Computerbeveiliging
- Hoe je bad guys buiten de deur houdt
Telegraaf en AIVD
15-07-2009, 05:27 door Anoniem, 16 reacties
Hoi,
Ik vraag me af waarom de mensen bij de Telegraaf nog geen gebruik maken van schijf-encryptie, PGP of Small Sister,
en de cryptophone ?
Hiermee hadden ze hoop leed mee kunnen verkomen, en de AIVD in hun hempje mee laten staan.
Of zou de AIVD dit allemaal kunnen ...........???
Wat denken jullie hierover ???
Ik vraag me af waarom de mensen bij de Telegraaf nog geen gebruik maken van schijf-encryptie, PGP of Small Sister,
en de cryptophone ?
Hiermee hadden ze hoop leed mee kunnen verkomen, en de AIVD in hun hempje mee laten staan.
Of zou de AIVD dit allemaal kunnen ...........???
Wat denken jullie hierover ???
Reacties (16)
Waarom denk je zo moeilijk? De AIVD hoeft de encryptie helemaal niet te breken, ze kunnen ook gewoon infiltreren, de sleutels te pakken krijgen, in de source van (bv) PGP kijken en op zoek gaan naar (implementatie)kwetsbaarheden, bewust onveilige sleutels aan de telegraaf geven (door een derde natuurlijk) en zo kan ik nog een aantal dingen bedenken.
Je moet je ook vooral niet te veel voorstellen van de technische kwaliteiten van de diverse journalisten, of het informatiebeveiligingsbeleid van de telegraaf.
Je moet je ook vooral niet te veel voorstellen van de technische kwaliteiten van de diverse journalisten, of het informatiebeveiligingsbeleid van de telegraaf.
15-07-2009, 09:40 door
Thijzzz
De AIVD beschikt waarschijnlijk over de duurste en meest geavanceerde technologie die er bestaat, en luistert je toetsenbord af terwijl jij je bootpassword intikt.
Gelukkig voor een verdachte, of via via kennis van een verdachte, zijn het ambtenaren, en bestaat de kans dat ze fotorolletjes en USB-sticks kwijtraken.
Dikke kans dat de AIVD je extra in de gaten houd als je schijfencryptie en pgp en wat niet allemaal gebruikt.
De beste manier om onder de radar te blijven is niet door zelfs je boodschappenlijstje te encrypten.
Gelukkig voor een verdachte, of via via kennis van een verdachte, zijn het ambtenaren, en bestaat de kans dat ze fotorolletjes en USB-sticks kwijtraken.
Dikke kans dat de AIVD je extra in de gaten houd als je schijfencryptie en pgp en wat niet allemaal gebruikt.
De beste manier om onder de radar te blijven is niet door zelfs je boodschappenlijstje te encrypten.
"We already have the means to travel among the stars, but these technologies are locked up in black projects and it would take an act of God to ever get them out to benefit humanity.... Anything you can imagine, we already know how to do."
Ben Rich, former Head of the Lockheed Skunk Works, in a lecture shortly before he (suddenly) died.
Ben Rich, former Head of the Lockheed Skunk Works, in a lecture shortly before he (suddenly) died.
Door Anoniem:
Hiermee hadden ze hoop leed mee kunnen verkomen, en de AIVD in hun hempje mee laten staan.
Of zou de AIVD dit allemaal kunnen ...........???
Je bedoelt te zeggen dat ze hiermee hun criminele activiteiten hadden kunnen verbergen.Hiermee hadden ze hoop leed mee kunnen verkomen, en de AIVD in hun hempje mee laten staan.
Of zou de AIVD dit allemaal kunnen ...........???
De telegraaf heeft gewoon staatsgeheimen openbaar gemaakt, en dat is strafbaar.
15-07-2009, 12:42 door
Napped
om één simpele reden:
Het maakt het werk onwerkbaar.
Wat heb je aan PGP als de ontvanger het niet accepteert?
Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
Wat heb je aan small sisters als ze de data bij de servers analyzen ?
Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Meestal als je in het Trusted netwer/vlan zit kan je al vanalles vinden......
en dan nog niet te denken de beheerder...
ga jij even overal encryptie en PGP uitrollen?
gooi je al je traffic over je proxy ? nadat het de proxy verlaten heeft is het buiten jou handen.
Het maakt het werk onwerkbaar.
Wat heb je aan PGP als de ontvanger het niet accepteert?
Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
Wat heb je aan small sisters als ze de data bij de servers analyzen ?
Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Meestal als je in het Trusted netwer/vlan zit kan je al vanalles vinden......
en dan nog niet te denken de beheerder...
ga jij even overal encryptie en PGP uitrollen?
gooi je al je traffic over je proxy ? nadat het de proxy verlaten heeft is het buiten jou handen.
Je hebt niets aan PGP in dit geval omdat PGP verbergt wat je schrijft, niet naar wie je het schrijft.
We weten dat er taps van de AIVD staan bij de Telegraaf.
Ik ga er vanuit dat de AIVD ook al haar medewerkers tapt om lekken te voorkomen. Dan ga je dus twee keer de mist in. Een keer bij het verzenden van je eigen adres en een keer als de ontvanger het ontvangt.
Misschien is er nog iets mogelijk met ouderwetse snail-mail van de TNT Post. Een neutrale grijze envelope ergens in Nederland op de bus gedaan zonder sporen als speeksel bij het dichtplakken van de envelope of de postzegel. De communicatie terug wordt dan enigsinds problematisch maar kan misschien via advertenties in de krant (de Telegraaf bijvoorbeeld).
We weten dat er taps van de AIVD staan bij de Telegraaf.
Ik ga er vanuit dat de AIVD ook al haar medewerkers tapt om lekken te voorkomen. Dan ga je dus twee keer de mist in. Een keer bij het verzenden van je eigen adres en een keer als de ontvanger het ontvangt.
Misschien is er nog iets mogelijk met ouderwetse snail-mail van de TNT Post. Een neutrale grijze envelope ergens in Nederland op de bus gedaan zonder sporen als speeksel bij het dichtplakken van de envelope of de postzegel. De communicatie terug wordt dan enigsinds problematisch maar kan misschien via advertenties in de krant (de Telegraaf bijvoorbeeld).
Door Anoniem: Ik ga er vanuit dat de AIVD ook al haar medewerkers tapt om lekken te voorkomen. Dan ga je dus twee keer de mist in. Een keer bij het verzenden van je eigen adres en een keer als de ontvanger het ontvangt.
Met een tap voorkom je geen lekken. Je kunt hooguit achterhalen dat er een lek is geweest. En wie heeft gelekt. Maar als je kijkt hoe hard ze tekeer gaan tegen de journalisten, dan heb ik mijn twijfels of ze wel hun eigen medewerkers tappen.
Dat wil je trouwens ook helemaal niet doen. Dan zou de tapper de allerhoogste clearing moeten hebben. In ieder geval minimaal dezelfde als van degene wiens taps hij uitwerkt.
Peter
Met een tap voorkom je geen lekken. Je kunt hooguit achterhalen dat er een lek is geweest. En wie heeft gelekt. Maar als je kijkt hoe hard ze tekeer gaan tegen de journalisten, dan heb ik mijn twijfels of ze wel hun eigen medewerkers tappen.
Dat wil je trouwens ook helemaal niet doen. Dan zou de tapper de allerhoogste clearing moeten hebben. In ieder geval minimaal dezelfde als van degene wiens taps hij uitwerkt.
Peter
Als het een onbeveiligd kanaal betreft mag daar zo-wie-zo geen geclassificeerd materiaal over verzonden worden. En als het een beveiligd kanaal is hoort de AIVD deze niet te kunnen lezen (als de crypto die ze gebruiken goed is, en waarom zou dat niet zo zijn met AES-256 e.d.?).Dat wil je trouwens ook helemaal niet doen. Dan zou de tapper de allerhoogste clearing moeten hebben. In ieder geval minimaal dezelfde als van degene wiens taps hij uitwerkt.
