Is het ethisch hacken om het Twitterwachtwoord van Trump te raden?

De Nederlandse ethische hacker Victor Gevers heeft vorige week naar eigen zeggen het Twitter-account van Donald Trump gehackt. Dat meldde Tweakers vorige week. Het wachtwoord (maga2020!) was eenvoudig te raden, zegt Gevers tegen Vrij Nederland. VN zegt ook dat er sterke aanwijzingen zijn dat Gevers achter een beruchte tweet van de president zat. Het gaf de nodige discussie over ethisch hacken, dingen mogen veranderen en hoe publiek je mag gaan met zo’n ontdekking.

Victor Gevers was ook een van de hackers die in 2016 in wisten te breken op het account van Trump. Daarom kreeg deze inlog zo veel aandacht, hoewel er ook twijfel is over de echtheid. Twitter zelf zegt geen rare inlog te hebben gezien, en bij een screenshot van Gevers dat het interne profiel van Trump toont, ontbreekt het Amerikaanse vlaggetje in de biografie-regel. (Mogelijk kwam dat door de gebruikte browser/OS combinatie.)

Maar dat even terzijde. Stel inderdaad, je weet het wachtwoord van zo’n prominent account te raden en je ziet dat ook alle beweerdelijke extra maatregelen (zoals 2FA) er niet zijn. Wat mag je dan doen? Nou ja, het slachtoffer en/of de dienstverlener informeren natuurlijk, dat past volledig binnen de heersende spelregels voor ethische hackers.

Ermee naar buiten treden is een ander verhaal. Natuurlijk, bij responsible disclosure hoort ook een melding op zeker moment zodat het publiek ook weet wat er mis is. Maar dat is omdat het publiek getroffen kan zijn door het lek dat jij als ethisch hacker had ontdekt. Of omdat ze moeten weten dat die dienstverlener zat te prutsen. Bij een probleem als dit zie ik geen reden om met (responsible) disclosure te dreigen.

Wel is het natuurlijk zo dat het zeer groot nieuws is dat dit oppermachtige Twitteraccount zó slecht beveiligd is. Dan kun je prima naar de pers stappen en melden dat je dit nieuws ontdekt hebt. Ook als je het zelf hebt gemaakt, dat nieuws. Een journalistieke hack is niet hetzelfde als een ethische hack.

Arnoud

Kan een presidentieel bevel een wet opzij zetten?

De Amerikaanse president Donald Trump dreigt sociale media ‘streng te reguleren of te sluiten’. Dat meldde Tweakers vorige week. Trump is boos omdat Twitter onlangs enkele van zijn tweets labelde met een ‘disputed’ tag. De remedie lijkt nu bekend: hij heeft een executive order oftewel presidentieel bevel getekend waarin grofweg staat dat het overheidsbeleid vanaf nu is dat dergelijk ingrijpen ervoor zorgt dat je niet langer immuun voor rechtszaken bent als platform. Dat gaat dus nog ahem interessant worden.

Section 230, want daar gaat het om, is het wetsartikel waardoor internet mogelijk werd. Tussenpersonen zoals Twitter (in die tijd bbs’en, discussieforums en chatrooms) waren niet aansprakelijk voor wat zij gebruikers lieten plaatsen. Gewoon niet – behalve bij auteursrechtinbreuk, daar moesten ze snel ingrijpen (dat was dan weer de DMCA). In Europa ligt dit iets genuanceerder, daar geldt snel ingrijpen bij álle soorten inbreuk.

Daar staat tegenover dat tussenpersonen sommige dingen gewoon niet willen op hun platform. Vandaar dat sectie 230 toestaat dat je te goeder trouw mag modereren en dingen weghalen die je “objectionable” vindt, zonder dat je dan ineens je immuniteit verliest omdat je de rest laat staan. Oftewel, Twitter is niet aansprakelijk voor bijvoorbeeld racistische of tot geweld aanzettende tweets van willekeurige gebruikers, maar mág als zij daar beleid op heeft (inderdaad, de Terms of Service) besluiten dergelijke tweets te verwijderen.

