Fundamenteel ingrijpen is nodig voor Nederlandse digitale veiligheid

Geplaatst op in Informatiemaatschappij, 22 reacties

De Nederlandse aanpak van digitale veiligheid moet snel en fundamenteel veranderen om te voorkomen dat de maatschappij ontwricht raakt door cyberaanvallen. Dat concludeert de Onderzoeksraad voor Veiligheid in het recent gepubliceerde rapport ‘Kwetsbaar door software’. Nadat het Citrix-lek eind 2019 de kop opstak, maakten aanvallers daar grootschalig gebruik van. De verdediging hiertegen verliep gebrekkig, onder meer door beperkte informatie en trage alerts. Dat moet anders.

(Ik zat in de begeleidingscommissie.) Veilige software is allereerst de verantwoordelijkheid van de fabrikant. De Onderzoeksraad stelt dat fabrikanten meer zouden moeten investeren om de veiligheid van software voortdurend te verbeteren. Fabrikanten overstelpen softwaregebruikers nu met patches en updates om gebreken in hun software te verhelpen zonder met structurele oplossingen te komen. Er zijn geen instrumenten die afnemers van software onafhankelijk inzicht bieden in de veiligheid van de software.

Het is volgens de Onderzoeksraad tevens van groot belang dat er vanuit de overheid een centrale aanpak komt om dreigingen te signaleren en alle potentiële slachtoffers van cyberaanvallen zo snel en direct mogelijk te waarschuwen, met voldoende mandaat en wettelijke waarborgen. Dit is natuurlijk een reactie op de destijds beperkte opstelling van het NCSC, dat alleen overheidsdiensten en vitale organisaties mocht waarschuwen onder de wet. Tegelijk zie ik ook wel hoe dit heel lastig is, hoe vind je immers álle potentiële slachtoffers van bijvoorbeeld de log4j problemen?

De Onderzoeksraad doet de aanbeveling om op Europees niveau kwaliteitseisen aan software te stellen om softwarefabrikanten te dwingen verantwoordelijkheid te nemen voor de veiligheid van hun product. De Onderzoeksraad adviseert overheden en het bedrijfsleven hun krachten te bundelen. Door samen te werken kunnen ze hun positie richting softwarefabrikanten versterken en hun schaarse expertise beter benutten.

Arnoud

Man (19) opgepakt voor het verkopen van valse QR-codes via sociale media

Geplaatst op in Informatiemaatschappij, Regulering, 18 reacties
OpenClipart-Vectors / Pixabay

Agenten hebben woensdagmiddag een negentienjarige man uit het Brabantse Riel opgepakt vanwege het aanbieden van valse QR-codes voor het coronatoegansbewijs op sociale media, las ik bij Nu.nl. Hij wordt verdacht van valsheid in geschrifte, wat vele lezers opmerkelijk vonden want hoezo is een QR code een “geschrift”? Die term gaat toch over voor mensen leesbare geschriften? Nou, niet perse.

De politie kwam de man op het spoor dankzij misdaadverslaggever en programmamaker Kees van der Spek. Die had de aanbieding van de verdachte voorbij zien komen op sociale media. En het komt natuurlijk vaker voor, dat er wordt gehandeld in valse QR codes. Dus logisch dat men hier bovenop zit. Maar is het strafbaar?

Valsheid in geschrifte staat in artikel 225 Wetboek van Strafrecht:

Hij die een geschrift dat bestemd is om tot bewijs van enig feit te dienen, valselijk opmaakt of vervalst, met het oogmerk om het als echt en onvervalst te gebruiken of door anderen te doen gebruiken, wordt als schuldig aan valsheid in geschrift gestraft, met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie.
De HR leest de term “geschrift” breed. In een zaak uit 2016 werd het namaken van streepjescodes gezien als valsheid ingeschrifte. Dit was ingegeven door deze opmerking van de wetgever bij een recente herziening van het strafwetsartikel:
Een geschrift is een weergave van al dan niet dadelijk leesbare tekens die in min of meer duurzame vorm zijn vastgelegd. Het begrip tekens dient ruim opgevat te worden; een codesysteem dat met behulp van een decoderingssysteem kan worden gelezen, valt ook hieronder.
De voornaamste vraag is of de codes bestemd zijn om als “echt” te dienen. In die zaak uit 2016 was dat zo: de verdachte had nep-prijskaartjes met streepjescodes gemaakt om zo bij de bouwmarkt goedkoper af te kunnen rekenen. Dan wil je dus dat de winkel de kaartjes als echt beschouwt, hoewel ze dat niet zijn.

