image

Juridische vraag: mag douane encryptiesleutel eisen?

woensdag 29 februari 2012, 10:36 door Arnoud Engelfriet, 25 reacties

Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet en maak kans op zijn boek
"Security: Deskundig en praktisch juridisch advies".

Vraag: Een information security officer van ons bedrijf werd bij de douane gevraagd om zijn laptop aan te zetten ter controle. Toen bleek dat de harde schijf Truecrypt-versleuteld was, werd hij verplicht zijn wachtwoord in te typen voordat hij het land in mocht. De data op deze partitie bevatte vertrouwelijke gegevens met betrekking tot lopende onderzoeken binnen het bedrijf van de werkgever. Was hij werkelijk verplicht hieraan mee te werken? Of kan hij dan door zijn werkgever aansprakelijk worden gesteld voor het lekken van vertrouwelijke informatie?

Antwoord: Om maar met dat laatste: nee, dat kan niet. Een werknemer die op dienstreis is, reist met zijn bedrijfspet op en is daarmee niet persoonlijk aansprakelijk voor wat er bij het uitvoeren van die reis gebeurt. De wet bepaalt namelijk dat een werknemer alleen aansprakelijk is bij opzet of grove nalatigheid van zijn kant, en daarvan is zelden tot nooit sprake. Gaat hij op privévakantie, neemt hij ongevraagd de werklaptop mee én staan daar gegevens op die het land niet uit mogen, dan is er wellicht sprake van grove nalatigheid.

Als de overheid een werknemer verplicht tot een bepaalde handeling, dan moet de werknemer die uitvoeren en de werkgever kan hem dat niet verwijten. Het enige dat de werkgever kan doen, is procedures invoeren over wat te doen als er zo'n bevel komt. Zo hebben veel bedrijven protocollen voor het geval de NMa of andere autoriteiten aan de deur staan voor een inval. En als werknemer word je dan geacht dat protocol te volgen en niet gewoon de kluis mee te geven.

Maar goed, de meer algemene vraag over de laptop is natuurlijk het meest interessant. De douane heeft zeer brede doorzoekingsbevoegdheden, gebaseerd op art. 1:24 Algemene Douanewet en de Algemene wet bestuursrecht Een specifieke bevoegdheid tot ontsleutelen zul je hier niet in vinden.

Bij het betreden van ons land kom je naast de douane echter ook vaak de Koninklijke Marechaussee tegen, die (hoewel onderdeel van Defensie), gewoon onder de Politiewet valt en dus net als politieagenten dingen kan doorzoeken op grond van het Wetboek van Strafvordering. Dit wetboek kent een ontsleutelingsverplichting, art. 126nh. Dit bevel mag aan iedereen worden gegeven binnen de daar genoemde omstandigheden, maar natuurlijk niet aan een verdachte. Wel moet er sprake zijn van een strafrechtelijk onderzoek, oftewel er moet wel iets van een aanleiding zijn voordat men zo'n vordering mag geven.

In de VS is men hier een stuk losser mee. De douane doorzoekt daar zonder aanleiding willekeurige laptops, en hoewel daar rechtszaken over lopen lijkt deze praktijk daar legaal. De tips van Bruce Schneier zijn in de praktijk dan ook zeker aan te raden.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.

Reacties (25)
29-02-2012, 10:49 door Anoniem
Het mooie is dat TrueCrypt ook meerdere wachtwoorden ondersteund. Box-in-a-box principe volgens mij. Dan heb je meerdere wachtwoorden. Afhankelijk van wat je invoert laat hij dan andere bestanden zien. Aangezien de rest van je box toch wordt opgevuld met random-data is dit "nooit" terug te halen.

Voorbeeld:
Ik heb een box aangemaakt van 10 GB. 8 GB daarvan vul ik met supergeheime data die alleen binnen de rechercheafdeling van het bedrijf bekend is. Het wachtwoord daarvan is ontzettend lang en moeilijk.

Daarnaast heb ik dus nog 2 GB om wat data op te slaan dat wel encryptie-waardig is, maar minder van belang als het uit zou lekken dan de echte data. Ik noem: arbeidsovereenkomsten met loonsommen etc.

