Experts vragen België te stoppen met wet die end-to-end encryptie ondermijnt
Een coalitie van vijftig organisaties en beveiligingsexperts heeft de Belgische overheid in een open brief gevraagd om te stoppen met een wetsvoorstel dat de end-to-end encryptie van communicatiediensten zoals WhatsApp zou ondermijnen. In het wetsvoorstel worden aanbieders gedwongen om autoriteiten toegang tot de communicatie van gebruikers te geven.
De aanbieders zouden in dit geval de encryptie voor specifieke gebruikers moeten uitschakelen. "Er is geen manier om encryptie gewoonweg "uit te schakelen"; aanbieders zouden een apart systeem moeten ontwikkelen en de gebruikers in kwestie naar dat systeem moeten sturen. Dit brengt niet alleen grote technische uitdagingen met zich mee, maar breekt ook de belofte van vertrouwelijkheid en privacy van end-to-end versleutelde communicatiediensten", aldus de organisaties en experts.
Dit zou Belgische burgers allesbehalve veilig maken, maar de eisen zouden ook het gebruik van end-to-end encryptie in België ondermijnen, gaan de experts en organisaties verder. Eerder stelde de Belgische privacytoezichthouder dat het wetsvoorstel bedrijven zou dwingen om een "de factor backdoor" aan hun diensten toe te voegen.
Volgens de experts is het niet mogelijk om een derde partij toegang tot end-to-end versleutelde communicatie te geven zonder backdoors of kwetsbaarheden te introduceren waar iedereen die ze vindt misbruik van kan maken. "In andere woorden, er is geen manier voor opsporingsdiensten om toegang tot backdoors te hebben, zonder het risico dat ook kwaadwillenden er toegang toe krijgen", laat de open brief weten. Daarin staat ook dat het toevoegen van encryptiebackdoors de veiligheid van het gehele systeem verzwakt en alle gebruikers risico laat lopen.
De Belgische overheid wordt dan ook opgeroepen om van het wetsvoorstel af te zien. De brief is onder andere ondertekend door de Liga voor Mensenrechten, European Digital Rights (EDRi), Internet Society en versleutelde e-maildienst Tutanota. Directeur van WhatsApp, Will Cathcart, laat via Twitter weten dat sterke encryptie essentieel is om privacy en gebruikers te beschermen en dat het Belgische wetsvoorstel de veiligheid van iedereen gevaar laat lopen.
Ik heb eens een politieambtenaar moeten uitleggen dat het internet een open netwerk is en waarbij de backdoors die door de overheid worden gebruikt, ook in criminele handen kunnen vallen. Dit laatste is geloof ik al gebeurd met FinFisher. Hierdoor zitten we met een extra probleem.
Wat de encryptie betreft: ook statelijke actoren kunnen nu via een goed geplaatste hack achter deze kwetsbaarheden c.q. backdoors komen. Hierdoor stort automatisch het encryptiegebouw volledig in elkaar. En dit met dank aan de overheid die van beveiliging niets afweet en denkt zijn slag te kunnen slaan m.b.t. het bestrijden van de criminaliteit.
Dat lijkt me niet correct. De clients hebben een beveiligde verbinding met een centrale server, en die is vertrouwd met
behulp van een vertrouwd certificaat. Over die beveligde verbinding kan de centrale server een vlaggetje sturen "jij
mag geen end-to-end encryptie doen want we willen jou in de gaten houden". Of "jij moet van alle berichtjes die je
end-to-end encrypted verstuurt en ontvangt ons ook een copietje sturen (met een key die wij samen afspreken".
De app die dat ondersteunt volgt die aanwijzingen van dat vlaggetje.
Daar is niet "door iedereen misbruik van te maken", want "iedereen" kan zich niet voordoen als de vertrouwde centrale
server.
Dat de vraag gestd wordt en het is als duidelijke mogelijkheid gezien wordt weet je dat het geen end to end is.
TOR, Signal, verschillende VPN-diensten en Whatsapp zijn géén Belgische communicatiemiddelen. Met bijv. Google en Facebook (Whatsapp) is het wel oppassen omdat ze nogal makkelijk heulen met (lokale) autoriteit en produkten van genoemde bedrijven hebben gegarandeerd backdoors.
Statelijke actoren die pretenderen je ongevraagd te beschermen zijn ALTIJD te wantrouwen. Maar gelukkig zijn de workarounds méér voorhanden dan de ondermijnende fuiken en malware van onbetrouwbare overheden met hun stompzinnige godwins.
De directe en indirecte veroorzakers van de meeste ellende, conflict, verdeeldheid en desinfo zijn overheden zelf. Bescherming tegen dergelijke malverserende actoren is blijkbaar bijzonder effectief, geeft ze het nakijken en verzinnen dus zulke wetjes.
"Ga boeven vangen en begin daarmee in uw eigen gelederen", is hierbij mijn slotconclusie.
(hetgeen zoiets betekent als: "in de praktijk een backdoor", dus ongeacht de manier waarop men het precies doet)
Ik heb eens een politieambtenaar moeten uitleggen dat het internet een open netwerk is en waarbij de backdoors die door de overheid worden gebruikt, ook in criminele handen kunnen vallen. Dit laatste is geloof ik al gebeurd met FinFisher. Hierdoor zitten we met een extra probleem.
Wat de encryptie betreft: ook statelijke actoren kunnen nu via een goed geplaatste hack achter deze kwetsbaarheden c.q. backdoors komen. Hierdoor stort automatisch het encryptiegebouw volledig in elkaar. En dit met dank aan de overheid die van beveiliging niets afweet en denkt zijn slag te kunnen slaan m.b.t. het bestrijden van de criminaliteit.
