Zo werkt Tweakers met klokkenluidersplatform Publeaks - update

Update - sinds 2024 werkt Tweakers niet langer meer met Publeaks. De tijdsinvestering die het opvolgen van tips ons kostte, stond niet meer in verhouding met de hoeveelheid bruikbaar nieuws dat we eruit haalden. Om ons te tippen kun je nog steeds nieuwstips insturen, of individueel contact opnemen met redacteuren. Veel van hen hebben manieren om anoniem contact op te nemen, zoals ikzelf.

Als je een nieuwstip hebt die je graag aan Tweakers wil doorgeven kan dat op veel verschillende manieren. Je kunt een submit insturen, of redacteuren individueel mailen. Maar als je daarbij écht gegarandeerd anoniem wil blijven kun je het beste Publeaks gebruiken. Dat is een onderdeel van het Globaleaks-netwerk voor klokkenluiders, en Tweakers is erbij aangesloten. We vertellen je in dit artikel wat je met Publeaks kunt en hoe dat platform zorgt dat je echt anoniem blijft.

Er zijn in Nederland een kleine twintig media aangesloten bij Publeaks. Het gaat om bekende titels zoals de Volkskrant en de NOS, maar ook onderzoeksplatformen zoals Follow The Money en Investico zijn bereikbaar via dat systeem, en uiteraard Tweakers dus ook. Tipgevers geven er misstanden mee door waarvan ze vinden dat die de media moeten bereiken. Ook plaatsen veel aangesloten media oproepen als ze ergens documenten over willen hebben. Journalisten die bijvoorbeeld documenten opvragen via de Wet openbaarheid van bestuur krijgen vaak veel weggelakte informatie te zien. Als ze toch willen weten wat daar achter stond, bijvoorbeeld om verder onderzoek te doen, kunnen ze ambtenaren vragen de originele documenten via Publeaks in te sturen.

Tor

Een klokkenluider kan een tip indienen via zowel Publeaks.nl als via Tor. Een tip kan bestaan uit alleen tekst, maar ook uit documenten. Die leveren dan bijvoorbeeld extra bewijs voor een claim. Documenten worden door het platform versleuteld met PGP.

In sommige gevallen kan het nodig zijn dat een medium aanvullende vragen heeft aan de klokkenluider. Daarom is het mogelijk voor de klokkenluider om de status van zijn melding te bekijken en die vragen te beantwoorden. Dat kan met een eenmalige code die de tipgever te zien krijgt na het inloggen - al slaat lang niet iedereen die op, wat soms wel eens frustrerend kan zijn omdat een tip daarmee tot een doodlopend spoor kan leiden.

Publeaks wordt gehost door Greenhost en zit achter een Tor-node waardoor niet te achterhalen is wie een bestand heeft geüpload - of waar de fysieke server überhaupt staat. Door achter een Tor-node te zitten is het ook mogelijk om relatief veilig te tippen via de gewone Publeaks-website. Er wordt dan een proxy opgezet richting de Publeaks-server, al blijft het natuurlijk altijd veiliger wel via Tor te tippen.

De software van Publeaks is gebaseerd op die van Globaleaks. Dat wordt gebouwd door het nonprofit Hermes Center for Transparancy and Digital Human Rights, dat de software beschikbaar stelt als klokkenluidersplatform in allerlei landen. Zo hebben veel andere landen hun eigen versie van Publeaks. Globaleaks is specifiek gebouwd om zo veilig mogelijk te zijn, bijvoorbeeld door regelmatig security-audits uit te voeren.

Zo werkt Tweakers met Publeaks

Als er een nieuwe tip binnenkomt krijgen we daar een e-mail over. Vanuit de redactie kunnen we Publeaks makkelijk benaderen via Tor - het inloggen op de dienst is simpel met gewoon een wachtwoord. Toch doen we dat het liefst niet op iedere computer. We gebruiken daarvoor Tails, een opensource en portable besturingssysteem dat is gericht op anonimiteit en beveiliging. We hebben een bootable USB-stick met The Amnesic Incognito Live System erop, waar we een versleuteld persistent storage op hebben aangemaakt om bestanden uit Publeaks op te slaan.

