Britse politie wil versleutelde pc's verdachte niet teruggeven
Een Britse man die in 2013 werd gearresteerd op verdenking van het inbreken op verschillende systemen van de Amerikaanse overheid heeft de Britse politie aangeklaagd omdat die zijn versleutelde computers niet willen teruggeven. De 30-jarige Brit wordt verdacht van een serie inbraken, onder andere op computers van het Missile Defense Agency, de Amerikaanse ruimteorganisatie NASA, het geniekorps van het Amerikaanse leger, het Amerikaanse Environmental Protection Agency, de Federal Reserve en een regionaal IT-forensics laboratorium van de FBI.
De Brit werd vorig jaar juli op borgtocht in Groot-Brittannië vrijgelaten, maar kreeg zijn computers die in beslag waren genomen niet terug. Volgens de BBC omdat het National Crime Agency (NCA) de bestanden niet kan ontsleutelen. Daarom heeft de Brit de NCA nu aangeklaagd en zal hij via de rechter proberen om zijn eigen apparatuur terug te krijgen. De BBC meldt dat de NCA de computers alleen wil teruggeven als de man helpt met het ontsleutelen ervan.
Tegenover Ars Technica bevestigt de Brit dat de NCA inderdaad het niet kunnen begrijpen van sommige data als rechtvaardiging geeft. "Het is aan hen om aan te tonen waarom dit mijn probleem is en voor de rechter om te beslissen of ze dit de bevoegdheid geeft om persoonlijke eigendommen vast te houden." De Brit spreekt verder van "machtsmisbruik" en waarschuwt dat er een serieus risico is dat de politie deze bevoegdheid kan gebruiken om journalistieke en politieke activiteiten te verstoren.
(M.a.w. maak een 1:1 kopie wat ze allang gedaan hebben maar wat dan waarschijnlijk geen bewijsmateriaal meer kan zijn)
Lastig? Natuurlijk. Tegenwoordig zijn overheden er vooral om duur en lastig te zijn, niet om jou je leven makkelijker te maken. Ik zou niet weten welke overheid voor dat laatste zou willen gaan. Een beetje dienstbaar zijn, kom nou. Daar maak je geen carriere mee.
* Ze hebben nog steeds de incrimineer-jezelf-met-je-eigen-wachtwoorden wetten in de boeken daaro.
Niet in alle. Er wordt ook encryptiesoftware gemaakt in andere landen. Daarnaast is er natuurlijk nog de mogelijkheid om het zelf te schrijven. Dit is eenvoudiger dan het klinkt, de encryptiealgoritmes zelf zijn bekend en relatief eenvoudig in de zin dat het eenvoudige bewerkingen zijn (Eerstejaars technieken at best). Wat het moeilijk maakt is om het gebruiksvriendelijk te maken, en om goede bronnen van "random" (voor zover mogelijk met een deterministisch systeem) data te vinden en gebruiken. Ik wil niet zeggen dat deze hacker dat gedaan heeft, maar als de beschuldiging klopt dan heeft hij zeker de kennis om het te doen. Je kan enkele bestanden (niet hele filesystems en die transparant maken voor hogere lagen) vrijwel onkraakbaar encrypten met een python script van een regel of 30.
Een tekenend voorbeeld (en dus zeer leerzaam voor aspirerende implementatoren!) is hoe iemand aan de hand van aanbelevingen van een stuk code analyse software wat "verbeteringen" aanbracht in de openssl versie gebruikt binnen debian ("debian/gnu/linux") waardoor de gegenereerde sleutels ineens buitengewoon zwak bleken.
Het is dus een heel goed idee om je eerst uitgebreid in te lezen in wat er allemaal mis kan gaan en hoe daar wat aan te doen. Door bijvoorbeeld een "crypto 101"-MOOC te volgen, want dat is, naast hoe het allemaal werkt en wat we verstaan onder "veilig", precies waar zo'n cursus mee begint.
Dit is nodig want de ervaring leert dat als je begint met implementeren (of zelf algorithmes verzinnen) zonder enige ervaring in hoe zulke constructies aan te vallen, de resultaten eigenlijk altijd zo lek als een mandje zullen blijken te zijn, en dus veiligheidshalve a priori zo beschouwd moeten worden. Bekende voorbeelden zijn WiFi WEP en DVD CSS.
En die ervaring opdoen maakt het ineens een stuk meer werk. Helaas pindakaas is weten wat je doet wel een vereiste. Met alleen een kek hoedje opzetten ben je er niet.
Wil er wel een contactje aan wagen om te vragen welke encryptie software hij gebruikte :)
Lauri Love
http://www.bbc.com/news/world-us-canada-26376865
Ik ben benieuwd op basis van welke regelgeving de NCA denkt verdachten op deze manier te kunnen chanteren, omdat ze niet willen meewerken aan hun eigen veroordeling. Die regelgeving bestaat namelijk niet, en ze kunnen inderdaad een forensische kopie maken, indien ze verder onderzoek willen doen.
Al is het makkelijk kiezen tussen : Of zeshonderdentweeennegentig jaar opgesloten worden in de vs ... of alleen je spullen kwijt .
Tja - in de OP wordt genoemd "De Brit werd vorig jaar juli op borgtocht in Groot-Brittannië vrijgelaten". De beste man is dus niet vrijgesproken, maar zijn zaak loopt nog. Lijkt me triviaal dat al het bewijsmateriaal tot zijn zaak voorkomt in bezit van justitie blijft.
Dat hij zijn encryptiesleutels niet geeft is in dit geval niet relevant: zaakt loopt nog, spullen blijven in beslag genomen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
