Categorie: Security

About Security

Subscribe Feeds

Hoge Raad: rechter mag Frans bewijs uit gehackte cryptotelefoons gebruiken

Geplaatst op in Regulering, Security, 12 reacties

Nederlandse rechters mogen erop vertrouwen dat in Frankrijk ontsleutelde berichten uit gehackte cryptotelefoons als bewijs kunnen dienen in strafzaken. Dat meldde de NOS alweer een maandje geleden. De Hoge Raad bevestigt daarmee dat de vele Nederlandse zaken met afgetapte cryptogesprekken door kunnen gaan, en gaat voorbij aan de bezwaren van de vele verdachten in die zaken.

Sinds 2021 worden er vele strafzaken gevoerd waarbij chats uit de diensten Encrochat en SkyECC worden gebruikt als bewijs. Ik blogde toen:

De precieze details van de hack zijn nog steeds onduidelijk, maar het komt erop neer dat de Franse Justitie in samenwerking met de Nederlandse politie binnen wist te dringen in de infrastructuur van Encrochat en van daaruit malware op de telefoons wist te pushen. Althans, malware voor de criminelen – voor de politie was het natuurlijk een legitieme afluister- en kopieertool. Aldus wist men vele, heel vele criminele transacties en overleggen te pakken te krijgen, wat tot een golf aan arrestaties en strafzaken leidde.
De discussie gaat erover of de Franse justitie dit wel legaal (naar Frans strafvorderingsrecht) had uitgevoerd. En als dat niet het geval bleek, wat de Nederlandse rechter dan zou mogen doen met dit onrechtmatig verkregen bewijs.

De Hoge Raad beëindigt nu de discussie door uit te gaan van nationale soevereiniteit:

Het behoort niet tot de taak van de Nederlandse strafrechter om te toetsen of de wijze waarop het onderzoek onder verantwoordelijkheid van de buitenlandse autoriteiten is uitgevoerd, strookt met de rechtsregels die gelden in het betreffende land voor het uitvoeren van dat onderzoek. Zou de Nederlandse strafrechter wel tot zo’n toetsing overgaan, dan levert dat een aantasting op van de soevereiniteit van dat land. … Om deze redenen worden de beslissingen van de buitenlandse autoriteiten die aan het verrichte onderzoek ten grondslag liggen, gerespecteerd en wordt ervan uitgegaan dat het onderzoek rechtmatig is verricht. Dat is uitsluitend anders als in het betreffende land onherroepelijk is komen vast te staan dat het onderzoek niet in overeenstemming met de daarvoor geldende rechtsregels is verricht.
Dit geldt ook wanneer je als verdachte stelt dat het onderzoek van die buitenlandse autoriteit je grondrechten schendt uit het EVRM of andere verdragen. Want ook een toetsing van zo’n schending is een schending van soevereiniteit – daar mogen de Fransen zélf over nadenken.

Het maakt hierbij niet uit of er Nederlandse politiemensen hebben meegeholpen bij het onderzoek. Als het onderzoek formeel wordt uitgevoerd door Frankrijk, dan vallen die Nederlanders onder het Franse strafprocesrecht en wordt het geheel beoordeeld naar Frans recht.

Een vervolgpunt is de controleerbaarheid van het bewijs. Als verdachte moet je kunnen controleren wat er tegen je wordt gebruikt, maar in de praktijk blijkt dat nogal moeilijk met die berichten. Hoe veel rechten heb je, moet je volstaan met de Excelsheet die het OM je geeft of mag je de ruwe data door een eigen onderzoeksinstelling laten doorzoeken?

De Hoge Raad danst een beetje om het punt heen:

Voor de beoordeling of een verzoek van de verdediging tot het voegen van stukken bij de processtukken voldoende is onderbouwd, is mede van belang of en, zo ja, op welke wijze door het openbaar ministerie al faciliteiten aan de verdediging zijn geboden om de in de zaak beschikbare digitale databestanden te raadplegen. Waar het gaat om de beoordeling door de rechter-commissaris op grond van artikel 34 lid 4 Sv of om de uitvoering door de rechter-commissaris van het door de zittingsrechter gelaste nadere onderzoek, staat geen rechtsregel eraan in de weg dat, in het geval dat voor het raadplegen of onderzoeken van grote digitale databestanden specifieke technische kennis is vereist, de rechter-commissaris zich laat bijstaan door een op dat terrein deskundige persoon.
Hiermee lijkt de HR genoeg ruimte te laten voor de huidige praktijk: je krijgt een lijst met de chats die men als primair bewijs tegen je gebruikt, je mag concrete vragen stellen waar je dan nadere datadumps van krijgt, maar de ruwe data die blijft in het systeem.

Arnoud

 

Minister: client-side scanning is geen aantasting van end-to-end encryptie

Geplaatst op in Privacy, Regulering, Security, 14 reacties

Client-side scanning, waarbij de inhoud van chatberichten van burgers op hun telefoon wordt gecontroleerd, is geen aantasting van end-to-end encryptie, zo stelt minister Weerwind voor Rechtsbescherming. Dat las ik bij Security.nl. Vorig jaar mei kwam de Europese Commissie met een voorstel dat chatdiensten en andere techbedrijven verplicht om alle berichten en andere content van gebruikers te controleren op kindermisbruik en grooming. Eerst met het idee dat je “end-to-end encryptie met een achterdeur” zou hebben – wat niet kan – en nu dus client-side scanning.