Je hoeft niet veel kennis van deze materie te hebben, om te begrijpen dat een achterdeur vroeg of laat in handen valt van mensen, die er misbruik van gaan maken. Het is duidelijk, dat zoiets wereldwijde gevolgen zal hebben. Ik wijs maar eens op de mening van Bruce Schneier, een autoriteit op dit gebied, die hier al jaren tegen waarschuwt. https://www.schneier.com/blog/archives/2011/10/fbi-sponsored_b.html
Het is iets waar men zeer goed bij moet oppassen, en dan nog kan het verkeerd gaan. Daarom is het niet te adviseren,
of alleen tijdelijk in het alleruiterste geval wanneer het "zeker en vast" hoog en hoog nodig is.
En dan bedoel ik ook echt, écht, ÈCHT hoognodig, zonder dat er alternatieven voor handen zijn.
De savoir-vivre en jeu de vie, witte? Allez mannekes, zulle.
#sockpuppet
behulp van een vertrouwd certificaat. Over die beveligde verbinding kan de centrale server een vlaggetje sturen "jij
mag geen end-to-end encryptie doen want we willen jou in de gaten houden". Of "jij moet van alle berichtjes die je
end-to-end encrypted verstuurt en ontvangt ons ook een copietje sturen (met een key die wij samen afspreken".
De app die dat ondersteunt volgt die aanwijzingen van dat vlaggetje.
Daar is niet "door iedereen misbruik van te maken", want "iedereen" kan zich niet voordoen als de vertrouwde centrale
server.
En het hoeven niet alleen bugs te zijn. Als de server kan regelen dat er een niet end-to-end versleutelde verbinding wordt gebruikt, hoe gaat dat dan in zijn werk? Dan moet een medewerker dat kunnen omzetten voor een gebruiker, en wie weet krijgen autoriteiten wel zelf beschikking over een interface om dat te doen. Op dat moment zijn de mensen die dat bedienen een zwakke schakel geworden. Ze kunnen slordigheden begaan, ze kunnen omkoopbaar of chantabel blijken te zijn, er kan van alles misgaan.
En als die centrale server onverhoopt gecompromitteerd raakt dan zou bij end-to-end-encryptie die in de client niet uit te schakelen is de vertrouwelijkheid ondanks dat gewaarborgd zijn, terwijl bij een server die het simpelweg uit kan zetten geen enkele gebruiker nog veilig is. Het mooie van end-to-end-encryptie is dat je helemaal niets tussen de eindpunten hoeft te vertrouwen, ook niet die centrale server. Dat raak je kwijt.
Alleen al de mogelijkheid om het uit te schakelen introduceert dus in een klap hele categorieën aan nieuwe manieren waarop het mis kan gaan. De kwetsbaarheid van zo'n systeem neemt daarmee aanzienlijk toe.
https://www.computable.be/artikel/nieuws/maatschappij/6499794/5440850/britten-zaten-achter-belgacom-hack-zegt-parket.html
Incorrect. Je kan best de encryptie mode uitschakelen voor een account dat in normale mode end-to-end encrypted is. Beschikbaarheid van E2E encryptie functionaliteit impliceert niet, dat deze functionaliteit niet uitgeschakeld kan worden.
Daar heb je wel een punt, zij het niet zozeer met raketten voor legers.
Ik heb nog nooit een politicus horen verkondigen dat ieder pistool en geweer verplicht een camera moet hebben die 24/7 aan staat en bij afvuren de hele periode tot een half uur voor en een half uur na (ik noem maar iets) naar de politie stuurt. Terwijl in tegenstelling tot encryptie vuurwapens primair zijn ontworpen om levende wezens te doden...
En als die centrale server onverhoopt gecompromitteerd raakt dan zou bij end-to-end-encryptie die in de client niet uit te schakelen is de vertrouwelijkheid ondanks dat gewaarborgd zijn, terwijl bij een server die het simpelweg uit kan zetten geen enkele gebruiker nog veilig is. Het mooie van end-to-end-encryptie is dat je helemaal niets tussen de eindpunten hoeft te vertrouwen, ook niet die centrale server. Dat raak je kwijt.
Ja als Als ALS...
Als de build server voor de client app onverhoopt gecompromitteerd raakt dan zou er een aanpassing in de client
app gedaan kunnen worden waardoor zomaar iedereen de encryptie uit kan zetten of een tap kan inbouwen in
de client. Als als als.
Als de hemel naar beneden valt hebben we allemaal een blauwe hoed, zei men vroeger.
Ik heb nog nooit een politicus horen verkondigen dat ieder pistool en geweer verplicht een camera moet hebben die 24/7 aan staat en bij afvuren de hele periode tot een half uur voor en een half uur na (ik noem maar iets) naar de politie stuurt. Terwijl in tegenstelling tot encryptie vuurwapens primair zijn ontworpen om levende wezens te doden...
Politici gaan meestal niet zo met de tijd mee (heet het hier) maar als ze die achterstand hebben ingehaald dan kunnen
en mogen ze dit best voorstellen. De politie kan dan gemakkelijk al die filmpjes van schietbanen deleten en voor de
rest achter de bezitters aan gaan. Prachtig. Zeker als daar mensen mee gepakt worden die "zelf wel bepalen waar
en op wat ze schieten".
https://datanews.knack.be/ict/nieuws/security-en-privacyexperts-tegen-belgisch-plan-om-encryptie-te-ondermijnen/article-news-1784475.html
[1] Het gaat hier om een zogeheten 'dispositief' van het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT)
https://www.bipt.be/index.php/operatoren/publication/bijlage-1-dispositief
Deze posting is gelocked. Reageren is niet meer mogelijk.
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