Binnen TAILs gebruiken we verschillende manieren om onszelf anoniem te houden. Het OS moet worden geboot met een uniek wachtwoord, maar ook voor andere applicaties zijn wachtwoorden nodig. Die staan in KeePassX waar ook weer een apart wachtwoord voor wordt gebruikt. Daarmee kunnen we inloggen op de Publeaks-site via Tor - ook weer met een ander wachtwoord.

Pgp

Tips die binnenkomen op Publeaks zijn gewoon zo te lezen. Voor bijlages geldt dat niet zo. Die worden standaard versleuteld met PGP. Iedereen die daar wel eens mee heeft gewerkt weet dan waarschijnlijk al wel hoe laat het is, want het is een hoop gedoe om key pairs aan te maken en de publieke sleutel naar de Publeaks-server te uploaden. De private key wordt vervolgens ook weer opgeslagen in KeePassX. Bij iedere update aan de serverzijde van Globaleaks moet er weer een nieuwe key pair worden aangemaakt, net als elke keer dat iemand zijn wachtwoord voor de dienst vergeet - en niet te vergeten periodiek, want de aangemaakte sleutels hebben een verlooptijd.

Met bijlages moeten we voorzichtig zijn. Het is verleidelijk die gewoon op te slaan en eventueel naar collega's door te mailen, maar juist dat kan gevaren opleveren voor de klokkenluider. Metadata in de files kan bijvoorbeeld leiden naar de originele bron. Daarom gebruiken we, naast de encryptie, altijd eerst TAILs' ingebouwde tool om die metadata te scrubben van een bestand.

Publeaks is slechts een van de kanalen waarop Tweakers te bereiken is. Vaak kan een submit al goed genoeg zijn, of een DM aan een redacteur, en voor meer privacygevoelige info of bijvoorbeeld datalekken die nog niet bekend zijn, zijn redacteuren prima via bijvoorbeeld Signal te benaderen. Maar informatie waar je je identiteit écht niet aan wil koppelen en waarbij je écht anoniem wil blijven, dat kun je het best via Publeaks insturen.

Reacties (51)

[jurroen]

Dankjewel voor deze blik achter de schermen. Heel interessant en bewonderenswaardig dat jullie open staan om klokkenluiders te helpen informatie/misstanden onder de aandacht te brengen. Na aanleiding van het artikel wel een aantal vragen; hopelijk wil je die beantwoorden:

• Enige tijd geleden heb ik de technische opzet van Publeaks/Globaleaks en alternatieven onderzocht. SecureDrop leek hierin - qua technische opzet - superieur aan Globaleaks. Is SD mogelijk ook overwogen, al dan niet gehost door Tweakers.net?
• Het bieden van een 'clearweb' proxy zoals Publeaks dat doet is gebruiksvriendelijk, maar ook gelijk een risico; die proxy heeft immers de (technische) mogelijkheid om al het verkeer wat er doorheen gaat af te vangen en te loggen. Inclusief de afkomst ervan. Is het vertrouwen in de hostende partij zo hoog dat dit een geaccepteerd risico is?
• Dat er bij updates van Globaleaks nieuwe GPG keys gegenereerd moeten worden komt wat... onhandig over. Er valt zeker wat te zeggen voor het gebruik van keys met een geldigheid van een jaar (in plaats van oneindig geldig), Is dit eventueel te ondervangen door na een update de keys opnieuw te uploaden?
• Verder viel het mij op dat zowel publeaks.nl een 3072-bits RSA key gebruikt voor de TLS en secure.publeaks.nl een 2048-bits RSA key; persoonlijk zou ik aanraden om hier minimaal een 4096 bits key van te maken of nog beter: ECC. Het ACME protocol (Lets Encrypt) ondersteund RSA tot 4096 en ECC. Ook mist publeaks.nl de HSTS header (secure.publeaks.nl heeft deze wel). Misschien interessant om eens naar te kijken of door te geven?