Al in oktober 2001 werd uitgebreid gewaarschuwd voor de risico’s van een contentscanner op je telefoon:

Een groep van gerenommeerde beveiligingsexperts, hoogleraren en onderzoekers heeft een document gepubliceerd waarin ze waarschuwen voor de risico’s van client-side scanning (CSS) zoals Apple en Europese Unie willen invoeren. Bij CSS wordt erop het toestel van gebruikers naar bepaalde content gezocht, iets wat volgens de experts tot massasurveillance kan leiden. Het document is onder andere opgesteld door Ross Anderson, Jon Callas, Whitfield Diffie, Peter G. Neumann, Ronald L. Rivest en Bruce Schneier. [AE: meer expert dan deze vind je ze niet, in de securitywereld]
Het idee achter client-side scanning is dat er een probleem is voor de opsporing van strafbare feiten nu vrijwel alle communicatiediensten met end-to-end encryptie werken. Daarbij kunnen tussenpersonen – zoals Facebook als eigenaar van WhatsApp – niet meelezen, hoewel de berichten via hun servers worden verstuurd. Alleen afzender en ontvanger kunnen erbij. Daar achterdeurtjes in bouwen gaat niet werken, want die zijn hoe dan ook een zwakke plek in de beveiliging. Vandaar een andere aanpak:
Sometimes called “endpoint filtering” or “local processing,” this privacy-invasive proposal works like this: every time you send a message, software that comes with your messaging app first checks it against a database of “hashes,” or unique digital fingerprints, usually of images or videos. If it finds a match, it may refuse to send your message, notify the recipient, or even forward it to a third party, possibly without your knowledge.
Het grote punt van kritiek is natuurlijk dat je er hier vanuit gaat dat alleen de “gewenste” strafbare inhoud in die database zit. Technisch gezien is dit een algemeen filtersysteem: iedere content die matcht met zo’n hash wordt tegengehouden, en van iedere content kan een hash worden aangeleverd. Een bekende slippery slope bij wetgeving: eerst misbruikmateriaal, daarna terrorisme, en dan roept u maar wie ook een blokkade wil.

Ook een enorm probleem is dat om dit te controleren, iedere telefoon bij elk bericht de database moet raadplegen. Zet je die op ieders telefoon, en zo ja hoe houd je ‘m actueel zonder dat kwaadwillenden je kunnen frustreren? Of zet je die centraal in de overheidscloud, maar hoe weet je dan dat iedereen die bij elk bericht (let op: elk bericht, ja elk bericht) raadpleegt? En hoe weten we dat de logs van wat er dan allemaal gedeeld wordt, niet centraal bijgehouden wordt?

Arnoud

De VVE wil hulpverleners geen toegang tot de voordeur geven, mag dat?

Geplaatst op in Security, 9 reacties

Een lezer vroeg me:

Mijn op leeftijd zijnde ouders willen gebruik gaan maken van een persoonsalarmering. Ze zijn appartementseigenaar in een kleinschalig complex. Om hulp gedurende nachtelijke uren veilig en eenvoudig toegang te geven zijn er diverse oplossingen, waaronder de meest veilige waarbij de hulp instantie middels een code die op een beveiligde app verschijnt een zender activeert welke een toegangsdeur van het slot haalt. Zo kan men de centrale toegang in om bij het appartement te komen. Het bestuur van de VVE is niet van plan om dit toe te staan, vanwege “veiligheidsredenen”. Kunnen ze dit zomaar doen?
Er zijn inderdaad vele oplossingen waarbij hulpverleners op een makkelijke manier zonder hulp van de bewoner de deur kunnen openen. Een simpele vorm is een klein sleutelkluisje dat met een pincode geopend kan worden, waarna de voordeur als gewoon opengemaakt kan worden. Uiteraard wordt de toegang tot die code beperkt en wordt gebruik gelogd.

De hier geschetste oplossing (het klinkt als een “slim elektronisch slot” zoals van Telelock) vereist montage van iets speciaals op de voordeur, het huidige slot wordt vervangen maar er zijn mogelijkheden dezelfde sleutel te blijven gebruiken.

Er zijn geen specifieke regels dat een vereniging van eigenaren moet meewerken aan ieder verzoek omtrent de sleutels of sloten, maar ook niet dat ze zomaar alles mogen weigeren. Ook als er van alles in het huishoudelijk reglement staat: in Nederland geldt de norm van redelijkheid en billijkheid in zakelijke relaties zoals deze.

De belangen van de VVE zijn dat de veiligheid goed blijft en dat de VVE (en bewoners) niet op kosten wordt gejaagd. De bewoner in kwestie wil vanuit haar persoonlijke veiligheid dat zorgverleners in noodgevallen naar binnen kunnen, ook als ze alleen is en er geen medebewoner open wil doen.

De redelijke uitkomst lijkt me dat de VVE hieraan mee moet werken, uiteraard op kosten van de bewoner die dit wil en zonder gedoe voor andere bewoners. Ik kom dan al snel uit bij dat simpele sleutelkluisje, aangezien dat onmerkbaar is voor andere bewoners. Dat slimme slot vereist montage en er zit een raar nieuw ding op de deur. Plus, wat doe je als een tweede bewoner óók deze oplossing aanvraagt?

Arnoud

Met welke juridische argumenten overtuig ik de Salesafdeling dat we aan security moeten gaan doen?

