nieuws

Book: Information security for journalists - V1.1

With journalist Silkie Carlo I have co-authored a 'handbook' on practical information security for journalists commissioned by the UK Centre for Investigative Journalism. The CIJ handbook 'Information Security for Journalists' was launched at the CIJ Summer School 2014 in London. The book will be forever freely available in a range of electronic formats - see download links below. In the four months after the initial publication in we have rewritten certain parts based on feedback from the initial readers and updated other parts to stay current with the latest software changes. Many thanks to all who gave us valuable feedback.

Altough this book was originally written for investigative journalists most of the described concepts and technical solutions are just as usable by lawyers or advisors protecting communications with their clients, doctors protecting medical privacy and of course politicians, activists or anyone else who engages powerful state and corporate organisations. Really, we're all journalists now. Inside the book is a mailadres for getting in touch, please let us know how your are using it and what we can do better.

If you have reasons to suspect your online movements are already under some form of surveilance you should not download this book using a computer or netwpork associated with your identity (such as your home or work systems).

Several participants of journalist training programs have written articles: Information security for journalists: staying secure online by Alastair Reid (from journalism.co.uk) - A day with the surveillance expert by Jason Murdock, Offtherecord.in - Valentina Novak wrote this interview after a lecture & workshop in Slovenia last November.

On Tuesday July 8th 2014 I was once more a guest on Max Keiser's programme 'The Keiser Report' to discuss the book. Video here on my blog, here on RT site and here on Youtube.

From the 'backflap' of the book:

RT.com interview on 'secure' smartphone apps

On Friday October 17th I was interviewed by Russia Today on the security of 'secure' smartphone apps that turn out to not be so secure. After 18 months of Snowden revelations that should be not news but for the Guardian newspaper it is.

Bankrupting the NSA with Tails & defeating TTIP

On Tuesday July 8th 2014 I was once more a guest on Max Keiser's programme 'The Keiser Report'. Max is a former Wall Street trader who foresaw the current economic crisis a decade ago. On his show he lets rip on the insane financial system and allows his guests to do the same.

Max asked me about the handbook 'Information Security for Journalists' I co-authored with journalist Silkie Carlo. The tools and methods it describes can help is slowing down the NSA by increasing the cost of surveiling individuals by a factor of about 1 million. We also discussed the latest US-inspired attempt-at-corporate-takeover-disquised-as-trade-agreement known as TTIP. I think this wil be defeated in the same way as its smaller precursors ACTA and SOPA before it because it is not in Europe's interest. This will require some serious action on behalf of Europeans since our politicians seem a tad slow in recognising the patterns here.

Full Keiserreport episode here on RT site and here on Youtube.

Book: Information security for journalists

With journalist Silkie Carlo I have co-authored a 'handbook' on practical information security for journalists commissioned by the UK Centre for Investigative Journalism. The CIJ handbook 'Information Security for Journalists' was launched at the CIJ Summer School 2014 last weekend in London. The book will be freely available in electronic format and in print after the summer. Just like last year I gave lectures (slides) and ran a hands-on workshop to get journalists 'tooled-up' so they can better protect their sources, themselves and their stories in a post-Snowden world.

From the 'backflap' of the book:

This handbook is a very important practical tool for journalists. And it is of particular importance to investigative reporters. For the first time journalists are now aware that virtually every electronic communication we make or receive is being recorded, stored and subject to analysis and action. As this surveillance is being conducted in secret, without scrutiny, transparency or any realistic form of accountability, our sources, our stories and our professional work itself is under threat.

After Snowden’s disclosures we know that there are real safeguards and real counter measures available. The CIJ’s latest handbook, Information Security for Journalists, lays out the most effective means of keeping your work private and safe from spying. It explains how to write safely, how to think about security and how to safely receive, store and send information that a government or powerful corporation may be keen for you not to know, to have or to share. To ensure your privacy and the safety of your sources, Information Security for Journalists will help you to make your communications indecipherable, untraceable and anonymous.

Although this handbook is largely about how to use your computer, you don’t need to have a computer science degree to use it. Its authors, and the experts advising the project are ensuring its practical accuracy and usability, and work with the latest technology.

Gavin MacFadyen,
Director of the Centre for Investigative Journalism

This handbook is being translated into Arabic, Chinese, French, German, Portugese, Spanish, and other languages

On Tuesday July 8th 2014 I was once more a guest on Max Keiser's programme 'The Keiser Report' to discuss the book. Video here on my blog, here on RT site and here on Youtube.

De andere IT van een ander Nederland

Onderstaande column is het vervolg op een artikel dat ik schreef in de eerste week van het Snowden/NSA schandaal in juni 2013. Waar dat artikel de concrete problemen beschreef beschrijf ik hieronder de andere keuzen de gemaakt hadden kunnen worden en nog steeds gemaakt worden en de voordelen voor Nederland en Europa ten opzicht van het huidige 'beleid'.

Ook gepubliceerd in het Engels op Consortium News en de Huffington Post

De afgelopen 10-15 jaar heeft de IT in Nederland zich niet ontwikkeld in lijn met publieke belangen en het garanderen van grondrechten van de burgers van Nederland. Ook zijn er enorme kansen op het gebied van economische ontwikkeling en werkgelegenheid gemist. Nederland besteedt veel IT uit aan buitenlandse partijen wat niet alleen tientallen miljarden Euro's (1-2% BNP) aan lokale economische groei/werkgelegenheid kost maar de samenleving ook de-facto uitlevert aan buitenlandse spionage op bestuurlijke instanties, bedrijfsleven en alle individuele burgers. Hoewel voor deze risico's al ruim 15 jaar werd gewaarschuwd is dit laatste aspect het afgelopen jaar door de onthullingen van Edward Snowden onweerlegbaar en zijn volle omvang aangetoond. 12 maanden later is er in Nederland geen spoor van een reactie op deze problematiek.

