Tools en tips die PRISM-zaken tegengaan

Door het bekend worden van het Amerikaanse spionageprogramma PRISM is de hele wereld op zoek naar oplossingen om dit soort praktijken tegen te gaan. Verschillende nieuwe tools en producten komen op de markt, maar ook blijken reeds bestaande producten deels of volledige veiligheid en anonimiteit te garanderen. Computable maakte met zijn experts een inventarisatie van tips en oplossingen. Dit overzicht is niet compleet, via de invulvelden mogen lezers aanvullingen doen.

Een groep van vijf ontwikkelaars heeft de tool NaviChat ontwikkeld waarmee volledig anoniem gecommuniceerd kan worden. De ontwikkelaars vinden het recht op privacy een basis die niet door overheden geschonden mag worden. Voor het in-huis ontwerp en de service is Kwik-Bit automatisering verantwoordelijk. Ook Sectra kwam onlangs met een anti-afluisteroplossing. Panthon 3 maakt het mogelijk om beveiligde gesprekken te voeren en beveiligd sms’en te versturen op geselecteerde smartphones met het Android-besturingssysteem. Voor het gebruik is echter wel toestemming vereist van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD).

Cor Rosielle, chief technology officer, Outpost24

Ik vind NaviChat en het product van Sectra wel interessant en ze kunnen zeker bijdragen tot meer privacy. Bij beide producten zie ik echter bezwaren waardoor volledige privacy niet gewaarborgd kan worden. Onder aanname dat NaviChat inderdaad geen sleutels opslaat op servers, is het niet uitgesloten dat logfiles van Kwik-Bit of hun service provider worden opgevraagd. Op basis daarvan kan misschien niet de inhoud van het bericht worden waargenomen, maar wellicht is op basis van meta-informatie vast te stellen wie met wie communiceert.

De oplossing Sectra heeft ernstige gebruiksbeperkingen: er is goedkeuring door AIVD vereist. Dat betekent dat dit product niet voor iedereen en voor alle doeleinden beschikbaar zal zijn, een ernstig tekort. Verder is een groot nadeel dat de AIVD niet bekend staat om openheid of om zich te verantwoorden, zelfs niet naar ons parlement. De vraag die dan rijst is of de AIVD of het Nationaal Bureau voor Verbindingsbeveiliging wel toegang heeft of kan verkrijgen tot de encryptiesleutels. Dit geheel naar analogie van de beschuldigingen die in het kader van PRISM geuit worden naar Google, Microsoft, et cetera.

Voor beide oplossingen geldt dat het nog steeds mogelijk is dat de versleutelde communicatie wordt afgetapt en opgeslagen. De inhoud kan dan misschien niet op dit moment worden ontcijferd, maar misschien kan dat morgen, volgende week, volgend jaar of over een aantal jaren wel. Het is sterk afhankelijk van de inhoud van die communicatie of de privacyschending dan nog steeds ernstige gevolgen kan hebben. Bij een kliklijn zal een getroffen georganiseerde misdaadorganisatie de rekening wel presenteren aan de verklikker, ook na vele jaren.

De reden dat de inhoud van de berichten gekraakt kan worden hoeft niet alleen veroorzaakt te worden door voortschrijdende technieken in cryptologie, maar het kan ook veroorzaakt worden door bugs in de software. De ervaring leert dat er met enige regelmaat updates beschikbaar komen voor Tor om security issues te verhelpen, terwijl dit product bekend staat om privacy te waarborgen.

Het beste is om zo min mogelijk privacygevoelige informatie te verstrekken. Daar waar dat toch vereist wordt, kun je overwegen om gewoon te liegen. Vraag je ook eens wat vaker af wat de gevolgen zijn als je bepaalde informatie gewoon niet verstrekt. Vaak is het helemaal niet nodig dat je dingen vrijwillig of spontaan vertelt of dat je vragen beantwoordt.

