Minister: opsporingsdiensten moeten toegang kunnen hebben tot versleutelde chats

Er moeten mogelijkheden zijn om onder bepaalde voorwaarden toegang te krijgen tot chatberichten die end-to-end versleuteld zijn. Dat stelt demissionair minister Dilan Yeşilgöz-Zegerius van Justitie en Veiligheid in een antwoord op Kamervragen van het CDA.

Demissionair minister Yeşilgöz reageert op Kamervragen van het CDA over de rol van end-to-endencryptie bij het online delen van kindermisbruik. Ze stelt dat er daarbij veel gebruik wordt gemaakt van end-to-endencryptie, wat opsporing lastig maakt. Daarom is het volgens haar belangrijk dat het 'onder passende voorwaarden en waarborgen' mogelijk is voor opsporingsdiensten om toegang te krijgen tot versleutelde berichten.

Yeşilgöz stelt dat opsporingsdiensten momenteel nog veelal afhankelijk zijn van de maatregelen die de versleuteldeberichtendiensten zelf nemen om verspreiding van kindermisbruik tegen te gaan. Dat kan bijvoorbeeld door 'op basis van verdacht gedrag' te kijken naar de metadata en vervolgens een melding te sturen naar de Amerikaanse toezichthouder NCMEC. Als die de zaak doorverwijst naar Nederland, is het in bepaalde gevallen mogelijk om op die manier op te treden tegen individuele daders, aldus de minister.

Daarnaast is het 'onder strenge voorwaarden' mogelijk om toegang te krijgen tot versleuteld materiaal op individuele apparaten via een ontsleutelingsbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk. Toegang krijgen tot versleutelde berichten gebeurt momenteel dus via de apparaten van de eindgebruiker als deze al verdacht wordt van het in bezit hebben van beelden van kindermisbruik, in plaats van via de berichtendiensten zelf.

Overigens worden deze middelen zelden ingezet, bleek uit een eerder onderzoek, omdat deze bevoegdheden vaak niet worden toegekend aangezien het de grondrechten van de verdachte schendt. Het Nederlandse kabinet liet eerder in een antikindermisbruikplan al weten dat end-to-endencryptie niet onmogelijk mag worden gemaakt.

Reacties (291)

[Pixeltje]

Hier ligt toch de crux van het verhaal? In het artikel staat:

Daarnaast is het 'onder strenge voorwaarden' mogelijk om toegang te krijgen tot versleuteld materiaal via een ontsleutelingsbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk. Hier wordt echter weinig van gebruikgemaakt, , omdat deze bevoegdheden vaak niet worden toegekend.

Er is een waakhond/rechter/wie dan ook die moet beoordelen of het noodzakelijk en rechtmatig is dat er versleuteld materiaal wordt ontsleuteld. Die oordeelt kennelijk vaak dat dat niet mag. De oplossing is dan toch niet om een workaround te verzinnen? Kennelijk zijn de zaken waarin toestemming wordt gevraagd niet urgent genoeg of de aanvraag onvoldoende onderbouwd, als je het dan makkelijker gaat maken om toch toegang te krijgen ben je de boel aan het foppen lijkt me?

[jake1996]

De techniek zal gebaseerd zijn op client-side scanning. Een stukje software wat meekijkt op je device voordat deze de encryptie in gaat. Het ondermijnt het recht op privacy van iedereen, alleen om een paar potentiële criminelen te pakken, dus al heel snel een alternatief zullen vinden. Iedereen is verdacht tot het tegendeel is bewezen? De resources om alle ten onrechte meldingen te verifiëren zijn er gewoon niet. Als dit doorgaat is de hele AVG/GDPR onzin geworden.

[MSalters]

Ik weet niet waarom je de AVG erbij sleept, want die is expliciet niet van toepassing. Dat staat letterlijk in de AVG. Art 2.2b, meteen in de introductie. (Waar de AVG wél en niet over gaat).

Het recht op privacy is een grondrecht, maar daarom haalt de minister het "ontsleutelingsbevel" aan. Dat komt van een rechter-commissaris, en het is gevestigde jurisprudentie dat dit voldoende is om een inbraak op de privacy te rechtvaardigen. Huiszoekeingen zijn dat evengoed, en ook die mogen alleen met dergelijke toestemming. En ook die zijn bedoeld om een paar potentiële criminelen te pakken.

"Iedereen is verdacht" is dus onzin, want er is geen ontsleutelingsbevel tegen iedereen. Er is een scherp gedefinieerde, korte lijst met mensen tegen wie een opsporingsonderzoek loopt, een nog kleiner deel daarvan is verdacht van een dusdaning zwaar feit dat de rechter-commissaris bijzonder opsporingsmiddelen goedkeurt, en wéér een kleiner deel daarvan zal onderwerp zijn van een ontsleutelingsbevel.

[jake1996]

Je hebt gelijk, AVG is regelt iets heel anders, probeerde alleen een punt te maken dat we niet ver verwijderd zijn dat de techniek iedereen kan “ bewaken”. Bij mij doemt gelijk een soort Chinees staatsapparaat op, dat via dit soort technieken ons leven gaat sturen.

[GekkePrutser]

Ja maar client-side scanning waar @jake1996 het over heeft, ondermijnt die rechten natuurlijk wel. Je kan niet voor iedereen zonder enige aanleiding een uitzondering maken op zo'n grondrecht.

De AVG heeft er niet zoveel mee te maken, maar de specifieke uitvoering van deze vraag van justitie natuurlijk wel. Gaan ze voor client-side scanning? Voor een achterdeur? Een decryptieplicht? Of wat dan ook. Dat maakt veel verschil.

Ook is het een nogal scheef punt omdat er gewoon apps bestaan die kunnen versleutelen zonder achterdeur. Die gaan niet verdwijnen. En juist mensen die hele nare dingen te verbergen hebben, zullen die gebruiken. Daardoor wordt het voor de burger weer minder veilig terwijl de daadwerkelijke doelen gewoon hun gang blijven gaan.

[Reactie gewijzigd door GekkePrutser op 23 juli 2024 03:06]

[kimborntobewild]

Er is een scherp gedefinieerde, korte lijst met mensen ...

Het is slechts een kwestie van tijd, dat _iedereen_ het lot moet ondergaan dat justitie je bespioneert.

[MSalters]

Doe eens realistisch. Telefoon taps kunnen al 70 jaar en die zijn nog steeds zeldzaam.

[kimborntobewild]

Nu, met internet, is 't veel makkelijker om privacy-gevoelige data in bulk te onderscheppen.
Kijk naar wat bijv. Snowden heeft onthuld: het afluisteren en verzamelen gaat enorm ver.

[Leon Straathof]

Nou, is voor mij inmiddels 33 jaar geleden dat ik een telefooncentrale van een grote stad in het zuiden van het land werkte (wat niet de enigste centrale van die stad was) waar toen al honderden taps in die ene centrale waren. Dus nee niet iedereen wordt afgeluisterd maar het waren er veel meer dan ik me voor kon stellen voordat ik het met mijn eigen ogen gezien had.

[brobro]

Of het wordt weinig ingezet omdat het weinig prioriteit heeft. Het doel van dit mogen inbreken wordt nu verkocht met het bestrijden van kinderporno. Ik twijfel sterk aan de oprechtheid. Je kunt ook zeggen dat je in het algemeen meer burgers wilt bespioneren en controleren, maar dat is een lastiger verhaal om uit te leggen.

[3raser]

Kennelijk zijn de zaken waarin toestemming wordt gevraagd niet urgent genoeg of de aanvraag onvoldoende onderbouwd, als je het dan makkelijker gaat maken om toch toegang te krijgen ben je de boel aan het foppen lijkt me?

Maar dit is toch precies het hele doel? Opsporingsdiensten willen zo makkelijk mogelijk toegang krijgen tot alle gegevens. Een rechter is alleen maar een sta-in-de-weg die je weerhoudt om te doen wat je daadwerkelijk zou willen doen. Als er geen rechters bestonden die opsporingsdiensten in toom zouden houden dan waren er geen grenzen aan hun creativiteit om data te bemachtigen.

[MrCuddles]

Ik moet door je bericht aan dit verhaal denken: https://nos.nl/artikel/24...winnen-leerzame-simulatie

"Het systeem begon door te krijgen dat de mens soms geen toestemming gaf, hoewel het een dreiging had vastgesteld. Omdat er punten werden verdiend door de dreiging weg te nemen, besloot het systeem de opdrachtgever uit te schakelen. Het vermoordde de mens, omdat die zijn doel tegenwerkte."

edit: Aanpassing om te verduidelijken dat het om een geinige niet serieuze referentie gaat

[Reactie gewijzigd door MrCuddles op 23 juli 2024 03:06]

[arnoldus1955]

Uit jouw quote lijkt het alsof dit heeft plaatsgevonden. Uit het artikel blijkt dat dit enkel een gedachten-experiment is en dat een dergelijke simulatie nooit is gebeurd.

[MSalters]

Sterker nog, dit betrof een simulatie waarin expliciet werd gesimuleerd dat een AI mensen kon doden. Dus de uitkomst was dat de simulatie deed wat de programmeurs gesimuleerd hadden. Goh.

[MrCuddles]

Ik moest er aan denken omdat dit gedachten experiment hetzelfde gedrag vertoonde; het sta-in-de-weg uitschakelen. Iets wat ook was verwacht, zoals M Salters ook al benoemd.

[AWiersma]

Dat verhaal rammelt van alle kanten. Het systeem heeft toestemming nodig om op mogelijke vijanden te schieten maar kan wel op eigen initiatief op de operator schieten?

[R.Mats]

Dat is dus wat altijd met dit soort achterdeurtjes "voor jou veiligheid" wetten gebeurd.

De wet wordt aangenomen onder het mom dat er streng wordt getoetst voordat het gebruikt mag worden om de privacy te waarborgen, de desbetreffende "veiligheid" dienst vindt dat het te streng is en dat er een wet komt die het makkelijker maakt voor ze om de rechter te omzeilen of voeren het gewoon uit en "betalen" wel een boete.

En zo gaan we stapje bij stapje steeds veder de valkuil in en krijgen we uiteindelijk toch die massa surveillante.

[MSalters]

"Boete".

Nee, de consequentie van onrechtmatig verkregen bewijs is dat de rechter het bewijs verwerpt. En dat kan zeker tot gevolg hebben dat de rechter de aanklacht geheel of gedeeltelijk onbewezen verklaart.

Dit gaat dus ook niet over veiligheidsdiensten (AIVD/MIVD), want die brengen geen mensen voor de rechter, en die gaan ook niet over kindermisbruik. Dit gaat over de politie en het OM.

[Hatseflats]

En zo gaan we stapje bij stapje steeds veder de valkuil in en krijgen we uiteindelijk toch die massa surveillante.

Die is er al.

Mensen streven altijd naar het verkleinen van dissonantie.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[Palm_freemium]

Hier ligt toch de crux van het verhaal? In het artikel staat:

Daarnaast is het 'onder strenge voorwaarden' mogelijk om toegang te krijgen tot versleuteld materiaal via een ontsleutelingsbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk. Hier wordt echter weinig van gebruikgemaakt, , omdat deze bevoegdheden vaak niet worden toegekend.

Er is een waakhond/rechter/wie dan ook die moet beoordelen of het noodzakelijk en rechtmatig is dat er versleuteld materiaal wordt ontsleuteld. Die oordeelt kennelijk vaak dat dat niet mag. De oplossing is dan toch niet om een workaround te verzinnen? Kennelijk zijn de zaken waarin toestemming wordt gevraagd niet urgent genoeg of de aanvraag onvoldoende onderbouwd, als je het dan makkelijker gaat maken om toch toegang te krijgen ben je de boel aan het foppen lijkt me?

Zoals ik het lees;
- ontsleutelingsbevel : de eingbruiker word gedwongen zijn apparaat te ontsleutelen
- 'de bevoegdheid om binnen te dringen in een geautomatiseerd werk.' - Toestemming om een toestel te kraken, dit zou remote kunnen, maar zoals ik het hier lees gaat het om het kraken van de encryptie wat betekend via lokale toegang het device ontsleutelen.

Voor beide oplossingen heb je fysieke toegang nodig tot het apparaat en dien je een verdachte aan te houden of te arresteren, dat kun je dus niet stiekem doen. Daarnaast is arresteren zonder bewijs niet iets dat we aanmoedigen, dus word die bevoegdheid niet afgegeven. Als het alleen om aftappen/afluisteren/meelezen gaat is de kans dus groter dat die bevoegdheid word afgegeven.

[old_spice]

Ja en dan? Wat bereik je hier mee? Pedo's, criminelen in het algemeen, zitten op zwaar versleutelde messagingdiensten die helemaal nooit informatie gaan delen met justitie in Nederland. Oftewel, de minister wil iedereen z'n privacy schenden om een paar kruimeldieven te pakken terwijl de grote criminelen buiten schot blijven. Die kruimeldieven pak je linksom of rechtsom toch wel. Ga eens echt je werk doen en rol die narco's in Rotterdam op. Heel Europa snuift nog elke dag Rotterdamse cocaïne, dat met tonnen per dag uit de haven komt.

[MSalters]

Een prettig gevolg hiervan is overigens dat die desbetreffende diensten zich schuldig maken aan het faciliteren van een misdrijf, en daarmee zelf crimineel zijn. Dat maakt het weer mogelijk om ze aan te pakken, desnoods via hun personeel. En misschien willen die personeelsleden wel een dealtje met justitie maken om tot strafvermindering te komen als ze meehelpen om hun klanten te hacken.

[33Fraise33]

Dus niet end to end versleuteld?

Het lijkt me ook bijna onmogelijk om van iedere dienst te verwachten dat zij toegang moeten verlenen.

[Reactie gewijzigd door 33Fraise33 op 23 juli 2024 03:06]

[gorgi_19]

Wat niet in het nieuwsartikel opgenomen is, maar wel in de brief staat:

quote: https://www.tweedekamer.n...2023D32085&did=2023D32085

Welke mogelijkheden hebben de Nederlandse opsporingsdiensten nu om verspreiding via versleutelde end-to-end-encryptie een halt toe te roepen?

(...)
Meestal gaat het dan om toegang tot individuele apparaten, bijvoorbeeld middels een ontsleutelbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk, zoals opgenomen in de Wet Computercriminaliteit III. Deze middelen zijn – gelet op de inbreuk die de inzet maakt op de grondrechten – alleen onder strenge voorwaarden inzetbaar, en de uitkomsten zijn afhankelijk van een (grote) set van externe factoren.

Volgens de brief richten ze zich dan ook niet op de dienst zelf, maar op de individuele apparaten van de eindgebruikers.

Ook in een van de eerdere antwoorden zeggen ze alleen DAT ze toegang tot versleutelde berichten, onder voorwaarden willen krijgen, maar niet dat de dienst het zelf moet doen:

quote: Antwoord op vraag 11

Daarom is het van belang dat er mogelijkheden zijn om onder bepaalde omstandigheden toegang tot dit berichtenverkeer te krijgen, onder passende voorwaarden en waarborgen.

