image

Minister: encryptie kan voorkomen dat VS in cloud opgeslagen data bekijkt

maandag 23 september 2024, 11:31 door Redactie, 41 reacties

Het gebruik van encryptie kan voorkomen dat de Amerikaanse autoriteiten bestanden kunnen inzien die bij Amerikaanse clouddiensten zijn opgeslagen, hoewel dit effect op nuttige cloudfuncties kan hebben, zo laat minister Beljaarts van Economische Zaken weten in de kabinetsreactie op een rapport van denktank Clingendael. Begin dit jaar waarschuwde Clingendael dat de Amerikaanse overheid via clouddiensten van bijvoorbeeld Google en Microsoft bij de e-mail van Nederlandse overheden en vitale bedrijven kan, wat een risico voor de nationale veiligheid kan vormen.

"De dominantie van Amerikaanse cloudaanbieders in Europa vormt niet enkel economisch een afhankelijkheid, maar heeft ook impact heeft op onze digitale open strategische autonomie", schrijft de minister. Die voegt toe dat zijn ministerie de verschillen laat onderzoeken tussen Nederlandse en Europese cloudproviders aan de ene kant en grote Amerikaanse providers aan de andere kant. "Ook zal het mogelijk handelingsperspectief verkennen voor het dichten van mogelijke verschillen tussen lokaal en Amerikaans cloudaanbod", merkt Beljaarts op (pdf).

Inzage door Amerikaanse inlichtingendiensten

De minister laat ook weten dat als gevolg van de potentiële extraterritoriale werking van Amerikaanse wetgeving Amerikaanse cloudproviders in specifieke situaties gedwongen kunnen worden om gegevens van cloudgebruikers over te dragen aan Amerikaanse inlichtingendiensten. Op verzoek van het Nationaal Cyber Security Centrum (NCSC) is onderzoek gedaan naar onder andere de kans dat gegevens van Europese burgers op basis van de Amerikaanse CLOUD-act verstrekt zullen worden aan de Amerikaanse overheid.

"Op basis van de daaromtrent beschikbare informatie is geconcludeerd dat deze kans laag is. AWS publiceert bijvoorbeeld sinds 2020 twee keer per jaar over informatieverzoeken van de Amerikaanse overheid. Daaruit komt het beeld naar voren dat er in die periode geen verzoeken zijn geweest die hebben geleid tot ontsluiting naar de Amerikaans overheid van data die is opgeslagen buiten de Verenigde Staten", laat de minister over het onderzoek weten.

Beljaarts stelt aanvullend dat de inzagemogelijkheid van een clouddienst kan worden geblokkeerd door bestanden te versleutelen voordat die in de cloud worden opgeslagen. "Hierbij kan alleen de gebruiker de bestanden ontcijferen en de clouddienst niet. Het versleutelen van bestanden blokkeert echter ook nuttige cloudfuncties zoals indexering of gezamenlijk editen door een groep. Een dergelijke wijze van versleuteling wordt echter nog niet door alle cloudleveranciers aangeboden."

De minister voegt verder toe dat ongeacht de herkomst van de cloudprovider, het voor cloudgebruikers van belang blijft om van meerdere providers gebruik te maken. "Stapelingsrisico’s door te veel afhankelijk te zijn van één dienstverlener kunnen de soevereiniteit en continuïteit schaden. Ook dient voorkomen te worden dat er een ongewenste geografische afhankelijkheid van enkel niet-Europese dienstverleners ontstaat."

Reacties (41)
23-09-2024, 11:41 door Anoniem
ik heb lang niet zulke bullshit gehoord van een stelletje omhoog gevallen promovendi..

#1 de vs heeft keer op keer bewezen door sneaky basterd de encryptie te verkloten door backdoors en bewuste gaten..
#2 store now, decrypt later?

onzin, bullshit...
23-09-2024, 12:05 door Anoniem
Eens dat encryptie enige bescherming biedt, maar hoe voorkom je dat de sleutels van jouw client systemen lekken of gestolen worden?
Een "decryptie-proxy" zou het beschermen van sleutels kunnen concentreren tot een (paar) systeem(en), maar levert een weer een single point of failure op.
23-09-2024, 12:16 door Anoniem
Misschien dat overheden en vitale bedrijven niet hun hebben en houwen op servers buiten hun deuren moeten zetten. (Ik kan ook open deuren intrappen, net als deze lui).
23-09-2024, 12:36 door Anoniem
Door Anoniem: ik heb lang niet zulke bullshit gehoord van een stelletje omhoog gevallen promovendi..

