VS: Aftappen VoIP over een jaar verplicht

De Federal Communications Commission heeft bekendgemaakt dat alle internet- en VoIP-providers van de Verenigde Staten per 14 mei 2007 hun netwerken voor aftappen moeten openstellen. De uitbreiding van de zogeheten Communications Assistance for Law Enforcement Act werd vorig jaar voorgesteld, en nu is bevestigd dat alle internetverkeer in Amerika over uiterlijk een jaar voor de overheid bereikbaar moet zijn. De wetswijziging is bedoeld om 'een balans te vinden tussen de noodzaak van wetshandhaving, het aanmoedigen van technologische ontwikkelingen en de privacy van gebruikers.' In de praktijk komt het erop neer dat zowel spraak- als tekstuele diensten afgeluisterd moeten kunnen worden. Door de maatregelen worden 'packet-based'-diensten voor het eerst expliciet in de wet opgenomen.

De technologische vooruitgang is gediend bij duidelijkheid, aldus de FCC, reden om de datum van 14 mei 2007 voor alle betrokkenen bindend te verklaren. Al over drie maanden zouden alle systemen van de breedband- en VoIP-providers geschikt voor de nieuwe maatregelen moeten zijn. Verder is duidelijk gemaakt dat de providers slechts in uitzonderlijke gevallen een vergoeding voor de gemaakte kosten zullen krijgen. Hoe de maatregel de belangen van gebruikers moet behartigen wordt verder niet toegelicht, maar in het licht van het afluisterschandaal waar de regering-Bush mee te kampen kreeg, mag worden aangenomen dat de privacy van de Amerikaanse burger in elk geval niet groter zal worden. Op diverse sites wordt dan ook opgeroepen om encryptiesoftware te gebruiken, zoals het door Slashdot aangeprezen Zfone.

Reacties (54)

[ScuL]

ehm als je lekker een teamspeak server start en gaat praten met iemand aan de andere kant van de vijver is er helemaal niemand die dat gaat controleren!
niet over nagedacht

[batavier]

When you give up freedom for security, you will get neither...

[sys64738]

Ah die quote wordt ook weer eens van stal gehaald.... Alleen luidt die quote van Franklin als volgt:

people willing to trade their freedom for temporary security deserve neither and will lose both.

edit: slightly altered.

[warp]

Ook die klopt niet. De officiele versie:

Those who would give up Essential Liberty to purchase a little Temporary Safety, deserve neither Liberty nor Safety.

[Anoniem: 146182]

De stal is nog niet leeg:

freedom is slavery
ignorance is strength
war is peace



in dit licht bezien is dit nog niet eens zo'n rare maatregel!

[Actreon]

offtopic: dat zijn voorbeelden van het begrip doublethink, de mogelijheid om twee betekenissen van één woord in iemands hoofd te proppen. Je weet dat oorlog geen vrede is, maar dat is het eigenlijk wel. 2 + 2 = 5...

[Anoniem: 19339]

Die quote van Franklin stamt wel uit een tijd waarin er geen terroristen waren die bereid zijn hun eigen leven op te offeren om duizenden slachtoffers te maken. Hij leefde in een andere tijd, en de wereld heeft in de 200 jaar sinds die uitspraak genoeg verandering gezien die de uitspraak eventueel achterhaald maken.

Het is een stelling, geen axioma.

(Niet dat ik denk dat deze actie ook maar iets tegen terrorisme of zo uithaalt...)

[masteriiz]

De stelling staat wat mij betreft nog steeds glashard overeind, juist in de moderne tijd. Alleen kun je nu de vraag stellen of misschien er meer noodzaak is om vrijheid minder belangrijk te vinden.

Overigens leert de geschiedenis ons dat dit soort maatregelen bijna altijd worden gebracht onder het mom van veiligheid met de achterliggende gedachte van controle.

[T4F.nl_Muad]

true, maar hoeveel slachtoffers zijn er nu echt door terrorisme gevallen? Relatief valt dit enorm mee. Een paar duizend (in de westerse wereld) tov van een half miljard?