Het had ook anders gekund...

In de eerste 21 maanden van de 21ste eeuw barstte de dotcom bubbel en storten er drie wolkenkrabbers in elkaar in New York. Tussen deze twee gebeurtenissen in verscheen in de zomer van 2001 een grotendeels vergeten rapport aan het Europese Parlement dat de schaal en impact van elektronische spionage beschreef op Europa door de VS en haar 'Echelon' partners (Canada, het VK, Australië en Nieuw Zeeland). Naast een gedetailleerde probleem-analyse gaf het rapport ook concrete voorbeelden van beleidsmaatregelen op IT gebied die overheden konden nemen om buitenlandse inlichtingendiensten het bespioneren van Europa een stuk moeilijker te maken.

In dezelfde periode had de Amerikaanse overheid had een van de grootste anti-trust zaken in haar geschiedenis, tegen Microsoft, gewonnen en de EU was naar aanleiding van deze overwinning een vergelijkbare zaak gestart die ook tot een veroordeling en de hoogste boete in de geschiedenis van de EU zou leiden.

Het was tegen deze achtergrond dat het nadenken over de strategische versus operationele aspecten van IT in de publieke sector veranderde. Het rapport over Echelon maakte duidelijk dat het reduceren van IT tot een instrumentele zaak rampzalige consequenties had op de soevereiniteit van Europese staten te opzichte van, met name, de VS (en wellicht in de toekomst China, andere technisch capabele landen of niet-statelijke organisaties). Ook de economische gevolgen van industriële spionage tegen bedrijven werd een punt van zorg voor de overheid.

Sidekick BNR digitaal

Op woensdag 4 juni was ik de sidekick bij BNR digitaal en mocht ik Herbert Blankenstein ondersteunen.

We spraken over HHB-tv, een nieuwe methode van TV-uitzendingen met allerlei additioneel oproepbare informatie/content stromen waar de NOS meer aan het expertimenteren is. Verder over het eenvoudig inbreken en overnemen van de computernetwerken die de meeste moderne auto's besturen met mogelijk specaculaire gevolgen. Als laatste over Nederlands bedrijf Selphee de makers van een nieuwe app die foto's en korter video's tot een enkel media-object maakt dat eenvoudig via social media te delen is. Ben zelf geen smartphone gebruiker maar nieuwe mediavormen leiden altijd tot onverwachte nieuwe toepassinge en kunstvormen. Ben beniewd wat er de komende maanden gemaakt gaar worden.

Luister hier de BNR stream of de MP3.

De volledige video van Motherboard over slecht beveiligde auto's hier:

Kerckhoffs lecture: what Europe needs to do after Snowden

At 12:30 on Friday 13th of June 2014 I will give the Kerckhoff Lecture at the Radboud Universities Kerckhoffs Institute for information security in Nijmegen in room HG00.068. For an audience of students and faculty who probably know more about the maths of cryptography than myself I will talk about the tech-policy implications of the Snowden revelations and why Europe has been doing so very, very little.

Imagine a whistleblower releasing detailed documentary proof of a group of organisations that dump large volumes of toxic mixed chemical waste in European rivers and lakes. The documents describe in detail how often (daily) and how toxic (very). Now imagine journalists, civic organisations and elected representatives all starting furious discussions about how bad this is and what the possible horrible consequences theoretically could be for european citizens.

Now imagine that this debate goes on and on for months as slowly more documentation is published showing ever more detailed descriptions of the various compounds in the toxic chemicals and what rivers and lakes precisely they are being dumped into.

Now imagine that no journalist, civic organisation or elected representative comes up with a single concrete and actionable proposal to stop the actual and ongoing toxic dumping or to prevent future organisations getting into the habit of illegal dumping.

Imagine also that both governments and public-sector organisations, including the ones responsable for health- and environmental matters continue not only to procure products and services from above organisations but also continue to give them the licences they need to operate.

Imagine that this goes on for month after month after month for a full year.

Now Imagine it turns out that the Government not only already knew about this 13 years before but also had a detailed report on practical solutions to clean up the mess and prevent future poisoning.

Imagine that.

Sounds incredible does it not?

Except this is precisely how Europe has been not-dealing with the revelations by Edward Snowden on industrialised mass-surveillance of our government & civic institutions, companies and citizens.

The EU has spent most of a year holding meetings and hearings to 'understand' the problem but has not produced a single word on what concrete actions could regain the right to privacy for its citizens now. This while a July 2001 report on Echelon, the NSA/GCHQ precursor program to the current alphabet soup, explained the scope of the problem of electronic dragnet surveillance and made practical and detailed recomendations that would have protected Europeans and their institutions had they been implemented. Currently only Germany has seen the beginnings of policies that will offer some protection for its citizens.

On Friday the 13th of June I will discuss the full scope of the NSA surveillance problem, the available technological and policy solutions and some suggestions about why they have not and are not being implemented (or even discussed).

Slides from lecture are here in ODF and PDF

BNR interview bijdrage aan ICT Commissie

Op woensdag 21mei gaf ik op BNR Radio commentaar op mijn brief aan de Commissie ICT van 5 mei.

In het gesprek gaan we vooral in op de vraag of inzet van opensource software, waarvan de specificaties voor controle openbaar beschikbaar zijn. Dit in tegenstelling tot z.g. proprietary software die als blackbox wordt geleverd en waarbij alleen de leverancier enige idee heeft wat de software echt doet. Dit laatste was altijd al in theorie een vrij serieus bezwaar voor het toepassen van dergelijke ontransparante software in de kritische functies van de overheid. Maar de theoretische bezwaren zijn door de onthullingen van Edward Snowden over het laatste jaar zeer concreet geworden. Amerikaanse inlichtingen diensten maken gebruik van ongedocumenteerde fouten in software of dwingen Amerikaanse bedrijven zelfs actief om geheime achterdeurtjes aan hun producten toe te voegen. Onder de Patriot Act kan een Amerikaans bedrijf medewerking niet weigeren en mag ze er ook geen melding van maken. De klant van zo'n bedrijf heeft dus geen flauw idee dat deze software van haar computer een afluister apparaat maakt. En in Nederland is er geen grotere klant dan onze overheid.

