Saudi-Arabië verbiedt BlackBerry-diensten vanaf zaterdag

Saudi-Arabië gaat vanaf komende zaterdag BlackBerry-diensten verbieden. BlackBerry-maker RIM voldoet niet aan de eis om de beveiliging van bel- en dataverkeer open te stellen. De providers moeten daarom de diensten blokkeren.

BlackBerry-maker RIM heeft ondanks herhaalde verzoeken niet aan de regels van de overheid voldaan, meldt het Saudische staatspersbureau SPA op basis van een aankondiging van telecomtoezichthouder CITC. CITC heeft de drie Saudische providers STC, Zain en Mobily opdracht gegeven om vanaf komende zaterdag BlackBerry-diensten te blokkeren. Daardoor kunnen BlackBerry-gebruikers vermoedelijk niet meer met hun toestel bellen, e-mailen en pingen.

Het koninkrijk in het Midden-Oosten is daarmee het eerste land dat BlackBerry-diensten blokkeert. De Verenigde Arabische Emiraten volgen in oktober, zo bleek eerder. Ook India heeft gedreigd met een blokkade van BlackBerry-diensten, maar daar zijn RIM en de overheid nog in gesprek.

RIM ligt onder vuur in die landen, omdat het eigen encryptie gebruikt voor bel-, sms- en dataverkeer. Omdat overheden de data niet kunnen ontcijferen, zouden criminelen en terroristen ongestoord kunnen communiceren via BlackBerry-smartphones. Daardoor is de staatsveiligheid in gevaar, redeneren de landen.

De overheid van de Verenigde Staten kan al verkeer van Blackberry-smartphones afluisteren, claimt persbureau Reuters. Daar is echter rechterlijke toestemming voor nodig, waardoor het in de praktijk niet vaak gebeurt.

Nederland heeft ook een wet die dergelijke verzoeken aan RIM mogelijk zou maken. In de Telecommunicatiewet is een artikel opgenomen dat stelt dat bedrijven alleen telecommunicatiediensten mogen aanbieden als deze aftapbaar zijn. BlackBerry's zijn wel aftapbaar, maar door de versleuteling kunnen overheden niets met deze data. RIM zegt zelf ook geen manier te hebben om de encryptie ongedaan te maken, omdat er geen achterdeur of 'master key' in de software zit.

Reacties (123)

Het koninkrijk in het Midden-Oosten is daarmee het eerste land dat BlackBerry-diensten blokkeert. De Verenigde Arabische Emiraten volgen in oktober, zo bleek eerder. Ook India heeft gedreigd met een blokkade van BlackBerry-diensten, maar daar zijn RIM en de overheid nog in gesprek.

Ook China, Bahrain en Koeweit denken na over een eventueel RIM-verbod. Zie dit artikel.

Dat gaat nog interresant worden. In de zakenwereld zijn Blackberries juist populair vanwege de encryptie.

"BlackBerry's zijn wel aftapbaar, maar door de versleuteling kunnen overheden niets met deze data. RIM zegt zelf ook geen manier te hebben om de encryptie ongedaan te maken, omdat er geen achterdeur of 'master key' in de software zit."

M.a.w (zoals ik het lees): Er is encryptie maar RIM weet niet hoe deze werkt/gemaakt is/ ge-decrypt kan worden. Sprookjes bestaan dus nog steeds

"Daardoor is de staatsveiligheid in gevaar, redeneren de landen."

NL is er een van. Enkele jaren geleden als door de AIVD opgemerkt.
Tevens zijn de BB's door de Nato goed gekeurd tot het niveau SECRET ....
Alleen voor de yanken .... Ik ruik een NSA luchtje hieraan ...

Nee dat zie je fout. RIM weet heel goed hoe de encryptie werkt, en hoe deze gedecrypt kan worden.

Alleen om dit te doen heb je een sleutel nodig, die alleen bekend is bij beide partijen die met elkaar communiceren, en zonder deze sleutel (die RIM dus niet heeft!) heb je niks aan de onderschepte berichten.

