woensdag 26 mei 2010

Hoeveel privacy hebben we eigenlijk nog?

In dit artikel willen we een aantal mogelijke scenario's schetsen die de privacy van de Nederlandse en Europese bevolking zouden kunnen aantasten. Dit artikel kan in de loop van de tijd worden aangepast als er nieuwe ontwikkelingen plaatsvinden.



We beginnen met iets waarmee iedereen inmiddels intiem bekend is. De pin pas. Voor degenen die internet bankieren toepassen om hun bankzaken te regelen is het bekend dat er overzichten op de bank-server staan waarop terug te vinden is wanneer er wat en waar gekocht is met welke pas. Dit lijkt handig maar hiermee komen we direct op het onderwerp Databases. Een database is een computersysteem dat al deze data opslaat, combineert en bijvoorbeeld kan kijken welke artikelen in de supermarkt veel verkocht worden zodat er e.e.a. afgestemd kan worden wat betreft reclame en bonus artikelen. Ook de plus artikelen (van de AH) worden ook weer in een database ondergebracht, net als wat we met onze airmiles doen.
Databases bestaan op allerlei gebieden. Ons doel is om zo goed mogelijk in kaart te brengen hoe deze databases gekoppeld zouden kunnen worden en wat het gevolg zou zijn als bepaalde organisaties/bedrijven toegang zouden krijgen tot de resultaten van de berekeningen die ermee worden uitgevoerd.

De pin-gebruik database (we noemen het maar even zo) houdt bij waar en wanneer je wat koopt. Op die manier kan via een simpele formule bepaald worden wat voor levensstijl iemand er op nahoud. Koop je veel kip, of juist veel varkensvlees? Koop je biologisch of juist niet? Koop je veel drank/sigaretten etc...
Tot nu toe zijn deze databases redelijk beschermd, maar wat als er in de toekomst een mogelijkheid komt voor bijvoorbeeld verzekeringsmaatschappijen om deze data te bekijken per individu? Dan zou het kunnen gebeuren dat je premie omhoog gaat omdat je niet gezond genoeg leeft. Er gaan op dit moment al stemmen op om de premie van de gezondheidsverzekering aan te passen aan de leefstijl die je erop na houdt.

Nogmaals, we zeggen niet dat dit gebeurt of zal gebeuren, we geven alleen aan dat de potentie voor misbruik van deze gegevens aanwezig is.


Een volgende database is die van de OV-Chipkaart. Deze wordt bijgehouden door de NS en TransLink Systems.Hiermee kan bekeken worden wanneer iemand van waar naar waar gaat met het ov. Er is een mogelijk voor een zgn. anonieme kaart, maar zodra je die gaat opladen met je pinpas wordt je bankrekening er aan gekoppeld en is het dus niet anoniem meer. Ook als er iets fout gaat en je moet restitutie aanvragen wordt je verplicht al je persoonlijke gegevens aan de kaart te koppelen om het bedrag terug te krijgen. Over de inmiddels aangetoonde andere onveiligheden hebben we het later. Onveiligheden hoeven overigens niet altijd in het nadeel van de nietsvermoedende burger te zijn. Quote van Rob Gongrijp van de www.security.nl site:



'De centrale vraag bij de OV-chipkaart is niet of kaart zelf veilig is, maar wat er met de database gebeurt', zo liet Rob Gonggrijp tijdens Hacking at Random 2009 weten. 'Wie beheert de data en wie krijgt die, daar maak ik me druk om', aldus Nederlands bekendste hacker. Volgens Gonggrijp is de beveiliging het probleem van de betrokken partijen. 'Als ze een onveilig systeem willen, dan mogen ze van mij hun gang gaan. Maak het zo onveilig als je wilt.'

Gebruikers die bang zijn dat hun reisgedrag straks wordt vastgelegd in deze database en dat aan de hand daarvan conclusies worden getrokken, hebben juist baat bij een gebrekkige beveiliging. Als de overheid straks zegt dat je bijvoorbeeld in een bepaalde trein hebt gezeten, is dat met een onveilige database veel makkelijker te ontkennen. 'Hoe onveiliger de database, des te slechter die zal zijn, des te beter dat is.'

