestand te doorlopen. Dat impliceert niet dat het ijs (in dit geval) kookt / gekookt heeft. Damp onstaat ook perfect zonder te koken... (open je vriezer, en zie de 'damp' komen. Daar is echt niks bij dat kookt hoor ;-)

Ontopic: de onophoudende datahonger, de absolute zoektocht naar totale controle, ...
Het is ooit al beschreven in een boek... 1984.

[Zoijar]

Manager verhaal wel beetje gechargeerd, ik ben en kan zat managers die juist enorm effectief zijn en dingen gedaan krijgen. In mijn ervaring bij je ambulancevoorbeeld staan er 3 engineers naast te overleggen wat de beste manier om een band te plakken is met tunnelvisie, en zegt de manager, kom op jongens er gaan mensen dood, gooi er voor nu een nieuwe band op!

[X_pl0visi0n]

Dan mag je je zeer gelukkig prijzen.
Bij ons is het nameijk wel zoals het voorbeeld aangeeft.
En ik werk in een hospitaal....

[CAPSLOCK2000]

Manager verhaal wel beetje gechargeerd, ik ben en kan zat managers die juist enorm effectief zijn en dingen gedaan krijgen. In mijn ervaring bij je ambulancevoorbeeld staan er 3 engineers naast te overleggen wat de beste manier om een band te plakken is met tunnelvisie, en zegt de manager, kom op jongens er gaan mensen dood, gooi er voor nu een nieuwe band op!

Klopt. Er zijn ook goede managers, ik wil niet zeggen dat alle managers slecht zijn of dat je ze niet nodig hebt. Maar van ieder goed ding kun je te veel hebben.

Het gaat mij om een zekere cultuur waarin men verzandt in vooronderzoeken, stuurgroepen, procescoordinatoren waardoor ieder klein probleem steeds groter wordt en je al snel meer bezig bent met het proces dan met het probleem. In mijn ogen is dat vaak uit onkunde, geen van de betrokkenen weet waar ze het over hebben maar ze vertrouwen ook niet op de kennis van anderen die ze hier notabene zelf voor hebben ingehuurd.
Voor je het weet heb je een roeiboot met 1 roeier en 6 kapiteins met roeptoeters die zich afvragen waarom de boot zo langzaam gaat en vergaderen over grotere toeters en personeel om die te dragen.

[Zoijar]

Ja dat is ook wel weer waar natuurlijk

[telenut]

je bent zelf internet provider?
Helaas maken ze het steeds moeilijker natuurlijk....
een VPN dienst lijkt meer en meer noodzaak te worden (en ook van die weet je niet zeker wat ze dan met uw data doen)

[janbaarda]

Iedereen kan tegenwoordig een eigen Matrix server installeren. Als je van Matrix gebruik maakt is het voor providers niet meer mogelijk om bij te houden met wie je communiceerde. Als je nog onzichtbaarder wil zijn communiceer je bovendien via een TOR server.

[Alxndr]

Hoe zorg jij "zelf" voor je communicatie?

De software, het netwerk, je device worden allemaal door (al dan niet grote) bedrijven gemaakt?

[WillyWilly]

Heeft de ambulance een lekke band en is een nieuwe te duur? Dan gaan we zes maanden met 3 dure managers met twee linkerhanden onderhandelen over manieren om banden te plakken. Dat er ondertussen mensen dood liggen te gaan is niet het probleem dat ze is voorgelegd dus dat is niet hun probleem.

ik moest luidop lachen :-)

[Jerie]

Je moet als overheid op een andere laag dan E2EE (of 'cryptografie') gaan zitten. Een voor de hand liggende laag (maar zeer zeker niet de enige) is die van het OS. Als je jezelf daar toe toegang kunt verschaffen kun je een implant plaatsen en dan maakt E2EE geen drol uit. We weten dat overheden, wereldwijd, 0-days inkopen. Ik ga er van uit dat overheden deze 0-days toe kunnen passen op gevaarlijke actoren. Het is alleen wel zo dan de lat in bijvoorbeeld China, Rusland, of Saoedi Arabië heel wat lager ligt dat de lat in Nederland, Zweden, Duitsland, of België. Dat wil niet zeggen dat 'wij in het Westen' het wel of niet doen. Het betekent dat wij het waarschijnlijk ook doen, maar voor ernstigere vergrijpen, ernstigere situaties, grotere jongens, enz. Niet voor Henkie van drie achter die gestolen fietsjes verkoopt op Marktplaats. Denk hierbij ook aan afbreukrisico's ivm inzet 0-day.

