Categorie: Regulering

About Regulering

Subscribe Feeds

Wat Picnic doet mag niet: Nederlands etiket op product verplicht, hoe zit dat?

Geplaatst op in Ondernemingsvrijheid, Regulering, 55 reacties

Sinds kort kunnen klanten van online super Picnic bij sommige producten kiezen voor een goedkoper alternatief uit Duitsland. Dat meldde RTL Nieuws onlangs. Fijn voor de klant misschien, maar dat is wel verboden. Want het etiket is dan natuurlijk ook in het Duits, en dat is in  strijd met de Warenwet. Wat diverse lezers ertoe bracht me te vragen, maar we hebben toch vrije handel in Europa, parallelimport? Eentje kende zelfs het Cassis de Dijon-arrest. Dus: hoe zit dat?

Het argument van Picnic is dat zij het vertaalde etiket in de app hebben zitten: je neemt zo’n Duits potje, scant de streepjescode en je krijgt meteen de Nederlandstalige informatie. Gezien de doelgroep toch al via de app moet bestellen mag je aannemen dat ze de app hebben en dan is de benodigde informatie (zoals over allergenen) dus direct binnen handbereik.

De NVWA ziet dat wat strenger:

“Zowel op de voorverpakking zelf als op het medium voor verkoop op afstand gelden de etiketteringseisen. Dus op beide plaatsen (zowel de website waar de consument de levensmiddelen aankoopt als de levensmiddelen zelf) dienen de verplichte vermeldingen in de Nederlandse taal te zijn gesteld”, legt een woordvoerder uit.
Pakken we om te beginnen even dat Cassis de Dijon-arrest erbij. In 1979 bepaalde het Hof van Justitie dat het vrije verkeer van goederen erg belangrijk is, en niet zomaar mag worden ingeperkt. Niet met directe verboden, maar ook niet met “maatregelen van gelijke werking”, objectief geformuleerde regels die -al dan niet met opzet- nodeloos nadelig uitpakken voor de buitenlandse producten. In het Cassis-geval een regel die eiste dat vruchtenlikeur minstens 25% alcohol had, terwijl Franse likeur rond de 15 à 20 procent zat.

De Nederlandse Warenwet bevat (via het Warenwetbesluit informatie levensmiddelen) inderdaad de eis dat informatie in het Nederlands wordt vermeld:

Voor de verplichte voedselinformatie en de vermeldingen op de etikettering, bedoeld in artikel 15, tweede lid, van verordening (EU) 1169/2011, wordt gebruik gemaakt van in ieder geval de Nederlandse taal.
Die app met vertaalde etiketten is wellicht nog te zien als “de verplichte voedselinformatie”, maar apart eist de wet dus een vermelding op het etiket in het Nederlands. Dus naar de letter is er geen ruimte. Maar zou je die regel dan zo’n “maatregel van gelijke werking” kunnen noemen, en dan  betogen dat deze nodeloos nadelig uitpakt?

Helaas niet, vermoed ik. Het Hof bepaalde in dat arrest immers dat

Belemmeringen van het intracommunautaire verkeer als gevolg van dispariteiten van de nationale wettelijke regelingen op de verhandelingen der betrokken producten, moeten worden aanvaard voor zover dringende behoeften, onder meer verband houdend met de doeltreffendheid der fiscale controles, de bescherming van de volksgezondheid, de eerlijkheid der handelstransacties en de bescherming van consumenten, ze noodzakelijk maken.
En daar zitten dus twee beperkingen aan. Allereerst moet het gaan om een situatie dat nationale regels uiteen lopen, zoals in Frankrijk met de 15 à 20 procent en Duitsland met minstens 25%. Hier gaat het om Europese regels (Verordening 1169/2011 om precies te zijn), en die vermelden in artikel 15:
1. Onverminderd artikel 9, lid 3, wordt de verplichte voedselinformatie aangebracht in een taal die gemakkelijk te begrijpen is voor de consumenten van de lidstaten waar het levensmiddel in kwestie in de handel wordt gebracht.

  1. De lidstaten waar een levensmiddel in de handel wordt gebracht, kunnen eisen dat op hun grondgebied voor de vermeldingen op de etikettering gebruik wordt gemaakt van één of meer talen die tot de officiële talen van de Unie behoren.
Nederland heeft daarmee slechts de Europese regel gevolgd (lid 2), dus ik twijfel of je dat een “dispariteit van nationale regelingen” kunt noemen. Maar wellicht wel: feitelijk is de Nederlandse wet dan wellicht anders dan sommige andere Europese landen, het is denkbaar (ik kan het niet vinden maar wie weet) dat er landen zijn die alleen lid 1 hebben overgenomen en dus geen harde taaleis.

