Tag: Beveiliging

About Beveiliging

Subscribe Feeds

Is identiteitsdiefstal strafbaar?

Geplaatst op in Security, 55 reacties

rename-identiteit.pngRegelmatig krijg ik vragen over identiteitsdiefstal, met name van journalisten die op zoek zijn naar een sappige juridische quote. Nou geef ik die graag, maar in dit geval is dat wel moeilijk: ‘identiteitsdiefstal’ staat als zodanig niet in het wetboek van strafrecht namelijk. Andermans naam aannemen (met opzet of per ongeluk) is niet strafbaar. Pas als je daarmee dingen doet, zoals producten bestellen op diens naam of zijn reputatie beschadigen, kan het strafbaar worden.

Vaak wordt geroepen dat dit valsheid in geschrifte oplevert. Dat feit is inderdaad strafbaar: artikel 225 Strafrecht verbiedt het valselijk opmaken of vervalsen van geschriften, en dat geldt ook voor elektronische geschriften. Alleen moet dat geschrift wel bestemd zijn om tot bewijs van enig feit te dienen. En daar wringt vaak de schoen bij online valse geschriften.

In 2009 vond iemand het grappig een comment onder mijn naam te plaatsen. Die comment is geen valsheid in geschrifte, want die diende niet tot bewijs van wat dan ook. Dat was een mededeling, niet een akte of ander stuk dat als bewijs zou moeten dienen. Bij “tot bewijs dienen” moet je eerder denken aan een schriftelijk contract of een diploma.

Zo’n gebruik van je naam zou eventueel smaad of laster kunnen opleveren, omdat dit een poging is jouw eer of goede naam aan te tasten. Smaad is niet alleen “hij is een dief” maar ook een vervalst bericht met daarin “hallo ik ben een dief”.

Gebruik van iemands identiteit om bijvoorbeeld spullen te kopen of bestellingen te doen is natuurlijk wel strafbaar: dat is oplichting, artikel 326 Strafrecht, en dit artikel noemt expliciet “het aannemen van een valse naam” als grond om van oplichting te mogen spreken.

Ook andere gevolgen van identiteitsdiefstal kunnen strafbare feiten opleveren. Maar in alle gevallen geldt: er kan formeel pas iets worden gedaan nadat die gevolgen zijn ingetreden. Dat iemand je wachtwoord weet, of je BSN heeft overgeschreven, is nog geen grond om legale stappen te ondernemen. Pas als hij inlogt met je wachtwoord, of je BSN gebruikt om je belastingteruggaaf op zijn bankrekening te krijgen, kun je aangifte doen. Maar dan is de schade al opgetreden.

Een apart wetsartikel tegen identiteitsdiefstal an sich lijkt een goed idee. Alleen: hoe definieer je identiteitsdiefstal?

Arnoud

Opeisen van een mailbox na ontslag

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Security, 21 reacties

outlook-backup-pst.pngNadat de algemeen directeur van een arbeidsbemiddeling/trainingsbedrijf ontslag had genomen, merkte het bedrijf dat diverse medewerkers naar hetzelfde nieuwe bedrijf waren overgestapt als deze ex-directeur. Een onderzoek door -niet verbazingwekkend- Hoffman bedrijfsrecherche(*) ontdekte dat uit de e-mail postbus van de ex-directeur zeer waarschijnlijk bedrijfsinformatie was verwijderd, en mogelijk ook was gelekt (geforward). Daarop stapte het bedrijf naar de rechter om afgifte en vernietiging van alle bedrijfsinformatie te vorderen. Ook werd schadevergoeding gezocht omdat de ex-directeur de Outlook-installatie onklaar zou hebben gemaakt.

Kort voordat de zaak bij de rechter kwam, had de ex-directeur een DVD overhandigd waarop een kopie van de betreffende mailbox opgeslagen was. Dat was voor het bedrijf niet genoeg: men wilde ook zeker weten dat er niet meer kopieën rondslingerden (en natuurlijk dat die niet in het nieuwe bedrijf ingezet zouden worden). Ook vond men opmerkelijk dat er geen mails uit de laatste werkmaand opgenomen waren, hoewel de ex-directeur daar tegenover stelde dat hij de kopie op 30 november had gemaakt bij wijze van backup.