Incompetentie
Gonggrijp, die aan de wieg van de Nederlandse hackerconferenties stond, merkt op dat wij als maatschappij baat bij een goed functionerend transportsysteem hebben. 'En niet dat deze mensen het verklooien, zodat er straks geen bussen en treinen rijden.' In deze gevallen gaat het hem meer om de database dan de beveiliging. De security is echter interessant omdat het de incompetentie van de betrokken partijen laat zien. 'Het is een mooie manier om hun totale incompetentie te demonstreren.' Het is niet meer dan dat, beveiliging zal volgens Gonggrijp nooit het centrale punt worden.

Datzelfde geldt voor de steeds groter wordende verzameldrift van overheid en bedrijfsleven. Het probleem is niet dat bedrijven allerlei informatie verzamelen, maar het feit dat wij het ze als maatschappij geven. 'Er is niks pervers aan om alles over je klanten te weten, het is verderfelijk van de maatschappij om ze zover te laten komen.'

Met andere woorden we hebben wel degelijk e.e.a zelf in de hand en deze conclusie gaat op voor bijna elk database systeem dat we nu hebben of dat in opkomst is.


Dan zijn er de bodyscanners op diverse vliegvelden. Deze slaan volledige biometrische informatie op van een bepaald persoon. Dit kan later weer gebruikt worden in de biometrische herkennings-sofware die gekoppeld is aan al die camera's die je tegenwoordig op straat en in winkelcentra tegenkomt. Er wordt verteld dat de beelden niet opgeslagen kunnen worden of kunnen worden geprint. Een recentelijk schandaal in Engeland heeft aangetoond dat dit niet het geval is en dat de apparaten als ze in 'test modus' staan wel degelijk bestanden opslaan en kunnen printen. Ook in andere landen is het officieel naar buiten gebracht dat beelden wel degelijk worden opgeslagen. In de US kwam de TSA (Transportation Security Administration) met tegenstrijdige informatie. 'De technologie die gebruikt wordt zou niet in staat zijn de beelden te verzenden of op te slaan. Sterker nog, in alle viegvelden staan onze apparaten met deze functies uitgezet.' Als de technologie niet in staat is om iets te doen hoe kun je dat dan uitzetten? En als het uit te zetten is, staat het even snel weer aan. Naar onze mening is dit voor het verkrijgen van een biometrisch model van je lichaam om je later sneller te kunnen lokaliseren met behulp van de camera's' overal op straat. Op deze manier kunnen ze je vinden door je lichaamsbeeld, warmtebeeld van je gezicht, de manier waarop je loopt etc....
Ook de nieuwste versie van de Nintendo Wii heeft een bodyscanner geïntegreerd in het game systeem zodat je met je lichaam het spel kunt besturen. Erg leuk allemaal maar de spelcomputer hangt ook aan Internet en dus is het mogelijk dat zo'n profiel in een database terecht komt waar je geen weet van hebt.
De plaatsbepaling via GPS op de gsm (vooral de nieuwere toestellen die ook een compas aan boord hebben) kunnen een database vullen met waar je bent op welk moment van de dag. In de nabije toekomst gaan we ook betalen met de mobiele telefoon ipv met de EMV chip op de bankpas. In Japan is dat al heel gewoon. Het is ook mogelijk om de gps van afstand zo in te stellen dat men mee kan luisteren. Niet alleen met telefoongesprekken maar ook alles wat er te horen valt als het apparaat in gehoorbereik op tafel ligt. Alleen als de batterij wordt verwijderd kan dit worden voorkomen. Iets dat met bijvoorbeeld de nieuwere Iphones al niet meer mogelijk is.

Deze databases worden natuurlijk goed beveiligd door de overheid maar we hebben allemaal in het nieuws gelezen dat er USB sticks kwijt raken, dat er complete computersystemen bij het vuil gezet worden met gevoelige informatie en laatst nog dat een rechter een compleet strafdossier met namen van informanten bij het oud papier zette. Ook het verhaal van de agent die rond de 300 computers heeft gestolen is niet te negeren. Wat is er met de gegevens op die computers gebeurt? We kunnen dus niet op de overheid regelen deze informatie voldoende te beschermen.

