Skype-encryptie onneembare horde voor Duitse politie

De Duitse politie is niet in staat de encryptie van Skype te breken, wat voor moeilijkheden zorgt bij het onderscheppen van voip-gesprekken van criminelen en terroristen, aldus een hooggeplaatste Politie-ambtenaar.

Skype en vergelijkbare voip-diensten zijn moeilijker af te luisteren dan de traditionele telefoonlijn omdat de werking erop berust dat spraak wordt omgezet in datapakketjes die afzonderlijk van elkaar een ingewikkeld traject afleggen langs een groot aantal routers. In tegenstelling tot veel andere voip-diensten versleutelt Skype het verkeer echter ook nog eens. 'De versleuteling van de Skype-telefoniesoftware bezorgt ons grote problemen', aldus Joerg Ziercke, het hoofd van Duitslands federale politiedienst. 'We kunnen het niet ontcijferen. Daarom proberen we bij de bron te komen voor de boodschap is versleuteld of nadat deze is ontcijferd', vertelde de politiefunctionaris tegen de journalisten.

Ziercke verklaarde er niet op uit te zijn om Skype te dwingen encryptie-sleutels te overhandigen of backdoors open te laten voor de Duitse of andere autoriteiten. Het is lastig zwakke plekken in het encryptiesysteem van Skype te vinden, aangezien de broncode niet openbaar is. Tot dusver is er geen aanvalsmethode bekend om de beveiliging te breken.

Volgens Ziercke is het dringend nodig dat de Duitse politie in enkele speciale gevallen de harde schijf van mogelijke terroristen kan doorzoeken door middel van trojans. Deze vorm van onderzoek zou met name nodig zijn in die gevallen waarbij de verdachten vermoeden dat hun verbinding wordt getapt en daarom gevoelige informatie op de schijf houden en bijvoorbeeld niet e-mailen. Het doorzoeken van computers met behulp van spyware is echter niet toegestaan in Duitsland.

Reacties (68)

[killercow]

Ok,

Dus je bent verdacht, dus nog niet veroordeeld want er is geen bewijs.
En toch willen ze bevoegdheden om op je computer in te breken en trojans te plaatsen?

Ik zal niet nazi's gaan roepen, want de nazi's deden dit niet, maar Hoeveel stappen ben je nog echt weg van een totalitair regime als je:

Mee moet werken aan je eigen veroordeling (groot britannie)
Privacy grondig geschonden wordt om informatie tegen je te verzamelen (duitsland)
De politie onwettig samenwerkt met private bedrijven, en onwttige invallen doet om je een stok in de spaken te steken (raid op piratebay sweden)
De overheid wil gaan bepalen welke sites je wel en neit mag bezoeken (nederland)
De overheid je per definitie als crimineel ziet als je encryptie gebruikt die ze niet snappen (oppakken TOR admin duitsland)
Al het verkeerd opgeslagen moet worden om achteraf de criminelen er uit te dataminen (europa)

De justitie in europa snapt de digitale "revolutie" niet, ze lopen 10 jaar achter en proberen nu de wetten zo te veranderen dat ze er wel grip op krijgen. Wat ze niet snappen is dat ze hiermee ook talloze burgerrechten opschorten. Rechters en advocaten die email nog niet snappen maken hier de beslissingen over en zo komt justitie er nog mee weg ook.

Deze post zou in het ergste geval van een totalitaire staat mij tot een huiszoeking bevoorrechten, dus zo erg is het gelukkig nog niet, maar ey, what's next en vooral, waar is het einde.

[Verwijderd]

op reden van verdenking mogen ze je ook afluisteren, in de gaten houden en al die grappen. Vroeger bouwde de politie een afluisterzender in je mobiele telefoon. Ik gok dat dit ondertussen verschrikkelijk achterhaald is, en ze gewoon rechtstreeks je gesprekken afluisteren.
Hoe dan ook, als ze je verdenken van iets mogen ze ook je huis intrappen en alles ondersteboven halen.

Je werkt niet mee aan je eigen veroordeling, want je weet niet dat het gebeurd. Was het maar zo'n feest. Kocht je een laptop ernaast op de zwarte markt en doe je daar al je schaduwachtige klusjes mee.

[The Zep Man]

Hoe dan ook, als ze je verdenken van iets mogen ze ook je huis intrappen en alles ondersteboven halen.

