Kan ik wat claimen bij een telefoon met WPA2-kwetsbaarheid?

| AE 9752 | Aansprakelijkheid, Beveiliging | 9 reacties

Een lezer vroeg me: Recent werd de Krack-aanval gepubliceerd.

Deze is met name zeer schadelijk voor tablets en smartphones die Android 6.0 draaien, wat 32% van alle Android apparaten zijn. Als ik nu zo’n apparaat heb, kan ik dan wat claimen bij de verkoper?

De recente attack van Mathy Vanhoef van de KU Leuven en Frank Piessens van imec-DistriNet maakt het mogelijk om de WPA2-beveiliging van wifi-netwerken aan te vallen. Kort gezegd wordt een key reinstallation attack uitgevoerd, waarbij een aanvaller het slachtoffer dezelfde encryptiesleutel laat gebruiken met nonce-waarden die al in het verleden zijn gebruikt.

De aanval gaf veel ophef door het breed gebruik van WPA2, maar met name bij Android 6 is het een probleem: daar kan een aanvaller de client een voorspelbare “all-zero” encryptiesleutel laten gebruiken, waardoor al het verkeer voor de aanvaller eigenlijk onversleuteld is. Heb je dus een telefoon of ander apparaat met Android 6, dan heb je nu een serieus probleem.

Helaas is er nog steeds geen duidelijke wetgeving over de vraag of een apparaat securitytechnisch goed in orde moet zijn. Er zijn wel regels over productveiligheid, maar dat gaat in principe over fysieke veiligheid zoals ontploffingen en giftige stoffen.

De wet is formeel breder: een produkt is gebrekkig, indien het niet de veiligheid biedt die men daarvan mag verwachten, zo staat in art. 6:186 BW. Uiteraard in alle redelijkheid en met de presentatie en te verwachten gebruik van het product in het achterhoofd, plus kijkend naar de stand der techniek van toen het product uitkwam. Is een product dan toch fysiek onveilig, dan is de producent aansprakelijk – en dat is naast de feitelijk producent ook de Europese importeur. Je zou dat in theorie ook kunnen toepassen op ICT-veiligheid, maar het is nog nooit geprobeerd.

Daarnaast is er nog de algemene regel van conformiteit: een product moet aan de redelijkerwijs gewekte verwachtingen voldoen, en zo niet dan moet de winkelier dat gratis oplossen of een vervangend apparaat verzorgen. Je moet dan verdedigen dat een onveilige WPA2-implementatie die verwachtingen schendt. Ik zie dat wel een heel eind: WPA2 werd altijd als de veiligste optie geadverteerd in de media, dus zou je als consument mogen verwachten dat je toestel veilig is als je dat gebruikt.

Dat de aanval zeer geavanceerd is en onverwacht voor iedereen, is daarbij niet relevant. Het risico dat zoiets gebeurt, ligt bij de winkel die het product verkoopt. (En die kan het verhalen op die importeur of fabrikant.)

Het enige tegenargument dat ik kan bedenken is dat je moet weten dat ieder ICT-product tot op zekere hoge onbetrouwbaar is, omdat aanvallen in de toekomst niet uit te sluiten zijn. Dan is het dus niet redelijk om te verwachten dat je apparaat onhackbaar/onkwetsbaar is. Maar ik vind dat argument specifiek bij deze aanval niet opgaan, juist omdat WPA2 als veilig werd geadverteerd.

Mag je de muziek hacken bij je ex-werkgever?

| AE 9730 | Beveiliging | 6 reacties

Radio-dj Giel Beelen heeft het begin van zijn nieuwe ochtendshow aangegrepen voor een opvallende promotiestunt, las ik bij de NOS. Hij ‘hackte’ een plaat die werd gedraaid bij zijn oude werkgever 3FM om reclame te maken voor zijn nieuwe programma. “Ik denk dat we effe van iemand het wachtwoord moeten wijzigen”, concludeert de NOS-opvolger. Dus, mag je de muziek hacken bij je ex-werkgever?

De suggestie dat Beelen op afstand ingebroken zou hebben bij zijn ex-werkgever lijkt me wat vergezocht. Logischer lijkt me dat hij gewoon het muziekbestand van een bekend nummer aangepast had om daar na enige seconden intro een eigen boodschap (“Hee, hallo, Giel hier”, en een promo voor zijn nieuwe programma bij de concurrent) te laten horen. Dat aangepaste bestand zet je dan over het origineel heen, en dan is het wachten tot je opvolger het aanklikt. Meer een logisch bommetje dan een computerinbraak.

Het zou natuurlijk strafbaar zijn om in te loggen en op afstand bestanden aan te passen. Je bent immers na einde dienstverband niet meer bevoegd om in te loggen, laat staan om gegevens te wijzigen. Dat je account nog werkt, doet er daarbij niet meer toe.

Als DJ-werknemer ben je natuurlijk wél bevoegd om met die bestanden te werken. Draaien van muziek (en het grappig bewerken daarvan) behoort tot je werk immers. Maar hier wordt dan toch wel een grens overschreden: de aanpassing straalt negatief af op de werkgever, die wordt nu voor gek gezet omdat het lijkt of ze zelf een boodschap spelen om naar de concurrent te gaan.

Strafbaar is dat niet, wel overtreedt het de algemene norm van goed werknemerschap, zeg maar je zorgplicht als personeel. De NOS kan als ex-werkgever hem hierop aanspreken, in theorie zelfs een schadeclaim indienen. Al zal het onderbouwen van de schade nog knap ingewikkeld zijn.

