Adviesrapport overheid: internettap is eenvoudig te omzeilen

Een adviesrapport meldt aan het Ministerie van Economische Zaken dat een deel van de telecommunicatiediensten en -netwerken niet is af te tappen. Hierdoor kunnen criminelen nog altijd ongezien met elkaar communiceren.

Het rapport genaamd 'Grenzen aan de aftapbaarheid?' is opgesteld door Stratix Consulting in opdracht van het Ministerie van Economische Zaken. De site Bigwobber heeft het document gepubliceerd. In het rapport staat dat het overgrote deel van de communicatie tussen personen via elektronische netwerken nog steeds goed aftapbaar is. Tegelijk noemen de opstellers een aantal ontwikkelingen en knelpunten die het aftappen bemoeilijken of zelfs onmogelijk maken.

"Met de toenemende rekenkracht van pc’s en andere apparatuur wordt het steeds eenvoudiger om de communicatie te versleutelen", staat er bijvoorbeeld. Als voorbeelden worden Skype en telefoons met ingebouwde versleuteling genoemd. Ook wordt gewezen op de toename van gratis diensten die het aftappen lastig maken: "De eindgebruiker registreert zich voor gratis en anonieme diensten met een gebruikersnaam en wachtwoord, en niet met een telefoonnummer of ip-adres." Een ander knelpunt zou de groeiende datastroom zijn, die mogelijk nog gaat toenemen door iptv.

Ook staat in het rapport dat er juridische haken en ogen zijn. Zo zou niet duidelijk zijn wat in de Telecommunicatiewet onder 'openbaar' moet worden verstaan. Openbaar wordt gelijkgesteld aan 'voor het publiek beschikbaar', maar het is niet duidelijk in hoeverre een specifieke doelgroep als 'het publiek' mag worden beschouwd. "Zo kan een café bijvoorbeeld via hotspots een dienst aan zijn gasten leveren, die niet voor het publiek bestemd is", terwijl ook gsm-diensten in het vliegtuig worden aangehaald.

Traditionele vaste en mobiele telefonie is nog steeds goed aftapbaar en het gedeelte van de telecommunicatiediensten en –netwerken dat dit niet is, is klein, luidt de conclusie van het rapport, 'maar dit levert wel mogelijkheden voor slimme criminelen om te communiceren via diensten die vanuit de Telecomwet niet goed af te tappen zijn.'

"Ik wil dat de Tweede Kamer kennisneemt van de inhoud het rapport, niet omdat er nu zoveel nieuws in staat, maar omdat het een zinvol document voor de discussie over de noodzaak van tappen is", zegt SP-kamerlid Arda Gerkens tegen Tweakers.net. "Omdat er in Nederland zoveel getapt wordt, moet de conclusie luiden dat er of veel zinloos getapt wordt of dat er juist veel getapt moet worden om de criminelen toch op het spoor te komen, die zich nu onttrekken aan het aftappen." Gerkens wist onlangs af te dwingen dat de afluisterstatistieken van de AIVD en MIVD openbaar worden gemaakt. "Het aantal internettaps is overigens niet bekend. Onlangs werd een schatting gemaakt van een paar honderd per jaar en de minister verklaarde toen dat dit schromelijk overdreven was, maar ik denk dat dit aantal nog aan de voorzichtige kant is."

Reacties (62)

[87Vortex87]

Tja, het is natuurlijk nog een heel jong rechtsgebied.

"Openbaar wordt gelijkgesteld aan 'voor het publiek beschikbaar', maar het is niet duidelijk in hoeverre een specifieke doelgroep als 'het publiek' mag worden beschouwd."

Het gaat dus om het verschil tussen openbaar en niet-openbaar. Ik zou zeggen dat alle toegangspunten waarvoor geen persoonsgebonden registratie voor toegang plaatsvindt, openbaar is. Dan is het onbeveiligde netwerk van de buurman ook openbaar.

Hoe kun je dan, zonder een persoonsgebonden registratie, in een café internetten? Ik zou zeggen dat er dan sprake is van een beperkt openbaar netwerk. Hierdoor krijgt men dus geen twee-scheiding, maar een drie-scheiding. Op deze manier kan men enerzijds het internet afschermen van de openbaarheid en anderzijds heeft men geen persoonsgebonden registratie nodig.

Dus:
- niet-openbaar; persoons- of ipgebonden registratie;
- beperkt-openbaar; niet-persoonsgebonden registratie;
- openbaar; niet-geregistreerd.