Geplaatst op in Security, 8 reacties
jarmoluk / Pixabay

Een lezer vroeg me:

Ons bedrijf (een middelgrote managed service provider) wil meer focus op security introduceren, ik ben aangewezen als de kwartiermaker van het nieuwe team. Het probleem is dat mijn team weinig voor elkaar krijgt, omdat alles te duur gevonden wordt en security geen selling point is voor de klant. Zijn er juridische argumenten waarmee ik het belang van mijn team meer naar voren kan brengen?
Deze vraagsteller is niet de eerste of enige die worstelt met security als deel van commerciële dienstverlening. Het lastige is immers dat security primair een kostenpost is, en als deze dienst goed geleverd wordt dan merk je niets van de security. Pas als het niet goed gaat, dan komen er klachten, maar dan is het natuurlijk al te laat.

De insteek om wetgeving – oftewel dreiging met boetes – te gebruiken als argument is een goede. We hebben bijvoorbeeld sinds 2018 de AVG, die een adequate beveiliging van persoonsgegevens eist. Die regels gelden ook voor MSPs die voor hun klanten data met persoonsgegevens opslaan of verwerken.

Meer algemeen is de Network and Information Security (NIS2) Richtlijn, die afgelopen januari van kracht werd en voor oktober 2024 in de Nederlandse en andere Europese wetten moet komen te staan. Ook deze regels eisen passende en proportionele security bij zo ongeveer iedereen in de IT-sector, op straffe van forse boetes. Voor IoT-apparaatmakers (en hun leveranciers) komt er de Cyber Resilience Act, wie met AI werkt krijgt ook een berg regels over zich heen, en ga zo maar door.

Genoeg argumenten dus om van security een selling point te maken: Koop bij ons want dan voldoet u aan de wet.

Ik zie dat alleen niet zo goed werken als het bedrijf security als een aparte kostenpost neerzet, op afstand van de ‘echte’ dienstverlening. Want die belofte moet je wel waar kunnen maken, en dat kan alleen als je samenwerkt in de productontwikkeling en -verbetering.

Verder is er het probleem dat al deze wetgeving vrij nieuw is, en dus weinig praktische impact heeft laten zien. Daardoor kan een organisatie nog vrij makkelijk kiezen voor “we merken het wel als andere, grotere bedrijven beboet worden en dan passen we ons aan” en daar is weinig tegenin te brengen.

Wat wel kan werken is wanneer het bedrijf zich wil gaan richten op grote klanten. Die zijn hier namelijk wél serieus mee bezig, en zullen van leveranciers garanties vragen dat ook zij aan de nieuwe regels voldoen. Inclusief documentatie en mogelijk audits om het te onderbouwen. Dat vertaalt zich naar een commercieel argument: je krijgt de offerte of aanbesteding niet als we de security niet aantoonbaar op orde hebben, dus daarom heb ik budget nodig om dit te regelen.

Arnoud

Whoa, mag antivirussoftware dingen nog wel “kwaadaardig” noemen?

Geplaatst op in Security, Uitingsvrijheid, 8 reacties

Het Amerikaanse Hof van Beroep (9th Circuit) heeft geoordeeld dat termen als “malicious” of “threat” in de context van virusbestrijding feitelijke uitspraken zijn, las ik bij The Register. Antimalwarebedrijf Malwarebytes had de software van haar concurrent Enigma een “potentially unwanted program” genoemd, inclusief dus die termen. Waarop Enigma naar de rechter stapte wegens smaad.

Malwarebytes heeft dit soort zaken vaker gehad; in 2020 wonnen ze nog een rechtszaak tegen softwarebedrijf Asurvio (PC Driver) met als argument dat het gewoon hun mening is dat bepaalde software kwaadaardig is. Maar in de Enigma-zaak oordeelde de rechter eerder anders: omdat Enigma een concurrent is, is het denkbaar dat de mening van Malwarebytes ingegeven is door commerciële motieven in plaats van gewoon hun mening, en dat is niet eerlijk naar de markt toe.

De zaak is nu door het Hof terugverwezen naar de rechtbank voor een hernieuwde feitelijke beoordeling. Maar let wel: het Hof heeft niet gezegd dat de terminologie smadelijk is of niet meer gebruikt mag worden. Het oordeel is alleen dat het denkbaar is dat deze termen als feitelijk opgevat worden in de context van een mededeling van antimalwaresoftware. En dat is een factor bij het beoordelen van commerciële uitingen als oneerlijke reclame of misleiding van de consument.

In Nederland kennen we niet zo’n hard onderscheid tussen feiten en meningen. In de VS is een mening gewoon te allen tijde beschermd, vandaar de discussie hoe je “kwaadaardig” of “bedreiging” moet opvatten. Bij ons is “ik vind” er voor zeggen niet genoeg. Eventuele feitelijke aspecten van je uiting moeten gewoon kloppen of onderbouwd zijn, bijvoorbeeld met een methodologie waarbij je van “vrijwel onschuldig” naar “het grootste kwaad sinds het Cascade-virus” (plaatje) gaat met criteria.

Dit vereiste wordt sterker naarmate je meer als een autoriteit wordt gezien. Dus een willekeurige securityresearcher die een stuk software “kwaadaardige rotzooi” noemt in een boze tweet, dat zal geen problemen geven, maar wanneer het gaat om een officiële security advisory van een toonaangevend antivirusbedrijf dan moet die term wel ergens op gebaseerd zijn.

Arnoud  

OM wilde slachtoffers Genesis Market niet doorsturen naar Have I Been Pwned

Geplaatst op in Security, 20 reacties

Het Openbaar Ministerie (OM) wilde de tienduizenden Nederlandse slachtoffers van de Genesis Market niet naar de Australische website Have I Been Pwned doorsturen, las ik bij Security.nl. Bij Genesis Market werden onder meer persoonsgegevens van zo’n 50.000 Nederlanders verhandeld, en na het oprollen van deze dienst ontwikkelde de politie de site Check Je Hack waar men kan nagaan of de eigen gegevens er ook in zitten. Maar deze uitleg doet wel enige wenkbrauwen fronsen.

