'Master key' van hdcp-beveiliging mogelijk bekend

Een beveilingscode waarmee versleutelde hdcp-signalen zouden kunnen worden ontcijferd, doet de ronde op het internet. Als de sleutel echt is, zou de hdcp-beveilging die wordt gebruikt om videocontent te versleutelen openliggen.

Techblog Engadget meldt dat er een 'master key' zou zijn opgedoken waarmee videosignalen die van hdcp-beveiliging zijn voorzien, kunnen worden ontcijferd. Hdcp is een vorm van drm die in bijna alle huidige mediaspelers en settopboxen wordt toegepast. Als een videobron aangeeft hdcp te vereisen, wordt er een beveiligde verbinding tussen de speler en het aangesloten scherm opgezet, waardoor het verstuurde beeldmateriaal niet valt te kopiëren.

Elk apparaat met hdcp-ondersteuning beschikt over een eigen set sleutels die wordt ingezet tijdens het maken van een verbinding met een ander apparaat. Als een van de sleutels publiekelijk bekend wordt, kan deze worden geblokkeerd. Elke videobron die van hdcp gebruikmaakt, bijvoorbeeld een blu-ray-schijf, bevat een lijst met geblokkeerde sleutels. De hoofdsleutel die mogelijk is uitgelekt, zou worden gebruikt om alle apparaatsleutels te genereren en kan dus niet worden geblokkeerd. Met die hoofdsleutel is het in theorie mogelijk om een hdcp-verbinding met een speler op te zetten en daarna het videosignaal op te vangen.

Het is nog niet duidelijk of het om een opzettelijk lek gaat of dat de sleutel is gekraakt. Onderzoekers hebben eerder al aangegeven dat als er genoeg individuele sleutels van apparaten beschikbaar waren, de hdcp-beveiliging te kraken zou zijn.

Reacties (106)

Jullie halen hier volgens mij twee zaken door elkaar. 1 is de beveiliging (encryptie) van het medium. Op bron- of contentniveau dus. Voor de DVD was dit CSS, voor BR is dit AACS.

Echter heeft zo'n beveiliging weinig geen nut als je na het decrypten (je moet immers wel gewoon de film kunnen zien) de digitale output kunt afvangen en weer unencrypted kunt opslaan. Hence, HDCP als tweede beveiliging op de digitale uit- en ingangen om ervoor te zorgen dat dat niet mogelijk zou zijn.

De encryptie van het medium was al langer gekraakt, daarom is het ook prima mogelijk een commerciële DVD of BluRay 1:1 te rippen en deze te verspreiden indien je dat wenst. Dit gaat dan niet via de output, maar direct vanaf de schijf. Eigenlijk een veel betere manier dus dan via de outputs.

Maar de encryptie op de I/O (HDCP) is nu dus wellicht ook gekraakt. Zou zo echter geen voorbeeld kunnen bedenken waarom dit nuttig zou zijn voor legitieme dan wel minder legitieme doeleinden, aangezien de 'bron' reeds gekraakt is.

Samenvattend zijn er 2 beveiligingslagen: één op bronniveau (AACS) en eentje op I/O niveau (HDCP; ;in de apparatuur dus). Beide zijn nu gekraakt en hebben niet heel veel met elkaar te maken, behalve dan dat ze voor hetzelfde doel worden gebruikt.

[Reactie gewijzigd door HarmoniousVibe op 14 september 2010 17:26]

Zou dit het volgende kunnen zijn:
Denk aan air dates van nieuwe afleveringen van series die worden verspreid door bijvoorbeeld syfy. Als daarop een beveiliging ala HDCP rust is die nu wel op te nemen!?
Alleen is dan de hdcp via ziggo of upc afgedwongen!

Zou dit het volgende kunnen zijn:
Denk aan air dates van nieuwe afleveringen van series die worden verspreid door bijvoorbeeld syfy. Als daarop een beveiliging ala HDCP rust is die nu wel op te nemen!?
Alleen is dan de hdcp via ziggo of upc afgedwongen!

Nee, Ziggo/UPC dwingt op zijn eigen kabeluitzendingen ook nog eens beveiliging af. De melding 'Deze zender is beveiligd' komt van je set-top box, die geen goeie sleutel heeft kunnen vinden om een betaalzender te kunnen decoderen.