PGP/GPG kan inderdaad enorm lastig in gebruik zijn. Moderne versies van Thunderbird hebben ingebouwde ondersteuning voor PGP/GPG, wat enorm veel gebruiksvriendelijker werkt dan Enigmail

[TijsZonderH]

• SecureDrop is inderdaad erg goed voor het versturen van data. Of het beter is, dat durf ik niet zo stellig te zeggen. Wel is Publeaks echt gericht door media en dan vooral 'gewone' media. Die hebben vaak niet de kennis om zo'n ingewikkeld tipsysteem te bouwen en te onderhouden én te controleren. Publeaks doet meer dan alleen simpelweg het hosten; het geeft een jaarlijkse opfriscursus aan media, helpt bij het instellen van de tool, maakt handleidingen voor goede workflows, en het zorgt voor promotie onder klokkenluiders en andere media.
• We hebben voor zover ik weet zelf nooit SD overwogen te hosten. Eerlijk gezegd lijkt me dat ook wat overbodig - het is veel werk voor relatief weinig opbrengst en weinig meerwaarde tov Publeaks.
• Ik denk als je gaat threatmodelen denk ik zeker wel dat Publeaks goed te vertrouwen is. Dat wordt in Nederland ondersteund door Free Press Unlimited en Greenhost is wmb een betrouwbare partij, maar inderdaad, je loopt een klein risico. Ik denk dat dat verwaarloosbaar is tenzij je Edward Snowden-niveau's van lekken aanbiedt - en op dat moment ga je voor andere opties denk ik.
• Volgens mij kan dat, maar weet ik niet helemaal zeker. Voor mij is het ook alweer een tijd geleden dat ik PGP in de praktijk heb gebruikt..
• Nooit zo op gelet maar inderdaad goede opmerking, dat geef ik zeker door ja! Zou goed kunnen dat daar praktische redenen voor zijn maar dat weet ik niet

Wat betreft PGP: Tails heeft Thunderbird ingebouwd dus je zou het daarop kunnen gebruiken. Maar de Decrypt-tool in Tails werkt ook goed en als je de handleiding van Publeaks gewoon volgt is ontsleutelen van docs supersimpel.

[jurroen]

Enorm bedankt voor je reactie! stel ik zeker op prijs.

• De beter bedoelde ik eigenlijk alleen in technische zin, bijvoorbeeld de architectuur, maar ook diepgaandere techniek zoals een IDS, hardening van het OS, etc. Dat miste ik destijds bij Globaleaks. Kan wel dat ze daarin een flinke verbeterslag hebben gemaakt, als ik een schatting moet doen is het een jaar of twee geleden dat ik het onderzocht heb. Maar, wat je zegt, er komt veel meer bij kijken. De personen die ermee werken dienen ook de kennis/know-how te hebben - bijvoorbeeld hoe metadata van gelekte documenten te verwijderen is. Dat Globaleaks opfriscursussen geeft is daarbij een belangrijke spil en vind ik bewonderenswaardig.
• Toen ik aan mijn vorige reactie begon was het de eerste. Na het versturen en verversen zag ik andere reacties en ook dat het aantal lekken via Publeaks/Globaleaks naar Tweakers.net mager is. Kan me goed voorstellen dat de kosten (financieel, maar ook effort, etc) niet opwegen tegen de baten.
• Ik ben het helemaal met je eens dat - in ieder geval Greenhost - overkomt als een betrouwbare partij. Incidenteel heb ik wel eens contact met ze gehad met wat projecten. Maar dat ze betrouwbaar zijn naar jouw en mijn mening wil (helaas) in de praktijk niet alles zeggen. Helaas is er nog niet de techniek om te verifieren of een bepaalde config ook echt op een server draait. Een audit (pentest) kan bijvoorbeeld ook niet aantonen of logging aan of uitstaat. Hopelijk komt dit ooit nog.
• Interessante, ga ik eens nazoeken. Mocht dat niet kunnen en ik wat tijd over hebben zal ik kijken of ik het indienen als pull request