#1 de vs heeft keer op keer bewezen door sneaky basterd de encryptie te verkloten door backdoors en bewuste gaten..
#2 store now, decrypt later?

onzin, bullshit...

#1 Ja, is absoluut waar!
Gebruik uw eigen offline bestandversleuteling alvorens bestanden in de cloud op te slaan, deze kunnen daar dan niet bekeken worden door zowel de cloud als uzelf, maar het kan nog steeds als opslag gelden.

#2
Is ook waar!
Maar zolang men een wachtwoord met 60 of meer onwillekeurige tekens gebruikt is het zelfs voor een quantumcomputer relatief ondenkbaar dat dit in een levenstijd wordt ontsleuteld afhankelijk van het gebruikte algoritme. (Gebruik hiervoor een offline wachtwoord generator)
Voor quatumcomputer geld de regel; gebruik een twee keer zo lang wachtwoord als veilig wordt geacht tegen conventionele offline bruteforcing, dus 60 tekens lijkt me afdoende.
Gebruik eventueel een quantum-resistant algoritme.
Gebruik een offline wachtwoordmanager om de wachtwoorden te kopiëren, (overtypen is teveel werk) gebruik geen clipboard maar de ingebouwde woordenboekfunctie van de wachtwoordmanager. (Bijv. Magikeyboard op KeepassDX)
Gebruik alleen vrije software zodat men zelf kan controleren op achterdeurtjes.
23-09-2024, 12:59 door Anoniem
Encryptie kan voorkomen dat alle overheden (ook die van Nederland of de EU) in cloud opgeslagen data bekijken.

Begrijp ik uit de uitspraak van deze minister dat dit kabinet tegen CSAM gaat stemmen? (LoL)

0;-)

We hebben als land blijkbaar economische motieven om data van onze burgers te beschermen tegen ongewenste/vreemde ogen.
23-09-2024, 13:00 door Anoniem
Ah, DE MINISTER zegt het!
Maarre, moeten we ondertussen dan nog doorgaan met encryptie verzwakken?
23-09-2024, 13:03 door Anoniem
IANAL (I am not a lawyer), maar is het niet waarschijnlijk dat AWS een Gag Order heeft van de rechter en dat die niet mogen vertellen hoeveel ze uit de buitenlandse cloud opzuigen?

Is het niet waarschijnlijk dat de CIA en de NSA alles opzuigen en permanent opslaan uit de cloud en de slachtoffers hiervan laten betalen via cloud abonnementen? Het is immers al eerder gebeurd.
23-09-2024, 13:05 door Anoniem
Dus als het gaat om data in de cloud dan willen ze graag dat we het encrypten, maar als het gaat over E2E communicatie tussen burgers dan willen ze het graag verboden hebben?
23-09-2024, 13:06 door Anoniem
Door Anoniem: ik heb lang niet zulke bullshit gehoord van een stelletje omhoog gevallen promovendi..

#1 de vs heeft keer op keer bewezen door sneaky basterd de encryptie te verkloten door backdoors en bewuste gaten..
#2 store now, decrypt later?

onzin, bullshit...
+1 !
23-09-2024, 13:11 door Anoniem
Security en encryptie blijkt dus een papieren kwestie te zijn, als in de, door AWS verstrekte informatieverzoeken aan de Amerikaanse overheid, niet staat dat er verzoeken zijn geweest tot ontsluiten van data buiten de Verenigde Staten dan geloven wij dat op hun blauwe ogen.
23-09-2024, 13:13 door Erik van Straten
Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.
23-09-2024, 13:32 door Anoniem
Gelukkig gebruiken alle grote cloud partijen encryptie, zowel voor opslag (disk-encryptie, file-encryptie) en voor transport (TLS)...... en beheren ook de sleutels, maar dat zeggen we niet hardop
23-09-2024, 13:41 door Anoniem
Is het niet zo dat bij de grote cloudproviders de encryptie server side plaatsvind, oftewel aan de kant van de cloudprovider?

