Cryptografie-expert: 'Veiligheid in IT wordt politiek thema'

Cryptografie-expert Whitfield Diffie voorspelt dat veiligheid in de IT-wereld het komende jaar stevig op de politieke agenda zal staan, zo lezen we op The Register. Een aantal jaren geleden heeft de encryptiegemeenschap al een politieke strijd gevoerd in de Verenigde Staten om de exportbeperkingen die er lagen op encryptietechnologieën op te heffen. Ruim vier jaar geleden besliste toenmalig president Clinton dit geschil in het voordeel van deze gemeenschap en versoepelde de regels. De laatste tijd is de politiek zich weer meer en meer met de wereld van computers en telecommunicatie gaan bemoeien, zo is onder andere te zien aan de wetgeving rond spam.

Met de huidige opkomst van VoIP en DRM-technologie verwacht Diffie dat de regering zich weer meer gaat bemoeien met deze zaken. Zo is het aftappen van telefoongesprekken via VoIP een punt van discussie, omdat bij Voice-over-IP gebruik wordt gemaakt van verschillende vormen van netwerkarchitectuur. Digital Rights Management is een heikel onderwerp, omdat het de macht van copyrighthouders over systemen van gewone gebruikers vergroot. Omdat DRM ook wordt gebruikt in systemen die niet onder discussie staan, is de discussie rondom deze technologie een moeilijk punt aldus Diffie.

Reacties (10)

[Mick]

Vooral het encryptiedebat is interessant. Zo is in de VS één van de punten een verbod om informatie over criminele activiteiten te versleutelen. Een jaar geleden lag hiertoe een voorstel op tafel - waarin de encryptie van zulke informatie op zich strafbaar zou worden - naast de misdaad zelf:

Domestic Security Enhancement Act 2003 (Patriot II)
A draft Domestic Security Enhancement Act 2003 (Patriot II) of 9 January 2003 leaked out in February 2003 (see the text, also in pdf). Section 404 would criminalize the knowing and wilful use of crypto to conceal a federal crime, with a punishment of up to 5 years for first offenses or 10 years for second or subsequent offenses. The explanatory report suggests that these "additional penalties are warranted to deter the use of encryption technology to conceal criminal activity". The bill has not been submitted to Congress. [[url="http://rechten.kub.nl/koops/cryptolaw/cls2.htm#us_patriot2"]bron[/url]]

Of dit uiteindelijk door het Congres komt is nog onduidelijk, maar in het huidige klimaat zou het me niet verbazen. Juridisch zitten er nogal wat haken en ogen aan zo'n wet, aangezien je de encryptiesleutel van een verdachte los zal moeten peuteren als je zijn schuld aan wilt tonen. Je kunt iemand niet veroordelen als hij dat weigert, tenzij je de bewijslast omdraait (you're presumed guilty until you prove your innocence by giving up the key).

Vanwege de enorme computationele complexiteit van het kraken van versleutelde gegevens hebben de inlichtingendiensten uiteraard een probleem met encryptie. Vandaar dat een aantal regeringen graag het uitgiftepunt voor sleutels zouden willen worden. Dat lijkt me echter niet praktisch, en ook ongewenst. Mocht het echter zover komen dan zul je een vergunning nodig hebben om te mogen versleutelen, en zullen de authoriteiten daar desgewenst bijkunnen. Heb je geen vergunning, dan zou je al strafbaar zijn als je een liefdesbrief versleutelt ipv. gegevens over een misdaad.

[Verwijderd]

Of dit uiteindelijk door het Congres komt is nog onduidelijk, maar in het huidige klimaat zou het me niet verbazen. Juridisch zitten er nogal wat haken en ogen aan zo'n wet, aangezien je de encryptiesleutel van een verdachte los zal moeten peuteren als je zijn schuld aan wilt tonen. Je kunt iemand niet veroordelen als hij dat weigert, tenzij je de bewijslast omdraait (you're presumed guilty until you prove your innocence by giving up the key).

Dat zou als verdachte best wel tricky zijn. Wel of niet de sleutel geven?
Als ze de wet uitbreiden met de regel dat je nóg meer straf krijgt wanneer je de sleutel niet geeft en het bericht idd blijkt crimineel te zijn, dan moet je dus gokken: zal justitie wel of niet voldoende CPU power hebben om het bericht te decrypten?
Zeker met in je achterhoofd dat de computers steeds sneller worden, is die vraag niet makkelijk te beantwoorden.

[Madcat]

ik weet nog wel toen een paar maanden geleden de cryptofoon op de markt kwam was de politiek/politie niet zo blij omdat deze goed gebrukt kunnen worden door criminelen.

persoonlijk vind ik het een beetje overdreven, vooral amerika sinds 9-11.
ik snap het wel dat ze het de criminelen de baas willen blijven, maar stel dat ik een bedrijf heb en via de telefoon waardevolle informatie verstuur wil ik niet dat wie dan ook deze gegevens bemachtig.

en als ze VoIP maximaal maar mogen gaan encrypten tot 128 bit ofzo dan komt er vast wel een (illigaal) open source programma op de markt die deze tot de militair encryptie (2048 bit) kan encrypten zodat de mensen die het afluisteren wel een aantal jaartjes zoet zijn met decrypten.

maar kom op zeg, pak een PDA en verstuur een mailtje met PGP encryptie ofzo dan kunnen ze het ook niet onderscheppen

dus:
via de politiek encryptie tot een limiet laten stellen is onmogelijk in de practijk

edit: effe een link ervan gemaakt

[RetepV]

Dat noemt zich 'expert'. Bij uitspraken van een expert moet me niet als eerste woord 'duh' invallen.