[Mushroomician]

Waarom worden bepaalde communicatiediensten bij naam genoemd, als alles wat betreft ICT communicatie is. Een webpagina laden, een email, gamesessie, api-gebruik, etc. zijn ook communicatie. Dat zou betekenen dat elke SSL verbinding onder deze wet valt. Wanneer, waarom, en hoe is er onderscheid?, als dat er zou zijn.

[Reactie gewijzigd door Mushroomician op 24 juli 2024 09:42]

[TweakMDS]

Een wat logischer, en voor de Belg een stuk ernstiger gevolg hiervan, lijkt me dat dit ook bijzonder uitnodigt om gewoon de deur voor België te sluiten.
Voor facebook zal dit niet direct het geval zijn, maar vooral bij de wat kleinere spelers is dit een realistisch scenario.
Als ik als communicatieplatform mijn systeem dusdanige grote wijzigingen (en reputatieschade) moet doorvoeren, dan kan ik me zo maar voorstellen dat bepaalde diensten daaraan rekenen en stellen dat er geen business case voor te maken is om dit voor die 0,5% van de gebruikers te doen.

Stiekem hoop ik er altijd een beetje op dat de politiek met dit soort slechte ideeën daarmee geconfronteerd wordt, maar uiteindelijk heb je daar vooral de burger mee.

[player-x]

Stiekem hoop ik er altijd een beetje op dat de politiek met dit soort slechte ideeën daarmee geconfronteerd wordt, maar uiteindelijk heb je daar vooral de burger mee.

Zal even advocaat van de duivel spellen, met de vraag is het echt wel zo een slecht idee, want men verwacht dat de overheid ook dat ze ook iets doen tegen georganiseerde criminelen en terrorisme, hoe wil je dat goed aanpakken zonder daar iets voor op te geven.

Want je kan dat niet goed doen zonder enig inzicht in de communicatie van dergelijke organisaties.

Uiteraard is overzicht altijd een probleem als dat niet goed geregeld is, en landen die andere inzichten hebben wat burgers wel en niet mogen doen, of zelfs zelf hun eigen wetten niet volgen, maar dat is een hele andere discussie.

[vSchooten]

Zal even advocaat van de duivel spellen, met de vraag is het echt wel zo een slecht idee, want men verwacht dat de overheid ook dat ze ook iets doen tegen georganiseerde criminelen en terrorisme, hoe wil je dat goed aanpakken zonder daar iets voor op te geven.

Want je kan dat niet goed doen zonder enig inzicht in de communicatie van dergelijke organisaties.

het is heel simpel, die gaan systemen gebruiken waar dit helemaal niet van toepassing is...
zoals een private chatservertje ergens in een land die het niet zo nouw neemt met criminaliteit opzetten.
of een chatdienst gebruiken die niet eens met servers werkt zoals bijv: https://briarproject.org/

[Reactie gewijzigd door vSchooten op 24 juli 2024 09:42]

[TweakMDS]

Ik hoor dit argument vaak, en ben het er ook wel mee eens, maar tegelijkertijd denk ik niet dat criminaliteit een binair iets is. Het is niet zo alsof men daarvoor naar de Hogeschool van Boeverij is gegaan, en alle best practices van privacy onder de knie heeft. Reken maar dat er genoeg tegen de lamp lopen met gewoon standaard telefoontjes, sms-jes of appjes, en geen benul hebben van taps of achterdeuren die al of niet bestaan.
Er is uiteraard een grote hoeveelheid georganiseerde misdaad die hun zaken goed op orde hebben, maar ik denk dat er ook zat zijn die je hiermee zou kunnen pakken.