En als je dan toch iets vertrouwelijk moet delen met een ander, overweeg dan eens om het mensen in een persoonlijk gesprek te vertellen (nee, niet telefonisch of Skype, maar gewoon elkaar opzoeken en praten). Als dat lastig te realiseren is, bijvoorbeeld door grote afstanden, denk dan eens om de boodschap is stukken te splitsen en die allemaal via een ander kanaal te versturen (out-of-band). Verstuur een deel via messaging (het liefst versleuteld), een deel via e-mail (dat kan ook versleuteld, bijvoorbeeld met PGP) en een deel via de telefoon en zodanig dat alle delen een essentieel onderdeel van de gehele boodschap bevatten. In dat geval moeten verschillende communicatiekanalen allemaal getapt worden, maar ook op de juiste manier met elkaar gecombineerd worden.

Matty Bakkeren, technical account manager (ETS), Intel

De beste manier om data te beveiligen is deze te encrypten en de key’s veilig te houden. Daarvoor heb je bijvoorbeeld AES-NI. Ook kan je bij data in rest of data in flight de encrypties offloaden. Zodoende reduceer je de performance-impact van encryptie (zeker in combinatie met ssd) van hd of bij het opzetten van ssl-sessie’s naar een server of het encrypten van records in een database.

Een andere manier om je communicatie wat veiliger te maken is om second level-authenticatie uit te voeren. Identity protection technology is een op hardware gebaseerd second level-authenticatiemechanisme. Het bevat vier sub-usage-modellen. IPT-PTD (protected transaction display) is specifiek bedacht om man in the middle (man in the browser)-attacks uit te sluiten.

Verder heb ik nog een persoonlijke toegift: 1Password. Deze wachtwoordmanager is gebruiksvriendelijk en lijkt mij vrij veilig. Op internet las ik er een blog over. Ik ben al jaren persoonlijk fan en gebruiker van dit product. Het werkt in ieder geval geweldig.

Erik Remmelzwaal, algemeen directeur, DearBytes

Een oplossing die voorkomt dat data überhaupt het internet op gaat is Data Loss Prevention van McAfee. Dit is een geïntegreerde suite van software en hardwareoplossingen om op de computers en in het netwerk datastromen te kunnen analyseren. Door middel van de juiste policies kan daarin worden gerealiseerd dat data dat op een bepaalde wijze is geclassificeerd niet het internet op kan (en dus ook niet in de sleepnetten van PRISM of vergelijkbare surveillance-praktijken).

Om met dit soort middelen gevoelige informatie te kunnen onderscheiden van data die wel het internet op kan, is classificatie ervan wel heel belangrijk. Daar heb je de classificatiesoftware van Titus voor, waardoor in de meta-informatie van bestanden en e-mails informatie over de gevoeligheid ervan kan worden vastgelegd, maar dan op een heel gebruiksvriendelijke manier. Op zo’n manier dat DLP-oplossingen het kunnen onderscheiden en het juiste beleid erop kunnen loslaten.

Een andere oplossing die data versleutelt als die het internet op gaan is encryptie. Encrypted data komt wel in de vangnetten van PRISM-achtige tools, maar kan dan niet worden uitgelezen zonder kennis van de encryptiesleutel. Let wel: bekend is geworden dat juist encrypted data eindeloos wordt bewaard door de NSA, en dit hen de mogelijkheid biedt om jarenlang te proberen de encryptie te kraken net zolang tot het lukt. Als je ook dat een te groot risico vind dan moet je dus echt vooral aan optie de eerdere opties denken.

Encryptie kan ook weer op tal van manieren gebeuren. Encryptie van datastromen zelf is wel bekend, denk aan https en tls voor smtp. Het nadeel ervan is dat dit aan twee kanten van de lijn een configuratie vereist waarover dus op voorhand moet worden nagedacht. Als we naar e-mail kijken, dan zou ik aanraden om na te denken over een e-mailencryptieoplossing die volgens het pull- of push-mechanisme werkt. Daarbij is het niet op voorhand met de ontvanger van je e-mail een ‘lastige’ configuratie op te bouwen en toch direct al op een veilige wijze je e-mail kunt versturen.

