Windows Vista krijgt geen 'backdoor' voor overheid

Microsoft heeft te kennen gegeven niet op de eisen van verschillende overheden in te gaan om een methode bij Windows Vista in te bouwen die gebruikt kan worden om de BitLocker Drive Encryption te omzeilen. De BitLocker-encryptie maakt het mogelijk om de gegevens op partities van een Windows Vista-besturingssysteem te versleutelen en zo te beschermen tegen verlies en diefstal. Afgelopen februari werd bekend dat de Britse overheid in overleg was met het softwarebedrijf over de mogelijkheden van een zogenoemde 'backdoor', zodat het voor Justitie makkelijker wordt om toegang te krijgen tot de gegevens op gevorderde systemen met het nieuwe besturingsysteem. Niels Ferguson, ontwikkelaar en cryptoloog bij Microsoft, liet afgelopen donderdag op zijn weblog zijn reactie op de geruchten over zulke afspraken weten: "Over my dead body". De gesprekken die het bedrijf met de overheid heeft, gaan over het gebruik van BitLocker voor haar eigen veiligheid. Achterdeurtjes naar beveiligde informatie zijn simpelweg onacceptabel en daarbij is er geen animo binnen het ontwikkelteam om iets van die aard te programmeren, aldus Ferguson.

Reacties (104)

[El Cid]

Het zou me eerlijk gezegd verbazen als er al niet een 'backdoor' in windows zit.

[Frash]

Dan zou Mark Russinovich hem wel gevonden hebben

Overigens zou ik zelfs als ik de overheid heb geholpen met een backdoor ook claimen dat ie er niet in komt onder het mom van "landsbelang". Ik denk dat Microsoft er wel degelijk een backdoor instopt maar hem vermomt als een "kritieke bug", zodat ze geen blaam treffen als ie ontdekt wordt.

[-AzErTy-]

Was er niet zo een gerucht dat er een key was gevonden voor windows getiteld NSA-key waardoor het heel simpel was om je systeem binnen te geraken?

zie http://www.cnn.com/TECH/computing/9909/03/windows.nsa.02/
en
http://www.heise.de/tp/r4/artikel/5/5263/1.html

[dadj]

zullen we waarschijnlijk nooit weten..Beste manier om het publiek te laten geloven dat er geen backdoor komt is door de discussie in het openbaar te voeren.. of ben ik te achterdochtig?

[brompot758]

'In security, the question is not wether you're paranoid, but wether you're paranoid enough'

- bron onbekend

[Verwijderd]

Bron wel bekend: de film <Strange Days>.

Tom Sizemore ("Max Peltier"):
"The issue's not whether you're paranoid, Lenny.
I mean look at this shit, the issue is whether
you're paranoid enough."

[psyBSD]

Just because you're paranoid doesn't mean they AREN'T after you. -- fortune

[boner]

Max peltier moet haast wel een heethoofd zijn.

[CmdrKeen]

of ben ik te achterdochtig?

Nee, je kan nooit achterdochtig genoeg zijn als het om je burgerrechten gaat.

[Moooo]

hoogstens een "open window"

[Verwijderd]

denk je echt dat er geen 'loper' voor de bitlocker zal zijn?

[Ranzy]

Alle conspiracy theories terzijde, blijkbaar dus niet.

[Verwijderd]

@Ranzy:

Right, dus als ik op mijn eigen blog zeg dat ik helemaal te vertrouwen ben en nooit iemand aan de regering zou snitchen dan geloof je daar ook blindelings in?

Ik betwijfel toch de nieuwswaarde van nieuwtjes die gebasseerd zijn op blogs van MS werknemers waarin zij positieve dingen zeggen over hun eigen creaties, of het zou gebalanceerd moeten worden met artikelen gebasseerd op blogs van MS bashers.

[rijnsoft]

Hmmm, data-encriptie met backdoor is hetzelfde als geen data-encriptie. Maar het lijkt me dat als de encriptie van enige sterkte is dat Micorsoft het dan moeilijk krijgt. Was het niet zo dat PGP niet uit de USA geexporteerd mocht worden omdat de encriptie te sterk was? Of Microsoft maakt iets wat uiteindelijk te kraken is, of er is inderdaad al een backdoor maar ze willen niet dat consumenten (en hackers!) dat weten.