De RFID chips die tegenwoordig in de paspoorten zitten. Tests hebben uitgewezen dat het eenvoudig is om met een omgebouwde pda met antenne gemakkelijk op afstand te zien is uit welk land iemand komt als je op Schiphol op een bankje gaat zitten. Tevens is het mogelijk om iets dichter naast iemand te gaan zitten en de complete RFID te kopiëren en na te maken. Dit geldt ook voor RFIDS in creditcards.


Het internet. Gemakkelijk op te zoeken is hoe bijvoorbeeld Google allerlei diensten gratis aanbied. Het verschil is dat Google niet het product is, dat ben jij. Jij voorziet google door middel van je Internet-gedrag, je email inhoud en je participatie in zgn. social networks van zoveel informatie dat ze een compleet profiel van je kunnen opbouwen. Dit profiel wordt dan vervolgens voor veel geld aan derden verkocht zodat jij gerichte reclame en aanbiedingen krijgt al naar gelang dit bij je profiel past.
Google luistert ook naar je microfoon in je computer en kijkt mee met je webcam, zelfs als je denkt dat hij uitstaat. Natuurlijk zit er niet een echt persoon naar je huiskamer te kijken of te luisteren maar wordt dit allemaal door computers gedaan die met geavanceerde algoritmes bepalen waar je naar kijkt of luistert en zo je profiel samenstelt.
Een nieuw truucje dat 15 mei 2010 bekend is geworden dat de auto'tjes van Google die door je buurt rijden om de foto's te maken die in streetview gebruikt worden ook de afgelopen drie jaar zonder toestemming informatie heeft opgeslagen die via onbeveiligde WIFI verbindingen zijn verzonden. Het zou onder meer gaan om delen van emails, foto's of bekeken websites.
Dit was onbedoeld gebeurt (natuurlijk, hoe vaak maak jij geen foto met je digitale camera en wordt plots lastig gevallen door email van de buurman of zijn webpagina's die ie aan het bezoeken is)..
U zult denken, jamaar.... met een digitale camera neem je toch geen WIFI informatie op? Heeft toch niks met elkaar te maken. Blijkbaar is er 'per ongeluk' een WIFI antenne in de paal verwerkt en is de fout ontstaan door 'hergebruik van software code die niet geschikt was voor de foto=auto's.

Ook alle betalingen die je doet met Ideal, Paypal of andere online pay services worden opgeslagen en aan de database toegevoegd.
Vlak na 11 september 2001 heeft de US besloten om rigoreus de regels die de privacy waarborgen te schenden door enorme hoeveelheden internationale overschrijvingen te verzamelen om zo de geldstroom op de wereld in kaart te kunnen brengen. Ze gaan hier tot op heden nog mee door.

Het is zelfs mogelijk om op afstand de complete harde schijf van de computer te scannen om te zien of er iets 'subversiefs' op te vinden is.
Straks, als er een reden voor gevonden kan worden, wordt het ons bekende internet vervangen door Web 2.0, waarin we voornamelijk met cloud computing gaan werken. Dat houd dus in dat er geen documenten van jou meer op je eigen systeem staan, maar op een centrale server, dus makkelijk toegankelijk voor het spekken van de database.

De vraag is natuurlijk, welke van deze databases zijn op het ogenblik gekoppeld, wat wordt er mee gedaan en wie heeft er toegang toe? Wij weten het niet, maar willen wel graag aan geven wat er kan gebeuren in een 'worst case scenario'.


Uitleg RFID:

Radio Frequency Identification Device, let. identificatie met radiogolven (afgekort RFID), is een technologie om van een afstand informatie op te slaan en te lezen van zogenaamde RFID-"tags" die op of in objecten of levende wezens zitten.
Deze tags kunnen "actief", "semi-actief/semi-passief" of "passief" zijn. Actieve RFID-tags voeden zich met een batterij en kunnen worden gelezen en geschreven met een "remote transceiver" ook wel "reader" genoemd die met een antenne radiogolven zendt en ontvangt, actieve tags zenden meestal met een interval hun ID uit. Semi-actieve tags zenden hun signaal pas uit nadat deze door de reader geactiveerd is. Passieve RFID-tags hebben geen eigen energiebron en zenden een antwoord door het omzetten van de energie van de radiogolven welke door de reader uitgezonden worden.
Tevens zijn er de zogenaamde chiploze tags (zie foto hiernaast), welke gebruikt worden voor eenvoudige identificatie taken zoals diefstal preventie. Deze zijn strikt genomen geen RFID tags omdat ze geen uniek identificatie nummer bevatten. Ze bestaan namelijk uit een afgestemde resonantie kring welke op een specifieke frequentie energie absorbeert.
RFID-tags onderscheiden zich ook door de gebruikte frequentie. In het algemeen kan gezegd worden: hoe hoger de frequentie, des te verder het leesbereik. Hogere frequenties hebben echter meer moeite met metaal en vocht. Veel gebruikte frequenties en hun gebruikte namen zijn:
125KHz (Low Frequentie), 13.56MHz (High Frequentie), 860 tot 950 MHz (Ultra High Frequentie), 2.45GHz (Microwave).
Het is gebruikelijk dat tags voorzien zijn van een meestal on-uitwisbaar IDentificatienummer. Binnen een enkel RFID systeem zijn dit bijna altijd unieke (volg)nummers. Deze nummers kunnen bij in gebruiksname van de tags worden bepaald door het nummer naar de tag te schrijven met een reader of printer. Het is ook mogelijk dit aan de producent van de tags over te laten.

Privacy:
De privacy kan in het geding komen.
Als identificatie-documenten zoals een paspoort een RFID-tag hebben, kunnen regeringen of bijvoorbeeld inlichtingendiensten hier misbruik van maken en mensen monitoren (surveillance)
Als het identificatienummer van een RFID-tag geassocieerd kan worden met een individu, kan dit individu gevolgd worden (door marketeers, overheidsfunctionarissen, stalkers, dieven of andere criminelen)
Lees/schrijf mogelijkheden van de RFID-tag kunnen het mogelijk maken dat er ongemerkt fraude wordt gepleegd
Een ander probleem is tag-collision: als meerdere RFID-chips tegelijk worden geactiveerd, en ze tegellijk hun code versturen, kan de ontvanger de verschillende codes niet onderscheiden. Dit wordt voorkomen door middel van selectieve activatie met behulp van binary tree search methode totdat slechts één tag reageert.
Omdat een RFID reader veel informatie genereert is inzet van een speciaal soort software (middleware/edgeware) noodzakelijk, hoewel er steeds meer readers op de markt verschijnen die dit zelf kunnen.

Uitleg EMV chiptechnologie
Enige jaren geleden namen (het voormalige) Europay, MasterCard en Visa het initiatief om te komen tot een wereldwijde standaard voor chiptechnologie voor hun betaalproducten: Maestro (grensoverschrijdend pinnen), MasterCard en Visa (creditcards). De standaard werd, naar de initiatiefnemers, kortweg EMV genoemd.

EMV is een internationale standaard voor betalingen en geldopnames met creditcards en bankpassen. Deze nieuwe standaard maakt een nog betere beveiliging van elektronische betalingen mogelijk door de vervanging van de magneetstrip door een chip met pincode.

De EMV-standaard is een set van specificaties waarin wordt beschreven hoe een transactie met een bankpas of creditcard met EMV-chip dient te verlopen, zowel bij de geldautomaat als de betaalautomaat. Belangrijk onderdeel is de vervanging van de magneetstrip door een chip en de toevoeging van een pincode. Kortom: van strip naar chip.

Alle creditcards en bankpassen met Maestro worden vervangen. Daarnaast moeten betaal- en geldautomaten en de betaalinfrastructuur geschikt worden gemaakt voor acceptatie van creditcards en bankpassen met chip. Ook betalen gaat anders: de chip moet in de betaalautomaat worden gestoken en een pincode is noodzakelijk. De invoering heeft dus gevolgen voor iedere partij in de betaalketen (betaal- en geldautomaatleveranciers, banken, creditcard-uitgevers, acceptanten en consumenten).