Verder blijft het gewoon jammer dat we inmiddels 12 jaar nadat de Tweedekamer om een koerswijziging vroeg nog steeds jaarlijks voor miljarden aan buitenlandse software blackbox kopen terwijl er gratis en transparante alternatieven bestaan. Een klein deel van die miljarden in Nederland uitgeven om die te verbeteren zo goedkoper zijn en het geld dat we uitgeven veel meer in de lokale economie houden.

Luister hier de BNR stream of de MP3.

Speaking at Dataharvest+ conference

I will be speaking and workshopping at the 2014 Dataharvest+ conference in Brussels. This conference brings together investigative journalists, (big)data wranglers, coders & hackers to kick journalism into the 21st century.

My contribution will be a series of presentations about applied information security for investigative journalists and hands-on workshops to get security tools working on laptops. So bring yours! Slides I used are here: PPT, PDF. Some tips and links to tools. A video from a comparable worshop last year, since then the situation has turned out to be much more dire.

Many thanks to the Centre For Investigative Journalism for making this possible. Happy to be working with them again!

Wetten Worden Werkelijkheid in software

Onderstaande brief is als email naar de Tijdelijke commissie ICT gestuurd.

5 mei 2014

Geachte leden van de Commissie ICT,

Door uw voorgangers ben ik op 1 juni 2012 uitgenodigd een bijdrage te leveren aan de expertbijeenkomst van de Parlementaire werkgroep ICT-projecten bij de overheid. De schriftelijke bijdrage die ik destijds heb aangeleverd staat hier.

Als IT-architect maar ook als bezorgde burger heb ik mij sinds 2002 actief bemoeid met het IT-beleid van de overheid op o.m. de dossiers EPD en open standaarden/opensource. In dit laatste dossier was ik in 2002 de initiatiefnemer van de Motie Vendrik die een grotere onafhankelijkheid van dominante leveranciers bepleitte. Vorig jaar mocht ik als technisch expert zitting nemen in de Commissie van Beek die Minister Plasterk heeft geadviseerd over de (on)mogelijkheden van de elektronische ondersteuning van het kiesproces.

Hoewel deze motie Vendrik in 2007 is vertaald in het Actieplan Heemskerk is dit beleid in 2010/11 door de lobbymacht van grote softwareleveranciers en de Amerikaanse overheid de nek om gedraaid. Zelfs de Algemene Rekenkamer is onder druk gezet om bepaalde vragen *niet* te stellen. Sinds 2002 heeft Nederland zo'n 60-90 miljard Euro uitgegeven aan buitenlandse software waarvoor in veel gevallen gratis alternatieven bestaan die net zo goed of zelfs beter zijn. Het gebruik hiervan wordt echter actief bemoeilijkt door zowel de Ministeries van OC&W en BZK, alsmede de VNG daarin gesteund door het lobbyapparaat van grote leveranciers en de Amerikaanse overheid.

Hoewel Minister Donner in 2004 in reactie op de Motie Vendrik al aangaf

  • dat de afhankelijkheid van Microsoft groot was;
  • dat dit een probleem was;
  • en dat middels invoering van open standaarden en de inzet van opensource dit opgelost kon worden;

Is die afhankelijkheid sindsdien nog veel groter geworden terwijl er in die periode ruim een miljard is uitgegeven aan Microsoft licenties. Met dat geld had 10.000 manjaar aan migratie weg van Microsoft naar gratis alternatieven betaald kunnen worden. Geld dat dan in de Nederlandse economie was gebleven en grotendeels via loonbelasting en BTW weer terug bij de overheid was gekomen. Niet dat die 10.000 manjaar nodig waren. De Gemeente Ede deed het tegen de verdrukking in voor een fractie daarvan en bespaart inmiddels 92% op software. De rest van de overheid nog niet. Waarom niet?

Europol niet langer achter cybercriminelen aan

Op woensdag 30 april gaf ik op BNR Radio commentaar op het nieuws dat Europol niet langer actief poogt cybercriminelen te arresteren. In plaats daarvan wil de politie organisatie digitale dieven 'lastig gaan vallen; bij hun werkzaamheden. Hoe men dat gaat aanpakken is volstrekt onduidelijk aangezien Europol zelf aangeeft dat het gebruik van privacy-technologiën als TOR het vrijwel onmogelijk maakt daders te identificeren.

In al het 'hang-em-high'-achtige wapengekletter van wetshandhavers is er al jaren geen aandacht voor preventie en voorlichting van burgers die door hun onwetendheid onnodig slachtoffer worden. De combinatie van ontbrekend computeronderwijs (een cursus tekstverwerken telt niet) en het actief creëren van software monopolies op desktops en laptops door de overheid zijn de meeste burgers volledig onbeschermd tegen sluwe criminelen die hun bankrekening leeghalen of met hun identiteit aan de haal gaan. Zowel de Nederlandse als de Europese overheid wordt al sinds het begin van deze eeuw verteld wat men wel zou moeten doen maar wil, kan of snapt dat niet. Burgers moeten zelf bescherming regelen door zich te verdiepen in basisvaardigheden van veilig computergebruik.

Luister hier de BNR stream of de MP3.

Ask Snowden op BRN radio

Op 23 januari Gaf Edward Snowden in een live-chat antwoorden op vragen die hem per twitter gesteld waren. BRN vroeg Brenno de Winter, Bits of Freedom en mij naar onze vraag aan Edward Snowden.