Omdat het hier ging om een kort geding, vond het gerechtshof (via) in hoger beroep dat er geen ruimte was om nader bewijsonderzoek te doen. Het geschil spitste zich dus toe op de vraag of afgifte van de DVD genoeg was. Was daarmee voldoende zeker dat de originele gegevens gewist waren?

Bij pleidooi in hoger beroep heeft [het bedrijf] gesteld dat [de ex-directeur] de back-up zonder recht of titel behoudt en deze situatie vergeleken met de situatie in het pre-elektronische tijdperk wanneer [de ex-directeur] rond zijn ontslag fotokopieën had gemaakt van alle correspondentie die hij had ontvangen en verstuurd.

Het bedrijf had zich daarbij beroepen op haar eigendomsrecht, maar het Hof merkt terecht op dat daar geen sprake van kan zijn. Digitale gegevens hebben geen eigenaar want ze zijn geen ‘zaken’ (virtuele goederen in online spellen daargelaten). Het enige ding dat in eigendom kan zijn, is de fysieke DVD, en die was privé door de ex-directeur gekocht.

Daarnaast stond in de arbeidsovereenkomst dat “alle genoemde documenten eigendom blijven van werkgever en de werknemer verplicht is deze bij het einde van het dienstverband in te leveren”. Maar ook dat helpt niet: het onhandig gekozen woord ‘eigendom’ doet het Hof concluderen dat het ook hier alleen gaat om fysieke documenten, en niet om elektronische. (Bent u HR-medewerker dan mag u nu in paniek uw eigen model-arbeidsovereenkomsten gaan nalezen of dat er ook zo staat.)

Als laatste redmiddel werd dan nog het auteursrecht aangedragen. Immers, de werkgever heeft auteursrecht op alle werken die de werknemer maakt in het kader van zijn werk. Dat kan ook prima gelden voor e-mails. Maar dat redmiddel lijkt niet heel goed uitgewerkt gepresenteerd te zijn: men lijkt het te hebben gegooid op geschriftenbescherming en dat lijkt me echt de verkeerde insteek. Geschriften zijn documenten die bestemd zijn openbaar gemaakt te worden, en dat geldt voor deze mailbox natuurlijk niet.

Een e-mail kan best auteursrechtelijk beschermd zijn, als hij meer is dan een kattebelletje of een dump van feitelijke gegevens. Maar dat moet je eigenlijk van mailtje tot mailtje bekijken. Plus, er zullen ook mails inzitten die van derden afkomstig zijn, waardoor het auteursrecht bij hen rust en niet bij het bedrijf dat de DVD opeiste.

De doorslag gaf dat

[de ex-directeur] heeft aangevoerd deze e-mails te bewaren voor het geval hij mogelijk in een arbeidsrechtelijk geschil over zijn functioneren als directeur verzeild zal raken. Hij heeft voorts gesteld dat hij zich houdt aan zijn geheimhoudingsverplichting, hetwelk door [appellante] niet is weersproken en waarvan het hof dus uitgaat.

Een dergelijk handelen lijkt me legaal. Het zou al te gek zijn als je geen bewijs mag bewaren tegen je ex-werkgever wanneer je bang bent voor een geschil.

De schade aan de laptop blijkt niet (afdoende) te zijn aangetoond. Ook de kosten van Hoffman mogen niet worden verhaald: een werknemer is jegens de werkgever voor schade alleen aansprakelijk (art. 7:661 BW) bij opzet of bewuste roekeloosheid.

Les voor de toekomst: maak zelf backups van mailboxen van medewerkers, zodat je niet afhankelijk bent van eventuele DVD’s. En als je naar de rechter stapt, zorg dan dat je kunt onderbouwen dat er (kans op) schade is door misbruik van eventueel zelfgemaakte backups. Misschien kun je maar beter zorgen dat mensen niet zelf backups kunnen maken van mailboxen?

Arnoud<br/> * Niets ten nadele van Hoffman maar écht elke keer dat ik een vonnis lees waar bedrijfsrecherche ingezet werd, is het Hoffman.

Mag ik betaalde draadloze internet accesspoints hacken?

Geplaatst op in Security, 19 reacties

wifi-hotel.pngEen lezer vroeg me:

Ik begreep dat het niet illegaal is om een router te hacken en daarmee internet op te gaan. Nu vroeg ik me af, geldt dat ook bij betaalde diensten zoals internet in een hotel?