Anders gezegd: een verdachte kan gedwongen worden om mee te werken aan de ontsleuteling van de berichten en / of toegang tot het apparaat. Hacken van individuele gebruikers en / of apparaten zou hier dan ook onder vallen.

[Reactie gewijzigd door gorgi_19 op 23 juli 2024 03:06]

[Ossebol]

Juridisch gezien is het al mogelijk om door middel van artikel 558 Sv. iedereen die iets van de vergrendeling weet, te dwingen om biometrische vergrendeling ongedaan te maken. Hiermee kun je als opsporingsambtenaar al technisch gezien bij alle opgeslagen berichten op een apparaat komen (mits toestemming van bevoegd gezag enz.). Als je niet gehoorzaamt, maak je je schuldig aan het niet opvolgen van een ambtelijk bevel (artikel 184 Sr., meen ik).

Artikel 558 Sv.:

In geval een inbeslaggenomen geautomatiseerd werk biometrisch is beveiligd of de gegevens biometrisch zijn versleuteld in de vorm van een vingerafdruk of een opname van de iris of het gezicht, kan de officier van justitie bevelen dat de opsporingsambtenaar deze beveiliging of versleuteling ongedaan maakt. De opsporingsambtenaar kan ter uitvoering van dat bevel tegen de wil van wie redelijkerwijs kan worden vermoed dat hij deze beveiliging of versleuteling ongedaan kan maken, de maatregelen treffen die daartoe redelijkerwijs noodzakelijk zijn.

Voorwaarde is wel dat het geautomatiseerde werk (een pc, laptop, tablet, telefoon, server enz.) in beslaggenomen is. Je kunt als opsporingsambtenaar dus niet zomaar de biometrische vergrendeling van iemand ongedaan maken. Een voorwerp moet dus wel vatbaar zijn voor inbeslagname.

Juridisch nadeel in dit geval is dat het ook alleen om biometrische vergrendeling gaat. Als je te maken hebt met een pincode bij een inbeslaggenomen apparaat bijvoorbeeld, wordt het lastiger om te eisen de vergrendeling ongedaan te maken. Volgens mij is hier wel een truc voor uit de jurisprudentie, maar die lijkt mij lastiger. In dat geval is het beter het toestel te kraken om zo bij de berichten te komen (dit mag juridisch na inbeslagname om onderzoek aan het apparaat te kunnen doen). Interessant leesvoer: https://www.elhannouche.n...mijn-smartphone-uitlezen/

Als de biometrische vergrendeling ongedaan gemaakt is, zijn in principe alle berichten op dat moment op de telefoon zelf in te zien. Hiervoor hoef je dus niet een of andere encryptie ongedaan te maken. Voor toekomstige berichten en berichten op een geautomatiseerd werk elders via de telefoon zijn andere bevoegdheden nodig (556 en 557 Sv.).

[Reactie gewijzigd door Ossebol op 23 juli 2024 03:06]

[Sebastian1313]

Dat is deels correct om 2 redenen:

A ) een verdachte hoeft nooit en te nimmer mee te werken aan zijn of haar eigen onderzoek.

B ) een wachtwoord is intellectueel eigendom en hoeft vanwege punt A niet gegeven te worden, in tegenstelling tot biometrische gegevens, die kunnen met "lichte dwang" worden afgenomen.

[Ossebol]

Als je met 'dat' 558 bedoelt, dan klopt dit niet: een verdachte moet artikel 558 Sv. dulden. Zie https://zoek.officielebekendmakingen.nl/kst-35869-26.html

Ter uitvoering van het bevel van de officier van justitie kan de opsporingsambtenaar de redelijkerwijs noodzakelijke maatregelen treffen, ook tegen de wil van de verdachte, om die versleuteling vervolgens ook ongedaan te maken. In het verlengde daarvan kan er sprake zijn van lichte lichamelijke dwang. Er is dus een duldplicht voor personen voor het meewerken aan de ongedaanmaking van biometrische beveiliging of versleuteling.

Onder 'lichte dwang' wordt bijvoorbeeld verstaan om de vinger op de vingerafdruklezer te drukken, ook als de verdachte tegenstribbelt.

[Reactie gewijzigd door Ossebol op 23 juli 2024 03:06]

[Hatseflats]

Je kunt je dan ook afvragen of dit niet in strijd is met het beginsel dat je niet aan je eigen veroordeling hoeft mee te werken. Herstel: Dit is strijdig met dit beginsel.

Lichte dwang is ook dwang.

Plus: een gewaarschuwd mens telt voor 2.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[Niemand_Anders]

De politie mag jouw ook dwingen te blazen bij een alcohol controle. Dat mag je overigens weigeren, maar dan mag je wel mee naar het bureau waar men bloed afneemt welke je op dat moment niet meer mag weigeren omdat je op dat moment verdacht wordt van een strafbaar feit...

[Hatseflats]

Ik moet even nakijken hoe dit zat, maar dit is de uitzondering die de regel bevestigd.

Desalniettemin, of het er nu eventueel mee strijdig is of niet, vind ik het persoonlijk wel wenselijk.

Bloed afname mag je volgens mij ook weigeren, maar dan ben je automatisch strafbaar.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[ccnl]

Ik dacht onder 'lichte dwang' is ongeveer zo "Als je niet zelfs jouw vinger op de lezer druk, hak ik jou vinger af een voor en en leg op de lezer tot ik een goede vinger heb"

[Stoney3K]

Je kijk te veel films. De 'lichte dwang' is meer oom agent die jouw geboeide hand beet pakt en gewoon jouw vinger op de afdruklezer legt.

[JohanNL]

Ik blijf me toch verbazen over dit soort wetgeving, en wat er nog volgen gaat...
Dat ze dit zouden doen in een land als Noord Korea of Rusland kan ik begrijpen, maar hier in Nederland?

[Hatsjoe]

Dan draaien we de situatie om: deze wet bestaat niet. De politie wilt in de telefoon die beveiligd is met een vingerafdruk. Aangezien de verdachte zijn vingerafdrukken moest afstaan bij arrestatie heeft de politie die. Nu moet de politie van deze 2D vingerafdruk in 3D maken om zodoende in de telefoon te komen. Resultaat is identiek maar heeft wel veel meer tijd, moeite en geld gekost.

Dus waarom zou deze wet dan iets slechts zijn? Of vind je dat de politie überhaupt niet in een telefoon mag voor strafrechtelijk onderzoek? Zo niet, hoe verwacht je dan dat de politie haar taken goed kan uitvoeren?

En je vergelijking met Noord Korea en Rusland slaat natuurlijk nergens op. Daar heb je geen rechtstaat maar krijg je letterlijk gewoon een kogel door je kop wanneer je niet mee werkt of iets gedaan hebt dat de overheid niet zint.

[JohanNL]

Je moet het ook van een andere kant bekijken, de kant van dat iemand nog steeds onschuldig is tot het tegendeel is bewezen.
Encryptie - als die er op zit en in welke vorm dan ook - zit er niet voor niets op, dit is om de privacy van de gebruiker te waarborgen.
Dat een bepaalde encryptie dan uiteindelijk zwak blijkt te zijn en makkelijk te kraken is, dat is dan geluk voor de opsporingsambtenaar, maar meer ook niet.

Het klinkt wellicht onschuldig, even de vinger van de verdachte gebruiken voor je onderzoek, maar waar stopt dit? Wat mij betreft gaan we echt hiermee een verkeerde kant op.
Er is namelijk ook nog die andere wet die ervoor kan zorgen dat je wordt vervolgd voor het niet ontgrendelen van eventuele encryptie.
En ja dat zijn wat mij betreft al met al taferelen waarvoor je in landen als Rusland en Noord Korea de bak in kunt gaan, of eventueel de kogel krijgt.

[Hatseflats]

Het is ook vrij eenvoudig. Een crimineel laat zich sowieso niet stoppen door de wet.

Je kunt je dan ook terdege afvragen voor wie dit eigenlijk bedoeld is, zoals zoveel dingen die onder de heilge 3 eenheid worden geschaard, te weten Terrorisme, Criminaliteit en Pedofilie.

Het is ook een verdere escalatie in de criminele wereld van geweld. Oh, komen jullie nu met semi-automatische wapens, dan komen wij met volautomatische wapens. Langere / hardere straffen?

"Ik heb hier nog een ak-47 liggen, ik krijg sowieso een lange of levenslange straf, dus waarom niet gewoon ff los gaan?"

Dat zie je bijvoorbeeld in de VS / Mexico al. Helemaal nu met die Glock switches.

[bzzzt]

Dus waarom zou deze wet dan iets slechts zijn? Of vind je dat de politie überhaupt niet in een telefoon mag voor strafrechtelijk onderzoek? Zo niet, hoe verwacht je dan dat de politie haar taken goed kan uitvoeren?

De politie heeft al beschikking over alle internet adressen waarmee jij met een specifiek abonnement of simkaart communiceert. Alle niet-end-to-end communicatie kan via sleepnet-achtige constructies worden afgeluisterd. Auto's en mensen worden continu gefilmd in de publieke ruimte waarbij gebruik wordt gemaakt van de modernste AI technieken (ClearView) om personen te herkennen.
Maar dat is kennelijk niet genoeg om een strafrechtelijk onderzoek te doen?

En als je efficiency zo belangrijk vindt: dan ben je ook vast voorstander dat de opsporingsdiensten een kopietje krijgen van de wachtwoorden van alle accounts van alle Nederlanders. Scheelt een hoop overhead rond rechters en zo...

De geschiedenis wijst uit dat een rechtsstaat snel afbrokkelt wanneer opsporingsdiensten het land gaan runnen. In die zin is de vergelijking met Rusland zeker valide.

[Hatsjoe]

De politie heeft al beschikking over alle internet adressen waarmee jij met een specifiek abonnement of simkaart communiceert. Alle niet-end-to-end communicatie kan via sleepnet-achtige constructies worden afgeluisterd. Auto's en mensen worden continu gefilmd in de publieke ruimte waarbij gebruik wordt gemaakt van de modernste AI technieken (ClearView) om personen te herkennen.
Maar dat is kennelijk niet genoeg om een strafrechtelijk onderzoek te doen?

Zo'n beetje mijn hele leven staat op mijn telefoon, en toch heeft mijn ISP maar heel weinig informatie over mij. Ja, wat NAW informatie en data zoals welk IP ik op welk moment heb gehad, mijn locatie, met wie ik op welk moment heb gebeld of wie ik een SMS heb gestuurd. Maar ik gebruik, net zoals heel veel andere mensen, nooit meer SMS en bel heel sporadisch en wanneer ik bel, is het niet voor illegale of zoetsappige zaken, maar voor een reservering of soortgelijk. Dus om je vraag te beantwoorden: Nee, dat is absoluut niet genoeg en geeft je enkel een startpunt om verder te onderzoeken.

En als je efficiency zo belangrijk vindt: dan ben je ook vast voorstander dat de opsporingsdiensten een kopietje krijgen van de wachtwoorden van alle accounts van alle Nederlanders. Scheelt een hoop overhead rond rechters en zo...

Wat is dit nou weer voor domme opmerking... Ik heb het hier over wat de politie op dit moment wettelijk al mag. De politie mag wettelijk al in jouw telefoon voor het onderzoek. De politie mag (moet?) wettelijk jouw vingerafdrukgegevens afnemen bij arrestatie en deze mogen bij het onderzoek gebruikt worden. Wettelijk mag de politie dus al jouw vingerafdruk gebruiken om de telefoon te ontgrendelen. Met deze wet is het echter mogelijk om een snelle route te nemen: de verdachte verplichten met deze wet zijn vinger op de telefoon te leggen, en wanneer dit niet vrijwillig gaat, hier dwang voor gebruiken.

De geschiedenis wijst uit dat een rechtsstaat snel afbrokkelt wanneer opsporingsdiensten het land gaan runnen. In die zin is de vergelijking met Rusland zeker valide.

Denk je echt dat de FSB Putin onder de duim heeft en dat Putin maar een marionet is van de FSB? Natuurlijk niet. Daarnaast is Rusland op politiek gebied niet te vergelijken met Nederland. Maar blijkbaar ben jij van mening dat de opsporingsdiensten in Nederland het land aan het runnen zijn (of dat dreigt te gebeuren). Zou jij mij wat concrete voorbeelden kunnen geven waaruit dat blijkt?

[bzzzt]

Wat is dit nou weer voor domme opmerking...

Ik wilde graag inhoudelijke reply geven, maar je laat met deze horkerige opmerking al zien dat je daar niet op zit te wachten.

[Ozymandias]

Als Poetin iemand dood wil hebben dan gaat die dood. Zonder enige vorm van proces dan ook nog. De FSB is daartoe slechts een middel, om die doodstraf uit te voeren. Het is niet anders dan onder Stalin.

[Hatseflats]

Ja, klopt ja.

Maar dat doen ze hier in NL ook. Vraag maar aan Redouan.

En als vergelding hebben ze het nu ook gemunt op haar. Iedereen kan idd dood. Waar een wil is, is een weg.

Dat is ook waarom ze leiders van landen niet gewoon afschieten. Dan kan je als land wat dat doet hetzelfde verwachten. Oog om oog, tand om tand.

Pablo kwam hier ook mee aanzetten in de jaren 80 al. Toen zette hij een prijs op het hoofd van zittende ministers e.d. nadat ze dat bij hem iets soortgelijks hadden gedaan. 500000 dollar dacht ik, even uit mijn hoofd gezegd. En kijk in wat voor chaos dat land nu (nog steeds) leeft 40 jaar later.

Een zelfde lot kan ons in NL ook ten deel vallen, waar mensen denken dat de pen machtiger is dan het zwaard.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[Ozymandias]

Vraag het maar aan de familie De Vries. De lange arm van Taghi reikt verder dan Vught.

[Triblade_8472]

Klopt, maar mag je inderdaad niet benoemen blijkbaar.

Ik ben niet tegen enige vorm van de EU, maar wat zij slopen aan privacy, persoonlijke veiligheid en vrijheid van meningsuiting gaat écht richting 1984.

Ik zou juist willen dat ze privacy en persoonlijk verkeer bevorderen, niet afbreken onder de gedoodverfde noemers.

[Hatsjoe]

Zou je misschien uitéén kunnen zetten welke zaken op gebied van privacy, persoonlijke veiligheid en vrijheid van meningsuiting richting 1984 gaan? Mijn belevenis is namelijk dat het juist de goede kant op is gegaan wanneer je het vergelijkt met 1984 en ik zie niet hoe we terug die kant op bewegen. GDPR is bijvoorbeeld een hele goede stap geweest, iets dat zonder Europa nooit gelukt was.

Ik zou zelfs durven te beweren dat we nog nooit zoveel privacyrechten hebben gehad als nu, en dat vrijheid van meningsuiting ook alleen maar beter is geworden (deels ook door nieuwe privacywetten en anonimiteit van het internet). Daarnaast is ook persoonlijke veiligheid nog nooit zo goed geweest (los van criminaliteitscijfers). In 1984 kon je niet 5 keer op een knopje drukken in je broekzak waarna je locatie live gedeeld wordt met hulpdiensten en je noodcontacten een SMS krijgen met je locatie.