[Roland684]

Zover ik weet is het inderdaad in de VS verboden om een encryptie te maken die de overheid niet kan ontcijferen.
PGP (of eigenlijk de RSA-encryptie die het gebruik en die in Nederland gewoon in het lesmateriaal op IT-opleidingen zit) valt in de VS onder de wapenwet.

[dietmertan.com]

En terecht. Als ik dingen wil versleutelen doe ik dat onder andere zodat de overheid er niet bij kan. Wat heeft die encryptie nou voor nut als er een backdoor in zit?

[Hero of Time]

Precies. Je wilt je gegevens ook veilig houden voor tegen hackers of wie dan ook. Ok, hacker hebben toegang tot je gegevens als ze op je pc zitten, maar hebben ze er ook wat aan als ze die gegevens naar hun pc sturen?

Wat de overheid hier vraagt is om bewust een lek in het beveiligingsbeleid te maken zodat zij het beter kunnen uitlezen bij pc's die ze vorderen. Beter is gewoon om met MS om de tafel te zitten en vragen voor een stand-alone decoding tool ofzo, ipv een gigantisch gat te creëren. Die tool draait dan uiteraard alleen op een speciale versie van Vista, die niet met het netwerk verbonden is en geen optie heeft om op een verwisselbaar media te kunnen schrijven (denk aan floppies en cdroms).

[psyBSD]

Als het onder speciale omstandigheden mogelijk is... dan hoef je toch alleen maar die omstandigheden na te bootsen?

Ik bedoel, dat het closed-source is betekend niet dat er niet voor te coden is. (De vele virussen en malware bewijzen dit)

[BartOtten]

Denk even na aub. Als ze het wel inbouwen zullen ze dan zeggen:

"Wij zijn accoord gegaan met de eis om een backdoor in te bouwen. Ergens in het systeem zit dus een backdoor maar we vertellen niet waar."

Ik denk het niet. Dus dit bericht kan gewoon naar de prullenbak omdat het de waarheid KAN zijn maar net zo goed een leugen. En eigenlijk denk ik dat MS wel vriendjes wil blijven met landen uit Europa die eisen stellen.

MS: Deal, wij bouwen de backdoor in jullie steunen Europese Commissie wat minder in al dat gezeur.

[RwD]

En straks wil een ander land het absoluut niet hebben en weer een ander land eist dat windows vista minimaal 1 keer per week crasht. Ik eis dat Microsoft mij een gratis versie geeft en jij eist een witte Ferrari Enzo. Allemaal dingen die je niet kunt krijgen al eis je nog zo veel.

Is toch belachelijk dat omdat een land dat besloten heeft dat je het dan maar moet doen??

[s_talsma]

Gezien eerdere wetten in de VS met betrekking tot encryptie zou het me (helaas) helemaal niet verbazen als er ook in dit geval een backdoor in moet komen...
Te sterke encryptie mag toch ook nog steeds niet geëxporteerd worden?

[Verwijderd]

De diverse overheden zouden hier in nederland eens moeten komen kijken. Met alle verloren floppies, labtops, usb-sticks etc. etc. wil geen enkele overheid meer dat er een backdoor ergens in zit. Schadelijker voor henzelf dan dat het voordeel zou hebben bij criminaliteitsbestrijding.

[familyman]

Voor nederland geldt, who needs a backdoor if your frontdoor is so wide open!

(remember dat afluister gebeuren wat we van de isreali gekocht hebben?)

[familyman]

Als ik dingen wil versleutelen doe ik dat onder andere zodat de overheid er niet bij kan.

En zo denk terroristen en ander tuig ook. En in de niet-aflatende stroom wetgeving sinds nijnieleffen is reeds lang bepaald dat jouw onschuldige wens zondermeer terzijden mag worden gelegd als al dan niet obscure overheidsorganen bepalen dat dit nodig is in de strijd tegen ... (vul maar iets in op de puntjes)

[et36s]

Geweldig nieuws. Want vroeg of laat kwam die backdoor dan toch wel op straat te liggen

[BartOtten]

Alla crimineel gaat dit hoor...