Het signaal is dan nog altijd een versleutelde MPEG-2 stream vóórdat het de HDMI poort (met HDCP) bereikt. In het geval van UPC wordt er over de stream Videoguard versleuteling toegepast, bij Ziggo is het Irdeto.

Dat weet ik, maar het CI+ heeft de mogelijkheid to meer restricties behalve de Irdeto2, welke ook al ergens rond zou moeten zwerven al heb ik die nog niet gevonden.

Maar de encryptie op de I/O (HDCP) is nu dus wellicht ook gekraakt. Zou zo echter geen voorbeeld kunnen bedenken waarom dit nuttig zou zijn voor legitieme dan wel minder legitieme doeleinden, aangezien de 'bron' reeds gekraakt is.

ik wel, wat dacht je van tvseries opnemen met je UPC HD box (niet op de box, dat kan al, maar op je pc van de box dus). Dat kan dus niet in HD gezien het versleuteld is.

[Reactie gewijzigd door Razwer op 14 september 2010 17:33]

Oh ja, daar had ik inderdaad niet aan gedacht. Toch wordt er al wel aan de lopende band TV gecaptured, ook in HD. Dus volgens mij is de versleuteling van die 'bron' ook reeds lange tijd gebroken.

Mijn favoriete site staat in ieder geval vol met 1080i caps en 720p encodes van die captures, tot op het moment dat voor die film of serie een betere (vaak BluRay) source wordt gereleased.

edit: ik heb het even nagezocht en de meeste STB's hebben gewoon een Firewire poort waarmee prima Amerikaanse channels kunt cappen. De Europese zijn misschien iets lastiger maar je kunt schijnbaar card sharing gebruiken om te capturen.

Oftewel, ook hiervoor was het al niet meer nodig, maar met het kraken van HDCP zou het misschien makkelijker kunnen worden. Alhoewel ik ook dat betwijfel, omdat je via bovengenoemde methodes netjes een MPEG-2/4 stream binnenkrijgt welke je gewoon kunt dumpen. Via DVI/HDMI krijg je lijkt me een raw videostream (pixels, licht en kleuren) binnen. Zeg maar in BMP formaat. Deze moet je dan weer gaan transcoden wat weer tot (extra) kwaliteitsverlies leidt.

[Reactie gewijzigd door HarmoniousVibe op 15 september 2010 00:05]

In België gebruiken de providers niet-standaard zooi dus de stream capturen was niet echt mogelijk vziw.

Wat wel al lang mogelijk is capturen met hardware die de HDCP van de HDMI haalde. Zo'n hardware is in vele landen illegaal (DMCA, EUCD & co.) maar dat heeft nog nooit een Chinees die geld riekt tegengehouden...

Tot nu toe kon men zo'n apparaten trouwens wel blokkeren, maar nu is dat dus nutteloos geworden.

Niet alle content staat op DVD of bluray. Bv HDTV van een box ofzo?

Het dupliceren van schermen is niet mogelijk doordat de ene monitor niet de versleutelde datastroom van de andere monitor kan lezen. Nu hopelijk wel!

-edit-note toself: leer lezen, dat schrijft LB06 ook in de laatste alinea
Dit staat los van BluRay, alles wat met over hdcp wordt gestuurd kun je nu weer ontcijferen. Dus ook alle andere 'vage' videomeuk kun je nu weer capturen.

[Reactie gewijzigd door Vaan Banaan op 14 september 2010 17:40]

Dus nu kan het 1-op-1 rippen beginnen (neem ik aan)
Hopelijk komen er nu tooltjes uit die het rippen van BluRay vermakkelijken

Dus nu kan het 1-op-1 rippen beginnen (neem ik aan)
Hopelijk komen er nu tooltjes uit die het rippen van BluRay vermakkelijken

Het gaat niet zo zeer om het 1-on-1 rippen van Bluray-schijven. Dat is al langer mogelijk met een PC en een BD-ROM speler, dan heb je iets meer rekenkracht en HDD-capaciteit tot je beschikking om de data tot een zinnig geheel te ontsleutelen.

Waar het nuttiger voor is is het opnemen van live televisie-uitzendingen. Normaal wordt dat nu gedaan met een PC met DVB-S of DVB-C kaart, maar daar is een CI module van de TV-provider in kwestie voor nodig, die op elk moment door de provider onklaar kan worden gemaakt.

