Om het gebruiksgemak te vergroten, de website te kunnen analyseren en om advertenties te kunnen beheren maakt Security.NL gebruik van cookies. Door gebruik te blijven maken van deze website, of door op de akkoord button te klikken, geef je toestemming voor het gebruik van cookies. Wil je meer weten over cookies? Bekijk dan ons cookieoverzicht.
Nieuws Achtergrond Community
Inloggen | Registreren
Nieuws
image

Professoren sturen open brief aan NSA en GCHQ

dinsdag 17 september 2013, 09:52 door Redactie, 8 reacties

Verschillende beveiligingsonderzoekers en professoren hebben een open brief aan de NSA en GCHQ geschreven waarin ze stellen dat de inlichtingendiensten het algemeen belang hebben geschaad door het ondermijnen van de encryptie die voor allerlei kritieke toepassingen wordt gebruikt.

De professoren reageren op de recente onthullingen dat zowel de Amerikaanse als Britse inlichtingendiensten op allerlei manieren proberen om encryptie te ondermijnen. Daarbij zouden opzettelijk cryptografische standaarden worden verzwakt en voorzien van backdoors. Backdoors die niet alleen door de originele bedenkers zouden kunnen worden misbruikt, maar ook door anderen.

Algemeen belang

"Eén van de primaire missies van de veiligheidsdiensten is het beschermen van burgers en bedrijven tegen cyberaanvallen. Door het op nog onbekende wijze verzwakken van cryptografische standaarden waar we allemaal op vertrouwen om de kritieke infrastructuur te beschermen, vinden we de dat de diensten het algemeen belang hebben geschonden dat ze juist moeten dienen", zo laten de professoren weten.

Die vinden het verder schokkend dat zowel de Amerikaanse als Britse overheid beschuldigd worden van het ondermijnen van de systemen die juist iedereen zouden moeten beschermen. "Door het verzwakken van onze veiligheid zodat ze naar de communicatie van onze vijanden kunnen luisteren, verzwakken ze ook onze veiligheid tegen onze potentiële vijanden."

Vertrouwen

De professoren roepen daarom de NSA en GCHQ op om te laten weten welke systemen ze hebben verzwakt en ondermijnd, zodat die hersteld kunnen worden. Daarnaast moet er controle plaatsvinden met duidelijke regels die het verzwakken van de veiligheid van civiele en infrastructurele systemen verbieden. "In het moderne informatietijdperk moeten we de basisinfrastructuur die we allemaal gebruiken volledig kunnen vertrouwen", aldus het einde van de brief.

Politie arresteert inbreker dankzij trackingsoftware
Kabinet reageert op onthullingen Edward Snowden
Reacties (8)
17-09-2013, 10:03 door Anoniem
Ze kunnen het nou wel vragen, maar hoewel ze best nuttig kunnen zijn, kan je de antwoorden niet echt vertrouwen... op volledigheid bijvoorbeeld.

Dus ga maar vast zelf zoeken.
17-09-2013, 10:54 door Dick99999
De originele brief maakt onderscheidt tussen 'to weaken international cryptographic standards" en "to place "backdoors". Zou je over het eerste punt niet kunnen zeggen dat de professoren niet goed hebben opgelet of bijgedragen?
17-09-2013, 11:06 door Overcome
Door Dick99999: De originele brief maakt onderscheidt tussen 'to weaken international cryptographic standards" en "to place "backdoors". Zou je over het eerste punt niet kunnen zeggen dat de professoren niet goed hebben opgelet of bijgedragen?

Nee. Het budget van de NSA op gebied van cryptografie loopt in de miljarden. Over de afgelopen decennia hebben ze tientallen en misschien wel honderden miljarden dollars ter beschikking gehad om een voorsprong op te bouwen op gebied van wiskundige aspecten van cryptografie en cryptoanalyse. Er zit een cryptografische kennis bij de NSA die niet aanwezig is bij de academia, hoe slim de professoren ook zijn. Soms, zoals in het geval van Dual_EC_DRBG, ligt het er duimendik bovenop dat er iets gaande is en dat een algoritme vooral niet gebruikt moet worden. In andere gevallen is er echter sprake van zo'n geraffineerde compromittering van een algoritme met methoden en technieken die nog helemaal niet in de wetenschappelijke bladen te vinden zijn, dat we het simpelweg niet weten. Ik neem het de professoren dan ook niet kwalijk.
17-09-2013, 12:30 door N4ppy
Door Overcome: In andere gevallen is er echter sprake van zo'n geraffineerde compromittering van een algoritme met methoden en technieken die nog helemaal niet in de wetenschappelijke bladen te vinden zijn, dat we het simpelweg niet weten. Ik neem het de professoren dan ook niet kwalijk.
Dit graaft wel een groot gat onder open source encryptie software. Als een professor het al niet weet hoe kun je dan nog zeggen open source dus naar gekeken (door iemand die niet door de NSA besmet is).