In maart heeft het gerechtshof Den Haag geoordeeld dat meesurfen met de buren geen computervredebreuk is. Het argument was dat een router/modem niet voldoet aan de definitie van ‘geautomatiseerd werk’ van de strafwet, zodat inbreken op zo’n apparaat niet strafbaar is. Bij het strafrecht worden definities streng toegepast, om te voorkomen dat je gestraft wordt voor iets dat niet duidelijk in de wet staat.

Velen vinden dit te streng (ik ook) en er is cassatie bij de Hoge Raad ingesteld. Ik zou dus niet heel hard op deze uitspraak durven vertrouwen.

Bij betaalde toegang tot internet is computervredebreuk niet het enige artikel dat je zou kunnen overtreden. Het kraken van een betáálinterface is echter apart strafbaar gesteld. Artikel 326c Strafrecht verbiedt het gebruik maken van een dienst die via telecommunicatie aan het publiek wordt aangeboden, als je dat doet met het oogmerk daarvoor niet volledig te betalen en wel door een technische ingreep of met behulp van valse signalen.

Dit artikel gaat primair over betaaltelevisie en dergelijke diensten, maar het lijkt me ook prima op te gaan voor betaalde internettoegang in hotels, restaurants etcetera. Ik zou dus niet aanraden een betaalde hotspotdienst te kraken, ook niet met deze uitspraak.

En dan nog een persoonlijke frustratie: wáárom is internet altijd zo kneiterduur in hotels? En dan met name in de duurdere hotels: ik heb kamers van 80 euro mét gratis internet gehad en kamers van 250 euro waar internet 7,95 per uur was.

Arnoud<br/> Foto: Jacek Becela, Flickr, CC-BY-SA.

Mijn kind heeft credits gekocht op Facebook, wat nu?

Geplaatst op in Security, 62 reacties

Een lezer vroeg me:

Mijn kinderen spelen op Facebook allerlei spelletjes, en gebruiken daarbij het account van mij of van mijn vrouw. Bij sommige spellen kun je via extra credits hogerop komen, maar die moet je dan kopen. Onze dochter van 9 ontdekte echter dat onze creditcardgegevens werden onthouden door Facebook, zodat ze snel voor 55 euro wat credits aanschafte. Hoger kon niet, want daarvoor hadden ze de pincode nodig. Kan ik deze ongewenste betaling ongedaan maken?

De wet (art. 1:234 BW) bepaalt dat minderjarigen niet zelfstandig overeenkomsten kunnen sluiten. Daarvoor is toestemming nodig van de ouders. Het is alleen niet handig als een kind voor elke reep chocola een briefje van zijn ouders nodig zou hebben. Daarom staat in de wet staat dat die toestemming wordt verondersteld te zijn gegeven als het een rechtshandeling is “waarvan in het maatschappelijk verkeer gebruikelijk is dat minderjarigen van zijn leeftijd deze zelfstandig verrichten.”

De vraag is dan, is het voor minderjarigen van 9 jaar gebruikelijk dat ze credits voor Facebookspelletjes kopen. Ik heb eerlijk gezegd geen flauw idee. Wie onderzoek heeft naar dit onderwerp, ik hoor het graag.

Een bijkomstig punt is hier wel dat het niet het kind is dat de aanschaf deed, maar de vader. Althans, zo zag het eruit voor Facebook. Er werd immers gewerkt vanaf diens account, en niet vanaf een account dat gekoppeld was aan de negenjarige dochter. Ik denk dan ook dat het in die situatie niet mogelijk is de aankoop te annuleren op grond van artikel 1:234 BW. Het zou wel érg makkelijk zijn voor volwassen om dan dingen te kopen en achteraf te zeggen dat het hun minderjarige kind was.

Een juridisch argument om dat te onderbouwen is dat wanneer je je kind jouw account laat gebruiken, je hem of haar in feite als jouw vertegenwoordiger aanstelt. Het kind koopt dan niets, maar jíj koopt die zaken en het kind handelt daarbij als uitvoerder in jouw naam. In die situatie is het onmogelijk om je op artikel 1:234 BW te beroepen want jij als ouder bent meerderjarig.

Het lijkt me dus handiger je kinderen een eigen account te geven, dat stevig af te sluiten tegen ongewenst gebruik en ze zelf te laten sparen voor eventuele credits.