Met zo'n HDCP 'master key' kun je in principe elke set-top-box of console gebruiken om uitzendingen op te nemen, zelfs als ze niet over een medium plaatsvinden wat je met een PC kan opvangen. Een live registratie van een potje Halo Reach (vanaf je X360) is dus ook een optie.

Als dit zo is, brengt HDMI wel gelijk terug tot het minimum waarvoor het bedoeld is: Een medium tot audio- en videotransport. De master key gaan ze namelijk niet veranderen (dan doen alle huidige apparaten het niet meer) en dat betekent in principe dat je straks met elke Chinese PVR vanaf een HDMI poort op kan nemen. Net zoals dat met Macrovision twintig jaar geleden gebeurde.

Niet zozeer HDMI maar ook andere andere (hoge breedband) protocollen als Displayport die hdcp gebruiken om content af te schermen.

Dus nu kan het 1-op-1 rippen beginnen (neem ik aan)
Hopelijk komen er nu tooltjes uit die het rippen van BluRay vermakkelijken

Nee, wat dat betreft heb je hier niets aan. Niemand is zo gek om de uncompressed video (gigabytes/minuut) van een HDMI aansluiting te gaan capturen en dat dan weer om te zetten naar b.v. h.264 (tenzij er geen andere manier is).

Dit is vooral nuttig om kastjes te maken die HDMI+HDCP als input nemen en zuiver HDMI als output om zo problemen met diverse schermen/receivers op te lossen.

Om te kopiëren is het eigenlijk niet zo interesant, een DVD kopieer je ook niet via SCART. Voor een kopie haal je gewoon de originele videodata van het schijfje (of voor TV/DVB, de originele videodata van de stream). Tenzij het niet anders kan. In de begindagen van DVD was een manier om deze te rippen door screenshots te maken, een standaard feature van DVD-afspeelsoftware. Door gescript een screenshot van ieder frame van de film te maken kon je 'm ook rippen.. Omslachtig en knoeierig, net als capturen van HDMI, maar als het niet anders kan dan gaat het zo.

[Reactie gewijzigd door Mentalist op 14 september 2010 21:50]

Is dit niet handig om TV rips te maken van series? Al weet ik dat HDTV rips nu ook al de dag na de uitzending op de bekende plaatsen te vinden zijn.

Is dit niet handig om TV rips te maken van series? Al weet ik dat HDTV rips nu ook al de dag na de uitzending op de bekende plaatsen te vinden zijn.

Momenteel niet echt, de smartcards van de meeste providers werken wel icm. een CAM of anders een cardserver en dan kan je gewoon direct de DVB MPEG stream opnemen, vergelijkbaar met het direct rippen van een DVD/Blu-ray. HDMI is dan alleen maar gehannes en kwaliteitsverlies.

Nee, wat dat betreft heb je hier niets aan. Niemand is zo gek om de uncompressed video (gigabytes/minuut) van een HDMI aansluiting te gaan capturen en dat dan weer om te zetten naar b.v. h.264 (tenzij er geen andere manier is).

Volgens mij valt dat wel mee. Voor zover ik weet is h264 met een flinke processor in realtime te coderen tegenwoordig, dus hoef je alleen de h264 stream nog maar op te slaan.

Hoe lang zal het duren voordat er grafische kaarten met hardwarematige H264 encoding komen (als ze er al niet zijn)?

Volgens mij valt dat wel mee. Voor zover ik weet is h264 met een flinke processor in realtime te coderen tegenwoordig, dus hoef je alleen de h264 stream nog maar op te slaan.

Nee, kan niet. Als je optimale kwaliteit wil bereiken (met welke codec dan ook) moet je minstens 2 passes gebruiken. Dat kan per definitie niet realtime.

Dus moet je het eerst uncompressed opslaan en dan het uncompressed filmpje omzetten (met 2 passes) naar h.264. Nu kan dat met de terabyte schijven van tegenwoordig in principe wel. Ik ga binnenkort ook VHS banden op die manier overzetten, kost (full PAL resolutie) 1GB/minuut.

Maar waarom zou je een dure speciale HDMI-capturekaart (niet of amper verkrijgbaar voor consumenten) kopen, een extra harde schijf en een standalone speler als je met een BD-rom drive van 5 tientjes hetzelfde kan met betere kwaliteit en minder risico op haperingen en andere problemen?

