Kroes: Europa moet eigen technologie voor cybersecurity ontwikkelen

Eurocommissaris Neelie Kroes stelt voor dat Europa zijn eigen beveiligingstechnologie ontwikkelt in de strijd tegen spionage en digitale criminaliteit. Ook hint ze op uitbreiding van de meldingsregeling voor bedrijven die verantwoordelijk zijn voor netwerken.

"We hebben de beste technologie nodig en misschien is het noodzakelijk dat we die in Europa zelf maken", zei Kroes tijdens de Cyber Summit, die maandag in het Duitse Bonn plaatsvindt. "Dit is waarom we de investeringen in cybersecurity-onderzoek verhogen", aldus de politica. Ook wijst ze op de mogelijkheid om op Europees niveau te verzekeren dat ict-apparatuur en programma's geen backdoors bevatten.

Nieuwe verdragen acht ze niet nodig en evenmin heeft het zin om spionage illegaal te maken, volgens Kroes. "Dat is niet hoe de wereld werkt. Laten we niet naïef zijn. Als je wilt voorkomen dat een inbreker je voordeur openkrijgt, heb je geen advocaat, maar een goed slot nodig." Lidstaten moeten niet elk afzonderlijk voor bescherming van data binnen hun landgrenzen zorgen, maar dit juist doen binnen een uniforme Europese markt 'waar ideeën over beveiliging kunnen floreren', stelt ze, waarbij ze weer naar het oprichten van een veilige Europese 'cloud' verwijst.

Ten slotte hint de vice-president van de Europese Commissie op uitbreiding van regelingen voor het instellen van beveiligingsmaatregelen en het melden van lekken in netwerken. Er is al wetgeving die eist van telecomaanbieders dat ze beveiligingsmaatregelen nemen en lekken melden, maar Kroes vindt het niet kloppen dat de providers 'alle last moeten dragen en overkoepelende internetbedrijven niet'. "Dat is geen eerlijke concurrentie en het brengt onze beveiliging in gevaar", aldus Kroes. Ze doelt daarbij op netwerken die worden gebruikt voor belangrijke infrastructuur, zoals die van banken en energiebedrijven, maar waarvoor telecombedrijven niet verantwoordelijk zijn.

Reacties (42)

Dat is niet hoe de wereld werkt. Laten we niet naïef zijn. Als je wilt voorkomen dat een inbreker je voordeur openkrijgt, heb je geen advocaat, maar een goed slot nodig.

En waarom hebben we dan uberhaubt een wetboek? Als de wereld toch niet zo werkt?

Hoewel ik eerst neigde naar Kroes haar reactie, heb je gewoon gelijk. Ergens is het gewoon belachelijk om dit excuus te gebruiken.

Trouwens, het is nog niet zeker dat een "Europese" oplossing opeens backdoor-vrij zou zijn.

Het is de laatste maanden duidelijk geworden dat Europese landen ook niet onschuldig zijn wat onrechtmatig afluisteren betreft. Dit kan gewoon een poging zijn om zelf toegang en macht te krijgen over nieuwe backdoors (i.p.v. enkel de NSA & co).

Ik denk dat we nog het beste kunnen vertrouwen op open-source encryptiealgoritmen. Natuurlijk: dat iets openbaar is, wil niet zeggen dat fouten altijd gevonden gaan worden. En de afluisterorganisaties zullen wel niet zo vriendelijk zijn om "nuttige" bugs te melden. Maar we kunnen alleszins iets zekerder zijn dat er geen backdoor in terecht komt omwille van sociale controle. (natuurlijk zijn er manieren om code te vermommen zodat een backdoor niet opvalt, maar dat is een andere discussie).

[Reactie gewijzigd door Moonsurfer_1 op 11 november 2013 14:06]

Wat nou als de Europese oplossing op die open-source encryptiealgoritmen gebaseerd gaat wezen?

Ik zie dit niet als onmogelijk binnen de EU.
Het zou een goede zet zijn van Kroes om open-source te omarmen.
En zo even snel bekeken haar enige manier om te kunnen garanderen dat deze oplossing zo veilig mogelijk wordt.

Dat zou een mooie zet zijn die ik alleen maar kan aanmoedigen. Ik hoop dat dat inderdaad de weg gaat zijn die men gaat kiezen. Maar ik blijf er voorlopig skeptisch tegenover.

valt er trouwens te detecten dat er middels een compiler van source-code waar geen backdoor in zit een backdoor geinjecteerd wordt?

als dat zo is (binary diff met 'clean' compile? of is dat te kort door de bocht?) dan is het iets dat we als burgers moeten eisen van de EU.

