Politie haalt versleuteld crimineel communicatienetwerk offline
De politie en het Openbaar Ministerie (OM) hebben vandaag een groot versleuteld communicatienetwerk van Nederlandse en mogelijk buitenlandse criminelen uit de lucht gehaald. Bij de operatie werd een 36-jarige man uit Nijmegen op verdenking van witwassen aangehouden.
Daarnaast werden meerdere servers in Nederland door de politie gekopieerd. De aangehouden verdachte is eigenaar van een bedrijf in Nijmegen. Zijn bedrijf leverde aangepaste smartphones en de daarbij behorende communicatiediensten. Bij doorzoeking van zijn woning is een vuurwapen aangetroffen. In Canada is vandaag, in samenwerking met de Toronto Police, een server tijdelijk buiten gebruik gesteld. Ook van deze server is alle informatie gekopieerd.
Pretty Good Privacy
Volgens de politie communiceren criminelen tegenwoordig via aangepaste telefoons, voorzien van de encryptiesoftware Pretty Good Privacy (PGP). Communicatie tussen verdachten is hierdoor voor opsporingsdiensten niet of nauwelijks zichtbaar. Dit was aanleiding voor de politie om een onderzoek naar de grootste aanbieder van deze diensten in Nederland te starten. Het bedrijf in Nijmegen verkocht aangepaste telefoons voor ongeveer 1500 euro per toestel en had voor het afgeschermde dataverkeer 'eigen' servers in gebruik.
Digitale experts van het Team High Tech Crime van de politie kregen in het onderzoek zicht op de servers waarop al het dataverkeer werd beheerd. Deze servers zijn vandaag uit de lucht gehaald en gekopieerd. Dit houdt in dat politie en OM zicht verkrijgen op de onderlinge communicatie tussen leden van criminele groepen die via de dienst communiceerden. De data uit de veiliggestelde servers worden verder geanalyseerd en waar mogelijk in lopende onderzoeken gebruikt.
Wachtwoorden
Bij de operatie heeft het Openbaar Ministerie diverse bedrijven in Nederland bevolen justitie toegang te verlenen tot de digitale infrastructuur van het bedrijf. Daarbij moet bijvoorbeeld worden gedacht aan het verstrekken van wachtwoorden. Ongeveer 19.000 gebruikers van het netwerk krijgen nu automatisch de boodschap dat het systeem door de politie is gekopieerd en wordt onderzocht. Verder wordt in het bericht uitgelegd dat het onderzoek zich richt op personen die van ernstige misdrijven worden verdacht. Gebruikers die zich bijvoorbeeld kunnen beroepen op het verschoningsrecht kunnen zich melden op een in het bericht vermeld e-mailadres.
Hou je ook rekening met de vraag of WhatsApp, bijvoorbeeld in het kader van lawful interception, een client kan forceren om bijvoorbeeld geen encryptie te gebruiken, waarbij men bijvoorbeeld de verbinding via een aftap systeem kan leiden ? De vraag of er sprake is van E2E encryption, wil helemaal niet zeggen dat de verbindingen niet indien nodig afgetapt kunnen worden.
WhatsApp geeft ook geen enkele garantie dat ze dit niet doen, indien de politie aanklopt, met een gerechtelijk bevel in de hand. Gaan mensen niet te gemakkelijk uit van de aanname dat end-to-end encryptie impliceert dat je niet aftapbaar bent, zonder zich in details te verdiepen ?
Dat de marketing afdeling van WhatsApp ons geen details biedt over de (on-) mogelijkheden van aftapverzoeken, in relatie tot WhatsApp, dat zegt mij helemaal niets. Logs houden ze verder wel bij, en in de privacy policy geven ze aan dat ze geen enkele garantie geven m.b.t. de confidentiality van je berichten.
Vaag verhaal. Omdat iets is versleuteld wordt gelijk maar aangenomen dat het om criminelen gaat? Dat wordt gesteld in het artikel. De versleuteling was de aanleiding.
Je vergist je daar behoorlijk in, werk zelf in een bedrijf met als core-business encryptie. Eigenlijk heel simpel.
Je doet een inval terwijl ze ingelogt zijn. Daarna unlock je alles. Of je besmet de PC met een keylogger, softwarematig of hardwarematig (van de beheerders). Daarna heb je volledige toegang tot het hele system.
