Mag een bedrijf nog wel pakketten diep inspecteren?

| AE 2548 | Ondernemingsvrijheid, Privacy | 17 reacties

dpi-deep-packet-inspectionRecent is netneutraliteit expliciet wettelijk vastgelegd. De Eerste Kamer moet er nog over stemmen, maar dat lijkt slechts een hamerstuk te gaan worden. De reden voor deze unieke wetgeving is vooral de heisa rond de bekentenis van KPN dat ze hun netwerkverkeer via DPI inspecteerden.

Regelmatig krijg ik mails van bedrijven die zich afvragen of dit betekent dat zij ook het internetverkeer van en naar hun bedrijven neutraal moeten behandelen. In principe niet. Netneutraliteit is geformuleerd als een eis aan aanbieders van “openbare elektronische communicatienetwerken waarover internettoegangsdiensten worden geleverd”. Een bedrijf is, net als een vereniging, geen provider zolang ze niet het algemene publiek het internet laat opgaan.

Een bedrijf is dus niet gehouden om zich netneutraal op te stellen, en mag internettoegang filteren op elk criterium dat haar goeddunkt. Ook mag ze internetgebruik monitoren en filteren, hoewel ze dan rekening moet houden met de privacy van medewerkers.

Eén opmerkelijk punt is het “openbreken” van beveiligde verbindingen. Het is technisch mogelijk voor een bedrijf om een geavanceerde firewall te installeren die ook SSL-beveiligd verkeer kan onderscheppen. De firewall doet zich naar bedrijfscomputers voor als bijvoorbeeld Gmail of Facebook (inclusief certificaat dat de bedrijfscomputer als veilig accepteert), en naar Gmail toe als de computer van de eindgebruiker. Technisch gezien gaat het dan om vervalste certificaten (ik hoor diverse lezers nu “Diginotar” mompelen, inderdaad), maar binnen een bedrijf is dat minder een probleem.

Al het netwerkverkeer naar Gmail of Facebook komt nu op de firewall binnen en kan daar onversleuteld worden bekeken voordat het wordt doorgestuurd – of wordt weggegooid omdat het niet aan het bedrijfsbeleid voldoet. Ook kan er precies worden gelogd welke gebruiker hoe lang op welke dienst zit, welke bijlagen hij verzond via Gmail, of hij de bedrijfsnaam noemde in een statusupdate of Facebookchatbericht, en ga zo maar door.

Ik denk dat dit wel mag, mits je maar als bedrijf in je reglement (internetprotocol) duidelijk hebt aangegeven dat je dit doet en voor welke redenen. Plus, je mag natuurlijk niet verder gaan dan nodig is voor die redenen. Ben je bang dat er bedrijfsgeheimen lekken, dan is een dagelijks rapportje over wie hoe lang farmvillet natuurlijk nergens voor nodig. Mails waarin het omzetcijfer van het eerste kwartaal genoemd wordt, zouden daarentegen gerede vragen mogen oproepen bij het management.

Wel zou ik vooraf een duidelijke belangenafweging willen zien. Is het nu écht nodig om iedereen digitaal te fouilleren bij elk bezoekje aan een socialemediasite? Doe je dat aan de poort ook, als mensen naar huis gaan? Het lijkt me dat je alleen digitaal mag fouilleren onder dezelfde omstandigheden dat je dat ook aan de poort zou doen. De diamantslijper of de accountant die je jaarcijfers aan het opmaken is, mag verwachten dat zijn tas (en jaszak) extra goed gecontroleerd wordt, net als de researchmedewerker die aan een nieuw prototype werkt. Maar de receptioniste fouilleren lijkt me héél moeilijk uit te leggen. Digitaal én bij de poort.

Arnoud

Is onze vereniging een internetprovider?

| AE 2726 | Ondernemingsvrijheid | 29 reacties

internet-scouting.pngEen lezer vroeg me:

Sinds kort hebben wij internet in ons scoutinggebouw en wij waren benieuwd waar wij ons wettelijk aan moeten houden op het moment dat wij internet aan gaan bieden aan groepen en individuen, die ons scoutinggebouw huren.

Hij is niet de eerste die me de vraag stelde: ook cafés, bibliotheken, bedrijvengebouwen en allerlei andere clubs en instanties die internet willen bieden aan bezoekers, worstelen met de vraag waar ze zich aan moeten houden.

De belangrijkste vraag als je internet gaat aanbieden, is aan welke groep je dat gaat doen. Wanneer die groep neerkomt op “eigenlijk heel Nederland”, dan krijg je te maken met de Telecommunicatiewet. Deze bepaalt namelijk dat mensen die “in het openbaar” internet aanbieden, zich moeten registreren. Ook moeten ze dan aan allerlei eisen voldoen, zoals het aftapbaar maken van hun netwerk en zorgen dat ze aan de wet bewaarplicht voldoen. Het maakt hierbij niet uit of je geld vraagt voor de toegang tot internet of niet.

