Matthijs Koot
“‘Nadenken over internetsurveillance, het Beste Idee van 2014’
Uitgeverij De Wereld vroeg meer dan 100 Nederlandse en Belgische wetenschappers, denkers, schrijvers en kunstenaars wat het beste idee van 2014 is, op hun eigen vakgebied of daarbuiten, van henzelf of van een ander, in binnen- of buitenland. MO* publiceert voor de tweede maal een selectie uit het boek. Vandaag is Matthijs Koot, security consultant, aan het woord over internetsurveillance.
Hoe alles op internet met elkaar “praat” is grotendeels afgesproken in technische internetstandaarden. Een internetstandaard begint met een idee voor verandering of een nieuwe functionaliteit.
Onder de paraplu van de Internet Engineering Task Force (IETF) wordt dat idee uitgeschreven in een Request for Comments-document (RFC), dat door experts onderling wordt besproken en bijgeschaafd. Dit proces is volledig open: iedereen met relevante kennis en inzichten kan aanschuiven. Nadat softwaremakers het idee implementeren kan het idee volwassenheid bereiken en de status van internetstandaard krijgen.
Gebrekkige beveiliging
‘Er moet worden beschreven welke digitale aanvallen relevant zijn voor het communicatieprotocol dat wordt beschreven, welke niet en waarom.’
Op deze manier, ruwweg, is het internet in de afgelopen decennia steeds een stukje verder uitgebouwd tot wat het nu is. Vanwege zorgen over gebrekkige beveiliging is in 1993 besloten (RFC1543) dat bij nieuwe standaarden verplicht een paragraaf Security Considerations moet staan. Deze bevat een discussie over mogelijke bedreigingen en aanvallen op het protocol dat in de standaard wordt beschreven.
Nadat enkele jaren ervaring is opgedaan met het schrijven van dit soort paragrafen, is in 2003 verduidelijkt (RFC 3552) wát er dan precies in die paragraaf moet staan: er moet worden beschreven welke digitale aanvallen relevant zijn voor het communicatieprotocol dat wordt beschreven, welke niet en waarom.
Van de relevante aanvallen moet worden beschreven of het protocol ertegen beschermt of er kwetsbaar voor is. Er moet onder meer verplicht aandacht worden besteed aan het afluisteren (vertrouwelijkheid), aan het injecteren, wijzigen of verwijderen van gegevens (integriteit), en aan denial-of-service-aanvallen die diensten gebaseerd op het protocol kunnen verstoren (beschikbaarheid).
Zo’n paragraaf zal initieel nooit 100% dekkend zijn, maar leidt wel tot een verbetering van de veiligheid op internet. Bovendien zijn RFC’s levende documenten en kunnen er updates gemaakt worden.
‘Het “slotje in de browser” wordt de norm in plaats van de uitzondering. Beter twee decennia te laat dan nooit.’
Yuri Samoilov (CC BY 2.0)
‘Binnen IETF-kringen bestaat consensus dat er sprake is van alomtegenwoordige monitoring en dat dat een bedreiging vormt voor internetgebruikers.’
De onthullingen van Snowden hebben laten zien dat inlichtingendiensten, vooral de Amerikaanse NSA en de Britse GCHQ, op grote schaal met uiteenlopende methoden actief zijn op het internet om inlichtingen te verzamelen.
Binnen IETF-kringen bestaat consensus dat er sprake is van ‘alomtegenwoordige monitoring’ en dat dat een bedreiging vormt voor internetgebruikers.
Inlichtingendiensten horen zoveel mogelijk gericht te werken, niet met ongerichte sleepnetten.
Het beste idee van 2014 is wat mij betreft het besluit van de IETF om alomtegenwoordige monitoring als een bedreiging te beschouwen (RFC 7258) en een aanpak te ontwikkelen hoe bij nieuwe standaarden met dit complexe onderwerp om te gaan.
Bij alle nieuwe standaarden moet hierover worden nagedacht en worden aangegeven hoe wordt beschermd (of niet) tegen alomtegenwoordige monitoring. Dit kan potentieel leiden tot een aanzienlijke verbetering van de internetstandaarden ten aanzien van deze bedreiging.
Momentum
Het momentum dat dankzij Snowden bestaat, is de sleutel tot een meer privacyvriendelijk internet. Concreet heeft het idee er al toe geleid dat HTTP 2.0, de nog in ontwikkeling zijnde nieuwe versie van het protocol dat wordt gebruikt als we websites bezoeken, standaard versleuteld zal zijn. Het “slotje in de browser” wordt dan de norm in plaats van de uitzondering. Beter twee decennia te laat dan nooit.
Matthijs Koot is alumnus van de HBO-opleiding Informatica aan de Hogeschool voor Arnhem en Nijmegen en van de masteropleiding System & Network Engineering aan de Universiteit van Amsterdam (2006). In 2012 promoveerde hij aan de Universiteit van Amsterdam op een proefschrift over het meten van anonimiteit in geanonimiseerde databases. Momenteel werkt hij als security consultant bij Madison Gurkha.
Het Beste Idee van 2014 is 15 november verschenen. (Uitgeverij De Wereld, 309 blzn. ISBN 978-90-79051-11-3)