[vSchooten]

Ja, dat klopt ook wel. Maar het probleem is dat deze actie veel meer de burger zal raken dan de criminele circuit.
Zeker de partijen die ze hiermee hopen op te sporen, dat zijn nou juist de technische beter onderlegde groepen.

[Alxndr]

Afgezien dat deze discussie blijkbaar in ieder land afzonderlijk weer gevoerd moet worden (hebben we daar de EU niet voor?) hoe zien ze dit voor zich?

Moet iedere communicatiedienst dan met een Belgische versie van de app komen die voor Belgen verplicht is? En hoe werkt dat dan voor buitenlandse toeristen/doorreizigers? En kan je het met een VPN niet makkelijk omzeilen?

[orvintax]

Ik ben natuurlijk geen fan van deze wet, maar de titel/inleiding suggeert wel iets anders dan wat er aan de hand is.

De auteurs schreven de open brief naar aanleiding van het nieuwe wetsvoorstel voor de dataretentiewet. Die stelt dat communicatiediensten zoals WhatsApp, Facebook Messenger en Telegram verplichten zullen worden om metadata op te slaan en moeten bijhouden wie met wie in contact stond en waar dat gebeurde.

Het gaat dus specifiek om metadata, niet de inhoud van het gesprek zelf.

[kinlo]

Eventjes het voorstel gelezen. (je kan het voorstel tot wetsontwerp lezen op: https://www.bipt.be/index...ion/bijlage-1-dispositief)

Op bladzijde 30, artikel 14 staat er dat er een nieuw artikel in de wet zal toegevoegd worden dat stelt dat het verboden wordt om encryptie die niet voor betalingssystemen gebruikt zal worden indien deze 1 van 3 voorwaarden schend: op bladzijde 31 staat er expliciet als 3e voorwaarde, en ik quote:

het afluisteren, kennisnemen en opnemen van niet voor het publiek toegankelijke communicatie onder de voorwaarden bepaald door het Wetboek van strafvordering en door de wet van 30 november 1998. houdende regeling van de inlichtingen- en veiligheidsdiensten.

Oftewel: ik interpreteer deze wettekst als volgt:
- Metadata moet proactief worden bijgehouden
- Afluisteren moet kunnen, maar enkel NA dat er een overheidsbevel voor komt

[Blokker_1999]

Even wat verder lezen dan de eerste helft van de eerste paragraaf aub...

In het wetsvoorstel staat ook te lezen dat versleutelingssystemen 'niet mogen verhinderen dat een operator identificatie-, verkeers-, of locatiegegevens kan bewaren die bedoeld is voor de autoriteiten' en daar reageren de auteurs van de open brief op.

"Het is niet mogelijk om een derde partij toegang te geven tot deze versleutelde communicatie zonder daarbij een backdoor te creëren die op zijn beurt kan uitgebuit worden door andere partijen", klinkt het. “Backdoors verzwakken de beveiliging van het hele systeem en dat brengt alle gebruikers in gevaar. Journalisten, dokters, advocaten, beleidsmedewerkers en organisaties zullen hierdoor kwetsbaarder zijn voor aanvallen”, schrijven de auteurs.

[orvintax]

Ik heb verder gelezen en zoals ik het interpreteer gaat het hier toch nog steeds over metadata, of zie ik het nou verkeerd?

[Blokker_1999]

verkeersgegevens kan je interpreteren als de inhoud van het verkeer, dus ook de berichten zelf. Dat is het nadeel aan het gebruiken van algemene termen zonder duidelijke definitie in (voorstellen tot) wetgeving. Dat maakt interpretatie mogelijk en als je dat zo laat is het wachten tot een rechterlijke uitspraak in het ergste geval.

[mrdemc]

Maar als ik het eerdere bericht lees dat tweakers hierover scheef, dat gelinkt wordt in dit bericht, lees ik wat anders:

quote: https://tweakers.net/nieu...metadata-op-te-slaan.html

In het wetsontwerp zou benadrukt worden dat versleuteling van communicatie is toegestaan, maar dat dit niet mag verhinderen dat chatdiensten de identificatie-, verkeer- en locatiegegevens bewaren. De inhoud van het communicatieverkeer hoeft niet bewaard te worden; het gaat alleen om metadata. Ook telecomproviders moeten dergelijke metadata opslaan.

