'NSA hackte Belgische professor cryptografie'

De NSA en de GCHQ lijken het systeem van de Belgische professor cryptografie Jean-Jacques Quisquater binnengedrongen te zijn. Bij het onderzoek naar de hack bij Belgacom werd ontdekt dat met vergelijkbare technieken de privépersoon was aangevallen.

Quisquater is professor cryptografie aan de UCL in Louvain-La-Neuve. Hij werkte eerder onder andere bij Philips aan smartcards op basis van DES en ook ontwikkelde hij mede het Guillou-Quisquater-protocol. Technologie die de professor bedacht heeft zou verwerkt zijn in chipkaarten wereldwijd, terwijl het GQ-protocol in miljoenen systemen met Novell-diensten gebruikt is. Dat zou hem volgens De Standaard tot interessant doelwit van de NSA maken.

Het systeem van de professor zou een half jaar geleden besmet zijn, met aftapsoftware die via een vervalste LinkedIn-uitnodiging werd binnengesmokkeld. Op dezelfde manier werden medewerkers van Belgacom aangevallen door de Amerikaanse NSA en de Britse GCHQ om de infrastructuur van de provider binnen te dringen. Bij de spionagediensten zou deze methode onder de naam Quantum Insert bekendstaan.

Het Belgische federaal parket is een onderzoek gestart naar de hack en Quisquater heeft een klacht ingediend bij het gerecht.

Reacties (74)

[-Moondust-]

Wanneer wordt het ons allemaal duidel;duidelijk dat de NSA naast eventueel het opsporen van boeven zich op grote schaal vooral bezighoudt met de versteviging van de powers that be. Men wil een voorsprong hebben in techniek en hackt er daarvoor op los. De NSA en andere inlichtingendiensten (ook die in Nederland) zijn echt niet alleen bezig met onze veiligheid. Het is heel erg naief om te blijven denken dat dat wel zo is. Liegen en bedriegen zie je al op grote schaal bij kinderen op de lagere school. Denken we echt dat dat anders is als we volwassen zijn? Neehoor, het liegen en bedriegen is daar nog op veel grotere schaal aanwezig, met name in de sectoren waar de macht ligt, banken, politiek, multinationals, etc. En wij maar braaf elke 4 jaar naar de stembus lopen om onze macht weg te geven aan een of andere roeptoeter die we niet eens persoonlijk kennen en hij/zij ons niet. Waarom willen mensen hier niet de idiotie van inzien? Onvoorstelbaar!

[__Pulse__]

Wanneer wordt het ons allemaal duidel;duidelijk dat de NSA naast eventueel het opsporen van boeven zich op grote schaal vooral bezighoudt met de versteviging van de powers that be

Dat "eventueel naar boeven" zoeken mag je rustig weg laten hoor, sinds juni vorig jaar heb ik niets gehoord wat maar enigszins te maken heeft met 'boeven' vs the NSA.
(wel heel veel over macht en de misbruik daarvan)

[-Moondust-]

Ik weet niet hoe de verhouding ligt tussen boeven vangen en macht verstevigen/uitbreiden, maar zoals bij elke organisatie die slechte dingen doet is er altijd een deel dat oprecht denkt het goede te doen. Zo keek ik gisteren naar de zeer interessante documentaire Blackfish over orca's in gevangenschap. Er kwamen diverse ex-trainers aan het woord die zich achteraf gezien allemaal doodschamen voor wat ze gedaan hebben. Ze geven allemaal toe dat ze zich hebben laten verleiden door de mooie verhalen en feitelijk net als de orca's uitgebuit zijn. Ze dachten echt een band te hebben met deze imposante dieren en eht goede voor ze te doen. Inmiddels weten ze wel beter. Bij de NSA zal dat niet anders zijn.

[Dr.Root]

de professor van cryptografie, zal een uitdaging geweest zijn voor de NSA

[Niemand_Anders]

Iedereen weet toch dat je nooit op een link in een email moet klikken welke je niet verwacht.

Ik doe thuis geen bijzonder werk, maar toch heb ik een aparte virtual image welke ik gebruik om te surfen op het internet en mail. Als ik de virtual image dan weer afsluit wordt deze automatisch terug gezet naar de oorspronkelijke staat. Downloads moet ik handmatig verplaatsen van de Windows downloads folder naar de downloads share.

Blijft toch apart dat een professor cryptografie wat onder security valt niet werkt met een sandbox systeem voor zijn browser en email.