[Triblade_8472]

Ik wordt vreselijk gemind, dus dan weet je het wel. Het is uiteraard verspilde moeite. Maar ik zal wat dingen neerzetten voor je. Je hoeft het niet af te schieten of te reageren want ik ga er niet meer naar kijken.

- Bijvoorbeeld disinfo.eu. Hier is bewezen dat landen dusdanige input kunnen leveren dat de uitkomst naar hun hand gezet wordt.
- De digitale euro. Je hebt geen financiele privacy meer door oa baar geld. Nu is het nog naast het baar geld, maar dat houd ook een keer op. Dit wordt specifiek zelfs europees centrale bank geld. (bron)
- Digitaal ID wat je kan delen met alles en iedereen. (net zoals je nu doet met Facebook, maar dan met nog belangrijkere data) (bron)
- Digitale gezondheids data delen met iedereen (want dat gaat aaaalllltijd goed als je er niet binnen je eigen land bovenop zit. En zelfs dan gaat het geweldig /s (zie Barbie's dossier en meer.)) (bron)

Ja, alles is vast weg te bagatelliseren. Het heeft allemaal een geweldige reden om er te zijn. Maar wat men weigert te zien is het gevaar ervan. Het hoeft niet, en je mag mij er op los minnen tot je een ons weegt, maar je ziet in oa China al wat verregaande digitaliseren voor gevolgen heeft, niet? Wacht maar tot onze huidige EU top alle touwtjes wél in handen krijgt én er nog corruptere mensen zitten. Dan gaat het geheid fout. Waren we toen maar gestopt zouden we zeggen. De burger is uiteindelijk de sjaak. De trein dendert maar door zonder mensen die even op adem komen en nadenken waar ze in godsnaam mee bezig zijn.

Het doel is uiteindelijk alles en iedereen zo te integreren dat je de EU amper nog uit kan. Een soort vendor-lockin, maar dan op sociaal/overheids niveau. Dit is iets wat veel te snel gaat en nog lang niet wenselijk is. Zeker niet gezien er bewezen corruptie in de top zit (bron) en ze zo anti-transparant zijn dat ze zelfs hun eigen bonnetjes niet eens durven te laten zien!! (bron)

Het mooiste is dat de grote bedrijven uiteindelijk amper minder info hebben. Alle regels te spijt gebeurt er gewoon hetzelfde als ervoor. Alles lijkt voor de show te zijn. Als ze het écht menen met privacy dan beginnen ze eerst bij zichtzelf en de lidstaten en daarna pakken ze hard de grote bedrijven aan. Sterker nog, gebruik de 40 MILJARD voor de eigen ontwikkeling van een Google/Meta concurrent ofzo ipv agricultuur. Of pak de zinloze 5,7 miljard transport en gebouw kosten van de EU, of de 30 miljard 'cohesion fund'. (mag wat kosten daar, 30 miljard om landen naar elkaar te laten lachen klinkt een beetje als over de balk als je het mij zou vragen) (bron)

Oh en in 1984 hoefde je niet 5x op een knopje te drukken, want je wordt letterlijk continu gevolgd daar, niet drukken is al voldoende voor het systeem te weten wat er gaande zou zijn.

[mac1987]

Op het vlak van privacy valt er wel het een en ander op te merken, vooral als het gaat om toepassing van sleepnet methodes en falende waarborgen op dat vlak. Zie de diverse berichten op Tweakers hierover. Er zijn, zoals je terecht constateert, wel meer juridische waarborgen gekomen, maar als opsporingsdiensten zich daar niet aan houden, de controlerende instantie daar niks tegen kan doen behalve een signaal afgeven, en de politiek dat signaal interpreteert als een aanleiding om de wetgeving ruimer te maken i.p.v. de opsporingsdienst op de vingers te tikken, dan kun je vraagtekens zetten bij de richting die we opgaan. Er is dus zowel meer/bredere inbreuk op privacy (opsporingsdiensten) als een sterkere juridische strijd tegen privacy inbreuk (AVG). De vraag is welke beweging sterker zal blijken.

[Hatseflats]

Eens met de privacy rechten. Maar effectief stellen ze niks voor.

Anders moet je de lezing van Bill Binney eens bekijken op SHA2017.

Da's inmiddels 6 jaar geleden.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[Cyberpuppy]

Zelf ben ik al heel onschuldig van Tinder verwijderd, mocht me niet aanmelden op Insta (met de letterlijke mededeling dat men het platform graag gezellig wil houden) en nu weer een akkefietje met al mijn email die als phishing gezien wordt in Office365. Op die laatste na geen cruciale zaken, maar nergens kan ik verhaal halen of inzage krijgen in het waarom ik gevlagt wordt. Ik schrijf zelden iets op het internet en al helemaal geen uitgesproken extreme meningen. Dus ja, het is eng aan het worden, vooral omdat je je er op geen enkele manier tegen kunt verdedigen.

Onder de noemer privacy wordt nu werkelijk alles gegooid, dus dat is niet enkel iets wat positief is.

En ik blijf er bij. Zo lang ik op een gemiddelde videochat site zonder enige aanleiding wordt gevraagd naar kinderporno lijkt het me niet zo moeilijk voor oom agent om wat mensen op te pakken. Probeer het al een tijd op het vizier bij justitie te krijgen, maar dat lukt nog niet zo. Aan de andere kant willen ze wel meer bevoegdheden want dat gaat dan helpen.

[MSalters]

Gezien het feit dat je hier reageert op een stukje over de EU: wat jij wil is een recht op inzage in de gegevens die het platform over jou heeft. Goed nieuws: de EU is bezig om jou dat recht te geven.

[Cyberpuppy]

Nou leuk dat we dat recht hebben. Helaas is 1 van de eerste dingen die ik in juridische zaken heb geleerd is dat er een heel groot verschil is in recht hebben en recht krijgen. Vertaald naar deze situaties. Probeer je gelijk maar eens te halen. Voor Tinder in Insta kan ik me nog beroepen op de AVG recht op inzage. Maar dan nog. Er zijn zoveel drempels opgeworpen dat je het er maar bij laat zitten.

[Krulliebol]

Zelf ben ik al heel onschuldig van Tinder verwijderd, mocht me niet aanmelden op Insta (met de letterlijke mededeling dat men het platform graag gezellig wil houden) en nu weer een akkefietje met al mijn email die als phishing gezien wordt in Office365.

Dat zijn commerciële bedrijven (die de vrijheid hebben om jou als klant te weigeren). Daar heb ik ook wel een mening over, maar dat is echt wat anders dan een overheid of de EU die moeilijk doet.

[Ozymandias]

Triblade_8472 refereert volgens mij aan het boek 1984 van George Orwell.

Waar ik gisteren toevallig een goede video over zag:
https://www.youtube.com/watch?v=bcwemPHuDRo

De maatschappij die in 1984 wordt beschreven is de ware nachtmerriemaatschappij waarin de staat totale controle heeft over het individu en zelfs het denken aan verzet zo goed als onmogelijk is gemaakt.

[Het.Draakje]

Yeşilgöz is (demissionair) de Minister van Justitie van Nederland, niet van Europa. Dus waarom je tegen Europa loopt te schoppen, geen idee, maar uiteraard wel volkomen misplaatst.

[Verwijderd]

Laat ze maar lekker kraken. Kost klauwen met geld: pincode is max. 10.000 instances bij 4 nummers, maarja exponentieel groei. Daar moet gewoon een goede balans in zijn. Stel een instance kost een euro. Dan weet je dat het 100.000 euro kost bij een pincode van 5 nummers. Dit afdwingen. Privacy is wat waard

[supersnathan94]

Na 3 mislukte pogingen moet je bij mij X minuten wachten, bij 5 dan weer langer en bij 10 wordt het device kompleet gewist. Succes!

I know er zijn in het verleden wat hacks geweest om dit te omzeilen, maar dat maak het alleen nog maar ingewikkelder.

Qua kosten helemaal aangezien iPhones tegenwoordig standaard 6 cijfers afdwingen als minimum. Kon je voorheen nog naar 4 zetten, maar volgens mij kan dat nu ook al niet meer.

[Verwijderd]

Ja en de image begint zonder pogingen. Die clone je dan 100.000 keer waardoor je toch kan kraken en 6* is 1 miljoen clones. Iets duurder (factor 10)

[Reactie gewijzigd door Verwijderd op 23 juli 2024 03:06]

[Verwijderd]

raxon schreef:

Ja en de image begint zonder pogingen. Die clone je dan 100.000 keer waardoor je toch kan kraken en 6* is 1 miljoen clones. Iets duurder (factor 10)

Zo werkt het niet:

Zo'n image is met een lange random key versleuteld. Die lange random key zit in sterk beveiligde hardware.

Die hardware geeft de lange random key alleen vrij als de pincode, vingerafdruk of gezichtsscan klopt. Als te vaak een foute pincode wordt ingevoerd of onjuiste biometrische gegevens worden aangeboden, blokkeert die hardware.

Een versleuteld image kun je wellicht eenvoudig kopiëren, maar niet die hardware (in elk geval niet eenvoudig).

Er zijn wel werkende aanvallen bekend die deze hardware voor de gek houden, zoals BrutePrint. Maar die aanvallen werken vooral op goedkopere smartphones.

[Stoney3K]

In hoeverre is zo'n zelfvernietigend/vergrendelend image juridisch houdbaar? Valt dat niet onder bewust vernietigen van bewijsmateriaal, of belemmeren van de rechtsgang?

[Verwijderd]

Stoney3K schreef:

In hoeverre is zo'n zelfvernietigend/vergrendelend image juridisch houdbaar? Valt dat niet onder bewust vernietigen van bewijsmateriaal, of belemmeren van de rechtsgang?

Los van dat ik geen jurist ben, ken ik niemand die het op prijs stelt als de door die persoon verzamelde informatie onbedoeld gewist
- of ontoegankelijk gemaakt wordt. Daarom maken verstandige mensen back-ups van die informatie.

De reden voor mijzelf om het prima te vinden dat mijn smartphones worden gewist na te veel onjuiste inlogpogingen, is niet dat ik van plan ben om ooit justitie tegen te werken, maar dat die smartphones in verkeerde handen kunnen vallen.

Om dezelfde reden zijn de "disks" in mijn PC's en de meeste van mijn externe opslagmedia (met name back-ups en archief) versleuteld, gebruikmakend van een sterk (lang en uniek) wachtwoord (juist zo'n lang wachtwoord omdat deze media zichzelf niet kunnen "verdedigen").

De back-ups die ik maak en/of laat maken zijn zelden volledig up-to-date, maar ik ga ervan uit dat, mocht dit ooit tot een juridisch vraagstuk leiden, ik op z'n minst redelijk mijn best gedaan heb.

[Stoney3K]

Stoney3K schreef:

[...]

Los van dat ik geen jurist ben, ken ik niemand die het op prijs stelt als de door die persoon verzamelde informatie onbedoeld gewist
- of ontoegankelijk gemaakt wordt. Daarom maken verstandige mensen back-ups van die informatie.

De reden voor mijzelf om het prima te vinden dat mijn smartphones worden gewist na te veel onjuiste inlogpogingen, is niet dat ik van plan ben om ooit justitie tegen te werken, maar dat die smartphones in verkeerde handen kunnen vallen.

In dit geval is er dus de kans dat "justitie" en "de verkeerde handen" dezelfde partij zijn. Je moet niet uitgaan van een overheid die altijd, ook in de toekomst, goede bedoelingen heeft.

En het gaat hier dus niet om het vernietigen van een back-up, maar om een (hardware)medium in de telefoon wat zichzelf uitschakelt en onklaar maakt op het moment dat het een kraakpoging detecteert. Dat is inderdaad bedoeld om te voorkomen dat telefoons gekraakt worden wanneer ze in de verkeerde handen vallen -- maar zo'n stukje hardware heeft geen knopje "Ik ben een goeierik, laat me binnen!" dus die zal justitie op dezelfde manier buiten sluiten.

Het rauwe image van de back-up is met een dusdanig lange sleutel versleuteld dat het wiskundig onmogelijk is om die sleutel te kraken. Dat is de bedoeling. Dus de enige ingang die je hebt is door die beveiligde hardware-module heen.

Dan krijg je dus de vraag: Hoe zit het strafrechtelijk als je bewijsmateriaal bewust voor iedereen (ook jezelf) ontoegankelijk maakt? Of wanneer dat een backup van een telefoon betreft, waarbij het OM nog niet eens zeker weet óf er wel bewijsmateriaal op staat, maar ze daar alleen een vermoeden van hebben?

[Verwijderd]

Stoney3K schreef onder meer:
[quote]In dit geval is er dus de kans dat "justitie" en "de verkeerde handen" dezelfde partij zijn.[quote]
Ik waarschuw vaak genoeg voor foute medewerkers (niet alleen van de overheid) en onterechte verdenkingen om hier volledig van bewust te zijn (voor zover ik dat goed genoeg besef).

Ook schop ik tegen heilige huisjes en neem zelden een blad voor de mond in kritiek die ik heb op de overheid, dus zou het mij niet verbazen als ik op één of meer "lijsten" sta (voorbeelden van mijn "geschop": 1, 2, 3, en 4 (+ followup)).

Stoney3K schreef ook:

Dan krijg je dus de vraag: Hoe zit het strafrechtelijk als je bewijsmateriaal bewust voor iedereen (ook jezelf) ontoegankelijk maakt? Of wanneer dat een backup van een telefoon betreft, waarbij het OM nog niet eens zeker weet óf er wel bewijsmateriaal op staat, maar ze daar alleen een vermoeden van hebben?

Ik heb geen idee.

In de VS kun je als bedrijf beboet worden voor het "kwijtraken" van gegevens, maar of dat ook geldt voor particulieren betwijfel ik. En of zo'n boete opweegt tegen de vermoedelijk door J.P. Morgan "geboekte" winst vraag ik mij ook sterk af.

[MSalters]

De kern van jouw argument is "bewust". De telefoon in kwestie doet niets bewust; dat kan een algoritme ook niet. Zelfs Apple als bedrijf weet niet welke specifieke telefoon bewijsmateriaal bevat, laat staan dat ze dat al wisten op het moment dat dit algoritme implementeerden.

[Stoney3K]

De kern van jouw argument is "bewust". De telefoon in kwestie doet niets bewust; dat kan een algoritme ook niet. Zelfs Apple als bedrijf weet niet welke specifieke telefoon bewijsmateriaal bevat, laat staan dat ze dat al wisten op het moment dat dit algoritme implementeerden.

Dus een dergelijk 'fail-deadly' beveiligingsmechanisme kan niet gezien worden als het vernietigen van bewijs? Ik weet dat ze dat ook toepassen op versleutelde containers van harde schijven, wanneer er meer dan X pogingen gedaan worden om de container te ontsleutelen, wordt de key veranderd in een random sleutel.

Of in een meer paranoïde geval, wanneer iemand binnen 24 uur niets van zich laat horen vanaf een bepaald device, wanneer ie bijvoorbeeld in hechtenis is genomen. Kan zo'n passief mechanisme, wat de data vernietigt als er geen juiste input wordt gegeven, gezien worden als vernietigen van bewijsmateriaal?