[Reactie gewijzigd door 87Vortex87 op 22 juli 2024 18:20]

[Raindeer]

grmbl, wat een onzin, niet het rapport, dat kun je wel aan Stratix overlaten, maar de berichtgeving... We communiceren veel meer en sommige info is niet te ontsleutelen voor politie en justitie. Ja en?

1. De meeste beroeps criminelen zijn dom en niet technisch. Als ze slim waren deden ze wel echt werk
2. Een groot deel van de criminele acties wordt door amateurs uitgevoerd, crime passionel etc.
3. Zelfs slimme boeven laten wel eens een steekje vallen en grote criminele organisaties hebben niet de macht om iedereen altijd alle veiligheidsmaatregelen in acht te laten nemen. Net mensen en net echte bedrijven.
4. Je zit niet te wachten als tapper op een volledige bekentenis. Je hoopt alleen dat de maitresse zegt.. schat kom je deze week wel, vorige week was je er ook al niet... terwijl ze tegen jou als onderzoeker gezegd heeft dat de boef haar alle kanten van de kamer heeft laten zien in horizontale en verticale positie en met uitwisseling van lichaamsvocht..

Wat levert dit op:
1. Dat in een groot aantal gevallen je onversleutelde gesprekken krijgt waar je wat aan hebt
2. Dat zelfs als er van versleuteling gebruik gemaakt wordt, sukkels altijd fouten maken. Bv voor het opzetten van de VPN nog snel even googlen waar je iets kunt afleiden, bv een locatie op google maps
3. dat in geval van versleuteling het kennen van de endpoints best interessant kan zijn.
4. Dat het combineren van gegevens over verschillende communicatiemogelijkheden en boeven heen vaak nog veel meer op levert.

Tappen jongens, er komt zoveel bij kijken, dat je vaak wel wat vangt

[Bilel]

1. In deze samenleving wordt er gekeken naar diploma/papieren en niet naar IQ/kennis voor wie 40u/week productiewerk geen uitdaging is.
2. Een crime passioneel is een zaak waarbij iemand overemotioneerd raakt en iemand vermoord. Hierbij komt meestal geen post-communatie te pas. (vb: "Hey Bert, Mike hier. Heb net mijn vrouw vermoord, vet of niet dan!?).
3. Hoe meer middelen je hebt om fouten te ondekken, hoe meer kennis je hebt om verder in een zaak te komen.
4. Een tapper wacht niet op een bekentenis? Die hoef ik niet eens uit te leggen, of wel?

On-topic: Vind het wel fijn dat de overheid bepaalde limieten heeft, dat betekend dat hackers ook wel een grote achterstand zullen hebben en dat er veel middelen zijn om data veilig te uploaden/downloaden zonder dat iemand achter de content komt. Dan wil ik ook wel eens zien hoe hard die kinderpornofilters gaat falen waneer deze eenmaal uitkomt.

[Reactie gewijzigd door Bilel op 22 juli 2024 18:20]

[Verwijderd]

Ik begrijp iets niet. Dit wisten we al, alleen is er weer een of andere pief in Den Haag die geld uit wil geven om dit te onderzoeken. De overheid snapt niet dat aftappen alleen maar zorgt voor nieuwe technieken die aftappen en afluisteren lastiger maakt. Misschien ben ik dom, maar als je gewoon geen melding maakt over welke stappen je als overheid wilt nemen om af te kunnen tappen, dan wordt het alleen maar eenvoudiger omdat niemand weet hoe ver de techniek van de overheid is gevorderd....Het is maar een tip hoor...

[Rob Coops]

Ja ik denk dat je helemaal gelijk hebt als crimineel zou ik nooit op het idee komen een maatje van me die toevallig wat kennis van computers en zo heeft te vragen hoe dat soort dingen nu gebeuren en als hij het dan niet weet dan houd het meteen op. Dan kan ik er ook niets meer aan doen als ik en mijn hele boevenbende gepakt worden omdat we zo makkelijk af te luisteren waren...

Ehm, nou nee zo werkt het dus niet. 99% van alle afluister oplossingen die worden toegepast zijn gewoon onderdeel van de handleiding van het apparaat dan wel onderdeel van de beheers cursus die de fabrikant aanbied. Een crimineel die genoeg te verbergen heeft zal het echt niet moeilijk vinden om mensen die deze trainingen gehad hebben te overtuigen even uit te leggen hoe je hier om heen kunt werken.
Dingen worden niet veiliger door dat minder mensen weten hoe ze werken alleen maar duurder om te onderhouden omdat je alleen mensen met een voldoende background check kunt gaan trainen om met de dingen om te gaan.