[cire]

cryptografie... dus waarschijnlijk een wiskundige die heel goed is in wiskunde, maar zich niet noodzakelijkerwijs met IT security bezighoudt

[osmosis]

Vertrouw mij. Als instanties zoals NSA ,AIVD et cetera op je gemunt hebben
Hoe goed je beveiliging ook is. Ze vinden wel een manier.

[Cerberus_tm]

Tja dat is wel heel veilig en verantwoord, maar zoveel werk! En je hebt geen directe link tussen je browser en andere programma's: ik wil b.v. een muisgebaar kunnen maken om automatisch een woord op een website op te zoeken in de Oxford English Dictionary (geïnstalleerd op mijn computer). En dat is maar één van talloze voorbeelden hoe mijn computer alles wat ik doe efficiënter maakt. Dan zou ik al die programma's ook in die virtuele machine moeten installeren. Dan loopt het vast minder vlot. En als ik nou een bookmark toevoeg aan mijn browser? Of tabs open wil laten staan? Bij terugzetting van de virtuele machine worden alle veranderingen gewist...

Het zou misschien wel een idee zijn om Internetbankieren en -aankopen alleen via een VM te doen, dat is misschien nog wel haalbaar qua luiheid. Ik zal er eens over nadenken.

[Reactie gewijzigd door Cerberus_tm op 24 juli 2024 02:13]

[SpiderTex]

Ik betwijfel sterk dat de meeste tweakers even een virtual image opstarten om hun favoriete tweakers site te gaan lezen... laat staan de doorsnee medemens....

[rob12424]

Hopen dat Qubes os snel af is. Dan kan dat wel!

Maar idd eeen lxc container bouwen gaat steeds sneller maar net als een chroot jail niet elke standaard tweaker doet dat. Al had ik van een cryptochrafist wel verwacht dat hij Zijn systemen gescheiden hield? (je zou toch moeten denken dat zo'n man beter weet? )

[Yoshi]

er staat natuurlijk nergens niet dat dat niet het geval is ;-)

[Dr.Root]

Ook kun je met malavide software een sandbox ''un-sandboxen'' zonder dat de gebruiker dit door heeft. Als jij een bepaald product tussen zijn internetverkeer rost, die alles opslaat in een database wat het doelwit heeft gelezen, wat hij heeft gedownload etc..etc.. dan ben je ook al niet meer veilig via een Sandbox.

Je zorgt er alleen maar voor dat de kwaadwillende partij / bespionerende partij er iets meer moeite voor moet doen.

[Reactie gewijzigd door Dr.Root op 24 juli 2024 02:13]

[w3news]

Je kan ook eigenlijk in elk huis inbreken, of je gewoon voordoen als iemand van een bepaald bedrijf oid, zo is het ook via de elektronische manier, hoe goed je je huis ook weet te beveiligen, er is vrijwel altijd een manier om er binnen te komen, het is meer een manier om het lastiger te maken.
Ik vraag mij alleen af wat de reden van de NSA was, het lijkt mij niet normaal om dit zomaar te doen.
Je kan ook niet in ieder huis rondsnuffelen als overheid, zo is het ook met de computer e.d. van de burgers.
Het is niet dat je wat te verbergen moet hebben, maar is het normaal als ze ongevraagd je huis even rondneuzen?

[blorf]

Geen idee of het allemaal echt waar is. De namen Standaard en Belgacom doen me enigzins twijfelen maar dat zal een vooroordeel kunnen zijn. Ook die quantum-insert techniek klinkt dubieus. Geen idee wat het precies is, maar het lijkt op het exploiteren van een kwetsbaarheid die de telecomprovider blijkbaar al kende, alsmede de identiteit van degenen die dat toepasten. Er klopt hier iets niet, als je het mij vraagt.

[Akufen]

Je kan het document er op naslaan, ze spreken hier nergens over "quantum insert", maar volgens mij is het wel deze techniek waar het over gaat.
https://www.eff.org/files...l-tao_quantum_tasking.pdf

Overzicht van documenten:
https://www.eff.org/nsa-spying/nsadocs

[kdhoe]

Waarom doet de naam De Standaard je twijfelen? Dit is nu niet echt een Vlaamse sensatiekrant. Had er Het Laatste Nieuws (HLN) gestaan, kon ik je volgen

[Erycius]

De Standaard en HLN hebben al een tijd dezelfde redactie hoor. De Standaard is al lang niet meer de onafhankelijke kwaliteitskrant die het ooit was.