Jan weet dat politie tapt
Jan belt Hein: we kraken bank X
Jan loopt naar Hein toe: we pakken bank Y
Politie wacht bij bank X
Jan&Hein beroven bank Y

Publiekelijk ontkennen ze de backdoor, onder de tafel gaan ze akkoord. En als de hackers de backdoor gevonden hebben noemen ze het een 'beveiligingslek'

[Jefrey Lijffijt]

Leuke poging, maar de analogie klopt niet, want jammer genoeg is Hein niet te vertrouwen en weet Jan dat heel goed.

Microsoft heeft geen enkel baat bij zo'n back door maar het is potentieel een reputatiekiller. Nog geen dwaas die erover denkt zo'n backdoor te implementeren.

[Gerco]

Geen backdoor voor de Britse overheid zullen ze bedoelen. Als de Amerikaanse overheid dat eist, hebben ze geen andere keuze dan mee te werken en die backdoor in te bouwen. Als ze er dan ook nog niet over mogen praten, mogen ze het ook niemand vertellen.

Het lijkt me niet ondenkbaar dat bovenstaande al het geval is.

[Verwijderd]

Enig idee wat dat zou betekenen voor het vertrouwen in het bedrijf Microsoft op zich als dat uitkomt? Niet alleen het product is dan onbetrouwbaar, maar het hele concern. Ik geloof niet dat Microsoft dat zou willen riskeren...

[sorted.bits]

Waarom zouden ze naar de pijpen van de US overheid moeten dansen? Denk dat MS daar iets te veel macht voor heeft.

MS heeft al eens overwogen te verhuizen naar Canada, als de US overheid dit soort kunstjes gaat lopen uithalen, zullen ze dat ook zeker doen.

[Verwijderd]

Enig idee wat dat zou betekenen voor het vertrouwen in het bedrijf Microsoft op zich als dat uitkomt? Niet alleen het product is dan onbetrouwbaar, maar het hele concern. Ik geloof niet dat Microsoft dat zou willen riskeren...

De publieke opninie is op dit moment al dat windows onbetrouwbaar is door alle lekken (terecht of onterecht). En als het uit zou komen en het imago van MS zou nog meer aangetast worden, dan zou er nog steeds geen alternatief OS zijn waar de wereld even simpel op kan overstappen als je je bestaande applicaties makkelijk wilt blijven draaien.

Het zou dus vrijwel geen effect hebben, voila: het nadeel van een groot bedrijf dat een monopolie positie heeft, ze kunnen vrijwel doen wat ze willen zonder dat het gevolgen heeft.

[Verwijderd]

Er was ooit een encryptiemethode bedacht, die keys gebruikte. De NSA stelde toen specifieke keys voor. Een aantal jaren later ontdekten een paar wiskundigen dat mbv die specifieke keys de encryptie veel makkelijker te breken was. Dat wist de NSA dus al heel lang... iha doet Amerika dit dus regelmatig, en tot nu toe accepteren wij (als Westerse wereld) dat internet, telefoonverkeer, etc. flink afgeluisterd wordt. Je, we mopperen wel, maar we ondernemen eigenlijk geen actie.

[Gerco]

Dat zou heel erg slecht voor MS zijn, maar als de Amerikaanse overheid dat eist, hebben ze geen keuze. Het lijkt me sterk dat de regering Bush dat nog niet overwogen heeft. Misschien ook toegepast.

[Verwijderd]

Er is altijd een keuze

[Verwijderd]

Ik denk niet dat ze veel keus hebben. Zware encryptie schemas worden door de Amerikaanse overheid beschouwd als munitie waardoor er dus ook zware export en verkoop beperkingen op gelden. Als Microsoft dit ooit in de markt wil zetten dan zullen ze dus echt moeten doen wat de Amerikaanse overheid van hun eist.

[Amdk6II]

Ik denk dat Microsoft groot genoeg is om niet toe te geven op de Amerikaanse regering. Wat is het alternatief? Alle Microsoft software boycotten? Dacht het niet.

Het is een ander verhaal als de regering mannetjes in Microsoft heeft zitten op invloedrijke plaatsen. Maarja, das wel vergezocht.