Mijn vraag aan Snowden (die ik ook al eerder in mijn London Real interview stelde): gaan alle verdere onthullingen ook over de technische capaciteiten van de NSA of krijgen we wellicht ook een kijkje in de inlichtingen die de NSA heeft vezameld de afgelopen 50 jaar? Ik ben benieuwd naar eventuele informatie over belangrijke historische gebeurtenissen waar de NSA wellicht belangrijke informatie over heeft die wij (nog) niet hebben. Opnames van telefoontjes tussen Tony Blair en Balkenende in de 9 maanden voor de Irak oorlog, nog meer Nixon-tapes, gestolen ontwerpen van Britisch Aerospace die plotseling bij Boeing lagen. Men kan zich zo wat sappige krantenkoppen voorstellen.

Ik ben daar wel benieuwd naar.

Hier op het BNR archief, hier als mp3.

'Tinfoil Is The New Black', Keiser Report interview

I was a guest on Max Keiser's programme 'The Keiser Report' last Thursday jan. 16th for the second time. Max is a former Wall Street trader who foresaw the current economic crisis a decade ago.

Full Keiserreport episode here on RT site and here on Youtube.

Max caught me be susprise by asking about the NSA TURMOIL and TURBINE programs. I confused them with other programs (there are many). The TURMOIL and TURBINE programs are part of the 'Targeted Acces Operations' family (see this Spiegel article). These are programs for gaining acces to systems by other means than abusing their built-in weaknesses over internet connections (the NSA's favourite method because it can be automated to spy on everyone at very low cost). Targeted Accces Operations (TAO) deals with everything from intercepting & modifying electronic devices that people order online to the use of microwave beam weapons to identify, hack, break and manipulate computer systems from great distance. The latter method has also been used for targeting drone strikes. The talk by Jacob Appelbaum I mention in the beginning of the interview is here. Many more talks from the 2013 CCC conference in Hamburg can be found here.

The US Declaration Of Independence is one of the greatest political writings in history and can be re-written for more contemporary political problems as I did here. Accoring to US academics the US declaration was inspired by the Dutch declaration that preceded it by almost two centuries.

Blogpost on a previous interview last year.

Interview on London Real

Last year during my December visit on London I gave a 1 hour interview to London Real. This is great new free-form 1+ hr completly unscripted interview program that is available on Youtube and as a podcast. Tired of the superficial 3-minute interviews that stop just when things get interesting? London Real is your channel. If you want to keep up to date on the London startup/tech scene then checkout Silicon Real.

I was honored to be in a lineup that includes several of my current heroes including Max Keiser, Jared Diamond, Annie Machon and Rick Falkvinge.

Brian Rose and me spoke about NSA-spying, the nature of privacy, copyright, bitcoin and much more. The interview begins at 7:48. For more check out the London Real site. Compact mp3 for download here.

Rapport Commissie elektronische stemmen in stemlokaal

Van 26 april tot 18 december 2013 was ik, samen met diverse andere experts, lid van de Commissie elektronisch stemmen in het stemlokaal.

In het verleden (2008, 2012) heb ik mij zeer kritisch uitgelaten over de fundamentele bezwaren tegen elektronisch stemmen zoals dat tot 2007 in Nederland was gerealiseerd met ontransparante en oncontroleerbare systemen.

De commissie adviseert het papieren stembiljet centraal te houden en met zeer streng te selecteren apparatuur de twee bezwaren van het huidige proces te verbeteren. Ten eerste is er de beperkte toegankelijkheid voor mensen met lichamelijke (visueel, motorisch, enz..) of verstandelijke beperkingen of z.g. 'laaggeletterden': door de stem te printen kan het zelfstandig uitbrengen van de stem voor deze groepen vergroot worden. Ten tweede de 'late' uitslag: door het fysieke format van het stembiljet te reduceren tot A4 of kleiner en deze te tellen met een optische scanner kan ieder stemlokaal binnen een uur na sluiting de uitslag aanleveren aan de centrale stembureau's. Of deze voordelen de geschatte kosten van 250 miljoen Euro (elke 8 jaar) plus 10 miljoen per jaar waard zijn is een vraag die Kabinet en Tweede Kamer moeten uitvechten.

Hier links naar het eindrapport, de bijlagen, de perspresentatie en het persbericht. Documenten staan ook bij MinBzK.

Iinterview op BNR nieuwsradio hier op BNR.nl en hier als mp3. Artikel en video van interview op nu.nl.

VVD Kamerlid Joost Taverne op NOS radio met opmerkelijke uitspraken - Rop Gongrijp's NOS radio interview met wat stevige kritiek en terechte zorgen over de uitvoering - In 'Met het ook op morgen' Kamerlid Joost Taverne en IT-student Ruud Verbij die allen duidelijk nog geen tijd hadden gehad de volledige 400 pagina's rapport + bijlagen te lezen. In een toekomstige blogpost zal ik nog eens ingaan op geschiedenis van stemcomputers en de technische waarborgen die de Commissie voorstelt om vertrouwen in techniek of de overheid overbodig te maken. De Commissie wil geen technieken of processen voorstellen die macht verder centraliseren of het kiesgeheim ter discussie kunnen stellen.

Andere pers: Webwereld - Tweakers - NRC - NU.nl - Computerworld - Volkskrant - NOS - Omroep Gelderland - RTL - Automatiseringsgids - Joop.nl - Binnenlands Bestuur - Security.nl - Opinie NRC Herbert Blankenstein - meer video's na de break...

Update 28-01-2014: Het rapport van VKA "Internetstemmen voor kiezers in het buitenland" staat hier. Nu.nl vat het rapport samen als 'Riskant en duur'.