Dat zou betekenen dat de encryptie sleutel dus in handen is van de cloudprovider. Dat maakt dus dat het eigenlijk niet meer zoveel uitmaakt of je de data in de cloud nou versleuteld of niet.
23-09-2024, 13:46 door Anoniem
Neem als voorbeeld alle data in Office 365. Denk aan Word documenten, PPT, Excel, E- Mail, Teams en natuurlijk SharePoint en OneDrive. HOE wil je dat encrypten en tegelijkertijd ten alle tijde beschikbaar hebben om mee samen te werken en te delen???
Zelfde geld voor VM's op bv Azure. Daar kan je ook Bitlocker op toepassen, maar dat geld alleen voor VM's harddisks die uit staan. Zodra ze aan staan, moet je er bij kunnen en zijn ze dus per definitie leesbaar. De grote vraag is dan alleen nog door wie allemaal?

Volgens mij denken ze in den haag dat Cloud Diensten alleen online Backup is? Misschien moet een ITer, die dingen als dit in "Jip en Janneke" taal kan uitleggen eens langs gaan?
23-09-2024, 14:06 door Anoniem
Door Anoniem: IANAL (I am not a lawyer), maar is het niet waarschijnlijk dat AWS een Gag Order heeft van de rechter en dat die niet mogen vertellen hoeveel ze uit de buitenlandse cloud opzuigen?

Is het niet waarschijnlijk dat de CIA en de NSA alles opzuigen en permanent opslaan uit de cloud en de slachtoffers hiervan laten betalen via cloud abonnementen? Het is immers al eerder gebeurd.
Inderdaad.
Helaas kan ook Nederland deze data onderscheppen, immers hebben we een sleepwet, en dat is nou precies wat ze doen.
In dit geval verwijt de pot de ketel wat de minister betreft.
23-09-2024, 14:19 door Anoniem
Door Anoniem: Eens dat encryptie enige bescherming biedt, maar hoe voorkom je dat de sleutels van jouw client systemen lekken of gestolen worden?
Een "decryptie-proxy" zou het beschermen van sleutels kunnen concentreren tot een (paar) systeem(en), maar levert een weer een single point of failure op.

Waar denk je dat die sleutels opgeslagen worden? In de cloud natuurlijk :)
https://docs.aws.amazon.com/kms/latest/developerguide/overview.html
https://azure.microsoft.com/en-us/products/key-vault/
https://cloud.google.com/kms/docs/key-management-service
23-09-2024, 15:14 door Anoniem
Door Anoniem: ik heb lang niet zulke bullshit gehoord van een stelletje omhoog gevallen promovendi..

#1 de vs heeft keer op keer bewezen door sneaky basterd de encryptie te verkloten door backdoors en bewuste gaten..
#2 store now, decrypt later?

onzin, bullshit...

en hier mag je toch echt wat meer onderzoek naar doen, punt 1 en punt 2 zijn niet waar. Er zijn oplossingen beschikbaar zowel PQR als bewezen niet gekraakte encryptie algoritmes.

Er zijn producten beschikbaar, zowel Hardware HSM, als cloud oplossingen, waar je je eigen key's in beheer hebt,
Geloof je hier niet in mag je ook je eigen encryptie bedenken, schrijven, en gebruiken, niemand houdt je tegen.

Ik ben geen verkoper dus het aanprijzen van deze oplossingen is niet mijn ding, maar ze doen echt wat ze zeggen, Jammer dat die krengen zo duur zijn

Ik zou elk bedrijf er een aanraden, vooral omdat je er met eigen encryptie ook van uit kan gaan dat er geen AI op je data losgaat.
23-09-2024, 15:50 door Anoniem
Door Erik van Straten: Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.

Klopt maar ik leer graag hoe dat precies wel zit.
23-09-2024, 16:01 door Anoniem
Is dat nu goedgelovigheid of desinformatie?
23-09-2024, 16:45 door Anoniem
Encryptie en cloud zijn in sommige gevallen ook een wassen neus voor een vinkje. Voor diverse zaken moet je de key overhandigen aan de cloud provider, dus ja, dan is het netjes gecrypt, maar dan kunnen ze ook bij je data met alle gevolgen van de cloud act.
23-09-2024, 16:49 door Erik van Straten - Bijgewerkt: 23-09-2024, 16:53
Door Anoniem:
Door Erik van Straten: Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.

Klopt maar ik leer graag hoe dat precies wel zit.
• IaaS
• PaaS
• Thuiswerken, samenwerken
• Deduplicatie
• Zoekfunctionaliteit
• Oauth2, slimme apps, PSD2
• Denken dat het goedkoper is
• 2FA support dus veilig
• Geen beheerders meer nodig
• Vendor lock-in
• Info = Macht
• FISA Section 702
23-09-2024, 16:55 door Anoniem
Door Erik van Straten:
Door Anoniem:
Door Erik van Straten: Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.