Encryptie moet simpelweg een recht zijn. Iedereen moet het recht hebben om zijn transmissies privé te houden. Dat is niet anders dan met iemand praten op een plek waar niemand je af kan luisteren.

Dat de politiek graag encryptie zou verbieden of beperken, dat snap ik ook wel. Dat komt niet omdat privé gesprekken tegenwoordig meer voorkomen dan vroeger, of vaker over criminele activiteiten gaan dan vroeger. Nee, dat komt omdat de politiek nu veel meer *de mogelijkheid* hebben om mee te luisteren. Daar willen ze van profiteren om makkelijker criminele elementen uit te filteren.

De discussie gaat dan ook in feite over dat de politiek signaleert dat er een beetje extra macht ligt, en of de politiek dat beetje extra macht mag oppakken.

Maar in feite is het een drog die de politiek zichzelf voorhoudt. Want het strafbaar maken van privé datatransmissies zal de hoeveelheid privégesprekken echt niet verminderen. Het zal alleen de vorm van die gesprekken veranderen.

De wetsvoorstel dat Philosocles noemt is dan ook precies zo ver als de wetgevende macht imo mag gaan. ALS bewezen is dat iemand crimineel bezig is geweest, dan kun je zijn straf verhogen ALS je kunt bewijzen dat hij criminele activiteiten heeft verborgen met behulp van encryptie. De betreffende wet gaat dan ook verder dan alleen data-encryptie, hij gaat in feite over alle soorten encryptie die je kan bedenken. In feite valt een privégesprek houden op een plek waar je onmogelijk afgeluisterd kan worden daar ook onder.

Edit:

Ik ben dus GEEN expert, laat ik dat even voorop(naja, achterop)stellen. Maar ik heb hier wel een mening over. Die mening gaat er in de allereerste plaats van uit dat de politiek er voor de burgers is en niet andersom...

Wat ik bedoelde met de eerste twee zinnen is dat de politiek zich *altijd* zal bemoeien met dingen waar ze voordeel uit kunnen halen. Politici zitten nog steeds op hun plek voor hun eigen voordeel. Anders zouden ze het niet 'carriere' noemen en zouden ze geen salarisbesprekingen houden.

[miw]

Diffie is toch echt een hele beroemde wetenschapper die aanzienlijke bijdragen heeft geleverd aan de cryptografie. Zo kennen we bijvoorbeeld het Diffie-Helmann encryptie algorithme. De kwaliteiten van de man staan dus buiten kijf.
Ook op het recht op het gebruik van cryptografie is nog wel wat af te dingen. Er zijn situaties denkbaar waarin het voorkomen van het gebruik van sterke cryptografie mensenlevens kan redden.
Anderzijds kan cryptografie je beschermen tegen een opdringerige overheid. Op zich is het voorstel van Diffie om hier eens over te discussieren niet zo onredelijk.

[RetepV]

Heel in het kort, ik viel Diffie niet aan, maar wel de open deur die hij intrapt .

Wat ik bedoelde is dat als er macht braak ligt, de politiek die altijd zal willen inperken. Dat is één van de bedoelingen van de politiek: braakliggende macht signaleren en inperken en zo zorgen dat er geen misbruik van gemaakt kan worden.

Wat ik me voornamelijk afvraag is niet dat er een politieke discussie zou moeten ontstaan, maar waarom dat nog helemaal niet is gebeurt! Die politieke discussie had er al lang moeten zijn.

De politici snappen er zelf niks van en verzamelen ook niet mensen om zich heen die er dan WEL iets van snappen. Ik snap die traagheid niet zo erg. Als er ergens dingen snel gingen, was het wel de toegang van de burger tot het internet. Maar nee, pas nu de burger begint te klagen over spam en het bedrijfsleven over illegaal kopieeren gaat de politiek zich met het internet bezighouden.

Ze zijn zeker allemaal bang om net als Wim Kok een figuur te slaan?

Wat Diffie zegt, wordt al jaren gezegd, het is gewoon triest dat hij deze woorden weer eens moet herhalen om duidelijk te maken waar de prioriteiten zouden moeten liggen.

Maar goed, dit is opruiende taal die in feite niets toevoegt aan een discussie. En kort was het achteraf ook al niet .

[Verwijderd]

Cryptografie is altijd al een punt van discussie geweest binnen de politiek lijkt me. Er zijn nu eenmaal partijen (en dan doel ik niet zo zeer op een politieke partij) die graag meer rechten willen als het aankomt op het 'schenden van de privacy'. Goed dat er nu eindelijk ECHT een discussie gaat komen over wat nu wel en niet mag. Ik vind wel dat het enigzins lang geduurt heeft; cryptografie is ook voor het gewone publiek toch al een aantal jaartjes beschikbaar (alleen nog steeds niet echt gemeengoed).

[RetepV]

Wat is cryptografie?

Va srvgr vf EBG13 ny rapelcgvr.

[Verwijderd]

cryp·to·gra·fie (de ~ (v.), ~ën)
1 geheimschrift

Zo'n beetje alles dus dat op een andere dan de gebruikelijke manier is geschreven met het doel de boodschap geheim te houden.

Dan vraag ik me dus af, als het enkel om schrift gaat, is het dan ook al verboden om een zeer stevige encryptie te gebruiken wanneer je de boodschap niet verstuurd? (je wachtwoord op een server bijvoorbeeld)

[Verwijderd]

De digitale rechten van je burgers proberen in te perken mag.
Maar als diezelfde burger veiliger wil internetten zonder spam, virii of spyware is zijn/haar eigen verantwoordelijkheid.
Op dat gebied ligt er voor de politiek nog een gapend gat, maar daar brandt men zich liever niet aan.