Gesprekken met mobiele GSM telefoons zijn nooit anoniem (via Corcom)

CorCom Security Analysing blogt zeer uitgebreid over hoe gebruikers van GSM telefoons op te sporen zijn, en meteen ook maar hoe eenvoudig elk gesprek af te luisteren is.

Alle gesprekken die gevoerd zijn van of naar een bepaald toestel zijn gemakkelijk met elkaar in verband te brengen. Alle gesprekken die gevoerd zijn van of naar een bepaald nummer (prepaid of niet) zijn makkelijk met elkaar in verband te brengen. Ook alle gesprekken die gevoerd zijn van of naar een telefoon zijn in verband te brengen met alle andere gesprekken die ooit gevoerd zijn van of naar nummers van SIM-kaarten die ooit in die telefoon gezeten hebben, en met alle gesprekken op telefoons waar die kaarten dan weer in gezeten hebben, en naar alle nummers van SIM-kaarten enz.

Arnoud

Wie deze grappig vindt, is een nerd

Zoals altijd briljant maar wel voor een gespecialiseerd publiek: de nieuwe xkcd van Randall Munroe.

En nee, een dergelijke voornaam krijg je in Nederland er niet door voor je kind. Maar het is wel het probleem van de instantie met de databank als de spelling van je naam niet in hun systeem past, of erger nog daar gekke dingen doet.

Arnoud

Engelse wet kan verdachte dwingen om data te decrypten

In Groot-Brittannië is het sinds kort verplicht om gegevens onversleuteld te overhandigen aan de autoriteiten. Indien nodig moeten medewerking worden verleend aan het ontsleutelen van de gegevens, zo melden onder andere Security.nl en Tweakers.

Bedrijven en individuen die een ‘Section 49’-dwangbevel krijgen, zijn verplicht de decryptiesleutels te overhandigen of de voor onderzoek gewenste gegevens in plaintext te overhandigen. De Britse rechtshandhaving ziet zich naar eigen zeggen steeds vaker geconfronteerd met versleutelde data, wat de voortgang van onderzoeken belemmert. … Weigering om aan ‘Section 49’ te voldoen kan een gevangenisstraf van twee jaar opleveren of, als het onderzoek de staatsveiligheid betreft, zelfs vijf jaar.

Zo heel nieuw is dit niet, al is de Engelse wet wel relatief streng. Bij ons geldt al jaren een dergelijke verplichting om wachtwoorden aan de politie te geven. Artikel 125k Wetboek van Strafvordering bepaalt:

1. Voor zover het belang van het onderzoek dit bepaaldelijk vordert, kan indien toepassing is gegeven aan artikel 125i of artikel 125j tot degeen van wie redelijkerwijs kan worden vermoed dat hij kennis draagt van de wijze van beveiliging van een geautomatiseerd werk, het bevel worden gericht toegang te verschaffen tot de aanwezige geautomatiseerde werken of delen daarvan. Degeen tot wie het bevel is gericht, dient desgevraagd hieraan gevolg te geven door de kennis omtrent de beveiliging ter beschikking te stellen.
2. Het eerste lid is van overeenkomstige toepassing indien in een geautomatiseerd werk versleutelde gegevens worden aangetroffen. Het bevel richt zich tot degeen van wie redelijkerwijs kan worden vermoed dat hij kennis draagt van de wijze van versleuteling van deze gegevens.

Een uitzondering is wel lid 3: een bevel tot afgifte van sleutels of andere informatie over de beveiliging mag niet worden gegeven aan de verdachte.

Hoe waardevol zo’n beval in de praktijk zal zijn, moet nog blijken. Ten eerste, waarom zou iemand zijn wachtwoord afgeven als hij daardoor bewijs onthult van een misdrijf dat hij gepleegd heeft? Dan liever de cel in voor het niet afgeven van het wachtwoord.

