“U zit illegaal te surfen, ik weet alleen niet waarom”

Het zal je maar gebeuren, zo meldt de Inquirer: je gebruikt een gratis netwerk dat een café aan haar klanten aanbiedt, en dan wordt je gearresteerd. Meeliften op andermans netwerk mag niet zonder toestemming. Een café geeft haar klanten natuurlijk toestemming, maar deze man was geen klant want hij internette vanuit zijn auto. Dus geldt die toestemming ook voor hem? Ik zou het niet weten.

De agent in kwestie ook niet, en dat is wel bijzonder:

Geen van de betrokken partijen wisten van het bestaan van deze wet af. Toch had de agent die tot arrestatie overging het gevoel dat de man zich schuldig maakte aan illegaal gedrag, hij wist alleen niet van welke wet.

Arnoud

Europese Commissie komt met nieuwe aanpak cybercrime

Europese Commissie maakt nieuwe aanpak cybercrime bekend, meldt Arnout Veenman op ISPam.nl. Hij citeert Vice-President Frattini, EU Commissaris verantwoordelijk voor Justitie, Vrijheid en Veiligheid:

De Europese Commissie neemt vandaag een belangrijke stap naar het formuleren van een generiek Europees beleid in het gevecht tegen cybercrime. Dit beleid zal er uiteindelijk zorgen voor betere operationele samenwerking tussen politiediensten, verbeterde politieke coördinatie en betere coördinatie tussen lidstaten op het gebied van wetgeving alsmede politieke als juridische samenwerking met derde landen; het creëren van bewustzijn, training en onderzoek zal essentieel zijn in het bereiken van deze doelen. Dit beleid zal enkel effectief zijn wanneer er een krachtige dialoog met de industrie is gaande is.

Op opinieweblog wordt daaraan nog toegevoegd:

Het beleid is erop gericht om internationale samenwerking en strafrechtelijke handhaving te bevorderen en om publiek-private samenwerking te versterken. De Commissie overweegt ook om wetgeving tegen identiteitsdiefstal te ontwerpen.

Cybercrime of computercriminaliteit wordt een steeds groter probleem. Om dit te bestrijden, heeft de Commissie de volgende concrete plannen:

• Public-private cooperation at operational level: A conference on public-private cooperation is being organised for November this year. The conference, which will gather around 100 European specialists from both sectors, will concentrate on a few pilote areas. The main idea is to launch a small number of concrete public-private projects, on issues such as the fight against illegal content (especially child sexual abuse material) and strategic information exchange on criminal activities. The outcome may consist of codes of conduct, the setting up of permanent cooperation networks or recommendations for legislation. The principle of the public-private projects will be cooperation at equal level and private stakeholders (in particular EU-level business federations) will be involved already at the planning stage.

• Law enforcement cooperation/coordination: The problem identified in this field is rather that existing EU and international channels are not used or that these channels are not used in an efficient way. The Commission services are currently preparing a questionnaire to Member States and will organise a meeting with MS cyber crime specialists in 2007 to better identify the needs. The main objectives are to clarify the use and achieve better awareness of existing and – if needed – prepare concrete actions to reinforce the cooperation and coordination. The Commission will cooperate closely with Europol in this area.

• Training: The Commission is already discussing how different EU-level and EU-financed training programmes in this field can be interlinked under a common European training umbrella. The Financial Programme “Prevention of and Fight against Crime” will provide for financial means for the setting up of such an umbrella, which could cover both law enforcement only training programmes and programmes involving private sector operators. The Commission is especially looking to involve Europol, Eurojust and CEPOL in the setting up of such a platform.

Arnoud

Kort geding over publicatie verkiezingssoftware (2)

Het al eerder aangekondigde kort geding over de publicatie van stemmachinesoftware diende vandaag. NU.nl doet verslag:

De advocaat van Groenendaal betoogde dat de stichting het auteursrecht schendt. Concurrenten zouden de software kunnen bekijken en namaken. Ook zou de firma imagoschade leiden doordat vertrouwelijke informatie op straat ligt. Enkele buitenlandse klanten zouden al bestellingen hebben afgezegd. “De kruistocht van de stichting veroorzaakt schade aan Groenendaal.”

Daar staat, zoals de advocaat van de stichting Wij vertrouwen stemcomputers niet betoogde, de informatievrijheid tegenover:

De informatievrijheid weegt in dit geval zwaarder dan het auteursrecht, stelde de advocaat verder. “Het gaat om software die cruciaal is voor een van de belangrijkste processen in onze parlementaire democratie, namelijk het verkiezingsproces.”

Uitspraak 14 juni.

UPDATE: (14 juni) de stichting heeft het kort geding verloren en moet de software van haar site verwijderen.

Arnoud

Estland beschuldigt Rusland van DDOS aanvallen

Verschillende websites uit Estland, met name overheidssites, worden nu al een paar weken bestookt met verstikkingsaanvallen (DDoS-aanvallen), zo meldt Ars Technica. In Estland vermoedt men dat buurland Rusland er achter zit, omdat de aanvallen begonnen vlak nadat een Russisch oorlogsmonument vanuit het centrum van de Estse stad Tallinn naar een buitenwijk is verplaatst.