Ze zeggen alleen dat ze geen backdoor of tweede "master key" in hebben gebouwd, zodat zij onmogelijk de berichten kunnen lezen.

De beste huidige encryptiestandaarden (zoals AES) zijn goed beschreven en iedereen kan de documentatie opvragen en erachter komen hoe deze werkt. Alleen zonder de goede sleutel kun je de berichten dan nog steeds niet ontcijferen.

Beste TB (ff makkelijk de afkorting),

Ik lees het dus goed: Sprookjes.
AES is goed voor o.a. Dep V. zie: http://nl.wikipedia.org/wiki/Geclassificeerde_informatie , dus zeer laag.

Ik denk eerder dat je meer te weten komt in het volgende boek: Applied Cryptography.
RIM heeft het boek ook op de plank staan ....
Weet je gelijk in welk speelveld ik mijn werk doe ...

[Reactie gewijzigd door TheDiver op 4 augustus 2010 15:00]

Als de NSA een encryptie algorithme geheim houd om wat extra security by obscurity toe te voegen wil ik wel aannemen dat ze het goed doen (gezien het percentage van professionele cryptologen ze in dienst hebben). Als de AIVD het doet heb ik mijn twijfels of het veiliger is dan de publieke standaarden.

Als de NSA een encryptie algorithme geheim houd om wat extra security by obscurity toe te voegen wil ik wel aannemen dat ze het goed doen (gezien het percentage van professionele cryptologen ze in dienst hebben). Als de AIVD het doet heb ik mijn twijfels of het veiliger is dan de publieke standaarden.

Professionele cryptografen zullen geen security door obscurity toevoegen. Zodra iemand dat doorziet, en dat gebeurt vroeger of later, ben je die laag van "security" kwijt. Het is pseude-security. De security zit hem in de sterkte van het algoritme, en de bijbehorende sleutel(s). Die laatste moet je natuurlijk niet op straat gooien.

@PinkysBrain: Zo werkt het niet. Je kan er niet van uitgaan dat je algoritme geheim blijft. Als je dat doet en het komt op straat te liggen zit je ineens met een algortime dat niet door de cryptografische wereld onderzocht en getest is, m.a.w het is niet meer bekend of het goed is of niet. Je kan er ook niet vanuit gaan dat alle goeie cryptografen nou toevallig net aan jouw kant staan.

[Reactie gewijzigd door durian op 5 augustus 2010 11:27]

Als je zowieso al de beste cryptologen in dients hebt en je bent er redelijk zeker van dat je geheime algoritme net zo veilig of veiliger is dan de publieke standaard dan is een extra laag van veiligheid mooi meegenomen. Zels al is hij tijdelijk.

http://en.wikipedia.org/wiki/NSA_Suite_A_Cryptography

National Security Agency (NSA) Suite A Cryptography "contains classified algorithms that will not be released." "Suite A will be used for the protection of some categories of especially sensitive information (a small percentage of the overall national security-related information assurance market)."

[Reactie gewijzigd door Pinkys Brain op 5 augustus 2010 19:06]

Als jij AES kan 'kraken' dan kun je waarschijnlijk een Nobel prijs voor de wiskunde in ontvangst nemen, als het niet al de Natuurkunde betreft, omdat je een paar natuurwetten moet overtreden.

Ik denk dat jouw werk inderdaad een 'speelveld' betreft. Je doet interessant, maar ik geloof je niet.

Er bestaat geen Nobelprijs voor wiskunde (hooguit de Fields Medal). En die voor natuurkunde krijg je hooguit als je het hebt kunnen brute-forcen, niet als je iets slims bedacht hebt om de workload fors terug te brengen.

Overigens is Applied Cryptography, hoewel nog steeds actueel, op bepaalde punten wel wat verouderd. Met name als het gaat om analyses over hoe sterk een algorithme met een bepaalde sleutellengte is.

Heb ik ooit vermeld dat ik het kan kraken? Niet echt ...

Crypto is wiskunde en geen natuurkunde ...

Mijn speelveld is crypto (en gelijk mijn werk) op het hoogste niveau, voor de overheid ben ik zeer intressant, maar dat hoef jij niet te geloven.

