Securityvendors zwijgen over spyware van overheid

ZDNet heeft bij antimalwarebedrijven nagevraagd hoe zij omgaan met verzoeken van politiediensten om een oogje dicht te knijpen voor backdoors en keyloggers die voor justitioneel onderzoek gebruikt worden.

De FBI is er dankzij een stukje spyware in geslaagd een tiener te vatten die valse bommeldingen naar een school in Washington mailde. De jongen stond al onder verdenking, waarna de FBI hem een monitoring tool toestuurde en zo voldoende bewijs tegen de vijftienjarige kon verzamelen. In een andere zaak omzeilde de federale inlichtingendienst PGP-encryptie en Hushmail met behulp van een keylogger. Het lijkt echter logisch te veronderstellen dat verschillende antivirusprogramma's deze spionagetools onschadelijk hadden kunnen maken. ZDNet informeerde daarom bij verschillende aanbieders van beveiligingssoftware hoe zij zouden reageren op een verzoek van de politie om een oogje dicht te knijpen.

De meeste vendors gaven aan nog nooit een dergelijk verzoek gekregen te hebben en zeiden niet van plan te zijn er gehoor aan te geven, mocht het geval zich voordoen. Check Point, het bedrijf achter ZoneAlarm, bekende echter dat zo'n verzoek op dezelfde manier behandeld zou worden als een vraag van een third-party vendor die in de whitelist opgenomen wil worden. Wat de procedure in dat geval is, werd echter niet verduidelijkt. Wat wel duidelijk is, is dat klanten niet ingelicht zullen worden als dit door de rechter verboden wordt. Het bedrijf is daarmee het enige dat toegeeft dat de mogelijkheid tot whitelisten van politietools bestaat.

Hoewel het nog niet gebruikelijk is dat inlichtingendiensten beveiligingsbedrijven verzoeken een oogje dicht te knijpen, verwachten experts dat dit slechts een kwestie van tijd zal zijn. Privacyvoorvechters vrezen echter dat de politie en overheid hiermee de grenzen van het toelaatbare overschrijden. In theorie zouden overheden security vendors zelfs kunnen verplichten een keylogger of spyware via de automatische updatefunctie van hun software naar clients te gaan pushen. Mocht het ooit zo ver komen, dan lijkt de kans echter groot dat gebruikers die hun digitale handel en wandel verborgen willen houden, gebruik zullen gaan maken van opensourceoplossingen als ClamAV.

Reacties (46)

Ik lees veel kreten zoals: "als" "maar" en "veronderstelling" in het artikel, dus om nou meteen te gaan roepen: "waar rook is, is vuur" vindt ik wat kort door de bocht. Dit soort dingen komen met enige regelmaat boven drijven, zo zou vista ook speciale backdoors hebben voor de NSA etc, maar daar zijn tot op heden ook nog geen echte harde bewijzen van boven water gekomen tot zover ik weet. Het feit dat Zonealarm er openlijk voor uitkomt zulke verzoeken wel in behandeling te nemen, is voor mij reden genoeg om hun producten niet meer te gebruiken, want ik krijg er toch een wat rare smaak van in de mond. Aan de andere kant kan ik me voorstellen dat een politie dit graag wat onder het maaiveld zou willen houden, om mogelijke criminelen niet op ideeën te brengen.. He blijft een delicaat evenwicht..

Persoonlijk vind ik het juist goed dat ze er openlijk voor uitkomen. Ze geven gewoon netjes aan hoe deze verzoeken beantwoord zullen worden: Op dezelfde wijze als ieder ander 3th party software geval dat graag whitelisting wil. Daarnaast word in hun documentatie ook netjes aangegeven welke tools er allemaal standaard worden doorgelaten. Ook overheidstools zullen hierbij komen te staan, tenzij dit door een rechter word verboden.

Lijkt mij allemaal een heel stuk helderder en frisser dan wanneer je er niets vanaf zou weten

Het feit dat Zonealarm er openlijk voor uitkomt zulke verzoeken wel in behandeling te nemen, is voor mij reden genoeg om hun producten niet meer te gebruiken, want ik krijg er toch een wat rare smaak van in de mond.

In behandeling nemen kan ook betekenen dat ze daarna worden afgewezen. Net zoals de gemeente je bouwvergunningsaanvraag in behandeling neemt wil het nog niet zeggen dat je die krijgt.

[Reactie gewijzigd door PcDealer op 19 juli 2007 11:13]

Laten we eens teruggaan naar de kern... overheidsinstanties vragen de security fabrikanten een oogje toe te knijpen. Is dit niet gewoon logisch? De overheid heeft een opsporingstaak, zij hebben het recht bij vermoedens van strafbare feiten of preventief dergelijke dingen te doen ( denk aan de algehele verkeerscontroles, legitimatieplicht in grote steden etc.). Dit is niets anders... alleen omdat het plotseling op internet is, is het aantasting van de privacy etc etc....