Omdat de rest wordt opgevuld met random data is het nooit duidelijk of het gedecodeerde nu 2 GB moet beslaan of 8 GB ;)
29-02-2012, 11:12 door Anoniem
De douane kan je niet verplichten een encryptiesleutel in te voeren, maar ze kan je wel de toegang tot het land ontzeggen.
Je moet er dus voor zorgen dat je niveau van tegenstribbelen omgekeerd evenredig is aan hoe graag je het land in wil.

Sidenote: Als een Amerikaan de US binnengaat kan de Amerikaanse douane in principe niks doen. Ze mogen US citizens de toegang tot het land niet ontzeggen. Hoe dit hier (NL/BE) zit, geen idee, maar ik ga ervan uit dat dit hier ook geldt.

Je kan er natuurlijk ook altijd voor zorgen dat het zover niet hoeft te komen en de meer inventieve toer op gaan door je echte OS op een removable bootable device te zetten terwijl er op je laptop een dummy systeem geïnstalleerd is.
29-02-2012, 11:24 door Arnoud Engelfriet
@Anoniem 11:12 Het gaat niet om iemand de toegang tot zijn land ontzeggen, maar om strafbare feiten op te sporen bij het binnenkomen. Als jij met illegale drugs binnenkomt,kun je ook niet zeggen "u mag mij de toegang tot NL niet weigeren!" Je komt het land wel in maar gaat linea recta door naar de gevangenis.

De vraag is dus of er een wettelijke plicht is om te eisen dat men in je laptop mag kijken. Ik kan 'm niet vinden, tenzij er aanwijzingen zijn die je sowieso al verdachte maken. In de VS was dik jaar terug een voorbeeld van een man die kinderporno open had staan op de laptop toen de douane vroeg die in te mogen zien. Na uitzetten van de laptop bleek dat er een wachtwoord op zat. Maar omdat de douane het al had gezien, werd hij verplicht dat wachtwoord te geven om zo het bewijs veilig te kunnen stellen.

Dat was geen "tegen zichzelf getuigen" want het bewijs was al gezien, het was alleen nog een kwestie van afgeven.
29-02-2012, 11:25 door Anoniem
Door Anoniem: Het mooie is dat TrueCrypt ook meerdere wachtwoorden ondersteund. Box-in-a-box principe volgens mij. Dan heb je meerdere wachtwoorden. Afhankelijk van wat je invoert laat hij dan andere bestanden zien. Aangezien de rest van je box toch wordt opgevuld met random-data is dit "nooit" terug te halen.

Voorbeeld:
Ik heb een box aangemaakt van 10 GB. 8 GB daarvan vul ik met supergeheime data die alleen binnen de rechercheafdeling van het bedrijf bekend is. Het wachtwoord daarvan is ontzettend lang en moeilijk.

Daarnaast heb ik dus nog 2 GB om wat data op te slaan dat wel encryptie-waardig is, maar minder van belang als het uit zou lekken dan de echte data. Ik noem: arbeidsovereenkomsten met loonsommen etc.

Omdat de rest wordt opgevuld met random data is het nooit duidelijk of het gedecodeerde nu 2 GB moet beslaan of 8 GB ;)

Behalve dat iedereen die mogenlijkheid kent en dus je gewoon zal dwingen die 2de key ook te geven...
29-02-2012, 11:41 door Anoniem
@Arnoud 11:24
Het is natuurlijk een heel ander paar mouwen als je betrapt bent met illegaal materiaal en/of je onderwerp bent van een strafonderzoek.
Ik ging er van uit dat de premisse een routinecontrole was. Als je wachtwoord bij routinecontrole gevraagd wordt kan je weigeren om je wachtwoord te geven (waardoor je je verdacht maakt) en kan de douane daarop beslissen (of dreigen met) je de toegang tot het land te ontzeggen als drukkingsmiddel, behalve als je je eigen land binnenkomt.
29-02-2012, 11:48 door Anoniem
Dus het antwoord op de vraag "Was hij werkelijk verplicht hieraan mee te werken?" is dan "Nee, tenzij degene die het verzoek deed niet een douanebeambte was maar een marechaussee (of andere politiebeambte) en bovendien de laptop onderdeel maakt van een strafrechtelijk onderzoek waarbij de persoon aan wie men het verzoek tot ontsleutelen deed geen verdachte is."