Hint: Fox-IT (daar werk ik niet), tijger + meer.

M.a.w (zoals ik het lees): Er is encryptie maar RIM weet niet hoe deze werk/gemaakt is/ decrypt kan worden. Sprookjes bestaan dus nog steeds

Nou dat is niet zo vreemd hoor, dat heet cryptografie en is een zeer ontwikkelde wetenschap. Duik maar eens in Diffie-Hellman bijvoorbeeld. Hierbij zijn zelfs de openlijk uitgewisselde factoren/'sleutels' niet voldoende om de daarop gebaseerde sleutels te genereren. (uiteraard met uitsluiting van toekomstige brute-force mogelijkheden)

Waarschijnlijk kan IM inderdaad in de huidige opzet de verschillende kanalen niet decrypten. De vraag is of ze hun opzet zodanig willen aanpassen dat deze landen wel tevreden zijn.

Brute-force brengt je nergens bij een goede encryptie. Als je de sleutels voldoende lang kiest, dan kun je rekenen tot het einde van het universum en heb je nog maar minuscuul deel van de mogelijke sleutels bekeken. De enige "practische" weg is een wiskundig slimmigheidje te ontdekken om bijvoorbeeld het ontbinden van een getal in priemfactoren efficient te doen.

Het grappige aan die beveiligingsprotocollen (zoals Diffie-Helman) is dat het altijd maar hele korte, en schijnbaar simpele protocollen zijn (DH bestaat uit slechts 2 berichten om een sleutel af te spreken, een bericht van A naar B en eentje van B naar A) maar dat het toch heel erg moeilijk is ze te ontwerpen zodat er toch geen gegevens lekken en een man-in-the-middle aanval onmogelijk is.

En het grappige van Diffie-Hellman is dat er wel een man-in-the-middle atack mogelijk is....... of althans, een soort van.
DH is een fraai stukje "techniek" die bedoeld is om door het uitwisselen van, voor een 3e persoon, nutteloze informatie sterke sleutels te kunnen genereren.
Verder is het protocol nergens anders voor bedoeld, dus zonder een goede vorm van authenticatie kan een persoon X rustig DH onderhandelingen uitvoeren met A an B terwijl deze denken direct met elkaar te babbelen.

Een erg veel gemaakte fout in beveiliging is het gebruik van goede technieken/protocollen voor het verkeerde doel.

Of TheDiver weet compleet niet waar hij het over heeft, of hij weet juist veel beter dan wij waar hij het over heeft...

*x-files theme playing*

Iedereen die iets van encryptie weet snapt dat het helemaal niet gek is dat RIM niet zomaar alle berichten kan ontcijferen. Stel iemand levert een cijferslot en ik zet dit op mijn fiets, kan de leverancier dan zomaar mijn fiets pakken, alleen omdat hij alles van het slot weet? Lijk me niet, mits het een goed slot is en niet d.m.v. een of ander trucje te omzeilen is (code 23456 opent altijd bijvoorbeeld, de zogenaamde master key)

Het kan natuurlijk zo zijn dat wij maar naief zijn en dat iemand die *echt* goed op de hoogte is (zoals TheDiver impliceert dat hij is) weet dat het allemaal heel anders zit. Maar dat mag hij natuurlijk niet verklappen, staatsgeheimen en zo.

@ Oddse

Jammer dat ik je niet kan mailen om jou een uitleg te geven. Je laatste zin zegt alles.

Voorzover ik weet gaat dit alleen over BlackBerry data, dus e-mail verkeer via een van RIM-software voorziene mailserver, en web-verkeer via de native browser. Telefonie gaat toch gewoon via het 'normale' GSM/3G netwerk?

Voice telefoon is al eenvoudig tapbaar via de provider, en als je een normale iPhone/Android/Nokia gebruikt zonder versleutelde data kunnen ze dat ook onderscheppen. Het probleem is met de door RIM grondig versleutelde data.

en wat voor data word er dan door RIM allemaal versleuteld? ook de gesprekken en smsjes? of alleen de email etc.?