Pull wil zeggen dat de ontvanger van een e-mail niet een e-mail met bijlage ontvangt, maar dat de bijlage achterblijft in een portal en dat de ontvanger een linkje en uitnodiging krijgt om die bijlage over https op te halen. Push wil zeggen dat een attachment automatisch wordt ingepakt in een encrypted container, bijvoorbeeld .zip met een wachtwoord erop. Zo is er bijvoorbeeld CryptShare die pull ondersteunt en McAfee Email Gateway die zowel pull als push ondersteunt.

Een andere vorm van encryptie is die op bestandsniveau. Dus een willekeurige file zodanig versleutelen dat het communicatieprotocol op zich open mag zijn, maar de data die over de lijnen gaat onleesbaar blijft. Dit kan op tal van manieren gebeuren, maar het nadeel is dat het in grote omgevingen vrij ongebruiksvriendelijk is. Daar heeft McAfee de oplossing Endpoint Encryption for Files & Folders voor. Dit komt uit de overname van het voormalig Nederlandse SafeBoot en is inmiddels volledig geïntegreerd met de andere McAfee-securitysoftware. Met andere woorden, het kan binnen een omgeving die al voorzien is van McAfee-software en gemanaged wordt met ePolicy Orchestrator in een handomdraai worden uitgerold. Het levert de mogelijkheid op om op de achtergrond op elke computer een agent te hebben die signaleert als bepaalde data wordt opgeslagen of geopend.

Wanneer een file read of write aan een bepaalde policy voldoet, dan kan daarop automatisch encryptie/decryptie worden toegepast, zonder dat de gebruiker dus zelf hoeft na te denken over een wachtwoord. Denk aan een afgesproken locatie in het netwerk die geconfigureerd wordt als secure folder. Alle files die daar naartoe worden weggeschreven, worden dan automatisch versleuteld. De gebruikte sleutels kunnen op gebruikerniveau aan mensen beschikbaar worden gesteld zodat zelfs binnen de organisatie de data echt alleen bruikbaar is voor geautoriseerde medewerkers. Kortom, een heel gebruiksvriendelijke oplossing die ik iedere organisatie die zich zorgen maakt over hun informatie van harte aanbeveel.

Peter Foppen, sales engineer, Comstor

Er zijn heel veel oplossingen waarmee je netwerkverkeer kan versleutelen met behulp van bijvoorbeeld IPSec of ssl-tunnels. Vaak is dit een basisfunctionaliteit van routers en security appliances of utm-appliances. Uiteindelijk is security een kwestie van vertrouwen. Zo weet ik van een bank die utm-/firewall-appliances van een Europese fabrikant wilde hebben, omdat ze geen backdoor wilde hebben (of het risico daarop) in apparatuur van bijvoorbeeld Amerikaanse leveranciers, zoals Cisco of Juniper. Vertrouwen is dezelfde reden waarom het Chinese Huawei geen energie meer in de Amerikaanse markt steekt.

Encryptie van gegevens is handig, want je wil gegevens niet op een zilveren schaal weggeven, maar in deze discussie vond ik deze comic veelzeggend: http://xkcd.com/538. Sterke encryptie is een veelvoorkomende manier om gegevens veilig te versturen. Het is de sterkste schakel. Dus ‘men’ (overheden en criminelen) richt zich op andere manieren om gegevens te onderscheppen. De Amerikaanse NSA richt zich op Amerikaanse online services en cloud providers zoals Facebook en Microsoft. Criminelen richten zich op slecht beveiligde pc’s van consumenten om zo creditcard- en bankgegevens te onderscheppen. Men richt zich op de zwakste schakel.