[needless to say]

Lijkt mij sterk aangezien het verschillende mediagroepen betreft. Bedoel je niet het nieuwsblad en de standaard?

ik volg je wel on je oordeel dat de online versie wat meer de sensatie opzoekt. De papieren versie onderscheidt zich wel positief van de meeste andere kranten.

[kdhoe]

De artikels op de Standaard en Het Nieuwsblad zijn online soms dezelfde. Maar HLN heeft niets te maken met De Standaard.

[Verwijderd]

Geen idee of het allemaal echt waar is. De namen Standaard en Belgacom doen me enigzins twijfelen maar dat zal een vooroordeel kunnen zijn. Ook die quantum-insert techniek klinkt dubieus. Geen idee wat het precies is, maar het lijkt op het exploiteren van een kwetsbaarheid die de telecomprovider blijkbaar al kende, alsmede de identiteit van degenen die dat toepasten. Er klopt hier iets niet, als je het mij vraagt.

Quantum-insert hout alleen in dat ze via een website of link in een emailtje malware op je pc injecteren. De normale mens kent het meer als phishing of keylogging.

[cire]

*reactie op Niemand_Anders..

dat klopt natuurlijk, maar emails van linkedin krijgt (bijna) iedereen. Dus als die email maar goed genoeg is nagemaakt, met misschien gegevens van iemand die je echt kent, klik ik er ook op...

Afgezien daarvan... het bedrijf waar ik werk probeert ook iedereen bewust te maken van dit soort emails. Tegelijkertijd besluit de PR afdeling om emails intern rond te sturen met de meest vreemde links naar de buitenwereld. Zo gemakkelijk is het niet altijd

[Reactie gewijzigd door cire op 24 juli 2024 02:13]

[Cerberus_tm]

Maar als mensen erop getraind zijn om even te kijken wat de URL achter een link is door er met de muis overheen te zweven...

Ik meen me nu trouwens te herinneren dat ik ooit een instelling moest wijzigen om ervoor te zorgen dat de statusbalk altijd de echte URL achter een link laat zien? Dan zou dat dus niet standaard zijn in alle browsers? Misschien moet dat dan ook eens aangepakt worden.

[ToAoM]

Of als LinkedIn zou stoppen met het invoegen van de "Accept" knop in hun email en je instructies geeft om de linkedIn app te openen of naar de website te gaan, dan wordt het ook al lastiger .

[Cerberus_tm]

Ja...het enige is dat vriendjesverzoeken van Linked In ook weer niet heel vaak komen: mensen moeten dan zeker weten dat een verzoek met met een Accept-knop erin nep is. En ik stel me zo voor dat ze dat pas zeker weten als ze al lange tijd en zeer frequent echte verzoeken krijgen.

[SpiderTex]

Het is wel zo dat soms LinkedIn "connect" aanvragen spoof zijn. Maar meestal is dit met het doel om aan "identity theft" te doen om daarna via de fake identity in een bedrijfs omgeving binnen raken... Zo ga je sneller op een mail reageren, en dus op links klikken, komende van een [e-mail] en voila, you just infected your company network...

[Alex3]

In feite is het een vorm van oorlogvoeren, zo zou het opgevat moeten worden. Het is duidelijk dat er geen respect voor andere landen is, wat ze ook beweren.

[Verwijderd]

Dit is simpelweg de modus operandi van de NSA en soortgelijke instanties. Onder het mom van nationaal belang vinden zij het geoorloofd om alles er aan te doen om hun doel te bereiken.
De NSA heeft een team van ruim 100 agent 'Smith's die écht alles uit de kast mogen halen om hun doel te behalen.
Internationale druk om dit tegen te spreken kan eventueel wel helpen maar als de Amerikaanse economie niet meer zonder dit soort truken kan zullen zelfs de politici niet mee kunnen werken. Oftewel zorgen dat ongecompromitteerde encryptie de standaard wordt.

[robvanwijk]

De "grap" is natuurlijk dat het de VS zelf was die als eerste riep een digitale aanval met fysiek geweld te zullen vergelden. In feite hebben ze bijna alle landen op de wereld een, naar hun eigen maatstaven (!!), geldige reden gegeven om militaire actie tegen de VS te beginnen.
Okee, ik snap natuurlijk ook wel dat dat in de praktijk niet gaat gebeuren (en gelukkig maar), maar misschien zouden hun politici (of, beter nog, hun kiezers) daar eens een keer bij stil moeten staan, zich ontzettend goed achter de oren krabben en de zaken voortaan helemaal anders aanpakken.

