Klokkenluider Edward Snowden heeft een prijs gekregen van de Amerikaanse vereniging The Government Accountability Project van, voornamelijk, oud-werknemers van de Amerikaanse inlichtingendiensten CIA, FBI en NSA voor zijn ‘integriteit’ bij zijn inlichtingenwerk. De prijs, de Sam Adams Award, is Snowden overhandigd in Moskou. Zoals een goede vereniging van (oud-)geheime agenten betaamt, maakte de vereniging verder geen bijzonderheden bekend.
Bron: Le Monde
De Amerikaanse federale recherche FBI blijkt in staat te zijn webstekken die verborgen zijn achter Tor, waar onder veel meer ook de ‘ondergedoken’ Pirate Bay gebruik van maakt, op te sporen en onschadelijk te maken. Het Amerikaanse Silk Road, waar roesmiddelen werden verhandeld , werd uit de lucht gehaald nadat initiatiefnemer Ross Ulbricht, alias Dread Pirate Roberts , was gearresteerd. Lees verder
Het is, zegt de Koreaanse grafisch ontwerper Sang Mun, eerder een provocatie dan een echte oplossing, de ‘onleesbare’ letters die hij heeft ontworpen. Onleesbaar zijn ze niet, tenminste niet voor mensen. Computers hebben er problemen mee, althans, zo wil het Webblad Wired ons doen geloven. Mun, die tijdens zijn militaire dienst bij de NSA heeft gewerkt, heeft verschillende ‘onleesbare’ lettertypes gemaakt, waarbij ‘rommel’ rond de letter het voor een tekenherkenningsprogramma moeilijk maakt om te bepalen wat het is. De truc gaat dus eigenlijk alleen maar op voor ‘analoge’ letters zoals die in boeken voorkomen. Dat zijn eigenlijk plaatjes, die door een tekenherkenningsprogramma worden omgezet in digitale code voor dezelfde letter (of teken). Volgens mijn zeer ondeskundige mening is deze verdedigingslinie tegen de illegale nieuwsgierigheid van veiligheidsdiensten en andere ‘rondpokers’ dan ook tamelijk futiel. Berichten die je op je computer maakt, gebruiken digitale letters en daarbij maakt het dus niet uit welk lettertype daarbij is gebruikt. Het lettertype van Mun heet ZXX en komt in vier smaken die gratis zijn binnen te halen. Het heeft Mun een jaar gekost om ze te maken. Arme man. Zijn truc werkt natuurlijk wel als de teksten met de ‘onleesbare’ fonts worden gefotografeerd. De Koreaan zegt vooral geïnspireerd te zijn door de opdringerigheid van het nieuwste speeltje van Google: de Bril. Ondertussen werkt Mun al aan ZXX v2.0. Geheel in stijl.
Bron: Wired
Veiligheidsdiensten hebben op het wereldwijde web en in de telecom een infrastructuur opgebouwd, waarmee ze naar hartelust kunnen inbreken op groot aantal computer- en telecomsystemen. Dan gaat het niet alleen om netwerken, maar ook niet verbonden computers zijn afluisterbaar via gegevensdragers of door het ‘beluisteren’ van toetsklikken. Dat de meldt de Duitse vereniging voor informatica, een organisatie van 20 000 informatici. Volgens de vereniging heeft de roemruchte Amerikaanse veiligheidsdienst NSA ‘achterdeurtjes’ in 80 000 strategische servers, die over de hele wereld verspreid zijn; zo 10 000 servers gemiddeld bij de acht G8-landen. Het zou daarbij gaan om systemen in alle essentiële hoeken van de samenleving: de energiesector, financiële wereld, telecomsector, voedingssector, media, chemische industrie enz. Lees verder
Zes jaar geleden vonden twee kryptografische onderzoekers van Microsoft een raar lek in een versleutelingssysteem (een getallengenerator) voor de Amerikaanse overheid. Het tweetal, Dan Shumow en Niels Ferguson, vonden een ‘‘achterdeur’ via welke een derde de code kon breken. Sedert de onthullingen van Edward is bevestigd wat iedereen al vermoedde: die achterdeur was daar aangebracht door de NSA. Het bleek nog erger te zijn. De NSA dwong (en dwingt?) makers van beveiligingssystemen zwakheden in te bouwen, zodat de veiligheidsdienst er altijd ‘in’ zou kunnen komen.