Edit: Ik heb ook even snel het wetsvoorstel bekeken en zie ook niets over dat de inhoud van de berichten in te zien moeten zijn of ontsleutelt moeten kunnen worden. Het gaat echt specifiek om metadata zover ik het heb kunnen beoordelen.

[Reactie gewijzigd door mrdemc op 24 juli 2024 09:42]

[Deralte]

Het gaat idd om metadata, zo interpreteer ik het ook. Wel vreemd dat dit de encryptie in gevaar brengt. Volgens mij is de metadata niet versleuteld, maar wordt die gewoon vaak niet bewaard. Deze wet voorziet volgens mij gewoon dat die bewaard moet worden en toegankelijk moet zijn voor de autoriteiten.

[orvintax]

Dat is inderdaad een mogelijke interpretatie, en ik hoop voor ons allen dat het niet zo wordt geinterpreteerd. Maar aangezien het tussen het rijtje van identificatie en locatiegegevens staat ga ik er van uit dat ze hiermee ook een vorm van metadata bedoelen.

[mischaatje2]

Als de ruimte er is, dan gaat ie zeker benut worden. Klinkt cynisch maar helaas gebeurt het in de politiek en bij opsporingsdiensten zelden dat de meest cynische voorspelling NIET waarheid wordt. De wet moet dan weer worden teruggefloten door het Europese Hof, wat enkele jaren duurt.

[Reactie gewijzigd door mischaatje2 op 24 juli 2024 09:42]

[T-Forever]

Dat is nu niet het ergste geval, want dan zou de trias politica dus werken.
Het ergste geval is dat de overheid doet waar ze zin in hebben zonder dat een rechter er over buigt (omdat men het niet weet bijvoorbeeld)

[CAPSLOCK2000]

Het gaat dus specifiek om metadata, niet de inhoud van het gesprek zelf.

Het lijkt een logisch onderscheid maar er is geen zinnige grens te trekken tussen 'data' en 'metadata' en zeker niet op een manier dat die 'metadata' onschuldig is.
Als ik drie keer in de week met mijn pastoor/rabbi/imam mail zal vrij snel duidelijk zijn wat mijn geloof is.

[orvintax]

Als ik drie keer in de week met mijn pastoor/rabbi/imam mail zal vrij snel duidelijk zijn wat mijn geloof is.

Zeker waar, metadata is ook data uiteindelijk. Maar er zit nog altijd een degelijk verschil tussen alleen weten met wie je praat of ook weten waar je het over hebt.

[VictorK]

Ja maar enkel in de zin dat metadata gedragsdata is (waar JIJ was, met wie JIJ hoe lang belt) terwijl de inhoud van je gesprek waar kan zijn, of niet, of ironisch is, of sarcastisch, kortom waar een algoritme de grootste moeite mee heeft.

Metadata is de waarheid, de inhoud soms wel en soms niet.

[RoestVrijStaal]

"Jouw" pastoor/rabbi/imam?

Je kan als persoon die waar dan ook in geloofd ook corresponderen met die personen zonder zelf te geloven in het geloof die ze uitdragen.

[_Pussycat_]

Je kunt als persoon die waar dan ook in gelooft ook corresponderen met die personen zonder zelf te geloven in het geloof dat ze uitdragen.

[robvanwijk]

Het lijkt een logisch onderscheid maar er is geen zinnige grens te trekken tussen 'data' en 'metadata'

Tuurlijk wel: data is wat je zegt, metadata is tegen wie je het zegt, wanneer je het zegt, of die ander iets terugzegt (maar niet wat ie terugzegt, dat is weer data).

Als ik drie keer in de week met mijn pastoor/rabbi/imam mail zal vrij snel duidelijk zijn wat mijn geloof is.