Data op de telefoon is encrypted, de geheugenkaartjes, en al het data verkeer. SMS'jes en gesprekken gaan gewoon volgens het lokale GSM/3G netwerk en zijn dus niet extra encrypted.

RIM zegt zelf ook geen manier te hebben om de encryptie ongedaan te maken, omdat er geen achterdeur of 'master key' in de software zit.

Dat geloof ik dus echt niet , kan mij niet voorstellen dat ze zo stom zijn......misschien ook wel , grote jongens hebben mij wel maar laten verbazen de laatste 2 maanden

Wat is daar stom aan? Zou jij je veilig voelen als een kluis met cijferslot koopt waar een "mastercode" bij zit? Dacht ik al.

Voor kluizen zijn er voor zover ik weet inderdaad nog geen mastercodes.

Voor hangslotjes om je bagage op slot te doen echter wel. De luchthaven douane moet tegenwoordig de slotjes zelf kunnen openen met een mastersleutel. En alle bagage hangslotjes die je tegenwoordig nog in de winkel vindt zijn dan ook voorzien van een ingang voor die mastersleutel... Allemaal onder het mom van terrorisme bestrijding. Al ben ik er niet echt blij mee. Ik vind het overdreven, zoiets.

En hoe zit dat met cijferslotjes? Code 12345 opent alle sloten of zo?? En als die master key dan uitlekt??

Stom zijn? Meestal wordt juist door het bestaan van een backdoor voor speciale gevallen, de veiligheid weer teniet gedaan, omdat als het moet er dan nog wel bij kan.

Ongelooflijk, de naïviteit.. Dat ze hier wat kleine boefjes mee pakken, tot daar aan toe. Maar criminelen en terroristen die alles tot in de puntjes plannen, gaan het echt wel niet even over een unencrypted line zomaar efkes uit de doeken gaan doen..

Ergens denk ik ook niet dat het om criminelen pakken gaat, maar meer om kritische gedachten over Allah af te straffen... China zal erover nadenken omdat ze zo kritische gesprekken over de overheid kunnen aanpakken.

Helemaal niets terrorisme. Geen enkele grote terrorist loopt op straat in z'n mobiel te razen dat hij het Vrijheidsbeeld gaat opblazen. Het gaat gewoon wederom over controle op de bevolking.

En al zou het doen, de aanslag zou er niet mee verholpen worden. Het oerwoud aan inlichtingendiensten in alleen al de VS zit zodanig in elkaar en verzamelt zoveel data, dan niemand het overzicht heeft of de puntjes kan verbinden. Alle informatie over de mislukte aanslag in dat vliegtuig van Amsterdam naar de VS was van te voren bekend. Alleen had niemand het opgemerkt in de scheepslading aan andere informatie...

Precies, dus heeft zo'n verbod ook geen zin, want terroristen zoeken gewoon iets anders.

ik vind het eigenlijk wel erg dat er dan eens één bedrijf is die haar job wel goed doet en haar klanten ook echt beveiligde producten aanbied en dan afgestraft word omdat de overheden het niet kunnen kraken

Het is een voorbeeld van zowel machtsvertoon als machteloosheid. Als we niet mogen meeluisteren verbieden we jullie diensten en apparatuur.

Ja het is heel erg.

Het allerergste: RIM's technologie beschermt *alle* mensen, niet alleen criminelen.
Door dit soort technologie te verbieden offeren we de privacy van alle mensen, terwijl criminelen gewoon wat extra programmatuur downloaden en installeren en vervolgens alsnog niet af te luisteren zijn.

Het einde van het verhaal is dat alleen de criminelen privacy hebben.

Tja, de Nederlandse overheid zelf gebruikt de Blackberry in grote aantallen vanwege de veiligheid. Iedereen hier op het werk heeft er om die reden ook eentje.

Waarom kan RIM geen broncode of masterkey geven? Heel simpel. Dan ligt meteen de hele beveiliging open. Dacht je echt dat de VS zouden accepteren dat schimmige regimes in het Midden-Oosten (die wel bondgenoot zijn maar echt niet vertrouwd worden) de mogelijkheid zouden krijgen om toegang te hebben tot Blackberry verkeer van de Amerikaanse overheid? Als dat het geval zou zijn, zouden ook meteen alle andere regeringen en bedrijven die voor BB gekozen hebben, ze wegdoen en bij RIM een schadeclaim indienen.