Wat ik bedoelde met code te vermommen zodat een backdoor niet opvalt is eigenlijk het volgende: je schrijft code waarbij het lijkt dat het een bepaald doel bereikt, maar dat eigenlijk iets totaal anders doet, zonder dat het opvalt. Hier zijn zelfs wedstrijden van: http://en.wikipedia.org/wiki/Underhanded_C_Contest

Voor dit soort dingen moeten we het meeste schrik hebben. Zulk geschreven code kan eenvoudig onder het mom van een bugfix of iets dergelijks in de officiële broncode van een opensource project worden gesmokkeld, zonder dat dit wenkbrauwen zal doen fronsen. Dat gezegd zijnde, ik zal jouw scenario ook even proberen te beantwoorden:

Ik veronderstel dat je het scenario bedoelt waar je een compiler hebt die een backdoor injecteert in source code. (en waar de backdoor dus niet in de source code zit)

Wel, als dat het scenario is dat je bedoelt moet ik zeggen: zeg nooit nooit, maar dit lijkt me zeker met automatische tools niet goed te detecteren. Zeker gezien dat dezelfde source code bij verschillende compilers (en verschillende compilerversies) een ander resultaat in binary kan opleveren. (omwille van andere optimalisaties en dergelijke). Dus er is geen vast resultaat wat je zou kunnen diffen om zeker te zijn dat de vertaling van een compiler correct is.

Je kan echter wel diffen als het over dezelfde compiler en dezelfde compilerversie gaat. Maar dan ga je ervan uit dat enkel de binary een backdoor bevat, en de officiële source code clean is. Dit zal meestal niet het geval zijn. Een organisatie zoals NSA wil natuurlijk een backdoor in de officiële source code krijgen, zodat alle binaries deze bevatten. En in dit geval zal een diff dan ook geen duidelijkheid scheppen.

Het wetboek moet je zien als de arts, dat slot als het medicijn. Je kunt toch beter voorkomen dat je ziek (inbraak) wordt, dan dat de arts je geneest (advocaat die jouw recht verdedigt in de rechtszaal)?

Ik vind sowieso dat we in Europa eens wat meer eigen technologie moeten gaan ontwikkelen. Goed, we hebben bedrijven als ASML die hier gevestigd zijn en dat moeten we koesteren, maar Microsoft, Intel, HP, Dell, IBM, Google, Facebook, Apple, etc zijn Amerikaanse bedrijven waar wij niet veel tegenin kunnen brengen.

Het wetboek moet je zien als de arts, dat slot als het medicijn. Je kunt toch beter voorkomen dat je ziek (inbraak) wordt, dan dat de arts je geneest (advocaat die jouw recht verdedigt in de rechtszaal)?

Tuurlijk is dat zo maar artsen zijn daarom toch ook gewoon nodig?

Ik zeg namelijk niet dat ik liever zie dat er wel een wet komt en er niks gedaan wordt, ik wil allebij zien, terwijl iedereen die op mij reageert net doet of het ene OF het ander is, wat onzin is want het kan beide, waarvan de wet/regels maken nog de minste moeite is ook

[Reactie gewijzigd door watercoolertje op 11 november 2013 14:30]

Maar kijk eens wat je quote dan? "Als je wilt voorkomen dat een inbreker je voordeur openkrijgt...". Nergens zegt Kroes dat we de wet niet meer nodig hebben, maar daarmee kun je inbrekers alleen aanpakken _nadat_ ze iets misdaan hebben. Het is juist de combinatie van "het goede slot" en de wet die nodig zijn.

Een arts kan niet voorkomen dat je ziek wordt, die kan je alleen genezen. Ze zijn daarom wel nodig, maar als je wil voorkomen dat je ziek wordt, heb je gezond voedsel en een gezonde levenswijze nodig, geen arts.

[Reactie gewijzigd door Grrrrrene op 11 november 2013 15:01]

Nieuwe verdragen acht ze niet nodig

Staat zo in het artikel, ik kan daar niks anders van maken dan wat ik al zei, en slaat imho dus helemaal niet enkel op het voorkomen.

Over artikel:
De opmerking van het slot ook niet zo goed, immers hangt dat weer heel erg af wie je de sleutel heeft, en of de mensen met de sleutel wel te vertrouwen zijn...