Het sterkere argument is dat het hier gaat om een volksgezondheids-situatie, namelijk de vermelding van allergenen-informatie op het etiket. Omdat iedereen die van het product eet, moet kunnen weten welke allergenen erin zitten, is denk ik wel voldaan aan die “dringende behoefte” waarmee je bescherming van volksgezondheid kunt rechtvaardigen. De koper van het product heeft natuurlijk de app, maar geldt dat ook voor huisgenoten, mee-eters en anderen die het product krijgen?

Arnoud

Twitter geeft toe externe apps te blokkeren, mag dat?

Geplaatst op in Regulering, 6 reacties

Twitter heeft bevestigd dat het een aantal externe apps bewust heeft geblokkeerd, las ik bij Nu.nl. Het socialemediabedrijf handhaaft naar eigen zeggen regels die al langer bestaan, hoewel velen dat niet tekstueel was opgevallen in de voorwaarden zeg maar. De vermoedelijke reden is dat Twitter hoopt meer geld te verdienen door mensen in de eigen app te krijgen. Maar, zo vroegen diverse Tweetdeck en Tweetbot-lovers me: hadden we niet net Europese regels over digitale diensten en platforms, mag Twitter dit nog steeds zomaar doen?

Inderdaad hebben we sinds kort zowel een Digital Services Act (DSA) als een Digital Markets Act (DMA), die een forse breuk met het laissez-faire verleden in Europa betekenen. De DSA vervangt grof gezegd de ecommerce- en aansprakelijkheidsregels uit 2000: meer filterplichten en meer taken voor tussenpersonen. De DMA is bedoeld als concrete invulling van wat eigenlijk het mededingingsrecht had moeten doen: het geven van specifieke sturing aan platforms en poortwachters op internet.

(Klinkt “ict-recht is er gekomen door het falen van het mededingingsrecht” als een leuke stelling, dan moet u voorintekenen op dit boek)

Een van die dingen die gewoon al lang geregeld hadden moeten zijn, is interoperabiliteit bij de hele grote platforms zoals Twitter:

‘interoperability’ means the ability to exchange information and mutually use the information which has been exchanged through interfaces or other solutions, so that all elements of hardware or software work with other hardware and software and with users in all the ways in which they are intended to function;
Als je enorm groot bent, dan moet je stopcontacten hebben waar iedereen met zijn stekkers in kan. Het is slecht voor de maatschappij dat je dán zelf de controle gaat houden en bepalen wie er wel en niet op je platform mag. Ja, ik klink stellig maar hier is geen overtuigend argument tegenin te brengen.

Artikel 7 DMA is dan ook heel duidelijk: als je een grote aanbieder bent van communicatiediensten, dan moet je zorgen dat je dienst interoperabiliteit heeft met diensten van anderen. Ja, dat betekent dus dat je kunt WhatsAppen met Signal-gebruikers, maar ook dat je met Tweetdeck toegang moet hebben tot Twitter.

En oké, dat is dus het goede antwoord op de eindtoets maar de praktijk zal weerbarstig blijven. Zeker met een bedrijf dat gewoon doodleuk weigert de huur te betalen van hun hoofdkwartier. Maar de DMA kent stevige boetes en de mogelijkheid een bedrijf van de Europese markt te weren.

Arnoud

 

 

Coinbase krijgt boete van 3,3 miljoen euro voor overtreden registratieplicht DNB

Geplaatst op in Regulering, 8 reacties

Cryptobeurs Coinbase heeft van De Nederlandsche Bank (DNB) een boete van ruim 3,3 miljoen euro gekregen voor het overtreden van de registratieplicht, las ik bij Security.nl. Financiële dienstverleners moeten zich registreren bij de DNB als deel van de wetgeving tegen bestrijding van witwassen. De boete is hoger dan de standaardboete (2 miljoen) omdat Coinbase een van de grootste is, en dit dus makkelijk had kunnen weten en doen, en bovendien commercieel voordeel had van niet-geregistreerd zijn.