[MSalters]

Oh, het is zeker "vernietigen van bewijs". Maar dat is waarom ik wijs op het "bewust". Het is bepaald niet ongebruikelijk dat bewijsmateriaal onbewust vernietigd wordt, denk aan bedrijven die oude archieven laten versnipperen. Dan kan jaren later blijken dat er onbewust bewijsmeteriaal is vernietigd. Tegelijkertijd is het zelfs wenselijk dat bedrijven geen onnodige data bewaren.

In dit geval hebben bedrijven als Apple een redelijk doel met het wissen van telefoons; daarvoor zijn genoeg legitieme redenen (primair diefstal).

[supersnathan94]

Zoals @Verwijderd ook al benoemd is dat niet hoe het werkt. De pincode ontgrendeld een stuk hardware die de encryptie sleutels vrijgeeft. De secure enclave. Dit zit niet in het image maar fysiek embedded in de chip.

[MeMoRy]

100.000 euro is niets in verhouding van totale kosten van zo'n proces.
Recherche, specialisten, rechters, advocaten, etc etc. Alleen iemand een maand in de cel houden kost al 7.500 euro.

Wat dacht jij dan, dat ze te pas en to onpas bij alle telefoons willen kunnen? Nee, dit is alleen voor zeer ernstige misdrijven en zal waarschijnlijk alleen op gerechtelijk bevel mogen.

[Reactie gewijzigd door MeMoRy op 23 juli 2024 03:06]

[IJzerlijm]

En dan ook een belasting betalen op apparaten met zulke encryptie van 1 procent van de kosten van het kraken. Privacy is wat waard, en iedereen mag dan zelf bepalen wat het ze waard is dat de politie niet in hun apparaat kan.

[killercow]

Dan is het ook snel afgelopen met veiligheid op internet. Heck, een https verbinding is al onkraakbaar, wil je daar ook belasting op heffen?
En voor wat? voor die 1 op miljard kans dat je een pakketjes moet open breken omdat iemand ergens een verdenking van iets stouts heeft opgelopen?

[IJzerlijm]

Het gaat hier om de beveiliging op een apparaat, niet online verkeer.

[Hatsjoe]

Wanneer die data niet versleutelt op het apparaat aankomt, waarom zou het apparaat zelf dan nog interessant zijn voor opsporingsinstanties?

Wat jij voorstelt gaat natuurlijk nooit werken. De enige die hierdoor geraakt worden zijn de brave burgers die zich aan de wet houden. Criminelen pakken gewoon gratis een open source cryptografische algoritme en gaan vrolijk door zonder iets te betalen en zonder dat opsporingsinstanties het kunnen kraken.

Ze moeten slimmer gaan zijn in hoe strafrechtelijk onderzoek wordt gedaan. Zelfs mensen bij de cyber crime divisie hebben soms beschamende kennis van IT. Dat is iets waar je mee vooruit komt, meer investeren in kennis en kwaliteit van je medewerkers. Het zal altijd een kat en muisspel blijven, je moet zorgen dat je katten slimmer zijn dan de muizen, maar helaas lijken er veel meer slimme muizen te zijn dan de domme katten kunnen vangen.

[johnbetonschaar]

Wanneer die data niet versleutelt op het apparaat aankomt, waarom zou het apparaat zelf dan nog interessant zijn voor opsporingsinstanties?

^ Dit dus...

Elke keer als overheden zich uitlaten over nieuwe plannetjes om zogenaamd kinderporno of wat dan ook te bestrijden blijkt maar weer dat a) ofwel er helemaal niemand is die het snapt of de beleidsmakers kan uitleggen hoe het werkt of b) beleidsmakers net doen alsof ze het niet snappen omdat hun doel helemaal niet is om kinderporno te bestrijden, maar om het gebruik van encryptie an sich als 'verdacht' of op termijn zelfs verboden te maken.

End-to-end encryptie = alleen degene die de informatie stuurt, en degene die de informatie ontvangt, kunnen de informatie decrypten. Niemand anders heeft de sleutel. De minister kan hoog en laag springen dat er 'een mogelijkheid' moet zijn voor een derde partij (overheid, opsporingsinstantie), maar de enige manier is als beide partijen die de informatie hebben versleuteld hun encryptie sleutels vrijgeven.

De manier waarop het omkeren van end-to-end encryptie nu wordt benaderd is door partijen als MS, Apple, Google, etc. te verplichten backdoors in te bouwen in de software die ze zelf meeleveren om bijvoorbeeld versleuteld beeldmateriaal lokaal de decrypten zodat je er naar kan kijken. Dat is natuurlijk een volkomen kansloze onderneming als je kinderporno of wat dan ook zou willen bestrijden, want die kun je ook gewoon verspreiden door een offline versleutelde blob aan data versturen en de decryptie sleutels via een ander kanaal te delen.

Dat er net gedaan wordt alsof er niemand op het ministerie van Justitie is die dit zelf ook wel kan verzinnen, doet vermoeden dat het helemaal niet om kinderporno gaat, maar om het creeeren van een backdoor die op termijn voor van alles en nog wat gebruikt kan worden, behalve voor opsporing van echte criminelen (ok, en misschien criminelen die zo dom zijn dat ze hun kinderporno plaatjes in iCloud hebben opgeslagen).

[Reactie gewijzigd door johnbetonschaar op 23 juli 2024 03:06]

[Stoney3K]

Goed, elke Blu-ray speler en PS5 heeft ook onkraakbare versleuteling dan. Niet om jouw data te versleutelen overigens... dat gaat een aardige rekening worden.

[Hatseflats]

Heck, een https verbinding is al onkraakbaar, wil je daar ook belasting op heffen?

Die gedachte had ik ook maar met een stukje software en port mirroring kunnen ze gewoon in je sessie meekijken. Dit is al zo sinds iig 1998.

[killercow]

Als je de private-key hebt wel ja, anders niet.

[Hatseflats]

Nee, je dupliceert de sessie.

Ik stond er ook van te kijken en dacht net zoals jou. Maar alleen bij https.

SSH is een ander verhaal.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[johnbetonschaar]

Nee, je dupliceert de sessie.

Ik stond er ook van te kijken en dacht net zoals jou. Maar alleen bij https.

Als een van de twee endpoints gecompromitteerd is dan is er van alles mogelijk ja, dan is zelfs SSH in theorie te ontsleutelen (denk aan heartbleed, waarbij plaintext data uti geheugen van de SSH server kon worden gehaald).

Er van uitgaande dat de endpoints (mijn web OS/web browser en jouw OS/web browser) niet gecompromitteerd zijn er er dus niemand 'stukjes software' op een van beide computers kan draaien om de sleutels van mijn HTTPS verkeer te achterhalen, is dat HTTPS verkeer gewoon niet te ontsleutelen.

Als jij denkt dat dat op enige manier wel zou kunnen dan zou ik graag een referentie zien hoe en wat

[Hatseflats]

@MSalters Om een post van een ander (Alfa1970) van het tweakers forum te quoten:

"Voor wat betreft web verkeer is het geen kraken.

Met behulp van het afgetapte verkeer wordt er een 2e connectie met de doel web server opgezet die er zorg voor draagt dat er meegelezen kan worden.

Aan de kant van de gebruiker zie je er niets van, maar aan de web server kant zou je het kunnen zien, want daar wordt exact dezelfde data 2x verwerkt.

Heel veel meer dan dit weet ik er niet van, de cursus destijds was relatief basaal. Tijdens de hands-on labo's werd wel heel duidelijk het verschil getoond tussen een traditionele MITM met een proxy waarbij je de verkeersstroom echt onderbreekt en de gebruiker een ander certificaat krijgt, en deze methode.
Het verschil met de MITM methode was ook dat bij die methode het apparaat kon ingrijpen en bijvoorbeeld malware zou kunnen blokkeren, terwijl dat bij de "onzichtbare" modus niet mogelijk was.
Maar voor monitoring doeleinden en accountability achteraf is dit een prima methode."

Ikzelf kwam er ook mee in aanraking doordat ze email van iemand naar boven hadden gehaald van yahoo of soortgelijke mail service toendertijd.

Het kan zijn dat ze het certificaat / sleutel opnieuw aanbieden, of het doen op basis van cookies. Meer mogelijkheden kan ik mij zo gauw niet bedenken.

EDIT: Ik hou toch nog even een slag om de arm.

[Reactie gewijzigd door Hatseflats op 23 juli 2024 03:06]

[MSalters]

Leuk dat je een tweede connectie opzet. T.net heeft op dit moment een paar duizend connecties naar hun webserver. Alsnog is elke connectie uniek. Dat is waarom ik verwijs naar sessie-sleutels. Elke connectie heeft een unieke sessie-sleutel.

Die oude MITM methode werkt overigens ook niet meer, zelfs als de gebruiker oplet. HSTS en certificate pinning detecteert het valse vertificate van de proxy.

[MSalters]

Dat is gewoon een man-in-the-middle aanval tegen HTTPS, en nee, dat werkt niet zonder private key. Je krijgt de encrypted data via port mirroring. Maar die data is encrypted met een sessie-sleutel, die afgesproken is tussen de browser en de server. En die afspraak is weer versleuteld gedaan met de HTTPS certificates van de server.

[Stoney3K]

Sterker nog, SSL/TLS is ontworpen om specifiek de situatie af te vangen dat iemand mee luistert op een gedeeld medium. Of dat nu via port mirroring gebeurt, het sniffen van WLAN packets, of op de heel ouderwetse manier zelfs een tap op de Ethernet kabel.

[Stetsed]

Dus het precident voor wachtwoorden/pincodes is eigenlijk dat de politie jou niet kan forceren om het op te geven, want dan kunnen ze tog ook je forceren om te vertellen wat je hebt gedaan, wat tegen het recht gaat om niet te hoeven werken voor je eigen veroordeling uit de europese rechten van de mens.

Je hebt hier ook aan artikel voor gegeven en daar heb je well gelijk dat het nog steeds een actueel onderwerp is en dat het niet absoluut is, ze mogen bijvoorbeeld well je bloed af nemen om te kijken of je een hoge bloed alcohol hebt. Maar onder current precident van en de Hoge Raad in NL, en de Europese Rechter voor de Rechten van de mens kan je niet worden geforceerd om je pincode/wachtwoord op te geven, oftewel bewijs dat afhanelijk is van wil.

Hierna ga je door op het inbreken en dit vind ik een interessante, de politie heeft het recht om onderzoek te doen, en als ik het gelijk hebt gebruiken zij het argument "Een telephoon is net een logboek", en die mogen ze natuurlijk ook doorkijken voor bewijs als ze de correcte permissie hebben om hem in handen te krijgen.

En er moet well effe de astriks zijn, als de biometrisch vergendeling ongedaan gemaakt is betekent niet meteen dat alle berichten te zien zijn, dit ligt er meer aan welke app je gebruikt want sommige hebben ook nog lokale encryptie met een pincode/wachtwoord om als "extra" veiligheid te dienen, maar ja als je daar een vinger afdruk voor gebruikt ben je de shaak.

[Reactie gewijzigd door Stetsed op 23 juli 2024 03:06]

[Real]

Het gaat bij het decryptiebevel in het artikel niet om 558 Sv, maar 126nh lid 1 Sv. Zie het geciteerde rapport 'De rol encryptie in de opsporing' pagina 4.

Maar je kunt inderdaad gedwongen worden om bijvoorbeeld met je vingerafdruk voor ontsleuteling te zorgen. Aan een verdachte (anderen dus wel) kan geen decryptiebevel worden gegeven (art. 126nh lid 2 Sv).

[The Zep Man]

Juridisch gezien is het al mogelijk om door middel van artikel 558 Sv. iedereen die iets van de vergrendeling weet, te dwingen om biometrische vergrendeling ongedaan te maken. Hiermee kun je als opsporingsambtenaar al technisch gezien bij alle opgeslagen berichten op een apparaat komen (mits toestemming van bevoegd gezag enz.).

En mits biometrie gebruikt wordt en op dat moment bruikbaar is. In AOSP power button -> lockdown of simpelweg geen biometrie gebruiken is al voldoende om dat te voorkomen.

[DMT]

Het bevoegd gezag geeft hier natuurlijk niet zomaar toestemming voor. Dat moet wel zo goed onderbouwd zijn dat je schuld eigenlijk al is bewezen.

Daarnaast is het op die manier altijd mogelijk om preventieve maatregelen te treffen. Bijvoorbeeld alles wissen indien je met je wijsvinger ontgrendeld i.p.v je duim.
Het is ook helemaal niet gezegd dat daarmee alle berichten op dat moment zijn in te zien. Ook daar zijn versleutelingsmaatregelen tegen te nemen.

[33Fraise33]

Wat niet in het nieuwsartikel opgenomen is, maar wel in de brief staat:


[...]


Volgens de brief richten ze zich dan ook niet op de dienst zelf, maar op de individuele apparaten van de eindgebruikers.

Ook in een van de eerdere antwoorden zeggen ze alleen DAT ze toegang tot versleutelde berichten, onder voorwaarden willen krijgen, maar niet dat de dienst het zelf moet doen:

[...]


Anders gezegd: een verdachte kan gedwongen worden om mee te werken aan de ontsleuteling van de berichten en / of toegang tot het apparaat. Hacken van individuele gebruikers en / of apparaten zou hier dan ook onder vallen.

"Hacken van individuele gebruikers of apparaten" zodra het remote kan is er altijd de kans dat dit misbruikt kan worden.
Het ontsleutelen met toegang tot het toestel zelf is mogelijks wel nog een optie. Dan kan dit enkel met een bevel en indien het toestel aanwezig is.

[gorgi_19]

Als je een toestel hacked, door middel van bijvoorbeeld een zero-day exploit, staat dat los van de berichtendienst. De berichten zijn nog steeds e2ee versleuteld. De berichtendienst kan nog steeds de berichten niet lezen, heeft geen weet dat een opsporingsdienst er mee bezig is.

Alleen het eindpunt (device van de gebruiker) is kwetsbaar, waardoor niet alleen de berichten wellicht zichtbaar kunnen zijn, maar alle data op het toestel.

[blorf]

Een zero-day exploit die zorgt voor volledige toegang kan tonen wat er in beeld staat. Dit is denk ik waar het eigenlijk om draait. Low-level toegang tot een apparaat. e2e versleuteling maar dan met een mee-kijkende autoriteit. Compleet belachelijk. Helaas al te ingewikkeld voor het grote publiek om dit te doorzien.

Overigens vraag ik me af of Android en iOS dit in het standaard beveiligiungspakket hebben zitten. De uitvoer naar een beeldscherm is als het goed is eenrichtingsverkeer. Remote moet niet te achterhalen zijn wat er op een scherm te zien is. Onderdeel van oude *nix netwerk beveiliging. Ik ben bang voor het ergste. De video-framebuffer is vast wel open te zetten voor buiten.

[Reactie gewijzigd door blorf op 23 juli 2024 03:06]

[litebyte]

We zien met de Wiv dat ze regelmatig hun eigen gang gaan zonder juridische concequenties, dan nu aankomen met de opmerking "onder passende voorwaarden en waarborgen." Het is niet alleen de populistische incompetentie van de politiek, het is ook gewoon een denigrering richting je bevolking om werkelijk het idee te hebben dat dit nog wordt gelooft

[blorf]

Ik vind het uiterst dubieuze politiek. Die minister redeneert niet uit zichzelf zo. Dat komt ergens vandaan buiten de kamer...