In die zin wil ik het al oude deurslot nomineren als oplossing tegen PRISM. Je kunt heel veel geld uitgeven aan encryptiesoftware en -apparatuur, maar als de deur van de serverruimte niet op slot zit, heeft dit weinig zin. Als je datacenters selecteert om clouddiensten af te nemen, kies dan een datacenter waar de Europese of Nederlandse jurisdictie geldt. Het gaat om de volledige keten van communicatie.

Steven Vlastra, senior systems engineer Benelux, Blue Coat Systems

Ik verbaas mij over het feit dat men in der haast tools ontwikkelt om meekijkactiviteiten als PRISM tegen te gaan. Ze gaan er volledig aan voorbij dat met deze tools de zichtbaarheid van het verkeer volledig wordt afgeschermd. Een onmogelijke zaak voor een organisatie om op dat moment te kunnen detecteren of dit verkeer legitiem naar buiten gaat of dat het hier gaat om het ‘lekken’ van vertrouwelijke data, advanced persistent threats (apt’s) en eventuele advanced targeted attacks (ata’s).

Nu ben ik zelf werkzaam als systems engineer voor Blue Coat Systems. Een van de acquisities die wij onlangs hebben afgerond is die van Solera Networks. Solera biedt security intelligence en analytics (sia) op big data. Het komt er op neer dat Solera een camera met opnamefunctionaliteit is voor het bedrijfsnetwerk, door realtime al het netwerkverkeer (L2-L7) te analyseren. Het stelt organisaties in staat om context op te bouwen in het geval van een apt, malwareinfectie, dataverlies, et cetera.

Ik vind dat het inzetten van client encryptietools niet de oplossing van het probleem is. Per slot van rekening is het veel interessanter om uit te gaan van het standpunt dat er meegekeken wordt, maar ben ik als organisatie daarvan op de hoogte? Vragen als welke systemen zijn geïnfecteerd, hoe heeft de infectie zich tot het netwerk doorgedrongen, is de aanval over, et cetera. leven bij het C-level van organisaties, maar kunnen zelden tot niet ingevuld worden met de huidige securitymaatregelen.

Het optrekken van een rookgordijn door deze tools, zal alleen maar averechts werken en problemen voor organisaties groter maken. Jammer dat hier verder niet op ingegaan wordt, en dat het gebaseerd is op basis van angst.

Jurgen de Poorter, pre-sales consultant, Crypsys

Data is steeds meer ‘on the move’ en is om die reden, vaak ook (makkelijker) toegankelijk voor derden. Ook wordt steeds data gedeeld via e-mail en online storageoplossingen. Steeds meer aandachtsgebieden en uitdagingen dus als je jouw data veilig wil delen met klanten en/of medewerkers.

De meeste e-mail encryptie-oplossingen zijn gateway-gebaseerd en dan ook alleen maar te gebruiken wanneer je communiceert met een klant en/of organisatie die ook een gateway-gebaseerde e-mail encryptie-oplossing gebruikt. Wanneer je ook incidenteel of naar gebruikers zonder een gateway gebaseerde oplossing beveiligd wil mailen, wordt het vaak lastiger en misschien wel onmogelijk. Met Sophos SPX encryptie is het mogelijk om per mail te bepalen of je deze wel of niet met encryptie wilt versturen, dit door middel van het aanklikken van een button binnen de e-mail client.

Naast e-mail worden cloud storage-diensten steeds meer gebruikt. Niet alleen om privédata op te slaan maar ook steeds meer om zakelijke bestanden te delen met collega’s en klanten. Uitdaging hierbij is dat je niet precies weet waar jouw data zich bevind en wie daar allemaal bij kunnen, al dan niet gewenst. Het beveiligen van deze bestanden is dan ook de oplossing. Met Sophos Encryption for Cloud Storage kun je op een veilige manier gebruik maken van cloud storage-diensten geheel transparant voor gebruikers.