Eenzelfde boete werd vorig jaar uitgedeeld aan concurrent Binance, waarbij eveneens het concurrentievoordeel als factor meewoog omdat de cryptobeurs dan “geen kosten heeft gemaakt in verband met doorlopend toezicht”. Die boete kwam DNB op kritiek te staan: waarom had men niet direct ingegrepen in 2020 toen het bedrijf in Nederland opdook samen met vele concurrenten. Weliswaar deelde men in 2021 een waarschuwing uit, maar de beurs kon daarna ongehinrderd groeien en krijgt nu dus alleen een boete met de plicht zich alsnog te registreren.

Dit is bepaald geen prikkel om als cryptobeurs vooraf je netjes aan alle regels te gaan houden. Die kosten enorm veel geld, denk aan medewerkers die ‘ongebruikelijke’ transacties controleren of het op de voorgeschreven manier identificeren van nieuwe klanten (haha hij zei crypto en identificatie, ja maar het moet van de wet). Dan kun je beter de regels negeren en de handhaving traineren totdat de boete klein bier is geworden. Een beter signaal was geweest als het bedrijf (al is het maar voor een jaar) niet had mogen handelen in Nederland als sanctie.

Arnoud

Verdachte krijgt lagere straf voor phishing wegens politie-onderzoek naar iPhone

Geplaatst op in Regulering, Security, 3 reacties

Een man die via sms en WhatsApp phishingaanvallen uitvoerde heeft een lagere straf gekregen omdat de politie zijn iPhone zonder toestemming van de rechter-commissaris onderzocht, las ik bij Security.nl. De rechtbank Midden-Nederland oordeelde dat

De strafzaak was het gevolg van een smishing-zaak (sms-phishing, sorry) waarbij verzekeraar Achmea als gezicht was gebruikt. Dat lijkt competent genoeg te zijn opgepakt:

Het Cyber Defence Center van Achmea heeft onderzoek gedaan naar de links die in de sms-berichten stonden en heeft daarbij achterhaald dat de website waarop men terecht kwam na het klikken op de link werd beheerd vanaf het IP-adres [IP-adres] . Op dit IP-adres is vervolgens een IP-tap aangesloten, waaruit het vermoeden ontstond dat er op 11 februari 2021 live phishing activiteiten plaatsvonden. De politie is daarop binnengetreden in de woning die hoorde bij het voornoemde IP-adres aan de [adres] in [woonplaats] (hierna: [woonplaats] ) en trof daar verdachte en zijn twee medeverdachten ( [medeverdachte 1] en [medeverdachte 2] ) aan.
En ja, daar staat dus dat de phisher de nepsite vanuit huis draaide. Niet beheerde maar echt de website fysiek op zijn thuisadres gehost.

Bij de inval werden naast diverse andere zaken ook een telefoon gevonden (een iPhone X Max Pro) die vermoedelijk van de verdachte was. Daarop werd deze inhoudelijk onderzocht, wat een complex dingetje is in de strafvordering want daar is dus geen formele wettelijke bevoegdheid voor. De Hoge Raad staat het echter toe onder de voorwaarde dat je bij het onderzoek vooraf moet kijken hoe ‘diep’ je wilt gaan, en afhankelijk daarvan moet beslissen hoe ernstig de inbreuk op de privacy is. In dit geval vrij ernstig:

De rechtbank constateert dat er bij het onderzoek aan de telefoon van verdachte zeer veel persoonlijke informatie is aangetroffen. De rechtbank denkt daarbij specifiek aan chats tussen verdachte en zijn (ex-)vriendin, chats met zijn zus, informatie over verkeersboetes en de enorme hoeveelheid afbeeldingen (meer dan 75.000) en video’s (ruim 4.000). De rechtbank is van oordeel dat er met het onderzoek aan de telefoon een min of meer volledig beeld is verkregen van het leven van verdachte. Daarmee is in vergaande mate een inbreuk op de persoonlijke levenssfeer van verdachte gemaakt. Nu het onderzoek in het licht van artikel 8 EVRM pas had mogen plaatsvinden na toestemming van de rechter-commissaris, is er sprake van een onherstelbaar vormverzuim in het voorbereidend onderzoek jegens verdachte.
Die term “onherstelbaar vormverzuim” klinkt ernstig: de zaak kan de prullenbak in, volledige vrijspraak en een schadevergoeding voor alle dagen onterecht vastzitten. Maar nee, zo werkt dat niet in Nederland. Wij houden het simpel: als het wel was gevraagd, had de r-c vast wel toestemming gegeven dus eigenlijk is er niets aan de hand. Ook ging het hier om een situatie waarin 22 telefoons waren gevonden en de informatie in brokjes naar boven kwam. Kan gebeuren, begrijpelijk, niets aan de hand.