De site Have I Been Pwned is wereldwijd volgens mij de bekendste zoekmachines om na te gaan of je mailadres in een bekend datalek voorkomt. Sinds 2021 is het bij de Amerikaanse FBI bijvoorbeeld standaard om dergelijke datasets te delen met de dienst. Het doet dus wat gek aan als men in Nederland dan zegt, wat is dat voor vage site:

“Bovendien wil je mensen die zich zorgen maken over hun onlineveiligheid, mensen bij wie mogelijk alle alarmbellen rinkelen, niet doorverwijzen naar een onbekende Engelstalige website en hen vragen om daar hun gegevens in te voeren. Zoiets wil je alleen doen op een website die je vertrouwt. Bovendien mogen wij dit soort gegevens niet zomaar delen met een private website. En dat willen we vooral ook niet”, laat [officier van justitie Jacqueline] Bonnes verder weten.
Ik zie hier twee argumenten. Allereerst dus het “onbekend” argument, en ten tweede een juridisch argument. Om met dat laatste te beginnen: het is inderdaad niet direct duidelijk op welke AVG-grondslag de politie of het OM persoonsgegevens naar een niet-Europese private partij mag verstrekken. Al is het maar omdat overdracht van persoonsgegevens naar buiten de EU momenteel wat ingewikkeld ligt.

Het “onbekend” argument doet voor de lezer hier denk ik gek aan, omdat ‘iedereen’ die site kent als de plek waar je moet wezen. De site wordt overal gepromoot waar het gaat over gelekte wachtwoorden, zoals in het standaardwerk Laat je niet hack maken van journalist Daniel Verlaan. Maar ik kan niet ontkennen dat de site in het Engels is en niet dezelfde huisstijl heeft als een Nederlandse overheidssite. Ook weet ik niet hoe veel Nederlanders weten wat ‘gepwnd’ zijn betekent. Dus ik snap dat je dan als overheidsdienst even achter de oren krabt of het handig is deze dienst aan te raden.

Arnoud

Ontslag voor doorsturen van werkmail naar privémail onterecht

Geplaatst op in Ondernemingsvrijheid, Security, 6 reacties
geralt / Pixabay

Een Nederlands bedrijf dat een medewerker op staande voet ontsloeg voor het doorsturen van driehonderd zakelijke e-mails uit zijn werkmail naar zijn privémail had dit niet mogen doen, las ik bij Security.nl. De kantonrechter stelt dat het opschonen van een zakelijke mailbox voorafgaand aan een kort daarna intredende vrijstelling van werkzaamheden geen dringende reden oplevert voor ontslag op staande voet. Wel wordt alsnog de arbeidsrelatie beëindigd want die is té verstoord om verder te kunnen.

De werknemer werd eind 2022 boventallig verklaard omdat zijn functie van IT & E-commerce specialist niet meer nodig was toen de website naar een SaaS-oplossing werd gemigreerd. Hij ging daarmee niet akkoord en wees het voorstel voor een beëindiging van de hand. Na enig onderhandelen kwam men eind december toch tot een vaststellingsovereenkomst. En dan komt ‘ie: “Na het sluiten van de onder 2.7 opgenomen vaststellingsovereenkomst heeft [eiser] de volledige inhoud van het werke-mailadres geleegd.” Húú peerd, aldus de jurist:

“(..) Van [werkgever] begrijpen wij dat de e-mailbox van uw cliënt om onverklaarbare redenen leeg is. [Werkgever] heeft hier geen instructie toe gegeven en uw cliënt heeft dit ook niet met [werkgever] overlegd. Sterker nog, uw cliënt heeft wel contact gehad met zijn manager over de overdracht, maar heeft niets over het leegmaken van een e-mailbox genoemd. Wij verzoeken u ons uiterlijk morgen voor 16:00 uur opheldering te geven over de gang van zaken en waarom de e mailbox van uw cliënt leeg is. Daarnaast dient uw cliënt per ommegaande te zorgen dat de e-mails en wachtwoorden terug komen, het gaat immers om bedrijfseigendommen. [Werkgever] behoudt zich alle rechten voor en is bezig met nader onderzoek. [Werkgever] zal zich verder beraden en de stappen zetten die zij passend acht. (..)”
Gelukkig bleek een en ander te herstellen met een link die de werknemer wist aan te leveren. Daarna bleek er echter bij nóg een mailbox het een en ander weg te zijn, waar de werknemer betrokkenheid bij ontkende, maar wat de werkgever dan weer niet geloofde. Ook ontdekte men
  1. het automatisch laten doorsturen van e-mails uit de marketing e-mailbox naar het werke-mailadres, het verzoek aan leveranciers om het werke-mailadres in de bcc te houden bij het sturen van facturen, terwijl dat voor de uitoefening van de functie niet relevant was en de ongeloofwaardige uitleg die [eiser] daarover heeft gegeven;
  2. het doorsturen van meer dan 300 zakelijke e-mails naar de privémail van [eiser] en de ongeloofwaardige uitleg die [eiser] daarover heeft gegeven;
Daar werd men zó boos van dat de man vervolgens ontslag op staande voet aangezegd kreeg. Dat klinkt namelijk heel boos en heel erg, maar je moet daar als werkgever wel voorzichtig mee zijn want het is alleen bedoeld voor zeer dringende situaties, er gebeurt nú iets bizar ergs en daarom schop je die persoon nú de straat op. Voor het legen en in bcc houden was plausibele uitleg denkbaar. Anders ligt dat bij het doorsturen van die 300 mails:
Het doorsturen van deze e-mails is in de voorliggende omstandigheden, zoals later nog aan de orde zal komen, een ernstige gedraging, die [eiser] ook verweten kan worden. Echter, de strekking van dit artikel is naar het oordeel van de kantonrechter niet zodanig duidelijk dat [eiser] op voorhand had moeten begrijpen dat daaronder ook valt het doorsturen van e-mails naar zijn privémail, temeer waar het onbetwist gebruik was bij [werkgever] om via WhatsApp allerlei zakelijke bestanden en gegevens uit te wisselen. In zoverre kan niet aan [eiser] worden tegengeworpen dat sprake is van een gedraging die een dringende reden voor een ontslag op staande voet oplevert.
Daarbij woog mee dat de doorgestuurde mails mede gingen over de aanloop tot het ontslag; “het verstevigen van zijn bewijspositie in een eventueel te volgen ontslagprocedure” zoals de rechter dat omschrijft. Er was geen concurrentiegevoelige data aangetroffen en de werknemer was na het ontslag van plan weer zijn dansschool op te pakken die door corona in de ijskast was beland. (Een dansschool oppakken en nog uit de ijskast ook, Arnoud doe wat aan je beeldspraak.)