Arnoud

Mag ik ons netwerk opschonen van illegale zaken?

Geplaatst op in Privacy, Security, 66 reacties

delete.pngEen lezer vroeg me:

Ik ben systeembeheerder bij een school. Wij geven iedereen een netwerkaccount zodat ze bestanden kunnen opslaan en kunnen mailen. Nu weet ik dat leerlingen (maar ook docenten) regelmatig illegale zaken opslaan op hun account (plaatjes, filmpjes, muziek, keyloggers, hacktools, niet school gerelateerd materiaal, etcetera). Vorige week heb ik een grote schoonmaak gehouden en alle niet-schoolgerelateerde zaken verwijderd. Maar nu is een aantal gebruikers behoorlijk boos en zeggen ze dat dit niet mag! Ik kan toch als beheerder niet tolereren dat er illegale zaken op onze servers staan?

Ik zou dit niet op deze manier aanpakken. Inderdaad, als je weet hebt van illegale zaken dan mag (moet?) je ingrijpen. Maar dat is niet hetzelfde als “het zijn scholieren, die hebben dús bergen illegale meuk, ik ga alle mappen langs en alles weggooien dat ik zie”.

Dit gaat niet goed vallen bij systeembeheerders, maar zo’n netwerkaccount met eigen opslag is een privéruimte net als de locker bij de ingang of de bureaulades op kantoor. Daar mag je als BOFH dus niet zomaar in gaan snuffelen.

Er zijn een aantal voorwaarden waaraan voldaan moet zijn. Allereerst moet er een expliciet geaccordeerd IT-reglement zijn waarin aangegeven staat wat men mag met het account en vooral wat niet. En daarbij geldt dat “alleen schoolgerelateerde zaken” te kort door de bocht is: er moet enige ruimte voor privégebruik zijn. (Klachten dat dit onzin is, mag u bij het Europese Hof voor de Mensenrechten kwijt.)

Verder mag monitoren in principe alleen op anonieme basis, en moet dit gericht zijn op werkgeversbelangen als overlast, schade of storingen. Als ik 20MB aan MP3’tjes in mijn account heb, heeft niemand daar last van. Daar moet het beheer afblijven. Wordt het 20GB, dan lopen er schijven vol en dat kan wellicht een onderzoekje rechtvaardigen. Of als je heel veel inlogs op mijn account ziet vanaf IP’s over de hele wereld. Dat is een aanwijzing dat ik aan filesharing doe (of dat mijn account gecompromitteerd is) en dan mag je ingrijpen.

Persoonsgericht monitoren (wat spookt die Engelfriet uit op ons systeem) mag alleen bij concrete aanwijzingen dat die persoon iets fout doet, en het hoe en wat wordt dan gedocumenteerd in het IT-reglement. Bijvoorbeeld: als uit het maandelijks dataverkeer-rapport blijkt dat er zeer overmatig wordt gedownload, dan mogen we gaan kijken wie daarvoor verantwoordelijk is en die persoon daarop aanspreken. Wel zou ik dan een waarschuwing verwachten naar alle medewerkers toe.

Bij personen die bestuurslid zijn van de vakbond of medezeggenschapsraad (of de bedrijfsarts) mag het beheer helemaal niet in hun privémappen kijken tenzij met hun toestemming of in zéér uitzonderlijke situaties.

Arnoud

Is Sony aansprakelijk voor gestolen Playstation-gegevens?

Geplaatst op in Security, 26 reacties

sony-playstation.pngSony stelt zichzelf niet aansprakelijk in het geval een onbevoegde buitenstaander zichzelf toegang verschaft tot persoonlijke gegevens, las ik bij Nu.nl. Dat zou blijken uit de TOS van de dienst. Bij een inbraak werden persoonsgegevens en creditcardinformatie gestolen uit de databases van het Playstation Network van Sony. Hoewel het CVV-getal niet is gestolen, kan er toch misbruik worden gemaakt van de informatie omdat lang niet elke creditcard-acceptant deze code vraagt. Sony

Het is me onduidelijk of Sony dit nu daadwerkelijk heeft gezegd of dat Nu.nl (en Gamer.nl) het klakkeloos overnemen van Edge, dat de pechgehadclausule in de terms of service ontdekte:

We exclude all liability for loss of data or unauthorised access to your data, Sony Online Network account or Sony Online Network wallet and for damage caused to your software or hardware as a result of using or accessing Sony Online Network.