Of nou ja, niet helemáál niets, omdat de privacy van de verdachte is geschonden door deze doorzoeking wordt een van de zes maanden celstraf kwijtgescholden. Die straf is an sich veel lager dan de 42 gevorderde maanden, maar dat kwam omdat de rechtbank de bewijsstukken veel minder sterk weegt.

Arnoud

Europol haalt bij actie met Nederlandse politie vijftig ddos-booters offline

Geplaatst op in Ondernemingsvrijheid, Regulering, 8 reacties

Verschillende internationale politiediensten, waaronder de Nederlandse, hebben tijdens een operatie tientallen ddos-booters offline gehaald. Dat meldde Tweakers vorige week. Dergelijke diensten leveren DDoS-aanvallen op verzoek en tegen betaling, met het dunne excuus dat bedrijven wellicht hun netwerk willen testen maar dan geen behoefte hebben aan contracten, facturen of betalingen met ouderwets fiatgeld. Of zoiets. Want, zo vroegen diverse lezers, hoe maak je dan het onderscheid tussen een legale stresstest dienst en zo’n booter?

Voor mij begint het al bij de naam. De frase “to boot someone” is gamerslang voor iemand van internet schoppen, met name als die van jou aan het winnen is. Een ddos op zijn ip adres uitvoeren is daar een bekende truc voor die vrijwel altijd werkt, wat dus heeft geleid tot handige jongens met bootersites, geef mij geld en ik schop die ander voor je van internet. Wie zichzelf dus met die naam tooit, heeft de schijn nogal tegen – alsof je een directiegroepschat van een financiële organisatie “Wirefraud” noemt.

Maar goed iets formeler: het hangt van het beoogde doel van de dienst af of het illegaal is om deze te maken. De wet stelt namelijk strafbaar het maken, verkopen, verspreiden et cetera van een middel om een ddos aanval te plegen (artikel 139d lid 2 Strafrecht). Het moet dan gaan wel om een “technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot het plegen van een zodanig misdrijf”.

Er zijn tools te over waarmee je een ddos-aanval zou kunnen uitvoeren, in de Unixwereld is ping -f de bekendste. Of zelfs maar vaak genoeg op F5 drukken in je browser. Maar de kern bij al die tools is dat ze gebruikt kunnen worden, terwijl de wet ontworpen of speciaal geschikt vereist. Dat vereist dus iets meer, en meestal komt dat neer op intentie van de maker en/of presentatie of aanbod van de dienst. Een al wat oudere maar bekende dienst is webstresser punt org, waar Brian Krebs een artikel over schreef. In dat artikel zie je bijvoorbeeld dat men spreekt van “attacks” die je kunt kopen, dat wijst voor mij niet op de intentie van een legitieme dienst leveren.

Er zullen vast legitieme klanten tussen zitten die oprecht dachten deze dienst nodig te hebben, en ook keurig kregen wat ze vroegen, namelijk een stresstest van afgesproken omvang en tijd op hun eigen netwerk. Maar dat je zulke klanten hebt, is geen argument dat je dienst als zodanig dan legaal is. Pas als grofweg al je klanten op die manier legitiem zijn, kun je die discussie gaan voeren. Dat er dan een keer een crimineel tussendoor glipte die z’n mattie wilde booten, dat is dan een bedrijfsongeval en daar neem je dan vervolgens maatregelen tegen. Ik zie hier werkelijk niets dat daarop wijst.

Arnoud

 

 

Almelo past APV aan voor online ordeverstoringen

Geplaatst op in Regulering, Uitingsvrijheid, 21 reacties

Burgemeester Gerritsen van Almelo kan binnenkort eisen dat een opruiend bericht op social media wordt weggehaald. Dat meldde Gemeente.nu onlangs. Hij kreeg deze bevoegdheid op grond van een aanpassing aan de Algemene Plaatselijke Verordening (apv) van de gemeente. Naast dwangmiddelen tegen de plaatser van zo’n bericht kan de gemeente ook de beheerder van websites of sociale mediaplatforms sommeren de uitingen te verwijderen. Kan dat zomaar? Ja en nee.

De problematiek van online ordeverstoringen is al vaker langsgekomen hier. De burgemeester is verantwoordelijk voor de openbare orde in de gemeente, en heeft daarvoor bijzondere bevoegdheden onder de Gemeentewet. Zo oefent hij toezicht uit op openbare evenementen, kan hij gebouwen sluiten (ook woningen) en mag hij gebieden tot risicogebied verklaren zodat de politie vergaande maatregelen mag nemen.