In de SURFnetzaak werd echter bepaald dat wanneer men internettoegang beperkt tot een “voldoende afgebakende groep” (zoals studenten van hoger onderwijs), je niet onder deze wet valt. Vorig jaar hadden we nog de nodige ophef over hotels als internetaanbieder, maar dat liep met een sisser af. Wie de toegang beperkt tot “leden van onze vereniging” of “klanten/bezoekers van onze faciliteit” zou dan ook niet tegen de Telecommunicatiewet moeten aanlopen.

Een ander punt van zorg is aansprakelijkheid. Die leden, klanten of bezoekers gaan wellicht gekke dingen uithalen, en dan komt de politie (of stichting Brein of andere procedeergrage figuren) natuurlijk in eerste instantie bij de organisatie uit. Gelukkig is daar een wettelijke regeling voor: wie slechts passief toegang tot internet biedt, en niet gaat filteren of redactioneel selecteren wat mensen wel of niet mogen doen, is niet aansprakelijk voor dat geïnternet.

Daarbij geldt overigens niet dat je verplicht bent om te weten wie je gebruikers zijn of wat ze doen. Je hoeft dus niet te loggen of identificatie te vragen van mensen die je netwerk op willen. Het kan wel verstandig zijn, al was het maar omdat het afschrikt of je de mogelijkheid biedt om mensen gericht af te sluiten omdat ze de dienst misbruiken.

Als je echter gaat loggen en met name als je persoonsgericht gaat monitoren of filteren, dan kom je in de privacygevarenzone: de Wet bescherming persoonsgegevens verbiedt het arbitrair volgen of monitoren van personen, ook als ze jouw internetverbinding gebruiken. Op zijn minst moet er dan een reglement zijn dat zegt wat je allemaal doet en wanneer mensen gemonitord worden. Maar “ik mag alles en wel altijd” is daarbij géén acceptabele formulering. Persoonsgericht monitoren mag alleen bij een duidelijke concrete aanleiding.

Blokkeren of filteren van bronnen van ongewenst verkeer is daarentegen wel legaal én verstandig. Je bent niet verplicht om ongefilterd internet aan te bieden. Ook de regeling over aansprakelijkheid schrijft niet voor dat je alles moet doorlaten. Een generieke blokkade (bijvoorbeeld de dienst MSN of het netwerk Tor) tast je positie niet aan.

Er zijn technisch allerlei slimme trucs om het aanbieden van internet te faciliteren en te beveiligen. Denk aan aparte netwerksegmenten of wachtwoorden die na een half uur vervallen, of het geautomatiseerd afknijpen van mensen die te veel downloaden. Daar hebben jullie meer verstand van dan ik 😉 maar dergelijke trucs toepassen is legaal. Dat is immers geen persoonsgericht monitoren.

Arnoud<br/> Afbeelding: Internet Scouting, dat me overigens niet de vraag stelde.

Wat moet een provider doen bij een DDoS-aanval op de server van een klant?

| AE 2639 | Ondernemingsvrijheid, Security | 19 reacties

Een lezer vroeg me:

Recent kwam mijn website (een colocated eigen server) onder vuur door een DoS-aanval van buitenaf. Ik heb toen mijn provider gevraagd maatregelen te nemen en met name de IP-adressen te filteren of blokkeren waar de aanval vandaan kwam. Zij weigeren dit echter omdat ze vinden dat ik het beheer moet doen op mijn machine. Ook zeggen ze dat het voor hen ondoenlijk is om maatregelen te nemen. Maar ik neem bij hen toch een dienst af, kan ik ze dan niet verplichten in te grijpen als de dienst niet goed werkt?

De plichten die de provider heeft, volgen primair uit het contract. De vraag is dus wat daar instaat over abuse en filteren. En als er niets staat, moet je uit de aard van het contract afleiden wiens verantwoordelijkheid dit moet zijn. Bij een eigen colocated server ben je als klant zelf verantwoordelijk voor het beheer; de plichten van de provider houden op bij de netwerkstekker. De vraag wordt dan dus, is een DDoS-aanval iets dat de stekker raakt of pas het apparaat waar die stekker in zit?

De klant kan zelf blokkeren op een eigen firewall maar dan zit zijn inkomende netwerkverkeer nog steeds vol. Droppen aan de buitenkant (netwerk van de ISP) is efficiënter, zeker, maar hoe weet de ISP dan welke adressen ze moeten droppen?

Een DDOS aanval zou ik eerder als iets van buitenaf zien, net zoals een hagelstorm. Je kunt het niet voorkomen, je kunt alleen de impact beperken. En dan wordt de vraag dus, wat moet een ISP doen om die impact te beperken. Zij hebben een zorgplicht, net zoals een huisbaas moet zorgen voor een goed dak in een huurhuis. Maar dat houdt ergens op: een hagelstorm met tennisbalformaat hagelstenen die onder een hoek van 45 graden binnenkomt en je kelderruitje eruit gooit, is overmacht. Je kunt dan geen vergoeding van je huisbaas eisen.