Kan dat zomaar? Natuurlijk niet. Een bedrijf kan haar aansprakelijkheid proberen te beperken, maar de wet (zowel in Nederland als in de Verenigde Staten) stelt daar grenzen aan. Eén van die grenzen is “opzet en grove nalatigheid”: daarvoor ben je te allen tijde aansprakelijk, ongeacht je voorwaarden.

Voor specifieke soorten datadiefstal zijn er strengere regels. Zo kent de Wet bescherming persoonsgegevens de plicht om data “adequaat” te beschermen tegen diefstal en ongeautoriseerd gebruik. Die plicht is niet in de voorwaarden weg te tekenen, en aansprakelijkheid bij schending van die plicht is niet uit te sluiten. Een probleem is wel om aan te tonen wélke schade je hebt geleden door deze schending. Ik blijf het een goed idee vinden om gewoon een vast bedrag, zeg 300 euro, in de wet te zetten als schadebedrag als er geen hogere schade is geleden. Als Sony een risico van 70 miljoen maal 300 euro loopt, vinden ze een investering in een beveiligingsbedrijf misschien wel een goed idee.

En specifiek voor creditcardgegevens is er nog artikel 7:529 BW. (Voor de mensen met e-commerce achtergrond: artikel 7:46g BW bestaat niet meer.). Dit bepaalt dat de kaarthouder slechts aansprakelijk is tot een bedrag van ten hoogste ” 150 voor niet-toegestane betalingstransacties met een verloren of gestolen betaalinstrument. Uitzondering is als de kaarthouder “frauduleus of opzettelijk of met grove nalatigheid heeft gehandeld”. Het lijkt me niet dat het geven van je creditcardgegevens aan Sony telt als grove nalatigheid, dus het risico voor de Playstation-Netwerkgebruikers is beperkt.

Het blijft een goed idee om je creditcardstatements te controleren en meteen de bank te bellen als er een ongeautoriseerde transactie verschijnt. (Dit níet doen zou kunnen worden gezien als grove nalatigheid.) En misschien kun je maar beter sowieso een nieuwe creditcard aanvragen om elk risico uit te sluiten.

Arnoud

DollarRevenue-affiliate krijgt 14.000 euro boete voor verspreiden reclameworm

Geplaatst op in Security, 6 reacties

Een affiliate van het beruchte DollarRevenue heeft van de rechtbank een boete van 14.000 euro gekregen, meldde Webwereld vorige week. De OPTA kwam tijdens het onderzoek naar spyware van DollarRevenue de namen tegen van twee Nederlanders die als affiliate stonden geregistreerd bij het bedrijf. Zij verspreidden tegen betaling de DollarRevenue-software, en de OPTA merkte ze daarom aan als zelfstandig verspreiders van spyware.

Eén van de beboete personen ging in beroep, maar ook de rechtbank acht hem schuldig. Alleen de hoogte van de boete wordt ietwat gematigd (van 16.000 naar 14.000 euro) omdat onvoldoende rekening was gehouden met het feit dat hij ten tijde van de overtreding psychisch in de war was.

Het maakte niet uit dat deze personen ‘slechts’ affiliates waren en dus andermans software promootten. Hun handelingen zorgden er namelijk voor dat de software werd geïnstalleerd op computers van eindgebruikers, en dat mag niet als daar niet expliciet toestemming voor is gekregen. Het boetebesluit van de OPTA legt uit hoe de affiliates werkten:

[E]en argeloze gebruiker kreeg een link toegestuurd naar de kwaadaardige software via één van de contactpersonen uit zijn MSN-contactenlijst. De gebruiker dacht dat dit een persoonlijke boodschap betrof met een link naar een foto. Zodra hij de link opende, werd advertentie- en verspreidingssoftware op zijn computer geïnstalleerd. De volgende keer dat de gebruiker het chatprogramma MSN opstartte, werd automatisch aan al zijn contactpersonen in de contactenlijst dezelfde link toegestuurd.

Dat is dus niets meer of minder dan een ordinaire worm die zichzelf verspreidt. En of je nu je eigen of andermans worm loslaat, het is en blijft een overtreding van de wet.