Een slot zelf zegt niet zo veel

[Reactie gewijzigd door watercoolertje op 11 november 2013 15:14]

Iedereen terug naar hyves:P

Wetgeving is om dingen achteraf in perspectief te zetten en eventuele straffen op te kunnen leggen. In het gunstigste geval werkt strafrecht afschrikwekkend: "Als ik X doe, en ik wordt gesnapt, dan kan ik maximaal Y aan straf krijgen. Ok, ik doe X maar niet." Maar ja, voor georganiseerde misdaad werkt dat hele achteraf princiepe niet helemaal. Beter om te voorkomen dan te genezen dus.

Ja, maar hoe straf je een regering? Van een ander land, no less.

Via een handelsembargo. Grote probleem hier is dan toch wel dat je jezelf ook in de voet schiet.

http://www.demorgen.be/dm...web#.UnTsmN3qz7o.facebook

..

Het begint bij een goed slot maar de wet is natuurlijk ook nodig. Maar in dit geval wordt het lastig regels op te stellen, dit te controleren en degene die het overtreed te straffen. Wat als we afspreken dat de VS niet spioneert in de EU en ze dat toch weer blijken te doen? We gaan echt niet de VS straffen. En afspraken hierover met de VS is al niet haalbaar waarschijnlijk.

Maar denk dat meer Europese diensten onder Europese regels wel slim is.

Een advocaat is dan slechts nodig om een crimineel te straffen, het kwaad is dan al geschied, en soms pak je de crimineel niet eens. Dus een slot is toch wel zinvol. En wat nou als ze een beetje digitale data stelen. Dat ben je dan nog niet meteen kwijt. misschien is je belang niet de crimineel te straffen., <aar te voorkomen dat die digitale gegevens overal terecht komen. Daar helpt een advocaat ook niet bij.
En de wetboeken. tja....die zijn bijna bijna synoniem met advocaat. Zonder was er totale anarchie..
Veel succes met het dichthouden van je deur dan, zou ik zeggen.

Waarom hebben we een wetboek? Er wordt in de regel twee typen wetten onderscheiden. Beide typen worden soms op dezelfde wet geplakt, maar niet altijd. Dit zijn wet in formele zin en wet in materiële zin. Waarbij vooral de tweede betekenis je enig antwoord op je vraag geeft: een wet in formele zin is een (gezamenlijk) besluit, genomen en kenbaar gemaakt volgens de daartoe vastgelegde procedure door een bevoegd orgaan, de formele wetgever genoemd. Dit is niet toepasbaar op spionage omdat er geen bevoegd orgaan erkend wordt door andere overheden.
"Ook nu nog proberen buitenlandse inlichtingendiensten en overheden in Nederland geheime informatie in handen te krijgen." hier geeft de AIVD de kern van het probleem weer.

De overheid kun je soms beter zien als de best georganiseerde maffiose organisatie van het land. Met onze toestemming hebben ze een geweldsmonopoly. En ze handhaven regels die we (soort van) met z'n allen besloten hebben te volgen. Deze organisatie probeert natuurlijk achter de geheime agenda van andere organisaties te komen.

Ik denk dat de wereld zo wel werkt. In ieder geval helpt de maffia analogie mij bepaalde gebeurtenissen beter te begrijpen.

[Reactie gewijzigd door exorbitex op 11 november 2013 21:22]

Het slot dient om de inbraak te voorkomen. De wet dient om de inbraak te veroordelen. Kroes zegt het goed; voor het voorkomen van die inbraak heb je een goed slot nodig. (Het alternatief is namelijk een wetboek dat draconischer is dan duizend jaar geleden, en zelfs dat zal niet iedereen tegenhouden)

[Reactie gewijzigd door Vayra op 11 november 2013 21:30]

waarbij ze weer naar het oprichten van een veilige Europese 'cloud' verwees....

Ik denk dat je als bedrijf, maar ook als persoon gewoon niets dat persoonlijk is "in de cloud" moet opslaan. Waar die servers ook staan. Dat moet je in eigen beheer houden.
Er is via backdoors, virussen etc al meer dan genoeg toegang tot je spullen.

Ik denk dat je als bedrijf, maar ook als persoon gewoon niets dat persoonlijk is "in de cloud" moet opslaan. Waar die servers ook staan. Dat moet je in eigen beheer houden.

Moet, moet, moet, best een sterke stelling zou ik zeggen. Verder doortrekkend: je moet ook niets over een publiek netwerk willen versturen, tenzij versleuteld, want anders kan het afgetapt worden. En vergeet niet camera's in publieke ruimtes te vermijden, want anders weten ze waar je bent.