Er is misschien wel een tussenweg, Microsoft zal ongetwijfeld wel iets van softwar een kennis hebben liggen om wellicht een 'deur te openen' of 'forceren'. Das wat anders dan standaard een open deur implementeren, maar dan nog ga je ervan uit dat er een zwakke plek in het systeem zit, die zal er waarschijnlijk wel inzitten.. maar of het opzettelijk is?

[megamuch]

Da's wel makkelijk roepen zo zonder bron...

I call bullshit...

[Jazzle]

Dat is dan toch tegen de wet in, of zie ik dat nu verkeerd?

[xbassiex]

Ik denk dat microsoft wel een beetje eigen zeggenschap heeft over haar producten. Overheden kunnen dit niet afdwingen, al helemaal niet via rechtzaken (zelfs in de VS niet , alhoewel? )

[diederik77]

Helemaal met die programmeurs eens. Het domste wat je kan doen is een backdoor inprogrammeren, om twee redenen:

1. Als de overheid het weet, weten hackers het ook zo. Dr hoeft maar één iemand bij de overheid te zitten die het doorspeelt, of één hacker die de backdoor vindt.

2. Als iemand informatie heeft die de overheid niet mag weten, gaat die natuurlijk toch niet zo'n soort encryptie gebruiken.

[H!GHGuY]

vergeet niet dat je een backdoor ook kan beveiligen...

edit:
wat helemaal niet wil zeggen dat ik het met het idee eens ben...
mijn eerste reactie was: no f**** way

[CAPSLOCK2000]

Microsoft kan het niet maken om dit te doen. In ieder geval niet op een manier waarvan kan bewezen worden dat ze het wisten.
Welke regering gaat nu software installeren waarvan bekend is dat de Amerikanse regering mee luistert (buiten de Amerikaanse overheid dan .
Zowel de regering als het leger zouden gedwongen zijn om per direct Windows er uit te gooien. Betere reclame voor de concurrentie (Apple/Linux) is er niet.

Verder is het risico veel te groot dat de "sleutel" voor de backdoor uitlekt. Als dat gebeurt kunnen in een keer alle beveiligde computers gekraakt worden. Inclusief de computers van Microsoft zelf. Dat zou voor zoveel chaos zorgen dat je het rustig terrorisme kan noemen.
Als Billie & Co de gevangenis dan nog weten af te kopen, zal niemand meer hun software willen hebben.

[Wim-Bart]

Betere reclame voor de concurrentie (Apple/Linux) is er niet.

Apple is een US bedrijf. Wat garandeerd mij dat daar geen backdoor in zit?

Wie garandeerd mij dat er in Linux geen backdoor zit? Wie heeft namelijk alle x-1.000-den regels sourcecode gelezen en deze in een context geplaatst waaruit is af te leiden dat er geen backdoor in zit?

Zolang je niet 100% inzicht hebt in alle code. En dat heeft niemand kan er een backdoor in zitten. Zo zat er in de sendmail een backdoor welke zelfs na drie verwijderingen (na ondekking) nog in zat. En hoeveel zitten er nog meer in? En zijn deze er allemaal uit? En welke zijn er nog niet ontdekt? linkje

[Daimanta]

Maar het leuke is dat je met open-source software de beveiligings broncode kan doorlezen. En dat is toch tig keer doorzichtiger dan iets waarvan je de bron niet kan zien.

[Wim-Bart]

En dat is toch tig keer doorzichtiger dan iets waarvan je de bron niet kan zien.

1 regel c code is kan net zo doorzichtig zijn als 10.000 regels code, maar wat als op 10.000.000 regels code er 10.000 regels ondoorzichtige code in zitten? Of nog erger, iemand kan in het verleden code hebben toegevoegd waarvan de oorsprong nog onduidelijk is en niemand het durft aan te passen en daar misschien toch een backdoor in zit? Wat heb je dan aan broncode als niemand er (meer) iets van snapt?

[CAPSLOCK2000]

Broncode controleren is zeker niet makkelijk. Maar bij open source producten is het mogelijk. Bij closed source is het helemaal niet mogelijk.