Dat ontslag op staande voet wordt dus teruggedraaid. En dat is altijd een dure grap:

Nu het ontslag op staande voet wordt vernietigd, duurt de arbeidsovereenkomst voort en heeft [eiser] recht op loon. De vordering van [eiser] tot loonbetaling zal daarom worden toegewezen. De gevorderde wettelijke verhoging van artikel 7:625 BW en de wettelijke rente zullen ook worden toegewezen, omdat [werkgever] te laat heeft betaald, waarbij de kantonrechter aanleiding ziet om de wettelijke verhoging te matigen tot 10%.
Tegelijkertijd vindt de rechter het wél onzorgvuldig zoals de werknemer had gehandeld:
Echter, van [eiser] had, als redelijk handelend werknemer, mogen worden verwacht dat hij met het doorsturen van deze e-mails de nodige zorgvuldigheid had betracht, hetgeen hij niet heeft gedaan. Hij heeft immers niet slechts een paar e-mails met essentialia maar ruim 300 e-mails doorgestuurd naar zijn privémail, waarvan er een aantal vertrouwelijke bedrijfsgegevens van [werkgever] bevatte, zoals wachtwoorden of verslagen van functioneringsgesprekken. … Bovendien heeft [eiser] van het doorsturen van de betreffende e-mails ten onrechte geen melding gemaakt bij [werkgever] tijdens de onderhandelingen over c.q. het sluiten van de vaststellingsovereenkomst.
Daarmee wordt de werknemer alsnog ontslagen, maar dan dus ‘gewoon’ en niet op staande voet. Hij krijgt alsnog vier maandsalarissen mee met 10% opslag wegens te laat betalen, 3000 euro transitievergoeding en de proceskosten ter hoogte van bijna 900 euro.

Arnoud

 

Dit is dus hoe je als jurist niét ChatGPT moet gebruiken (en ik leer je hoe wel)

Geplaatst op in Ondernemingsvrijheid, Security, 11 reacties

Een advocaat uit New York gebruikte ChatGPT om een verweer in te dienen bij een letselschadezaak, en dat ging ongeveer zoals je zou verwachten: de volgendewoordvoorspeldienst genereerde een imposant stukje proza inclusief relevante zaken en verwijzingen naar wetsartikelen, die allemaal niet bleken te bestaan. Excuses zijn aangeboden, maar toch. Wut.

De zaak kwam aan het rollen nadat advocaat Steven Schwartz (30 jaar ervaring) vliegmaatschappij Avianca Airlines had aangeklaagd vanwege letselschade bij een cliënt. Nadat de maatschappij verweer had gevoerd, diende Schwartz een uitgebreide repliek in waarbij hij meende te mogen profiteren van geavanceerde generatieve Artificial Intelligence die in luttele minuten doodsaai juridisch werk transformeerde in een intellectuele ervaring.

Ik vergat er trouwens nog bij te zeggen dat nadat de wederpartij verzocht om kopieën van deze beweerdelijke jurisprudentie, Schwarts deze aan ChatGPT opvroeg en de resultaten opstuurde. Dat viel niet in goede aarde bij de rechter, die dus nu aanstuurt op sancties tegen de advocaat.

Wat ging hier mis? Zoals hij zelf uitlegt:

Schwartz, in an affidavit, said that he had never used ChatGPT as a legal research source prior to this case and, therefore, “was unaware of the possibility that its content could be false.” He accepted responsibility for not confirming the chatbot’s sources. Schwartz is now facing a sanctions hearing on June 8.
We hebben hier een paar keer discussies gehad over of mensen al dan niet snappen wat ChatGPT is en hoe je het kunt gebruiken. Ik proef dan altijd een toon van ongeloof dat mensen zouden denken dat het wáár is wat eruit komt. Deze zaak laat volgens mij geen geïsoleerd one-in-a-million incident zien, maar eerder toevallig de eerste die betrapt werd.