Indien bovenstaande antwoord klopt dan heb ik drie vervolgvragen:
1. Dient de marechaussee/politiebeambte een schriftelijk bevel te overhandigen?
2. Kan je weigeren mee te werken tot je één op één overleg gehad hebt met een advocaat?
3. Wat zijn de mogelijke gevolgen van een volharding in weigering in de situaties
a. dat het een strafrechtelijk onderzoek betreft waar je geen verdachte in bent
b. dat het een strafrechtelijk onderzoek betreft waar je wel een verdachte in bent
c. dat het geen strafrechtelijk onderzoek betreft maar een verzoek van de douane
29-02-2012, 11:58 door Arnoud Engelfriet
@Anoniem 11:41 Het is echter ook weer niet zo simpel als dit:
[Douane] Mag ik uw laptop even inzien? Oh, wilt u het wachtwoord even intypen.
[Burger] Nee.
[Douane] Ach, u bent Nederlander, komt u verder. Welkom terug!

Je haalt je echt een hoop gedoe op de hals, al is het maar een discussie van vele uren waarom je niet meewerkt en wat er eventueel voor contrabande aan je laptop te herkennen is. Ik zie een slimme douanier er wel voor aan om dan te roepen dat je illegale Windows importeert.

Bij een werklaptop vraag ik me nu af wat er zou gebeuren als men zegt "niet jij persoonlijk maar je werkgever is verdachte" en dan eist dat jij meewerkt. Want formeel ben jij dan niet de verdachte maar wél in het bezit van het wachtwoord, dus gaat 126nh op jou op. Maar het voelt niet zoals het hoort.

@Anoniem 11:48.
1. Het ontsleutelingsbevel uit 126nh hoeft niet schriftelijk te worden gegeven.
2. Ja, maar ondertussen mag men je vasthouden. Hoop dus dat je de 06 van je advocaat bij je hebt.
3. "Het bevel wordt niet gegeven aan de verdachte." Dus als je verdachte bent, mag men je dit niet vragen. Ben je géén verdachte dan ben je strafbaar omdat je dan een bevoegd gegeven bevel niet opvolgt, art. 184 Strafrecht met als maximumstraf gevangenisstraf van ten hoogste drie maanden of geldboete van de tweede categorie.
29-02-2012, 13:37 door Dev_Null
Kijk eens naar deze internationale wolf in schaaps-kleren...

ACTA - Anti Counterfeting Trade Agreement
https://en.wikipedia.org/wiki/Anti-Counterfeiting_Trade_Agreement
https://www.eff.org/issues/acta
YouTube Animatie over Acta
http://www.youtube.com/watch?v=dmQN93NqqDM

Onder deze (al jarenlang in hetgeheimn onderhandelde) "trade agreement" wil een bepaalde groep industrielen en hun overheids-loopjongens, "internationale wetten" door onze strot drukken, waardoor o.a. douane-personeel straks volledige toegang MOET KRIJGEN tot alle digitale devices die je op ries bij je draagt, puur en alleen om te controleren of alle content "LEGAAL is... Als je alle legale bs eraf stript is dit niets anders dan pure Orwelliaanse censuur op het transport van INFORMATIE in welke vorm dan ook ;-)

Daarom,,, Stop Acta Now!
http://www.stopacta.info/
29-02-2012, 13:47 door Anoniem
Het artikel waarnaar het artikel verwijst, verwijst weer door naar andere wetsartikelen. Daar is opgenomen van welke strafrechtelijke feiten er sprake moet zijn in het onderzoek om een bevel te mogen geven. Lijkt me raadzaam om dat even in het achterhoofd te houden. (En een vezoek is nog geen bevel natuurlijk.)
Verder kun je nog altijd de code of het wachtwoord vergeten zijn. Overkomt mij regelmatig tot ergernis van de helpdesk.
29-02-2012, 14:01 door Anoniem
Moet je echt je hele hebben en houden bij je hebben of alleen dingen waar je op dat moment aan werkt? En moet je er tijdens de vlucht aan werken? Als de omvang beperkt is en werken in het vliegtuig vermeden kan worden dan kan je ervoor kiezen de gevoelige gegevens te downloaden via een goed beveiligde verbinding als je de douane bent gepasseerd en voor vertrek eventuele wijzigingen te uploaden en grondig van de laptop te wissen.