[litebyte]

Klopt, is het ook.

Vanuit de MIVD, voormalig hoofd Pieter Cobelens is al jaren aan het lobbyen (ook via de gevestigde massamedia - in kranten en tal van televisieprogramma's) om het 'gevaar van' versleuteling onder de aandacht te brengen en om aan te sturen op wettelijke maatregelen tegen gebruik van, met iedere keer dezelfde bangmaak drogredenen

[Nas T]

... Hacken van individuele gebruikers en / of apparaten zou hier dan ook onder vallen.

En dat lijkt me dan ook afdoende, want dat bijt deze uitapraak niet:

... Er moeten mogelijkheden zijn om onder bepaalde voorwaarden toegang te krijgen tot chatberichten die end-to-end versleuteld zijn.

Het eerste wat me namelijk te binnen schoot was: 'maar dat kan toch? Als je het protocol gekraakt hebt.'

Stel dat ik met een handlanger een eigen encryptielaag verzin, door berichten op wat manier ook versleuteld te sturen. Wat dan? Het lijkt mij niet noodzakelijk om me te verplichten om de ontsleuteling te realiseren voor de politie, waardoor ik mee zou helpen aan mijn eigen veroordeling. Ik zou, ongeacht de consequenties, principieel weigeren.

[Chip.]

Dank voor deze toevoeging, dat brengt dit artikel weer in een wat ander daglicht... en riekt ook wel een beetje naar clickbait weer...

[Zoijar]

Ik snap ook niet wat ze niet begrijpen aan "het kan niet"

[Luchtbakker]

Ik snap ook niet wat ze niet begrijpen aan "het kan niet"

Het kan prima, maar niet in combinatie met end to end encryptie.

Eigenlijk zou de politiek de vraag moeten stellen: is de privacy van 16 miljoen inwoners belangrijker dan een paar handen vol zedenzaken zonder encryptie, waarmee het gevaar bestaat dat de data van 16 miljoen mensen op straat kan komen te liggen?

Ik denk dat dan heel snel het antwoord wel duidelijk is.

[Reactie gewijzigd door Luchtbakker op 23 juli 2024 03:06]

[Zoijar]

Er staat

Er moeten mogelijkheden zijn om onder bepaalde voorwaarden toegang te krijgen tot chatberichten die end-to-end versleuteld zijn.

Dat kan dus niet.

[Bor]

Dat kan prima. End to end encryptie betekent precies dat. Berichten zijn versleuteld van eindpunt tot eindpunt. Dit zegt niets over wie de sleutels (ook) heeft of wat er bv op het endpoint kan worden afgevangen of hoe je er bv wettelijk voor zorgt dat een verdachte moet meewerken aan het unlocken van een toestel etc. Er zijn meerdere mogelijkheden.

[Reactie gewijzigd door Bor op 23 juli 2024 03:06]

[Zoijar]

Nee, dat is orwelliaans de taal veranderen om het punt te maken. Dat is niet E2EE. Natuurlijk kan je zeggen, "ok, maar ik gebruik een andere definitie van E2EE, dus in mijn definitie kan het wel", daar is weinig tegen in te brengen, maar is ook vrij zinloos.

In mijn definitie van encryptie kan gewoon iedereen het lezen, dus zijn er uberhaupt geen extra maatregelen nodig.

[Reactie gewijzigd door Zoijar op 23 juli 2024 03:06]

[WhatsappHack]

Dus als de overheid ongevraagd op een ander eind dan de bedoelde ends het gesprek kan ontsleutelen (“hebben (ook) de keys”), dan is het volgens jou nog steeds end-to-end versleuteld? Aparte redenatie.

Als er nog een “end” bij kan (op afstand en zonder toestemming) of kan manipuleren, dan is het dus niet daadwerkelijk end to end versleuteld, is de betrouwbaarheid niet te controleren en de authenticiteit evenmin - dan rek je de definitie opeens heel ver op en klopt het gewoon echt niet meer. Je sleutels verplicht uit handen geven is totale waanzin in de context van betrouwbare encryptie en maakt het juist volstrekt onbetrouwbaar. Zeggen dat het nog steeds end-to-end versleuteld is terwijl je verplicht iemand mee moet laten lezen die aan een ander eind zit gaat helemaal nergens over; het gesprek is gecompromitteerd en dus niet meer van eind tot eind beveiligd.

Verplicht een andere partij toegang geven betekent dat je nooit weet of het wel werkelijk end to end is zoals end to end bedoeld is en wat het altijd betekent heeft. Verplicht een 3e partij moeten toevoegen als extra “end” maakt het evenmin noch werkelijk end to end als die 3e partij volstrekt ongewenst is als (potentiële) eavesdropper; en ik zie de overheid dan als een Mallory ipv louter een Eve.

Een telefoon van een verdachte in beslag nemen en, met toestemming van een rechter of OvJ, proberen toegang te krijgen of dit met toestemming op afstand proberen te doen: fair game. Maar standaard alle end-to-end encryptie en/of je datadrager (want dat was je tweede voorstel) 100% onbetrouwbaar maken en nooit kunnen weten of er iemand meeleest omdat er een enorm grote backdoor in je beveiliging zit (die echt niet enkel voor de overheid openstaat)? Nee. Nooit. En zal ik ook nooit aan toegeven al levert dat een boete op. Mijn privégesprekken en alle data for that matter zijn privé, de overheid heeft er helemaal niets in te zoeken - al gaat het over wat we vanavond eten.

Het naait overigens enkel de onschuldige burger die weer meer veiligheid en privacy moet opgeven en onnodig forse risico’s moet lopen, terwijl de smeerpijpen gewoon een laagje extra encryptie kunnen toevoegen (zoals nu ook al vaak gebeurt) en vrolijk door kunnen gaan. De politiek/de overheid moet met z’n tengels van onze privégesprekken afblijven. Deze onzin discussie elke keer weer waarbij de overheid terrorisme of kinderen misbruikt om grootschalig beveiliging enorm te verzwakken en privacy te schenden is absurd en moet echt eens ophouden.

[Prince]

#Asshole modus aan#
Ze vraagt letterlijk naar de chatberichten die end-to-end versleuteld zijn. Voor haar is dit dus de versleutelde versie. Er wordt tot zover ik zie niet gevraagd naar sleutels oid. Wellicht fout geformuleerd wegens tekort aan kennis, maar ze nemen alles op de letter, dus wij dit ook.

Ik heb er op zich dus geen probleem mee dat ze de versleutelde versie krijgen van chatberichten en ook enkel dat.
#Asshole modus uit#

Natuurlijk bedoelen ze de sleutels én de berichten of de niet-versleutelde versie van de berichten, maar dat vragen ze niet tot zover ik zie.

Ook staat er

Yeşilgöz stelt dat opsporingsdiensten momenteel nog veelal afhankelijk zijn van de maatregelen die de versleuteldeberichtendiensten zelf nemen om verspreiding van kindermisbruik tegen te gaan.

Daar zit de correcte actie lijkt me. Werk samen met deze diensten. Ze doen er al iets aan en zien de gevaren ervan in; ze zullen dus open staan om samen te werken om zowel de privacy te borgen van miljoenen en in realiteit miljarden mensen, maar toch ook de nodige zaken te doen om criminelen het leven net niet gemakkelijker te maken.

[dasiro]

De dienstverleners moeten ervoor zorgen dat ze een dienst aanbieden die voldoet aan de lokale wetgeving. Als daar in staat dat er toegang voor overheidsdiensten nodig kan zijn, dan zullen ze dat er in moeten steken of vertrekken/zelf strafbaar zijn. Uiteindelijk is het de regering/het parlement dat wetten maakt, dat geldt niet alleen voor je digitale communicatie, maar heel je leefwereld.

[TheDudez]

Dan is de dienst niet meer veilig zonde encryptie en dan heb je weer datalekken. Dan moet je de datalekken ook weer afschaffen. Het kan niet en en zijn.

[Alex3]

De overheid moet niet het onmogelijke willen.
https://en.wikipedia.org/wiki/Indiana_Pi_Bill

[dasiro]

Idem voor het volk: Als er geen manier is om crimineel gedrag op te sporen, dan ondermijn je de volledige rechtsstaat. Het is een heel lastige situatie, zeker met de internationale complexiteit die daar nog eens boven op komt, maar uiteindelijk moet er een middenweg gevonden worden en die zal vanuit de overheid worden bepaald.

[me23]

Er zijn genoeg manieren om crimineel gedrag op te sporen! Encryptie verzwakken (tenietdoen) door achterdeuren in te bouwen is er niet 1 van!

Er is gewoon geen manier om dit technisch te realiseren; het is of het 1 of het ander.

[dasiro]

Er is gewoon geen manier om dit technisch te realiseren; het is of het 1 of het ander.

Dat is omdat de makers het niet willen realiseren in hun software, want dat is tegen hun business-model. Een extreem voorbeeld van misbruik is/was Sky ECC die "aan iedereen" geëncrypteerde telefoons verkocht, maar in de prakijk quasi uitsluitend criminelen als klant had op een uitzondering na (net zoals TPB ook "legaal" torrent aanbood, maar quasi uitsluitend voor illegale bestandsuitwisseling werd/wordt gebruikt).

Dat de overheid het dan maar op een andere manier moet zien te achterhalen is een non-argument, want de rechten van de maatschappij (het vermogen van politiediensten om criminele activiteiten op te sporen) zullen altijd primeren op de rechten van het individu (privacy is er 1 van, maar belangrijker: het vermogen om criminele activiteiten verborgen te houden voor de maatschappij). Zo mag je bvb wettelijk ook niet gemaskerd over straat lopen en moet je je identificeren als je gecontroleerd wordt.

[me23]

Dat de overheid het dan maar op een andere manier moet zien te achterhalen is een non-argument, want de rechten van de maatschappij (het vermogen van politiediensten om criminele activiteiten op te sporen) zullen altijd primeren op de rechten van het individu (privacy is er 1 van, maar belangrijker: het vermogen om criminele activiteiten verborgen te houden voor de maatschappij). Zo mag je bvb wettelijk ook niet gemaskerd over straat lopen en moet je je identificeren als je gecontroleerd wordt.

Juist dit is het non-argument. Je kunt niet steeds maar opnieuw criminaliteit gebruiken (vooral kinderporno en terrorisme doen het lekker) om vrijheid en recht op privacy in te perken! Er zijn altijd andere manieren (en de telefoons die je noemt zijn daar juist een heel goed voorbeeld van) om criminelen op te sporen en encryptie in stand te houden.

Je gaat ook niet messen verbieden omdat daar mensen mee gedood worden. Je verbiedt het doden van mensen in het algemeen en je legt restricties op aan de plaatsen waar je een mes bij je mag hebben.

Het probleem met encryptie is, is dat het alles of niets is; of je hebt sterke encryptie waar iedereen van profiteert (inderdaad ook mensen met slechte bedoelingen) of je "verzwakt" encryptie waarvan iedereen potentieel slachtoffer is.

[Reactie gewijzigd door me23 op 23 juli 2024 03:06]

[dasiro]

Juist dit is het non-argument. Je kunt niet steeds maar opnieuw criminaliteit gebruiken om vrijheid en recht op privacy in te perken! Er zijn altijd andere manieren (en de telefoons die je noemt zijn daar juist een heel goed voorbeeld van) om criminelen op te sporen en encryptie in stand te houden.

Heel de discussie loopt nu dat door dat ze op de een of andere manier toch berichten hebben kunnen decrypten na invallen (al dan niet bij skyecc dan wel het "fake" skyecc.eu) en er vragen worden gesteld bij de legitimiteit van het bewijsmateriaal. Als ze een backdoor hadden, dan moest er niet eerst een hele "provider" worden neergehaald, want dat zou in een gewone situatie nog veel meer onschuldigen hebben meegetrokken.

Je gaat ook niet messen verbieden omdat daar mensen mee gedood worden. Je verbiedt het doden van mensen in het algemeen en je legt restricties op aan de plaatsen waar je een mes bij je mag hebben.

Het probleem met encryptie is, is dat het alles of niets is; of je hebt sterke encryptie waar iedereen van profiteert (inderdaad ook mensen met slechte bedoelingen) of je "verzwakt" encryptie waarvan iedereen potentieel slachtoffer is.

quasi dezelfde analogie woedt volop in de VS met aanvalswapens en de uitvlucht van de NRA: guns don't kill people, people kill people. Hier bij ons zijn bepaalde wapens verboden en voor andere wapens is er een registratieplicht (ergo backdoor voor de overheid om je te vinden). Het procentueel verschil in misbruik en legitiem gebruik ken ik niet, maar het aantal schietpartijen is hier wel een pak lager. De paar incidenten waar we hier horen van wapenmisbruik door een agent tov misbruik door burgers in de VS is echter ENORM.

[me23]

Het verschil met een wapen is dat dat gemaakt is om mensen te verwonden of te doden. Wederom dus geen goede vergelijking.

Ik vind het oprecht gevaarlijk dat deze discussie iedere paar jaar weer oplaait zonder dat mensen beseffen:

- Het is het een of het ander, beiden kan niet.
- Het doel heiligt niet de middelen
- Met dit soort maatregelen ondemijn je de democratie; vrijheid en recht op privacy zijn belangrijke peilers van de democratie. Hieraan zagen zonder zeer zwaarwegende redenen en/of zonder negatieve gevolgen moet je niet willen. De redenen (kinderporno, terrorisme, slechte mensen, blabla) lijken behoorlijk zwaarwegend maar dat is juist de groep die zich het minst zal aantrekken van een verbod.

We gaan het niet eens worden maar ik stoor me vreselijk aan de kortzichtigheid en de excuses dat dit nodig en nuttig zou zijn.

[dasiro]

cameratoezicht op openbare plaatsen dan, om het over een privacy-gevoelig topic te houden.

[vgroenewold]

Precies, alsof criminelen dan maar stoppen als de backdoor erin zit. Dan verzint men gewoon wat anders en zitten de 16 miljoen andere mensen met een mogelijkheid op een privacy issue of onterecht bekeken worden.

[me23]

Dat argument vergeet ik nog te noemen inderdaad. Je vangt er hooguit de domme criminelen mee (uiteraard een nice to have maar niet tegen de prijs die het kost) maar de slimmere criminelen stappen gewoon over naar iets anders, of dat nu postduiven zijn of zelf geschreven software met encryptie.

[krosis]

> Dat is omdat de makers het niet willen realiseren in hun software

Nee, omdat het technisch niet mogelijk is om e2e encryptie uit te zetten om zo voorgaande berichten te lezen. Want dan is het niet e2e encrypted. Je hebt het wel OF je hebt het niet. Daar komt het simpelweg op neer.

[dasiro]

daarom juist: ze willen enkel e2e maken zonder backdoor, dan zal de overheid en daarna de rechtbank uiteindelijk het laatste woord hebben

[Seal64]

Dat gaat ook niet werken. Zelfs als E2E encryptie wettelijk verboden zou worden (want dat is waar je dan naartoe werkt) dan nog zullen mensen dat blijven gebruiken. Er zijn namelijk ook open source chat clients met E2E encryptie, en dan kan de overheid nog zo hard proberen dat te verbieden, het staat op het internet, dus het is beschikbaar.