De overheid moet beseffen dat mensen nu eenmaal niet afgeluisterd willen worden en dat het dan ook steeds minder nut heeft om te proberen dit te doen omdat mensen steeds meer kennis hebben van het geen ze doen. Vroeger toen we allemaal nog een telefoon verbinding van de staat af mochten nemen en er geen mobiele telefoon te vinden was was dat natuurlijk een geheel ander verhaal. Maar tegenwoordig waar iedereen een eigen computer in huis heeft, een mobiele telefoon in zijn broekzak en voldoende kennis van beide apparaten om ze te gebruiken op een veilige manier. Https, vpn tunnels naar het buitenland (nooit binnen nederland omdat de aanbieders waarschijnlijk onder de aftap wet vallen of de wet overtreden door gewoon mee te werken met de overheid) tor netwerk voor het geval dat de server in nederland staat en er daar iemand de logs op weet te vragen. Skype voor telefoontjes, en als het even kan een goed beveiligde computer om trojans en andere vervelende dingen te voorkomen... Op je telefoon ook gewoon skype gebruiken en bellen via wifi als je belangrijke dingen wilt bespreken.
De overheid is helaas nog lang niet in het digitale tijdperk aan beland en heeft nog geen idee wat 90% van deze termen betekend en alleen al om die reden zullen ze nooit willen accepteren dat tappen steeds onzinniger aan het worden is.

[Korben]

Maar tegenwoordig waar iedereen een eigen computer in huis heeft, een mobiele telefoon in zijn broekzak en voldoende kennis van beide apparaten om ze te gebruiken op een veilige manier.

Sorry hoor, maar bijna niemand is zo paranoïde dat ze dat allemaal doen, en slechts een heel klein deel van de bevolking weet hoe je afluistering kunt omzeilen met de oplossingen die jij noemt. Alles bij elkaar zijn er weinig mensen bij gebaat.

[Delgul]

Ja maar degenen die het moeten weten, die weten het al lang natuurlijk. Kwestie van een een paar uurtjes Googlen en wat kennis.

Die kennis koop je in. Dat doe je nadat het eerste bericht over internet taps je netvlies raakt als 'goede' crimineel. Dus dat is al jaren goed geregeld.

De enigen die je nu nog pakt is de beginnende pedofiel die stomweg erop Googelt of zo. En die tap je nooit want daar heb je dan nog geen reden voor. Dus met andere woorden: De groep die je _wilt_ vangen zit je uit te lachen en de groep die je er mee _kunt_ vangen die tap je niet vanwege het feit dat die onder de radar blijft.

Alles wat je er mee doet is het leven van Internet providers zuur maken. Dat drijft onze kosten weer op. Dus uiteindelijk betalen wij weer eens geld voor een maatregel die niks op levert. Eigenlijk niks nieuws dus

[Guru Evi]

Behalve dan de fabrikanten van de soft/hardware die zulke diensten levert. Net zoals de RIAA het pakketje Audible Magic aanbiedt aan universiteiten zodat ze geen aanklachten meer hoeven krijgen. Er zijn een heel stel bedrijven die software en hardware aanbieden die in zichzelf niets of niet veel doet en daar miljoenen voor vraagt.

Je kunt enkele vertegenwoordigers in het parlement/ministerie aankopen (lobbyen) voor een grove 50k, zij maken er een wet of een stichting voor en verkopen dan het contract aan ditzelfde bedrijf die de belastingbetaler er 50mil voor aanrekent.

[Vetsmelter]

Noem je dat al Paranoide? En wat als er reeds een tap op Skype zat?

[Verwijderd]

Https, vpn tunnels naar het buitenland (nooit binnen nederland omdat de aanbieders waarschijnlijk onder de aftap wet vallen of de wet overtreden door gewoon mee te werken met de overheid) tor netwerk voor het geval dat de server in nederland staat en er daar iemand de logs op weet te vragen.

Gewoon de VPN tunnels op je eigen PC/router en tegenpartij PC/router laten eindigen dan hebben ze niets aan de opgevangen encrypted data.
Lijkt mij dat een beetje crimineel ook wel raad weet met deze technieken, de domme daargelaten natuurlijk.
Zat gisteren nog de Duitse versie van Opsporing verzocht te kijken en het verbaasde me hoe dom sommige criminelen toch zijn, gewoon lachwekkend soms (bank binnen lopen zonder camouflage met revolver in de hand).