De EO kan zo’n wet niet opzij zetten, want de president maakt niet de wetten. Maar de president heeft wel een heleboel macht, en kan bijvoorbeeld bepalen dat ‘zijn’ overheidsinstanties een zeer nauwe interpretatie van section 230 moeten volgen vanaf nu. Namelijk dat je een hoop dingen (zoals, tussen de regels door, het labelen van presidentiële tweets als wat dan ook) als te kwader trouw moet zien en daar “gepaste” conclusies uit moet trekken.

Dat is natuurlijk leuk en aardig maar juridisch gezien kan dat niet: een wet wordt niet anders omdat de uitvoerende macht dat wil. Maar een wetswijziging er doorheen krijgen is onmogelijk (gezien de Democratische meerderheid in het Huis van Afgevaardigden). En rechtbanken zijn ook in de VS onafhankelijk. Natuurlijk heeft Trump veel rechters benoemd, maar traditioneel was de opvatting dat alles moest kunnen online dus ik zou verwachten dat conservatieve rechters juist tégen deze interpretatie zijn.

Het bevel roept toezichthouders FCC (over telecommunicatie) en FTC (over handel) op om maatregelen te nemen. Alleen zijn dat, net als bij ons, onafhankelijke instanties die niet onder presidentieel bevel staan. De FCC is natuurlijk heel erg pro-bedrijf (zo hebben ze recent netneutraliteit opgeheven) maar dat pleit juist tegen het doorvoeren van deze maatregel. De FTC kan via het Amerikaanse equivalent van oneerlijke handelspraktijken wellicht ingrijpen, al is onduidelijk of zij bevoegd zijn om sectie 230 te handhaven.

Mogelijk maakt nog enige indruk het bevel aan alle overheidsinstanties om niet meer te adverteren op netwerken die “te kwader trouw” content modereren, hoewel ik niet de indruk had dat er nou héél veel overheidsgeld naar Twitter-advertenties ging. En puntje van orde is natuurlijk dat wat er in het bevel staat over sectie 230, niet is wat er wérkelijk staat. Zo zegt de wet nergens dat het weghalen van “ongepaste” dingen alleen op politiek neutrale gronden zou mogen, of dat beschermde free speech altijd ‘gepast’ is en dus moet blijven staan.

Dat gezegd hebbende gáát dit natuurlijk een heleboel rechtszaken geven, want het blijft Amerika.

Arnoud

Mag je op Twitter dreigen met militair ingrijpen?

Amerikaans president Donald Trump heeft via Twitter opnieuw een waarschuwing gegeven aan Noord-Korea, las ik in De Morgen. “Alle militaire eenheden zijn volledig klaar”, klinkt het. En eerder, omineuzer: fire and fury zou het regenen, als Noord-Korea niet ophoudt met haar dreigementen. Wat de semi-serieuze vraag oproept, mag dat wel, op Twitter een ander land dreigen met militair ingrijpen of zelfs nucleaire aanval?

De Twitter TOS en meer specifiek de Twitter Rules zijn duidelijk:

Any accounts and related accounts engaging in the activities specified below may be temporarily locked and/or subject to permanent suspension.
Violent threats (direct or indirect): You may not make threats of violence or promote violence, including threatening or promoting terrorism. (…)
Hateful conduct: You may not promote violence against or directly attack or threaten other people on the basis of race, ethnicity, national origin, sexual orientation, gender, gender identity, religious affiliation, age, disability, or disease.

Het zou bij dergelijke acties niet uit moeten maken wat je status is, of je nu spreekt als gewone individuele burger of als politicus. Alleen zijn dit soort regels natuurlijk niet bedoeld voor situaties waarin landen uitingen doen. Het strafrecht (waar deze normen aan ontleend zijn) is immers bedoeld voor de burger, niet voor een regeringsleider die officiële uitspraken doet. (En ja, wat Trump twittert is officieel.) Het voelt dus niet helemaal logisch om de Twitter TOS te hanteren om een presidentiële uitspraak met regeringsbeleid erin aan te pakken. Alsof je de Kijkwijzer wat laat vinden van een grensconflict.

De kans dat Twitter wat gaat doen tegen het account van Trump lijkt me dan ook minimaal. Weliswaar zeggen ze dat de regels voor iedereen gelden, maar men weegt nieuwswaarde mee en je kunt veel vinden van Trump, maar nieuwswaarde heeft het zeker wat hij Twittert.

Arnoud