En hoeveel onschuldigen in de oorlog tegen terrorisme (burgerslachtoffers in Irak, burgerslachtoffers onder de Palestijnen etc).

Ik heb zo het vermoeden dat groep 2 groter is dan groep 1, al na gelang hoe je terrorisme wil omschrijven.


Edit: ATS: precies wat ik wil zeggen. Mensen durven wanwege de aanslagen niet meer naar Egypte, zijn 20 doden gevallen onlangs. Hoeveel toeristen komen er elk jaar daar door ongevallen om het leven? Of door ongevallen op de reis daarheen?

[ATS]

De kans dat je in Nederland komt te overlijden door terrisme is kleiner dan de kans om te overlijden doordat je een vallende bloempot op je hoofd krijgt als je langs een flat ofzo loopt. Ik stel daarom voor dat het verboden wordt om bloempotten in de vensterbank of aan het balkon te hebben. Lijkt me een stuk effectiever dan al die maatregelen tegen terrorisme.

[Daimanta]

En wat is vrijheid zonder veiligheid? Juist ja, helemaal niks.

[Anoniem: 14038]

Wat dacht je van de wet van de sterkste?

[ATS]

Wat is veiligheid zonder vrijheid?

[Flatline]

What if: ik een sip client bouw, die flink versleuteld de gesprekken verstuurd en die publiceer met een uitdrukkelijk verbod om te implementeren in de US of A. Amerikenen zijn net als wij stout en anarchistisch en gaan het programma toch gebruiken.... Wat dan?? Moet ik dan verantwoording afleggen of een achterdeur inleveren bij de NSA CIA en/of FBI. Of is dit de zoveelste wet die je wel kunt maken maar ook makkelijk kan omzeilen???

[kidde]

Erg gebruikelijk, en volgens mij best legaal: Bij een hele hoop software kom ik (nu al) tegen dat 'deze software in sommige landen volgens de wet niet gebruikt mag worden, en je voor installatie van deze software eerst even de wet van jou land moet checken of de software in jouw land legaal is'.

Dat is de enige opmerking die je er volgens mij bij zou moeten zetten. De afluisterwet werkt het (voor zover ik weet) in NL ook zo: alles moet afluisterbaar zijn. Geencrypteerde walkie-talkies die sommige criminelen gebruiken zijn wel afluisterbaar, maar de pliesie hoort alleen ruis omdat de boel geencrypteerd is. Maar aan het afluistergebod wordt voldaan!

Lijkt me dat we de plastic bekertjes met de touwtjes ertussen weer uit de kast kunnen halen, aangezien deze lastiger af te tappen zijn

[Anoniem: 110977]

Voice Over Rope?

[The Zep Man]

Dat is de enige opmerking die je er volgens mij bij zou moeten zetten. De afluisterwet werkt het (voor zover ik weet) in NL ook zo: alles moet afluisterbaar zijn. Geencrypteerde walkie-talkies die sommige criminelen gebruiken zijn wel afluisterbaar, maar de pliesie hoort alleen ruis omdat de boel geencrypteerd is. Maar aan het afluistergebod wordt voldaan!

Maar op internet kan je toch altijd de VoIP-pakketjes aftappen? Zelfs met encryptie.

Ik denk dat ze in de USA bedoelen dat ook de sleutels van de gesprekken door de VoIP-aanbieders ook ingeleverd worden bij de overheid.

[TrailBlazer]

Sleutels die gebruikt worden bij encryptie zijn dynamisch en hebben vaak maar een life-time van 3600 minuten of een max aantal Megabyte wat er mee geencrypt mag worden. Sowieso weet de provider niet wat de key is omdat deze key tussen de endpoints wordt uitgewisseld.
Een voip sessie wordt opgezet met behulp van een provider dmv SIP daarna neemt het RTP protocol het over wat slechts tussen de 2 telefoons gepraat wordt

[Anoniem: 30917]

Sowieso weet de provider niet wat de key is omdat deze key tussen de endpoints wordt uitgewisseld.
Een voip sessie wordt opgezet met behulp van een provider dmv SIP daarna neemt het RTP protocol het over wat slechts tussen de 2 telefoons gepraat wordt