Waarmee ze adverteren (ik denk Ennetcom) is echt onzin, en de simpele criminelen trappen hier simpelweg in. BES is leuk, en handig, maar veilig, nee. Er zijn veel technischere en betere methoden die spoedig op de markt zullen komen.
En vergeet niet, zolang jou data door een bedrijf zijn servers afgehandeld word, is het gedaan met je privacy.
Wel erg handig, kan je je klanten laten blijven betalen voor de dienst.
Gewoon een kwestie van overmatig vertrouwen in een leverancier. Die het uiteindelijk niet gaat om de vraag of hij echte veiligheid biedt, maar om hoeveel geld hij kan vangen. Dus boeit het hem ook weinig indien de data op de server zelf niet encrypted is en dergelijke ?
Maar goed; WhatsApp, Signal, Telegram, ProtonMail, TOR, standaard GPG, standaard smartphone met willekeurig niet-Westerse VPN erop, zat manieren om veilig te communiceren .... ik lees vooral: netwerk van criminele oplichters ontmanteld na klachten gedupeerde criminelen ....
Gewoon een kwestie van overmatig vertrouwen in een leverancier. Die het uiteindelijk niet gaat om de vraag of hij echte veiligheid biedt, maar om hoeveel geld hij kan vangen. Dus boeit het hem ook weinig indien de data op de server zelf niet encrypted is en dergelijke ?
En geld verdienen of niet, stel dat door een technische fout van mij iemand als Holleeder 10 jaar krijgt. Dan zou ik toch niet erg gerust zijn als hij weer vrijkomt...
Misschien hebben ze door die servers ofline te halen,een flinke schop uitgedeeld bij die criminele bende,maar ze hebben nog lang niet alle daders en het brein achter die organisatie denk ik.
Bij nym servers kun je het 'reply-block' bij de server ophalen als je daar toegang tot hebt. Omdat er geen replay bescherming is, kun je net zo lang berichten via dit reply-block sturen tot je weet waar die naar toe gaat (traffic analysis).
Een pseudoniem maken dat verbergt wie iemand in het echt is, is heel erg moeilijk. Je hebt nog Mixminion gehad, maar dat bleek ook te kraken. Volgens mij is er daarna niets meer gekomen voor sterke pseudoniemen. TOR tel ik niet mee, want dat heeft zijn eigen problemen (te weinig 'latency'; begin en eindnode bekijken is genoeg om deze aan elkaar te kunnen koppelen).
Ben wel benieuwd hoe dit allemaal uit gaat pakken en of we meer te weten komen.
datzelfde geldt dus ook voor een communicatienetwerk. Let wel: het gaat hier dus om een verdenking van een strafbaar feit. Dat is in het Nederlands strafrecht voldoende om personen aan te houden (arresteren) en spullen in beslag te nemen.
Vaag verhaal. Omdat iets is versleuteld wordt gelijk maar aangenomen dat het om criminelen gaat? Dat wordt gesteld in het artikel. De versleuteling was de aanleiding.
wat maakt dat nou uit? Er is gebruik gemaakt van PGP.
en het gebruik van encryptie maakt ze geen criminelen, het witwassen van geld wel.
lezen, dan commentaar leveren!
https://www.politie.nl/nieuws/2016/april/19/11groot-crimineel-communicatienetwerk-uit-de-lucht.html
http://tweakers.net/nieuws/110483/politie-haalt-netwerk-voor-mobiele-pgp-communicatie-tussen-criminelen-offline.html
Wat ik dan wel weer zou willen weten is het volgende: Stel dat de eigenaar verdacht word van misdrijf x maar het network y staat hier los van. Mag het OM deze dan ook neerhalen en vervolgens door de DB snuffelen?
Ik weet wel dat als persoon x getapt word omdat hij deel is van een onderzoek naar persoon y en tijdens deze tap komen strafbare feiten naar voren die niks met het onderzoek naar Y te maken hebben, dat het OM hier gewoon voor mag vervolgen. Maar vraag mij af of bovenstaand voorbeeld hiermee te vergelijken is?
1500 voor de telefoon 600 per maand geen telefoon bellen opties alleen de versleutelde berichten.
Uit eerdere zaken met gepakte criminelen zijn die telefoons in beeld gekomen en is men gericht achter het netwerk aan gegaan. Niet de techniek is het probleem maar de grootste gebruikersgroep. Die vertoont bepaalde kenmerken.
Jammer dat daaraan in het artikel voorbij gegaan is. Nu wordt er een bepaald beeld geschapen alsof de techniek zelf het issue is.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
