Microsoft wint hoger beroep tegen VS over e-mailtoegang
Microsoft heeft het hoger beroep gewonnen dat het tegen de Amerikaanse overheid had aangespannen wegens het verlenen van toegang tot e-mails die in andere landen zijn opgeslagen. Een rechter had eerder gesteld dat Microsoft de e-mails die zich in Ierse datacentra bevinden aan Amerikaanse inlichtingen- en opsporingsdiensten moet afstaan als die hierom vragen.
Volgens Microsoft hebben de Amerikaanse autoriteiten geen bevoegdheid om e-mails in het buitenland via Microsoft op te vragen en moet dit via de juiste juridische kanalen worden gedaan. De rechter stelt nu (pdf) dat serviceproviders die zich in de Verenigde Staten bevinden niet kunnen worden gedwongen om toegang tot e-mails te verlenen die exclusief op buitenlandse servers zijn opgeslagen. De rechter draaide het eerdere bevel om de e-mails af te staan dan ook terug.
De FISA variant komt met national security letter en dan hoor je er nooit wat van.
De FISA variant komt met national security letter en dan hoor je er nooit wat van.
Echter, als het derden (zoals cybercriminelen, state actors en industiële spionnen) lukt om zich voor te doen als medewerkers van USA veiligheidsdiensten, en dit soort gegevens van servers op non-USA grondgebied -met een vervalste FISA NSL (National Security Letter)- weten op te vragen, is ook daar natuurlijk ook nauwelijks een spoor van terug te vinden. Want alles om zo'n zaak dient geheim gehouden te worden. Hoe controleer je als medewerker van een ISP dat zo iemand is wij hij zegt dat hij is? En hoe controleer je de echtheid van zo'n NSL? Wellicht bestaan daar goede pocedures voor, maar kennen medewerkers van ISP's die ook? Of laten zij zich eenvoudig intimideren?
Daarnaast zijn er, vanzelfsprekend, ook FBI- en NSA medewerkers die zich niet helemaal aan de regels van de baas houden (voorbeeld: Snowden, maar zie ook [1] en [2]). Je kunt dus nooit uitsluiten dat medewerkers zich voor het karretje van (cyber-) criminelen laten spannen (ook in NL gebeurt dat, zoals vandaag weer eens bleek in [3]).
Ten slotte is de NSA al vaker beschuligd van industriële spionage ([4], [5]) - iets dat prachtig doorgang kan vinden onder dit dikke onderzichtige tapijt.
Het bijna complete gebrek aan transparantie bij deze NSL's vomt m.i. een ernstige bedreiging, zowel voor staten, commerciële organisaties als individuen. Ondanks het (kennelijk halfbakken) "Privacy Shield" [6] moet je je daarom, als een bedrijf met minstens 1 vestiging in de USA "bij jouw data kan" - ongeacht waar die data staat, serieus afvragen welke aanvullende risico's die data daardoor loopt.
[1] http://www.washingtonsblog.com/2016/05/u-s-government-corrupt-ever.html
[2] http://arstechnica.com/tech-policy/2016/07/corrupt-agent-who-investigated-silk-road-is-suspected-of-another-700k-heist/
[3] http://www.nu.nl/binnenland/4293022/opnieuw-groot-corruptieschandaal-bij-politie-.html
[4] http://www.theregister.co.uk/2015/06/29/wikileaks_docs_show_nsa_vs_france/
[5] http://www.globalresearch.ca/nsa-busted-conducting-industrial-espionage-in-france-mexico-brazil-china-and-all-around-the-world/5355026
[6] https://www.security.nl/posting/477664/Privacyverdrag+tussen+EU+en+VS+officieel+van+kracht
De FISA variant komt met national security letter en dan hoor je er nooit wat van.
Daar gaat het dus fout!
Het is te rechtvaardigen of niet te rechtvaardigen. Niet in sommige gevallen wel en sommige niet.
Wanneer het in somige gevallen wel gerechtvaardigd is, worden aanvragen voor gevallen waarbij het niet gerechtvaardigd is zo geschreven dat het alsnog wel mag en mag het vervolgens altijd.
Dit soort discussies moet je zwart-wit benaderen. Grijs bestaat hier niet.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