Privacy 'howto' artikel voor Geenstijl

<geschreven op uitnodiging van Geenstijl.nl en dus in een wat andere stijl dan mijn gebruikelijke. Niet dat Geenstijl dus geen stijl heeft maar wel anders dus. Dat dan weer wel.>

Je kan je boos maken over je overheid die je mail wil lezen, je kan ook wat doen om te zorgen dat dat heel moeilijk wordt. Hieronder een stoomcursus email-beveiliging voor iedereen die niet wil wachten tot BOF en Brenno de glorieuze eindoverwinning behalen. Artikel 12 van de Universele Verklaring voor de Rechten van de Mens is tenslotte er niet alleen om je pr0n-habits te verbergen. Tenzij je blank, man, Europees en nazaat-van-een-adelijke-familie-met-grondbezit bent zijn jou burgerrechten bevochten door mensen die dat konden doen omdat ze niet in een stasi-achtige 'uberwachungs staat' leefden. Zonder privacy geen vrijheid van meningsuiting of zelfs maar meningsvorming en dus geen maatschappelijke verandering (zoals afschaffing van de slavernij, kinderarbeid of invoeren algemeen kiesrecht). Maar geloof mij niet, deze ex CIA/NSA/FBI/DoJ/MI5 medewerkers legden het afgelopen zomer nog even uit.

Als je privacy minder belangrijk vindt dat de hoeveelheid tijd die je per weekend TV reclames kijkt dan is dit stuk niet voor jou. Want het kost een beetje moeite, intelligentie en een aandachtsspanne groter dan die van een Gordonoudvis. OK, inmiddels zijn we 60% van de lezers kwijt. Da's jammer maar niet iedereen is te helpen. En als je echt niks te verbergen hebt laat je dan eens 15 min door Hans Teeuwen op live TV interviewen over je seksleven. Afschrikwekkende voorbeelden hebben tenslotte ook nut en het houdt de dumpert vol.

Interview The Keiserreport

Op Maandag 2 december 2013 was ik te gast bij Max Keiser in zijn programma 'The Keiser Report'. Max is een voormalige beurshandelaar die de huidige financiële crisis correct heeft zien aankomen. Max geeft in zijn programma zijn ongezouten mening over het bizarre financiële systeem en laat zijn gasten dat ook doen.

O, en een PetaFLOP is 1.000.000.000.000.000 bewerkingen per seconde. Dat had ik moeten weten ;-)

Volledige Keiser Report episode, hier op RT site en hier op Youtube en hier op De Dumpert van Geenstijl.

Tips hoe je Big Brother kunt omzeilen

<ook op Sargasso.nl>

Op 6 juli 2013 publiceerde de Britse krant The Guardian het eerste interview met Edward Snowden, tot dat moment systeembeheerder voor het Amerikaanse National Security Agency. Snowden kreeg door zijn werkzaamheden een gedetailleerd beeld van de mate waarin de NSA een wereldwijde Big Brother-staat in het inrichten was. Vrijwel alle elektronische communicatie wereldwijd werd realtime getapt, telefoons, laptops en servers werden gekraakt en softwarebedrijven werden gedwongen hun systemen met lekken op te leveren om dit mogelijk te maken.

Vermoedens van dergelijke activiteiten door onder meer Amerikaanse veiligheidsdiensten bestonden al decennia (zie dit artikel uit 1999) maar de schaal van de onthullingen die Snowden naar buiten brengt doet zelfs de meest paranoia-experts de rillingen over de rug lopen. Een korte opsomming en wat je er als burger aan kan doen.

NSA intell goldmine, who else has access?

<ook op Sargasso.nl en HuffPo UK>

The War Room, Dr. Strangelove - 1965 Shortly after the initial release of some documents from whistleblower Edward Snowden I wrote a little summary about the IT-policy implications for Europe based on earlier columns. A lot of additional documents have come out since then and we can basically conclude that almost every computer system on the planet is fully broken or at least very vulnerable to NSA interference or manipulation.

Nobody, including the NSA, Edward Snowden, Glenn Greenwald has a total oversight of all the in the tens of thousands of documents let alone the political or strategic implications of the info contained in them. Most of the news keeps focusing on the 'scandal' aspect and/or the person of Snowden. Being angry at the US government (practised by most opponents) and attacking the person of Snowden (a favorite of apologists of the US regime) distracts from defining adequate policy responses and so far there have been precisely none in Europe. This constitutes a massive failure of the various EU governments to protect their citizens' rights and the economic sovereignty of their nations. It is also strange in light of the fact that an adequate policy response had already been formulated in July 2001 and really just needs to be implemented.

But every now and them the disinfo spread by some apologists for the behaviors of the NSA is useful for understanding how much worse the situation may just turn out to be. This article by a former NSA employee is a nice example of an attempt at smearing the whistleblower while actually digging the hole the NSA (and the US regime) is in much, much deeper. The piece claims Snowden secretly worked for Russian intelligence all along. While I do not share the authors views on Snowden's motivations or allegiances the suggestion that outside organisations could have agents inside the NSA has some interesting implications.

The missed opportunity of avoiding PRISM

<originally a column for Consortium News>

On July 11th 2001 the European Parliament published a report on the Echelon spy network and the implications for European citizens and businesses. Speculations about the existence of this network of Great Britain-and-her-former-colonies had been going on for years but it took until 1999 for a journalist to publish a report that moved the subject out of the tinfoil-hat- zone. The report of the EU Parliament contains very practical and sensible proposals, but because of events two months later across the Atlantic, they have never been implemented. Or even discussed further.

Under the heading "Measures to encourage self-protection by citizens and enterprises" lists several concrete proposals for improving data security and confidentiality of communications for EU citizens. The document calls on Parliament to inform citizens about the existence of Echelon and the implications for their privacy. This information must be "accompanied by practical assistance in designing and implementing comprehensive protection measures, including the security of information technology".

