Journalistiek

Onpartijdig, onafhankelijk nieuws, uitsluitend in dienst van het branchebelang.

Nationale routering, bedreiging voor de sector?

  • Door
  • Rashid Niamat
  • geplaatst op
  • 14 oktober 2013 08:01 uur

Europese vlagBedrijven, burgers en sommige politici maken zich zorgen over de vertrouwelijkheid van informatie. De onthullingen van Snowden en consorten hebben ervoor gezorgd dat een uitgangspunt van communicatie – de veiligheid tussen beide eindpunten – niet langer kan worden gegarandeerd. Hoogste tijd dus een oplossing te bedenken die het vertrouwen in data integriteit weer herstelt.

Wie integriteit van data belangrijk vinden? Dat zijn meerdere groepen gebruikers van elektronische communicatie en elk hebben ze daar uiteenlopende redenen voor. Politici en burgers laten we even buiten beschouwing, de groep die dan overblijft zijn zakelijke gebruikers op de elektronische snelweg – beter bekend als het internet – in al zijn facetten.

Bedrijven die informatie aanbieden via het internet hebben zoals bekend een duidelijk belang bij integriteit van data. De aanbiedingen die ze doen, bijvoorbeeld via het exploiteren van een webshop, moet niet door derden kunnen worden gemanipuleerd. Personen of bedrijven die zaken doen via het internet moeten er op kunnen vertrouwen dat de verstrekte data veilig wordt opgeslagen en verwerkt. Verlies of misbruik ervan is voor alle partijen onacceptabel. Maar bedrijven maken ook nog op een andere manier gebruik van IP-based netwerkdiensten. Om te kunnen communiceren zijn e-mail, voip, messaging, en online samenwerking vandaag de dag niet meer weg te denken.

En juist die vormen van internetgebruik zijn door de onthullingen zwaar beschadigd. Want het blijkt dat deze gewone communicatie op grootschalige wijze door Britten en Amerikanen wordt gemonitord en afgetapt. Onder het mom van terrorismebestrijding is er sprake van grootschalige spionage waarbij bedrijven worden doorgelicht en kennis kan worden ontvreemd.

Hier een oplossing voor verzinnen is lastig, want bedrijven opereren steeds vaker grensoverschrijdend en de communicatie-infrastructuur is dat daarmee ook. Om toch een zekere mate van zicht te houden op de integriteit en veiligheid van data is daarom in Duitsland het volgende voorstel gedaan om communicatienetwerken op een andere manier in te richten (link). Voor gewone communicatie zal er niks veranderen, voor extreem vertrouwelijke communicatie wordt gedacht aan een IP-based netwerk dat alleen binnen de landsgrenzen werkt en voor communicatie binnen de EU-landen zou met routering voorkomen dienen te worden dat er data via of door de VS en GB (!) wordt gestuurd.

Dit is geen vroege 1 aprilgrap maar een serieus voorstel van Deutsche Telekom! Dat er op deze manier wordt gedacht, geeft aan hoe zeer spionage als een nationale bedreiging wordt beschouwd.

Het voorstel leidt tot drie vragen: ten eerste hoe maak je hierover afspraken als je weet dat nationale routering een vorm van kartelvorming kan zijn om concurrentie te belemmeren. Volgende vraag: is het technisch mogelijk? Tenslotte de vraag wat de impact zou zijn op de Nederlandse hosting- en datacentersector en de internetknooppunten?

Michiel, 14 oktober 2013 12:13 pm

Het roept een intrigerende vraag op.
In 1995 of rond die tijd concludeerden we al dat Internet transport niet veilig was, en bedachten we SSL transport.
Wat is daar nou eigenlijk en precies mee gebeurd? Kunnen overheden alle versleuteling kraken en is encryptie daarmee zinloos geworden?
Of kunnen we nog steeds ons verkeer beschermen tegen meekijkers door goede versleuteling?
Wie durft dit inhoudelijk uit te diepen?

Paul van Brouwershaven, 14 oktober 2013 12:41 pm

Zoals Snowden heeft aangegeven is niet alle versleuteling te kraken en is dit een van de grootste problemen waar de NSA tegen aan loopt. In voordeel van de inlichtingen diensten gebruiken veel SSL websites echter sterk verouderde software en foutieve instellingen waardoor er misbruik gemaakt kan worden van bekende zwakheden en deze protocollen (ongeveer 90% van de SSL websites heeft een of meerdere configuratie fouten). Website eigenaren hebben veel zelf onder controle door geen zeer oude SSL versies te ondersteunen, sterke cipher suites de voorkeur te geven, software te updaten en dit allemaal regelmatig te onderhouden. Waar dit het allemaal een stuk veiliger maakt geeft het helaas nog geen garantie aangezien niemand exact weet wat deze overheidsinstellingen precies wel en niet kunnen.

Sites als https://sslcheck.globalsign.com/ helpen bij het testen van je SSL Configuratie.

Randy, 14 oktober 2013 2:06 pm

SSL heeft geen zin. Uitgevers, veelal US-based, worden gedwongen hun private key af te staan, waardoor al het verkeer realtime gedecodeerd kan worden. Uiteraard wordt dit door iedere uitgever ontkent. Lavabit ontkende dit niet, wou niet meewerken en kon haar deuren sluiten.

Paul van Brouwershaven, 14 oktober 2013 2:24 pm

@Randy Als je de private key weggeeft heeft SSL inderdaad niet heel veel zin. Zoals elke soort 'beveiliging' waarbij je een deur open laat.