[albatrosX1]

Het is toch te erg voor woorden.
Als een jongetje van 16 een bedrijf hackt wordt hij de rest van z'n leven de bak ingegooid. Maar als de Amerikaanse overheid zowat de hele wereld hackt niemand trekt zich daar iets van aan. Ze moeten hiervoor gestraft worden !

[biglia]

Je maakt me bang. Is dat niet wat de moslims ook al heel die tijd de Amerikanen verwijten? Ze beweren dat Amerikanen denken dat ze zich alles mogen veroorloven. Nu kan Europa dat ook eens ondervinden.

[Verwijderd]

Die moslims hadden dan ook blijkbaar gelijk. Als zij iets deden werden zij altijd in de media 'geroast' maar als USA iets deed dan was het gelijk: "God bless USA! Beat the terrorists!". Die gore double standards, en niemand die er iets tegen doet.

[WhatsappHack]

Ja en nee. Er zitten wat haken en ogen aan het gelijk hebben; op deze schaal was dat ook allemaal nog niet bekend. (Er was veel bekend, maar lang niet alles)
Het is meer een soort self-fulfilling prohecy geworden en het geweld is niet goed te noemen.

Maar of die discussie thuis hoort op Tweakers... Dat denk ik niet.

[Verwijderd]

Het systeem van de professor zou een half jaar geleden besmet zijn, met aftapsoftware die via een vervalste LinkedIn-uitnodiging werd binnengesmokkeld.

Relatief simpel... doch zo doeltreffend.

[Verwijderd]

je gaat er gemakshalve vanuit dat een professor cryptografie ook professor webdesigner/webbeveiliger is ?

[freaky]

Veel erger, men gaat er hier van uit dat iedereen met enige vorm van kennis letterlijk de 100.000.000'en bewerkingen die je computer op een dag doet met de hand analyseert lijkt het wel.

Hoeveel tweakers doen dat hier zelf? Ik gok op 0...

[HummerHealey]

Hoe werkt dat dan?

[Xatr0z]

Als je belangrijk genoeg bent heeft de NSA nog wel een exploit voor je liggen. Dus iets in MSIE, chrome of firefox, een lek in een pdf reader of javascript

Maar als jij geen highprofile target bent hoef je je niet heel erg zorgen te maken als je je systeem up2date houd, noscript installeert, slim nadenkt en bovenal *geen* windows gebruikt.

Als ik een mogelijk target zou zijn, zou ik echter geen enkele computer meer vertrouwen.

[Verwijderd]

en bovenal *geen* windows gebruikt.

Want jij denkt dat de NSA (of andere kwaadwillenden) geen exploits beschikbaar heeft voor andere OSen...?

[Reactie gewijzigd door Verwijderd op 24 juli 2024 02:13]

[JoannisO]

Ik denk niet dat de NSA voor andere OSen geen exploits heeft. Vooral als je even kijkt naar X11. Ik denk ook niet dat Windows nog de ramp is die het geweest is.

Maar ik denk wel dat UNIX-likes relatief een stuk veiliger zijn en minder vatbaar voor exploits zijn. En als je let op de packages die je installeert zul je niet zo snel aangepakt worden.

[Xatr0z]

Nee, er zijn ongetwijfeld ook bugs voor Linux. 0days zullen ze echter spaarzaam willen inzetten.

Als je echter een OS gebruikt wat closed source is, en waarvan we al jaren voor Snowden wisten dat het shipt met 'NSAKEY', de kans behoorlijk wat groter is dat je in problemen komt.
Lijkt me dus stap 1 om te stoppen met microsoft en naar alternatieven te kijken, waarmee ik dus BSD/linux bedoel en niet apple oid.

[citegrene]

Zelfs het zo veilige geroemde openbsd had in 2010 bugs, waardoor er zelfs nog een hele rel geweest is of die bugs er niet in waren gepland door de FBI.

http://www.osnews.com/sto...ckdoors_to_OpenBSD_IPSEC_

[Durandal]

Tja, ondanks zijn cryptografie professoriaat bleek de beste man niet achterdochtig genoeg.
Vervalste Linked-in uitnodiging - gepakt op zijn ijdelheid?

[WhatsappHack]

Of blind vertrouwd op een virus scanner die de infectie niet oppikte... Handcrafted virus of een 0day me thinks.

[freaky]

0day? Misschien hebben A/V scanners met een vestiging in de USA wel de verplichting om binaries met een bepaalde signature niet op te merken.