Dat klopt maar in een klein aantal gevallen, de meeste VoIP diensten bieden ook de mogelijkheid om 2 firewalled/NAT (zonder dat de router een port forward) clients te laten praten, dat kan ALLEEN maar als AL het verkeer via een derde open machine verloopt: een server of een client die als server dient (zoals bij Skype)

Dus als het via een server van de voipdienst verloopt hebben ze ook zelf de sleutels naar de beide clients verstuurd en zijn die bij de provider dus bekend. Om nog maar te zwijgen over VoIP waarbij 1 van de 2 uiteindelijk een gewone telefoon is, dan zit er altijd ergens een gateway van de provider tussen.

[Jaco69]

De VoIP provider heeft natuurlijk de endpoints.

Als je zelf VoIP gebruikt tussen twee computers op het internet dan heb je natuurlijk gelijk dat je ISP de key niet weet maar daar gaat dit niet over.

[Anoniem: 30917]

De VoIP provider heeft natuurlijk de endpoints.

Maar niet de sleutels, als de endpoints direct contact kunnen hebben, dat is afhankelijk van de router/instellingen. Als de provider de endpoints weet maar ze hebben direct contact dan is de sleutel ook via de endpoints verstuurd en dan weet de provider die dus niet.

Als je zelf VoIP gebruikt tussen twee computers op het internet dan heb je natuurlijk gelijk dat je ISP de key niet weet maar daar gaat dit niet over.

Daar gaat dit wel degelijk over, als de provider de 2 partijen in contact brengt dan kan de sleutel en het gehele gesprek nog wel degelijk p2p (indien de routers dat toestaan) gaan, en kan VoIP provider onmogelijk de sleutel weten noch de stream afvangen.

[Anoniem: 146182]

Als Nederland hier ook in meegaat, en dat zal wel, gezien de huidige "o nee, een man met een baard, die moeten we afluisteren"-cultuur, zijn de providers nog lang niet uit de rechtzaken:

Xs4all wil meer controle op aftappen internetverkeer

lijkt me verschrikkelijk, als je als bedrijf zo op kosten gejaagd wordt en gedwongen wordt om je goede naam te grabbel te gooien ten bate van de nukken van een paranoïde regering..

[masteriiz]

Een man met een baard heeft altijd iets te verbergen.

Al was het maar acné.

[gabiballetje]

Het is belachelijk dat providers hier kosten voor moeten maken, hun maken een product dat werkt, of leveren diensten, hoe je het ook wil zien. De overheid wil die mogelijkheid, leuk dat het erin geschreven moet worden door een softwareboer, maar die kosten zijn voor de overheid, ze kunnen het alleen eisen op NIEUWE voip software.
Derhalve is het het probleem van de staat zou je zeggen. Ook voor opslag van dingen die opgenomen moeten worden zou de overheid moeten zorgen en niet de provider. Dat is niet hun werk.

[Sjaak_Trekhaak]

Uiteindelijk betaal je via belasting er toch wel voor. Ik vind het discutabel als het wat uitmaakt als de provider ervoor gaat betalen door een paar euro extra abbonements geld te innen of als de regering voor opslag zou zorgen, en hiervoor weer veels te veel geld voor nodig is omdat ze eerst een paar miljoen in waardeloos onderzoek moeten investeren -- wat er weer voor zou kunnen zorgen dat de belastingbetaler extra gaat inleveren.

[Anoniem: 19339]

Het maakt wel uit voor degenen die geen internet hebben, dat zijn er ook nog genoeg. Die betalen niet mee als de kosten in een internet-abo worden meegerekend.

Als de overheid zegt dat het nationaal belang is (tegen terrorisme en zo), dan zou ik het hypocriet vinden om alleen internet-gebruikers ermee te belasten.

[Frubelaar]

Inderdaad. Tegengaan van terrorisme is van nationaal belang. Internationaal zelfs.