Estland is lid van de NAVO. Het is dus een prangende vraag of een cyberaanval te zien is als een militaire aanval, zo blogt ook SOLV. Want een gewapende aanval op één NAVO-lid verplicht alle andere NAVO-leden terug te slaan.

In de Guardian wordt de Estse minister van defensie geciteerd:

“At present, Nato does not define cyber-attacks as a clear military action. This means that the provisions of Article V of the North Atlantic Treaty, or, in other words collective self-defence, will not automatically be extended to the attacked country,” said the Estonian defence minister, Jaak Aaviksoo.

“Not a single Nato defence minister would define a cyber-attack as a clear military action at present. However, this matter needs to be resolved in the near future.”

Op ISPam.nl vond ik het volgende geruststellende citaat:

Mikko Hyppönen, Chief Research Officer van F-Secure weet nog net zo niet en verwacht dat er botnets gebruikt zijn, waarin mogelijk ook Russische overheids computers als zombie PC dienst deden. Het is volgens hem daarom niet zomaar te stellen dat de Russische overheid achter de DDOS aanvallen zit.

Update (25 januari 2008) het was een Estse student. Meer details bij Ars Technica.

Arnoud

Blik in de cockpit van een zombienetwerk

Beveiligingsbedrijf Panda Software heeft een verzameling van meer dan tienduizend gekraakte computers ontdekt die vanuit een centrale pagina beheerd kan worden, zo las ik op Tweakers.net :

De installatie van Zunker – zoals het pakket heet – werd ontdekt tijdens onderzoek naar een virus. Het netwerk bleek voor 95% in Duitsland te staan en gebruikt te zijn om meer dan 1,8 miljoen spamberichten te versturen. Hoewel het relatief gezien geen groot netwerk is, viel het meteen op hoe netjes en gebruiksvriendelijk de software in elkaar steekt: het verzamelt uitgebreide statistieken over zijn slaven, zoals het land van herkomst, de hoeveelheid werk die ze verzetten en zelfs welke virusscanner ze draaien (hoewel die feature niet echt lijkt te werken). De bots nemen regelmatig contact op met hun meester om te laten weten dat ze hem nog kunnen dienen; op het moment van ontdekking bleek dat nog de helft van de zombies strijdklaar was.

Zombie-netwerken als deze zijn verantwoordelijk voor ongeveer 90% van alle spam die op het Internet circuleert.

Arnoud

OPTA beboet ‘wardrivende’ spammer

Het Nederlandse bedrijf ID2001 moet een boete van 55.000 euro betalen voor het verspreiden van ongewenste reclamemailtjes, zo meldt onder andere Computable. Deze zeer hoge boete (slechts eenmaal werd een hogere opgelegd) voor spam werd onder andere veroorzaakt door het ‘wardriven’, het door een woonwijk rijden en meeliften op andermans onbeveiligde draadloze netwerken. En dat is verboden.

Arnout Veenman van ISPam.nl weet meer:

De reden dat de boete zo hoog is, heeft te maken met het feit dat de spammer over een langere periode zat te spammen. Terwijl deze al in een redelijk vroeg stadium een waarschuwing van OPTA had ontvangen, maar deze in de wind sloeg. Verder wordt het de spammer ook aangerekend dat hij een gefingeerde identiteit gebruikte en niet in ging op verzoeken van consumenten om geen berichten meer te ontvangen.

Klachten over spam kun je overigens kwijt op Spamklacht.nl. Klachten via deze site zetten de OPTA op het spoor van deze spammer.

Arnoud

Suske en Wiske en de Sinistere Site

Suske en Wiske gaan Nederlandse scholieren veilig leren internetten, zo meldt NU.nl. Dat is op zich een aardig idee, maar is het echt zo nieuw? Al in december 2005 kregen Belgische scholieren dit boekje.

Op Suske en Wiske op het WWW lees ik:

Suske en Wiske en de Sinistere Site Het verhaal draait om een tovenaar, Zwanzerik, die kinderen via een betoverde site naar zich toe lokt. Ook Wiske trapt in de val en wordt het internet in geflitst. Haar vrienden reizen Wiske achterna om haar uit de handen van de tovenaar te redden. Aan de hand van de avonturen die de striphelden beleven worden de gevaren van internet blootgelegd en wordt verteld hoe deze vermeden kunnen worden. Op de laatste 4 bladzijden van het album staan tips voor de kinderen.

Het boek is in ieder geval online te bestellen:

De prijs van een album bedraagt € 1,00 per stuk, de hoogte van de bijdrage in de administratie en verzendkosten is afhankelijk van uw bestelling (aantal exemplaren en leveringswijze). De albums worden in september geleverd.

Arnoud

Hoe herken je een fotograferende terrorist?