Ten tweede zijn er genoeg technische oplossingen om het afgeven van zo’n wachtwoord zinloos te maken. Het bekendste voorbeeld is de plausible deniability van harddisk-encryptiesoftware Truecrypt. Met deze software kun je een hele partitie op de harde schijf versleutelen. Het bijzondere is dat je in zo’n versleutelde partitie een tweede partitie kunt opnemen die met een aparte sleutel versleuteld is. Alleen: zonder die aparte tweede sleutel is die tweede partitie niet terug te vinden. Hiermee kan de eigenaar van de harde schijf dus desgevraagd de eerste sleutel afgeven, waarna relatief onschuldige gegevens ontsleuteld worden, zonder dat de “echte” gegevens zichtbaar worden.

Arnoud

Hack uw concurrent – mag dat?

Voor bedrijven die hun concurrenten online te pakken willen nemen zijn er dan ook genoeg mogelijkheden, meldt Security.NL.

Wat te denken van het spammen van de concurrent z’n blog, zodat zoekmachines het blog slecht indexeren. Ervoor zorgen dat “sociale media” de URL van de concurrent bannen. Het kopiëren van RSS content en dan snel zelf online plaatsen, het gebruik van 301 redirects, DoS-aanvallen, clickfraude, AdSense misbruik en het manipuleren van de rating binnen zoekmachines.

In de VS is wetgeving om misbruik tegen te gaan, aldus het artikel. En in Nederland? Sommige voorbeelden zijn evident computercriminaliteit, dus daar ga ik niet op in. De moeilijke gevallen:

Spammen namens de concurrent<BR/> Al langer bekend in e-mail (de joe job) maar kennelijk nu ook op websites. Spam alle mogelijke forums vol, zogenaamd uit naam van je concurrent en met links naar diens site. Zo maak je een hoop mensen boos – op die concurrent. En met een beetje geluk ziet Google zijn site nu ineens voor een spamvertised site aan en gaat ‘ie lager in de index.

Een aanverwante truc is de site van de concurrent te spammen op sociale sites als Digg, Reddit of NUjij. Als dat te vaak gebeurt, wordt deze door de site geblokkeerd en kan niemand meer artikelen van die site nomineren.

Dit is waarschijnlijk te zien als valsheid in geschrifte (art. 225 Wetboek van Strafrecht):

het valselijk opmaken of vervalsen van een geschrift dat bestemd is om tot bewijs van enig feit te dienen, met het oogmerk om het als echt en onvervalst te gebruiken of door anderen te doen gebruiken

Een elektronisch document is ook een “geschrift”. Andermans naam invullen is “valselijk opmaken” van het geschrift. En de bedoeling daarvan is de hele wereld te laten denken dat die ander het heeft geschreven.

Je zou ook kunnen denken aan oplichting (art. 326 Wetboek van Strafrecht):

met het oogmerk om zich of een ander wederrechtelijk te bevoordelen,
– hetzij door het aannemen van een valse naam of van een valse hoedanigheid,
– hetzij door listige kunstgrepen,
– hetzij door een samenweefsel van verdichtsels,
iemand beweegt tot de afgifte van enig goed, tot het ter beschikking stellen van gegevens met geldswaarde in het handelsverkeer, tot het aangaan van een schuld of tot het teniet doen van een inschuld

Alleen is dan de vraag wie er wordt aangezet tot het afgeven van die goederen of dat geld. En wat wordt er afgegeven?

De site-beheerder (of de stemmende gebruikers) kunnen misschien nog betogen dat ze bedrogen zijn (art. 3:44 Burgerlijk Wetboek):

het iemand aanzetten tot een rechtshandeling door enige opzettelijk daartoe gedane onjuiste mededeling, door het opzettelijk daartoe verzwijgen van enig feit dat de verzwijger verplicht was mede te delen, of door een andere kunstgreep.

Maar dat is geen strafbaar feit! Het is een reden om een overeenkomst (contract) te kunnen vernietigen. Hiermee kan de site bijvoorbeeld een gebruikersaccount opheffen als blijkt dat de gebruiker een valse naam heeft ingevuld. Jezelf registreren bij een site is tenslotte een overeenkomst, inclusief gebruiksvoorwaardenf waar je mee akkoord moet gaan.

Als bij zo’n actie de merknaam van het bedrijf wordt gebruikt, is dat soms te zien als merkinbreuk: afbreuk doen aan de reputatie van het merk.