Wat PGP in Tails betreft, jep. Het maakt het ook veiliger om het in een disposable (tijdelijke) omgeving te doen zoals Tails. Na rebooten blijft er geen data op het systeem zelf staan,

[wica]

Mis eigenlijk de meest belangrijke tip. Doe dit niet vanaf je werk. Tor verkeer en verkeer naar Publeaks is gemakkelijk te herkennen.

[CH4OS]

Sowieso lijkt het mij handig om als je al informatie wilt delen/lekken, dat je met de basis begint en dus gebruikt maakt van een VPN verbinding alvorens via Tor dus het een en ander te delen.

EDIT:
Kleine verdere duiding nav het bericht van @Blacklight447: Ik doel dan op een VPN verbinding naar bijvoorbeeld huis of een VPS bijvoorbeeld die je zelf opgezet hebt, niet zozeer de VPN-diensten!

[Reactie gewijzigd door CH4OS op 23 juli 2024 02:50]

[Blacklight447]

Ik zou met een vpn heel voorzichtig zijn omdat er ook aanzienlijke nadelen zitten aan deze werk methode: https://write.privacytool...-recipes-vpn-not-required

[Reactie gewijzigd door Blacklight447 op 23 juli 2024 02:50]

[CH4OS]

Ik bedoelde vooral een eigen VPN opzetten naar bijvoorbeeld thuis, ik zal dat even in mijn post erbij zetten.
Vanuit thuis dan vervolgens naar Tor om je documenten en info te lekken.

[wica]

Misschien kan @TijsZonderH eens een artikel maken, hoe je veilig kan lekken en je spoor minimaal kan houden.

[prodesk]

Lappen tekst is nog te doen, talloze platformen voor. Maar wat als je gigabytes aan data hebt en vertrouwelijk wilt lekken?

[TijsZonderH]

In dat geval is Publeaks inderdaad niet het meest praktisch, dan zou ik eerder Securedrop gebruiken. Maar vaak is het niet nuttig om uit het niets meteen gigabytes aan info te dumpen via een website, klokkenluiders tonen meestal gewoon één document en als je door wil zetten volgt de rest. Voor dat eerste contact is Publeaks wel degelijk geschikt.

[Blokker_1999]

Contact opzoeken via dit platform en met de betreffende contactpersonen een manier afspreken om de data veilig, maar anoniem bij die persoon te krijgen.

[Tim_bots]

Een USB stick op straat leggen is natuurlijk een prima oplossing. Natuurlijk wel eerst alle data versleutelen en de USB stick vermommen (zie 1 van de "wired tradecraft" filmpjes op YouTube voor tips).
Een zeer gemakkelijke methode om meerder gigabytes aan data te lekken. (Doe dit wel in een bos ofzo.)

[Ludewig]

De Amerikanen gebruikten wel eens dode ratten, die ze behandeld hadden met sterke pepers om dieren weg te houden.

Wel een beetje onsmakelijk.

[The Zep Man]

Hoe gaat tweakers.net om met lekken betreffende tweakers.net en DPG?

[wica]

Je hoeft niet te lekken via publeaks of een ander platform.
Neem een USB dongle, sluit die aan op je laptop start op o.a. tails. Zoek een open access point en post het op internet.

[TijsZonderH]

Tweakers heeft een responsibledisclosurebeleid waar je daarvoor terecht kunt. DPG heeft daar ook een eigen beleid voor.

[Zomaareenmening]

Zat er net aan te denken. Nu ook nog medewerkers en andere mensen oproepen om specifiek alles wat mis gaat bij tweakers en DPG openbaar te maken via andere fora ? Krijg er toch wel een beetje een Stasi gevoel bij hoor...