Het gechoochel met gewiste sleutels van Bruce Schneier is leuk, maar het lijkt me dat je een heel wat eenvoudiger verhaal hebt bij de douane als er domweg niets op de laptop staat wat ze niet mogen zien.
29-02-2012, 14:46 door S-q.
Leuk om te pesten;
100.000.000 Zwaarversleutelde plaatjes van Donald Duck.

Waarom de data niet op de server van de werkgever?
Mondiaal te raadplegen op het moment dat je het nodig hebt.
Wie reist er nou met ernstig vertrouwelijke data?
Toch?
01-03-2012, 09:08 door Anoniem
hidden partitie en niemand ziet het...Die je alleen maar kan triggeren door een tooltje op te starten die je ff renamed met een speciale interface....

Knappe douane ambtenaar die daar achterkomt.
01-03-2012, 09:22 door Anoniem
Ik heb een plaatje van Arnoud en daarin heb ik al mijn wachtwoorden in verwerkt, ook mn youporn ww.
01-03-2012, 10:33 door Anoniem
Door Anoniem: Behalve dat iedereen die mogenlijkheid kent en dus je gewoon zal dwingen die 2de key ook te geven...

Het is onmogelijk te bepalen óf er een tweede key is of niet. Goed versleutelde data is niet te onderscheiden van random data en aangezien dit soort software ongebruikte ruimt standaard opvult met random data kan de douane niet bepalen of er tussen die random data nog meer versleutelde informatie staat.
01-03-2012, 11:01 door Anoniem
En het klinkt misschien wat dom.
Maar zeggen dat je je wachtwoord vergeten bent is geen optie zeker? Er kan je toch niemand verplichten om een wachtwoord te herinneren?
01-03-2012, 12:08 door Anoniem
"Een information security officer van ons bedrijf werd bij de douane gevraagd om zijn laptop aan te zetten ter controle. Toen bleek dat de harde schijf Truecrypt-versleuteld was, werd hij verplicht zijn wachtwoord in te typen voordat hij het land in mocht. Was hij werkelijk verplicht hieraan mee te werken? "

Ben je niet vergeten om in je vraag aan te geven om welk land het hier ging ? Immers verschilt wetgeving van land tot land. Het verbaast me een beetje dat Arnoud voorbij gaat aan deze vraag.

"De tips van Bruce Schneier zijn in de praktijk dan ook zeker aan te raden. "

Indien je graag uren en uren bij de douane zit omdat ze toch willen weten wat er op je laptop staat, moet je zijn advies vooral opvolgen. Slimmer is het om geen gevoelige zaken op je laptop te hebben staan. Indien je die zaken nodig hebt op reis, kan je die altijd na aankomst via bijvoorbeeld een VPN verbinding benaderen.

"Er is geen reden om tegen het douanepersoneel te liegen. Je kunt ze zelfs een kopie van dit artikel laten zien als ze je niet geloven", aldus Schneier."

Met andere woorden, laat de douane zien dat je (mogelijk) wat te verbergen hebt, waardoor de kans groot is dat je laptop voor verder onderzoek in beslag wordt genomen. Een zeer slecht idee, de douane apprecieert het vast niet wanneer je laat zien spelletjes met ze te spelen.

Indien je hen het artikel laat zien, en hen laat weten dat je de key niet hebt, maar wel aan een kennis hebt verstrekt, dan kunnen ze je overigens ook gewoon vragen om even contact met die kennis op te nemen indien je niet wilt dat ze je apparatuur in beslag nemen.

Last but not least; vergeet niet dat in sommige landen de douane weinig boodschap heeft aan mensenrechten en dergelijke, en dat je in sommige gevallen gewoon hardhandig zal worden aangepakt indien je op deze wijze te werk gaat.
01-03-2012, 12:11 door Anoniem
"Maar zeggen dat je je wachtwoord vergeten bent is geen optie zeker? Er kan je toch niemand verplichten om een wachtwoord te herinneren?"