Privacy is een fabeltje en privacy op internet al helemaal...

Zoals inderdaad gesuggereerd word is dit weinig anders dan een telefoontap...

Ik zie het probleem niet zo...

Kom nou toch.... De overheid installeert iets in onze computers waar wij geen toestemming voor hebben gegeven. Dat is iets waar anti-malware fabrikanten op behoren te reageren en dat doen ze ook (al suggereert de titel anders, maar zie mijn eerdere mailtje om dit recht te zetten). Jij wil ook niet dat de overheid een camera en microfoon in jouw huis plaatst. Jouw privacy is van jou, jij bepaalt wat er van jou naar buiten gaat. Het gaat niemand iets aan hoe jij je geld besteed, over welke poltiieke onderwerpen je met anderen praat, wat voor onzin je uitkraamt met een borrel te veel op, welke muziek je luistert, hoe vaak je seks hebt, wat je banksaldo is, en welke volkomen foute en heimelijke verlangens je misschien hebt. In een vrij en democratisch land worden dergelijke privacy beschermd. Pas als er een redelijke verdenking tegen je is, dan kan justitie, veiligheidsdiensten etc. jouw wegen gaan volgen, in een gezonde staat alleen met goedkeuring van een rechter - maar die voorwaarde is ook in NL al voor een groot deel komen te vervallen. Opsporing behoort altijd op controleerbare wijze te gebeuren en niet lukraak. Waar jij voor lijkt te staan is situatie waar de overheid overal kan meekijken, althans via internet.

Het was (en is) destijds al mogelijk dat geheime diensten de microfoon van jouw ISDN telefoon aan konden zetten en dan mee konden luisteren met gesprekken in jouw huis (ook met een analoge telefoon is dit mogelijk, maar op geheel andere wijze). Nu is het nog makkelijker, zoals bv. de trojan SubSeven aantoonde: gewoon op afstand de microfoon en evt. webcam inschakeen zonder dat de gebruiker het in de gaten heeft. Dit is voor een deel wat het doel was van Magic Lantern.

Ik vind veiligheid een belangrijke issue maar privacy van mijn levenssfeer is voor mij zeer van belang. Overigens, ben jij er van op de hoogte dat bv. de NSA spionage netwerken, wereldwijd opererend, niet alleen vanwege veiligheid en opsporing hun werk doen: er zijn ook zeer sterke aanwijzingen dat informatie wordt toegespeeld aan belangrijke Amerikaanse bedrijven, als de informatie van belang kan zijn voor de Amerikaanse economie: immers, economie is van strategisch belang. Dit soort Kafkaiaanse praktijken moeten altijd fel worden bestreden en met name mensen die veel op een site zitten als Tweakers, moeten in staat worden geacht te methodieken, drijfveren en gevaren te doorzien van deze ontwikkelingen.

Privacy een fabeltje? Wat is je pincode dan? En met wie had je voor het laatst sex, en wanneer was dat? En vond je het fijn? Trouwens, wat is het meest beschamende dat jij de afgelopen 3 jaar hebt gedaan, en met wie was dat, en waarom? Gaat me niets aan, inderdaad. Jouw privacy. Of toch wel, want privacy is volgens jou een fabeltje...

Ik vind het wel een misleidende titel. Securityvendors zwijgen er niet over; volgens hun eigen reactie hebben ze er nooit mee te maken gehad.

Alleen ZoneAlarm zegt dat ze de *-ware eventueel zullen whitelisten, zoals dat voor een willekeurige andere third party zouden kunnen doen. En ik vermoed (en hoop) dat ze daarvoor eerst een goede rede moeten geven, waarom de *-ware ofwel niet schadelijk is, of niet zonder toestemming van de gebruiker is geïnstalleerd.

En ik vermoed (en hoop) dat ze daarvoor eerst een goede rede moeten geven
Ik denk dat het geven van een reden wel eens achterwege zou kunnen blijven. Anders zouden de securityvendors op de stoel van de rechter moeten gaan zitten om te beoordelen of ze een stukje *-ware (goede benaming trouwens) wel of niet gaan whitelisten.
Ik denk dat er een verzoek komt van een opsporingsinstantie, zonder dat er redenen worden opgegeven. Daarmee zijn de securityvendors ook gedekt: als iemand voor de rechter komt kan die vervolgens zijn securityvendor voor de rechter slepen omdat de door hem geinstalleerde beveiliging bewust zaken doorgelaten heeft zonder dat daar een rechterlijk bevel tegenover staat...
Zal in ieder geval een leuke discussie opleveren in de rechtbank...