Arnoud

Duitse rechter: dashcam mag niet

| AE 9718 | Beveiliging | 35 reacties

Automobilisten mogen in Duitsland geen camera in hun voertuig zetten. Dat meldde de Telegraaf maandag. Een Duitse vrouw kreeg een boete van 150 euro, nadat ze met de dashcam verkregen beelden van een parkeerbotsing had gebruikt als bewijs bij haar aangifte. Nu schijn ik een privacyfetishist te zijn, maar hier zakt toch mijn broek van af.

Duits nieuws helpt een beetje meer duiding te krijgen. Een vrouw had een dashcam in haar auto geplaatst, en liet die ook lopen bij het parkeren. Dit omdat ze al eerder schade had gehad aan haar BMW X1. Toen er ook daadwerkelijk schade was, stapte ze met de beelden naar de politie: mooi bewijs van wie het gedaan had.

Tot haar verrassing werd zij zelf vervolgd: de camera had drie andere auto’s gefilmd en daarmee de persoonlijke levenssfeer van die bestuurders geschonden. Iets preciezer, de Duitse Wet bescherming persoonsgegevens. Het verwerken van alle kentekens van passerende auto’s is onrechtmatig als er geen duidelijke grondslag is, en enkel willen weten wie jouw auto molesteert, is daarvoor niet genoeg volgens de rechtbank München, dat met een glijdendeschaalargument de dashcam onrechtmatig verklaart: het kan niet zo zijn dat straks iedereen elkaar permanent gaat filmen.

Raar. Ja, het klopt dat de openbare weg filmen onder de privacywet valt. Je moet daar een goede reden voor hebben. Maar mij lijkt het vrij evident legitiem dat je filmt wie tegen jouw eigen auto aanbotst. Dat je in de praktijk dan ook andere auto’s filmt, lijkt mij een nauwelijks te vermijden en minimaal risico voor de privacy van derden, zeker als daarbij geen personen in beeld kwamen – zoals bij de Duitse mevrouw het geval was.

In Nederland heb ik er geen twijfel over dat een dashcam legaal is, en dat je pas in de problemen komt bij het publiceren van de beelden. Ja, ook hier geldt natuurlijk dat Europese arrest dat je onder de Wbp moet kunnen rechtvaardigen dat je de weg filmt en daarbij mensen hun gezicht en/of kenteken vastlegt. Maar op de openbare weg gefilmd worden is een bekend en aanvaardbaar deel van het gewone leven, en ik zie niet waarom dat categorisch niet moet kunnen tenzij zwaarwegend nieuwsbelang of zo.

Arnoud

Mag de eigenaar van een gestolen laptop deze opsnuffelen bij een legitieme koper?

| AE 9571 | Beveiliging, Strafrecht | 32 reacties

Een lezer vroeg me: Onlangs kreeg ik de politie aan de deur: ik zou in het bezit zijn van een gestolen laptop! Bij navraag bleek het te gaan om een tweedehands die ik keurig in een computerwinkel had gekocht (met bon, reële prijs, semi-bekende keten wiens naam ik even niet noem) dus niets aan de… Lees verder

Wanneer is een ransomware-aanval eigenlijk een datalek?

| AE 9425 | Beveiliging | 10 reacties

Parkeerbedrijf Q-Park is onder de organisaties die zijn getroffen door de wereldwijde cyberaanval, meldde de NOS. Nou ja, cyberaanval: grootschalige ransomware-infectie. Wat onder meer de vraag via Twitter gaf: Dat is dus ook een geval van een #datalek omdat ze gegevens “kwijt” zijn toch @ictrecht ? Ook het verloren gaan van gegevens telt als datalek… Lees verder

Wat is het verschil tussen data delen en data verkopen?

| AE 9412 | Beveiliging | 10 reacties

Audiobedrijf Bose werd vorige maand aangeklaagd wegens het bespioneren van zijn gebruikers, las ik bij Nu.nl. De Bose Connect-app zou bijhouden naar welke muziek en podcasts gebruikers luisteren. Het bedrijf heeft de app aangepast, maar ontkent dat die data wordt verkocht aan derden. En dan lees ik “Het bedrijf ontkent echter niet dat de gegevens… Lees verder

Mag je andermans brakke IoT-apparaten op afstand onschadelijk maken?

| AE 9404 | Beveiliging, Innovatie | 25 reacties

De brickerbot is terug, las ik bij Ars Technica. Het gaat om een initiatief van de mysterieuze “Janit0r”, een handige hacker die brakke apparaatjes met internetverbinding kaapt en gebruikt om hun broertjes en zusjes permanent stuk te maken (“bricken”, oftewel de enige resterende functionaliteit is die van een baksteen). Dit omdat dergelijke apparaten zó veel… Lees verder

Mag ik mijn collega haar Out of Office aanzetten met een gereset wachtwoord?

| AE 9375 | Arbeidsrecht, Beveiliging | 24 reacties

Een lezer vroeg me: Vanochtend ontdekten wij dat een collega die er een maand niet is, haar Out of Office niet aan heeft staan. Om dit voor haar te doen, hebben we haar wachtwoord nodig. Is het toegestaan om hiervoor het account te resetten, of stuit dat op privacybezwaren? We hebben geen reglement dat ons… Lees verder