Er is niemand die zegt dat alleen toegang hebben tot metadata waardeloos is (verre van zelfs, als opsporingsdiensten niets kunnen met metadata dan zou niemand de moeite nemen deze wet te schrijven). Waar het over gaat is dat dit wetsvoorstel niet probeert om de daadwerkelijke inhoud van je gesprek op te eisen (en dus ook niet e2e-encryptie ondermijnt). Of je drie keer in de week via email biecht dat je nu alweer door een rood licht bent gereden, dat je romantische gevoelens hebt voor iemand van hetzelfde geslacht of dat je vraagt hoe je het best kunt bidden om de morele sterkte jezelf aan te geven voor die hele rij moorden die je gepleegd hebt kunnen ze aan de metadata niet zien. Voor hetzelfde geld ben je atheist en email je een goede vriend (die toevallig pastoor/rabi/imam is) om te vragen of ie al popcorn heeft gehaald voor de filmavond.

Als de politie je van iets ernstigs verdenkt, dan kunnen ze trouwens ook een politiewagen voor de kerk/synagoge/moskee parkeren; als ze je drie keer per week naar binnen zien wandelen weten ze ook snel genoeg wat je geloof is.

[CAPSLOCK2000]

Tuurlijk wel: data is wat je zegt, metadata is tegen wie je het zegt, wanneer je het zegt, of die ander iets terugzegt (maar niet wat ie terugzegt, dat is weer data).

Sure, er zijn gevallen waarin het duidelijk is. Ik schreef niet dat je nooit verschil kan zien maar mijn punt is dat a) er geen harde lijn is tussen metadata en data en b) dat er te veel wordt gedaan of metadata vrij onschuldig is.

Neem bijvoorbeeld de lengte van een bericht. Dat wordt als metadata gezien. Maar als mijn reacties op vragen typisch bestaat uit twee of drie bytes, dan kun je waarschijnlijk aannemen dat ik "ja" (2 bytes) of "nee" (3 bytes) communiceer.

Of het nu data of metadata is maakt niet uit. Het resultaat is precies hetzelfde.

Er is niemand die zegt dat alleen toegang hebben tot metadata waardeloos is

En ik heb dat ook niet beweerd . Maar er wordt wel voortdurend geimpliceerd dat toegang tot 'metadata' vrij onschuldig is en niet zo'n probleem. Zoals in de post waar deze discussie mee begon. Daarin zegt iemand dat het artikel misleidend is omdat er alleen metadata wordt opgeslagen. Dat zeg je alleen als je van mening bent dat metadata significant minder belangrijk is.

(verre van zelfs, als opsporingsdiensten niets kunnen met metadata dan zou niemand de moeite nemen deze wet te schrijven). Waar het over gaat is dat dit wetsvoorstel niet probeert om de daadwerkelijke inhoud van je gesprek op te eisen (en dus ook niet e2e-encryptie ondermijnt).

Ik ben van mening dat het onderscheid tussen data en metadata vrij zinloos is. Dat is zoiets als dat een auto met twee lekke banden "beter" is dan een auto vier lekke banden. Het klopt maar met twee lekke banden moet je nog steeds niet de weg op.

Of je drie keer in de week via email biecht dat je nu alweer door een rood licht bent gereden, dat je romantische gevoelens hebt voor iemand van hetzelfde geslacht of dat je vraagt hoe je het best kunt bidden om de morele sterkte jezelf aan te geven voor die hele rij moorden die je gepleegd hebt kunnen ze aan de metadata niet zien. Voor hetzelfde geld ben je atheist en email je een goede vriend (die toevallig pastoor/rabi/imam is) om te vragen of ie al popcorn heeft gehaald voor de filmavond.

Als dat het enige is waar je je zorgen over maakt. Ik denk aan de tolken in Afghanistan die worden opgejaagd door de Taliban. De Taliban stelt echt niet de vraag of die over popcorn communiceerden met onze ambassade.

Als de politie je van iets ernstigs verdenkt, dan kunnen ze trouwens ook een politiewagen voor de kerk/synagoge/moskee parkeren; als ze je drie keer per week naar binnen zien wandelen weten ze ook snel genoeg wat je geloof is.

Dat is wederom niet waar ik me zorgen om maak. Ik ben geen kruimeldiefje dat bang is dat er politie-agent achter een boom staat en ik geloof ook niet dat onze regering er op uit is om mij te pakken.