En het is niet alleen zoals je terecht zegt "compromittering van een algoritme" maar ook de infrastructuur hebben om die uit te buiten.
17-09-2013, 13:05 door Overcome
Door N4ppy:
Door Overcome: In andere gevallen is er echter sprake van zo'n geraffineerde compromittering van een algoritme met methoden en technieken die nog helemaal niet in de wetenschappelijke bladen te vinden zijn, dat we het simpelweg niet weten. Ik neem het de professoren dan ook niet kwalijk.
Dit graaft wel een groot gat onder open source encryptie software. Als een professor het al niet weet hoe kun je dan nog zeggen open source dus naar gekeken (door iemand die niet door de NSA besmet is).

En het is niet alleen zoals je terecht zegt "compromittering van een algoritme" maar ook de infrastructuur hebben om die uit te buiten.

Het gat is niet groter dan bij closed source encryptie software. Immers, het gaat niet over een buggy implementatie (dat bij open source software eenvoudiger geverifieerd kan worden), maar over een buggy algoritme. Dat algoritme verandert niet, of het nou open source of closed source software is. Open source is ook geen remedie tegen algoritmen die door de NSA bewust maar onherkenbaar verzwakt zijn. Open source is eerder een maatregel tegen:

(1) Betere detectiemogelijkheden van uit te buiten zwakten door slecht programmeerwerk.
(2) Betere detectiemogelijkheden van foutief geimplementeerde encryptie algoritmen.
(3) Betere detectiemogelijkheden van overduidelijke backdoors die bij closed source niet eens aan het licht zouden zijn gekomen.
(4) ...

Ik zeg niet dat die zwakten worden gedetecteerd. Ik weet ook wel dat veel open source code niet wordt onderworpen aan een peer review, laat staan een peer review door ervaren programmeurs die geschoold zijn in secure programming technieken. Veel open source software bevat daarom ook de nodige security lekker, zonder twijfel. Bij open source is in ieder geval de mogelijkheid wel aanwezig tot verificatie en dat kan ik van de blobs van closed source fabrikanten niet zeggen. Schneier wijdt er nog wat woorden aan in zijn meest recente nieuwsbrief:

As was revealed today, the NSA also works with security product vendors to ensure that commercial encryption products are broken in secret ways that only it knows about. We know this has happened historically: CryptoAG and Lotus Notes are the most public examples, and there is evidence of a back door in Windows. A few people have told me some recent stories about their experiences, and I plan to write about them soon. Basically, the NSA asks companies to subtly change their products in undetectable ways: making the random number generator less random, leaking the key somehow, adding a common exponent to a public-key exchange protocol, and so on. If the back door is discovered, it's explained away as a mistake. And as we now know, the NSA has enjoyed enormous success from this program.
17-09-2013, 14:57 door KwukDuck
Nou die brief zal toch minstens goed zijn voor 10 minuten schuddebuiken tijdens de lunch pauze @ NSA/GCHQ
18-09-2013, 09:12 door Dick99999
Door Overcome:
Door Dick99999: De originele brief maakt onderscheidt tussen 'to weaken international cryptographic standards" en "to place "backdoors". Zou je over het eerste punt niet kunnen zeggen dat de professoren niet goed hebben opgelet of bijgedragen?