Voor de duidelijkheid: GPT snapt niets van tekst, heeft geen idee wat een docket number is of zelfs maar wat het verschil is tussen een werkwoord en een tussenwerpsel. Het systeem is verbluffend goed in het maken van mooie zinnen, maar doet dat enkel op basis van statistiek, woordpatronen. Dat verklaart meteen hoe GPT met nepbronnen aan kan komen zetten: op die plek hoorde iets dergelijks te staan, en termen als “Varghese” of “China South Airlines” komen vaak voor bij dit soort teksten (luchtvaartrechtszaken) en daar moet een “v. ” tussen, prima, doen we dat.

ChatGPT gebruik je dus niet om bronnenonderzoek mee te doen. Er zijn systemen die een tekstgeneratie loslaten op zoekresultaten (zoals Bing of Bard), maar dat vereist dus een extra laag in het systeem. ChatGPT gebruik je om tekstanalyse te doen, of de opzet van een tekst te maken zodat je er zelf mee verder kunt. In advocatentaal: het is een student-stagiair, behandel het ding ook als zodanig.

Leren wat je wél kunt vragen? In september geef ik drie keer een masterclass “GPT in de juridische praktijk“. Wat kun je vragen, hoe vraag je dat en hoe weet je of je relevante antwoorden hebt. Schrijf je snel in!

Arnoud

Rechter: IT-bedrijf is niet verantwoordelijk voor cyberaanval Hof van Twente

Geplaatst op in Security, 1 reacties

De rechtbank Overijssel heeft geoordeeld dat IT-bedrijf Switch niet de schadevergoeding van 4 miljoen hoeft te betalen die Hof van Twente geëist heeft in verband met de ransomwareaanval in 2020. Dat las ik bij Tweakers. Weer eentje in de categorie zorgplicht, maar in dit geval had Switch het prima geregeld – en dat het RDP-wachtwoord ‘Welkom2020’ was, was toch echt de keuze van de gemeente zelf.

In december 2020 voerde een ransomwarebende via een bruteforceaanval een gijzeling uit op de systemen van de gemeente, en eiste 750.000 euro losgeld. De gemeente betaalde niet, maar moest dus alles opnieuw bouwen. Dat was niet gebeurd als de IT-leverancier “haar kasteel (netwerk) had voorzien van een slotgracht, muren en bewakers zodat het niet kon worden binnengevallen.” Aldus de beeldspraak van de advocaat van de gemeente. Even nuchter vat de rechtbank het samen met

De rechtbank is van oordeel dat [Switch], gelet op haar contractuele verplichtingen en zorgplicht, wel heeft gezorgd voor de slotgracht, muren en bewakers, maar dat de gemeente een door haar beheerde achterdeur die toegang gaf tot het kasteel heeft opengezet door de brug neer te laten (de RDP-poort open te zetten) en een makkelijk te raden code (wachtwoord) voor het openen van de deur in te stellen, waardoor de bewakers niet ingrepen.
Altijd leuk die analogieën, maar wat was er nu echt gebeurd? Daarvoor pakken we het zeer gedegen onderzoeksrapport van het NFIR erbij. De korte maar recht voor z’n raap samenvatting is dit:
De aanvallers hebben toegang verkregen tot het netwerk van de gemeente via het Remote Desktop Protocol (RDP). Via RDP kan een server op afstand, via het internet, beheerd worden.  De server FTP-server was voor iedereen op het internet via RDP benaderbaar. Het eerste moment van ongeautoriseerde toegang heeft plaatsgevonden met het account “testadmin”. Het wachtwoord van het “testadmin”-account was op 15 oktober 2020 gewijzigd naar “Welkom2020”.
(Dat geluid op de achtergrond is de collectieve facepalm van alle meelezende securitymensen.) Dit is in juridische taal een niet echt adequate beveiliging, en dat is relevant want als we het gaan hebben over zorgplichten niet nakomen dan is dat wel zo’n beetje de standaard. En voor juristen zonder technische kennis is dit dus de brug die open staat en letterlijk het woord waarmee de wacht je doorlaat.

Wie valt deze tekortkoming te verwijten? Er was natuurlijk een héél pak papier want dit was een aanbesteedde ict-opdracht. De rechter begint met opmerken dat je die stukken zo moet lezen dat de bewoordingen leidend zijn (en dus niet de bedoeling, dit is de cao-norm en niet de Haviltex-norm). Inderdaad zoals bij die verzekeraar van laatst. Vervolgens volgt een trits eisen, waarbij voor mij eruit springt dat

• de informatieveiligheid van de data en de opslagdienst in het algemeen dient geborgd te zijn, zodanig dat voldaan wordt aan de eisen die vanuit het informatiebeveiligingsbeleid van de gemeente hieraan worden gesteld, welk beleid is gebaseerd op de Baseline Informatie-beveiliging Nederlandse Gemeenten (BIG);
Hoewel een algemene monitoringplicht deel was van de afspraken, was er geen expliciete securitymonitoring overeengekomen. Switch hoefde dus pas aan de bel te trekken als uit algemene monitoring een securityincident zou blijken. Wel hoorde bij haar taken het verzorgen van adequate backups. Switch had dat ook serieus onderzocht, en onder meer de back-up server en NAS te isoleren en de back-up server buiten het Active Directory domein te plaatsen. Daar had de gemeente nee op gezegd.