Tuurlijk, maar denk je dat je vervolgens je laptop nog mee krijgt ? Niemand kan jou verplichten om je wachtwoord te herinneren. De douane zal deze uitleg waarschijnlijk niet geloven, en mag wel jou laptop in beslag nemen voor onderzoek. Ook kunnen ze jou langer vasthouden voor verdere ondervraging, of je toegang tot het land weigeren. Speel jij spelletjes, dan doen zij dat toch ook ?
01-03-2012, 21:42 door Anoniem
"Stupid is what stupid does.", that's what my mama always told me.
01-03-2012, 21:43 door Anoniem
Door Anoniem: "Maar zeggen dat je je wachtwoord vergeten bent is geen optie zeker? Er kan je toch niemand verplichten om een wachtwoord te herinneren?"

Tuurlijk, maar denk je dat je vervolgens je laptop nog mee krijgt ? Niemand kan jou verplichten om je wachtwoord te herinneren. De douane zal deze uitleg waarschijnlijk niet geloven, en mag wel jou laptop in beslag nemen voor onderzoek. Ook kunnen ze jou langer vasthouden voor verdere ondervraging, of je toegang tot het land weigeren. Speel jij spelletjes, dan doen zij dat toch ook ?


Idd, je neemt niet voor niets een versleutelde laptop mee, een andere optie is denk ik gewoon een 2e harde schijf, de orginele versleutelde harde schijf uit de laptop halen en los in je ruimbagage stoppen en dan een dummy harde schijf in je laptop stoppen, zodat deze het orgineel lijkt waarop geen geheime informatie staat.

Voor de vraag 'wat als ze je 2e hdd vinden?' Ik denk niet dat de gemiddelde douanier weet hoe een harde schijf der uit ziet en anders zeg je dat dat een oude schijf was die nog per ongeluk in je tas zat voordat je op reis was gegaan, zo groot is een 2.5 inch schijf niet en die kan dus makkelijk in een hoekje achter blijven.
01-03-2012, 22:21 door Anoniem
Voorbeeld:
Ik heb een box aangemaakt van 10 GB. 8 GB daarvan vul ik met supergeheime data die alleen binnen de rechercheafdeling van het bedrijf bekend is. Het wachtwoord daarvan is ontzettend lang en moeilijk.

Daarnaast heb ik dus nog 2 GB om wat data op te slaan dat wel encryptie-waardig is, maar minder van belang als het uit zou lekken dan de echte data. Ik noem: arbeidsovereenkomsten met loonsommen etc.

Omdat de rest wordt opgevuld met random data is het nooit duidelijk of het gedecodeerde nu 2 GB moet beslaan of 8 GB ;)

Is het bestaan van een 2de container in de eerste niet te testen door te proberen om er nog 6 GB bij in te schrijven? Raak je zo de 2de container kwijt of zegt Truecrypt dan dat de disk vol is na de 2GB data in de buitenste container?
02-03-2012, 14:48 door Anoniem
@Anoniem 22:21 : Dat kun je instellen of ie de "echte" informatie moet beschermen of gewoon kan overschrijven als de "niet echte" data partitie is gestart...
04-03-2012, 10:23 door Anoniem

Voor de vraag 'wat als ze je 2e hdd vinden?' Ik denk niet dat de gemiddelde douanier weet hoe een harde schijf der uit ziet en anders zeg je dat dat een oude schijf was die nog per ongeluk in je tas zat voordat je op reis was gegaan, zo groot is een 2.5 inch schijf niet en die kan dus makkelijk in een hoekje achter blijven.
Ik denk dat je de kennis van de gemiddelde douanier grof onderschat.
En als hij het niet weet, dan vraagt hij/zij het aan een collega en/of zoeken het op.
04-03-2012, 11:12 door Anoniem
En als de opdracht van de werkgever was om deze laptop mee te nemen voor een collega, bijvoorbeeld na reparatie of iets dergelijks? Degene die de laptop meeneemt kent het password niet, wat dan???
31-05-2012, 07:31 door [Account Verwijderd]
[Verwijderd]
27-06-2012, 10:48 door Anoniem
http://www.security.nl/artikel/30324/Tips_om_je_laptop_tegen_de_douane_te_beschermen.html
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.