Other gems are the requests to "take appropriate measures to promote, develop and manufacture European encryption technology and software and, above all, to support projects aimed at developing user encryption technology, which are open-source" and "promote software projects whose source text is published, thereby guaranteeing that the software has no "back doors" built in (the so-called "open source software")”. The document also mentions explicitly the unreliability of security and encryption technologies whose source code is not published. This is an issue that is a strict taboo in Dutch and UK discussions on IT strategy for governments (probably because certain major NATO partners might be offended).

Also, governments must set a good example to each other and their citizens by "systematic use of encryption of e-mails, so that in the longer term this will be normal practice." This should in practice be realised by "ensuring the training and publication of their staff with new encryption technologies and techniques by means of the necessary practical training and courses." Even candidate countries of the EU should be helped "if they cannot provide the necessary protection by a lack of technological independence".

That one paragraph from the summer of 2001, when rational security policies had not yet been completely destroyed by 9/11, describes the basis for a solid IT policy that ensures security and privacy of citizens against threats from both foreign actors and the government itself (historically always the greatest threat to its citizens and the reason why we have constitutions).

Had these policies been implemented over the last decade then the PRISM revelations of the last week would have been met mostly with indifference. European citizens, governments and companies would be performing most of their computing and communications on systems controlled by European organisations, running software co-developed in Europe and physically located on European soil. An American problem with an overreaching spy apparatus would have been just that, an American problem - like teenagers with machine guns or lack of universal healthcare, just one more of those crazy things they do in the colonies to have 'freedom'.

OHM and other Three-Letter-Agencies

<originally a column for OHM2013.org - also on HuffPo UK> - video of The Great Spook Panel below this post

“Whatever you do will be insignificant, but it is very important that you do it.” - Mahatma Gandhi

This summer the Dutch hacker community, with help from friends all over the world, will organise the seventh hacker festival in a series that started in 1989 with the Galactic Hacker Party. The world has changed massively since then (we'll get to that) but the goal of these gatherings remains the same: to share knowledge and ideas about technology and its implications for our world, have heated discussions on what we should do about the problems we see (sometimes well before many others see them), generally have fun in communicating without keyboards, and being excellent to each other.

Four years ago a somewhat unknown Australian hacker with some new ideas about the future of journalism gave the opening keynote at HAR2009. His site was called Wikileaks and some of us had a hunch that this concept might be going places. We had no idea just how far that would be...

Not long after the first gathering in the Netherlands in 1989, the Berlin Wall came down. While we can claim no connection, the interminable Cold War had finally ended and many of us felt, with the optimism so typical of youth, that world peace might just be possible in our lifetimes. We would go back to making rockets that went up instead of straight-and-level and other great things would follow.

Installatie Commissie onderzoek elektronisch stemmen

Op 26 april 2013 is Arjen Kamphuis is samen met andere experts door Minister Plasterk (BzK) geïnstalleerd als lid van de Commissie onderzoek elektronisch stemmen (persbericht BzK). Deze commissie gaat onderzoeken of het mogelijk is het stemmen op papier te vervangen door een electronisch proces zonder dat daarbij de essentie van de democratie en de kieswet in gevaar komt. Zowel lokale bestuurders als belangenorganisaties van mensen met lichamelijke beperkingen dringen er op aan een alternatief te ontwikkelen voor het huidige papieren proces dat bij elke verkiezing in hun ogen voor veel problemen zorgt.

Tussen 1997 en 2007 was electronisch stemmen toegestaan maar deze toestemming werk teruggetrokken nadat uit onderzoek bleek dat de gebruikte systemen niet voldeden aan de essentie van de kieswet (stemgeheim en transparantie van het kiesproces).

Op Tweakers.nl en Webwereld.nl is de discussie over het onderwerp meteen losgebastern na publicatie van het bovenstaande persbericht. In de meer dan 175 reacties komen veel van de gebruikelijke misverstanden over de fundamentele problemen met electronisch stemmen weer langs. Ook naar IT-ers en computersliefhebbers is meer voorlichting over de complexiteit van het onderwerp nog noodzakelijk.

Interview op BNR radio op 1 mei 2013. Link naar mp3.

Eerdere publicaties over dit thema:
2008: publicatie in Digitaal Bestuur
2012: publicatie op Webwereld

IJslands pornofilter schiet doel voorbij

<Webwereld column>

Op IJsland woedt een heftig politiek debat over het idee een nationaal internet filter te bouwen dat kinderen moet beschermen tegen gewelddadige porno. Hoewel cijfers over de schaal van het probleem ontbreken zijn er binnen de regering van IJsland grote zorgen over de wijze waarop de porno-industrie haar producten aan de man (meestal mannen) probeert te brengen. Het idee is dat de industrie zich actief richt op het 'werven' van jongeren en kinderen in het klassieke model van de sigarettenindustrie; 'get them while they're young'.

Afgelopen week was ik op IJsland en mocht ik aanschuiven bij een aantal overleggen rond IT en internet strategie met ministers en beleidsmakers. Het hele debat vindt plaats in de aanloop naar verkiezingen die de verhoudingen in IJsland flink kunnen veranderen dus de lokale media zitten er bovenop. Het specifieke idee om een nationaal filter op het hele land te zetten (naar Chinees model) trekt wereldwijde aandacht omdat dit een unicum zou zijn in de westerse wereld. Het past ook niet bij het beeld van het anders zo liberale en progressieve IJsland (het enige land dat zijn bankiers veroordeelde voor hun aandeel in de crisis).

Toen ik vorige week aankwam werd ik op de eerste bijeenkomst meteen door Smari McCarthy van het Icelandic Modern Media Initiative gevraagd hun open protestbrief te tekenen die vandaag gepubliceerd is.