Maar we delen de wereld met criminelen en dictators en niemand weet wat de toekomst brengt. Over 30 jaar kan hier ook weer een dictator aan de macht zijn. Ik weet dat niks wat ik nu doe kan voorkomen dat een dictator in de toekomst data verzamelt en misbruikt. Wat ik wel kan doen is zorgen dat we nu geen data verzamelen die in de toekomst op een andere manier gebruikt kan worden dan bedoelt. Dat er geen groot register is waarin men over 30 jaar kan kijken wie er nu sympathie had voor homo's, vegetariers, joden, antivaxxers, kapitalisten of weet ik veel welke bevolkingsgroep door de volgende dictator wordt vervolgd zonder enige vorm van proces.

[robvanwijk]

er geen harde lijn is tussen metadata en data

Zoals? Kun je een voorbeeld noemen van iets waarvan het niet duidelijk is of het data of metadata is?

dat er te veel wordt gedaan of metadata vrij onschuldig is.

Nee, er wordt niet gedaan of het onschuldig is. Er wordt (terecht) gesteld dat de impact van het inzien van metadata vele malen kleiner is dan de impact van de data zelf.
Maar dat is niet eens het cruciale punt. Waar het echt om gaat is dat metadata niet beschermd wordt door e2e-encryptie en dat het dus mogelijk is om metadata te delen met opsporingsdiensten zonder dat je een backdoor in de e2e-encryptie nodig hebt.

Neem bijvoorbeeld de lengte van een bericht. [..] Maar als mijn reacties op vragen typisch bestaat uit twee of drie bytes, dan kun je waarschijnlijk aannemen dat ik "ja" (2 bytes) of "nee" (3 bytes) communiceer.

Dit is een puur theoretisch probleem. Enkele kanttekeningen:

• Zelfs als bovenstaande zou werken, dan nog is niet bekend welke vraag je beantwoordt. "Zullen we een bomaanslag plegen?" en "Zullen we nog naar de film gaan?" zijn allebei 32 tekens.
• De lengte van een bericht is niet exact af te leiden uit de lengte van een versleuteld bericht. Dit zou alleen werken in extreme gevallen; als je altijd reageert met de tekst "nee" of een animated gif van juichende mensen als je "ja" bedoelt.
• Bovendien moet de taal waarin je communiceert bekend zijn: "yes" is drie tekens en "no" is twee. Ook als je een plan helemaal geweldig vind en een keertje "top" roept zijn dat drie tekens.

Zoals in de post waar deze discussie mee begon. Daarin zegt iemand dat het artikel misleidend is omdat er alleen metadata wordt opgeslagen. Dat zeg je alleen als je van mening bent dat metadata significant minder belangrijk is.

Ten eerste is het delen van metadata inderdaad een significant kleinere (dat is iets anders dan kleine) inbreuk op privacy dan het delen van de inhoud, daar is geen speld tussen te krijgen. Ten tweede, ik kan niet in het hoofd van orvintax kijken, maar het zou best kunnen dat dit een verwijzing is naar wat ik net ook al zei over dat het niet nodig is om e2e te breken voor dit voorstel. Als je zeker wilt weten hoe die post bedoeld was, dan zul je het natuurlijk aan orvintax zelf moeten vragen.

Ik ben van mening dat het onderscheid tussen data en metadata vrij zinloos is. Dat is zoiets als dat een auto met twee lekke banden "beter" is dan een auto vier lekke banden. Het klopt maar met twee lekke banden moet je nog steeds niet de weg op.

Dat onderscheid bepaalt of e2e-encryptie nog mogelijk is onder deze wet. Dat lijkt mij juist zeer relevant.
Je vergelijking met lekke banden snap ik niet. Als je probeert te suggereren dat jij per se een auto met nul lekke banden wilt (dat opsporingsdiensten op geen enkel moment en op geen enkele manier een inbreuk mogen maken op de privacy van burgers, dan hoor ik graag van je hoe de politie in jouw wereld haar werk moet doen. Als iedereen 100% privacy heeft, dan geldt dat ook voor criminelen en dan wordt het wel heel erg lastig om ooit nog misdadigers te veroordelen.