Duplicaat content
Zoekmachines zijn allergisch voor gedupliceerde content. Met allerlei algoritmes worden pagina’s herkend die te veel op elkaar lijken, zodat alleen het ‘origineel’ getoond wordt bij de zoekresultaten. Maar ja, wat is het origineel? Precies, en daar kun je misbruik van maken: kopieer de site van je concurrent een paar keer, zorg dat de kopie aandacht krijgt, en daar gaat het origineel.

Inbreuk op auteursrecht. Duh.

Adsense sabotage
Google’s Adsense programma is berucht hypergevoelig als het gaat om klikfraude. Klik te vaak op de advertenties op je eigen site, en hop je ligt er uit. De mogelijkheden voor misbruik bij de site van de concurrent laat zich raden. Vooral omdat Google niet in discussie gaat over uitsluiting wegens fraude.

Dit is de lastigste. In principe is er niets mis met veel klikken op een advertentie. Maar hier is het doel natuurlijk niet netjes: je wilt een inkomstenbron van je concurrent saboteren. Dat lijkt me juridisch niet in de haak, al zou ik zo gauw geen wetsartikel weten. Gelukkig hebben we in Nederland dan altijd nog het grote kapstokartikel: strijd met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt (6:162 BW).

Arnoud

Bankoverval opgelost dankzij pinbetaling

Een opmerkelijk stukje ICT-recht. In december 2005 werd een bank in Oosterhout overvallen. Nee, geen computercriminaliteit maar op de ouderwetse manier. Alleen verloor een van de overvallers zijn portemonnee, met daarin zijn rijbewijs, bankpasjes en identiteitsbewijs. Nee, ik verzin het niet. Hij was dan ook snel opgespoord. Hij had ook snel een excuus: die portemonnee was hij verloren, en wellicht had de echte overvaller deze gevonden en (al of niet opzettelijk) bij de overval achtergelaten.

Het Gerechtshof was daar snel klaar mee: “de suggestie dient als volstrekt onwaarschijnlijk van de hand te worden gewezen.” En hier komt het ICT-aspect van de zaak: met die bankpasjes was de recherche bij de bank langsgeweest met een bevel (art. 126nd Strafvordering) tot inzage in de bankrekening die bij dat pasje hoorde.

Uit het vervolgens door de [bank] verstrekte rekeningoverzicht blijkt dat door verdachte op 20 december 2005 bij de bouwmarkt Karwei te ‘s-Hertogenbosch een pinbetaling was verricht (p. 33) ten behoeve van – zo bleek na onderzoek – de aanschaf van tie-rips; uit nader onderzoek bleek vervolgens dat die door de verdachte aangeschafte tie-rips in kleur en afmetingen overeenkomst vertoonden met de tie-rips die bij de overval waren gebruikt om de bankmedewerkers mee te knevelen.

De verdachte kreeg drie jaar cel. De portemonnee met inhoud kreeg hij trouwens wel netjes terug.

Arnoud

iPhone unlocken in Nederland: is het legaal? (Deel 3)

En daar zijn we dan: deel drie van de serie bij Macwereld over de (il)legaliteit van het unlocken van de iPhone.

In de eerste twee delen bespraken we het SIM unlocken van telefoons in het algemeen, en het activeren van de iPhone. In dit derde en laatste deel: de unlock zelf, en of het legaal is in Nederland.

Lees verder in iPhone unlocken in Nederland: is het legaal? (deel 3) bij macwereld.nl.

En nee, het is niet zo simpel als ik eerder riep: de iPhone heeft geen simlock zoals gewone GSM’s. Het is legaal om simlocks van GSM’s te verwijderen, omdat dat simpelweg codes zijn die je moet intoetsen en dan wordt de sim-controle uitgeschakeld. Allemaal voorgeprogrammeerde functionaliteit, de enige truc is uiteindelijk hoe je aan die code komt. Bij de iPhone moet je heel wat meer doen, en dat is juridisch een stuk ondeugender allemaal.

UPDATE: (28 september) via Macwereld nog de mededeling dat de nieuwste firmware van Apple alle benodigde technische trucs ongedaan maakt. Mooi is dat!