Eddy Willems, global security evangelist, G-Data

Voor iedereen, met name gebruikers die gebruik maken van clouddiensten zoals bijvoorbeeld Gmail of Dropbox, maar ook voor andere gebruikers die hun gegevens zo privé mogelijk willen houden, is het verstandig om bestanden en gegevens eerst te versleutelen voordat ze via het internet worden verstuurd. Het is verder verstandig voor mensen die veel van privacy houden, om hun belangrijke documenten op hun pc in een datakluis te bewaren, waarin de documenten zijn versleuteld en waarvoor een extra wachtwoord nodig is.

Overigens vind ik het ook belangrijk om iedereen erop te wijzen dat heel veel van de privacygevoelige informatie die voor een spionageproject interessant zou kunnen zijn, eenvoudigweg door gebruikers zelf wordt gepubliceerd op sociale netwerken. Wie zich boos maakt over PRISM en de NSA doet er dus verstandig aan om eerst bij zichzelf na te gaan of hij zelf wel voorzichtig met zijn eigen gegevens omgaat op dergelijke netwerken. Want daar valt volgens mij al een wereld te winnen.

Richard Jonker, vice president Emerging Markets, Netgear

Mensen en bedrijven die via internet met elkaar in verbinding staan, moeten zeker zijn van vrijheid en gelijkheid. Wanneer je deelneemt aan een public cloud, dan maak je gebruik van die mogelijkheden. Daarin is het hybride model, tussen public en private, het ideale cloudmodel. Wanneer je als bedrijf of consument kiest voor een private cloud, maak je geen gebruik van de diensten die door PRISM gescand zouden worden. In een private cloud kan je altijd bij je data, waar je ook bent, via ieder soort scherm. De verbinding moet wel voorzien zijn van encryptie. Er zijn oplossingen voor de meest voorkomende public cloud-toepassingen; van filesharing tot e-mail, crm, Dropbox, media streaming, contacts en kalender, vpn, blogs, cloud back-up.

Arie Timmerman, information security consultant, Capgemini

PGP (Pretty Good Privacy) is een bekende versleutelmethode die werkt door de te versleutelen tekst eerst te comprimeren, vervolgens te versleutelen met een publieke sleutel van de ontvanger, waarna het bericht verstuurd kan worden en weer leesbaar gemaakt met de private sleutel van de ontvanger. PGP wordt vooral gebruikt om de integriteit en vertrouwelijkheid van e-mailberichten te waarborgen. Helaas ondersteunen veel e-mailclients PGP niet standaard, wat toepassing van de methodiek weinig gebruikersvriendelijk maakt.

Gert Jan Timmerman, hoofd Kenniscentrum, Info Support

Een website die al heel lang bestaat is http://infoencrypt.com. Hier kun je een bericht versleutelen met een zelfgekozen wachtwoord. Het bericht wordt geëncrypt en je kunt de tekst dan zelf in bijvoorbeeld een e-mail kopiëren. Uiteraard is de bescherming afhankelijk van de kracht van het zelfgekozen wachtwoord en van het aantal keren dat je hetzelfde wachtwoord gebruikt (zo weinig mogelijk). Ook moet je zelf zorgen (via een ander medium) dat je het wachtwoord deelt met de geadresseerde. Dat laatste is vaak lastig.

Fred Streefland, director Education, Training & Knowledge Center, ENCS

De PRISM-onthullingen waren helemaal geen verrassing voor mij. Sinds de wereld interconnected is, bestaan deze mogelijkheden. Als ex-inlichtingenofficier, ga ik er al vanuit dat ik constant ‘bekeken/afgeluisterd’ word en gedraag mij als zodanig. Ook al claimen bedrijven/organisaties dat zij tools hebben die dit voorkomen, er zijn legio andere manieren om mensen en hun gedrag te ‘observeren’. Dus ik geloof niet meer in pivacy en denk dat de mensen dit moeten beseffen, tenzij zij in een grot zonder enige vorm van contact willen leven. Ik heb dan ook geen anti-PRISM oplossing.