[Reactie gewijzigd door Mentalist op 15 september 2010 19:04]

Dit is al lang mogelijk.

Er zijn een aantal HDMI line extenders die het decoden reeds vanzelf doen :

bron -----(HDCP)-----> Line Extender ----(no HDCP)-----> set


Vooral extenders uit het tijdperk dat HDCP nog in opmars was.

Bron : uitgetest op m'n werk & succesvol

[Reactie gewijzigd door xback op 14 september 2010 17:38]

Het 1:1 rippen heeft in principe niets met HDCP te maken... zoals hierboven al uitgelegd, HDCP is de beveiliging van de communicatie tussen 2 compatible apparaten. Dat staat verder helemaal los van de schijf zelf, daar zijn al tijden progsels voor om die te kunnen kopiëren.

1:1 rips zijn toch al tijden beschikbaar op b.v. usenet? Hoe zijn deze rips tot stand gekomen dan?

doordat de implementatie van hdcp te wensen achterlaat?
nieuws: Eenvoudige hack omzeilt hdcp-beveiliging

Ik ken de technische achtergrond van de 1:1 rips niet, maar volgens mij worden die eenvoudig gedaan m.b.v. AnyDVD. AnyDVD haalt er allerlei beveiligingen af en voila: ene 1:1 rip. Of heeft dit niets met HDCP te maken?

Ze kraken de blu-ray schijf, niet de hdcp beveiliging.

Deze rips zijn tot stand gekomen door de DRM (kopieerbeveiliging) die toegepast wordt op Bluray te kraken. Deze beveiliging (AACS) is al een tijdje geleden gekraakt.

HDCP is echter wat anders: die zorgt voor een beveiligde verbinding tussen een mediaspeler en het scherm. Met andere woorden: de verbinding kan niet worden afgeluisterd en zo dus niet worden opgenomen.

AACS: Beveiliging vanaf leeskop tot 'processor' mediaspeler
HDCP: Beveiliging vanaf processor tot beeldscherm

Het is gekraakt door een hacktivist uit Zweden.

Edit:

En, Engadet was *niet* de eerste met het nieuws, maar probeert het helaas met succes te claimen.

[Reactie gewijzigd door coretx op 14 september 2010 17:02]

Enlighten us met de originele bron?

Ik heb het van het forum van doom9.org. Met een verwijziging naar pastebin pastebin.com/kqD56TmU

Maar volgens mij is er geen 'master' key gekraakt, maar is 'de matrix' uitgerekend

Het protocol zit als volgt in elkaar: Elk apparaat heet 40 geheime sleutels. En elk apparaat heeft een 40 bit publiekelijk ID waarvan 20 bits een 1 zijn en 20 bits een 0 zijn.
Als 2 apparaten met elkaar gaan spreken, geven ze elkaar hun publieke ID.
Door het optellen van de desbetreffende sleutel uit de lijst van 40 geheime sleutels waar een 1 in het publieke ID staat, krijgen beide apparaten een gelijke uitkomst.
Hiermee wordt de datastroom versleuteld en omdat de andere kant dezelfde eindsleutel heeft kan die hem weer ontcijferen.
De link in het nieuwsbericht heeft het er al over. Als van 40 apparaten de geheime sleutels bekend zijn, waarbij een OR van alle publieke sleutels 111111(40x) zou zijn, dan zou je de volledige matrix wiskundig kunnen oplossen (40 vergelijkingen met 40 onbekenden)

[Reactie gewijzigd door Vaan Banaan op 14 september 2010 17:44]

ik ben geen encryptie specialist (verre van!) maar ik snap jou verhaal.
Ik kan alleen niet begrijpen dat ze niet voor een veel ingewikkeldere (en zware) encryptie hebben gekozen.

Het signeren met certificaten bijvoorbeeld zou neem ik aan toch veel beter zijn?

ik ben geen encryptie specialist (verre van!) maar ik snap jou verhaal.
Ik kan alleen niet begrijpen dat ze niet voor een veel ingewikkeldere (en zware) encryptie hebben gekozen.

HDMI 1.4 heeft een bandbreedte van 12 gigabit per seconde. Er loopt ongecomprimeerde video over de kabel heen.