Eerlijk is eerlijk, zelfs als je de sourcecode helemaal hebt gecontroleerd weet je het nog niet zeker. Google maar eens op "Ken Thompson compiler". In het kort paste Ken Thompson z'n C compiler aan om een backdoor aan broncode toe te voegen.

Maar je zal ergens moeten beginnen. Dat de politie lang niet alle boeven pakt is geen reden om ze af te schaffen.

[durian]

Encryptie met backdoor is geen encryptie, maar encryptie met closed source software is dat net zo min. Als MS niet laat zien hoe het werkt is het niet te vertrouwen omdat je dan niet weet hoe ze het geimplementeerd hebben, of er fouten in de implementatie zitten, of er misschien toch een backdoor in zit...

[Verwijderd]

tuurlijk dat microsoft dat niet..
er zijn weer mensen enge verhalen de wereld in aan het helpen denk ik.

wat nou als een x-aantal bedrijven in de US overstapt op Vista.. en blijkt dat al hun bedrijfsgeheimen niet ''veilig'' genoeg zijn vanwege een mogelijkheid voor 3den om er bij te kunnen??

Dat gaat inmens grote schadeclaims opleveren aan het adres van microsoft.

zal niet gebeuren gok ik.

[Verwijderd]

Waarom zouden ze opzettelijk een backdoor moeten voorzien ?

Je zal zien dat na korte tijd al ettelijke exploits of gewoon bugs aan het licht komen waardoor die ingebouwde encryptie weinig of niets meer voorstelt...

En nee, dit is geen MS bashing maar gewoon een consequent doortrekken van de steeds wederkerende problemen met (nieuwe) Microsoft software... Want of je het nu graag hoort of niet, MS is er tot op heden nog nooit in geslaagd een echt solide stuk software af te leveren... En noem me pessimist, maar ik vrees dat het met Vista niet veel anders gaat zijn. Er wordt al veel te lang en veel te veel aandacht gericht op de eye-candy, en niet op de core en alles wat belangrijk is.

[Verwijderd]

Kun je dan niet een backdoor maken die alleen te bereiken als je bepaalde hardware bezit? Dus bijvoorbeeld een speciaal PCI kaartje die ervoor zorgt dat jij alleen via het 'achterdeurtje' naar binnen kan, omdat hij eerst kijkt of die hardware wel aanwezig is.

Lijkt me een stuk minder exploitgevoelig, maar dan krijgen we waarschijnlijk daar wel weer een virtuele-hardware oplossing voor ben ik bang..

[CAPSLOCK2000]

Of je sloopt het stukje software dat de hardware controleert uit Windows.
Met de huidige techniek is het niet mogelijk om dit (veilig) te maken.

[thegve]

Tenzij dat stukje software ook op een of andere manier op de PCI kaart staat. En @Ackermans, ik vrees dat jij degene bent die er geen zak van snapt. Het gaat (al verschillende keren vermeld in de reacties overigens) om in beslag genomen materiaal. Hier kunnen ze dus zoveel pci kaartjes indrukken als er slots vrij zijn.
edit:
... Dus niet remote, maar gewoon een FBI/CIA/recherche gastje die achter een inbeslag genomen pc gaat zitten..

[Damic]

Bestaat al: is een kaart dat je tussen uw hd en hd-connector zet en die encrypteerd alles! zitten ook 2 usb-"sleutels" bij die het mogelijk maken om uw data dan telezen (zie volgende link voor meer info).
http://www.xbitlabs.com/a...play/abit-kv8-max3_4.html

[Davy24]

overbodig

[Verwijderd]

Sorry, ik heb mezelf verkeerd uitgelegd.

Ik bedoel dat alleen de overheid stukjes hardware heeft die het mogelijk maakt om door het achterdeurtje van vista binnen te gaan..

Als het achterdeurtje alleen gezien kan worden met bijvoorbeeld dus een PCI kaartje, en alleen de overheid deze kaartjes bezit, moet het extreem moeilijk zijn om het achterdeurtje te vinden door hackers o.i.d.

Of zeg ik nu iets wat totaal onmogelijk is?

Edit: Oh, ik zie al dat andere mensen wél begrijpen wat ik zeg, met andere woorden, ik leg helemaal niks verkeerd uit