Zestien- of veertienduizend: het blijven forse boetes. Bij deze zaken krijg je wel altijd de vraag of ze echt effectief zijn. Deze spyware is op 180.000 computers geïnstalleerd en volgens Tech’n Security kreeg je

30 cents per install in the USA, 20 cents per install in Canada, 10 cents in the UK, 1 cent in China and .02 cents in other countries

Volgens Pay per Install geldt die “.02 cents” voor Azië, dus ik aarzel nu wat het Nederlandse bedrag is. Bij 10 cent per installatie (analoog aan de UK) is de revenue dus 18.000 dollar, maar bij 2 cent is het slechts 3600 dollar en dan heeft de boete toch wel aardige impact.

Arnoud

Meesurfen met internet van de buren geen computervredebreuk

Geplaatst op in Security, 38 reacties

Nou, mooi is dat. Meeliften bij het internet van de buren is geen computervredebreuk, oordeelde het Hof Den Haag vorige week (via). Ook als je daarbij de router kraakt. Een router is namelijk geen “geautomatiseerd werk” in de zin van de wet, en je kunt alleen computervredebreuk plegen als je binnendringt in een geautomatiseerd werk. Dit is het hoger beroep van de 4chan-zaak.

In deze strafzaak had een jongen via het netwerk van de buren op het NSFL-imageboard een dreigende tekst geplaatst (“I”ll go and kill some peeps from my old school”). In eerste instantie oordeelde de rechtbank dat deze bedreiging niet serieus te nemen was omdat het motto van 4chan was “only a fool would take anything posted here as fact”. Daar komt het Hof op terug: gezien de context van enkele andere school shootings mocht je die bedreiging wel degelijk serieus opvatten, ook als deze niet daadwerkelijk zo bedoeld was.

Het oordeel dat er geen computervredebreuk bij de buren werd gepleegd, blijft in stand. Het Hof neemt de redenering van de rechtbank over dat er pas sprake kan zijn van een computerinbraak als je daadwerkelijk iets doorbreekt (wat dus niet klopt gezien de huidige wet). Maar belangrijker, het Hof stelt dat je op een router niet kunt inbreken omdat een router geen “geautomatiseerd werk” is. Artikel 80sexies Strafrecht definieert dat namelijk als

een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen.

Het Hof interpreteert die “en” nu netjes als een AND: een apparaat moet alle drie die dingen doen met (een gegeven set) gegevens. En een router doet dat niet, want die slaat niets op.

Het hof stelt vast dat een router een schakelapparaat op de knooppunten van een netwerk zoals het internet is. Een router houdt een wachtwoord of gebruikerscode opgeslagen en zorgt, in opdracht van de gebruiker van die router alleen voor de verzending van gegevens naar de juiste bestemming.

Net als ik heeft ook ict-jurist Jan-Jaap Oerlemans grote moeite met dit arrest.

Ik denk dat artikel 80sexies Sr verkeerd wordt geïnterpreteerd en dit onwenselijke effecten met zich meebrengt. Wat als mensen spam of kinderpornografie over je beveiligde wifi-netwerk verspreiden? De onderhavige zaak illustreert overduidelijk een ander onwenselijk effect. Als via een ander wifi-netwerk misdrijven worden gepleegd en op basis van het IP-adres wordt getracht een verdachte te identificeren komen opsporingsdiensten bij de verkeerde persoon uit!

Het lijkt mij ook dat dit niet de bedoeling is geweest van de wetgever. Maar het staat er wel, en ik vrees dat we niet heel ver komen met dat een router een geheugen heeft voor firmware of dat er een buffer is die 0,1 seconde alle data vasthoudt. Echter, ik vond een sprankje hoop in de memorie van toelichting uit 1993:

een “geautomatiseerd werk”. Hieronder wordt verstaan elke inrichting die met technische middelen geschikt is gemaakt voor de opslag, verwerking of overdracht van gegevens. … Hieronder vallen dus computers, netwerken van aan elkaar verbonden computers en geautomatiseerde inrichtingen voor telecommunicatie (mijn cursivering)

Echter, bij de Eerste Kamer werd het “op te slaan en te verwerken”. En in 2006 werd het het huidige “op te slaan, te verwerken en over te dragen”, waarbij werd opgemerkt

Daarmee vallen niet alleen computers in de meer gangbare betekenis onder het begrip geautomatiseerd werk, maar ook computernetwerken en geautomatiseerde inrichtingen voor telecommunicatie, zoals telefoon en telefax.