Maar jou punt doet enkel mijn standpunt over SSL bekrachtigen, zolang je zorgt dat de privé sleutel veilig is en je server goed configureerd is SSL een prima methode om gegevens te beveiligen.

Het voorbeeld waar jij het trouwens over hebt ging trouwens niet over SSL verbindingen maar over data encryptie (op disk of in een database) met behulp van public and private keys welke ook gebruikt worden bij SSL verbindingen.

Uiteindelijk is het de vraag of jij degene waarmee je de data uitwisselt wel kan vertrouwen, in jou voorbeeld duidelijk niet.. ook al was het uiteindelijk de Amerikaanse overheid welke via de rechter de private key heeft weten op te eisen. Dit is een zeer schandelijke zaak maar gaat meer over politiek dan over protocollen.

Lennie, 24 oktober 2013 4:59 pm

@Paul
Nee, ze vragen ook private keys op voor SSL-server.

Er is duidelijk gebleken dat NSA geen moeite heeft met 2 dingen:
- zwakke SSL-encryptie/configuratie breken

- man-in-the-middle-attacks uitvoeren van doubleclick in dit geval

- het opvragen van SSL-private-sleutels voor het realtime of afteraf decrypten van de data die over de lijn gaat

Dus als je het goed wilt doen moet je: voldoende bits gebruiken, de juiste configuratie, een browser die dat ondersteund en perfect forward secrecy instellen. PFS kan het laatste punt van de lijst hierboven oplossen omdat er iedere keer een andere key wordt gegenereerd voor het communiceren tussen client en server.

En niemand die weet wat die 'juiste configuratie' dan precies is of hoe lang nog.

Paul van Brouwershaven, 24 oktober 2013 5:17 pm

@Lennie

Dat is wat ik in mijn eerste post ook schreef, maar als we dan toch verder in de details treden vergeet dan niet dat de software moet zijn bijgewerkt met de laatste patches en dat OCSP stapling is geconfigureerd.

PFS helpt wel tegen het decoderen van historische data maar helpt niet voor sessies welke live worden gevolgd nadat de privé sleutel is gecompromitteerd.

En zoals ik ook al in mijn tweede reactie schreef bepaal jij zelf aan wie je de key geeft. Simpel de privé sleutel opvragen (en geven) vind ik geen hacken!

Lennie, 24 oktober 2013 5:23 pm

@Paul Ik zie niet in hoe OCSP stapeling veiliger is dan gewoon OCSP-status opvragen bij CA.

Volgens mij kun je live sessies met PFS ook niet decrypten.

Er wordt een sleutel gegenereerd die in het heugen staat op de server. Dan moet je daar al bij kunnen.

NSA houd zich meestal bezig met kijken naar verkeer op de lijn. Daarbij is duidelijk geen verschil tussen live en later.

Met het opvragen van de sleutel bedoel ik maar te zeggen, dat zijn praktijken die de NSA heeft gedaan.

Maar goed, je moet ook niet alleen rekening houden met NSA of wat de NSA in het verleden heeft gedaan natuurlijk ;-)

Paul van Brouwershaven, 24 oktober 2013 5:33 pm

@Lennie
Als je geen OCSP stapling gebruikt dan kan de OCSP server geblokkeerd worden aan de gebruikers kant. Aangezien browsers geen hard fail toepassen zal een teruggetrokken certificaat niet geconstateerd worden.

Er wordt inderdaad steeds een nieuwe sessie sleutel gegenereerd maar zover ik weet is deze niet veilig wanneer de private key gecomprimeerd is, details zou ik even moeten op zoeken.

Zodra een beheerder van een server (/database) gegevens gaat weggeven dan is eigenlijk niets meer veilig. Of dit nu de gegevens zelf zijn of een privé sleutel om tot deze gegevens toegang te krijgen.

Lennie, 24 oktober 2013 5:36 pm

Ja, dat is wel waar als het om OCSP gaat. Goed punt.

Betreffende de sessie sleutel: PFS is dus precies daarvoor gemaakt dat als de private key uitlekt dat dan het verkeer nog steeds veilig is. Dat is de bedoeling/nut van het PFS protocol.

Paul van Brouwershaven, 25 oktober 2013 8:21 am

@Lennie

Je hebt inderdaad gelijk dat de sessie keys van PFS voor elke sessie specifiek gecreëerd worden maar de privé sleutel zorgt ook voor authenticatie van de sessie. Door de privé sleutel weg te geven kan er een MITM aanval worden gebruikt om zo alsnog de gegevens af te luisteren waarbij je nieuwe 'veilige' sessie sleutels van de aanvaller krijgt.

Laatste reacties

Bedankt voor het succes van ISPam.nl
Koen Stegeman, Editor-in-Chief & founder Hostingjournalist.com: Jammer Arnout, maar je hebt een mooie bijdrage aan de hosting industrie geleverd, en dat jaren lang....

Bedankt voor het succes van ISPam.nl
Dillard Blom: Jammer dat een 'instituut' verdwijnt, en daarmee een bron van informatie over actuele zaken (en opin...

Bedankt voor het succes van ISPam.nl
L.: Uit automatisme kijk ik toch nog steeds elke dag naar ispam.nl, toch de hoop dat er nog een berichtj...

Bedankt voor het succes van ISPam.nl
Toni Donkers: Arnout bedankt! ik ga het missen dat is een feit!

Bedankt voor het succes van ISPam.nl
Marcel Stegeman: Ik zie het nu pas. Inderdaad jammer maar ik kijk nu al uit naar het volgende project.