Maar als je de internetgebruikers meer aan opsporingsdiensten laat betalen dan niet internetgebruikers omdat internet schijnbaar een vrijplaats is van het beramen van terroristische aanslagen waarom dan die lijn niet doortrekken en buiten internet ook extra belasting heffen als je een bepaalt geloof aanhangt. Of komt het andere toverwoord discriminatie dan plotseling bovendrijven?

[Anoniem: 173880]

Stel: de overheid heeft de kennis in huis (.....) Tegen de tijd dat de wetten door de 2e en 1e kamer zijn goedgekeurd en ondertekend door onze Koningin zijn we al 3 jaar verder. ----- Wie gebruikt er precies soft- en hardware van 3 jaar oud? Niemand, behalve iemand uit de "derde wereld". Leuk afluisteren en vertalen!

[Anoniem: 175233]

Ik vraag me af wie de kosten van het afluisteren maakt bij de traditionele telefonie. Als dat ook de telefoon maatschappij was (wat ik vermoed), dan is het consequent dat de kosten nu bij de ISP wordt gelegd...

Of het terecht is.... Tja... Het is niet zo'n rare gedachte dat de gebruikers van een technologie, ook betalen voor justituele consequenties van die technologie.

[Neo]

En dit zal er weer voor gaan zorgen dat VOIP minder aantrekkelijk zal worden. Dit omdat zoals ook al in het artikel wordt aangegeven de voip-providers zelf de kosten moeten gaan dragen.

[Flatline]

Maar hoe pak je dat aan bij b.v. Skype of VOIPBUSTER, denk je dat die de moeite nemen om aan allerlei lokale wetten te voldoen. XS4ALL heeft geen keuze maar een buitenlandse provider die hier zelfs geen server heeft staan?

[Anoniem: 110977]

The primary goal of the Order is to ensure that Law Enforcement Agencies
(LEAs) have all of the resources that CALEA authorizes to combat crime and support homeland
security, particularly with regard to facilities-based broadband Internet access providers and
interconnected voice over Internet protocol (VOIP) providers.

Voorlopig lijkt het dus alleen te gaan over ISP's en telecommunicatiebedrijven die VOIP aanbieden. Men zou de interpretatie nog uit kunnen breiden naar bedrijven die het laatste stuk van VOIP over koper naar de klant aanbieden. Het lijkt er echter op dat skype-skype calls dus buiten schot blijven, maar skype in/out dus wel moeten voldoen aan de eis voor afluisterbaarheid.

Het lokt echter wel een paar interessante zaken uit. Als Skype eigenaar is van de interconnectie apparatuur in de VS en Skype dus als een provider daar gezien kan worden, zou men wellicht wel kunnen eisen dat ook de softwareversie afluisterbaar zou moeten zijn, doet Skype dit middels partnerbedrijven (TTP) dan zou dat echter weer geen invloed hoeven te hebben.

Kortom we zullen vreemde constructies gaan zien, waarbij niemand weet of men nu wel of niet afluisterbaar is. Grijze gebieden zullen ontstaan waarbij rechters verveeld zullen gaan worden met technologische zaken die hen niet duidelijk zullen zijn. We kunnen dus weer veel verwarring verwachten.

[Anoniem: 50893]

Al die zogenaamde veligheids maatregelen, het word een beetje water naar de kraan dragen.

6.5 miljard mensen op de aardbol, laten we zeggen dat 2/3 volwassen is. Ruim 4 miljard mensen en vele vormen van communicatie, internet, telefonie, brieven etc etc. Het is onmogelijk om alles te gaan lopen filteren, zelfs al wil je bepaalde individuen monitoren en hun communicatie verkeer.

Oude progamma's, oude apperatuur, daar word geen aandacht meer aan besteed maar functioneren nog goed genoeg. Wie kwaad wil hou je niet tegen. Het verstoppen en versleutelen van boodschappen, je kan niet alles ontcijferen.