Het zijn inderdaad de securityvenders zelf die bepalen wat er op de whitelist komt. Daar was een paar maanden geleden nog een rechtszaak over (in VS volgens mij), waarbij een *-ware maker op de whitelist wilde komen, maar dat geweigerd werd door de securityvendor.

Volgens mij won de *-ware maker wel, maar alleen omdat de securityvendor in GB zat en schijt had aan die rechtzaak in de VS, ofwel niet eens op was komen dagen.

Heel vreemd artikel. Er is een onderzoek geweest van CNet en Declan McCullag (bekend van onder meer de Politech mailinglist, een must voor eenieder die geinteresseerd is in de politiek binnen techniek en andersom). De conclusie is exact andersom dan met de titel van dit bericht wordt gesuggereerd.

Er zijn 13 vendors geinterviewd en zonder uitzondering geven ze aan dat ze overheid spyware zullen rapporteren. De betreffende artikelen:

Will security firms detect police spyware?

Security firms on police spyware, in their own words

Bij een eerder onderzoek in 2001 gaven McAfee en Symantec aan dat ze dergelijke spyware (zoals bv. Magic Lantern) niet zouden rapporteren naar de gebruiker, al nuanceerde McAfee dit al heel snel.

ied3ereen die zich verschuilt achter internet is toch zowiezo verdacht?

maar goed. wat als die tools bij de verkeerde personen terechtkomen, dan ligt onze informatie niet allene kwetsbaar opgeslagen bij de recherge, maar is die gewoon te koop bij elke hacker....

Misschien kan dit wel een reden zijn om over te schakelen naar opensource ? ik neem aan dat daar meer controle is over wat er gebeurt op je pc.

Dat je de source erbij geleverd krijgt wil niet zeggen dat je ook duidelijk kan zien wat er op dat moment allemaal draait.

Onder Windows kun je ook prima achterhalen wat er allemaal draait (goed root-kits die hardware virtualiseren niet). Alleen hoeveel mensen doen dit? Ik ga niet continue al mijn processen in de gaten houden (draai zelf Linux) om te kijken wat er niet thuis hoort. Zoiets doe ik misschien 1x per maand.

Maar bij opensource zijn er effectief wel vele personen die de source controleren en ze zelf aanpassen, er zijn zelf meedere personen die aan de ontwikkeling meehelpen en deze zijn niet gebonden aan een bedrijf dus spreken gewoon vrijuit. Het zou rap gevonden/ontdekt worden.

als het zo blijf evolueren dan gaan we geen privacy meer hebben op de PC....vanaf je 'verdacht' bent kan je een leuke keylogger oid verwachten van de zo geliefde overheid

Waar zit het verschil met de telefoontap, de afluister microfoon in de schemerlamp en het volgen op straat?

Het verschil zit 'm in het feit dat je een gerechterlijk bevel nodig hebt voor het plaatsen van een telefoontap en dergelijke.

Als je dingen gecodeerd verstuurt (SHA-256, iemand?) heb je niets aan aftappen... als ze doodleuk alles (inclusief de key) opvangen is het hele nut van encryptie weg, terwijl je dat juist soms wilt hebben...

Als je geen fatsoenlijk os draait (zoals OSX, Vista of een Linux distro) is het helaas maar al te makkelijk om het toetsenbord af te luisteren, dan heb je helemaal niets aan je fancy encrypties.

Ze kunnen tegenwoordig al je toetsenbord af luisteren door alleen maar het geluid van de aanslagen te beluisteren.

Luister maar eens naar het verschil tussen 'Backspace, Enter, Space en alle andere letters.
De miniscule verschillen kunnen gemakkelijk door een computer worden vertaald naar aanslagen. <-grapigge woordkeus in deze..

Ik hoor toch verdacht weinig verschil tussen mijn q w e r t en y (op mijn acer lappie)... Als ze dat willen gebruiken moet je toch echt alle manieren van aanslaan en alle toetsenborden die gebouwd zijn in je database opslaan.

Je kunt de preciese letters niet horen, maar ik sla bijvoorbeeld met mijn pink en ringvinger zachter op de toetsen. En een dubbele toetsaanslag klinkt ook weer anders.
En terwijl ik dit nu typ, hoor ik ook hoe ik met mijn vingers over de toetsen 'dweil'.
Dat soort dingen worden allemaal gecategoriseerd, waardoor je een toets aan een geluid kan koppelen.
Meer info: Keyboard emanations

SHA-256 is geen encryptie, dat is een one-way hash. Het is niet mogelijk om uit die hash de originele input terug te halen, wat bij encryptie wel het geval is.