Wat security betreft, waren er dus enkele specifieke afspraken maar zeker geen overkoepelende verplichtingen. Althans, niet in de overeenkomst zelf. Als je de onderliggende algemene inkoopvoorwaarden (de GIBIT) erbij pakte en klantvriendelijk las, dan had je vrij snel een stevige en brede algemene securityplicht gevonden – onder meer die Baseline Informatiebeveiliging Nederlandse Gemeente (BIG) was deel van de overeenkomst. Maar de rechter vindt niet dat je zó makkelijk een zwik verplichtingen kunt importeren:

Ten slotte geldt dat de informatiebeveiliging een kernverplichting van [bedrijf 1] betreft in het kader van de overeenkomst: aan een dergelijke kernverplichting kan niet via algemene voorwaarden zoals de GIBIT-voorwaarden een andere en veel ruimere strekking worden gegeven dan specifiek overeengekomen. Dat zou zich ook niet verdragen met het hiervoor genoemde transparantiebeginsel.
Switch moest het netwerk kwalitatief monitoren, en de gemeente wilde de mogelijkheid hebben om bepaalde acties zelf uit te kunnen voeren zonder “gezeur van de IT” (noem ik het maar even). En dat kregen ze. Daar achteraf dan van maken “jij had de security moeten monitoren en moeten piepen als wij iets geks deden” is niet echt de bedoeling. Dit is waar rechters voor zijn: die kunnen geen RDP configuratiebestanden lezen, maar wel bepalen dat iemand achteraf zit te draaien om een ander de schuld te geven van z’n eigen fouten. Dit soort dingen:
[bedrijf 1] heeft de gemeente er medio 2020 nog op gewezen dat het gelet op de veiligheid beter was leveranciers alleen via de Kaseya-tool toegang te geven, maar voor de gemeente is dat geen aanleiding geweest gebruik te gaan maken van die tools op haar eigen account.
Een RDP poort open zetten heeft an sich geen directe impact op de kwaliteit van de IT-dienstverlening, dus dat is ook niet iets waar Switch wat van had moeten zeggen. En als er vervolgens een zwak wachtwoord wordt ingesteld dat tegelijkertijd wél aan de wachtwoordeisen voldeed, dan is er ook vanuit dat oogpunt weinig te detecteren.
Wat er ook zij van de discussie of deze door [bedrijf 1] voorgestelde maatregelen voldoende zouden zijn geweest om de cyberaanval te voorkomen of de gevolgen ervan te beperken (NFIR meende eerst van ‘wel’ en later van ‘niet’), is, bezien in het licht van het gegeven dat het gehackte account door de gemeente werd beheerd, daaraan de hoogste rechten waren verbonden en een zwak wachtwoord was ingesteld, een feit dat de gemeente (kennelijk uit kostenoverwegingen) niet is ingegaan op [bedrijf 1] voorstel. Daardoor heeft zij [bedrijf 1] de mogelijkheid onthouden om de veiligheid van de back-up te verbeteren, hetgeen voor haar rekening en risico komt.
Je zorgplicht als ict-leverancier houdt dus op als je het expliciet op tafel hebt gelegd, de risico’s hebt aangegeven en je dan een duidelijk “nee, gaan we niet doen” krijgen. Hier, deze mag u uitprinten en inlijsten:
De zorgplicht van een ICT-beheerder gaat niet zover dat waar functionele monitoring is overeengekomen, security monitoring daar (kennelijk gratis) onderdeel van uitmaakt.
Er is géén eis dat je dan hoger escaleert bij de klant, zoals de gemeente had gesuggereerd: jij onderhandelt met iemand, als die partij zegt “nee, gaan we niet doen” dan is dat de einduitkomst en dat de CISO van de gemeente of de wethouder IT-zaken wellicht anders had besloten, is niet jouw probleem. Zuur voor de gemeente, maar juridisch gezien was het toch echt haar eigen schuld.

Arnoud

Hoe een versleuteld bericht toch bewijs kan zijn van schending geheimhouding

Geplaatst op in Ondernemingsvrijheid, Security, 16 reacties

Een oud-werknemer moet een boete van ruim 15.000 euro betalen omdat hij een overeengekomen geheimhoudingsbeding en een beding over bedrijfseigendommen had geschonden door een bestand met bedrijfsgegevens naar zijn privé e-mail adres te sturen. Dat is de samenvatting van een recent Amsterdams vonnis in een arbeidszaak met een ict-tintje: het bestand was namelijk versleuteld, en hij was het wachtwoord vergeten dan wel gebruikte het dagelijks, waarom hij het niet wilde geven. Eh ja. Hoe kan dat leiden tot bewijs van een schending van je contractuele geheimhoudingsplicht?

De man was in dienst op basis van een tijdelijk arbeidscontract. Dat had een geheimhoudingsbeding, waarin was bepaald dat het sturen van vertrouwelijke informatie door de werknemer naar een privé e-mailadres wordt beschouwd als een schending van het geheimhoudingsbeding. Op overtreding ervan was een boete gesteld van grofweg vijf bruto maandsalarissen. En ja, dat mag: geheimhouding schenden is een ding waar rechters weinig sympathie voor hebben (tenzij je heel duidelijk aan het klokkenluiden bent natuurlijk). Concurrentie- en relatiebedingen krijg je nog wel omver, maar dit is echt andere koek.