De documenten laten zien dat de NSA de versleuteling kan kraken van alledaagse beveiligingssystemen zoals SSL (Secure Sockets Layer) en de virtuele private netwerken (VPN), die veel bedrijven gebruiken ter beveiliging van hun vertrouwelijke communicatie. Diensten als de NSA brengen daar tegenin dat terroristen dezelfde diensten gebruiken als Amerikanen en het dus noodzakelijk is die berichtgeving te kunnen ontsleutelen. Bij een toenemende webspionage, ook door China en Rusland, kan de NSA het zich niet veroorloven grote stukken van het web te negeren, is het verweer.
Die nieuw verworven wetenschap knaagt natuurlijk aan het vertrouwen dat mensen en bedrijven in de beveiligingsbranche hebben. De jongste onthullingen rond het NSA-schandaal leren dat de dienst beschikt over een grote databank met gegevens hoe beveiligingsprogrammatuur en -systemen kunnen worden ontsleuteld.
David Dampier, hoofd computerbeveiligingsonderzoek van de staatsuniversiteit van Mississippi vindt dat niet best, maar het verbaast hem niks. “Er is geen versleuteling te bedenken die 100% waterdicht is. Wat een bedrijf je ook verkoopt, de code kan gebroken worden.“ Volgens gelekte gegevens over de begroting van de NSA in de New York Times, zou de dienst met zowel Amerikaanse als buitenlandse it-bedrijven hebben samengewerkt. “De veranderingen in ontwerp hebben de systemen ‘hanteerbaar’ gemaakt.”, staat ergens in die documenten.
“Als dit waar is”, zegt beveiligingsdeskundige Daniel Castro van ITIF, “dan is dat een pervertering van de democratie. Dit is slecht voor de concurrentiepositie van Amerikaanse bedrijven.” Castro schreef vorige maand in een rapport dat het hele NSA-schandaal de Amerikaanse bedrijven die digitale opslagruimte aanbieden (‘wolk’) in drie jaar 35 miljard dollar (zo’n 26 miljard euro) kunnen gaan kosten.
De getallengenerator uit het begin van dit verhaal, de Dual_EC_RNG, was nauwelijks een succes. De versleutelaar was traag, klunzig, maar wordt onderdsteund door het besturingssysteem Windows. Microsoft zei in het verleden de overheid nooit directe, vrije toegang gegeven te hebben tot klantgegevens, zegt dat ook vandaag nog, maar misschien was dat ook helemaal niet nodig.
Inmiddels is volksvertegenwoordiger Rush Holt van plan wetgeving op gang te brengen die de ongebreidelde nieuwsgierigheid van diensten als de NSA aan banden moet leggen. “We betalen ze om te spioneren, maar als dat betekent dat beveiligingsprogrammatuur ingebouwde zwakheden heeft dan is dat een ondienst”, zei hij in de New York Times. Niet opgehelderd is hoe het mogelijk is dat de beveiligingsbedrijven zich hebben laten ringeloren daar de NSA, vooral wat de niet-Amerikaanse bedrijven betreft. Waar zou die dienst mee gedreigd hebben?