Vind dan ook dat de huidige aanpak niet de juiste is en totaal geen oplossing biedt. Men zou zich meer kunnen/moeten toespitsen op de bronnen. Verwoest alle cocaine en papavervelden in de wereld en biedt de verbouwers alternatieven aan, probleem opgelost, en zo voor meer takken van criminaliteit, pak de bronnen preventief aan, loop niet achter de feiten aan om het naderhand op te lossen. Schroef de strafmaat wereldwijd op voor bepaalde delicten en het zal een effectief, preventieve uitwerking hebben.

Maar goed, laat ze maar dweilen met de kraan open, het gezonde verstand zal ooit wel eens boven komen drijven. Tot die tijd blijven we nog wel met een aantal rotte appel zaken in de wereld van doen hebben, geld is niet altijd een effectief middel in de strijd van terrorisme en criminaliteit, preventie daarintegen wel. Heb zelf jaren in de beveiliging gewerkt en heb altijd zelf ondervonden dat preventiviteit het meest effectieve middel is, aan de voordeur houd je al de problemen tegen, zo niet alle !

[Anoniem: 173880]

"Men zou zich meer kunnen/moeten toespitsen op de bronnen. Verwoest alle cocaine en papavervelden in de wereld en biedt de verbouwers alternatieven aan, probleem opgelost, en zo voor meer takken van criminaliteit, pak de bronnen preventief aan, loop niet achter de feiten aan om het naderhand op te lossen. Schroef de strafmaat wereldwijd op voor bepaalde delicten en het zal een effectief, preventieve uitwerking hebben."



papaver (de grondstof voor heroine) is het grootste exportprodukt van Afghanistan. Het overgrote deel van de landbouw daar kweekt deze plant. Met medewerking van Nederland, USA, de VN etc. De VN wil de landbouw in Afghanistan niet belemmeren, maar juist ondersteunen.

Als de VN de teelt steunt, weet wat met de papaver gebeurt, en alles toelaat is mijn vraag: waarom moet je dan een voip gesprek afluisteren? Iedereen weet toch waar de problemen liggen?

En nu, ineens, is het de schuld van de ISP'er. Die moet gaan betalen. Internet is toch ontwikkeld in de USA? Het rijkste land ter wereld heeft het mogelijk gemaakt voor het rijkste persoon ter wereld (BG)?

En dan nog klagen ook!

[Remond_FRL]

en met die encryptie-tools
is het dan ook niet mogenlijk voor de overheid van de VS om die te kraken ?

want als ik die screen zo zie van dat programma
http://www.philzimmermann.com/images/Zfone-GUI.png

zou het toch kunnen dat de CIA (o.i.d.) er als een onzichtbare 3de partij meeluistert, en dat programma ook gewoon meedraait ?

of denk ik nu te simpel
* Remond_FRL kijkt teveel enemy of the state type-of-movie's

[Roel Broersma]

Ook zonder dat je een gesprek exact weet af te luistern (omdat je niet over de de-cryptie methode beschikt) kan je er toch al (voldoende) informatie uit af leiden.

Namelijk: Wie communiceerd met wie, wanneer wordt er gecommuniceerd, neemt de communicatie toe of niet, hoelang duurt het, evt. communicatiepatronen vergelijken, etc.
Alleen al als je dat goed weet te monitorren weet je een hoop, puur uit TCP/IP basis (wat het internet is) kan je een hoop informatie afleiden.

En ondertussen denkt iedereen maar dat hij/zij veilig is met PGP.

Hetzelfde heb je met GSM, daarbij is het alleen duidelijker en meer in de aandacht. Je weet (zonder het gesprek af te luisteren) of de gsm ergens was, hoe lang, of er vlak voor of na 'de moord' is gebelt, of de GSM zich eerder heeft begeven op die plek, of er vluchtgedrag is, etc.

[Frubelaar]

Met PGP kan men niet *in* het bericht kijken.
Het 'encryptie gedrag' kan dus hooguit verdacht gevonden worden. Info zoals tijd en plaats v/d aanslag zal men nooit uit zo'n bericht kunnen halen.
99.999% v/d PGP gebruikers hebben geen criminele zaken te verbergen maar willen gewoon privacy.
En die andere 0.001% herken je niet als crimineel.
PGP verbieden lost niets op omdat men dan bv met stenografie aan de slag gaat.
Kortom iedereen is de pineut maar misdaad voorkom je er niet mee.