Tijdens een diner enkele dagen later met de relevante minister en adviseurs om tafel zat ontstond er een heel ander beeld. Er is gelukkig nog geen enkele beslissing genomen ondanks het beeld wat in de media was ontstaan. De minister was erg geïnteresseerd in andere mening over de wenselijkheid en technische haalbaarheid van een nationaal internetfilter. In mijn optiek werden de verschillende doelen en middelen in de discussie nogal door elkaar gehaald en dus deed ik een poging de zaken wat te structureren.

Cyberoorlog: het Westen is begonnen

<Webwereld column>

The War Room, Dr. Strangelove - 1965

Een aantal jaren geleden ontwikkelden Israëlische en Amerikaanse inlichtingendiensten een computervirus met een specifiek militair doel: het beschadigen van Iraanse nucleaire installaties. Stuxnet werd via usb-sticks verspreid en nestelde zich stilletjes op Windows pc's om van daaruit op zoek te gaan naar specifieke industriële centrifuges die via Siemens SCADA-apparatuur worden aangestuurd.

Iran heeft, net als veel andere landen, een nucleair programma voor energieopwekking en de productie van isotopen voor onder meer medische toepassingen. De meeste landen kopen medische isotopen van specialist Nederland, die ze in de reactor in Petten bij ECN maakt. Door de westerse boycot van Iran is het voor dat land echter niet mogelijk isotopen voor medisch gebruik op de wereldmarkt aan te schaffen. Zelf maken is verre van ideaal, maar de enige optie die overblijft als import onmogelijk wordt gemaakt.

Waarom die boycot? Officieel omdat Iran volgens de VS niet voldoende openheid wil geven over zijn wapenprogramma's. Met name militaire toepassingen van het nucleaire programma is een officiële bron van zorg. Deze zorg is echter een vrij recent gegeven die om een of andere reden opnieuw leven is ingeblazen na de aanval op Irak (een aantal van de installaties is geleverd door Amerikaanse en Duitse bedrijven met financiering van de Wereldbank voor de revolutie van 1979). Het meest curieuze aan alle beschuldigingen van westerse overheden aan het adres van Iran is dat het nooit meer dan vage verdachtmakingen zijn. Toen 16 Amerikaanse inlichtingendiensten in 2007 een gezamenlijke studie deden naar de feiten achter deze beschuldigingen was de glasheldere conclusie: Iran is niet bezig met de ontwikkeling van een kernwapen.

Met spionnen en Assange aan tafel

<Webwereld column>

Foto van Israelische plutonium core, gemaakt door klokkenluider

Het Nationaal Cyber Security Centrum gaf deze week op haar conferentie aan dat het meer naar hackers wil gaan luisteren. Het is natuurlijk mooi dat de overheid gaat luisteren naar de mensen die er het meest vanaf weten hoewel de vraag blijft waarom men daar tot 2013 mee heeft gewacht. Als ze daar 5 of 10 jaar eerder mee waren begonnen had het een ongelofelijke hoop ellende en geld bespaard. Ik hoop van harte dat het overleg met de hack(tivist) community over meer gaat dan alleen technische trucs, want er zou juist op beleidsniveau moeten worden gepraat. Voor technische zaken kan men ook gewoon de gebruikelijke bureaus inhuren en hackers gewoon betalen voor hun kennis en advies.

Ondertussen vond een flinke groep hackers het jammer dat zij niet welkom waren en organiseerden een alternatieve bijeenkomst. Als de intenties van het NSCS komend jaar goed worden uitgewerkt is deze de volgende keer wellicht niet nodig. Aan de community-kant moeten deze gesprekken ook goed geregeld worden (wie zit aan tafel en vooral met welke pet op) want als community-bijdragen en commerciële belangen door elkaar gaan lopen ontaarden zaken snel in gekissebis en ruzie. Ik spreek uit ervaring ;-). Niemand is 'vertegenwoordiger' van 'de hacker community'. Het NSCS zal er aan moeten wennen dat wij geen gecentraliseerde organisatie zijn met een hoofdkantoor waar je kunt afspreken met de top-functionaris.

In memoriam: Aaron Schwarz 1986 - 2013

Not sure what to say about the sudden death of Aaron Schwarz, idealist, freedom-fighter-extraordinaire and friend of open access to information for all of humanity. Aaron spend his life fighting for humanity's highest ideals, contributing to technologies most of us use every day (even if we don't know it). It just feels like something is very, very wrong is the so-called 'free world' is killing its best and brightest for living up to its highest ideals. We've got big problems and cannot afford to lose people like Aaron.

Cory Doctorow has written a eulogy here, Prof Lawrence Lessig had an overview of the case the US Department of Justice (ha!) saw fit to launch against Aaron. Glen Greenwald wrote about his heroic work in helping to defeat SOPA over the last years. A digital memorial to Aaron will be here for as long as there is an Internet. The files that started the case can be found here. Spread them around as wisely as possible.

But mostly just watch Aaron's speeches and interviews, as many times as needed before you understand his ideas and ideals fully.

Update 28-06-2014: A documentary on the case Aaron Swartz - The Internet's Own Boy is now available online. Also on Archive.org.

EPD, korte geschiedenis van een nationale ramp

<Webwereld column>

Heeft u wel eens 'De grote beurt' gezien? Dit is een auto-programma kloon van MTV's 'pimp my ride' waar oude auto's een makeover krijgen om ze weer hip&cool te maken. Probleem bij al het opleuken dat in deze programma's wordt gedaan is dat onder de nieuwe lak en glimmende velgen het een oude auto blijft die z'n beste tijd gehad heeft. Zo is het ook met het EPD.

Ruim 12 jaar geleden werd onder leiding van Minister Els Borst het plan opgevat een nationaal elektronisch patiënten dossier te realiseren. Een dergelijk dossier zou medicatie- en andere fouten door informatieachterstand bij zorgverleners voorkomen en zo vele mensenlevens redden. Het waren tenslotte de jaren '90 en er was niets dat IT niet leek te kunnen oplossen.