Het gaat allemaal om afwegingen. Sommige dingen zijn prima "in the cloud" te zetten, zeker op prive gebied. Wil je zakelijk dingen cloud-based doen, dan is dat ook goed mogelijk met vertrouwde aanbieders. Dat jij geen enkele aanbieder als vertrouwd ziet, dat is wat anders.

Als bedrijf zijnde zou ik nooit of te nimmer mijn bedrijfsdata in de cloud zetten.

Ja, Pine en Foxit staan al klaar om rol van hun US tegenhangers over te nemen.

IMHO zijn al die bedrijven net zo fout en corrumpeerbaar. Enige goede oplossing is vrije software, gemaakt door iedereen, te controleren door iedereen en te gebruiken door iedereen.

Precies de conclusie van Mikko Hyponnen in zijn voordracht op TEDx Brussel.

http://www.ted.com/talks/..._s_trust_time_to_act.html

Vrije software is inderdaad het antwoord. Het is echter een illusie om te denken dat dit allemaal door vrijwilligers wordt gedaan. De Linux kernel bv wordt grotendeels ontwikkeld door mensen die in dienst zijn van Intel, RedHat, SuSe, IBM.

Maar zolang het vrije software is heb ik er geen moeite mee als die mensen betaald worden. Het probleem is echter de financiering, dat vaak óf van grote schenkers óf van overheden afkomstig is.

Mooi hoor, laat ze de boel dan zo dicht timmeren dat de NSA ook geen schijn van kans heeft, want dat is ook maar aan heikel punt vandaag de dag. of krijgt de NSA dan tap log ins om even lekker in te kunnen loggen voor een tapje.

toch knap dat ze dat zo weer weten te regelen, maar goed houdt de ICTers in de wereld ook heerlijk aan het werk.

Laat Europa maar eerst verbieden om Amerikaanse cloud te gebruiken voor privacy gevoelige gegevens. Alle Amerikaanse bedrijven die rekencentra in Europa hebben en zich niet aan de Europese wetten houden mogen er ook aan geloven. En al die landen die samenspannen met de US maar een flinke boete te geven omdat ze hun eigen en Europese wetten negeren. Dat geldt steek je dan in lokale IT en infrastructuur om daar versneld capaciteit te vergroten.
En wat regelgeving betreft mogen ze nog wel eens wat beter in het Transatlantisch Pact wat nu in het geheim uitontwikkeld wordt duiken want daar zullen vast nog wel punten te vinden zijn die niet in de haak blijken te zijn.

Zolang Europa en Amerika zo erg van elkaar afhankelijk zijn, zullen ze elkaar nooit echt straffen.

Dus je kan zelf wel 'back-door-vrije' systemen proberen te bouwen, als het de USA alsnog lukt om in te breken, heeft dit toch geen gevolgen. Hoogstens een hoge pief die spijt betuigd en aftreedt, maar daar houdt het mee op.

Als je wilt voorkomen dat een inbreker je voordeur openkrijgt, heb je geen advocaat, maar een goed slot nodig.

En wat doe je als de inbreker reeds binnen is? Met alle nieuwsberichten van de laatste tijd geloof ik dat we momenteel meer hebben aan een goede advocaat.

nieuws: 'Verbod op massaal tappen internetverkeer is achterhaald'
nieuws: Nederlandse overheid wil reisgegevens alle burgers opslaan
reviews: Datahonger: de Nederlandse geheime dienst wil alles weten

Amerika zet bedrijven onder druk door ze met embargos en straffen te dreigen als ze niet alle data overhandigen. Ook die van niet-Amerikaanse burgers. Dat geldt ook voor Europese bedrijven met een vestiging in Amerika. Die bedrijven werken mee omdat er geen repercusiies zijn voor het meewerken.

Als Europa gezamelijk even strenge wetgeving instelt als de Amerikanen, dan is het voor die bedrijven in ieder geval niet meer zo eenvoudig om de NSA in alles ter wille te zijn. Als we zo de Amerikaanse economische belangen schaden zullen ze misschien wel genegen zijn te overleggen.

Dat zij op deze manier acceptatie probeert te creëren voor het gedrag van de veiligheidsdiensten?

Ik denk dat we voorlopig, zeker de komende jaren, grote vraagtekens moeten zetten bij clouddiensten waar dan ook. Als mevr. Kroes al zegt dat spionage niet zal veranderen kun je niet anders dan zelf ervoor zorgen dat je de risico's minimeert.

Dat zou ik een niet naïeve benadering willen noemen.

Ik denk persoonlijk dat het erg goed is dat hier aandacht aan wordt geschonken!

Nu heeft Europa natuurlijk niet een deur naar de buitenwereld maar het is zeker in de goede richting.