De volgende stap zou dus zijn om toegang tot websites die dergelijke clients aanbieden, ook te verbieden, en ook actief te filteren. En voor de zekerheid moet dan ook elke smartphone standaard aangeboden worden met een niet-verwijderbare app waardoor de overheid een backdoor heeft om in je telefoon te komen.

Begint akelig veel op China of 1984 te lijken zo.

[dasiro]

er staan wel meer dingen op internet die ook geblokkeerd worden, waarvoor je de gevangenis in gaat als je het download en in je bezit hebt. Het is niet omdat het ergens buiten de jurisdictie van een land wordt aangeboden, dat je het dan maar overal ter wereld mag hebben

[flurb]

Als ik via geheimtaal in een blikje in een park een bericht achterlaat zal de overheid dit ook niet kunnen vinden /lezen.
Denk toch dat dit niet de oplossing is. Boefjes kunnen ook mailboxen, fora, jpegs gebruiken voor uitwisseling. Dus je haalt feitelijk een optie van de lijst maar er zijn nog vele alternatieve, waar boefjes makkelijk naar uit kunen wijken. Dus dan los je zo weinig op dat je uiteindelijk de privacy van alle Nederlandse ondermijnt voor vrij matige value add. Jammer ook dat kinderporno direct de driver moet zijn . Veel nuttiger om de principiële discussie te voeren over hoe we om willen gaan met encryptie en mensen te onderwijze over nut en implicaties.

Zoals hierboven, feitelijk kan het niet eens, tenzij toch generieke keys of clients met backdoor.

[dasiro]

een law-enforcement backdoor is iets helemaal anders dan de privacy van een hele maatschappij ondermijnen. Wetten stellen altijd een beperking aan de vrijheid van de maatschappij, als het niet verboden is, dan mag het. Daarom zullen ze altijd restrictief zijn en dat wil je liever dan het omgekeerde: een whitelist met dingen die je wél mag doen.

[nubis99]

Hier ben ik het niet helemaal mee eens, als zo'n backdoor er is dan weet je gewoon dat er binnen no-time toegang is verkregen juist door die criminelen. Als een deur er eenmaal zit gaat die vanzelf een keer open. Politie en opsporingsdiensten zijn immers niet de enige die hier belang bij of meerwaarde van hebben. En geloof maar dat die criminelen net zo handig (of soms zelfs handiger!) zijn wat betreft encryptie dan onze toch over het algemeen vrij digibetische ambtenaren. Hiernaast creer je ineens heel veel mogelijkheden voor fraude (bijv. identiteitsfraude d.m.v. verkregen toegang tot berichten), afpersing (er zit nog wel eens iets tussen dat berichtenverkeer wat niet illegaal is, maar wat toch mensen in een precaire positie kan doen belanden) en hiernaast ook een gevaar voor geheimhouding (specifieke bedrijven en overheidsorganisaties die ook gebruik maken van veelvoorkomende berichtenapps). Er zit dus wel degelijk een gevestigd belang aan het behouden van encryptie. Het is onmogelijk om encryptie maar voor één specifieke groep af te zwakken. De rest vind de weg vanzelf ook. Dus hoe je het ook bekijkt, je recht op privacy gaat er echt enorm op achteruit.

[DMT]

Criminelen handiger dan de digibetische ambtenaren?

Een beetje populair en ongefundeerd wat roepen noem ik dat.

Heb jij dan niets meegekregen van de geboekte successen rondom Encrochat, SkyECC, Ennetcom en het NoMoreRansom project?

Ga dat eerst dan eens lezen want dat is toch echt fantastisch werk van die 'digibetische ambtenaren'...

[Microwilly]

digibetische ambtenaren. 'In 2019, a joint operation between UK, French and Dutch police broke into EncroChat’s service, putting a piece of malware on to the French server and potentially the carbon units themselves,' Volgens mij is dit niet zoon kunst. Voor de politie om toegang te krijgen tot de server.
Heb je de signing key is het helemaal makkelijk. Kan je alle backdoors verwerken in je update. ^^
En er zijn zeker criminelen groepen. Die minimaal even slim zijn.

[nubis99]

Ik doelde eigenlijk meer op de beleidsmakers dan op de uitvoerende tak, die weten meestal wel hoe het zit. Maar de mensen die de wetten maken laten af en toe nog wel eens wat steekjes vallen van wat ik gemerkt heb

[Verwijderd]

Los van de backdoor(s) zelf, hoe vaak is het niet voorgekomen dat iemand van de politie- en of opsporingsdiensten in de zak zat van criminelen?

https://www.parool.nl/ned...-aan-criminelen~b566f411/

https://nos.nl/artikel/23...oorspeelde-aan-criminelen

https://www.ad.nl/binnenl...atie-aan-bendes~acf9e5b5/

Dit zijn enkele voorbeelden, van ambtenaren die zijn betrapt en opgepakt, zo zullen er vast nog een aantal zijn die dit al jaren doen maar tot op heden nog niet opgepakt zijn, of nieuwe aanwas dat net hiermee begint.

Meer tooling voor opsporingsambtenaren is indirect ook meer mogelijkheden en interessanter voor criminelen om mensen met dergelijke toegang om te kopen.

[WhatsappHack]

“een law-enforcement backdoor is iets helemaal anders dan de privacy van een hele maatschappij ondermijnen”

Nee, dat is echt precies hetzelfde in deze context.

[dasiro]

dat is hetzelfde als een huiszoekingsbevel: de politie gaat daardoor niet plots random huizen beginnen binnen te vallen omdat ze er ff zin in hebben. Het gaat net zo goed om het ambtshalve betreden van de private sfeer om een gerichte zoektocht naar bewijsmateriaal te doen in een gerechterlijk onderzoek.

[krosis]

In jou verhaal verplicht je de makers van deuren om een extra geheime sleutel onder de mat te leggen die alleen de politie weet te vinden. Totdat iemand anders ze tegenkomt, wat 100% gaat gebeuren.

[dasiro]

spoiler: er zijn lopers voor de brandweer en vaak ook dedicated plaatsen waar ze in geval van nood een sleutel kunnen ophalen, daarom moet die nog niet bij jou simpel onder de mat liggen waar iedereen die zomaar kan vinden.

[Seal64]

Spoiler - die loper van de brandweer wordt geproduceerd door Black&Decker en wordt in de volksmond ook wel een kettingzaag of slijpschijf genoemd. Die worden soms ook door de politie gebeld als hún loper (ook wel bonkie genoemd) niet "past". De magische sleutel die alle deuren opent bestaat niet, hooguit binnen bepaalde gebouwen.

[dasiro]

niet overal idd, maar ze zijn er zeker wel, want ik heb ze al gezien Zoals die voor bepaalde gebouwen bestaat kan een decriptionkey ook voor bepaalde software/diensten verplicht worden

[flurb]

Het recht op privacy ondermijnen omdat er "wel eens" iets gebeurt dat niet mag is een balans die we als maatschapij al best lang hebben bepaald. (Grondwet en de overige wetten)

De vraag die nu speelt is een "toetsing" of we die grens nog steeds zo (willen) zien.

Mijn antwoord daarop was dat het nut van deze privacy opheffing vrij weinig zal opleveren ten opzichte van de groote mate van privacy ondermijning.

We laten dan het recht op e2e encryptie van verkeer vallen en ik denk dat je daarmee meer schade aanricht dan problemen oplost die anders niet zijn op te lossen.

[35MHz OC]

"een law-enforcement backdoor is iets helemaal anders dan de privacy van een hele maatschappij ondermijnen."

Nee dat is het niet. Een backdoor is een fundametele tenietdoening van E2EE. Of berichten zijn volledig beveiligd tegen inmenging van derden of die beveiliging is er niet. Een backdoor voor "E2EE" berichten maakt dat deze alleen iets moeilijker te achterhalen zijn door een derde partij. Met een backdoor kan je net zo goed alles weer plain text versturen.

Een backdoor is een stelselmatige verzwakking van de beveiliging. Zodra er een backdoor is, wordt de vraag niet of deze wordt misbruikt door derden maar wanneer. De overheid is niet de enige die gebruik zal willen maken van dat achterdeurtje. Ook is het de vraag of de overheid de weelde aan zal kunnen om niet stelselmatig gesprekken af te gaan luisteren, op zoek naar subversieve elementen (waar ze zelf een ruime definitie aan kunnen geven). Overheden zijn geen onfeilbare instituten, maar samenwerkingsverbanden van feilbare mensen.

Denk aan het gezegde dat de weg naar de hel is geplaveid met goede bedoelingen.

[divvid]

Hoe wil je dat dan inrichten bv als tante Truus al een Matrix server kan inrichten op haar vpn in <willekeurig land>. Succes met je regelgeving.

[jdh009]

De term "end-to-end encryptie" betekende oorspronkelijk alleen dat de communicatie nooit ontcijferd wordt tijdens het transport van de zender naar de ontvanger. Technisch gezien kun je het proces rondom verzenden en ontvangen enorm veilig maken om daarna het bericht via de applicatie (na ontvangst) weer onversleuteld of versleuteld door te sturen (naar de instanties die ze hiervoor wilt machtigen).

Toen WhatsApp een deel van zijn netwerk versleutelde begon de betekenis van "end-to-endencryptie" pas echt te veranderen. Waarna, niet alleen vereist is dat de communicatie versleuteld blijft tijdens het transport maar ook dat de aanbieder van de communicatiedienst niet in staat is om de communicatie te ontsleutelen. Wat ik hier lees, en ik persoonlijk nog steeds onwenselijk vind, is dat ze de oude definitie van dit begrip weer van toepassingen willen hebben en afdwingen waardoor het dus 'wel' kan. Dus in de trant van overdracht versleuteld maar opslag toegankelijk voor instanties of direct doorgestuurd voor versturen en/of na ontvangst o.i.d. door aanpassing in de applicatie.

Al vraag ik me af hoe ze dit in de praktijk uitgewerkt ziet worden... Gezien je een heel deel van de beveiligingsketen hiermee weggooit, totaal onoverzichtelijk maakt wie er dan bij die data kan en zowel personen, overheid als bedrijven hierdoor een stuk kwetsbaarder worden voor dataleks, gestolen bedrijfsgeheimen, sjoemelende medewerkers die via deze weg meekijken bij hun buurman of buurvrouw en noem het maar op, Daarnaast verwacht ze dat de centrale overheid, regering, defensie en politie hier dan ook aan moeten voldoen? Dan maak je het maak je het o.a. China en Rusland nog gemakkelijker.

[Reactie gewijzigd door jdh009 op 23 juli 2024 03:06]

[R4gnax]

De term "end-to-end encryptie" betekende oorspronkelijk alleen dat de communicatie nooit ontcijferd wordt tijdens het transport van de zender naar de ontvanger.

[..]

Toen WhatsApp een deel van zijn netwerk versleutelde begon de betekenis van "end-to-endencryptie" pas echt te veranderen. Waarna, niet alleen vereist is dat de communicatie versleuteld blijft tijdens het transport maar ook dat de aanbieder van de communicatiedienst niet in staat is om de communicatie te ontsleutelen.

Uhm. Daar staat gewoon hetzelfde hoor?
End-to-end betekent dat geen enkele partij behalve de originele verzender en de finale ontvanger toegang hebben en het bericht kunnen versleutelen of ontsleutelen. Dus ook niet enige vorm van infrastructuur die daar tussen zit. In zo'n geval zou je ten hoogste spreken van point-to-point encryptie.

En die terminologie ligt al vast sinds dag één.
Wordt alleen consistent fout geinterpreteerd. Al dan niet bewust, zoals door de surveillance lobby.

[jdh009]

Nee, ik leg juist uit dat de huidige definities van deze term juist niet hetzelfde meer is als de oorspronkelijke betekenis van "end-to-end encryptie". Hieronder nogmaals een poging om het uit te leggen en te verduidelijken.

In de oorspronkelijke betekenis houdt end-to-end encryptie in dat de communicatie tijdens het transport van de zender naar de ontvanger niet ontcijferd kan worden door derden. Het gaat om het beschermen van de inhoud van het bericht tijdens de overdracht. Dit is vergelijkbaar met "point-to-point encryptie".

Echter, is met de implementatie van end-to-end encryptie door bijv. WhatsApp, de betekenis veranderd. Niet alleen voor de gebruiker zelf, maar ook voor de ontwikkelaars. Het houdt nu niet alleen in dat de communicatie versleuteld blijft tijdens het transport, maar ook dat de aanbieder van de communicatiedienst, zoals WhatsApp zelf dus, geen toegang heeft tot de inhoud van de berichten. Dit betekent dat zelfs als de berichten opgeslagen worden, ze nog steeds versleuteld blijven en niet door de aanbieder kunnen worden ontsleuteld.

Het verschil is dus dat de oorspronkelijke definitie van end-to-end encryptie alleen de overdracht van het bericht beslaat, terwijl de nieuwe betekenis ook de opslag en toegang tot de berichten zelf. De een heeft dus veel meer implicaties dan de andere op het gebied van privacy en beveiliging, aangezien de inhoud van de berichten bij de huidige definitie van duit begrip dus ontoegankelijk blijft voor de dienstverlener. End-to-end encryptie is dus steeds belangrijker geworden om de vertrouwelijkheid en integriteit van communicatie en opslag hiervan te waarborgen.

Een voorbeeld:

In de oorspronkelijke betekenis zou end-to-end encryptie betekenen dat een brief die van de ene persoon naar de andere wordt verzonden, tijdens het transport veilig is versleuteld. Maar de ontvanger kan nog steeds de brief openen en de inhoud lezen zonder beperkingen.

Met de nieuwe betekenis van end-to-end encryptie zou de brief echter versleuteld blijven, zelfs nadat deze bij de ontvanger is aangekomen. Alleen de ontvanger kan de brief ontsleutelen en de inhoud ervan lezen. De postdienst of andere tussenpersonen hebben geen mogelijkheid om de versleuteling te omzeilen en toegang te krijgen tot de inhoud van de brief.

*Hierbij voor het gemak even het briefgeheim (Artikel 13 - Nederlandse Grondwet) buitenbeschouwing latende (edit: durf eigenlijk niet te zeggen of e-mail ook binnen deze kaders past, dus deze notitie kan overbodig zijn).

Dat laatste is dus tegen het zere been van de minister, gezien die graag heeft dat (alleen) de politie en(/of) (alle) andere bevoegde instanties er bij kunnen. Het nadeel bij zoiets, als één persoon er bij zou kunnen door bijv. een backdoor of 'skeleton key' van de (chat)aanbieder. Naast jouw eigen private key is er dus nog een algemene sleutel die gekraakt of mis-/gebruikt kan worden of in het ergste geval helemaal geen sleutel.