Als een streepjescode een “geschrift” is, dan is een QR code dat voor mij ook. Het maakt daarbij niet uit dat de QR code alleen op een scherm staat en niet op papier, zoals die prijskaartjes.

Arnoud

Hebben universiteiten nu een AVG-probleem met die Proctorio hack?

Geplaatst op in Privacy, 23 reacties

Vele tienduizenden Nederlandse studenten zijn maandenlang gemakkelijk te hacken geweest, omdat hun opleiding hen verplichtte onveilige antispieksoftware te installeren. Dat meldde RTL Nieuws onlangs. Criminelen kunnen de software van Proctorio misbruiken om mee te gluren met de webcam en opnames te maken, of om toegang te krijgen tot online accounts, zoals je e-mail, betaaldiensten of crypto (de zogeheten online wallet). Diverse studerende lezers vroegen me: heeft mijn universiteit of hogeschool nu een AVG probleem, en moeten ze nu stoppen met Proctorio?

We hebben het eerder gehad over proctoring-software, die sinds de coronacrisis breed ingezet werd. Het argument daarbij was klassiek het privacy argument: studenten moeten zichzelf digitaal blootgeven in hun huisomgeving om vermoedens van fraude uit te sluiten. De rechter is daarin niet meegegaan: fraude bij tentamens is ernstig, het gaat maar om enkele uren per tentamen dus hoe erg is dat nou helemaal. (Bovendien, hoe moet het dan bij tentamens van 300 man.)

De onderliggende aanname is dan – zoals wel vaker – dat de software an sich veilig is en doet wat ie belooft. IT’ers beginnen nu te lachen, en die snap ik ook want als er iets is dat we de afgelopen vijf jaar hebben geleerd dan is het wel dat alle software lek is, onbedoelde features heeft en als je niet uitkijkt wordt ingezet om persoonsgegevens te harvesten voor ontwikkeling van diverse AI’s.

Deze hack is in zoverre een AVG probleem dat de inzet van proctoring software onder de AVG gerechtvaardigd moet worden, en bekend onveilige software voldoet natuurlijk niet. Het Proctorio lek is ondertussen alweer gedicht zo lees ik, waardoor er dus eigenlijk geen AVG issue meer zou moeten zijn. Natuurlijk kunnen er meer lekken zijn (alle software is immers lek) maar zonder specifieke aanwijzingen denk ik niet dat je hier wat mee kunt.

Arnoud

Facebook schendt de Mededingingswet met… gifjes?!

Geplaatst op in Ondernemingsvrijheid, 6 reacties

Helemaal vergeten: de Britse mededingingsautoriteit (CMA) heeft Facebook bevolen de overname van gifjessite Giphy terug te draaien, aldus Ars Technica een tijdje terug. Dit omdat deze “would reduce competition between social media platforms and [] has already removed Giphy as a potential challenger in the display advertising market.” Omdat Giphy zo populair is als platform, wil “iedereen” hier van gebruik maken, waardoor Facebook meer macht heeft over de concurrentie. Wat de vraag opriep: dit zijn twee Amerikaanse bedrijven, wat heeft een Britse overheidsdienst daarover te zeggen?