Als dat het enige is waar je je zorgen over maakt. Ik denk aan de tolken in Afghanistan die worden opgejaagd door de Taliban. De Taliban stelt echt niet de vraag of die over popcorn communiceerden met onze ambassade.

Wat is daar de relevantie van? De Taliban heeft sowieso geen boodschap aan Nederlandse regels (en terecht, Nederland heeft geen jurisdictie in Afghanistan... net zoals wij ons helemaal niets van hun wetten aan hoeven te trekken). Ja, Nederland heeft gefaald in haar morele verplichting om die mensen daar weg te krijgen. Maar nee, dit wetsvoorstel (zelfs al zou het een Nederlands wetsvoorstel zijn, in plaats van een Belgisch) heeft geen enkele invloed op wat voor data en/of metadata de Taliban bij Afghaanse telecomoperators op kan vragen.

Dat er geen groot register is waarin men over 30 jaar kan kijken wie er nu sympathie had voor homo's, vegetariers, joden, antivaxxers, kapitalisten of weet ik veel welke bevolkingsgroep door de volgende dictator wordt vervolgd zonder enige vorm van proces.

De oplossing die je voorstelt (de politie geen metadata op laten vragen) lost het probleem niet op, omdat ze die gegevens alleen opvragen van verdachten en weer verwijderen als blijkt dat ze iemand verdachten maar dat die toch onschuldig is. Er wordt dus geen algeheel register opgebouwd van wie er met wie communiceert, dus je hoeft deze wet niet tegen te houden om zo'n register te voorkomen.
Daarnaast hebben we al talloze van zulk soort registers. Zelfs je posts hier op Tweakers (die ik dan toevallig niet aan een specifieke persoon kan koppelen, maar (de geheime politie van) een evil dictator zal daar waarschijnlijk weinig moeite mee hebben) vormen een overzicht van je sympathieën (en antipathieën). Als er een doorgeslagen communist aan de macht komt die een hekel heeft aan huiseigenaren (in plaats van huurders), dan heeft de Belastingdienst een overzicht van wie er allemaal hypotheekrenteaftrek heeft gehad. DUO heeft een diplomaregister waarin een dictator met een hekel aan intellectuelen precies op kan zoeken wie hoger opgeleid is.
Of het zinnig is om je druk te maken over het scenario dat je schetst is nog even een andere vraag, maar laten we even aannemen dat dat zo is. Ten eerste heb ik het gevoel dat dit wetsvoorstel het probleem waar je bang voor bent niet groter maakt. En daarnaast zijn er heel veel andere zaken waar je je meer druk over zou moeten maken dan dit soort wetgeving.

[Freeaqingme]

Het gaat dus specifiek om metadata, niet de inhoud van het gesprek zelf.

Wat wil je daar mee zeggen?

Het gaat overheden helemaal niet om de inhoud van gesprekken. Die zijn ook lastig om gestructureerd in iets als een database vast te leggen. Bij metadata daarentegen kan dat perfect.

Sterker nog, de VS presteert het om enkel op basis van metadata drone strikes uit te voeren. Ook dichter bij huis zijn zogenoemde Geofence Warrants steeds populairder bij overheden. Fietste jij op tijdstip X toevallig langs locatie Y met je telefoon op zak? Dan ben je mogelijk verdachte in een moordzaak, enkel op basis van je metadata. Succes met het bewijzen van je onschuld!

[avlt]

Of ben je toevallig een aantal keren in de buurt van onze demissionaire minister-president dan ben je ook verdacht en moet je uit komen leggen hoe dat kan.

[orvintax]

Wat wil je daar mee zeggen?

Helemaal niks, ik probeer gewoon eventuele misvattingen recht te zetten.

[robvanwijk]

Succes met het bewijzen van je onschuld!

Je bent bekend met het feit dat het OM jouw schuld moet bewijzen, niet andersom? Het zou zomaar kunnen dat je onschuldig bent en wat tijd kwijt bent aan een verhoor. Da's ontzettend zonde van je tijd, absoluut, maar komt nog niet in de buurt van "schuldig tenzij je je onschuld kunt bewijzen".

