PGP-bedenker verdedigt backdoor in Hushmail
Twee weken geleden werd bekend dat Hushmail, aanbieder van veilige webmail, de sleutels van haar gebruikers achterhaalt en doorspeelt aan de Amerikaanse overheid. In totaal werden 12 CD's met e-mails, waarvan de afzenders dachten dat ze versleuteld waren, aan justitie overhandigd. Het bedrijf, dat altijd stellig beweerde dat zelfs Hushmail werknemers niet de berichten kunnen lezen, heeft de omschrijving van haar beveiliging aangepast. Nu staat er dat men na ontvangst van een gerechtelijk bevel alles moet doen om zich aan de wet te houden.
"Dat 'alles' omvat ook het sturen van een kwaadaardig Java applet om de passphrase van hun gebruikers naar Hushmail te sturen, om zo de overheid toegang tot alle opgeslagen en in de toekomst te versturen en ontvangen e-mails te geven", zegt Ryan Singel.
Phil Zimmermann, de bedenker van Pretty Good Privacy (PGP), verdedigt het overhandigen van versleutelde e-mails aan de overheid. "Alleen omdat er encryptie wordt gebruikt, wil dat nog niet zeggen dat je tegen het OM beschermd bent. Ze kunnen een service provider dwingen om samen te werken", aldus Zimmerman, die in de adviesraad van Hushmail actief is.
Beide "versleutelde e-mail" opties die Hushmail haar gebruikers aanbiedt zijn af te luisteren. Bij de eerste verstuurt de gebruiker zijn passphrase naar de server, ook al zou het bedrijf die niet opslaan. Bij de tweede optie kan Hushmail een kwaadaardig Java applet sturen.
criminelen dat niet altijd, maar helaas weten
opsporingsdiensten daar ook gebruik van te maken als het
simpelweg uitkomt.
gewoon niet zo stom zijn om een webmail te gebruiken en je
sleutels op andermans servers zetten!
Dit heeft met veiligheid van PGP niets te maken. Je moet
gewoon niet zo stom zijn om een webmail te gebruiken en je
sleutels op andermans servers zetten!
Hahahah, dat meen jij toch niet! De vorige bericht gever
geeft een terechte opmerking. Waarom zou ik nu nog PGP
vertrouwen, niet! Als in je overeenkomst eerst staat
omechreven dat niemand het kan lezen en en later een
aanpassing van de overeenkomt, komt bij mij niet als
vertrouwd over.
Dag reputatie...!!!
verdedigt maar aangeeft dat het klip en klaar ontbreken van
beveiliging recht geeft om er bij opsporing ook gebruik van
te maken? Er zit geen achterdeur in hushmail. De beveiliging
is domweg verlegd naar de server waardoor daar de gebruiker
de controle over de beveiliging en zijn gegevens uit handen
heeft gegeven. Dat die gegevens dus gebruikt kunnen worden
binnen de grensen van de wet is niet iets wat een achterdeur
genoemd kan worden. Wie dus beveiliging wil moet zich bij
een aanbod niet afvragen hoe mooi het klinkt maar wat de
inhoud is en de gevolgen zijn. Niets nieuws.
Als daar een gerechtelijk bevel komt worden ook deze vrijgegeven
Ik hou het toch nog maar even bij GPG
geeft een terechte opmerking. Waarom zou ik nu nog PGP
vertrouwen, niet!"
Als je niet illegaal bezig bent, heb je van opsporingsinstanties toch niets te
vrezen ? Ik zou het gewoon lekker blijven gebruiken, want in 99% van de
gevallen geeft het meer dan genoeg beveiliging.
En ja, met de huidige wetgeving is het niet meer dan logisch dat ieder
bedrijf dat dit soort diensten levert een methode heeft om aan juridische
verplichtingen te voldoen.
Dit heeft met veiligheid van PGP niets te maken. Je moet
gewoon niet zo stom zijn om een webmail te gebruiken en je
sleutels op andermans servers zetten!
Hahahah, dat meen jij toch niet! De vorige bericht gever
geeft een terechte opmerking. Waarom zou ik nu nog PGP
vertrouwen, niet! Als in je overeenkomst eerst staat
omechreven dat niemand het kan lezen en en later een
aanpassing van de overeenkomt, komt bij mij niet als
vertrouwd over.
Dag reputatie...!!!
worden als ze aan de sleutels kunnen komen. dat heeft niks met pgp te
maken. als je hushmail bedoeld dan heb je meer een punt, maar als je
denkt dat je ergens helemaal veilig bent dat is het toch weer jammer.
simpelweg door bewijsmateriaal te vervalsen.
daar zijn overheden immers goed in.
als men beweerd dat met zijn prhasekey gekraakt heeft, en
dat het zinvoller is om te bekennen, moet je al natigheid
ruiken.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