Verder speelt altijd de vraag tussen kosten en baten een belangrijke rol. Een dure maatregel tegen een uitzonderlijk probleem is niet billijk en hoeft niet te worden ingevoerd. Een goedkope maatregel tegen een routineprobleem moet er altijd zijn. En daartussen is het grijze gebied waar advocaten zich in thuisvoelen.

Ook speelt mee welke opvattingen er in de markt heersen: als iedereen vindt dat de klant dit moet doen, dan kun jij niet zomaar van de ISP eisen dat hij het oplost. Als de heersende mening is dat de ISP dit moet doen, dan kun je eisen dat jouw provider dat ook gaat doen.

Het is ontzettend moeilijk om iets te doen aan DDoS-aanvallen. Een tijd geleden las ik een uitgebreide review bij Tweakers over de technieken en mogelijkheden om het tegen te gaan. Maar fundamenteel is het nauwelijks op te lossen: er komt een berg verkeer binnen en dat moet je filteren.

Arnoud

Wat mag een provider nog als netneutraliteit wet wordt?

| AE 2611 | Ondernemingsvrijheid, Privacy | 35 reacties

Recent is netneutraliteit expliciet wettelijk vastgelegd. De Eerste Kamer moet er nog over stemmen, maar dat lijkt slechts een hamerstuk te gaan worden. Vorige week blogde ik over het gepuzzel met de cookiewet, die in hetzelfde wetsvoorstel is overgenomen. Puzzelen over de regels rond netneutraliteit hoeft niet meer, want het wetsvoorstel zoals aangeboden aan de… Lees verder

KPN inspecteert dataverkeer diep, mag dat?

| AE 2542 | Ondernemingsvrijheid, Privacy | 107 reacties

OMGWTFBBQ DPI. KPN heeft in een sessie met investeerders toegegeven dat het al maandenlang de omstreden deep packet inspection-technologie heeft gebruikt op zijn mobiele netwerk, meldde Tweakers gisteren. Doel is voip-verkeer op het mobiele netwerk te herkennen en apart te factureren. In damage control modus meldt KPN geen DPI op de inhoud te doen, maar… Lees verder

Mag KPN abonnees wel extra kosten voor mobiele datadiensten opleggen?

| AE 2513 | Informatiemaatschappij, Ondernemingsvrijheid | 26 reacties

Een lezer vroeg me: Naar aanleiding van de plannen van KPN om bepaalde mobiele data diensten extra te belasten met een toeslag, vroeg ik me af of ze dat wel mogen doorvoeren. In mijn contract (met deze algemene voorwaarden) staat immers niets over dergelijke meerkosten. Kan ik ze bij de rechter verbieden deze toeslag op… Lees verder

Geen netneutraliteit voor de hele EU: een gemiste kans (gastpost)

| AE 2506 | Ondernemingsvrijheid | 53 reacties

Vanwege de Paasvakantie ben ik vandaag offline (voor zover dat bij mij mogelijk is). Daarom vandaag een gastpost van mijn collega Matthijs van Bergen. Amerika heeft vorig jaar na een ruim vijf jaar durend heftig publiek debat eindelijk een regeling voor netneutraliteit aangenomen en volgde daarmee Chili en Noorwegen. In Europa is recentelijk besloten om… Lees verder

Provider voegt eigen advertenties toe aan internet

| AE 2450 | Ondernemingsvrijheid | 34 reacties

Een lezer wees me op een blogbericht dat signaleerde dat de Amerikaanse provider Mediacom is begonnen met het invoegen van advertenties op webpagina’s die je bekijkt als je via die provider online gaat. Dit doet men door aan de HTML-code van een webpagina een <SCRIPT-regel toe te voegen die een Javascript aanroept waarmee de advertenties… Lees verder

Het Volkskrantblog gaat sluiten, mag dat?

| AE 2400 | Ondernemingsvrijheid, Uitingsvrijheid | 64 reacties

Een tijdje geleden werd bekend dat het VKBlog, de gratis blogdienst van de Volkskrant zou gaan stoppen. Per 1 maart wordt de dienst opgeheven en zal alle inhoud van alle VKBloggers worden verwijderd. Dat gaf grote onrust bij de bloggers, en dit leidde onder meer tot deze discussie waarin ik werd Genoemd: Ik ben bezig… Lees verder

Mogen Paypal en Mastercard Wikileaks zomaar afsluiten?

| AE 2352 | Ondernemingsvrijheid | 35 reacties

Nee, die ddos-aanvallen zijn een slecht plan, maar de boosheid erachter begrijp ik wel: kunnen Paypal, Mastercard en Visa zomaar besluiten dat ze hun diensten niet meer willen leveren aan Wikileaks? Formeel lijkt het wel in orde: in de voorwaarden van al die diensten staan ongetwijfeld regeltjes dat je de dienst niet mag inzetten bij… Lees verder