Oproer in de kiem smoren is daarbij een logische optie, niet verrassend dus dat de burgemeester op kan treden tegen mensen die oproepen tot ordeverstoringen of anderen daartoe aanzetten. En let wel: het is dan niet nodig dat het gaat om strafbare feiten, het gaat om ordeverstoring en dat is een lagere lat dan het strafbare feit opruiing – daarbij roep je op tot geweld. “Laten we met zijn alleen voor de deur van het gemeentehuis gaan zitten, dan kan niemand er langs” is een ordeverstoring maar niet strafbaar.

Op Twitter of Feesboek gaan roepen is natuurlijk veel effectiever dan in het park, onder meer omdat je dan mensen vanuit het hele land kunt bereiken. Dan maakt je oproep sterker, maar de aanpak is lastiger: wat nou als jij niet in de gemeente zit waar je tegen oproept? Of als je niet kunt achterhalen wie het is, wat dan. Dat wringt voor burgemeesters, die verwachten dat het kanaal waarmee de oproep wordt gedaan, niet uitmaakt als de oproep de orde verstoort.

Almelo wil dat aanpakken en regelt dat in de APV, de plek waar je als gemeente regels stelt over de openbare orde. De basisregel is simpel:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Beheerders van dergelijke platforms en ruimtes is het eveneens verboden dergelijke berichten te laten staan en moeten op last van de burgemeester deze weghalen. Dat is simpel genoeg opgeschreven, maar is het handhaafbaar?

Een eerste praktisch punt is natuurlijk hoe de burgemeester de in Almelo geldende regels kan handhaven als iemand in het aangrenzende Wierden via Facebook opruiiende berichten verspreidt. De politie kan niet in Wierden iemand arresteren op grond van een regel uit het Almelose wetboek, immers.

Een meer fundamenteel tweede punt is dat het hier gaat om berichten, om uitingen. En dan komen we in de vrijheid van meningsuiting terecht, die in de Grondwet geregeld is en daarmee niet zomaar in een lokale wet ingeperkt kan worden. Art. 121 Gemeentewet zegt dan ook:

De bevoegdheid tot het maken van gemeentelijke verordeningen blijft ten aanzien van het onderwerp waarin door wetten, algemene maatregelen van bestuur of provinciale verordeningen is voorzien, gehandhaafd, voor zover de verordeningen met die wetten, algemene maatregelen van bestuur en provinciale verordeningen niet in strijd zijn.
De vraag is dan ook hoe een verbod op dergelijke (niet strafbare, wel tot onlusten aanzettende) berichten te rijmen is met de wettelijk vastgelegde uitingsvrijheid. Een gemeente mag bijvoorbeeld niet het roken op straat verbieden omdat de regels voor waar je mag roken al in de Tabakswet staan (art. 10 met name). Om dezelfde reden mag een gemeente geen eigen verkeersregels maken, maar alleen de regels toepassen uit de landelijke Wegenverkeerswet.

Punt is natuurlijk dat er ook weer nergens staat dat je alles mag zeggen tenzij dat strafrechtelijk verboden is. Er zijn genoeg andere wetten die uitspraken verboden kunnen maken. Dus het is niet heel hard gegeven dat een burgemeester geen uitingen kan verbieden – sterker nog, het hele punt begon met dat de burgemeester wel uitingen mag verbieden als die aanzetten tot oproer of gedoe, en vanuit dat perspectief moet het er helemaal niet toe doen of die uiting op een zeepkist, TikTok of sms-bom plaatsvond.

De discussie blijft op zeker moment hangen bij “het zou kunnen misschien wel misschien niet”. Daarom is het goed dat Almelo heeft doorgepakt, nu is er een basis waar proefprocessen over gevoerd kunnen worden. Ik moet zeggen dat ik zelf geen betere insteek had kunnen bedenken in de formulering: geen internetverbod, maar een gericht verbod op de berichten en een last tot weghalen van die berichten en niet meer.

Arnoud

Verdachte niet bestraft voor phishingpanel omdat politie werking niet onderzocht

Geplaatst op in Regulering, 2 reacties

Een verdachte die een phishingpanel op zijn telefoon had staan is hiervoor niet veroordeeld omdat de politie de werking ervan niet heeft getest. Dat meldde Security.nl maandag. Een phishingpanel is een tool om phishingwebsites mee op te zetten, maar je moet natuurlijk wel aantonen dat deze werkte. Opstekertje voor mij: het is een feit van algemene bekendheid dat een website ook serverhardware nodig heeft.