En zo rol je van vraagstuk naar vraagstuk .

[goarilla]

Hij heeft zelf op een malafide link geklikt van een gespoofde mail. Dan heeft hij nog een jaar lang die laptop rondgesleurd. De man geeft dan nog de volgende commentaar op een interview van de Standaard "Als ik gehackt ben, dan zijn er nog honderden andere privépersonen die dat ook zijn. Er moeten ook in België nog anderen zijn", terwijl hij nederig had moeten zijn. Wat een kwal.

[mhkool]

Het kan iedereen overkomen. Zelfs met mijn antivirus en achterdochtige instelling bij het klikken op links kan het mij ook overkomen. De meeste spam en rotzooi negeer je maar een echt lijkende uitnodiging klik je op. Dus dat het een cryptografie expert overkomt is niets vreemds.

Het probleem is en blijft Windows+browsers: Windows is en blijft lek, en browsers hebben tal van mogelijkheden met flash, java en javascript dat het niet zo moeilijk is om steeds maar weer een achterdeurtje te vinden.
Ik zit nog steeds te wachten op een browser die de functionaliteit beperkt en daardoor veel veiliger is. Als daardoor een paar sites niet werken, so be it. Belangrijke niet meer werkende sites zoals je bank zou je eventueel in een aparte browser kunnen openen.

[Fiber]

Het lijkt mij zo langzamerhand geen nieuws meer als iets of iemand door de NSA gehackt en/of afgeluisterd wordt. Het is volgens mij tegenwoordig pas nieuws als het de NSA niet lukt om iets of iemand te hacken en/of af te luisteren...

[M_Rodrigues]

Echt heel storend dat er telkens meer bedrijfsspionage gevallen aan het licht komen.

Off-topic: Weet iemand hoe je kan checken of je zelf afgeluisterd wordt?

[Kurgan]

Ja hoor, heel simpel. Je zegt gewoon dat je een belangrijke Amerikaan iets gaat aandoen en als er dan opeens zwarte auto's door je straat rijden werd je afgeluisterd. En zo niet, dan duurt dat niet lang meer.

Als het echt zo makkelijk zou zijn om erachter te komen zou het afluisteren ook niet zoveel zin hebben he?

De beerput gaat trouwens wel steeds verder open, het kan niet anders dan dat dit uiteindelijk gevolgen gaat hebben voor de Amerikaanse economie. Wie wil er nu zaken doen met een land wat meteen al je bedrijfsgeheimen steelt en doorgeeft aan je Amerikaanse concurrenten? Ze zijn echt veel te ver gegaan. Macht maakt corrupt...

[M_Rodrigues]

Ok ok, wellicht een iets te simpele vraagstelling maar is er een manier om te zien welke linked-in uitnodiging 'besmet' is en welke niet? Ben geen programmeur maar wellicht valt er iets af te leiden uit het pad waar de uitnodiging in de mail naar verwijst? Of iets dergelijks?

[WhatsappHack]

Ik roep eens in de zoveel tijd hard op in mn woonkamer "IK WEET DAT JE MEELUISTERT!", just in case. Als je dan opeens een motor hoort starten en een busje ziet wegrijden weet je hoelaat het is.

[Verwijderd]

wat heeft dit in godsnaam te maken met nationale veiligheid NSA?

[CH4OS]

wat heeft dit in godsnaam te maken met nationale veiligheid NSA?

Aangezien Quisquater gewerkt heeft aan diverse zaken, o.a. smartcards (die gebruikt kunnen worden voor een diversiteit aan toegangen, denk niet alleen aan computers, maar ook gebouwen e.d.) kunnen zij dus (mits ze weten waar het toegepast is) natuurlijk precies doen en laten wat ze willen, buiten het reguliere beheer om, omdat ze - mits de NSA / GCHQ hebben wat ze zoeken - nu wellicht ongezien het 'remote beheer' kunnen doen. Dan kan het dus zijn dat een mogelijke terreurverdachte 'opeens' een gebouw niet meer in kan...

[Amanoo]

Huh, de NSA is er voor nationale veiligheid? Ik dacht dat een belangrijk punt voor hen bedrijfsspionage was. Goed, ze zeggen wel dat ze niet aan bedrijfsspionage doen, maar als je Europese handelsinstituten zit te infiltreren doet dat me toch wel even achter de oren krabben, want dan is er toch dat vermoeden dat iemand staat te jokken.