[Verwijderd]

In dat geval weet degene die taps zet dus precies met wie je communiceert. Het enige wat ze dan nog hoeven doen is de encrytie ontcijferen en als MITM alles afvangen.

Directe VPN verbindingen zullen de 'echte' badguys dus niet gebruiken. Ik geloof eerder in anonimiserings diensten als TOR, of encrypte VPN's naar anonieme gateways in een bananenrepulbliek waar geen logs worden bijgehouden over de verbindingen die gemaakt worden.

[Tha_TE]

Het probleem in Den Haag is dat ze beslissingen nemen over dingen die buiten hun (mentale) bereik zijn. Ze weten gewoonweg niets van het onderwerp af. Elke willekeurige informaticus zou zonder onderzoek tot dezelfde conclusie zijn gekomen.

[rob12424]

Nee het probleem is iedereen weet het wel maar ze willen koste wat het kost bewijs en als er dan foute dingen uitkomen wil niemand er voor opdraaien.
Stel je zit in de regering ik weet bijv. deze info maaruhm ja als er toch iets fout gaat door zo´n wet kan ik altijd zeggen ja maar ik heb het wel laten onderzoeken en zo de schuld (deels) afschuiven.

Maar ja iedereen weet ook dat nadat er zo´n rapport is uitgekomen er ook weer vast 10 nieuwe methodes ontwikkeld zijn!

Maar ja dat is de regering soms net zoals met die parlementaire enquêtes ze onderzoeken een fout die bijv. 3 miljoen kost, het onderzoek zelf kost alleen bijv. 6 miljoen.
En aan het einde van de rit is het foei! En boetes of wat dan ook ho maar?!!

[Hoover]

ssst.. direct horen ze over je suggestie.

[arie_papa]

Security through obscurity, tja, of dat nou het gouden ei is.

[Domokun]

Vreemd, Gerkens is blijkbaar tegen het veelvuldige tappen in Nederland en ondertussen is ze de voorzitter van de werkgroep Auteursrecht waar gepleit wordt voor een downloadverbod. Nogal hypocriet dit.

[FreezeXJ]

Er zijn andere manieren om downloaders op te sporen dan heel Nederland tappen. Ze heeft 'gewoon' 3 baantjes, en zo lang ze haar werk in beide commissies goed doet, zie ik geen aanleiding voor problemen.

[miw]

De voorzitter verwoordt het meerderheidsstandpunt van die commissie, want niet hoeft te betekenen dat ze het ermee eens is. Wat betreft privacy en internet is het verkeizingsprogramma van de SP best zinvol. Over het auteursrecht en internetfilters is de SP minder uitgesproken en heeft het ook wel eens rare standpunten ingenomen.

[Triqster]

De groep mensen die niet willen dat er 'meegeluisterd' vinden toch altijd wel een manier waarmee het (practisch) onmogelijk is om getapt te worden (VPN, SSH tunnel etc).

Dit betekend natuurlijk niet dat het deze groep niet zo lastig mogenlijk gemaakt moet worden.

[Floort]

Het grootste probleem is niet de inhoud, maar met wie je communiceerd. Stel dat Pieter de B. een verdacht persoon is en ik heb veel contact met Pieter ben ik vrijwel direct verdacht. Gebruikt ik encryptie kom ik gelijk ergens bovenaan het verdachtenlijstje te staan.

Waarschijnlijk zijn de meeste internet/telefoontaps niet eens direct bedoeld voor het directe afluisteren, maar puur voor het in kaart brengen van de social graph. De inhoud komt wel als je echt belangrijk bent.

[KiLLerS]

de persoon met wie je communiceert maakt niks uit, op dit moment kun je door 5 publiek proxies, het tor netwerk en nog een behoorlijk aantal betaalde vpn diensten in vage landen, op zo veel plekken verdwijnen. Als je al zo dom bent om direct naar iemand te connecten met vpn als je iets te verbergen hebt, kun je net zo goed geen vpn gebruiken. Om te kunnen omzeilen met wie je communiceert, gebruik je eerst meerdere jump dozen. dus Zender -> ssh vpn a -> ssh vpn b -> ssh vpn c -> ontvanger. En tja als die shared ip hebben, houdt het helaas op met tappen

[Yzord]

Ach criminelen werken nu met een hele andere techiek als wat de 2de kamer denkt. Een techniek die door de lesgevende rechercheur werd bestempeld als "niet traceerbaar". Het zou de tappende diensten heel erge koppijn bezorgen.