[Reactie gewijzigd door Zomaareenmening op 23 juli 2024 02:50]

[BeepBoop]

Publeaks wordt gehost door Greenhost en zit achter een Tor-node waardoor niet te achterhalen is wie een bestand heeft geüpload

Nee. Dat klopt niet. Als je vanaf een systeem van je werkgever bestanden upload naar publeaks is er wel degelijk te achterhalen wie die bestanden heeft geüpload als het bedrijf zijn logging op een degelijke manier heeft opgezet.

[i-chat]

ook als je die data op een usbstick zet, of soms zelfs als je de logginserver even een reboot geeft.

de kunst is natuurlijk om te 'zorgen' dat die loging-server crashed voordat je die data ophaalt en dat die zo snel mogelijk weer gereboot wordt

[wica]

de kunst is natuurlijk om te 'zorgen' dat die loging-server crashed voordat je die data ophaalt en dat die zo snel mogelijk weer gereboot wordt

Kan je dan nog wel spreken van een klokkenluider en loop je niet een enorm risico, als ze er achter komen dat jij het was. Je leven helemaal voorbij is?

Om klokkenluiders tegen te gaan wordt al de hele juridische trukendoos geopend, dan wil je niet dat ze je op o.a. hacken kunnen gaan pakken.

[i-chat]

mee eens;)

Gelukkig is het in de praktijk natuurlijk zelden zo zwart-wit logging is zelden helemaal (netjes) op orde en meestal kun je zo'n document dus wel weg krijgen als je je best een beetje doet. (die eerder genoemde gigabytes aan data zullen lastiger worden, en vermoedelijk ook vaker door hackers van buitenaf gestolen worden)

Desondanks zul je als klokkenluider behoorlijke risico's lopen zelfs als de redactie niet weet wie jij bent.

[Blokker_1999]

Denk dat ze daar vooral bedoelen dat zij, als platform, niet kunnen achterhalen wie het heeft verstuurd. Hoe je het veilig verstuurd, daar moet je natuurlijk zelf zorg voor dragen.

[Mushroomician]

Een concurrent/aanvulling op wikileaks.
Zouden Chelsea Manning en Edward Snowden hiermee betere bescherming hebben gehad of had het waarschijnlijk geen verschil gemaakt?

[jurroen]

In het geval van Edward Snowden, heb je toevallig Citizen Four gezien? Super interessante documentaire. Verder is ook het boek van Glenn Greenwald, No Place to Hide erg interessant.

Edward Snowden heeft er zelf voor gekozen om zijn identiteit al vrij snel te onthullen, zodat hij zelf (beperkte) sturing kon geven daaraan en de Amerikaanse overheid minder tijd geven om zijn persoon in diskrediet te brengen.

Maar nee. Ik denk niet dat Globaleaks of SecureDrop meer bescherming hadden gegeven, met name door de capaciteit van de (in dit geval) Amerikaanse overheid. Wellicht dat het bij proper gebruik van beide kanten wat meer tijd had gegeven. Maar vergis je niet, de partij waarover de klok wordt geluid kan meestal wel achterhalen waar die documenten vandaan komen en het zo correleren naar "het lek".

Een platform als Globaleaks en SecureDrop zijn geen bescherming, hooguit geven ze wat meer tijd in het achterhalen van de bron.

[Malarky]

Nee, want de overheid kan in korte tijd achterhalen op basis van audit trails, werktijden, gedrag etc. welke selecte groep medewerkers verdacht is in eerste instantie.

Als jij dan thuis als enige allerlei verkeer versleuteld over Internet en de andere verdachte collega’s vrolijk op het web browsen dan weet de overheid al heel snel wie iets te verbergen heeft.

[Blokker_1999]

Metadata in de files kan bijvoorbeeld leiden naar de originele bron. Daarom gebruiken we, naast de encryptie, altijd eerst TAILs' ingebouwde tool om die metadata te scrubben van een bestand.

Ik zien dat Tails hiervoor mat2 gebruikt om de metadata te verwijderen, maar ik kan niet snel een overzicht vinden van wat zij als metadata beschouwen.

