De NSA kwam overal binnen, gebruik makend van veiligheidslekken

Als er een ding is dat we kunnen leren van de ‘CIA-lekken’ dan is het dat versleuteling werkt en dat daar meer van gebruik zal moeten worden gemaakt, stellen deskundigen. Dan moet nog wel even bedacht worden dat er dan niemand de sleutel van de code overhandigt aan de opsporingsambtenaren, veiligheidsdiensten of criminelen. Versleutelde berichten op computers in Canada konden door de Nederlandse politie ontcijferd worden omdat ze de sleutel van Symantec hadden gekregen, zo gaat het verhaal.

Uit de door WikiLeaks gelekte documenten en bestanden, die afkomstig zouden zijn van de Amerikaanse geheime dienst CIA, zou zijn gebleken dat die zich veel moeite getroostte om om de versleuteling heen te manoeuvreren. Die zou niet te ontcijferen zijn.
“We leven in een wereld waar als de Amerikaanse overheid je gegevens wil hebben, zij er niet op kan vertrouwen die code te breken”, zegt Nicholas Weaver, veiligheidsonderzoeker aan de universiteit van Californië in Berkeley. “Ze zijn dan afhankelijk van gerichte aanvallen. Dat is duur en riskant en dat doe je alleen als je zeker bent van je doelwit. Dat de CIA dat doet zou burgerrechtenverdedigers het vertrouwen moeten geven dat het nu beter is dan een paar jaar geleden.”

Vier jaar geleden kwam ’s werelds beroemdste klokkenluider Edward Snowden met zijn onthullingen over het doen en laten van de Amerikaanse veiligheidsdienst NSA. Sedertdien hebben techbedrijven zich ingespannen om via het web verstuurde gegevens te versleutelen. De onthullingen maakten gehakt van de aanname dat het via internet vrijwel onmogelijk was om zinnige informatie op te duikelen, stelt Joseph Lorenzo Hall van de burgerrechtengroep Center for Democracy & Technology. Dat zou zo zijn omdat elk bericht dat over het web verstuurd wordt in stukjes wordt geknipt dat apart via allerlei, onvoorspelbare routes naar de ontvanger wordt gestuurd.
Dat kon wel en dus werd er stevig getimmerd door techbedrijven aan het versleutelen van berichten. Dat is mooi, maar als de overheid de versleutelaar kan dwingen de sleutel af te geven, dan helpt die beveiliging ook niet echt. WhatsApp en iMessage van Apple zijn daarom een stap verder gegaan: ook de versleutelaar weet niet waar de sleutel ligt (volledige versleuteling)
Dat dwingt spionnen om afzonderlijke telefoons af te tappen of berichten te onderscheppen voor ze versleuteld worden of nadat ze weer ontsleuteld zijn. Het is weer als in de goede oude tijd, waar spionnen stiekem microfoontjes plaatsten in de huizen van het doelwit. Het is dan meer vissen met een hengel in plaats van met een sleepnet.

Apple tegen FBI

De versleuteling is zo sterk dat de FBI vorig jaar Apple wilde dwingen de code van een iPhone van de San Bernardino-moordenaar te onthullen. Apple weigerde dat en de FBI zou derden hebben ingehuurd om de telefoon te kraken.

FBI-directeur James Comey sprak onlangs weer eens over de problemen die versleuteling geven voor justitie. Hij vindt dat er een balans zou moeten zijn tussen privacy en de mogelijkheden van de FBI wettelijk toegang tot informatie te krijgen. De FBI zou ook mensen moeten inhuren die anders voor bedrijven als Google of Apple zouden werken.
De overheid wilde dat de techbedrijven achterdeurtjes in hun beveiliging inbouwden, maar dat maakt van versleuteling een wassen neus. Een achterdeur voor de goeien is ook een achterdeur voor de slechten, zei Apple-baas Tim Cooke dan ook.

Voorlopig zijn WhatsApp en iMessage wat totale versleuteling betreft nog de uitzonderingen. Het vervelende is dat veel techbedrijven zoals Facebook, Google of Microsoft, zelf niet echt gebaat zijn bij versleuteling. Die leven voor een niet onbelangrijk deel van de gegevens die ze peuren uit de berichten van hun gebruikers. Google is daar zelfs groot mee geworden. De overheid kan die halfslachtigen dwingen haar de sleutel te overhandigen. Google heeft onlangs, zo lijkt het althans, zijn pogingen opgegeven een totale versleuteling voor GMail te ontwikkelen.

Versleuteling is niet de enig zaligmakende oplossing. Verdedigingslinies hebben altijd wel ergens zwakke punten en dat geldt ook voor de beveiliging van de informatie die over het wereldwijde web wordt rondgestuurd. “Je kunt op een aantal niveaus aanvallen”, zegt Daniel Castro van de denktank ITIF. “Je denkt dan dat de zaak op een niveau beveiligd is met versleuteling, maar dat er andere gaten zijn waar we onze aandacht aan moeten besteden.” Mensen zouden, vindt hij, toch zeker versleuteling moeten gebruiken. “Het is beter dan niks.” Dat klinkt dan meteen weer zo somber.

Bron: ABC News