Hoe was het daar niveau daarvoor?
Een bekend voorbeeld van een communicatiedienst dt geen end-to-end encryptie bood voor de berichten die via jet platform werden verzonden was MSN Live Messenger. Dit betekende dat de inhoud van de berichten tijdens het transport potentieel kwetsbaar was voor onderschepping en lezen door derden, zoals hackers. internetproviders of nieuwsgierige ouders (die iets van tech wisten). Ook werden de chats niet versleuteld opgeslagen maar plain text gedumpt in .txt files.

Samenvatting:

• Begin van internet tot Geen versleuteling transport en geen versleuteling opslag/gebruik.
• Periode hiervoor: Wel versleuteling transport maar geen versleuteling opslag/gebruik of vice versa.
• Nu: Zowel versleuteling transport en versleuteling opslag/gebruik.
• Toekomst* (hoe de minister dit lijkt te willen): Zowel versleuteling transport (met toegang voor instanties) en versleuteling opslag/gebruik (met toegang voor instanties).

Hoe ze dit veilig willen implementeren is mij nog geheel een raadsel. Daarnaast, wat voegt deze extra vrijheid voor de instanties toe (rekening houdende met alle nadelen) als ze de huidige middelen nu, als ik de laatste alinea lees, zelden inzetten?

[Reactie gewijzigd door jdh009 op 23 juli 2024 03:06]

[R4gnax]

End-to-end heeft altijd al betekend van-begin-tot-eind. Zonder dat tussenliggende stappen toegang hebben op wat voor wijze dan ook of om wat voor reden dan ook, tot de niet-versleutelde inhoud. Punt.

Je probeert een verschuiving in betekenis te forceren die er nooit wezenlijk geweest is.

[Reactie gewijzigd door R4gnax op 23 juli 2024 03:06]

[jdh009]

Mijn praktijkervaringen opgedaan als ontwikkelaar geven mij toch een ander beeld. Kan helaas moeilijk projectdocumenten van mijn oude werkgevers en klanten/opdrachtgevers delen om dit punt kracht bij te zetten maar in de basis is hier genoeg over te vinden op het web en in oudere boeken, en in citeer uit een artikel van 2008:

Layers of Encryption
On-line cryptographic communications operation is defined as one in which information is inserted into a network in real-time, converted by cryptographic transformation, transmitted, received, decrypted, and output to the recipient without appreciable delay.

On-line communications traffic can be encrypted at several different stages. These choices might be labeled end-to-end, link-by-link, and, a combination of the two, double encryption (see Fig. 1).

End-to-End Encryption
In the end-to-end encryption, a cryptographic device is connected adjacent to the user and a reciprocal transformation device at the receiver. It is an economical way of using cryptographic gear where the two end-points have sufficient volume to warrant tying up the special terminal equipment on a full-time basis. Figure <zie bron> depicts end-to-end encryption, in which the message and the crypto encoder reside in a secure area, as does the end addressee. The same data transformation device (key) must be available to both crypto units.

De opslag en/of de applicatie laag zelf werden vroeger amper tot helemaal niet meegenomen hierin, alleen het verkeer zelf en dus de communicatie/transmissie zelf werd versleuteld. Veel data werd daarna gewoon lokaal en onversleuteld opgeslagen of verwerkt binnen de applicatie. Iets wat dus nu niet meer valt onder de huidige definitie valt wanneer iemand het heeft over E2E en versleuteling. Nu gaat het over het hele pakket
En:

It is important to note that E2EE alone does not guarantee privacy or security. For example, data may be held unencrypted on the user's own device, or be accessible via their own app, if their login is compromised.

Bron:
https://web.archive.org/w...3765/RM3765.chapter3.html

Daarnaast.
De Engelstalige Wikipedia heeft er zelfs een twee paragraven over opgenomen.

Etymology of the term
The term "end-to-end encryption" originally only meant that the communication is never decrypted during its transport from the sender to the receiver.[7] For example, around 2003, E2EE has been proposed as an additional layer of encryption for GSM[8] or TETRA,[9] in addition to the existing radio encryption protecting the communication between the mobile device and the network infrastructure. This has been standardized by SFPG for TETRA.[10] Note that in TETRA E2EE, the keys are generated by a Key Management Centre (KMC) or a Key Management Facility (KMF), not by the communicating users.[11]

Later, around 2014, the meaning of "end-to-end encryption" started to evolve when WhatsApp encrypted a portion of its network,[12] requiring that not only the communication stays encrypted during transport[citation needed],[13] but also that the provider of the communication service is not able to decrypt the communications[citation needed] either by having access to the private key[citation needed], or by having the capability to undetectably inject an adversarial public key as part of a man-in-the-middle attack[citation needed]. This new meaning is now the widely accepted one[citation needed].[14]

Modern usage
As of 2016,[15] typical server-based communications systems do not include end-to-end encryption.[16] These systems can only guarantee the protection of communications between clients and servers,[17] meaning that users have to trust the third parties who are running the servers with the sensitive content. End-to-end encryption is regarded as safer[18] because it reduces the number of parties who might be able to interfere or break the encryption.[19] In the case of instant messaging, users may use a third-party client or plugin to implement an end-to-end encryption scheme over an otherwise non-E2EE protocol.[20]

Some non-E2EE systems, such as Lavabit and Hushmail, have described themselves as offering "end-to-end" encryption when they did not.[21] Other systems, such as Telegram and Google Allo, have been criticized for not enabling end-to-end encryption by default. Telegram did not enable end-to-end encryption by default on VoIP calls while users were using desktop software version, but that problem was fixed quickly.[22][23] However, as of 2020, Telegram still features no end-to-end encryption by default, no end-to-end encryption for group chats, and no end-to-end encryption for its desktop clients.

Om herhaling te voorkomen: @WhatsappHack

[Reactie gewijzigd door jdh009 op 23 juli 2024 03:06]

[WhatsappHack]

In de oorspronkelijke betekenis houdt end-to-end encryptie in dat de communicatie tijdens het transport van de zender naar de ontvanger niet ontcijferd kan worden door derden.

…

Het houdt nu niet alleen in dat de communicatie versleuteld blijft tijdens het transport, maar ook dat de aanbieder van de communicatiedienst, zoals WhatsApp zelf dus, geen toegang heeft tot de inhoud van de berichten.

Ik ben het eens met @R4gnax, hier staat hetzelfde. Misschien dat dit duidelijker is als je het goed bekijkt: WhatsApp *is* een derde partij in deze context. Ik wil met jou praten, niet met WhatsApp. Jij bent dus mijn “end” en ik de jouwe. Wij willen, en ik citeer, ‘dat de communicatie tijdens het transport van de zender naar de ontvanger niet ontcijferd kan worden door derden.’. WhatsApp is een “derden” in ons gesprek; evenals alle andere hops waar het bericht langsgaat, zoals je ISP en diens peers, dat zijn.

Zoals jij het zo beschrijft is de term dus niet veranderd, het punt blijft dat enkel de 2 (of meer) mensen die met elkaar communiceren, de “ends”, het bericht kunnen ontsleutelen. Dat was voor WhatsApp zo en dat is nu nog steeds zo. In die context is WhatsApp duidelijk een derde partij en dus valt het onder diezelfde uitleg als je eerste ‘voorbeeld’.

Wat je in mijn ogen door elkaar lijkt te halen is het verschil tussen E2EE en client-server. Bij client-server-client kan de server, bijvoorbeeld WhatsApp, meelezen; maar alle andere partijen waar het bericht langskomt niet. Maar dat is anders dan E2EE waar WhatsApp, als derde partij in de context van het gesprek, dus ook niet mee mag lezen.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 03:06]

[Aldy]

Welke zedenzaken? Ik lees elke keer als het over het bespioneren van burgers gaat dat het is om kindermisbruik tegen te gaan. Een dooddoener van de bovenste plank.

Ik denk dat dan heel snel het antwoord wel duidelijk is.

Laten we het hopen en laten we vooral afwachten wat de komende verkiezingen gaan brengen. Er zijn nog altijd partijen die lak hebben aan jou en mij. Alhoewel, ze willen wel graag weten wat wij uitspoken.

[krosis]

Elke keer als iemand draconische wetten wil doorvoeren "for the children" moeten we eens goed nadenken wat de echte motieven zijn idd

[RoestVrijStaal]

Eigenlijk zou de politiek de vraag moeten stellen: is de privacy van 16 miljoen inwoners belangrijker dan een paar handen vol zedenzaken zonder encryptie, waarmee het gevaar bestaat dat de data van 16 miljoen mensen op straat kan komen te liggen?

Als ik het nieuws (van o.a. NOS, RTL en Nu.nl) moet geloven, zijn er voor opsporing helemaal geen nieuwe wetten nodig. Om de maand is er wel een rechtelijke uitspraak over gesnapte pedoseksuelen.

Of verwacht iedereen dat er achter elke voordeur een pedosexueel zit?

[Reactie gewijzigd door RoestVrijStaal op 23 juli 2024 03:06]

[MSalters]

Dat is natuurlijk een erg slecht argument. Het nieuws gaat over opgespoorde daders, en in die set zitten per definitie geen mensen die nu buiten schot blijven.

tegelijkertijd is dat ook een probleem van de overheid. Hoe groot is die groep die buiten schot blijft? Rechtvaardigt dat deze inbreuk? Daar kun je wel iets van een schatting van maken: hoeveel slachtoffers hebben we, waar de daders niet opgespoord kunnen worden?

[Xander2]

Eigenlijk zou de politiek de vraag moeten stellen: is de privacy van 16 miljoen inwoners belangrijker dan een paar handen vol zedenzaken zonder encryptie, waarmee het gevaar bestaat dat de data van 16 miljoen mensen op straat kan komen te liggen?

En de tweede vraag is, kijkend naar de VS, willen we een departement en overheid zoveel macht geven voor iets wat eigenlijk symptoombestrijding is?

Bizar dat dit uit de koker van de VVD komt al is me wel duidelijk dat het liberale gedachtengoed volledig passe is.

[Aldy]

Bizar dat dit uit de koker van de VVD komt al is me wel duidelijk dat het liberale gedachtengoed volledig passe is.

Weet je dat de VVD in de jaren 70 van de vorige eeuw al minder liberaal was dan bijvoorbeeld de PvdA?

[kiang]

Het kan prima, maar niet in combinatie met end to end encryptie.

Zeker wel: toegang verkrijgen tot het toestel van 1 van de twee partijen, en je hebt de berichten. Dat is dan ook wat er nu gebeurt, en als ik het bericht van @gorgi_19 goed begrijp is dat ook waar de minister het over heeft.

In mijn ogen is daar niets mis mee.

[Utrecht25]

Massasurveillance lijkt mij ook niet wenselijk, maar technisch geen probleem om een backdoor in te bouwen hoor... Zelfs een backdoor waar alleen de overheid toegang tot heeft is niet zo ingewikkeld.

[RobertMe]

Bij end-to-end encryptie kan dat dus juist niet. Dat zit namelijk in de naam. Alleen de ontvanger(s) en verzender is in staat om de berichten te ontsleutelen doordat zij de enige zijn die toegang hebben tot de encryptie sleutels. De Signals en WhatsApps van deze wereld verwerken alleen binaire (/versleutelde) data en hebben niet de sleutels om het te ontsleutelen.
Signal ks daar ook vrij helder in als ze weer eens een opsporingsbevel ontvangen. Het enige gegeven dat zij hebben telefoonnummer, timestamps waarop de gebruiker verbinding had, en de versleutelde berichten.

Backdoor inbouwen betekent dus per definitie dat het niet meer end-to-end versleuteld is.

[Bor]

Je kan de berichten ook opvangen na ontsleuteling / decryptie op de endpoint natuurlijk.

[RobertMe]

En wat is dan het nu van end-to-end encryptie? Als je het "twee keer" verstuurd waarvan een keer zwakker versleuteld / sleutel in handen van overheid is / ... gaat dat zijn doel natuurlijk voorbij en kun je net zo goed het verkeer versleuteld naar de server sturen en door de server weer laten ontsleutelen, opslaan, en versteuteld naar de ontvanger sturen

[Bor]

Je hoeft iets niet 2x te versturen. Een mogelijke optie is om het op het endpoint nog een keer te versturen met sterke encryptie. Daar kleven haken en ogen aan maar er zijn diverse mogelijkheden om informatie prijs te geven en toch "end to end" encryptie in stand te houden. Los daarvan is "end to end" op zich zelf al redelijk arbitrair in te vullen en zonder details een wat losse term.

[Het.Draakje]

Uiteraard is het technisch mogelijk om na ontvangst het door te sturen naar de overheid. En dan hou je de illusie van privacy instant. Let wel: illusie. Want ergens worden dan alle berichten van/naar Nederlanders opgeslagen.

Tenzij je de illusie hebt dat het alleen in bepaalde gevallen aangezet kan worden. Een Whatsapp voor de Nederlander en een aparte versie voor de crimineel. Blijft alleen nog de vraag: hoe krijg je de crimineel zo gek om de aparte versie te gebruiken.

E2E is niet een arbitraire definitie. Niets en niemand is (bij E2E) in staat om het bericht van de afzender te begrijpen behalve de gewenste ontvanger. Een extra kopietje voor de overheid, ongeacht hoe en waarvandaan het verstuurt wordt, is geen E2E encryptie.

[vickypollard]

Ja, dit wordt volgens mij vaak over het hoofd gezien. Bouw iets in de applicatie dat ze na ontvangst alsnog unencrypted doorstuurt naar de veiligheidsdienst, et voila...

[Reactie gewijzigd door vickypollard op 23 juli 2024 03:06]

[Croga]

Inderdaad. Et voila plots het iedereen toegang..... Er bestaat niet zoiets als een backdoor voor 1 partij. Er bestaat alleen een backdoor waarvan nog niet bekend is dat een ander dat ook toegang toe heeft.

[YGDRASSIL]

Je kan ook een backup verplichten van elk bericht op een overheidsserver. Ben je nig steeds end to end encrypted maar staat je data ook fijn ergens anders

[WhatsappHack]

Als dat bij elke slag gebeurd is er de facto gewoon een extra “end” toegevoegd en is het gesprek dus niet op de beoogde manier end to end versleuteld en kan je daar ook niet werkelijk meer van spreken, dan ben je gewoon op semantics aan het proberen iets te slopen en dan net doen alsof het niet gesloopt is. Dat is heel gevaarlijk en ook heel erg eng, tenzij je er op zit te wachten dat de overheid (wie er ook aan de macht is nu of in de toekomst!) alle data van alle burgers on-demand kan inzien.

[FONfanatic]

Waar zolang als het duurt alleen de overheid toegang tot heeft, corrigeer ik u. Want ook dat ontkomt niet aan het oog van cybercriminelen en buitenlandse mogendheden.

[Transportman]

Een backdoor waar alleen de overheid toegang toe heeft bestaat niet, ooit zal een niet-overheid die backdoor vinden en misbruiken.

[litebyte]

... Het is al campange tijd we krijgen de komende maanden nog zeker tientallen van dit soort populistische (bangmaak) voorstellen. Zeker van een partij als de VVD

[Guru Evi]

Daarom dat de EU nu “poortwachters” instelt die verplicht zijn toegang te verlenen tot hun diensten en apparaten.