Op de site van onderzoeker Jarno Baselier staat een uitgebreide demonstratie van hoe een dergelijk panel werkt. Het doet sterk denken aan een gewone ecommercesite: je zet een controlepaneel op, vanuit daar programmeer je mailcampagnes die mensen naar je site moeten krijgen, en daar bouw je een landingpagina om ze een boek te verkopen. Alleen dan geen boek maar je ontfutselt ze hun wachtwoord. Vele voorbeelden van hoe dat eruit ziet bij Group-IB.

De getoonde tool heet GoPhish, dat zichzelf adverteert als “a powerful, open-source phishing framework that makes it easy to test your organization’s exposure to phishing.” Met onder meer een superhandige knop om bijvoorbeeld Facebook te ‘importeren’ zodat je jouw medewerkers kunt controleren op het invoeren van Facebookwachtwoorden wanneer jij een echt van Facebook lijkende mail stuurt. (Ik doe mijn best dit zakelijk op te schrijven).

Welke tool de verdachte uit deze zaak had, is mij niet duidelijk. De rechtbank Den Haag ook niet, want uit het proces-verbaal blijkt niet eens dat de panel is aangeklikt en uitgeprobeerd op werking, althans niet hoe dat zit:

Ik [, verbalisant] heb onderzoek gedaan in de uitgelezen data van het eerder omschreven toestel. Uit mijn onderzoek is gebleken dat er data in het toestel aanwezig is die gebruikt kan worden voor het plegen van cybercrime delicten.
Dat is natuurlijk te mager om te kunnen veroordelen op het hebben van een hulpmiddel om computervredebreuk mee te plegen. De verdachte blijkt wel een berg wachtwoorden voorhanden te hebben (goh, geen idee hoe) en dat is afzonderlijk grond voor een veroordeling.

Opstekertje voor mij dus nog dat de rechtbank scherp inspeelt op het te verwachten verweer dat die wachtwoorden alleen geschikt zijn om op een website in te breken, en dat een website volgens het Gerechtshof Den Haag geen server is:

Door de verdediging is betoogd dat met de inloggegevens enkel toegang kon worden verschaft tot accounts en niet tot de betreffende servers. De rechtbank gaat voorbij aan dit verweer, nu het een feit van algemene bekendheid betreft dat het inloggen op een account via een (deel van) een server verloopt, wat een geautomatiseerd werk is als bedoeld in artikel 139d Sr.
Ik heb een hele kleine twijfel of dit naar de letter van de kunst wel klopt, gezien “feit van algemene bekendheid” een argument is wanneer je iets feitelijks moet bewijzen. Maar het argument van de verdediging is dat niet ten laste is gelegd dat meneer op een server had willen inloggen. Vergeten te verwijten is wat anders dan vergeten te onderbouwen.

Maar ik denk dat het hier goed gaat, omdat het delict hier is “het hebben van wachtwoorden waarmee je computervredebreuk kunt plegen”. Voor dat laatste is dus nodig dat bewezen wordt dat je op een geautomatiseerd werk kunt inloggen, en dan is het wel logisch om te zeggen “het is algemeen bekend dat Netflix servers heeft”.

Arnoud

Politie ontdekt iSpoof-server in Almere en haalt oplichtingsdienst uit de lucht

Geplaatst op in Regulering, 14 reacties
StockSnap / Pixabay

Het Cybercrimeteam Midden-Nederland heeft in samenwerking met de Londense Metropolitan Police Service iSpoof-servers uit de lucht gehaald. Dat meldde Tweakers donderdag. Met deze servers werden duizenden neptelefoontjes per maand gefaciliteerd, wat vaak gebruikt wordt voor oplichting zoals door alarmerende “wij zijn van de bank en u wordt gehackt” telefoontjes. Wat de vraag oproept, waarom kán dat eigenlijk nog steeds?

Helaas komt het steeds vaker voor dat oplichters (“phishers”, in het jargon) gebruik maken van gespoofte telefoonnummers. Dat is logisch, want als een slachtoffer het werkelijke nummer van een bank als beller ziet, zal hij eerder het verhaal geloven natuurlijk. En technisch is dit simpel: telecomproviders hanteren in de praktijk geen enkele beperking , zoals dat het ingestelde nummer ergens aan jouw bedrijf gekoppeld moet zijn in de administratie van de telecomprovider. Ik weet niet waarom dat niet gebeurt.