Een rechter zal nooit een huiszoekingsbevel afgeven tenzij er al duidelijke sporen aanwezig zijn. Ook al staat de politie voor je deur en ze vragen of ze 'even rond mogen kijken'... altijd 'nee' antwoorden. Al doe je dat niet offer je letterlijk je eigen rechten op, of ze nu iets bij jou te zoeken hebben of niet.

[Verwijderd]

De justitie in europa snapt de digitale "revolutie" niet, ze lopen 10 jaar achter en proberen nu de wetten zo te veranderen dat ze er wel grip op krijgen. Wat ze niet snappen is dat ze hiermee ook talloze burgerrechten opschorten. Rechters en advocaten die email nog niet snappen maken hier de beslissingen over en zo komt justitie er nog mee weg ook.

Dus als ik het goed begrijp: als jij wordt opgelicht, gechanteerd of op wat voor manier dan ook door een liefdevolle burger een erg vervelende hak wordt gezet, maar de politie maar zeer moeizaam verderkomt omdat die slimmerik zo slim is om alles wat digitaal is te versluieren... Dan zul je nog steeds vasthouden aan het principe van privacy en dat niemand daar inbreuk op mag maken? Of huur je een mediageil figuur als Peter R. de Vries in die vanwege zijn privéstatus op een bepaalde manier meer mag dan een politiebeambte en gewoon alsnog trojans installeert of informatiebronnen omkoopt?

Ik vrees eigenlijk dat men de revolutie wel degelijk snapt. Dat is het probleem nou juist. Ze begrijpen dat met versluiering gegevens onmogelijk te achterhalen zijn: nu niet, en ook in de toekomst niet. Het is niet ondenkbaar dat met toenemende digitalisering van de samenleving het steeds lastiger wordt om dat te achterhalen. Ik vind het eerlijk gezegd niet zo slim dat je meteen met woorden als nazi's en totalitaire regimes begint te strooien zonder je af te vragen wat digitale versluiering betekent voor het geval dát het misgaat---in een gewone, normale opsporingszaak, wel te verstaan.

Voordat hordes rabiate en schuimbekkende tweakers mijn bijdrage aan flarden scheuren: de overheid mag niet bepalen wat ik mag zien of niet; en dat gedoe met het opslaan van verkeersgegevens is waanzinnig omdat het met een atoomwapen schieten op een mug is. Maar versluiering van normale telefoongesprekken, hoe zinnig dat ook is gezien het communicatiemedium... Er mag best eens rustig over de gevolgen worden nagedacht, zonder hysterie, en als daar wetsaanpassingen uit voorkomen, dan moet dat maar. Ik ben niet de grootste fan van de politie, en heb ook niet een al te hoge dunk van hun kunnen, maar het idee dat er allerlei kopieën van Peter als loose cannons gaan rondwroeten vind ik persoonlijk nog enger.

[ernstblaauw]

Ik ben het helemaal met je eens. Maar in NL lijken alle politieke partijen mee te waaien met de meer-terroristen-dus-minder-vrijheden-wind. Welke partij is tegen het inperken van alle burgerrechten?

[FreezeXJ]

Het punt, zoals cymric hierboven al vermeldt, is dat de overheid en de 'terroristen'/criminelen het digitale leven al wel beginnen te snappen, maar de gewone burger nog niet. Als je het ontsleutelen van informatie onmogelijk wilt maken, is het heel simpel : alles wat je hebt en verstuurt versleutelen. Is het onmogelijk geworden om uit te vinden wat wat is, en maak je het je overheid extra lastig.

Langzamerhand beginnen we namelijk in een ongelofelijk onhandige situatie terecht te komen dat je data wiskundig gegarandeerd veilig is voor x tijd, en dat opsporing het nakijken heeft. In zulk soort gevallen zal justitie hackers, wiskundigen en medewerkers van bepaalde bedrijven nodig hebben om uberhaupt nog iets aan bewijsmateriaal te verzamelen, laat staan dat een rechter het kan interpreteren.

(oh, het zal niet echt zo'n vaart lopen, maar we moeten er wel rekening mee houden)

[humbug]

Dus je bent verdacht, dus nog niet veroordeeld want er is geen bewijs.
En toch willen ze bevoegdheden om op je computer in te breken en trojans te plaatsen?

Gaap.