EMV wordt uiteindelijk wereldwijd ingevoerd. De vervanging van de magneetstrip door een chip en pincode wordt op dit moment in heel Europa maar ook daarbuiten ingevoerd. Het tempo waarin en de wijze waarop verschilt per land. Zo is medio zomer 2007 ruim 45% van de buitenlandsebetaalautomaten in Europa aangepast en al 60% van de geldautomaten.

Hoe snel zal de magneetstrip verdwijnen van de Nederlandse creditcard en bankpas?
Dat zal nog wel een aantal jaren duren, omdat de invoering geleidelijk gaat. Creditcards en bankpassen worden niet ineens vervangen, maar in principe bij het verstrijken van de geldigheidsdatum. Ook de aanpassing van betaal- en geldautomaten gebeurt geleidelijk gedurende een aantal jaren. Het tempo waarin en de wijze waarop de overgang plaatsvindt, verschilt tenslotte per land.
Om te zorgen dat in alle situaties met creditcard en bankpas kan worden betaald, zijn de nieuwe passen uitgerust met zowel een magneetstrip als een chip.

Het lijkt er dus op dat er met de EMV chip qua privacy niet zoveel verandert. Het wordt zelfs moeilijker om een kaart te 'skimmen' omdat de magneetstrip niet meer gebruikt wordt. Het is echter in december 2009 al gekraakt door onderzoekers van de universiteit in Cambridge. De chip in Nederland zou veiliger zijn, maar is inmiddels ook al gekraakt door tussenkomst van het VPRO programma Goudzoekers.

7 opmerkingen:

  1. found your site on del.icio.us today and really liked it.. i bookmarked it and will be back to check it out some more later

    cialis

    BeantwoordenVerwijderen
  2. BESTE MANIER OM goed bedrag om een ​​goede zakelijke starten of een goed leven ..... Hack te starten en neem het geld rechtstreeks vanaf elke Geldautomaat Vault met het gebruik van ATM Geprogrammeerd kaart die in de automatische modus runs. e-mail (andrewmodric@outlook.com) of bel 2347053839123 voor hoe zij en haar kosten te krijgen. .......... Toelichting op deze kaart werkt .......... Je slot net op deze kaart in een geldautomaat en het zal automatisch een menu van 1 VAULT $ 1000, 2 Vault $ 5000, opnieuw geprogrammeerd, EXIT, CANCEL. Klik gewoon op een van de gewelven en het zal je naar een andere SUB-MENU van ALL, ANDEREN, EXIT, CANCEL. Klik gewoon op anderen en type in het bedrag dat u wenst terug te trekken uit de ATM en heb je het geld kwamen meteen ... Done. *** LET OP: niet ooit maken de fout op de "ALL" OPTION. OMDAT HET ZAL alle BEDRAG VAN DE geselecteerde kluis. Om de kaart oproep +2347053839123 of e-mail (andrewmodric@outlook.com) te krijgen.

    BeantwoordenVerwijderen
  3. BESTE MANIER OM goed bedrag om een ​​goede zakelijke starten of een goed leven ..... Hack te starten en neem het geld rechtstreeks vanaf elke Geldautomaat Vault met het gebruik van ATM Geprogrammeerd kaart die in de automatische modus runs. e-mail (andrewmodric@outlook.com) of bel 2347053839123 voor hoe zij en haar kosten te krijgen. .......... Toelichting op deze kaart werkt .......... Je slot net op deze kaart in een geldautomaat en het zal automatisch een menu van 1 VAULT $ 1000, 2 Vault $ 5000, opnieuw geprogrammeerd, EXIT, CANCEL. Klik gewoon op een van de gewelven en het zal je naar een andere SUB-MENU van ALL, ANDEREN, EXIT, CANCEL. Klik gewoon op anderen en type in het bedrag dat u wenst terug te trekken uit de ATM en heb je het geld kwamen meteen ... Done. *** LET OP: niet ooit maken de fout op de "ALL" OPTION. OMDAT HET ZAL alle BEDRAG VAN DE geselecteerde kluis. Om de kaart oproep +2347053839123 of e-mail (andrewmodric@outlook.com) te krijgen.