Bronnen: Wired, New York Times
Het boek van Thomas Rid
De Britse onderzoeker Thomas Rid stelt in een commentaar in het Britse populair wetenschappelijke blad New Scientist dat het zeer onwaarschijnlijk is dat er oorlog op het web komt. Hij schreef dat commentaar naar aanleiding van het uitkomen van zijn boek Cyber war wil not take place. Zo’n 20 jaar geleden verklaarde de Amerikaanse denktank Rand Corporation dat de weboorlog er aan zou komen. In 2005 verklaarde de Amerikaanse luchtmacht klaar voor de strijd te zijn die zij zeker zou winnen, een oorlog in het vijfde domein (na land, zee, lucht en ruimte). De Amerikanen steken er geld in: zo’n 4,3 miljard dollar per jaar voor 231 aanvalsoperaties (2011).
Hoe zou zo’n weboorlog er uit zien? Historisch gezien moet een oorlog gewelddadig (je dient de vijand uit te schakelen), instrumenteel en politiek zijn. Geen enkele webaanval voldoet aan deze drie criteria, stelt Rid, werkzaam bij de afdeling oorlogsstudies van het King College in Londen. Heel weinige voldoen met moeite aan een van de drie criteria. Er is nooit iemand gewond geraakt bij zo’n aanval, nooit viel een staat een andere staat aan. Heel zelden werden de aanvallen uitgevoerd door mensen in staatsdienst, zodat een echte oorlog, niet de metafoor, er nooit is geweest en er zeer waarschijnlijk ook nooit zal komen.
Dat wil niet zeggen dat er geen webaanvallen plaatsvinden. We kennen het verhaal van de aanval die de VS en Israël uitvoerden met de computerworm Stuxnet om het atoomverrijkingsprogramma van Iran te dwarsbomen. Je kunt de levering van elektra of van water verstoren via computer, maar dat zou volgens Rid nog nooit zijn gebeurd. Is dat oorlog, vraag hij zich dan af of eerder sabotage of spionage? Dat lijkt dan meer een woordenspel. Als je er door een inbraak op een computersysteem van een energieleverancier de energielevering in een land kan stilleggen, dan zou je dat toch als een uiterst effectieve manier van oorlogvoeren kunnen zien. Daar heb je geen soldaten met geweren voor nodig, die ook nog eens het risico lopen gedood te worden.
Webaanvallen zijn, geeft hij toe, niet ongevaarlijk. Computersystemen sturen van alles en nog wat dat in onze hedendaagse maatschappij als onmisbaar wordt beschouwd zoals gasleidingen, trein- en vliegverkeer, chemische installaties, liften en medische apparaten. Onze maatschappij is daar in toenemende mate van afhankelijk en dus steeds kwetsbaarder. Toch, zegt Rid, is het aantal ‘gewelddadige’ computeraanvallen tegen westerse doelen nul. Waarom? Omdat zo’n aanval lastiger is dan ie er uit ziet, zegt hij. Regelsystemen voeren vaak zeer specifieke taken uit. Dat beperkt de mogelijkheden van de aanvaller en zelfs al slaagt de aanvaller er in een specifiek systeem aan te vallen, dan zullen die geen groot effect hebben, is zijn redenering.
Spionage is een andere kwestie. Dat gevaar is reëel. Er wordt ingebroken om niet-openbare informatie te achterhalen, maar dat is volgens Rid geen oorlog.
Dan is er nog de mogelijkheid de ‘vijand’ geestelijk te ondermijnen via de sociale media en andere webdiensten. Twitter en Facebook hebben het organiseren van protest makkelijker gemaakt dan ooit, maar ook dat vindt hij geen oorlog.
Computeraanvallen zijn heel wat minder gewelddadig dan het ouderwetse oorlogshandwerk. Natuurlijk, een beetje handige webber kan een webstek platleggen, bestanden wissen en al dat soort ongein. Hij/zij kan ‘achterdeurtjes’ van computers openen, programma’s aanpassen en dergelijke, maar het is allemaal een stuk minder spannend en riskant dan er geheime agenten op uit te sturen om in andere landen clandestiene dingen te doen. Het vorig jaar wilde het Amerikaanse ministerie van defensie een onderscheiding instellen voor droonbedieners en uitvoerders van webaanvallen. De echte soldaten protesteerden heftig toen bleek dat de nieuwe onderscheiding meer waard zou worden dan het bekende Purple Heart. Het plan is geschrapt.