Volgens mij kun je het beste een bestand symmetrisch encrypten met behulp van een keyfile waardoor je een wachtwoordzin van bijvoorbeeld 1024 karakters hebt en deze file vervolgens middels een PKI-encryptie naar de beoogde ontvanger sturen. Hoef je niet eens een wachtwoord in te typen

Het verschil zit hem in de techniek en niet in de mate van inbreuk op de privacy. De tap en dergelijke zijn eenzijdig uit te voeren door de politie. Bij de keylogger moet je wachten tot de verdachte je een opening geeft (door vb de antivirus up te daten) wat voor vertraging zorgt en risico inhoud. Als politiedienst wil je niet wachten en dus zal je preventief de keylogger al installeren (en om hem te beschermen maak je er een rootkit van). Je zet hem enkel nog niet aan en dus is er geen inbreuk op de privacy. neen toch?

En wederom een klein stapje richting totalitaire politiestaat. Elk stapje is maar iets kleins, maar waar ligt de grens. Het eeuwige debat dat altijd zal blijven opflakkeren bij elke verandering in de technologie. Tenzij voor puristen/extremisten natuurlijk die gaan voor totale anarchie/totale controle.

@Punkie:
Je bent weinig consequent.... zoals je zelf al aangeeft, zit het verschil in de techniek, en niet in de mate van inbreuk op de privacy.

Hoe kun je dan in vredesnaam zeggen dat die een stapje in de richting van een totalitaire politiestaat is? Er veranderd immers niets aan de hoeveelheid inbreuk op privacy die de politie toegestaan is.

Maarja, van de andere kant wil je ook veilig kunnen leven, en als je dan de politie hun middelen afneemt moet je niet verwachten dat ze de criminaliteit/terrorisme/whatever kunnen terugdringen.. Het is in iedergeval hoe dan ook een moeilijk vraagstuk. Ik wil liever veilig leven (ofwel thuiskomen en dan niet er achterkomen dat het huis weer leeggehaald is, of dat je bankrekening ineens door een hacker leeggetrokken is).. Privacy is toch al highly overrated want privacy is niets anders dan een schijn van privacy, gegevens hebben ze toch al zonder dat jij het weet..

Je kunt natuurlijk ook voortaan het internet opgaan met een VMware sessie waarvan je iedere keer je snapshot terug zet.... dan bouw je in ieder geval geen hystorie op en de kans op virussen is ook nihiel

Check Point, het bedrijf achter ZoneAlarm, bekende echter dat zo'n verzoek op dezelfde manier behandeld zou worden als een vraag van een third-party vendor die in de whitelist opgenomen wil worden. Wat de procedure in dat geval is, werd echter niet verduidelijkt.
[...]
Het bedrijf is daarmee het enige dat toegeeft dat de mogelijkheid tot whitelisten van politietools bestaat.

Zoals ik het lees geven ze helemaal niet toe dat die mogelijkheid tot whitelisten van politietools bestaat. Het kan best zijn dat thirdparties nooit op de whitelist komen, ze geven het immers niet toe en ontkennen ook niet. Het blijft dus in het ongewisse wat ze doen en dus kan deze conclusie m.i. niet genomen worden.

[Reactie gewijzigd door PcDealer op 19 juli 2007 11:11]

Je spreekt jezelf tegen.

Het bedrijf is daarmee het enige dat toegeeft dat de mogelijkheid tot whitelisten van politietools bestaat.

Ze zeggen dat ze de normale procedure volgen bij een verzoek op gewhitelist te worden. Hiermee sluiten ze dus niks uit en blijft de mogelijkheid tot whitelisting bestaan. Het blijft dus in het ongewisse wat ze doen, maar de mogelijkheid blijft open.

Correct, ze geven aan dat de mogleijkheid tot whitelisten van applicaties bestaat, en dús ook voor politie- tools. Die maken echter dezelfde kans als 3rd-party vendors, en komen dus ook in dezelfde documentatie naar voren (ik kan me zo voorstellen dat bijvoorbeeld Symantec een mailtje schrijft met het verzoek pcAnyWhere standaard door te laten ofzo, en dat dat gedocumenteerd wordt in de handleiding.

Allene als de rechter vind dat de gebruikers niets mogen weten zullen ze dat niet in die documentatie opnemen.
Overigens wordt er niet gezegd wat de procedure is en óf er dan documentatie is, maar het klonk tot dusver best redelijk

Als ze iets niet bevestigen of ontkennen, is dat in feite hetzelfde als het bevestigen. Is alleen een politiek antwoord.

Mijn achterdocht denkt dan meteen dat het op deze manier ook mogelijk is om bv kinderporno op iemand zijn computer te zetten om hem zo zwart te maken.
Deze tactieken zijn zeker instanties als de FBI niet onbekend.

Jij weet dus echt niet waar je over praat...

Ik denk dat hij de CIA bedoeld.

Goeie manier om hits te krijgen: titel zegt "a", artikel zegt "bedrijven hebben nog nooit met a te maken gehad en waarschijnlijk zou de uitkomst dan b zijn, maar in theorie kan het a zijn".