Klopt maar ik leer graag hoe dat precies wel zit.
• IaaS
• PaaS
• Thuiswerken, samenwerken
• Deduplicatie
• Zoekfunctionaliteit
• Oauth2, slimme apps, PSD2
• Denken dat het goedkoper is
• 2FA support dus veilig
• Geen beheerders meer nodig
• Vendor lock-in
• Info = Macht
• FISA Section 702

Dat is duidelijk, bedankt.
23-09-2024, 17:11 door Anoniem
Dit artikel gaat uitsluitend over opslag als S3 of Glacier...
Maar dus niet over de AWS running containers vm's en lambda's
23-09-2024, 18:29 door Anoniem
Door Erik van Straten:
Door Anoniem:
Door Erik van Straten: Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.

Klopt maar ik leer graag hoe dat precies wel zit.
• IaaS
• PaaS
• Thuiswerken, samenwerken
• Deduplicatie
• Zoekfunctionaliteit
• Oauth2, slimme apps, PSD2
• Denken dat het goedkoper is
• 2FA support dus veilig
• Geen beheerders meer nodig
• Vendor lock-in
• Info = Macht
• FISA Section 702

Geen beheerders meer nodig?????????????????????
Verklaar je nader aub.
23-09-2024, 19:13 door Anoniem
Ik zeg het altijd, if it's not your key, it's not your data. Dus standaard HYOK implementeren om er zeker van te zijn dat niemand jouw data kan ontsleutelen. Maar, dat klinkt makkelijker dan het is want het zal een forse uitdaging om HYOK strak door te trekken (en te blijven trekken) want het kan processen behoorlijk vertragen. Ook aan de implementatie ervan zitten veel haken en ogen want ga je al je data versleutelen of alleen bepaalde hoog risico data?
Daarom zullen veel overheden, voor zover ze uberhaupt al het principe van DKE snappen, gewoon de standaard MS versleuteling blijven hanteren of in bepaalde gevallen alleen bepaalde hoog risico datasets van DKE voorzien. Ik gok dat in vrijwel alle gevallen de sleutel ergens in een keystore van MS wordt opgeslagen omdat het anders te ingewikkeld voor de gebruikers wordt.
Ik kom nog steeds gemeenten tegen die de standaard MS maatregelen binnen M365 toepassen en niet of nauwelijks naar de Secure Score of kwetsbaarheden analysen kijken. Zo zijn er nog nog zat die denken dat, nu hun data in de Cloud staat, dat zij nergens meer aan hoeven te denken omdat MS de boel wel veilig houdt. Het niveau bij sommige gemeenten is helaas ver te zoeken. Dat zal bij de rest van de overheid niet anders zijn vrees ik.
23-09-2024, 19:27 door Erik van Straten
Door Anoniem:
Door Erik van Straten: [...]
• 2FA support dus veilig
[...]
Dat is duidelijk, bedankt.
Nb.dat 2FA het veilig maakt, was een geintje (2019 "MFA had failed" - door Alex Weinert, Director of Identity Security at Microsoft, https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/all-your-creds-are-belong-to-us/ba-p/855124).
23-09-2024, 19:52 door Anoniem
Door Erik van Straten:
Door Anoniem:
Door Erik van Straten: [...]
• 2FA support dus veilig
[...]
Dat is duidelijk, bedankt.
Nb.dat 2FA het veilig maakt, was een geintje (2019 "MFA had failed" - door Alex Weinert, Director of Identity Security at Microsoft, https://techcommunity.microsoft.com/t5/microsoft-entra-azure-ad-blog/all-your-creds-are-belong-to-us/ba-p/855124).

Ik begreep dat je het niet echt meende hoor, van de 2FA support ;-)
23-09-2024, 20:29 door Anoniem
Het enige probleem is dat Nederland onderdeel is van de "Nine Eyes" als uitbreiding van de "Five Eyes". Dus allerlei inlichtingen worden al gedeeld, en als de VS een of ander bestand wil inzien is de kans groot dat Nederland daar willend in meegaat.
Het lijkt mij hier vooral schijn: encryptie is een goed idee, maar in praktijk ben ik simpelweg niet zeker hoe groot het effect gaat zijn.
23-09-2024, 21:13 door Anoniem
Door Anoniem:
Door Erik van Straten:
Door Anoniem:
Door Erik van Straten: Wie denkt dat "de cloud" uitsluitend een "opslagsysteem van een ander" is, begrijpt er echt helemaal niets van.