In 2002 werd stichting Nictiz opgericht. Deze, door het ministerie van VWS gefinancierde non-profit-zonder-formele-macht, zou het nationaal EPD gaan realiseren. Al vrij snel werd besloten dat er geen echt nationaal EPD zou komen maar een soort zoekmachine die data uit alle systemen brokjes data over een specifieke patiënt trekt. Zo'n zoekmachine-oplossing is veel complexer dan een centraal systeem.

Privacy, 10 jaar later

<Webwereld column>

Op 11 juli 2001 publiceerde het Europees Parlement een rapport over het spionagenetwerk Echelon en de implicaties voor Europese burgers en bedrijven. Er werd al jarenlang gespeculeerd over het bestaan van dit netwerk van Groot Brittannië-en-haar-voormalig-koloniën maar pas in 1999 kwam er een rapport uit dat het onderwerp voorgoed uit de alu-hoedjessfeer trok. Het rapport van het EU Parlement bevat zeer concrete en zinnige voorstellen die, door gebeurtenissen 2 maanden later na publicatie, nimmer zijn uitgevoerd. Of zelfs maar verder besproken.

Onder het kopje "maatregelen tot bevordering van de zelfbescherming van burgers en ondernemingen" staat een lijst met concrete voorstellen die beveiliging van gegevens en vertrouwelijkheid van communicatie in handen geeft van burgers. Allereerst verzoekt het Parlement burgers te informeren over het bestaan van Echelon en de gevolgen voor hun privacy. Deze voorlichting moet "vergezeld gaan van praktische bijstand bij het ontwerp en de installering van algemene beschermingsvoorzieningen, die ook de veiligheid van informatietechnologie omvatten". Dus niet alleen postbus 51 spotjes maar hands-on aan de slag graag!

Grondwet buiten spel?

<Webwereld column>

Nederlandse GrondwetEr komt een nieuw grondwettelijk artikel over het briefgeheim (artikel 13) om dit artikel klaar te maken voor de 21ste eeuw en de komende maanden mogen burgers hun visie op deze zaak geven. Het briefgeheim moet garanderen dat burgers erop kunnen rekenen dat de inhoud van brieven-in-enveloppe (geldt niet voor ansichtkaarten) altijd vertrouwelijk blijft en niet zo maar wordt ingezien door de overheid voor bijvoorbeeld opsporingsdoeleinden.

Veel van de juridische discussies over deze voorgestelde grondwetswijziging zullen de komende maanden gebaseerd zijn op een aantal veronderstellingen;
1. Er een relatie is tussen wet en grondwet in Nederland
2. De Staat der Nederlanden houdt zich aan aan haar eigen wetten
3. De Nederlandse wet nog steeds relevant is voor dit vraagstuk

Al deze veronderstellingen zijn op z´n minst twijfelachtig.

Wetten worden in Nederland niet structureel aan de grondwet getoetst zoals dat bijvoorbeeld in Duitsland wel gebeurt. Daarnaast heeft relevante artikel 13 allerlei uitzonderingen ingebouwd: de overheid mag het briefgeheim niet schenden tenzij er een wettelijke uitzondering is die zegt dat dat wel mag, een rechter er toestemming voor geeft of iemand van een veiligheidsdienst besluit dat het nodig is voor het garanderen van de nationale veiligheid. Spannende vraag is dus hoe de nieuwe versie van deze uitzonderingen er uit ziet. Want in de huidige vorm werkt de grondwet dus alleen in het geval van een overheid die oprecht werkt aan het behartigen van de belangen van haar burgers. En in dat geval hebben we de grondwet niet zo hard nodig. Een beetje zoals een regenjas van vloeipapier zeg maar. Of de website crisis.nl.

Stemcomputer, de zombie die maar niet dood wil

<Webwereld column>

U heeft gestemd - of niet?Terwijl stemcomputers in Nederland al vier jaar verboden zijn, blijken fundamentele misverstanden over de kern van het probleem rond stemcomputers te blijven bestaan. Afgelopen maand deden de VVD en D66 wederom voorstellen om elektronisch stemmen in Nederland weer in te voeren. Eerder dit jaar riep ook het Nederlands Genootschap van Burgemeesters op tot herinvoering (opmerkingen over niet-gekozen bestuurders die zich bemoeien met het kiesproces in de comments graag ;-).

De vele knullige security problemen (video) of de afwezigheid van de broncode van de software (in het geval van Nedap en SDU stemcomputers) zijn weliswaar prima aanleidingen geweest om het onderwerp via de media op de politieke agenda te krijgen, maar deze zaken zijn niet de kern van het probleem. En hoewel het dossier stemcomputer op het Ministerie van Binnenlandse zaken inmiddels een fel fluoriserende 'radioactief, niet aankomen!'-sticker heeft, blijft het risico bestaan dat lagere overheden of leveranciers blijven denken dat stemmen per computer best kan 'als we maar even die bugjes oplossen'.

De werkelijke bezwaren zijn veel fundamenteler en hebben weinig te maken met securitybugs of beschikbare broncode. Het gaat veel verder. Het gebruik van stemcomputers doet fundamentele democratische principes geweld aan. In het eerste jaar van de acties van de werkgroep wijvertrouwenstemcomputersniet.nl werd vaak geroepen door overheid en leveranciers dat men niet zo wantrouwend moest zijn. Nederland was tenslotte een net land en de suggestie dat iemand fraude zou plegen met zo iets fundamenteels als verkiezingen werd als ridicuul van de hand gedaan. Het was simpelweg ondenkbaar en verdere discussie of verantwoording erover was derhalve niet noodzakelijk.