Juridische vraag: Moet DigiNotar schade vergoeden?
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. Vragen over licenties worden niet behandeld, aangezien die geen raakvlak met beveiliging hebben. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Over de technische flater van DigiNotar is al veel geschreven. Ik had echter een andere vraag: kan ik ze aansprakelijk stellen voor alle uren die ik moet maken om nieuwe certificaten aan te vragen en in te voeren in onze organisatie?
Antwoord: De hack bij DigiNotar, waarbij honderden certificaten werden vervalst, heeft zeer grote implicaties. Het SSL-verkeer naar sites is niet meer te vertrouwen als daarbij een Diginotar-certificaat is uitgegeven, zodat er sprake kan zijn van een man-in-the-middle aanval. Dit zou in Iran ook werkelijk zijn gebeurd.
Eind jaren negentig is wetgeving ingevoerd over digitale handtekeningen en certificaten. Deze bepaalt onder meer dat een digitale handtekening rechtsgeldig is, mits deze met een "voldoende betrouwbaar middel" wordt gezet en met een vertrouwd certificaat te valideren is. Waarom die hele toestand nodig was, is me nog steeds een raadsel: (1) papieren handtekeningen mogen met onbetrouwbare balpennen worden gezet en (2) 99% van de contracten vereist geen handtekening om juridisch bindend te zijn. Maar goed.
Normaal accepteer je een certificaat als geldig en juist omdat een 'hogere' partij zegt dat dat zo is. En die hogere partij vertrouw je weer omdat een nóg hogere partij dat zegt. Dat houdt natuurlijk ergens op, en wel bij de root oftewel wortel CA (die om onverklaarbare redenen altijd bóvenaan in de boom wordt getekend). Een root CA wordt per definitie vertrouwd. En Diginotar is zo'n root CA (behalve voor DigiD).
Vertrouwen is dus het fundament waar de dienstverlening van een certificatiedienstverleners op stoelt. Dit fundament wordt juridisch beschermd doordat in de wet staat dat certificeerders die "gekwalificeerde" certificaten uitgeven, aansprakelijk zijn voor de juistheid daarvan. Ook moeten ze technische eisen zoals ETSI TS 101456 navolgen en staan ze onder toezicht van de OPTA.
Alleen: de SSL-Certificaten waar het om gaat, zijn geen gekwalificeerde certificaten. Daarmee is die bijzonder strenge aansprakelijkheidsregel niet van toepassing. En dan wordt het lastig, want dan is DigiNotar juridisch gezien gewoon een club die iets zegt met een digitale handtekening eronder, en tsja, afgaan op wat mensen zeggen is geen reden om ze aansprakelijk te stellen als ze het fout hadden. Voor aansprakelijkheid is meer nodig: je moet een wettelijke norm geschonden hebben (die in direct verband staat met de schade) of je moet maatschappelijk onzorgvuldig hebben gehandeld, oftewel “dit staat niet in de wet maar vinden we toch dusdanig onfatsoenlijk dat je alsnog schade moet vergoeden”.
Bij die onzorgvuldigheidsnorm wegen altijd de exacte omstandigheden van het geval zwaar. Zo zal bijvoorbeeld meewegen wat de oorzaak van de hack is waarmee deze certificaten gegenereerd konden worden. Was men nalatig in het sleutelbeheer? Of was dit een buitengewoon geavanceerde hack die niemand had kunnen opmerken? En, belangrijk, heeft DigiNotar na het ontdekken van de hack alles gedaan om de gevolgen tegen te gaan, of heeft ze juist zitten treuzelen?
Alles wijst erop dat Diginotar zwaar heeft zitten slapen en dat hun beveiliging niet op orde was. Dat pleit er dus voor om een claim in te dienen. En misschien kun je dat maar beter snel doen ook, want het zou me niets verbazen als het 'merk' DigiNotar binnenkort uit de markt gehaald wordt om te voorkomen dat het bedrijf onderuit gaat.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Het is dan ook te hopen dat de schadeclaims zullen meevallen zodat alle gedupeerden het geld krijgen waar ze recht op hebben.
Als ze gezet zijn met een "voldoende betrouwbaar middel", dan is er geen verdere discussie of het rechtsgeldig is (i.e. de discussie over de vorm is niet aan de orde). Als het niet met zo'n "voldoende betrouwbaar middel" gezet is, dan is het open voor discussie.
Vooruitlopend op het oordeel dat Diginotar echt nalatig is geweest, zou ik me een zeer beperkte schadevergoeding kunnen voorstellen, gebaseerd op een schade van, pak hem beet, 2 uur werk per SSL-certificaat. "voor alle uren die ik moet maken om nieuwe certificaten aan te vragen en in te voeren."
PKI bestaat niet alleen maar uit SSL certificaten op de server, maar kan ook gebruikt worden om certificaten uit te geven aan klanten. Deze moeten dus opnieuw aangemaakt en gedistribueerd worden. En nee, dat gaat niet met een mailtje maar per ouderwetse post of per koerier. Dus dat kost wat meer tijd dan 2 uur per SSL certificaat.
@Arnoud: Kan je uitleggen wat je bedoeld met:
de SSL-Certificaten waar het om gaat, zijn geen gekwalificeerde certificaten.
Dat zal de verdediging ook zeggen, en ze hebben wel een punt. Maar ssl certificaten zitten soms heel diep weg, of op niet gedocumenteerde plekken. En als je er dan enkele tientallen hebt, of meer, kan het een aardige klus zijn. Gelukkig dat de meeste Server Side Java/SOA omgevingen gewoon doordraaien omdat de cerificaten gewoon blijven werken, ingetrokken of niet. Anders zou de indirecte schade gigantisch kunnen oplopen.
In mijn visie zouden ze strafrechtelijk vervolgt moeten worden.
Ze hebben de hele wereld kwetsbaar gemaakt voor het aftappen van encryptie.(of dit ook gebeurd is, vind ik niet uitmaken)
het feit dat ze gehacked zijn, dat kan gebeuren, echter het feit dat ze hier niet meteen melding van maakte is het grote probleem. Ik hoop dat er snel een meldplicht binnen 24 uur opgenomen wordt in de wet.
Doordat ze zo goedkoop zijn, zijn de verzekerde bedragen ook nul. Stel dat dit bij een lading EV certificaten was gebeurd, dan zouden de schadevergoedingen in de tonnen per kunnen certificaat lopen.
Dergelijk goedkope certificaten worden tegenwoordig heel vaak gebruikt om foute webshops op te zetten. Die SSL verbinding wekt vertrouwen bij klanten. Voor je het weet ben je 1000 euro armer en een baksteen in een doos (als je geluk heb) rijker.
trek je dit door op andere bedrijven dan kan je lang bezig blijven (voedsel en waren? bank? etc)
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