Eigenlijk vindt Rid dat we dat het voorvoegsel cyber of web moet laten vallen. Spionage is spionage. Er zijn mensen die baat, denken te, hebben bij het begrip weboorlog. Een oorlog vereist voorzorgsmaatregelen, geeft het recht acties uit te voeren die in vredestijd niet geaccepteerd zouden worden, onder het mom dat dat goed is voor onze veiligheid. We hoeven hierbij maar aan het afluisterschandaal van de NSA te denken, maar de NSA is zeker niet de enige veiligheidsdienst die zich zoveel brutaliteit meent te kunnen permitteren. De oorlog wordt niet op het web gestreden, is de overtuiging van de oorlogsonderzoeker. Defensie zou zich op de ‘echte’ oorlog moeten concentreren, aldus Thomas Rid. Dat is al moeilijk genoeg, getuige het gehannes van Obama rond de gifaanval in Syrië.
Bron: New Scientist
Routers zijn kwetsbaar
Via de routers valt niet alleen de communicatie af te luisteren, maar ook om die te manipuleren. Zo zouden berichten tegengehouden kunnen worden, de dataroute kunnen worden aangepast of extra (dis)informatie kunnen worden ingelast. Volgens het geopenbaarde document hebben informatici van de CIA en de NSA ‘sjablonen’ om in routers, schakelaars en webtra’s van een bepaald type via een ‘achterdeur’ te kraken. Om in te kunnen breken in een netwerk werd soms door de CIA of militaire inlichtingendiensten ter plekke apparatuur gekoppeld of werden programma’s gewijzigd. Dat klinkt als een spannend, ouderwets spionageverhaal. De NSA schrijft ook aangepaste programmatuur voor specifieke kraakprojecten.
In het verleden is al vaker naar de kwetsbaarheid van routers gekeken. In 2005 ontdekte beveiligingsdeskundige Mike Lynn kwetsbaarheden in het besturingssysteem Cisco IOS, waarmee miljoenen routers over de hele wereld werken. Het zwakke punt van de toen nieuwe versie van Cisco iOS was dat iemand een worm kon invoeren, waarmee iedere router waar die worm langs kwam kon worden stilgelegd. Ook kon de e-kraker de controle over al het verkeer overnemen, met de mogelijkheid te lezen, op te slaan, te veranderen of simpelweg te voorkomen dat een bericht de geadresseerde bereikt. Nadat de kwetsbaarheid was ontdekt heeft het zes maanden geduurd eer de fout kon worden hersteld. Lynn wilde er op het krakerscongres Black Hat in Las Vegas over berichten, maar Cisco dreigde hem met de rechter. Als Lynn de kwetsbaarheid al kende, dan kun je gevoegelijk aannemen dat er meer waren, met name diensten als de NSA of criminele krakers. Het achterhalen van kwetsbaarheden is een grote sport in de webwereld, waar ook nogal wat geld mee gemoeid is. Je zou zeggen dat als het ‘lek’ eenmaal gedicht is, dat dan snel zijn waarde verliest, maar zolang systeembeheerders hun systemen niet voortdurend bijwerken, zijn die ‘achterdeurtjes’ in een systeem vaak nog jaren te gebruiken. De Conficker-worm, bijvoorbeeld, kon computers nog jaren lang besmetten nadat Microsoft een ‘pleister’ (patch) had gemaakt. Dat routers niet voortdurend worden bijgehouden heeft er mee te maken dat systeembeheerders er op vertrouwen dat hun systeem geen doelwit is of omdat ze bang zijn dat de aanpassingen voor problemen zullen gaan zorgen.