    BeantwoordenVerwijderen

  4. Hello friend, my name is MR COLLIN JACK i want to share my testimony on how i got my BLANK ATM card which have change my life today. i was once living on the street where by things were so hard for me, even to pay off my bills was very difficult for me i have to park off my apartment and start sleeping on the street of Vegas. i tried all i could do to secure a job but all went in vain because i was from the black side of America. so i decided to browse through on my phone for jobs online where i got an advert on Hackers advertising a Blank ATM card which can be used to hack any ATM Machine all over the world, i never thought this could be real because most advert on the internet are based on fraud, so i decided to give this a try and look where it will lead me to if it can change my life for good. i contacted this hackers and they told me they are from Australia and also they have branch all over the world in which they use in developing there ATM CARDS, this is real and not a scam it have help me out. to cut the story short this women who were geeks and also experts at ATM repairs, programming and execution who taught me various tips and tricks about breaking into an ATM Machine with a Blank ATM card.i applied for the Blank ATM card and it was delivered to me within 3 days and i did as i was told to and today my life have change from a street walker to my house, there is no ATM MACHINES this BLANK ATM CARD CANNOT penetrate into it because it have been programmed with various tools and software before it will be send to you. my life have really change and i want to share this to the world, i know this is illegal but also a smart way of living Big because the government cannot help us so we have to help our self. if you also want this BLANK ATM CARD i want you to contact him on email via; {wilsonatmhacker@gmail.com} thank you all and god bless

    BeantwoordenVerwijderen
  5. Hello friend, my name is MR COLLINJACK i want to share my testimony on how i got my BLANK ATM card which have change my life today. i was once living on the street where by things were so hard for me, even to pay off my bills was very difficult for me i have to park off my apartment and start sleeping on the street of Vegas. i tried all i could do to secure a job but all went in vain because i was from the black side of America. so i decided to browse through on my phone for jobs online where i got an advert on Hackers advertising a Blank ATM card which can be used to hack any ATM Machine all over the world, i never thought this could be real because most advert on the internet are based on fraud, so i decided to give this a try and look where it will lead me to if it can change my life for good. i contacted this hackers and they told me they are from Australia and also they have branch all over the world in which they use in developing there ATM CARDS, this is real and not a scam it have help me out. to cut the story short this women who were geeks and also experts at ATM repairs, programming and execution who taught me various tips and tricks about breaking into an ATM Machine with a Blank ATM card.i applied for the Blank ATM card and it was delivered to me within 3 days and i did as i was told to and today my life have change from a street walker to my house, there is no ATM MACHINES this BLANK ATM CARD CANNOT penetrate into it because it have been programmed with various tools and software before it will be send to you. my life have really change and i want to share this to the world, i know this is illegal but also a smart way of living Big because the government cannot help us so we have to help our self. if you also want this BLANK ATM CARD i want you to contact her on email via; {wilsonatmhacker@gmail.com} or you can call line +2349038420842 thank you all and god bless

    BeantwoordenVerwijderen
  6. Hello Everybody,
    My name is Mrs Sharon Sim. I live in Singapore and i am a happy woman today? and i told my self that any lender that rescue my family from our poor situation, i will refer any person that is looking for loan to him, he gave me happiness to me and my family, i was in need of a loan of $250,000.00 to start my life all over as i am a single mother with 3 kids I met this honest and GOD fearing man loan lender that help me with a loan of $250,000.00 SG. Dollar, he is a GOD fearing man, if you are in need of loan and you will pay back the loan please contact him tell him that is Mrs Sharon, that refer you to him. contact Dr Purva Pius,via email:(urgentloan22@gmail.com) Thank you.

    BeantwoordenVerwijderen
  7. In this cyber era everything is possible, no need to hire detectives to monitor your partner, no need to pay huge amount to lawyers and judges to reduce your sentence when you can just erase your criminal record either recent or past.
    with Cybertron you can do all these and more at less expense.

    Cybertron deal with
    * Hacking(including all social media)
    * Tracking
    * Bank Jobs
    * Flipping cash(credit cards)
    * Taxes
    * Criminal record or any form of
    records
    * Schools/Universities upgrade
    * Military grade encryption, NASA
    encryption and decryption.
    You name it we do it all, we at your disposal 24/7
    contact : infinitedataserver@gmail.com

    BeantwoordenVerwijderen