Op 23 maart 2022 heeft [werkgever], na onderzoek van haar IT-afdeling, geconstateerd dat [gedaagde] op 17 maart 2022 een Excelbestand genaamd “ListeRenewableEnergyxVCMxBioMethane” heeft hernoemd tot “Stuff tot do”, dit heeft beveiligd met een wachtwoord en verzonden naar een van zijn privé emailadressen. Ook heeft [werkgever] geconstateerd dat [gedaagde] op 20 maart 2022 nog een e-mail met eveneens het beveiligde Excelbestand genaamd “Stuff to do” heeft verzonden naar een ander privé e-mailadres. [werkgever] heeft de beschikking over de laatste versie van het bestand “Stuff to do” voordat dit door [gedaagde] is versleuteld.
Wat was hier aan de hand? De werknemer legde uit:
Het was slechts een lijst met potentiële klanten zoals die ook op internet zijn terug te vinden. Hij was van plan om in dit rekenblad ook informatie over (potentiële) klanten van [werkgever] op te nemen, om zo te komen tot een lijst met potentiële klanten waarmee hij na zijn carrière bij [werkgever] zonder risico zou kunnen werken. Zover is het echter niet gekomen omdat dit te bewerkelijk werd. Met de lijst van klanten van [werkgever] die hij had gevonden in het CRM systeem van [werkgever] heeft hij dus niets gedaan.
De sleutel wilde hij echter niet geven, en dat wekte wat wrevel op bij de rechter:
Verder valt op dat [gedaagde] weinig coöperatief is geweest tijdens de gesprekken met [werkgever], bedoeld om [werkgever] duidelijkheid te verschaffen over de inhoud van het door [gedaagde] verstuurde bestand. Zo blijkt uit een niet betwiste transcriptie van een op 28 maart 2022 gevoerd telefoongesprek (productie 25 [werkgever]) dat hij tijdens dat gesprek heeft verklaard het wachtwoord niet te willen geven omdat hij dit dagelijks gebruikt, terwijl hij op de mondelinge behandeling heeft verklaard het wachtwoord niet meer te weten. Voorts heeft [gedaagde] verklaard het bestand te hebben weggegooid.
Ik zou dit ook een ietwat irritante houding geven. Maar enkel irritant doen is natuurlijk geen reden om je een rechtszaak te laten verliezen. Dat kan wel als je de bewijslast omkeert, en de rechter ziet daar – naast bovengenoemde houding – genoeg inhoudelijke gronden voor:
[Gedaagde] heeft daarbij gewezen op de door [werkgever] overgelegde nog niet met een wachtwoord beveiligde versie, waarvan als niet (voldoende) betwist vaststaat dat die versie geen vertrouwelijke bedrijfsinformatie van [werkgever] bevat. Daarmee valt echter niet uit te sluiten dat [gedaagde] die bedrijfsinformatie alsnog heeft toegevoegd alvorens het bestand te versleutelen en te versturen. Dat valt temeer niet uit te sluiten nu [gedaagde] niet (voldoende) heeft betwist dat de betreffende Excel sheet, gezien de daarin door hem gebruikte tabbladen, wel geschikt was om met vertrouwelijke klantgegevens van [werkgever] te worden gevuld. Daarbij staat onbetwist vast dat [gedaagde] voorafgaand aan de verzending van het bestand gegevens heeft gedownload uit het zg. CRM systeem van [werkgever]. Bovendien valt niet goed te begrijpen waarom [gedaagde] een bestand met – zoals hij zelf stelt – slechts openbaar toegankelijke informatie überhaupt met een wachtwoord zou moeten beveiligen.
Het is inderdaad voorstelbaar dat je aan een bestaand Excel-bestand een extra tab toevoegt met wel vertrouwelijke informatie, zeker in de context waarin je ziet dat iemand wat eerder nog vertrouwelijke gegevens heeft gedownload. En als kers op de taart dan de vraag wáárom je zo’n bestand versleutelt als er niets bijzonders in staat. Natuurlijk, daar zijn weer logische antwoorden op te verzinnen (“dat doe ik altijd”), maar dat moet je dan wel zeggen en het moet natuurlijk wel kloppen. Alles bij elkaar vindt de rechter dat het verhaal aan de kant van werknemer te zeer rammelt, en draait hij de bewijslast om. Dat mag van de wet, art. 150 Rechtsvordering:
De partij die zich beroept op rechtsgevolgen van door haar gestelde feiten of rechten, draagt de bewijslast van die feiten of rechten, tenzij uit enige bijzondere regel of uit de eisen van redelijkheid en billijkheid een andere verdeling van de bewijslast voortvloeit.
De hoofdregel is dus “wie stelt, bewijst”, maar dan iets preciezer geformuleerd: wie wil profiteren van het gevolg van een stelling, moet deze bewijzen. De werkgever wil de boete incasseren, dus moet de werkgever bewijzen dat het beding geschonden is. Maar op basis van de situatie zoals die nu ligt, is het niet meer dan redelijk dat de werknemer maar moet bewijzen wat er dan in dat versleutelde bestand zat om zo te bewijzen dat hij geen bedrijfsgeheimen naar zichzelf had gemaild.

Dan zijn we snel klaar, want de werknemer had verklaard het wachtwoord niet meer te weten en het bestand te hebben weggegooid. Daarmee is het bewijs dus geleverd dat hij het beding heeft overtreden, zodat hij de boete moet betalen. Deze wordt wel gematigd, omdat de berekening van de werkgever meerdere keren hetzelfde feit betrof.

Merk op dat we het niet een keer hebben gehad over de gebruikte encryptietechniek of de mogelijkheden van vervalsen van berichten, deniable encryptie en ga zo maar door. Deze rechter deed precies wat rechters moeten doen: de argumentatie van partijen aanhoren en afwegen, en dan een beslissing nemen. Hoe iets technisch werkt en wat er zou kunnen is dan minder van belang dan wat er in dit specifieke geval is gebeurd. Met een andere opstelling had deze meneer wellicht wel weg kunnen komen zonder boete: vraag om het bestand, probeer het wachtwoord nog te herinneren, leg uit waarom je encryptie gebruikte, zulke dingen. Een open opstelling leidt altijd tot een beter resultaat.

Arnoud