Klopt maar ik leer graag hoe dat precies wel zit.
• IaaS
• PaaS
• Thuiswerken, samenwerken
• Deduplicatie
• Zoekfunctionaliteit
• Oauth2, slimme apps, PSD2
• Denken dat het goedkoper is
• 2FA support dus veilig
• Geen beheerders meer nodig
• Vendor lock-in
• Info = Macht
• FISA Section 702

Geen beheerders meer nodig?????????????????????
Verklaar je nader aub.
Ok begrepen, 'Geen beheerders meer nodig' was een geintje van je, ik schrok al, krijg ik het eindelijk een keer rustig :-)
23-09-2024, 21:16 door Anoniem
Door Anoniem: Dit artikel gaat uitsluitend over opslag als S3 of Glacier...
Maar dus niet over de AWS running containers vm's en lambda's
En ook niet over diensten in de cloud. Het verhaal begint met "e-mail in de cloud" waarbij het risico dan is dat er mailtjes worden meegelezen, nou dat kun je dus niet voorkomen op de gesuggereerde manier.

Maar goed degene die met dit idee gekomen is (degene die de minister geadviseerd heeft) die snapt er toch al niks van, gezien de opmerking "Een dergelijke wijze van versleuteling wordt echter nog niet door alle cloudleveranciers aangeboden.".
Dat is immers helemaal niet relevant, de enige manier waarop je ooit iets zou kunnen hebben aan versleuteling van je
cloud storage is als je het ZELF op je EIGEN APPARAAT uitvoert en dan vervolgens alleen die versleutelde data naar
de cloudleverancier stuurt. Die hoeft dat dus niet aan te bieden ofzo.
Als de cloudleverancier het aanbiedt is het waardeloos (zoals hierboven al beargumenteerd)...
24-09-2024, 01:13 door Erik van Straten
Door Anoniem: Geen beheerders meer nodig?????????????????????
Verklaar je nader aub.
Dat was dan weer geen geintje. Zodra de serverruimte weer als opslaghok voor de vrijdagmiddagborrel, kerstpakketten en de grote zwarte stinkende en roestige BBQ wordt gebruikt, denken veel managers bij eigen beheerders aan "functie elders" en huren ze een clubje cowboys in om vragen te beantwoorden over bijv. wat de foutmelding op de printer betekent.
24-09-2024, 01:36 door Erik van Straten
Door Anoniem: de enige manier waarop je ooit iets zou kunnen hebben aan versleuteling van je cloud storage is als je het ZELF op je EIGEN APPARAAT uitvoert en dan vervolgens alleen die versleutelde data naar de cloudleverancier stuurt.
Maar dan is het niet meer dan een remote backup. Je kunt het iets "luxer" maken door méérdere werknemers dezelfde sleutel te geven, maar dat wordt een drama met sleutelbeheer (o.a. gedoe als iemand de organisatie verlaat) - en hoe ga je dan om met bestandspermissies en filesharing-issues t.g.v. gelijktijdige schrijftoegang. En voor het zoeken naar/in bestanden moet je alles over de lijn trekken en lokaal ontsleutelen.

Mijn onderbuik vertelt mij zojuist dat homomorphic encryption vapourware zal blijven.

Die oude N: netwerkschijf was zo gek nog niet, ook als veel te veel mensen daar lees- en schrijfrechten op hadden.
24-09-2024, 03:34 door Anoniem
Bij iCloud kun je Advanced Data Protection aanzetten. Dan heeft enkel de gebruiker de sleutel. Deze wordt niet extern opgeslagen. Apple heeft de sleutel dan niet. Geen enkele overheid kan dan bij je data.
24-09-2024, 09:51 door Anoniem
Dit lijkt mij een politiek onzinpraatje om de goegemeente in slaap te sussen. En om zelf als Nederlandse overheid niks te hoeven doen tegen stofzuigeren van data van Nederlanders, zonder hun toestemming, door Amerikaanse bedrijven en diensten.
24-09-2024, 10:01 door Anoniem
Ik zou altijd een "zero-trust" beleid aanhouden, en al helemaal in de cloud. (Andermans computer)
Daar pas ik ook mijn beveiliging naar aan.
24-09-2024, 11:21 door Anoniem
Door Erik van Straten: Maar dan is het niet meer dan een remote backup. Je kunt het iets "luxer" maken door méérdere werknemers dezelfde sleutel te geven, maar dat wordt een drama met sleutelbeheer (o.a. gedoe als iemand de organisatie verlaat) - en hoe ga je dan om met bestandspermissies en filesharing-issues t.g.v. gelijktijdige schrijftoegang. En voor het zoeken naar/in bestanden moet je alles over de lijn trekken en lokaal ontsleutelen.
Je zou bijna gaan denken dat storage lokaal in je eigen computerzaal ook wel voordelen heeft ;-).