Dit is natuurlijk de aloude discussie in het internetrecht, wie is bevoegd op internet. Het ietwat onbevredigende maar denk ik meest juiste antwoord is “iedereen tegelijk, alleen is de vraag hoe hard je je bevoegdheid af kunt dwingen”. Vrijwel alle andere oplossingen zijn gebaseerd op één criterium – waar de server staat, waar je bedrijf ingeschreven staat, waar de bestuurder feitelijk woont – en daar is altijd omheen te programmeren. Maar onthoud: als je een wet kunt omzeilen met een handige ICT-truc, dan heb je óf de wet niet goed begrepen óf komt er een lompe patch op de wet die jouw truc met veel collateral damage ongedaan maakt.

In dit geval is de ingreep wel te begrijpen, omdat Facebook de helft van de advertentiemarkt in de UK controleert en dus daar enorm machtig is. Waar het hoofdkantoor dan zit, is niet relevant. Een partij die zo veel macht heeft, die krijgt gewoon de mededingingswet over zich heen. En een gelukkige bijkomstigheid is dat dat ook echt afgedwongen kan worden, omdat Facebook een vestiging in Londen heeft. Trucs als andere bedrijven beboeten omdat ze op Facebook adverteren zijn dan niet eens nodig.

De kern van het probleem is dat Giphy verreweg de grootste is met hun gifjesdatabank. Iedere berichtendienst wil dus graag daar op aansluiten, en omdat Facebook die infrastructuur controleert kunnen zij dan beperkingen introduceren of zelfs mensen weigeren. Oeps, sorry Telegram helaas hebben we technische problemen de komende twee jaar. Facebook stelde daar wel toezeggingen tegenover (een redelijk geprijsde whitelabel toegang voor vijf jaar gegarandeerd) maar dat zijn mooie woorden, geen structurele oplossingen. Oeps moet niet mogelijk zijn.

Het is nog niet duidelijk wat Facebook gaat doen, maar simpelweg negeren is geen optie in deze situatie. Iedereen zit met veel interesse te kijken, want dit zet een precedent over hoe je de grote techbedrijven met het grof geweld van het mededingingsrecht kunt aanpakken.

Arnoud

OM eist 5 jaar van winkelier die breekijzer verkoopt, pardon tegen leverancier PGP Safe-telefoons

Geplaatst op in Regulering, Security, 19 reacties

Het Openbaar Ministerie heeft een gevangenisstraf van vijf jaar geëist tegen een 56-jarige Huizenaar die wordt verdacht van het leveren van versleutelde PGP Safe-telefoons. Dat meldde Security.nl onlangs. Ik kreeg er veel mails over: bij de GAMMA koop je toch ook breekijzers, zaklampen en handige rugzakken, hoezo zijn die dan niet aansprakelijk als inbrekers daar inslaan en de buurt leeghalen? Wat is het verschil tussen een cryptofoon en een breekijzer, juridisch gezegd?

Er staat al een belangrijke hint in het artikel: de verdachte wist dat zijn producten en diensten vooral door criminelen bij strafbare feiten werden gebruikt, aldus het Openbaar Ministerie. En dat maakt het wel anders dan een bouwmarkt die wellicht een strafbaar feit kan vermoeden als iemand loog, een plastic badkuip en grote vuilniszakken komt kopen. Die kán daaruit wel vermoeden dat hier een misdrijf gepland wordt, maar echt zekerheid heb je niet.

Als je het echt wéét, dan wordt het een ander verhaal. We komen dan bij medeplichtigheid terecht namelijk (art. 48 Sr), in de vorm van opzettelijk gelegenheid, middelen of inlichtingen verschaffen tot het plegen van het misdrijf. Als de bouwmarktklant dus vraagt, hoe maak ik het beste een lijk weg, en de winkel wijst op de hierboven genoemde producten, dan is de winkel strafrechtelijk een medeplichtige wanneer dat misdrijf ook werkelijk wordt gepleegd.

Weinig criminelen zullen in zo’n situatie echter letterlijk zeggen “ik wil een lijk wegmaken kunt u helpen”, precies om deze reden. En bij de bouwmarkt is “ik ben een huis aan het opknappen, de badafvoer is volkómen verstopt” natuurlijk een reële reden om loog en een badkuip te kopen.