Ik ga nu maar even niet in details treden, maar dit is verteld door een rechercheur die bij ons een lezing kwam houden tijdens een ICT uitje.

Tappen en encrypten is zowat al verleden tijd. En wees eens eerlijk...uiteindelijk is het de overheid die achter de feiten aan blijft lopen.

[Reactie gewijzigd door Yzord op 22 juli 2024 18:20]

[FreezeXJ]

Daar maak je dus de fout, je valt op (met je reactie). Communiceren in het geheim = je data niet op laten vallen _en_ encryptie. Zodra Microsoft standaard encryptie inschakelt bij MSN, hangt het hele systeem. Waarom? Omdat men simpelweg niet de kracht/mogelijkheid heeft om alles te decrypten. Die kracht heeft niemand, simpelweg omdat er a. altijd meer kracht nodig is voor kraken dan voor versleutelen en ontsleutelen, en b. omdat er zo ongelofelijk veel informatie verstuurd wordt door ons, dat dat nooit netjes getapt kan worden. Als je het schiften onmogelijk maakt, verzuipt men gewoon in het zinloze werk.

ps. dit soort recherche-info zouden ze wellicht ook geheim willen houden, althans, niet onder the public at large verspreid willen hebben. Niet iedere crimineel is ICT-vaardig, en laten we dat vooral zo houden
*zwaait nog eens naar z'n tappert*

[Kalua]

Het was toch ook al bekend dat de georganiseerde misdaad voornamelijk blackberry's gebruiken, omdat die zo goed beveiligd zijn.

Over een paar jaar is zo te zien niets meer geheim en wordt alles afgeluisterd en afgetapt. Wat leven we toch in een vrij land.

[Verwijderd]

Hopelijk geeft de regering gehoor aan dit rapport.

Niet dat ze eerst miljoenen gaan investeren en daarna er achter komen dat het rapport klopt.

Het zelfde geldt ook voor het kinder porno filter. Wat onzin is zeker als je dit soort nieuws leest.

Uitleg geëist over porno in tbs-cel.
IMO bewijst dit ook weer dat kinderporno na terrorisme het nieuwe excuus is om dubieuze zaken er doorheen te krijgen, die onze vrijheid beperken.

[Verwijderd]

Ik hoop dat dit ook van invloed is op de toekomstige beslissingen, zodat er niet nog meer geldverslindende, privacy-inperkende maatregelen worden getroffen, waar echte criminelen toch wel om heen kunnen.

[Dark Angel 58]

tja.... kunnen de aftappers de versleutelde gegevens van de criminelen niet blokkeren? Dan kunnen de criminelen niet met elkaar praten ^^
Dat betekent voor de criminelen dat ze Skype, telefoons met versleuteld key niet kunnen gebruiken
Dat lijkt me wel een goede tegenmaatregel. Het is wel verboden denk ik, maar ZO bestrijd je criminaliteit!

[Reactie gewijzigd door Dark Angel 58 op 22 juli 2024 18:20]

[Verwijderd]

Gewoon PGP gebruiken met je mail, een sleutel voor jou, een sleutel voor de andere kant en een publiek sleutel (kan gewoon in Outlook Express of Outlook.). verder heb je nog AxCrypt wat je rechtsklikkend vanuit de verkenner kunt gebruiken. Alles on the flie.

[Verwijderd]

En niet te vergeten je IMAP en SMTP over TLS te draaien.
En als je echt achterdochtig bent, via TOR draaien, of een van de rijkelijk aanwezige VPN aanbieders.
Misschien zou je het zelfs nog via FreeNet kunnen doen; PGP/GPG encrypted berichten plaatsen. Of zelfs plaatjes met stenografie waarin PGP bestanden zitten. D'r zijn allemaal zoveel mogelijkheden die boven op elkaar gebruikt kunnen worden, daar kun je toch niet tegenaan tappen?

[Reactie gewijzigd door Verwijderd op 22 juli 2024 18:20]

[87Vortex87]

Het probleem is dat je mensen dan in hun vrijheid beperkt. Wie gaat oordelen over hoe/wanneer/wie/wat te blokkeren?

Om daar achter te komen zul je eerst veel energie moeten steken in het decoderen, registreren, identificeren, faciliteren enz. voordat men überhaupt iets kan blokkeren(op last van de rechter ook nog).

[Reactie gewijzigd door 87Vortex87 op 22 juli 2024 18:20]