In het Cybercrime-verdrag vond ik nog een definitie van “computer system” die hoopvoller klinkt:

any device or a group of interconnected or related devices, one or more of which, pursuant to a program, performs automatic processing of data

Onze wet moet immers passen binnen het Cybercrime-verdrag, dus daar kan de Hoge Raad wellicht nog wat mee in eventuele cassatie. Dat zal wel lastig worden, want tegen de letterlijke tekst van een wetsartikel ingaan met je interpretatie is heel erg moeilijk.

Ook kun je zoals mijn collega Paul Pols betoogt, verdedigen dat niet ingebroken is op de router maar op het netwerk, en dat slaat wel gegevens op naast ze te verwerken en versturen. Maar ik vrees dat dat niet gaat werken.

Een wetswijziging lijkt me dan ook nodig. Daarvoor nu gaan pushen vind ik eng, want dat gebeurt dan in het wetsvoorstel dat ook het OM de bevoegdheid zou geven websites te sluiten zonder gerechtelijk bevel.

Arnoud

Toxbot-verspreider pleegde computervredebreuk en “gemeen gevaar” voor financiële dienstverlening

Geplaatst op in Security, 11 reacties

De uitspraak van het Gerechtshof tegen de Nederlandse hacker die enkele jaren geleden werd veroordeeld voor het verspreiden van het W32.Toxbot-virus om zo een botnet te bouwen, is door de Hoge Raad vernietigd. Dat meldde ISPam.nl gisteren. Het Gerechtshof had de verkeerde toets aangelegd om te bepalen of sprake was van “gemeen gevaar” voor het verlenen van diensten. Maar het binnendringen in een ongepatchte Windows XP Servicepack 0-computer is wel degelijk computervredebreuk, want “[de Hoge Raad] heeft geoordeeld dat elke consumentenversie van het computerbesturingssysteem Windows XP is voorzien van enige beveiliging in de zin van art. 138a, eerste lid aanhef en onder a, (oud) Sr.”

In 2005 rolde de Nationale Recherche een botnet op van meer dan 100.000 gehackte computers dat opgebouwd was uit Toxbotbesmette computer. Het netwerk werd gebruikt als springplank voor computervredebreuk maar ook voor het kapen van Ebay- en Paypalaccounts. Dankzij onder meer een oplettende SARA-systeembeheerder kon een onderzoek gestart worden, waar onder meer uit bleek dat meneer flink de pé in had omdat hij het virus “codbot” wilde noemen en “stomme av’s” hadden gekozen voor “toxbot”. Maar, iets relevanter: dat hij updates van Toxbot verstuurde naar een medeverdachte en dat beiden commando’s gaven aan het botnetwerk dat zij beheerden om nieuwe versies van het virus te verspreiden.

Onder de toenmalige Wet Computercriminaliteit kon slechts sprake zijn van computervredebreuk als een beveiliging werd doorbroken. En dat stond hier ter discussie, omdat Windows van vóór SP2 naar deskundige meningen zo lek als een mandje (zonder onderkant) geacht wordt. Maar dat maakt niet uit. Zodra het slachtoffer van computervredebreuk kan aantonen dat er sprake is van enige reële beveiliging dan is dat voldoende. Omdat Microsoft de optie van administratortoegang van buitenaf bij de introductie van XP bewust geblokkeerd had, en Toxbot toch met adminprivileges kon draaien, was daarmee sprake van doorbreken van een beveiliging.

In haar arrest had het Gerechtshof daarbij geconstateerd

Zoals uit de wetsgeschiedenis blijkt kan daarbij worden gedacht aan het plaatsen van een tekst op het beeldscherm dat toegang voor onbevoegden verboden is. Maar omdat deze woorden een per ongeluk tot stand gekomen toegang niet uitsluiten, bevat voornoemd artikel 138a onder meer ook het aanvullende vereiste dat sprake moet zijn van enige beveiliging, ofwel een kenbare drempel zodat onbevoegden zich niet simpelweg de toegang kunnen verschaffen.