Hoeveel CPU kracht denk je dat er nodig is om dat (real-time) te versleutelen of ontsleutelen met een public-key encryptie?

Je gaat niet de hele stream encrypten, je gaat een seed per frame berekeken en die xor je met de data.

je hoeft alleen die sream cipher regelmatig te wisselen. Dat kost niet zo heel veel.

Volgens mij gaat public key encruption heel moeilijk omdat BEIDE kanten een geheime key moeten hebben een public key. ik weet niet hoe je een pk encryption moet doen waarbij je 2 partijen hebt die elkaar niet vertrouwen.

Volgens mij gaat public key encruption heel moeilijk omdat BEIDE kanten een geheime key moeten hebben een public key. ik weet niet hoe je een pk encryption moet doen waarbij je 2 partijen hebt die elkaar niet vertrouwen.

Het is ook een klassiek cryptografie-probleem: Je wil namelijk dat de twee communicerende partijen zich kunnen bewijzen als 'vertrouwd' én je wil dat de data door een derde partij niet kan worden afgetapt.

Haal je één van de twee voorwaarden uit de keten, dan is kopiëren mogelijk, immers, een 'clandestien' apparaat kan dan óf gewoon de stream aftappen of zich voordoen als een bestaand 'vertrouwd' apparaat, en zo toegang krijgen tot de data.

Het probleem is alleen dat je nooit beide tegelijkertijd met PKI versleuteling voor elkaar kan krijgen. Daarvoor is dan namelijk nodig dat beide partijen elkaars public keys én elkaars private keys weten, waardoor het hele public-key principe wordt ondermijnd.

De enige manier waarop het wél kan is een shared-secret versleuteling te gebruiken voor het bericht, en dit shared secret (al dan niet met wat creatieve hashing, zie boven) pas aan de ontvangende partij aan te bieden als die zich heeft geïdentificeerd. Het shared secret stuur je niet onversleuteld over de bus, maar er zit wat techniek achter om het voor een meelezende 'leek' onleesbaar te maken. Weet je hoe de transactie verloopt, dan is de sleutel eruit halen een koud kunstje.

Het grote gat zit dan ook in het algoritme vinden waarmee dit uiteindelijke 'shared secret' (de HDCP master key) kan worden uitgerekend. Is dat eenmaal voor de bakker (duidelijk wel!), dan is het een kwestie van genoeg data afluisteren, hierin de verschillen vinden en met niet al te veel rekenwerk ligt de échte key zo op straat.

De Enigma is gevonden. Succes met het bouwen van een nieuwe.

[Reactie gewijzigd door Stoney3K op 14 september 2010 22:07]

Dat is een probleem wat al lang door cryptografen is opgelost.
Maarja, dit is net zoals bij de DVD weer een geval waar de industrie het beter denkt te weten dan de wetenschappers.

Feitelijk komt het er op neer dat met minder zware crypto er een paar cent op de chips bespaard kan worden. En het maakt voor de hardware-producenten niet uit als het gekraakt wordt, alleen voor de content-producenten.

Ok, stel dat je dit zou willen doen, hoe moet het dan werken? TV stuurt zijn public-key en het apparaat checkt of deze uitgegeven is door een CA die vertrouwd wordt? Dan is het een kwestie van het apparaat hacken en je hebt de de private-key in kwestie (tamper proof lukt vrijwel niet aangezien je geen physical security element hebt op de apparatuur).
Dus is het niet veilig m.i. Nog los van de performance (die is vreselijk met RSA gebaseerde encryptie)

Ze plaatsen de bron er toch gewoon onder.

Mocht dit waar zijn, dan blijkt zoals altijd maar weer: elke beveiliging is te kraken vroeg of laat. Er is destijds vast een hoop geld gemoeit geweest om juist dit beveiligingssysteem in een hoop consumenten apparaten in te bouwen en vervolgens met welk nut?

Zo moet het dus dalijk mogelijk zijn om een blu-ray film te huren, 1:1 te rippen (moet je natuurlijk niet op pauze drukken tijdens het afspelen ) en je hebt je eigen blu-ray kopie zonder blu-ray brander.

In 1e instantie zou dit dan alleen nog maar op te lossen zijn door een nieuwe beveiliging uit te rollen, maar als dat inhoud dat iedereen nieuwe apparatuur moet kopen lijkt me dit niet echt haalbaar!