Nee. Het budget van de NSA op gebied van cryptografie loopt in de miljarden. Over de afgelopen decennia hebben ze tientallen en misschien wel honderden miljarden dollars ter beschikking gehad om een voorsprong op te bouwen op gebied van wiskundige aspecten van cryptografie en cryptoanalyse. Er zit een cryptografische kennis bij de NSA die niet aanwezig is bij de academia, hoe slim de professoren ook zijn. Soms, zoals in het geval van Dual_EC_DRBG, ligt het er duimendik bovenop dat er iets gaande is en dat een algoritme vooral niet gebruikt moet worden. In andere gevallen is er echter sprake van zo'n geraffineerde compromittering van een algoritme met methoden en technieken die nog helemaal niet in de wetenschappelijke bladen te vinden zijn, dat we het simpelweg niet weten. Ik neem het de professoren dan ook niet kwalijk.
Ik waag het te betwijfelen of het budget voor crypto in de miljarden loopt. Een snelle zoektocht op Internet leert dat 'slechts' 429 miljoen dollar naar alle R&D ging in 2013. Het is zelfs de vraag of de NSA in staat was de crypto te beïnvloeden (ik heb het niet over de implementatie en backdoors daarin) . Wat dat beterft geloof ik Bruce Schneier. Hij heeft inzage in de originele Snowden documeneten en zegt:
"Trust the math. Encryption is your friend." zie http://www.theguardian.com/world/2013/sep/05/nsa-how-to-remain-secure-surveillance:
Er lijkt dus niets aan de hand met Encryptie. Dat kan betekenen dat de professoren wel goed hebben opgelet, maar niet goed op de hoogte zijn, lijkt mij.
18-09-2013, 13:29 door [Account Verwijderd] - Bijgewerkt: 18-09-2013, 13:35
[Verwijderd]
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.

Zoeken
search
Vacature
Image

Senior Security Consultant

Als security consultant bij Cegeka speel je een uitermate belangrijke rol in het veilig houden van de bedrijven in Nederland en de Nederlandse maatschappij. Vandaar ook dat Cegeka dit hoog op de agenda heeft staan. Wij doen dit door, in close cooperation, onze klanten advies te geven op strategisch, tactisch en operationeel niveau.

Lees meer

Wat baart jou momenteel meer zorgen, traditionele criminaliteit of cybercrime?

11 reacties
Aantal stemmen: 832
Image
BYOD
04-03-2021 door Anoniem

Wanneer mensen een eigen device (BYOD) mee nemen naar werk: hoe bescherm jullie je daartegen? (Ben zelf tegen het gebruik van ...

8 reacties
Lees meer
De verkiezingsprogramma's doorgelicht: Deel 4 digitalisering
20-02-2021 door Redactie

Een digitaal paspoort, recht op betaalbaar en snel internet, 'digitale inburgering' of digitaal stemmen, het zijn slechts een ...

8 reacties
Lees meer
Prive bestanden van OneDrive worden openbaar bij gebruik van Versiegeschiedenis
02-03-2021 door hny3425

Als je voor OneDrive betaalt, kun je de functie Versiegeschiedenis gebruiken. Erg handig als je een vorige versie van een ...

26 reacties
Lees meer
Certified Secure LIVE Online training
Nieuwe Huisregels en Privacy Policy

Op 5 december 2017 hebben we een nieuwe versie van onze huisregels en privacy policy ingevoerd. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de nieuwe huisregels van Security.NL.

Op 24 mei 2018 hebben we, in het kader van de AVG, onze privacy policy bijgewerkt. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de bijgewerkte privacy policy. Heb je vragen neem dan contact op met info@security.nl.

Verzenden
Privacy Policy

Op 24 mei 2018 hebben we, in het kader van de AVG, onze privacy policy bijgewerkt. Om verder te kunnen gaan dien je eenmalig akkoord te gaan met de bijgewerkte privacy policy. Heb je vragen neem dan contact op met info@security.nl.

Verzenden
Inloggen

Bedankt! Je kunt nu inloggen op je account.

Wachtwoord vergeten?
Nieuwe code captcha
Inloggen

Wachtwoord Vergeten

Wanneer je hieronder het e-mailadres van je account opgeeft wordt er een nieuwe activatielink naar je gestuurd. Deze link kun je gebruiken om een nieuw wachtwoord in te stellen.

Nieuwe code captcha
Stuur link

Password Reset

Wanneer je het juiste e-mailadres hebt opgegeven ontvang je automatisch een nieuwe activatielink. Deze link kan je gebruiken om een nieuw wachtwoord in te stellen.

Sluiten
Registreren bij Security.NL

Geef je e-mailadres op en kies een alias van maximaal 30 karakters.

Nieuwe code captcha
Verzenden

Registreren

Je hebt je succesvol aangemeld. Voordat je je account kunt gebruiken moet deze eerst geactiveerd worden. Dit kan je zelf doen middels de activatielink die naar het opgegeven e-mailadres is verstuurd.

Sluiten
Over Security.NL
Huisregels
Privacy Policy
Adverteren
© 2001-2021 Security.nl - The Security Council
RSS Twitter