Bron: Wired (foto: Wired)
Braziliaans president Dilma Rousseff
Volgens het Braziliaanse tv-station Globo zou de Amerikaanse veiligheidsdienst NSA niet alleen talloze burgers hebben afgeluisterd, maar ook de presidenten van Brazilië Dilma Roussef en van Mexico Enrique Peña Nieto. Kort na het openbaarmaken van geheime NSA-documenten over de wereldwijde spionage-activiteiten van de dienst door ex-NSA-huurling Richard Snowden in juli, publiceerde het dagblad O Globo over de afluisterpraktijken van de NSA in Brazilië. De onthulling van Globo gaat nog een stukje verder. De informatie komt uit een rapport van juni 2012 over een manier om toegang te krijgen tot gegevens in Brazilië en Mexico, zo meldt het Franse dagblad Le Monde. In het rapport wordt onthuld dat de NSA toegang heeft gehad tot de webstekken die Rousseff op het wereldwijde web heeft bezocht. Rousseff, die in oktober een bezoek aan de VS zal brengen, bestudeert de zaak. “Als het waar is”, zei Braziliaans minister van justitie Jose Eduardo Cardozo, “dan is dat onaanvaardbaar, een daad die kan worden beschouwd als een aantasting van onze soevereiniteit.”
Het lijkt er op alsof het de grote (internet)bedrijven als Apple, Facebook of Google niks kan schelen of de gegevens van hun klanten door de NSA worden onderschept, maar volgens het webblad Wired is dat niet waar. De toegang tot Facebook via apps en webrauzers zou nu gecodeerd zijn (SSL). Het programma dat NSA gebruikte om het web af te struinen, X-Keyscore, is in de eerste plaats bedoeld om ongecodeerde informatie op te pikken. Als de NSA weer met een gerechtelijk bevel langs zou komen, zouden de gebruikers gewaarschuwd worden dat hun berichten mogelijk zouden worden onderschept.
Er zijn veel barrières in te bouwen voor een al te nieuwsgierige veiligheidsdienst. Zelfs met het oude SSL-codering wordt het al lastig voor de NSA. Vroeger kon de overheid zich verlaten op certificaatuitgevers, die de dienst, al of niet gedwongen, de decoderingssleutel zouden verstrekken, maar Google heeft al iets veranderd aan Chrome om dat risico te neutraliseren en ook Microsoft, heeft met zijn webrauzer Internet Explorer plannen in die richting.
Ook op andere fronten wordt het steeds lastiger voor de arme geheime agenten, stelt Wired. Er zijn bedrijven die zich er op toeleggen de toegang tot informatie uitzonderlijk lastig te maken. De Amerikaanse overheid wil al lang wetten invoeren die bedrijven dwingen hun producten ‘onderschepbaar’ te maken. Dat lijkt me een vreemde wetgeving, die eist dat bedrijven niet hun best mogen doen. Maar ja, we hebben het wel over Amerika. Ook Apple zou in een handomdraai iets in elkaar kunnen zetten om de NSA (e.a.) de voet dwars te zetten door bijvoorbeeld de coderings- en verificatietechniek OTR in te bouwen in hun berichtenprotocol voor mobieltjes als iMessage. Nu is het voor de NSA geen enkel probleem berichten te onderscheppen als ze eenmaal met een gerechtelijk bevel kunnen zwaaien. Een nieuwe aangepaste versie van iOS, het besturingssysteem van de iPhone, en dag NSA. Tot nu toe is er nog geen wet die het Facebook, Apple, Microsoft en Google verbiedt. De wetten zijn wel in de maak om dat ‘ongeluk’ voor de NSA’s te verminderen, maar Obama heeft sedert het begin van het NSA-schandaal heel wat gas moeten terugnemen en het is de vraag of het Congres nog wel aan wil aan (nog) ruimere bevoegdheden voor veiligheidsdiensten.
Bron: Wired