[willieverhoef]

Zeker niet onmogelijk. Aangezien whatsapp met één Scan toegang geeft tot je chat op een computer. En tegenwoordig ook nog niet je telefoon online hoeft te zijn, lijkt het een kwestie van het delen van een code.... Die je dus vol automatisch kan delen

[WhatsappHack]

Je voegt je pc dan toe als extra end. De berichten die je ontvangt zijn door de verzender dan twee keer versleuteld met verschillende keypairs: 1 voor je telefoon en 1 voor je PC. Daardoor kunnen ze standalone van elkaar werken. Dat was eerst niet mogelijk, omdat er louter een end-to-end encrypted kanaal met de cliënt op je telefoon werd opgezet om gegevens te up/downloaden en die zodoende perse online moest zijn. Als je de details wilt hoe het werkt kan je WhatsApp’s whitepaper lezen of het Signal Protocol eens bestuderen, dan kan je precies zien hoe dat werkt.

[NoobishPro]

Verslaat wel een beetje het doel van de hele zaak, niet?

Die backdoors zijn nou net de gigantische security leaks waardoor hackers binnen komen... Betrouwbaarheid daalt meteen met minimaal de helft.

Ik begrijp dat iets als anti-kindermisbruik extreem belangrijk is en in een ideale wereld zou ik dan ook zeggen; Doe alles wat nodig is om het op te rollen!

Maar het is geen ideale wereld. Er wordt consistent misbruik gemaakt van iedere mogelijkheid en kans.

En hoe gaat dit überhaupt in z'n werk? Gaan ze gewoon iedereen afscannen met tools? Of weten ze exact van wie ze de gesprekken moeten decrypten? In dit laatste geval; Als ze weten wie het is, kunnen ze toch ook fysiek bij hun telefoon komen? Daar hebben ze toch middelen voor? Anders moeten ze misschien zorgen dat zij dáár de middelen voor hebben?
Als het werkt via (één van de) devices in kwestie, is het voor de normale persoon tenminste niet minder betrouwbaar...

Edit: Zou dit trouwens ook niet enorm botsen met de AVG wetgeving?

[Reactie gewijzigd door NoobishPro op 23 juli 2024 03:06]

[ShadLink]

Edit: Zou dit trouwens ook niet enorm botsen met de AVG wetgeving?

AVG geldt niet voor overheden, ze kunnen gewoon "wettelijke grondslag" claimen en hebben ze ineens vrij spel.

[White Feather]

Wettelijke grondslag betekent dat je op basis van wetgeving een uitzonderingspositie hebt voor bepaalde doeleinden.

Het onderzoek naar activiteiten die strafbaar zijn is zo’n grondslag.

Afhankelijk van het doel kan er dus een grondslag zijn voor die gegevens.

Het is zeker niet zo dat je in één keer goedkeuring voor het gebruik van gegevens voor alles krijgt.

Het maken van een lekke website, slecht beveiligen van gegevens of gegevens veel te breed gebruiken (dus voor andere doelen dan waar ze in eerste instantie voor verzameld zijn) kan per definitie niet (tenzij opsporing/vervolging).
En dat is waar de overheid iedere keer voor op de vingers getikt wordt door het AP.

[Reactie gewijzigd door White Feather op 23 juli 2024 03:06]

[NoobishPro]

Maar juist om die reden zit het ACM nu toch enorm achter de overheid aan? Ik zie hier op Tweakers met grote regelmaat artikelen voorbij komen over de overheid mbt de AVG wetgeving.

[CH4OS]

Wat doet de Autoriteit Consument en Markt dan? Ik denk dat je in de war bent met Autoriteit Persoonsgegevens, ofwel het AP.

[MSalters]

"Wettelijke grondslag" is een artikel 6 uitzondering. Opsporing valt onder justitie, dat is geen EU bevoegdheid, en daarom is in artikel 2 AVG dat al bij voorbaat uitgesloten.

Een relevant gevolg is dat de regels van artikel 5 niet van toepassing zijn op de politie; regels die wél gelden als je data verwerkt volgens artikel 6.

[kodak]

het 'onder strenge voorwaarden' mogelijk om toegang te krijgen tot versleuteld materiaal via een ontsleutelingsbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk

Binnendringen hoeft dus juist niet via backdoors te gebeuren. Het verplichten mee te werken, of gebruik maken van gebrekkige eigen beveiliging op gewone mogelijkheden die risico vormen, zijn al mogelijkheden.

[NoobishPro]

Hoewel ik het totaal met je eens ben, is het aan de grote klok hangen van een backdoor natuurlijk wel alsof je een suikerklontje naar mieren gooit...

[FONfanatic]

Zei Aleid Wolfsen, de voorzitter van de Autoriteit Persoonsgegevens, laatst niet dat iedereen ermee rekening moest houden dat vroeg of laat privégegevens allemaal gelekt zouden kunnen worden? Wat let Dilan Yesilgöz dan om daarop te anticiperen, daar de overheid daaraan deel te laten nemen?

Overigens merkwaardig dat een dochter van Yücel Yesilgöz, een politiek vluchteling, zulke maatregelen bepleit. Zij kan van haar vader vernemen waar overheden misbruik van kunnen maken ...

[Epiphany]

Here we go again.

Ik begrijp werkelijk waar niet waarom dit aangekaart wordt en mogelijk gemaakt moet worden terwijl "er weinig gebruik gemaakt wordt om toegang te krijgen tot versleuteld materiaal via een ontsleutelingsbevel of de bevoegdheid om binnen te dringen in een geautomatiseerd werk."
Hoe toon je dan aan dat je hier behoefte hebt?

[Zoijar]

"'onder strenge voorwaarden" -- ze willen niet aan die voorwaarden voldoen maar toch meekijken.

[Epiphany]

Ja ik wil ook autorijden zonder toe voldoen aan voorwaarden. Die voorwaarden zijn gesteld om een reden.

[FONfanatic]

Navragen hoe vaak opsporingsdiensten een verzoek doen bij de Officieren van Justitie.

[Epiphany]

Ja dat is een vam de strenge voorwaarden, maar die worden dus niet gebruikt...

[FONfanatic]

Opsporingsdiensten komen om in het werk, en tenzij druk uit de samenleving, politiek of van buitenlanden hen ertoe noopt, kiezen ze ervoor veel voorkomend laaghangend fruit aan te pakken.

Op enkele grote internationale projecten na dus. Daar lees je vanzelf wel over in de media.

[Epiphany]

Persoonlijk vind ik dat echt non-argumenten.
Dus omdat ze omkomen in het werk leveren we privacy van iedereen in voor gemak in opsporing?
Ik vind de balans ver te zoeken tbh

[FONfanatic]

Eens. Big data kunnen ze niets behappen.

[MSalters]

Nooit. Dat zou ook niet werken. Die verzoeken moeten aan een onafhankelijke instantie gedaan worden, maar het OM valt onder de ministeriële verantwoordelijkheid. De gebruikelijke weg is via een verzoek aan de Rechter-Commissaris. Rechters vallen niet onder de ministeriële verantwoordelijkheid.

[FONfanatic]

Ik erken dat ik de Officier van Justitie (of de hulpofficier) had moeten schrijven, niet het OM dat de rol van openbare aanklager in een strafzaak vervult. Excuses.

[MSalters]

Eh, de OvJ is onderdeel van het OM, net zoals de hulpofficier.

[poststamp]

Ja hoor, daar komt kindermisbruik weer aan om wetgeving erdoor te duwen.

[litebyte]

Copy en paste van dhr. Grapperhaus dat was ook zo'n licht als het ging om privacy en stelde exact het zelfde voor.

Zie het als een eerste politieke campagne uiting van deze dame van de VVD.... Maar je moet wel compleet politiek labiel zijn als je ooit nog op dit soort politieke incompetentie stemt.

[CivLord]

Zie het als een eerste politieke campagne uiting van deze dame van de VVD.... Maar je moet wel compleet politiek labiel zijn als je ooit nog op dit soort politieke incompetentie stemt.

Ik kan nu al voorspellen dat de VVD weer één van de grootste partijen wordt. Welk alternatief is er voor rechts-georiënteerde kiezers die geen trek hebben in exremistisch gebral van PVV, FvD, Ja21, etc.? Nu misschien BBB, maar het boerenimago zal veel traditionele VVD-stemmers niet trekken.
BBB moet het vooral hebben van de proteststemmers op de extremere rechtse partijen, die het ook niet helemaal eens zijn met wat die partijen zeggen. Bij de provinciale verkiezingen en de laatste peilingen kwam BBB als één van de grootste partijen uit de bus. Een klein beetje ten koste van de VVD, maar vooral van de extremere rechtse partijen. De VVD zal dat ook gezien hebben en gedacht hebben dat het nú een goed moment is om de boel te breken, in de hoop een nieuw kabinet te kunnen vormen met BBB en een andere kleinere partij, misschien CDA of D66. Dat zal het kabinet ook een betere positie geven in de 1e kamer.

[litebyte]

Strijd zal nu vooral om de flanken gaan, tegen een groot links blok. Dat linkse blok (GL/PvdA en mogelijk ook Denk) zal net als de flankpartijen de komende maanden flink gaan inspelen op angst. Nu Rutte weg is en Hermans het politieke vertrouwen van een dode kwal heeft is de kans erg groot dat er een kabinet komt van: VVD-JA21-BBB waarbij VVD niet de grootste is of de premier levert, al dan niet aangevuld met Groep Omtzigt (of welke naam de toekomstgie partij ook gaat dragen,)

Ik hoop zelf op een enorme steun/stemmen voor Omtzigt (reele kans, veel stemmers zijn de lobbycratische incompetentie zat), ik hoop echter niet dat hij in een coalitie komt met JA21 en BBB.

[CivLord]

Ik denk dat er voor beide partijen veel te winnen zou zijn wanneer Omzigt zichzelf bij BBB aansluit.
Omzigt hoeft geen hele partij-organisatie uit de grond te stampen en BBB kan wel wat politieke zwaargewichten gebruiken. Vanwegen zijn achtergrond zal Omzigt waarschijnlijk wel wat twijfeldende CDA-kiezers over weten te halen mee over te stappen naar BBB. Het is alleen de vraag of Omzigt en Van der Plas samen de schenwerpers kunnen delen. Omzigt is iemand die zichzelf wel beangrijk vindt en zichzelf graag profileert, niet iemand die snel genoege neemt met een tweede plek. Van der Plas lijkt mij wat inschikkelijker, maar zal ook niet zo maar haar eerste plek afstaan van de partij die zij persoonlijk zo groot heeft gemaakt.

Zelf ben ik niet zo wild van Omzigt. In het verleden heeft hij in de 2e kamer vóór de wetten en maatregelen gestemd die in de toeslagenaffaire voor problemen hebben geleid. Hij heeft bij de kamerdebatten gezeten waarin mogelijke problemen ter sprake zijn gekoemn, maar die als te uitzonderlijk werden gezien om er iets tegen te doen. Door zijn zeer grote dosierkennis op belastinggebied had hij een goede reputatie bij belastingdienstmedewerkers en toen er in de organisatie bleek dat er problemen ontstonden die door de directe leiding en de politieke leiding werden genegeerd, was hij eén van de peronen in de politiek die individueel door belatingdienstmedewerkers daarover is geïnformeerd. Pas toen het voorzitterschap van het CDA in beeld kwm, en hij zich wilde profileren, heeft hij gedaan alsof hij niets met de oorzaak te maken had, alsof hij nooit eerder op de hoogte was van de problemen en is hij bovenop het neuws gesprongen na de berichtgeving van NRC en RTL.
Wanneer het moet, weet hij alles goed op gang te brengen. Maar het is toch niet het soort politicus waar Nederland op zit te wachten.

[_Dune_]

Vergeet niet dat ministers geïnformeerd worden door hun ambtenaren, daar waar zij zelf geen kennis van hebben. Raad eens wat altijd gelijk blijft als een minister wisseld, juist die zelfde(top)ambtenaren. Helaas zijn deze zo beschermd, dat zij ook practisch niet vervangen worden bij slecht advies en beleid, zie belastingdienst.

[WhiteDog]

In België wordt dat opgelost door externe consultants het werk te laten doen, maar dan liefst wel van een bevriend consultatiebureau of advocatenkantoor 😅

[MSalters]

Wat jij beschrijft is exact 0 het probleem van topambtenaren. We hebben inmiddels al vele jaren een "algemene bestuursdienst" waar de topambtenaren rouleren tussen ministeries. En het logische gevolg is dat ze doorgaan net zo competent op hun vakgebied zijn als hun minister. Of zoals nu op Volksgezondheid, nog niet eens dat.

[Jerie]

Klinkt inderdaad als campagneonzin. Ik zeg onzin want nemo tenetur van toepassing ivm EVRM. Dwz je kunt volgens dit beginsel niet worden gedwongen om iets dat je weet te geven (een wachtwoord, of hoe het ook mag heten). Terwijl een vingerafdruk, gezicht, dat zijn dingen die je bent. Wezenlijk anders.

ontsleutelingsbevel

Zoals in VK.

of de bevoegdheid om binnen te dringen in een geautomatiseerd werk

Die is er al, maar die is best streng.

[RCBL]

De zgn Snotwin:

https://www.bnnvara.nl/jo...win-je-kind-als-drogreden

[Retrospect]

Definities kan je de kindervrienden van de VARA wel toevertrouwen idd.

Ben overigens voor berichtenverkeer waar de overheid niet bij kan. Dus tegen dit voorstel van de minister.

[Reactie gewijzigd door Retrospect op 23 juli 2024 03:06]

[TheDutchChief]

https://nl.wikipedia.org/..._voorheen_De_Kindervriend

[Retrospect]

https://anderetijden.nl/a...5/Ruimte-voor-de-pedofiel

[RogerDad]

Ook wel relevant zijn alle zaken waarbij justitie crypto van criminelen heeft kunnen kraken zonder dat er een wet voor generieke backdoors nodig was, zie:
https://jjoerlemans.com/2...ht-cryptophone-operaties/

[FONfanatic]

Bij het ontbreken van wetgeving is er de rechtelijke macht die regels via jurisprudentie mag stellen. De Hoge Raad, ons hoogste rechtscollege qua straf(vorderings)recht, is er druk mee bezig dat beleid aan internationale rechtsregels af te laten meten.

[SpiceWorm]

Bijzonder weer. Als je hier wat aan wil doen, moet je beginnen met voldoende opsporingscapaciteit.

En aangiftes niet seponeren of als niet onderzoekswaardig bestempelen.

Veel effectiever en minder ingrijpend dan van iedereen de encryptie verzwakken.

[Ethirty]

Het zieltjes winnen voor de komende verkiezingen is al weer begonnen.

Misschien zouden ze het beter begrijpen als er een achteringang zou komen bij onze goudopslag, waar iedereen gewoon naar binnen kan lopen als ze het codewoord kennen.

[Andros]

Als de minister een wet zou invoeren dat iedereen een sleutel van hun huis moet afgeven bij politie/gemeente, zouden de reacties dan hetzelfde zijn?

[Lebans]

Je vergeet: Autosleutels, Kluisgegevens, enz.

[Zolderopruiming]

Eens, ik snap dat "crime" bestreden moet worden, maar ik was niet van plan mijn privacy weg te geven