Peter
Met de bewaarplicht van kortgeleden kan verder zelfs de gewone politie bij deze verkeersgegevens dus zo geheim vinden de eerste en tweede kamer dit kennelijk allemaal niet ;-)
15-07-2009, 23:41 door
SavageTiger
Door Napped: Wat heb je aan small sisters als ze de data bij de servers analyzen ?
Op de Small Sister servers staat niets anders dan een 1024bits versleutelde garbage file waarvan niet eens de headers leesbaar zijn, die er over het tor netwerk geplaatst is, en er over het tor netwerk weer vanaf gehaald word. Vertel mij maar wat er te analyseren valt.
Gr Sven H
Door Napped: om één simpele reden:
Het maakt het werk onwerkbaar.
1] Wat heb je aan PGP als de ontvanger het niet accepteert?
2] Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
3] Wat heb je aan small sisters als ze de data bij de servers analyzen ?
4] Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Het maakt het werk onwerkbaar.
1] Wat heb je aan PGP als de ontvanger het niet accepteert?
2] Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
3] Wat heb je aan small sisters als ze de data bij de servers analyzen ?
4] Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Tja je begrijpt me even niet,
1] het is natuurlijk logisch dat de andere partij waarmee een journalist communiceerd ook PGP heeft. [ leek me logisch ]
2] Stel de AIVD valt binnen en de pc staat uit, dan zitten ze nog niet in het O.S.
3] Bij Small Sister op de server staan 1024bits versleutelde garbage file's.
4] De Cryptophone moet je dan ook aan je bron geven. [ Leek me ook logisch in mijn voorbeeld. ]
Over de Cryptophone zijn een paar jaar geleden al kamervargen gesteld, dus zoals ik het zie niet af te luisteren door AIVD of
andere instancie.
Het is wel prikkelend voor de fantasie, maar ik denk niet dat de AIVD (of zelfs de MI6, CIA, NSA, ga zo maar door) in staat is wat wij nu sterke encryptie noemen te kraken zonder sleutelmateriaal of gruwelijk zware supercomputer.
Echter is het versleutelen van je telefoonverkeer geen oplossing als ze met richtmicrofoons in je tuin liggen (wat bij de journalist in kwestie daadwerkelijk is gebeurd, heb ik begrepen).
Echter is het versleutelen van je telefoonverkeer geen oplossing als ze met richtmicrofoons in je tuin liggen (wat bij de journalist in kwestie daadwerkelijk is gebeurd, heb ik begrepen).
16-07-2009, 09:22 door
Napped
Door Anoniem:
Tja je begrijpt me even niet,
1] het is natuurlijk logisch dat de andere partij waarmee een journalist communiceerd ook PGP heeft. [ leek me logisch ]
2] Stel de AIVD valt binnen en de pc staat uit, dan zitten ze nog niet in het O.S.
3] Bij Small Sister op de server staan 1024bits versleutelde garbage file's.
4] De Cryptophone moet je dan ook aan je bron geven. [ Leek me ook logisch in mijn voorbeeld. ]
Over de Cryptophone zijn een paar jaar geleden al kamervargen gesteld, dus zoals ik het zie niet af te luisteren door AIVD of
andere instancie.
1] Dus voordat een tip gegeven kan worden moet de persoon ook PGP hebben.... dat zegt nog niets, je ziet nog steeds de persoon die het mailt.... en aangezien je niet via online mail (goed) pgp kan gebruiken... zit je nog met lokale mail programma'sDoor Napped: om één simpele reden:
Het maakt het werk onwerkbaar.
1] Wat heb je aan PGP als de ontvanger het niet accepteert?
2] Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
3] Wat heb je aan small sisters als ze de data bij de servers analyzen ?
4] Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Het maakt het werk onwerkbaar.
1] Wat heb je aan PGP als de ontvanger het niet accepteert?
2] Wat heb je aan schijf encryptie als je toch al in windows/linux/osx zit?
3] Wat heb je aan small sisters als ze de data bij de servers analyzen ?
4] Wat heb je aan de Cryptophone als de ontvanger geen cryptophone heeft?