Wat mij, toen de cloud destijds in aantocht was, opviel was dat in vakbladen en managementbladen allerlei "analisten" enkele jaren lang enthousiast beschreven wat voor geweldige voordelen er allemaal mee te halen waren. Bij al die beschrijvingen vroeg ik me als techneut af: hoe dan? Dat werd me pas duidelijk toen er daadwerkelijk clouddiensten gelanceerd werden, met eindelijk concrete beschrijvingen van wat de diensten inhielden en hoe ze werkten. Daaruit heb ik opgemaakt dat dat soort verhaaltjes niet op techneuten als ik gericht waren maar meer op de managementtypes die helemaal enthousiast worden van voorgespiegelde voordelen zonder die "hoe dan?"-vraag erbij te stellen. En dus zie ik het als een doelbewust opgevoerde hype, als een marketingcampagne die jarenlang gevoerd is om te bereiken dat bij de introductie van die mogelijkheden er al een behoorlijke populatie verlekkerde managers klaar stond om het af te gaan nemen.

De laatste tijd zie ik, bijvoorbeeld op de Amerikaanse tech-discussiesite Slashdot, steeds vaker commentaren opduiken van mensen die aangeven dat de cloud bij hun in de praktijk niet de voordelen heeft opgeleverd die voorgespiegeld waren, en die teruggaan of al zijn gegaan naar eigen computerzalen. De schaalmogelijkheden zouden sowieso slecht uit de verf komen voor oudere applicaties die niet van begin af aan voor gebruik op cloud-platforms ontworpen zijn, en ook als het wel ervoor ontworpen is zou je voornamelijk voordeel hebben als je load heel onvoorspelbaar is en snel op en af kunnen schalen veel toevoegt. Voor start-ups zou het bijvoorbeeld geweldig zijn. Voor organisaties met een stabiele en voorspelbare hoeveelheid verwerking zou het juist duurder uitpakken dan ouderwets een eigen computerzaal hebben, en zelfs voor problemen zorgen als bijvoorbeeld ontwikkelaars heel makkelijk capaciteit bijschakelen voor hun eigen ontwikkelwerk en probeersels maar vervolgens hun troep niet opruimen, zodat er een groeiende hoeveelheid ongebruikte shit in de cloud rondhangt waar wel voor betaald moet worden.

Ik werk zelf allang niet meer op plaatsen waar ik dit soort dingen uit eigen ervaring kan bevestigen of ontkrachten, maar ik heb geen moeite om te geloven dat dit beeld klopt. Ik was sowieso al aan het afknappen op hoe big tech de hypes steeds verder opvoert om maar wat te verkopen te hebben. Ik zag ook hoe de inspanning van ontwikkelaars zich steeds meer verplaatste van wat de organisaties waarvoor ze werkten nodig hadden naar wat de platforms die ze gebruiken allemaal aan vernieuwingen aandroegen. Daarvan ben ik me op een gegeven moment gaan afvragen of big tech dat heel bewust doet om eigen software-ontwikkeling door bedrijven te saboteren en zo de markt voor hun eigen producten en die van hun partners te versterken.

Ik vind het zelf een behoorlijk cynisch beeld, maar als het klopt zou de overheid er goed aan doen de cloud grotendeels vaarwel te zeggen, de verwerking heel ouderwets in eigen rekencentra onder te brengen en daarbij niet te proberen constant achter "the latest and greatest" aan te rennen, maar om een dikke middelvinger op te steken naar big tech en eigen ontwikkelaars zich in alle rust te laten richten op wat hun eigen applicaties eigenlijk moeten doen.
24-09-2024, 11:44 door Anoniem
Door Anoniem: Bij iCloud kun je Advanced Data Protection aanzetten. Dan heeft enkel de gebruiker de sleutel. Deze wordt niet extern opgeslagen. Apple heeft de sleutel dan niet. Geen enkele overheid kan dan bij je data.