SSH en/of PGP hebben ook de broncode vrij gegeven,
daardoor is de beveiliging echt niet minder...!

Waarom kan RIM geen broncode of masterkey geven? Heel simpel. Dan ligt meteen de hele beveiliging open.

Nee, de broncode moet juist open zijn. Alleen dan kan men zien dat er geen backdoors en andere fouten inzitten, en dat je zonder de juiste keys je data niet kan decrypten.

Het begin van t einde voor RIM?

Ik kan overigens niet geloven dat RIM zelf de encryptie niet kan opheffen.

Ik ben vooral geinteresseerd in hoe dit bijvoorbeeld in de VS wordt gedaan. Als er een land is die "terroristen" afluisteren als iets essentieels ziet, is het de VS wel.

Pas als de VS de blackberry gaat verbieden zou dat het einde zijn voor RIM.

Ik denk eigenlijk dat veiligheidsdiensten in de VS (en Europa) hier al mogelijkheden voor hebben. Misschien is RIM wel kieskeurig met wie ze de 'masterkey' delen.

Net of dat elke terrorist/crimineel een Blackberry heeft.
De meesten pakken een wegwerp mobiel en dan nog praten ze in codetaal.

Slimme criminelen pak je toch niet.

Dat vond ik al raar, want RIM beweerd dat ze geen master key of iets dergelijks hebben maar de VS heeft wel toegang. Hoe zit dat dan? Lijkt me sterk dat RIM geen backdoor heeft of iets dergelijks.

Als overigens meerdere landen dit gaan doen (China misschien? Zie het ze zo doen), dan kan dat nog wel eens minder leuk voor RIM uitpakken. Dan veriezen ze gelijk meer als een derde (India en China) aan potentiele klanten. Kunnen ze nog zo aan hun standpunten vasthouden maar dat zullen de aandeelhouders minder leuk vinden.

Tja, hier speelt de dunne scheidslijn tussen privacy en nationale veiligheid.

Er wordt hier dus een veilige manier van communiceren verboden omdat de afgetapte data niet te ontcijferen is. Dit is toch de omgekeerde wereld.

Ik vind dat ik als consument recht heb op een veilige manier van communiceren. Dat de overheid nu meer moeite moet doen om potentiele terroristen op te sporen dat moet dan maar. We zijn tegenwoordig door aan het schieten voor wat betreft terrorisme bestrijding en de privacy komt steeds meer in het gedrang.

Dat de overheid nu meer moeite moet doen om potentiele terroristen op te sporen dat moet dan maar.

Privacy mag nooit een dekmantel zijn om crimnele of terroristische activiteiten te kunnen ontplooien.

Criminele of terroristische activiteiten bestrijden mag nooit een dekmantel zijn om alle privacy overboord te gooien.

Wat een onzin. Iedereen heeft recht op privacy. Het is een grondrecht. Dat jij er weinig waarde aan hecht is uw zaak. Laat voortaan ook maar je deur van de wc open..

Zolang de deur van de wc niet uitkomt op de Grote Markt met veel volk maakt het niet uit. De meeste moderne wc's zijn binnenshuis en daarlaat ik ook regelmatig de deur van open om bv de televisie te kunnen horen.

Om het vervelende van privacyschending te tonen zou men eens wat prive gesprekken van de bewindvoerders moet openbaar maken. Kijk Verhagen, kijk Herr Balin zo gaat het dus als iedereen iedereen maar kan beluisteren. Ze staan niet boven de wet.

Privacy en staatsveiligheid gaan nou eenmaal niet goed samen, en afhankelijk van de machtswellust zijn de overheden de beleidsmakers en de burgers de dupe.
De gevorderde crimineel gaat uiteraard gewoon door met zijn bezigheden.

Precies:

if privacy is outlawed, only outlaws will have privacy.