[Crazy Harry]

Metadata is dan ook veel waardevoller, voor wie dan ook die je wil volgen. En dus ook het belangrijkst om te beschermen.

[jeffre]

In België hebben we een wet met het recht op encryptie. Wat gebeurt er daarmee?

[thetakman]

De wet is toch enkel dat je encryptie mag gebruiken? Daar wordt geen woord in gerept over hoeveel mensen de sleutel hebben. Laat dit nou net hetgeen zijn wat zo'n mooi grijs gebied is.

Wet A zegt, encryptie mag je gebruiken.

Wet B zegt, Wel de sleutels delen met de regering.

Vanuit een regering conflicteren deze 2 wetten nooit natuurlijk.

[afnay]

Dat gaat weer goedgekeurd worden om terrorisme te bestrijden ...
Iedereen bang maken, iedereen direct akkoord.

Onlangs las ik dat een dakloze man in Budapest 200.000 twee-honderd-duizend SIM kaartjes gekocht zou hebben. En duikt Salah Abdeslam op in het verhaal.

https://budapestbeacon.co...f-200-thousand-sim-cards/

Geen idee hoeveel de media in Hongarije nog mag vertrouwd worden, maar toch een bizar verhaal.

[checkraise]

Terrorisme, kp, corona, klimaat.

Overheden en journalistiek hebben het nog nooit zo makkelijk gehad met deze volle snoeptrommel aan angstzaaiwoorden.

[rhito]

Belgie is een democratie, toch? Is dit daadwerkelijk wat de mensen willen en waar ze op stemden?

Voor mij lijkt het altijd dat de overheid gewoon introduceert en doet waar ze zin in hebben, ook al stond het niet in het verkiezingsprogramma en is het merendeel het er niet mee eens. Dit gaat hoe dan ook doorgevoerd worden omdat een paar hoge heren het willen.

[Mavamaarten]

België is een democratie, maar we krijgen niet de mensen voor wie we stemden en elke politicus handelt in eigenbelang ipv het belang van ons.

[Mortis__Rigor]

We krijgen wel de mensen voor wie we stemden. Wij kiezen wie ons mag vertegenwoordigen in het parlement. Dat is de wetgevende macht. Dat is ook het enige waar we voor gaan stemmen: de wetgevende macht.
Over de uitvoerende macht (regering) hebben we niets te zeggen, behalve dan dat ze de goedkeuring moeten krijgen van de wetgevende macht (de volksvertegenwoordigers).

https://www.belgium.be/nl...d/democratie/drie_machten

[WillyWilly]

Belgie is een democratie, toch? Is dit daadwerkelijk wat de mensen willen en waar ze op stemden?

Denk dat in de verkiezingscampagne en debatten in Belgie in de pers en voor het grote publiek niet veel over privacy is gesproken, en dat zal niet alleen in Belgie zo zijn, vrees ik.
De meeste mensen en politici zijn er niet mee bezig, helaas.

[robvanwijk]

Voor mij lijkt het altijd dat de overheid gewoon introduceert en doet waar ze zin in hebben

Niet de overheid, de regering (en daardoor, de overheid, want de regering stuurt de overheid aan).
Tja, als ze bij de volgende verkiezingen niet naar huis worden gestuurd; waarom niet? Dan was de meerderheid het er kennelijk toch wel mee eens.

[beerse]

Misschien lees ik het te veel op z'n Hollands: De providers moeten meta-gegevens en/of verkeers-gegevens bewaren. Wat ze niet hebben kunnen ze ook niet bewaren.

Als een facebook/whatsapp/telegram/signal zelf geen keys heeft omdat die alleen in de clients worden gegenereerd en gebruikt, dan kan ze die ook niet bewaren.

[GurbieV]

Het woord "credibiliteit" in de 1 na laatste zin...

Is dat nu Vlaams, een Anglicisme of gewoon fout vertaald?

ik neem aan dat het gewoon geloofwaardigheid betekent...