En dat geloof jij?

https://www.theguardian.com/world/2013/sep/05/nsa-gchq-encryption-codes-security
A 10-year NSA program against encryption technologies made a breakthrough in 2010 which made "vast amounts" of data collected through internet cable taps newly "exploitable".

The NSA spends $250m a year on a program which, among other goals, works with technology companies to "covertly influence" their product designs.

The secrecy of their capabilities against encryption is closely guarded, with analysts warned: "Do not ask about or speculate on sources or methods."

The NSA describes strong decryption programs as the "price of admission for the US to maintain unrestricted access to and use of cyberspace".

A GCHQ team has been working to develop ways into encrypted traffic on the "big four" service providers, named as Hotmail, Google, Yahoo and Facebook.

https://gizmodo.com/nsa-no-backdoors-new-encryption-standards-promise-1848924186

En bij apple mag je alleen apple's ingebouwde encryptie gebruiken of een internationale standaard. Al het andere moet specifieke US gov goedkeuring krijgen.



https://developer.apple.com/help/app-store-connect/reference/export-compliance-documentation-for-encryption/

Export compliance documentation for encryption

Depending on the kind of encryption algorithm your app uses, you may need to provide documentation in App Store Connect.

Your app uses encryption limited to that within the Apple operating system
No documentation required in App Store Connect.


Your app uses an industry standard algorithm, not provided within the Apple operating system
Upload your French encryption declaration in App Store Connect.1

Your app uses proprietary encryption algorithms not accepted by international standard bodies (such as IEEE, IETF, or ITU)


Upload your:

U.S. Commodity Classification Automated Tracking System (CCATS)

French encryption declaration in App Store Connect1
24-09-2024, 19:13 door Anoniem
Door Anoniem:
Door Erik van Straten: Maar dan is het niet meer dan een remote backup. Je kunt het iets "luxer" maken door méérdere werknemers dezelfde sleutel te geven, maar dat wordt een drama met sleutelbeheer (o.a. gedoe als iemand de organisatie verlaat) - en hoe ga je dan om met bestandspermissies en filesharing-issues t.g.v. gelijktijdige schrijftoegang. En voor het zoeken naar/in bestanden moet je alles over de lijn trekken en lokaal ontsleutelen.
Je zou bijna gaan denken dat storage lokaal in je eigen computerzaal ook wel voordelen heeft ;-).

Wat mij, toen de cloud destijds in aantocht was, opviel was dat in vakbladen en managementbladen allerlei "analisten" enkele jaren lang enthousiast beschreven wat voor geweldige voordelen er allemaal mee te halen waren. Bij al die beschrijvingen vroeg ik me als techneut af: hoe dan? Dat werd me pas duidelijk toen er daadwerkelijk clouddiensten gelanceerd werden, met eindelijk concrete beschrijvingen van wat de diensten inhielden en hoe ze werkten. Daaruit heb ik opgemaakt dat dat soort verhaaltjes niet op techneuten als ik gericht waren maar meer op de managementtypes die helemaal enthousiast worden van voorgespiegelde voordelen zonder die "hoe dan?"-vraag erbij te stellen. En dus zie ik het als een doelbewust opgevoerde hype, als een marketingcampagne die jarenlang gevoerd is om te bereiken dat bij de introductie van die mogelijkheden er al een behoorlijke populatie verlekkerde managers klaar stond om het af te gaan nemen.

De laatste tijd zie ik, bijvoorbeeld op de Amerikaanse tech-discussiesite Slashdot, steeds vaker commentaren opduiken van mensen die aangeven dat de cloud bij hun in de praktijk niet de voordelen heeft opgeleverd die voorgespiegeld waren, en die teruggaan of al zijn gegaan naar eigen computerzalen. De schaalmogelijkheden zouden sowieso slecht uit de verf komen voor oudere applicaties die niet van begin af aan voor gebruik op cloud-platforms ontworpen zijn, en ook als het wel ervoor ontworpen is zou je voornamelijk voordeel hebben als je load heel onvoorspelbaar is en snel op en af kunnen schalen veel toevoegt. Voor start-ups zou het bijvoorbeeld geweldig zijn. Voor organisaties met een stabiele en voorspelbare hoeveelheid verwerking zou het juist duurder uitpakken dan ouderwets een eigen computerzaal hebben, en zelfs voor problemen zorgen als bijvoorbeeld ontwikkelaars heel makkelijk capaciteit bijschakelen voor hun eigen ontwikkelwerk en probeersels maar vervolgens hun troep niet opruimen, zodat er een groeiende hoeveelheid ongebruikte shit in de cloud rondhangt waar wel voor betaald moet worden.