Voor cryptofoons valt eenzelfde redenering ook op te zetten, er zijn genoeg redenen om zo’n ding te hebben. Industriële spionage, persoonlijke veiligheid, het leuk vinden om zoiets te hebben, bezorgd zijn over tracking door Google of Apple, noem ze maar op. Enkel verkopen van zo’n product maakt dus zeer zeker niet dat je medeplichtig bent, zelfs niet als de koper als naam een bekende crimineel opgeeft.

In januari blogde ik over een VPN-dienst die door Justitie werd aangepakt wegens medeplichtigheid. Het ging om een vpn aanbieder die nadrukkelijk zichzelf profileert als handige dienst voor criminelen, bijvoorbeeld door te adverteren op hackfora en andere plekken waarvan bekend is dat crimineeltjes (‘scriptkiddies’ en dergelijke) er actief zijn. Ook zouden reclameberichten nadrukkelijk wijzen op het niet gevonden kunnen worden door opsporingsdiensten.

Eenzelfde argumentatie zou hier moeten opgaan. De vraag is natuurlijk waaruit dat “daadwerkelijk weten” gaat blijken, dat zullen we als bewijs naar voren zien komen in de rechtszaak. Ik ben benieuwd, hebben jullie ideeën?

Arnoud

 

 

Leestip: Van artificial intelligence tot zoekmachine #legaltechtuesday

Geplaatst op in Iusmentis, nog geen reacties

Legal tech, het is een van de grootste hypewoorden de laatste jaren. Technologie om de juridische sector te ondersteunen, maar vooral te transformeren. Van dossierdoorspitsoftware tot intakechatdiensten of zelfs automatisch bezwaar makende bots. Met ons nieuwste boek Van artificial intelligence tot zoekmachine leert u er alles over.

De klassieke advocaat die uit het blote hoofd pleit en dossiers nog weegt, moest maar uitkijken: de pleitrobot stond zich warm te draaien in de coulissen. Dat voorspelden vele hype-artikelen over de toepassing van technologie in de juridische sector. Zo ver is het nog niet en zal het wat ons betreft ook niet komen. Legal tech gaat ons vele veranderingen brengen, maar op een heel andere manier dan we denken.

Legal tech is gericht op het transformeren van juridische processen. Een contract wordt niet gemaakt met een tekstverwerker maar met een wizard, die op basis van vragen automatisch de juiste clausules invoegt op de juiste plaats, en aanpassingen doet waar nodig. Dat is niet alleen maar makkelijker, dat is een heel andere manier van werken. In deze situatie is geen ervaren advocaat meer nodig om iedere clausule op basis van unieke kennis bij te schaven. Iedereen kan hiermee werken.

En we gaan nog een stap verder: transformatie van het inhoudelijk werk zelf. Een stap terug doen van dat proces: moet er echt wel een contract komen met die clausules? Gáát het wel om het doorploegen van dat dossier? Waar zijn wij nou helemaal mee bezig, om met een oude reclameslogan te spreken.

Deze transformatie gaat ook zorgen voor een nieuwe manier van werken. Want wanneer een contract samenstellen een kwestie is van standaardkeuzes maken, dan kun je die keuzes efficiënter uitvragen dan wanneer elk contract als maatwerk geschreven moet worden. Je kunt dan nieuwe manieren van kiezen invoeren: denk aan automatisch escaleren van lastige kwesties naar de juiste persoon, het voorschrijven van alternatieven en het routeren van resultaten naar de mensen die dat moeten weten. Dat is de belofte van legal tech.

In ons boek leest u er alles over! Vanaf vandaag verkrijgbaar.

Arnoud

Apple hoeft van rechter voorlopig geen alternatieve betaalmethodes toe te staan

Geplaatst op in Ondernemingsvrijheid, nog geen reacties

Apple hoeft voorlopig toch geen alternatieve betaalsystemen in de App Store op iOS aan te bieden, meldde Tweakers onlangs. Het bedrijf mag van de rechter het hoger beroep afwachten in de zaak tegen Epic Games. Daarmee is de eerdere gerechtelijke plicht tot het toelaten van alternatieven vooralsnog van tafel: “[Apple] mag hierbij permanent ontwikkelaars niet meer weerhouden van het gebruiken van knoppen, externe links en andere oproepen om klanten naar andere aankoopmethoden te begeleiden.”  Maar de zaak is zeker nog niet afgerond.