Het is nog veel erger, ze kunnen je huis binnenvallen en doorzoeken of je zelfs in de gevangenis zetten. Sorry hoor, de politie heeft het recht om onderzoek te doen naar misdrijven. En daarvoor heeft de politie bepaalde rechten nodig. Ja die rechten zijn in tegenspraak met je vrijheden en mogen dus niet willekeurig gebruikt worden maar slechts na toestemming van een rechter.

Lijkt me niets mis mee. Je zou een punt hebben als men al het dataverkeer van iedereen gaat monitoren. Maar in dit geval is het weer typische Tweaker paranoide gebrabbel

[killercow]

Nee dat kunnen ze niet, daarvoor moeten ze eerst van eenr echter toestemming krijgen.

Oh en over dat stukje dat ze alle dataverkeer monitoren?
They do!
of denk je dat echelon en carnivore niet bestaan en alleen maar een soort grapje zijn van de paranoide mensen?

[Verwijderd]

"Dus je bent verdacht, dus nog niet veroordeeld want er is geen bewijs.
En toch willen ze bevoegdheden om op je computer in te breken en trojans te plaatsen?

Ik zal niet nazi's gaan roepen, want de nazi's deden dit niet, maar Hoeveel stappen ben je nog echt weg van een totalitair regime..."

Allicht, je zult eerst bewijzen moeten verzamelen als je iemand wilt veroordelen. De volgorde die jij noemt slaat nergens op in elk geval. Als er reden is tot verdenking is het logisch dat ze toestemming willen om informatie te mogen verzamelen, met die informatie kan dan een eventuele rechtszaak worden aangespannen.

Informatie verzamelen kan door toestemming te krijgen van de rechter om een telefoonlijn af te tappen, of door afluisterapparatuur te plaatsen of zoals de Duitser al aangeeft door een trojan te gebruiken om op de harde schijf van een verdachte rond te neuzen. Dit alles met toestemming van een rechter die vind dat er voldoende reden is tot verdenking natuurlijk.

Je zou imo zelfs zo ver kunnen gaan dat het "afluisteren" van de harde schijf middels een trojan equivalent is aan het "ouderwetse" afluisteren van telefoongespreken etc.

[jhellingman]

Mogelijk kunnen ze Skype wel ontsleutelen, maar mogelijk andere producten (Zfone; http://zfoneproject.com/) niet. Dan is het een handige strategie je tegenpartij daarover te misleidden.

Als het om beveiliging van belangrijke gegevens gaat is het niet erg slim om te vertrouwen op systemen die je niet kunt doorgronden. Daarmee vallen closed source oplossingen zoals Skype automatisch al af. Helaas is ook een project als Zfone niet makkelijk te doorgronden zonder een behoorlijke studie cryptografie.

Voordat je je geheimen prijsgeeft aan versleuteling heeft het zin je te verdiepen in wat je wil beveiligen, en wat de zwakke punten zijn. Meestal is dat niet de crypto zelf, maar het wachtwoord dat mensen gebruiken. 80% van de wachtwoorden is binnen een paar dagen te achterhalen door te zoeken met een woordenboek, aangevuld met fragmenten van strings die zijn aangetroffen op de hard-disk van de machine waarop ook de encryptiesoftware is gebruikt. Regelmatig staan wachtwoorden gewoon kant-en-klaar in het swap file van Windows te wachten.

[Verwijderd]

Aan de andere kant van het spectrum wordt kennelijk ook onderzoek gedaan. Zojuist verschenen berichtje:
http://computerworld.co.n...D78F1AB66CC25739B0064C9A6

Dit verklaard wellicht ook waarom de Duisters graag een trojan willen kunnen gebruiken....

[Bacchus]

Phil heeft natuurlijk ook wel een naam te verdedigen op het gebied van crypto-toepassingen. De code van zijn zFone is gebaseerd op bewezen standaarden en staat ook open voor peer-review. Daardoor heb ik wel meer vertrouwen in zijn oplossing. Dat wil niet zeggen dat ik denk dat de beveiliging van Skype lek is, het zal ongetwijfeld de minder onderlegde of gemotiveerde aanvaller buiten de deur houden maar mocht ik regelmatig over serieus vertrouwelijke zaken moeten telefoneren dan kies ik toch voor zFone.

[Entity_Razer]

ik ben een rechtschapen persoon, ik doe niet mee aan criminele activiteiten (ofc heb'k wel eens een liedje gedown't... doet iedereen hier op tweakers ook ooit wel eens) maar het idee achter de encryptiekeys vrijgeven vind ik persoonlijk bagger.