Phil Zimmerman, PGP author

Uitstekend argument om dat verbieden dus niet te doen.

Dat jij er weinig waarde aan hecht is uw zaak

Hoe kom je op dat idee? Ik hecht alleen wezenlijk meer waarde aan criminaliteit en terrorisme bestrijding dan aan privacy.

Hoe kom je op dat idee? Ik hecht alleen wezenlijk meer waarde aan criminaliteit en terrorisme bestrijding dan aan privacy.

Dergelijke angsthazerij maakt een functionerende open (en daarmee democratische) samenleving onmogelijk.
Die houding is vooral ook onwerkbaar omdat de definities van "crimineel" en "terroristisch" arbitrair zijn.

Ik hecht alleen wezenlijk meer waarde aan criminaliteit en terrorisme bestrijding dan aan privacy.

Het probleem is dat je mijn privacy verkwanseld met hetzelfde gemak waarmee je ook je eigen privacy opoffert. Dit soort maatregelen raken iedereen. Vandaar het 'dat jij er weinig waarde aan hecht is uw zaak'. Je eigen privacy opofferen? Be my guest. Ik kan facebook aanraden. Maar laat mij alstublieft mijn privacy hebben.

Ik ben onschuldig tot het tegendeel bewezen is, maar omdat ik iets crimineels zou kunnen doen, misschien, mogelijkerwijs... is het OK om me maar preventief te fouilleren, af te luisteren, filmen etc etc. Niet dus. Doe alsjeblieft wat zuiniger op je eigen, en ten minste op mijn, met pijn en moeite verworven vrijheid en burgerrechten.

"All that is necessary for evil to triumph is for good men to do nothing"
-Sergei Bondarchuk's Soviet film adaptation of Leo Tolstoy's book "War and Peace"

“He who does not punish evil commands it to be done.”
-Leonardo da Vinci

Privacy mag nooit een dekmantel zijn om crimnele of terroristische activiteiten te kunnen ontplooien.

Het omgekeerde is waar: criminele of terroristische activiteiten mogen nooit een dekmantel zijn om privacy te schenden.

//edit: eerder de thread lezen

[Reactie gewijzigd door tetraplan op 4 augustus 2010 18:07]

Jammer voor iedereen met een blackberry en waarschijnlijk gaan er meer merken volgen. Ik hoop dat die merken gewoon standvast blijven en niet toegeven.

Andere merken maken gewoon gebruik van standaard protocollen. Voor een Nokia hoef je geen Nokia-bundel af te sluiten en dat soort zaken. Blackberry is hier uniek in. Daardoor is RIM in staat een eigen encryptie te gebruiken, en dat mag niet van de binnenlandse veiligheidsdiensten.

Je kan een VPN opzetten met het standaard protocol en dan daarbovenop nog een eigen encryptielaag leggen. Kan de overheid ook niets tegen doen en kunnen ze ook het dataverkeer niet ontcijferen. Dit is gewoon grote onzin van de overheid. Als ze al iets bereiken is het dat mensen overstappen naar VPN technologie omdat je dan niet afhankeliijk bent van een partij die de verbinding beveiligd tot de eigen servers, waar ze derden toegang toe kunnen verlenen.

Totdat de overheid besluit het VPN verkeer te gaan reguleren...

Dit is technisch al mogelijk. Ze hoeven slechts een overheids certificate authority op te zetten om VPN certificaten te tekenen en de ISPs te verplichten om (via deep packet inspection) alle VPN handshakes te blokkeren, tenzij de handshake gebeurt met een door de overheid getekend certificaat. Dan kan de overheid vervolgens een vergunningsprocedure opzetten enzo, zo dat alleen legitime bedrijven een vergunning en de bijhorende certificaten krijgen om een VPN te kunnen opbouwen.

Ik hoop niet dat het ooit zover komt maar technisch kan het dus in principe wel

Maar een verplichte overheids-VPN-verbinding moeten gebruiken betekent niet automatisch dat de inhoud begrijpelijk moet zijn voor die overheid. Er zijn nog andere manieren van encryptie van plain text naar plain text. Deep packet inspection is dan kansloos.