Ik werk zelf allang niet meer op plaatsen waar ik dit soort dingen uit eigen ervaring kan bevestigen of ontkrachten, maar ik heb geen moeite om te geloven dat dit beeld klopt. Ik was sowieso al aan het afknappen op hoe big tech de hypes steeds verder opvoert om maar wat te verkopen te hebben. Ik zag ook hoe de inspanning van ontwikkelaars zich steeds meer verplaatste van wat de organisaties waarvoor ze werkten nodig hadden naar wat de platforms die ze gebruiken allemaal aan vernieuwingen aandroegen. Daarvan ben ik me op een gegeven moment gaan afvragen of big tech dat heel bewust doet om eigen software-ontwikkeling door bedrijven te saboteren en zo de markt voor hun eigen producten en die van hun partners te versterken.

Ik vind het zelf een behoorlijk cynisch beeld, maar als het klopt zou de overheid er goed aan doen de cloud grotendeels vaarwel te zeggen, de verwerking heel ouderwets in eigen rekencentra onder te brengen en daarbij niet te proberen constant achter "the latest and greatest" aan te rennen, maar om een dikke middelvinger op te steken naar big tech en eigen ontwikkelaars zich in alle rust te laten richten op wat hun eigen applicaties eigenlijk moeten doen.

Je zou bijna gaan denken dat storage lokaal in je eigen computerzaal ook wel voordelen heeft ;-).
Helemaal mee eens maar dan met nog wel met een export voor data uithuis, hoe vaak hebben we al niet gelezen dat data wordt versleuteld en de back-up ook of zelfs verwijderd.

Ik vind het zelf een behoorlijk cynisch beeld, maar als het klopt zou de overheid er goed aan doen de cloud grotendeels vaarwel te zeggen, de verwerking heel ouderwets in eigen rekencentra onder te brengen en daarbij niet te proberen constant achter "the latest and greatest" aan te rennen, maar om een dikke middelvinger op te steken naar big tech en eigen ontwikkelaars zich in alle rust te laten richten op wat hun eigen applicaties eigenlijk moeten doen.
Volgens mij is dit niet cynisch maar realiteit.
25-09-2024, 11:42 door Anoniem
Informatieverzoeken vanuit de overheid zijn natuurlijk de formele juridische weg om aan data te komen. Ik denk niet dat inlichtingendiensten formele verzoeken zullen doen. Zijn zijn immers bezig met "spionage".

Moraal van het verhaal: je data zijn eigenlijk nooit veilig voor inlichtingdiensten, zijn zullen geen toestemming vragen. Daarnaast is encryptie uiteindelijk tijd kopen. Hoe gecompliceerder hoe langer het duurt, maar uiteindelijk...

Minder afhankelijkheid van de Amerikaanse techgiganten zou overigens om meerdere redenen wel mooi meegenomen zijn.
25-09-2024, 14:35 door Anoniem
Glasvezeldata kan op eenvoudige wijze op knooppunten worden "gespiegeld".

Waarom denk je dat glasvezel aanleg zo gepromoot wordt de afgelopen tijd?

USA regelt de procedures en de juridische haakjes en oogjes wel. Ga daar maar vanuit.

We zijn dus het station van deze discussie al wel enige tijd voorbij, dunkt me.
07-10-2024, 08:37 door Anoniem
Zo lang een bedrijf als Facebook wachtwoorden opslaat in "plain text", hoef je je vooral geen zorgen te maken dat Amerikanen niet mee kunnen kijken.
Reageren
Ondersteunde bbcodes
Bold: [b]bold text[/b]
Italic: [i]italic text[/i]
Underline: [u]underlined text[/u]
Quote: [quote]quoted text[/quote]
URL: [url]https://www.security.nl[/url]
Config: [config]config text[/config]
Code: [code]code text[/code]

Je bent niet en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.