De Hoge Raad stemt daarmee in en voegt daaraan toe:

dat onder het doorbreken van enige beveiliging, zoals bedoeld in art. 138a, eerste lid onder a, (oud) Sr, mede dient te worden verstaan het tegen de wil van de rechthebbende binnendringen in een computer langs een weg die de aanwezige beveiliging niet of onvoldoende afsluit. Daarbij is, anders dan de steller van het middel betoogt, niet van belang of die opening inherent is aan het systeem of is veroorzaakt door andere ‘aanvallers’.

Onder het huidige recht geldt een nóg lagere standaard: je hoeft niet eens een beveiliging te doorbreken, genoeg is “het tegen de wil van de rechthebbende binnendringen in een computer”. (Hoewel in april 2010 binnendringen op een draadloos netwerk niet strafbaar werd geacht.)

Het Gerechtshof had bij de gekaapte Ebay- en Paypalaccounts geoordeeld dat geen sprake was van het veroorzaken van “gemeen gevaar” voor dienstverlening. Dat artikel (ook ingezet bij DDoS-aanvallen) was niet van toepassing volgens het Hof omdat alleen de computers van de eindgebruikers waren verstoord, en niet de servers die de dienst leveren. Zolang die servers gewoon draaien, is er geen “gemeen gevaar”, zeg maar.

Dat onderscheid is echter irrelevant volgens de Hoge Raad. Het gaat er niet om of servers dan wel clients verstoord worden, maar of er sprake is van “gevaar voor een ongestoorde dienstverlening aan een onbestemd doch aanmerkelijk aantal afnemers.” Het gaat erom of van de opzettelijk veroorzaakte stoornis gemeen gevaar te duchten was voor een ongestoorde dienstverlening. En dat kan ik wel billijken: als je een groot deel van de clients weet te compromitteren dan breng je toch de dienstverlening in gevaar, zelfs als de servers ongestoord doordraaien. De dienst wordt op die manier onbetrouwbaar omdat mensen hun vertrouwen erin verliezen – en dat is eigenlijk erger dan dat de servers er om de haverklap uitliggen.

Arnoud

Nieuwste OV-chipkraak maakt zwartrijder onzichtbaar

Geplaatst op in Innovatie, Security, 45 reacties

ov-chipkaart-kraak-perfecte-misdaad.jpgHet is mogelijk te frauderen met de OV-chipkaart zonder gebruik te maken van de poortjes. Daardoor valt het misbruik niet meer te detecteren in de centrale systemen. Dat meldde Webwereld gisteren op basis van Brenno de Winter’s geweldige onderzoeksjournalistiek over de OV-faalkaart. Bij het NOS-journaal mocht ik zeggen dat dit “de perfecte misdaad” is: wel strafbaar maar niets aan te doen.

Hopelijk is dit het laatste hoofdstuk in de langlopende soap rond de OV-chipkaart. Al jaren is bekend dat de kaart grote technische zwakheden vertoont, maar tot nu toe werden die steeds afgedaan als “theoretisch” of “alleen voor übernerds”. Nu is er een Windowsapplicatie waarmee ook mijn vader gratis zou kunnen reizen.

Niet dat hij dat moet gaan doen, want het is en blijft strafbaar. In december werd nog een man veroordeeld wegens computervredebreuk (wtf?) omdat hij zijn OV-chipkaart illegaal had opgewaardeerd en daarmee was gaan reizen. Een kaart faken of zelf opladen valt onder het “valselijk opmaken van een betaalkaart” (art. 232 Strafrecht).

Op zich snap ik dus dat TLS na bekend worden van deze hack aangifte heeft gedaan. Alleen: ik mag hopen dat het OM die allemaal in het halfronde archief stopt, pardon via politiesepot afdoet zodra de woordvoerder weer naar buiten is. De strafwet is bedoeld voor die gevallen waarin je goed beveiligde kaart ondanks al je inspanningen toch vervalst werd. Niet als compensatie voor implementatiefalen van de leverancier.

Wie zijn huis totaal niet beveiligt, mag niet verwachten dat de politie veel doet om diefstal van zijn spullen op te lossen. Evenzo zie ik niet waarom TLS nu mag verwachten dat de politie het probleem van hun rammelende beveiliging gaat oplossen.

En nee, ik reis niet zwart maar keurig met (papieren) kaartjes.

Arnoud