Het kabinet had in 2021 aangekondigd dat ze zouden komen met een voorstel om de Telecommunicatiewet zo aan te passen dat telecomproviders worden verplicht om telefoonspoofing aan te pakken. Dat heeft geleid tot een internetconsultatie deze zomer. De kern is dat artikel 11.10 Telecommunicatiewet gaat verbieden dat je “onjuiste” nummers meestuurt, en dat de ACM nadere regels mag maken over specifieke controleverplichtingen. Denk aan een zwarte lijst met bv. nummers van banken (die jij dus niet mag laten gebruiken in uitgaande gesprekken) of een plicht om die nummers te bellen voordat de gebruiker ze mag activeren.

Dit lijkt mij een goed idee, toch was ik verrast te lezen dat onder meer Microsoft bezwaar had gemaakt. De kern is dat er soms toch ook legitieme toepassingen zijn van CLI spoofing, zoals het tonen van het algemene nummer van een bedrijf terwijl er wordt gebeld vanaf de mobiel van een medewerker. Maar zoals ik het wetsvoorstel lees, wordt dat ook niet categorisch verboden. Het mag namelijk gewoon als het nummer wél bij de organisatie hoort. Dat kun je al oplossen met een lijstje van de mobieltjes van de medewerkers.

MS wijst wel op een andere ontwikkeling, het STIR/SHAKEN protocol, waarmee op dieper technisch niveau spoofing moet kunnen worden tegengegaan. De kern is hier dat de provider een lijst nummers heeft waarvan hij weet dat ze bij de klant horen, en dan het gesprek alleen doorlaat als het uitgaande nummer op die lijst staat. Maar hoe dat precies anders is dan wat het ministerie voorstelt, begrijp ik niet helemaal.

Arnoud

 

Franse decryptieplicht wordt ook toegepast op smartphonelockscreens

Geplaatst op in Regulering, 41 reacties
8385 / Pixabay

Het Franse Hof van Cassatie heeft geoordeeld dat een verdachte in een criminele zaak verplicht kan worden om de lockscreencode van zijn of haar smartphone aan te leveren. Dat meldde Tweakers onlangs. In Frankrijk geldt een absolute decryptieplicht, dus ook voor verdachten. En omdat je lockscreencode ook geldt als decryptiesleutel van alle bestanden op het interne geheugen, valt de lockscreencode daar ook onder. Uiteraard geeft dat de nodige juridische heisa.

Ik zou een boek moeten schrijven over dit soort dingen – oh wacht. Het lijkt erop dat de discussies over encryptie uit de jaren negentig weer helemaal terug zijn, beginnend met het idee dat encryptie door de overheid te kraken zou moeten zijn. Omdat dat technisch niet te doen is, maar je mensen wel kunt dwingen wachtwoorden te vertellen (relevant xkcd) heeft men in Frankrijk gekozen voor een wet die kort gezegd iedereen dwingt op bevel alle data te ontsleutelen waar ze het wachtwoord van weten. Artikel 434-15-2 van de Code Pénal bepaalt (bron vertaling):

A penalty of three years’ imprisonment and a fine of €45,000 are incurred by anyone who, having the key to decipher an encrypted message which may have been used to prepare, facilitate or commit a felony or a misdemeanour, refuses to disclose that key to the judicial authorities or to operate it following instructions issued by the judicial authorities under of title II and III of Book I of the Code of Criminal Procedure.
De kern is dus de sleutel hebben en een redelijk vermoeden dat het bericht bewijs is bij een strafrechtelijke overtreding of misdrijf. De eerste vraag die dan bij iedereen opkomt is hoe de autoriteiten vaststellen dat iemand de sleutel wéét. Dat lijkt nog geen argument in Frankrijk te zijn geweest. Ik zou het ook niet sterk vinden, specifiek bij het lockscreen van je telefoon. Je mag aannemen dat je voorafgaand aan je arrestatie bent geobserveerd, en als een agent dan heeft gezien dat jij je telefoon bediende, en een uur later zeg je “eh sleutel geen idee” dan zou ik dat geheel niet geloven.