De grap is dat de beveiliging niet gekraakt is. Het read-only root wachtwoord ligt gewoon op straat. Het is gewoon wederom bewijs dat DRM voor geen meter werkt omdat je altijd een een deel security through obscurity hebt. De tijd dat ze mijn SSH sessie kraken, of toegang krijgen tot alle TruCrypt volumes, is echt nog wel heel ver weg. Deze hebben namelijk (muv het wachtwoord) geen single point of failure (zoals een master key). (althans, die is nog niet gevonden).

[Reactie gewijzigd door elmuerte op 14 september 2010 17:16]

Jawel, die is er wel: jouw brein. als ze jou genoeg slaag / elektrische schokken / nagels uittrekken / waarheidsserum / ... toedienen zijn die allemaal zo te ontcijferen.

Dus dan zouden straks de PVR functies, zoals bijvoorbeeld in de nieuwe XBMC versie, ook instaat moeten zijn om beveiligde uitzendingen op te nemen, lijkt me.

Dus dan zouden straks de PVR functies, zoals bijvoorbeeld in de nieuwe XBMC versie, ook instaat moeten zijn om beveiligde uitzendingen op te nemen, lijkt me.

Die beveiligde uitzendingen lopen over DVB-C (of DVB-S als je een schotel hebt), en hebben een ander encryptieschema dan HDMI. HDMI is er wat er ná je PVR aan het scherm wordt aangeboden, als je dus een PC weet te vinden met HDMI-input dan kun je daar waarschijnlijk een PVR van bouwen.

Over de DVB-stream wordt over het algemeen 'zwaardere' versleuteling zoals Irdeto, Nagravision of Videoguard toegepast.

Dook ditzelfde probleem niet een paar jaar geleden ook op bij DVD, dat er een master-key was die niet gerevoked kon worden?

Dan is HDCP dus in feite het dunnetjes overdoen van de DVD beveiliging....

Bij DVD is de situatie nog beter (uit hackers oogpunt): het gebruikte algorithme is zo slecht ontworpen dat het te ontcijferen is zonder dat je een key hebt. Een key maakt het proces alleen wat sneller.

uhm het enige wat te vinden is is dit http://pastebin.com/kqD56TmU maar dit is toch niet de masterkey

waarom niet?

Ik kan dit alleen maar toejuichen. Wat een irritante restrictie, die ook nog eens veel problemen met zich meebrengt. Ik heb al een tv moeten afschrijven omdat het "handschaken" minuten lang duurde. Hopelijk komer er snel goedkope apparaatjes op de markt die HDCP verwijderen.

Ik maak al een hele tijd backups van mijn blu rays, dus niet via de hdmi output maar gewoon direct van schijf, door deze backup heeft hdcp helemaal geen zin meer. Daarom met of zonder master key het maakt me niet veel uit, ik wens de HDCP ontwikkelaars veel succes met hun beveiliging, mij hebben ze er in ieder geval niet mee... goedemiddag.

Er zijn meer devices waarmee HDCP zinvol is, zoals bv streaming-devices, zodat je niet zomaar even een live-stream kunt rippen..

Het is maar wat je zinvol vind... ik vind het rippen van een live stream zeer zinvol.

Maar ook bijvoorbeeld Open Source HDMI ontvangers. Tot nog toe moest je een duur contract met een consortium afsluiten en heilig beloven dat je de sleutel geheim zou houden om een sleutel te krijgen. Nu de master key bekend is kan je een apparaat-sleutel genereren die door een blue ray speler geaccpeteerd zal worden.

Het gaat niet om blueray maar om een algemene hard coded key die in veel consumenten apparatuur is verwerkt ,die sleutel veranderen betekent dat alle huidige apparatuur geen nieuwere video/audio content meer kan afspelen tenzij die natuurlijk illegaal is.
En dat is waarom deze draad vol staat met mensen die totaal niet begrijpen waar over dit gaat.
Gelukkig heb ik nog een ouderwetse videokaart met analoge uitgang.
Dan kan je iig nog een framegrabber gebrruiken.
En als het moet kan dat met wat soldeerwerk zelfs hardwarematig op de TV/monitor zelf.
Digitale output achter de decoder wegpakken waar het letterlijk je LCD/PLASMA in gaat... waarom moeilijk doen als je al beeld hebt.