'k ben geen "tinfoil hat"r maar heel die datamining zever die er de laatste tijd aan de gang is begint me echt te storen.... Het is zoals eerder hier gezegd, schieten op een mug met een nuclear wapen....


Trouwens, als je echt achter de "grote jonges" aan wilt gaan dan ga je volgens mij niet werken met gecentraliseerde applicaties of derglijke maar zullen die jongens ook wel gebruik maken van TOR of allerhande encryptiekeys, of gewoon een VPN tunneling systeem opzetten me dunkt.... SSL encrypted, tunneling en zo een eigen datanetwerk uitbouwen lijkt me niet zo onhaalbaar... wel redelijk onhaalbaar om te decoden/ontcijferen, dat wel.

Trouwens, als je niet wilt dat iemand achter je info aan komt smijt dan gewoon heel je HDD in een truecrypt hidden partitie en be done with it effectief op zijn minst.

[Verwijderd]

Laat ze contact opnemen met China. Deze heeft d.m.v. reverse enginering het Skype protocol volledig gekraakt. Stond zelfs een tijdje terug in Tweakers.
nieuws: Chinees bedrijf claimt Skype-protocol gekraakt te hebben

[Reactie gewijzigd door Verwijderd op 23 juli 2024 09:55]

[MBV]

Ik heb een jaar geleden ofzo een verslag van een black hat hackers-conferentie gezien, waarin een man-in-the-middle-attack stond uitgewerkt. Skype gaat ervan uit dat iedereen die skype-ish spreekt, ook daadwerkelijk skype is. Dankzij het p2p-karakter van Skype kan je je voordoen als 'server', zolang je maar skype spreekt. Dat wordt dan je man-in-the-middle

_{Het zou ook fake kunnen zijn, maar daar zag het iets te ver uitgewerkt voor uit}

[edit]
Gotcha!
http://www.blackhat.com/p...di/bh-eu-06-biondi-up.pdf

* MBV werkt op linux, dus als zo'n black-hat een trojan in de PDF heeft gestopt heb ik een stuk kleinere kans op problemen

[Reactie gewijzigd door MBV op 23 juli 2024 09:55]

[deef-]

Het is lastig zwakke plekken in het encryptiesysteem van Skype te vinden, aangezien de broncode niet openbaar is.

Was de news-poster zelf bij deze uitspraak? Dit staat namelijk niet in het artikel en komt op mij over alsof dit volkomen uit de lucht gegrepen is!

Of openbare broncode voor onveilige situaties kan zorgen hangt af van de kwaliteit van de code, het algoritme en de meeste open source liefhebbers geloven juist het tegenovergestelde.

[Reactie gewijzigd door deef- op 23 juli 2024 09:55]

[arjankoole]

er zijn situaties denkbaar waarbij het hebben van de sourcecode inderdaad tot het breken van de encryptie kan leiden. Idem als je de algortimes hebt.

Er zijn volgens mij ook gevallen, zoals volgens mij GPG/PGP, waarbij het niet het geval bleek te zijn de encryptie te kraken als de bron en algoritmes gewoon bekend waren.

[killercow]

Bij een goede encryptie kun je hoogstens foutjes in de implementatie van het algoritme vinden door de broncode te bekijken,

Ik ga er vanuit dat skype een wiskundig veilige encryptie gebruikt.

PGP is ook weiskundig veilig, je kan echter wel foutjes in de clients vinden die misschien nog niet ge-encrypte informatie of keys lekken

[Reactie gewijzigd door killercow op 23 juli 2024 09:55]

[Verwijderd]

Vraag mij af waarom men zoiets in het nieuws brengt? Als het waar is dan breng je mensen op ideeën en als het niet waar is (dus ze kunnen het wel relatief makkelijk onderscheppen) hopen ze op een makkelijk manier goedgelovige mensen te pakken.

Ik denk dat dit gewoon een 'reclame' artikel is om mensen warm te krijgen om meer bevoegdheid te geven om privacy weg te nemen bij de burger.

[YopY]

óf ze hebben een manier gevonden om telefoongesprekken via Skype af te luisteren en proberen zo criminelen een gevoel van schijnveiligheid te geven en daardoor Skype te laten gebruiken.