Het meer fundamentele argument is natuurlijk waarom je mee zou moeten werken. Je bent immers niet verplicht mee te werken aan je eigen veroordeling? Dat klopt, maar de Europese mensenrechtenjurisprudentie is zodanig dat dat alleen gaat om dingen die afhankelijk van jouw wil zijn. Een vingerafdruk bij iemand nemen is dus geen overtreding van dat verbod, want die vinger die is er los van de wil van de verdachte. Een wachtwoord moeten vertellen is iets dat je weet, dus dat valt dan wel onder die wil van de verdachte. Althans dat vinden we in Nederland, de Franse hoogste rechter dacht daar in 2019 anders over:

Since the right not to incriminate oneself does not extend to data which can be obtained from the data subject by resorting to coercive powers but which exist independently of the will of the person concerned, the Court of Appeal did not disregard any of the legal and conventional provisions referred to in the plea;
Het argument is dus dat de gezochte gegevens bestaan los van jouw wil, en dat die dus wezenlijk anders zijn dan een bekentenis over hoe je de bank beroofd hebt bijvoorbeeld. Het is dan meer een feitelijk complexer verhaal hoe we je dwingen. De sleutel van je fysieke kluis die pakken we van je sleutelbos of we wachten tot je naar de wc geweest bent, dat komt wel goed. Maar een digitale sleutel met fysieke dwang afpakken, dat gaat niet. Daarom juridische dwang. Uiteraard liggen er al vragen bij het EHRM hierover (zaak 23624/20 Minteh).

In deze zaak speelde vooral het argument nog of een lockscreencode van een telefoon wel een decryptie-sleutel is, aangezien hij toegang geeft tot het OS of gebruikersaccount en niet tot opgeslagen data. Maar dat laatste kan heel goed wél het geval zijn: moderne mobiele OS’en slaan data versleuteld op, en pas na ontgrendelen met je lockscreencode wordt de data beschikbaar. Daaarmee is die code dus wél een decryptiesleutel geworden.

Arnoud

 

Wacht even, een passieve radar is nu óók al verboden onder de wapenwet?

Geplaatst op in Regulering, 9 reacties

This really sucks, zo begint het Krakenproject met haar aankondiging: vanwege “regulatory reasons” mogen wij onze passieveradarsoftware niet meer aanbieden als deel van het Kraken software defined radio project. Kraken is een leuk speeltje om gericht naar radiosignalen te kijken, bijvoorbeeld om te bepalen waar een zendmast staat. Maar je kunt zo veel meer dankzij de leuke algoritmes in het pakket. Een hele bijzondere was de passieve radar: deze stuurt zelf geen pulsen uit, maar luistert juist heel zorgvuldig naar binnenkomende signalen met verschillende antennes, waarbij verschillen in ontvangsttijd en -kwaliteit je helpen bepalen waar een bepaald object is. En dat mag dus niet.

Oké dat was een heel pittige intro. Dit artikel in IEEE Spectrum is een stuk duidelijker:

With one hand I pointed the surveillance antenna at the overcast skies and held my phone in the other. Gratifyingly, I almost instantly started seeing a blip on the speed-versus-range radar plot, matched a few moments later by the rumble of an approaching jet. (The plot updates about once every 3 seconds.) Because of the strength of the echoes, I was able to raise the signal-cutoff threshold significantly, giving me radar returns uncluttered with noise, and often with multiple aircraft. A win for SDR!
Het lijkt erop dat dit artikel mede de ondergang is geweest van de feature. Radar heeft namelijk militaire toepassingen, en is daarom als technologie fors gereguleerd. Dit is de bekende (beruchte) International Traffic in Arms Regulation (ITAR) waarmee in de jaren negentig cryptografische software zoals PGP ook werd tegengehouden. Encryptiesoftware wordt onder die wet net zo streng gereguleerd als munitie, maar ook radarsystemen staan erop:
(xxvii) Bi-static/multi-static radar that exploits greater than 125 kHz bandwidth and is lower than 2 GHz center frequency to passively detect or track using radio frequency (RF) transmissions (e.g., commercial radio, television stations);
Naar de letter voldoet een opstelling met de software van Kraken aan die omschrijving, en kennelijk vond iemand bij het Amerikaanse ministerie van Defensie (of een bezorgde jurist bij Kraken) dit reden om bij het project aan de bel te trekken.

Op zich raar, want er is al geruime tijd een “public domain exception“, als informatie of software in het publiek domein beschikbaar is dan geldt exportcontrole daarvoor niet meer. Verder wordt het Kraken project niet in de VS gerund, zij het dat de software wel op het Github-platform van Microsoft staat. Maar op safe spelen bij dit soort regels is natuurlijk geen gek idee.

Arnoud