Tja je begrijpt me even niet,
1] het is natuurlijk logisch dat de andere partij waarmee een journalist communiceerd ook PGP heeft. [ leek me logisch ]
2] Stel de AIVD valt binnen en de pc staat uit, dan zitten ze nog niet in het O.S.
3] Bij Small Sister op de server staan 1024bits versleutelde garbage file's.
4] De Cryptophone moet je dan ook aan je bron geven. [ Leek me ook logisch in mijn voorbeeld. ]
Over de Cryptophone zijn een paar jaar geleden al kamervargen gesteld, dus zoals ik het zie niet af te luisteren door AIVD of
andere instancie.
2]Nee, OK maar meestal vallen ze overdag binnen en mocht je dan de pc uitzetten is het obstructie van de rechtsgang :W succes met schoffelen
3]ik bedoel op de ontvangende webservers dan kijken ze daar gewoon naar de log files... ze kunnen heus wel die IP's aan elkaar knopen.
4]dan nog Hoe kan een tipgever een tip geven als hij nog niet de cryptophone heeft ?????
Je blijft altijd zwakke schakels hebben, is het niet in de infrastructuur is het wel de mens.
En sowieso moet je je encryptie password afgeven (afaik) want dan heb je ook obstructie van de rechtsgang of verzet bij arrestatie....
16-07-2009, 10:37 door
SavageTiger
Door Napped: ik bedoel op de ontvangende webservers dan kijken ze daar gewoon naar de log files... ze kunnen heus wel die IP's aan elkaar knopen.
Al het verkeer naar en van de Small Sister server gaat over TOR, elke 30 seconden komt een client vanaf een ander IP adres binnen, en de verbinding komt tot stand over SSL.
Door TOR spring je ongeveer 6 willekeurige tor nodes over de heelle wereld (elke 30 seconden andere) voordat je bij de destination uitkomt, dat is echt 'bijna' niet meer te tracen.
16-07-2009, 12:12 door
Napped
Door SavageTiger:
Al het verkeer naar en van de Small Sister server gaat over TOR, elke 30 seconden komt een client vanaf een ander IP adres binnen, en de verbinding komt tot stand over SSL.
Door TOR spring je ongeveer 6 willekeurige tor nodes over de heelle wereld (elke 30 seconden andere) voordat je bij de destination uitkomt, dat is echt 'bijna' niet meer te tracen.
4CHAN kan ook TORnodes bannen, dus dan hoef je alleen de lijst van TOR nodes te hebben. dan kan je al grof zien wat die tornodes opgezocht hebben.Door Napped: ik bedoel op de ontvangende webservers dan kijken ze daar gewoon naar de log files... ze kunnen heus wel die IP's aan elkaar knopen.
Al het verkeer naar en van de Small Sister server gaat over TOR, elke 30 seconden komt een client vanaf een ander IP adres binnen, en de verbinding komt tot stand over SSL.
Door TOR spring je ongeveer 6 willekeurige tor nodes over de heelle wereld (elke 30 seconden andere) voordat je bij de destination uitkomt, dat is echt 'bijna' niet meer te tracen.
Door Anoniem: Het is wel prikkelend voor de fantasie, maar ik denk niet dat de AIVD (of zelfs de MI6, CIA, NSA, ga zo maar door) in staat is wat wij nu sterke encryptie noemen te kraken zonder sleutelmateriaal of gruwelijk zware supercomputer.
Echter is het versleutelen van je telefoonverkeer geen oplossing als ze met richtmicrofoons in je tuin liggen (wat bij de journalist in kwestie daadwerkelijk is gebeurd, heb ik begrepen).
Dan moeten ze eerst weten in welke tuin ze moeten gaan liggen. Ik neem aan dat niet elke medewerker van de vrije pers in Nederland een AIVD-er in zijn tuin heeft liggen ;-)Echter is het versleutelen van je telefoonverkeer geen oplossing als ze met richtmicrofoons in je tuin liggen (wat bij de journalist in kwestie daadwerkelijk is gebeurd, heb ik begrepen).
Reageren
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