[bartvb]

Dit soort berichtgeving wordt inderdaad meestal de wereld in gestuurd in de hoop dat de politiek zich er druk over gaat maken. "Ooh, wat erg. De criminelen zijn slimmer dan de politie, laten we de politie meer bevoegdheden geven zodat we weer rustig kunnen gaan slapen". Iets van die strekking zeg maar

[Zapato]

Of ze laten je denken dat ze het niet kunnen kraken.

[Verwijderd]

of ze zeggen dat ze het niet kunnen, zodat mensen gaan denken dat ze het wel kunnen terwijl ze het helemaal niet kunnen.....

hier zal toch andere wetgeving voor moeten komen, van encrypted bestanden kun je passwords eisen, dit heeft geen nut met skype.

[Verwijderd]

Dat je dat kan is echter al vreemd genoeg, aangezien de wet je beschermt door te stellen dat je niet hoeft mee te werken aan je eigen veroordeling. Precies wat is het opgeven van wachtwoorden dan?

[Bonez0r]

Inderdaad. Ik meen mij te herinneren dat Skype wel degelijk aftapbaar was en dat dit ook een punt van kritiek was vanuit de internet community. Is die encryptie onlangs geïntroduceerd ofzo?

In ieder geval is het closed source en dus niet te zeggen of het echt veilig is.

[Reactie gewijzigd door Bonez0r op 23 juli 2024 09:55]

[Verwijderd]

Als je je vrijheid inruilt voor veiligheid, zul je geen van beide ooit hebben.

[YopY]

Als je gewoon en normaal doet ipv een crimineel en/of terrorist te zijn, krijg je waarschijnlijk nooit te maken met afluisterpraktijken e.d. De politie gaat heus niet iedereen afluisteren (tenzij je in de VS woont) zonder dat ze daarvoor een goeie reden en/of redelijke verdenking hebben.

[Verwijderd]

in nederland worden er meer mensen afgeluisterd dan in de vs....

wat wel grappig is aangezien hun er bijna 300 miljoen inwoners hebben... en wij???

en wij maar met zo'n grote vinger wijzen naar amerika

[Verwijderd]

Bron?

[wildhagen]

Gewoon even zoeken, dan vind je bijvoorbeeld dit: http://archief.trouw.nl/artikel?REC=tr-19971230-000002950

Nederland doet 10x zoveel telefoontaps als in de hele VS gebeurt. We zijn bijna koploper in de hele wereld hiermee, alleen in Italie word nog meer afgetapt. Zie http://www.nu.nl/news.jsp?n=355855&c=13

[Verwijderd]

Nee. In Nederland worden per 10.000 inwoners wel meer mensen afgeluisterd. Nog steeds erg maar niet in de proporties die jij zegt

[mae-t.net]

Nou, je kan wel zeggen "als je braaf bent heb je er geen last van", maar is dat in het algemeen wel zo? De tegenargumenten zijn hetzelfde als bij "privacyschending, ik heb toch niets te verbergen?" Want wat nu braaf is, is dat volgend jaar misschien niet. Of er is sprake van een foutje en je wordt opeens opgepakt. Ja, dan laten ze je met wat geluk en veel excuses wel weer vrij, maar ondertussen ben je opgepakt geweest en hebt daar schade van.

Nee, afluisteren moet wel kunnen, maar dan aleen met een uitdrukkelijk gerechtelijk bevel, en we moeten het vooral niet zo eenvoudig maken dat men er te pas en te onpas naar kan grijpen.

Hoe je in dat verband met encryptie om moet gaan weet ik nog niet helemaal zeker, maar het lijkt me niet wenselijk en ook tegen het principe van encryptie ingaan om daar dan maar achterdeurtjes in te bouwen. Het resultaat is dan dat de terroristen wat veiligers zoeken, en de gewone burger alsnog de lasten draagt van een op zijn best zinloze maatregel.

[ASS-Ware]

Wel of geen encrytpie of decryptie, sleutels of niet, voip is leuk, maar als je niet zeker weet if het slim is om te gebruiken, dan gebruik je het niet.
Een stoute man of vrouw haalt gewoon een top-up SIM kaartje zonder registratie en gaat lekker bellen, zie die maar eens op te sporen.

[Bacchus]

Is vrij simpel hoor, zodra je de locatie van het toestel weet valt de registratie wel te peilen. De encryptie van GSM is natuurlijk een lachertje en loopt sowieso slechts tot de mast. Er zijn prima secure GSM's, al moet je dan natuurlijk wel de fabrikant op zijn blauwe ogen vertrouwen.