En wordt er op Tails gekeken naar de inhoud van een document voor scrubbing om te zien of daar geen belangrijke data instaat die mogelijks alsnog verdwijnt bij het opkuisen indien mat2 alles wat aanzien kan worden als metadata gestript wordt? Denk bijvoorbeeld aan commentaarbubbels in Office.

[TijsZonderH]

Goeie vraag, dat weet ik eerlijk gezegd ook niet maar ik volgens mij is mat2 inmiddels wel dé tool die je wil gebruiken hiervoor, of zijn er echt significant betere? Ik ken ze iig niet...

Binnen Tails lezen we de originele documenten altijd gewoon en sowieso gaat vóór eventuele publicatie alle persoonlijk identificeerbare informatie uit het verhaal. Het metadata-scrubben doen we eigenlijk vooral als we een document doorsturen naar collega's of andere media, of verplaatsen naar andere pc's (al doen we dat laatste het liefst zo weinig mogelijk).

[Blacklight447]

Er is ook: https://exifcleaner.com/


Deze hebben wij na onderzoek enige tijd geleden ook toegevoegd aan privacytools.

[Thom2289]

Is het ook inzichtelijk hoeveel artikelen er naar aanleiding van deze publeaks zijn geschreven?

[TijsZonderH]

Nee, het zijn er voor Tweakers ook niet heel veel (vandaar deze oproep!). Ik wil wel kijken of ik met bv tags kan aangeven als Publeaks is gebruikt voor een publicatie.

[HenkEisDS]

Ik mis een paar dingen in dit artikel:
- Heeft tweakers al eens iets gepubliceerd dat via publeaks is binnengekomen?
- Wat waren de ervaringen van de redacteurs van dienst?

@TijsZonderH

edit: Dank!

[Reactie gewijzigd door HenkEisDS op 23 juli 2024 02:50]

[TijsZonderH]

Ja, af en toe, een datalek hier en daar en wel eens iets over telecom, maar ik geef toe dat het erg weinig is.

Ik ben op dit moment de redacteur die er mee bezig is, dwz ik check de tips en geef die eventueel door aan collega's waar nodig. Mijn ervaring is best ok als het eenmaal opgezet is, dan is het simpelweg Tor aanslingeren en inloggen. Het wordt gedoe als je bijlages moet ontsleutelen en je sleutel moet vervangen oid.

[Pogostokje]

Ik heb twee vragen.

Hoe bepaal jij, of Tweakers in het algemeen, waar de grens ligt tussen nieuwswaarde en bedrijfje-pesten? Zeker bij IT'ers met relatief makkelijk toegang tot informatie binnen een bedrijf is lekken van vertrouwelijke informatie misschien wel iets wat sneller kan gebeuren.

En, bestaat er een richtlijn waar maatschappelijk belang in terugkomt, dus waarbij publiceren dermate schadelijk is voor een grotere groep mensen dat het beter niet gedaan kan worden?

@TijsZonderH

[Reactie gewijzigd door Pogostokje op 23 juli 2024 02:50]

[DR!5EQ]

Een stel goeie vragen waar ik ook graag antwoorden op zie.

[TijsZonderH]

Lastige vraag, omdat ik eigenlijk niet echt een situatie kan bedenken waarin dat dilemma zou voorkomen. Heb je een voorbeeld van iets waarbij je een afweging zou moeten maken tussen nieuws en 'bedrijfje pesten'? Bij dat laatste denk ik namelijk aan iets waarvan het bedrijf niet blij is als het bekend wordt omdat ze dat niet willen, maar dat is de kern van journalistiek.

Wat je tweede punt betreft, als informatie schade aan mensen kan opleveren moet je er altijd terughoudend mee zijn maar 'schade' is in dit geval een moeilijk begrip. Fysieke schade? Dan moet je uiteraard niet publiceren. Imagoschade? Dan hangt het er heel veel vanaf.