Kunst op de openbare weg mag je fotograferen of filmen. Maar dat gaat niet voor iedereen even makkelijk. Bruce Schneier komt met dit mooie filmpje over het filmen van bruggen en nucleaire reactors. Motto: je kunt je beter kleden als Amerikaanse toerist (met Hawaiishirt en grote camera) dan als Arabier als je dat van plan bent.

Arnoud

Vrijspraak in hoger beroep denial-of-service aanval

In hoger beroep is onlangs een man vrijgesproken van de aanklacht dat hij denial-of-service of verstikkingsaanvallen zou hebben uitgevoerd, zo meldt Solv. In november 2005 kreeg de man een geldboete opgelegd wegens het opzettelijk vernielen of onbruikbaar maken van een geautomatiseerd werk.

Planet legt uit:

De verdachte computerprogrammeur was door de grote hoeveelheid spam die hij ontving zodanig geïrriteerd dat hij de websites van de twee afzenders bombardeerde met mails, bestellingen en faxberichten. Dit maakte de bedrijven onbereikbaar via web en fax.

Het orderverwerkingssysteem raakte overbelast en werkte niet meer. De internetserviceprovider heeft ook nog eens het bedrijf afgesloten vanwege de grote hoeveelheden verkeer.

Tegenwoordig zou een aanval als deze letterlijk onder artikel 138b Wetboek van Strafrecht vallen als verstikkingsaanval, maar omdat het gebeurd was voor 1 september vorig jaar, en het artikel pas toen werd ingevoerd, mag hij daaronder niet vervolgd worden.

Onder de oude wet werd hij veroordeeld wegens het verstoren van de werking van het netwerk van de provider in kwestie. Dit is strafbaar onder artikel 161sexies Wetboek van Strafrecht. Maar bij deze aanval werden alleen de computers van de provider gestoord, en niet het Internet of een ander openbaar telecommunicatienetwerk. En het artikel eiste nu eenmaal dat je een openbaar netwerk stoort en niet alleen maar een lokaal netwerk dat daar aan hangt.

Een andere insteek is dat door de verstikkingsaanval de IP-adressen, E-mailadressen en/of internetwebsite van het slachtoffer niet meer bereikbaar waren. Het is namelijk ook strafbaar om gegegvens te vernielen of ontoegankelijk te maken. Vroeger heette dat “het onbruikbaar maken en ontoegankelijk maken van gegevens”. Als je nu deze IP-adressen, E-mailadressen en /of website als gegevens ziet, dan zou je kunnen zeggen dat deze onbruikbaar en ontoegankelijk gemaakt worden door een verstikkingsaanval.

Maar, zo oordeelt het Hof in haar arrest, dat is alleen het geval als die gegevens zelf zijn gewist, gemanipuleerd of veranderd. En dat is hier natuurlijk niet zo. De IP- en e-mailadressen zijn niet aangeraakt, dus daar is niets aan vernield. Ze waren alleen ontoegankelijk van buitenaf.

Niet elk onbruikbaar of ontoegankelijk maken daarvan [valt] onder de werking van artikel 350a van het Wetboek van Strafrecht. Dit is slechts het geval indien die gegevens zelf zijn gewist, gemanipuleerd of veranderd.

Uit de inhoud van het dossier en het verhandelde ter terechtzitting is daarvan niet gebleken. Integendeel, van aantasting van de IP-adressen, E-mailadressen en/of website van aangever was geen sprake; zij zijn onbruikbaar en ontoegankelijk geworden door de veelheid van berichten die er door toedoen van verdachte naar werden verzonden.

De verdachte werd dan ook vrijgesproken.

Arnoud

Utah wil porno via draadloze netwerken verbieden

Meeliften op andermans netwerk is strafbaar als computervredebreuk. Sinds 1 september 2006 ook als daarbij geen beveiliging wordt doorbroken. Computercriminelen zijn zo dus makkelijker aan te pakken.

Maar wat moeten we met de omgekeerde situatie: iemand zet zijn netwerk open, en allerlei onfrisse derden plegen misdrijven via dat netwerk? Moet je strafbaar zijn als je geen wachtwoord instelt? Dan houden nuttige diensten als FON snel op natuurlijk.

In de Amerikaanse staat Utah wordt gepleit voor het volledig verantwoordelijk houden van netwerkbeheerders voor wat er via hun draadloos netwerk gebeurt, zo meldt Security.NL:

“Als je voor een draadloos netwerk kiest, en iedereen maar toestaat om het te gebruiken, dan ben je daar verantwoordelijk voor, en moet je maatregelen nemen om te voorkomen dat minderjarigen van je dienst gebruik maken”, aldus Preston.

Het idee is dat netwerkbeheerders niet zomaar ongecontroleerd iedereen toegang mogen verschaffen, maar of een wachtwoord, of een filter moeten installeren op wat er gedaan kan worden met het netwerk. Ik heb het altijd raar gevonden dat de eis van een beveiliging werd afgeschaft in de Wet Computercriminaliteit, maar ja dat moest van Europa heet het dan. Mij lijkt een wachtwoord dan wel het minste.

Arnoud