[- peter -]

De uitleg, waar ik zelf niet heel veel van begrijp, lijkt te zeggen dat juist dat soort zaken zeer bemoeilijkt worden. Daar is dit immers voor. Dat Zfone is trouwens ontwikkeld door de maker van PGP.

The ZRTP protocol has some nice cryptographic features lacking in many other approaches to VoIP encryption. Although it uses a public key algorithm, it does not rely on a public key infrastructure (PKI). In fact, it does not use persistant public keys at all. It uses ephemeral Diffie-Hellman with hash commitment, and allows the detection of man-in-the-middle (MiTM) attacks by displaying a short authentication string for the users to read and compare over the phone. It has perfect forward secrecy, meaning the keys are destroyed at the end of the call, which precludes retroactively compromising the call by future disclosures of key material. But even if the users are too lazy to bother with short authentication strings, we still get fairly decent authentication against a MiTM attack, based on a form of key continuity. It does this by caching some key material to use in the next call, to be mixed in with the next call's DH shared secret, giving it key continuity properties analogous to SSH. All this is done without reliance on a PKI, key certification, trust models, certificate authorities, or key management complexity that bedevils the email encryption world. It also does not rely on SIP signaling for the key management, and in fact does not rely on any servers at all. It performs its key agreements and key management in a purely peer-to-peer manner over the RTP packet stream.

[DarkTemple]

Als het encrypt is kunnen ze wel meeluisteren, maar het niet verstaan.

Ze kunnen ook niets veranderen aan t pakket, dat wordt opgemerkt.

[Anoniem: 146396]

Ze kunnen wel de boodschap opnemen en binnen 100 jaar ofzo ontcijferen.

Maar tegen dan is de dealer/terrorist al lang gestopt met zijn praktijken en aangezien telefoontaps niet kunnen/mogen gebruikt worden als bewijs..... zal de politie zich ook moeten aan de wet beginnen houden

[JeRa]

De wetswijziging is bedoeld om 'een balans te vinden tussen de noodzaak van wetshandhaving, het aanmoedigen van technologische ontwikkelingen en de privacy van gebruikers.'

Wat zouden ze precies bedoelen met het aanmoedigen van technologische ontwikkelingen? Het lijkt me dat je door dit soort maatregelen de technologie alleen maar in de weg staat, behálve voor de technologiën die het mogelijk maken de afluisterpraktijken van de regering te omzeilen. Dat is niet wat ze willen denk ik zo.

Verder zou het toch niet mogelijk moeten zijn om die encryptie te omzeilen? Een provider heeft als het goed is door de Diffie-Hellman key exchange geen weet van de encryptiesleutel en kan deze dus ook niet aan de regering geven. Het enige wat in de weg staat is de 128-bits encryptie beperking die wettelijk in Amerika geldt, maar dat is in beginsel natuurlijk al belachelijk (je mag wel encrypten, maar niet zo erg dat het niet binnen afzienbare tijd door ons te decrypten valt).

[jubeth]

Dat er tegen die tijd maar zo veel mogelijk open wireless en shared netwerken mogen bestaan, een ontwikkeling die ze gelukkig niet kunnen tegengaan.
Je kunt dan wel de internet-link van iemand gaan tappen, niemand weet nog of het wel verkeer van die iemand zal zijn.

Ik heb in Amsterdam en omstreken nog niet 1 plek meegemaakt waar ik geen vrije toegang had tot internet. Beetje directioneel antennetje aan je notebook, of zelfs aan je PC thuis, en men zal het heel erg lastig krijgen om 'in' de straal te kunnen tappen en te ontwaren wie nu via welke vaste internet-link werkt.

Al dat aftappen is voor dinosauriers. Staat wel interessant naar de control-freak lobby van overheden toe, maar aantoonbaar nut heeft het niet. De mensen die kwaad willen via internet zullen daar geen enkele moeite mee hebben. Hint:
http://www.google.com/search?q=wep+cracking+wireless