Het AD van 23 augustus meldde dat Frankrijk en Duitsland pleiten voor een inperking op versleuteld chatten. Data die verzameld wordt in de strijd tegen het terrorisme, kan volgens deze regeringen te vaak niet gebruikt worden vanwege die versleuteling. Zo is WhatsApp onlangs op end-to-end encryptie overgegaan en kunnen verzonden berichten zelfs niet door de aanbieder van de diensten zelf ontsleuteld worden. Frankrijk en Duitsland bepleiten dat de aanbieder van een dienst medewerking moet verlenen aan onderzoeken, zoals bij de bomaanslag. Overheidspartijen zijn zich echter bewust dat het verbieden van encryptie, zo stelt het artikel, het vertrouwen in de digitale infrastructuur ernstig zal schaden, omdat versleuteling het internet veiliger heeft gemaakt.
De paradox: bescherming persoonlijke levenssfeer vs. veiligheid?
Omdat moderne versleuteling zo goed is, lijkt een bijna onoplosbaar conflict te ontstaan tussen de bescherming van de persoonlijke levenssfeer en de taak van de overheid om burgers te beschermen.
ECP heeft al in 2002 samen met marktpartijen en overheid in het project “Rechtmatige toegang” deze vraag geprobeerd te beantwoorden: of het bedrijfsleven opsporingsdiensten moet faciliteren bij het ontsleutelen van data. Conclusie was toen, dat geen afspraken nodig waren over structurele toegang van veiligheids- en opsporingsdiensten. Er waren al voldoende manieren om achter de inhoud van berichten te komen en ook de telecomproviders en aanbieders van internet TTP’s maatregelen moeten hebben genomen om, in geval van rechterlijk bevel, te helpen berichtenverkeer te ontsleutelen (zonder dat zij overigens, zo stelt het rapport, kunnen garanderen dat dat decrypten dan lukt). En eigenlijk is de vraag of in 2016 de situatie wezenlijk anders is: moet de conclusie niet zijn dat er zoveel nadelen zijn aan het verbreken van encryptie dat we er maar niet aan moeten beginnen? En dat er voldoende alternatieven zijn voor opsporings- en veiligheidsdiensten waardoor het kunnen verbreken van encryptie niet werkelijk bijdraagt aan veiligheid?
Encryptie omzeilen
Dat encryptie moeilijk te verbreken is, is duidelijk. Door Julian Assange en Edward Snowdon weten we nu van de NSA en andere opsporingsdiensten hoe ze aan hun data komen: door het inbouwen van achterdeurtjes in software omzeilen ze encryptie. Deze achterdeuren zijn helaas bruikbaar voor zowel criminelen als opsporingsdiensten en het geheim houden van zwakheden in software en hardware vormt een veiligheidsrisico.
Versleutelde informatie kan dus niet makkelijk gehacked worden, de meeste criminelen proberen daarom informatie te vergaren op het moment dat deze niet versleuteld is. Naast het gebruik van de ingebouwde achterdeuren, maken zij gebruik van andere methoden om informatie te vergaren zoals; “social engineering” waarbij zij de gebruiker zo ver krijgen toegang te verschaffen tot data, “phising” en het installeren van “malware”. Daarnaast beveiligen veel gebruikers hun sterke encryptiesleutel met een zwak wachtwoord: als het wachtwoord is gekraakt kan iedereen de sleutel gebruiken.
Encryptie is mainstream
Lang was het gebruik van hoogwaardige encryptiemethoden voorbehouden aan experts, criminelen en aan overheden. Maar dat is op dit moment niet meer zo: de meeste browsers en servers ondersteunen encryptie die alleen met grote moeite of geheel niet gekraakt kan worden.
Verwarrend is dat veel servers naast goede encryptie ook nog onveilige encryptie ondersteunen en “verleid” kunnen worden om data un-encrypted te versturen. Kijkt u eens op internet.nl, de website die ECP met allerlei partners heeft opgezet om veilige internetstandaarden te promoten en test u uw eigen verbinding of website eens: vaak is verzuimd om onveilige encryptiemethoden “uit” te zetten. In april dit jaar publiceerde RTL nog over dit onderwerp.
Is er wel een paradox?
Goede encryptie is moeilijk te kraken, maar er zijn vele achterdeurtjes en vaak worden zwakke vormen van encryptie gebruikt. Hierbij kan men zich afvragen wat de waarde van het ontsleutelen van encrypted data is. Deze vraag blijft tot nog toe achterwege in de discussie, maar vaak hebben de opsporingsdiensten al voldoende aan de meta-data: wie communiceert met wie. Wat de precieze inhoud van de informatie is doet er eigenlijk niet toe.
Een tweede kanttekening bij deze waarde van kunnen ontsleutelen is dat het altijd mogelijk is om (digitaal) op een ‘geheime manier’ te communiceren zonder encryptie. Een voorbeeld is “steganography” een techniek om informatie te verstoppen in foto’s, video’s of audiofragmenten.
Zelden komt m.i. de vraag aan de orde of, als het dan echt nodig is de inhoud te bekijken, er ook technische manieren zijn om veiligheidsdiensten legaal toegang te bieden tot data onder specifieke omstandigheden: zonder dat ze van onveilige achterdeurtjes gebruik hoeven te maken, waar black en grey hackers garen bij spinnen. Denk aan een oplossing als “Trusttester”, van TNO, dat figureerde op het vorig jaarcongres van ECP. De encryptie is hierbij zodanig dat twee sets gegevens vergeleken kunnen worden, zonder ze ontsleuteld hoeven worden. Het is denkbaar dat middels techniek en inventiviteit in ontwerp er geen paradox hoeft te zijn: Zouden we data zo kunnen versleutelen dat het mogelijk blijft ze (tijdelijk) te ontsleutelen als berichten van specifieke locaties komen, van specifieke mensen, of bepaalde delen van de boodschap?