Bij Tweakers was er wat verwarring over welk “Hof van Beroep” (de Vlaamse term voor een hogerberoepsrechtbank) hier bedoeld werd, maar het is dus de Amerikaanse Court of Appeals for the 9th Circuit die deze Order uitsprak. De reden voor het tegenhouden van die plicht is procedureel. Apple moet een heleboel investeren om mogelijk te maken dat dergelijke knoppen en dergelijke mogelijk worden, en als in hoger beroep het vonnis ongedaan gemaakt wordt, dan was dat allemaal voor niets.

De Order schort het werk dus op tot het hoger beroep is bepaald. Dat wil niet zeggen dat de kans op winst van Epic nu klein geworden is (haha epic win), het Hof wil gewoon niet vooruit lopen op haar einduitspraak.

Ondertussen staat Apple al wel toe om hyperlinks naar externe betaalsystemen mogelijk te maken, dit op last van zowel de Amerikaanse rechter als de Japanse Fair Trade Commission. Dat is al een stapje deze kant op, maar hier zitten natuurlijk veel minder haken en ogen aan: een hyperlink haal je zo weer weg als je dat mag als platformaanbieder.

Dit is dan ook de volgende slag in de oorlog om de platformmacht: wie mag bepalen wat er kan en mag op een platform? Het antwoord “Apple bouwt en dus Apple beslist” voldoet daarbij al lang niet meer, deze platforms zijn zó groot en onvermijdelijk dat de maatschappelijke belangen mee moeten gaan wegen. Dat is het zure van een zeer machtige partij zijn, je verliest een stukje autonomie door de sterkste te worden.

Arnoud

 

YouTube deelde in half jaar 2,2 miljoen onterechte auteursrechtenclaims uit

Geplaatst op in Intellectuele rechten, 13 reacties

Ruim 2,2 miljoen YouTube-video’s hebben in de eerste helft van dit jaar ten onrechte een auteursrechtenclaim gekregen, aldus Nu.nl. Tweakers zegt het nog heftiger: 60 procent van 3,7 miljoen betwiste copyrightclaims was onterecht. De algehele indruk: het gaat goed mis met die auteursrechtclaims, als je het transparantierapport van Youtube rondom auteursrechtclaims leest. Maar eh, die 3,7 miljoen vormen slechts 0,5 procent op het totaal van 722,7 miljoen via Content ID ingediende claims op het videoplatform. Dus 60% van 0,5% blijkt onterecht. Doet Youtube het dan goed of slecht?

Youtube gebruikt al vele jaren het Content-ID systeem voor het detecteren van vermeende auteursrechtinbreuk:

Video’s die naar YouTube worden geüpload, worden vergeleken met een database met bestanden die contenteigenaren aan ons hebben verzonden.

Auteursrechteigenaren besluiten wat er gebeurt wanneer videocontent op YouTube overeenkomt met een werk waarop zij het recht hebben. Als er een overeenkomst wordt gevonden, krijgt de video een Content ID-claim.

Regelmatig lezen we over problemen met Content-ID, vrijwel altijd gaat dat dan over onterechte matches (vals positieven) of over gevallen waarin bijvoorbeeld een parodie of ondergeschikt gebruik speelt. De dansende peuter is denk ik de bekendste case hier: een peuter die vrolijk danst op muziek van Prince werd offline gehaald, vanwege inbreuk. Maar zoiets is toch fair use?

Daarom heeft Youtube het systeem van counterclaims geïntroduceerd: ben je het niet eens met een claim van een rechthebbende, dan dien je een tegenclaim in en dan kun je uitleggen waarom het wél legaal is wat je doet. De rechthebbende moet dan zijn claim intrekken of besluiten deze te handhaven, waarna het naar de rechter zou gaan.

