Britse politie wil versleutelde pc's verdachte niet teruggeven
Een Britse man die in 2013 werd gearresteerd op verdenking van het inbreken op verschillende systemen van de Amerikaanse overheid heeft de Britse politie aangeklaagd omdat die zijn versleutelde computers niet willen teruggeven. De 30-jarige Brit wordt verdacht van een serie inbraken, onder andere op computers van het Missile Defense Agency, de Amerikaanse ruimteorganisatie NASA, het geniekorps van het Amerikaanse leger, het Amerikaanse Environmental Protection Agency, de Federal Reserve en een regionaal IT-forensics laboratorium van de FBI.
De Brit werd vorig jaar juli op borgtocht in Groot-Brittannië vrijgelaten, maar kreeg zijn computers die in beslag waren genomen niet terug. Volgens de BBC omdat het National Crime Agency (NCA) de bestanden niet kan ontsleutelen. Daarom heeft de Brit de NCA nu aangeklaagd en zal hij via de rechter proberen om zijn eigen apparatuur terug te krijgen. De BBC meldt dat de NCA de computers alleen wil teruggeven als de man helpt met het ontsleutelen ervan.
Tegenover Ars Technica bevestigt de Brit dat de NCA inderdaad het niet kunnen begrijpen van sommige data als rechtvaardiging geeft. "Het is aan hen om aan te tonen waarom dit mijn probleem is en voor de rechter om te beslissen of ze dit de bevoegdheid geeft om persoonlijke eigendommen vast te houden." De Brit spreekt verder van "machtsmisbruik" en waarschuwt dat er een serieus risico is dat de politie deze bevoegdheid kan gebruiken om journalistieke en politieke activiteiten te verstoren.
(M.a.w. maak een 1:1 kopie wat ze allang gedaan hebben maar wat dan waarschijnlijk geen bewijsmateriaal meer kan zijn)
Lastig? Natuurlijk. Tegenwoordig zijn overheden er vooral om duur en lastig te zijn, niet om jou je leven makkelijker te maken. Ik zou niet weten welke overheid voor dat laatste zou willen gaan. Een beetje dienstbaar zijn, kom nou. Daar maak je geen carriere mee.
* Ze hebben nog steeds de incrimineer-jezelf-met-je-eigen-wachtwoorden wetten in de boeken daaro.
Niet in alle. Er wordt ook encryptiesoftware gemaakt in andere landen. Daarnaast is er natuurlijk nog de mogelijkheid om het zelf te schrijven. Dit is eenvoudiger dan het klinkt, de encryptiealgoritmes zelf zijn bekend en relatief eenvoudig in de zin dat het eenvoudige bewerkingen zijn (Eerstejaars technieken at best). Wat het moeilijk maakt is om het gebruiksvriendelijk te maken, en om goede bronnen van "random" (voor zover mogelijk met een deterministisch systeem) data te vinden en gebruiken. Ik wil niet zeggen dat deze hacker dat gedaan heeft, maar als de beschuldiging klopt dan heeft hij zeker de kennis om het te doen. Je kan enkele bestanden (niet hele filesystems en die transparant maken voor hogere lagen) vrijwel onkraakbaar encrypten met een python script van een regel of 30.
Een tekenend voorbeeld (en dus zeer leerzaam voor aspirerende implementatoren!) is hoe iemand aan de hand van aanbelevingen van een stuk code analyse software wat "verbeteringen" aanbracht in de openssl versie gebruikt binnen debian ("debian/gnu/linux") waardoor de gegenereerde sleutels ineens buitengewoon zwak bleken.
Het is dus een heel goed idee om je eerst uitgebreid in te lezen in wat er allemaal mis kan gaan en hoe daar wat aan te doen. Door bijvoorbeeld een "crypto 101"-MOOC te volgen, want dat is, naast hoe het allemaal werkt en wat we verstaan onder "veilig", precies waar zo'n cursus mee begint.
Dit is nodig want de ervaring leert dat als je begint met implementeren (of zelf algorithmes verzinnen) zonder enige ervaring in hoe zulke constructies aan te vallen, de resultaten eigenlijk altijd zo lek als een mandje zullen blijken te zijn, en dus veiligheidshalve a priori zo beschouwd moeten worden. Bekende voorbeelden zijn WiFi WEP en DVD CSS.
En die ervaring opdoen maakt het ineens een stuk meer werk. Helaas pindakaas is weten wat je doet wel een vereiste. Met alleen een kek hoedje opzetten ben je er niet.
Wil er wel een contactje aan wagen om te vragen welke encryptie software hij gebruikte :)
Lauri Love
http://www.bbc.com/news/world-us-canada-26376865
Ik ben benieuwd op basis van welke regelgeving de NCA denkt verdachten op deze manier te kunnen chanteren, omdat ze niet willen meewerken aan hun eigen veroordeling. Die regelgeving bestaat namelijk niet, en ze kunnen inderdaad een forensische kopie maken, indien ze verder onderzoek willen doen.
Al is het makkelijk kiezen tussen : Of zeshonderdentweeennegentig jaar opgesloten worden in de vs ... of alleen je spullen kwijt .
Tja - in de OP wordt genoemd "De Brit werd vorig jaar juli op borgtocht in Groot-Brittannië vrijgelaten". De beste man is dus niet vrijgesproken, maar zijn zaak loopt nog. Lijkt me triviaal dat al het bewijsmateriaal tot zijn zaak voorkomt in bezit van justitie blijft.
Dat hij zijn encryptiesleutels niet geeft is in dit geval niet relevant: zaakt loopt nog, spullen blijven in beslag genomen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.