Arnoud

Nieuw op Iusmentis: Het verwijderen van simlocks bij mobiele (GSM) telefoons

Naar aanleiding van mijn eerste artikel op Macwereld schreef ik dit artikel over simlocks.

De simlock van een GSM verwijderen (“unlocken”) is legaal. Sterker nog, een provider is verplicht om na één jaar de telefoon simlock-vrij te maken als de klant daarom vraagt. Firmware hacken mag echter niet.

Een mobiele telefoon (GSM) met simlock is geprogrammeerd om alleen met SIM-kaarten van één bepaalde telecomaanbieder te werken. De klant kan zo niet overstappen naar een andere aanbieder met die telefoon. Dankzij deze techniek worden mobiele telefoons vaak gratis of goedkoop aangeboden bij een abonnement of prepaid toegang. De provider kan de kosten van de telefoon terugverdienen met de gesprekskosten.

In Nederland moet een simlock één jaar na aanschaf verwijderd worden door de provider (gratis!) als de klant daarom vraagt. Mensen doen dit ook wel zelf, met op internet gevonden codes, of schakelen een bedrijf in om hun toestel simlock vrij te maken. Dit soort unlocken is legaal maar gebeurt natuurlijk wel op eigen risico. Het laten aanpassen of vervangen van de firmware (de software in de telefoon) is daarentegen illegaal, want het schendt het auteursrecht.

Lees verder in Het verwijderen van simlocks bij mobiele (GSM) telefoons (in Beveiliging @ iusmentis.com).

Arnoud

Phishing-bestrijders krijgen donaties van phishers

Wat doe je als je als oplichter last hebt van een groep mensen die jou probeert te laten stoppen? Die geef je een deel van je inkomsten.

Via Slashdot vond ik een blogpost in de Washington Post over een groep phishers die de vrijwilligers-groep Castlecops het leven zuur maakt. De truc: doneer een deel van je gestolen geld aan Castlecops, zodat zij er op worden aangekeken als de transactie wordt getraceerd.

The unauthorized contributions all came in via PayPal, the online payment service owned by eBay. Some were sent via PayPal accounts that attackers had hijacked in phishing scams; others were submitted through PayPal’s e-check option using compromised checking account numbers. A few donations were for as little as $1, while other fake donations ranged as high as $2,800.

To the victims of the stolen PayPal accounts, it looks as if CastleCops is the one stealing their money, when in reality, it’s the attackers. Also, the fraudulent activity seeks to ruin their relationship with PayPal.

Via Security.NL nog de reactie van Gunter Ollmann, directeur Security Strategy bij IBM:

“Ik geloof dat het resultaat van deze acties is dat buitenstaanders CastleCops als belangrijk zien, en dat er meer werk verricht moet worden om het internet een veiligere plek te maken.” Ollmann sluit zelfs niet uit dat als de mensen wiens creditcard misbruikt is zien waar de website voor staat, ze juist besluiten om te doneren.

Arnoud

Bewakers bewaakt: de opkomst van de Sousveillance-cultuur (bij Livre)

Een mooi artikel op Livre: Bewakers bewaakt: de opkomst van de Sousveillance-cultuur. Cameratoezicht is ondertussen een bekend (en soms zorgelijk) verschijnsel.

Volgens Edwin Mijnsbergen lijkt het erop dat er een soort tweedeling ontstaat in de samenlevingen die worden geconfronteerd met het alsmaar toenemend cameratoezicht. Een grote groep lijkt de alomtegenwoordigheid van spiedende camera’s zonder morren te willen aanvaarden, maar er is ook een groep die zich wel degelijk zorgen maakt over de ontwikkelingen. Een nieuw verschijnsel zijn zij die zich vol overgave storten op een verschijnsel dat ‘sousveillance’ genoemd wordt: bewaking vanaf de onderkant.

Arnoud

De vijf beste scripties over informatiebeveiliging

Security.NL bericht over de vijf nominaties voor de Joop Bautz Information Security Award.

Al enkele jaren wordt door het PvIB, ISACA, NOREA en ECP.NL binnen het vakgebied informatiebeveiliging een award uitgereikt aan de student(en) met de beste scriptie op het gebied van informatiebeveiliging.

De vijf genomineerden zijn:

Arnoud