Probleem is dat in de praktijk het claimen vrijwel geheel automatisch gebeurt, zodat discussie met fair use argumenten geen enkele zin heeft. Daarnaast is er een serieus risico: als de rechthebbende de claim handhaaft, krijg je een strike en bij drie strikes in een jaar ben je je kanaal kwijt. Dan moet je dus naar de (Amerikaanse) rechter om de claim omver te krijgen (want pas dan wordt je strike vernietigd). En wie heeft daar het geld voor?

Voor een rechthebbende is er vrijwel niets te verliezen als ze de claim gewoon handhaven, ongeacht de argumenten. Het verbaast me dus niet echt dat er maar zo weinig counterclaims zijn, de risico’s zijn groot en de video weghalen / opnieuw uploaden zonder die muziek of videoflits is een stuk slimmer.

Arnoud

Kun je miljoenen eisen van de Staat voor GGD-datalekken?

Geplaatst op in Privacy, 19 reacties
stevepb / Pixabay

De miljoenen slachtoffers van het datalek bij de GGD moeten honderden euro’s schadevergoeding krijgen, zo eist de stichting ICAM die een collectieve rechtszaak tegen het ministerie van Volksgezondheid is gestart. Dat meldde Security.nl onlangs. Eerder dit jaar bleek dat callcentermedewerkers van de GGD privégegevens van ruim 6,5 miljoen Nederlanders te koop aanboden via berichtendienst Telegram. De claim komt neer op 500 euro per potentieel getroffen persoon en €1500 voor bewezen lekken. Kan dat zomaar?

Massaclaims wegens privacyschendingen zijn een relatief nieuw begrip. Sinds de AVG staat vast dat je je schade vergoed kunt krijgen als je persoonsgegevens worden misbruikt of gelekt, maar het grote probleem is nog steeds wat die schade dan moet zijn. Een tientje is een bedrag dat iedere rechter wel zou willen toekennen denk ik, maar daarvoor ga je niet naar de rechter. Vijfhonderd euro is een logischer bedrag, maar dan kijken rechtbanken skeptisch: kunt u dat onderbouwen, het liefst met bonnetjes?

Bonnetjes komen bij zaakschade (de deuk in de auto van de collega) wel aan de orde, maar bij immateriële schade zoals potentiële problemen bij datalekken is dat niet echt een optie. Je zou echt concreet facturen van vervangen pinpassen moeten aandragen, een credit monitoring dienst of noem eens een optie – en daar zit hem het probleem, want wat kún je als je data gelekt wordt? Helemaal niets, en meestal merk je er ook niet (direct) iets van. En heel cru gezegd dan heb je dus geen schade.

Nee, daar klopt iets niet. En dan is het wel logisch om bedrijven bij de les te houden door dit soort claims. Vele kleintjes maken een grote, en hopelijk worden bedrijven die data lekken daar wél bang van. Daarom zijn dit goede stappen.

Natuurlijk is het wat lastig dat het hier gaat om een overheidsinstantie, namelijk de GGD. Stel dat die moet betalen, dan zal dat uit overheidsmiddelen gebeuren. En dan is het logisch te denken dat we dat volgend jaar terugzien in de belastingaanslag. Dus het sentiment “duurbetaalde advocaten pakken 20% van geld dat wij opbrengen” snap ik wel.

Zo direct kun je het wat mij betreft niet stellen. Het is zeker niet zo dat als de GGD een miljoen moet betalen, zij fluitend de hand ophouden bij Financiën die dan de tweede schijf 0,0001% verhoogt om het goed te maken. Eerder gaat dit uit het budget voor volgend jaar, of uit de reserves die de GGD zou hebben. Dat doet ook pijn want dan functioneert de gezondheidsvoorziening nog slechter.

Aan de andere kant: hoe moet je dan wél een overheid bij de les houden als grote groepen mensen schade (kunnen) leiden door hun wan-ICT?

Arnoud