Justitie wil de computer in: “Aanvaluhhh!”

Zo’n soort geval trad afgelopen jaar op bij SurfCert, de beveiligingsclub van Surfnet. De beheerder van een botnet dat ook pc’s misbruikte die van Surfnet gebruikmaken, werd na veel speurwerk getraceerd. Daar stonden de beveiligers dan: boef laten lopen, want wettelijk gezien kunnen ze niet optreden. En ook de getroffenen geen waarschuwing op het beeldscherm laten zien.

Ook ons Nationaal Cyber Security Centrum (NCSC) heeft meer bevoegdheden nodig om haar taken goed te kunnen uitvoeren, waaronder inbraak in computers, eventueel in het buitenland. Internet houdt niet op bij de landsgrenzen. Dus kwam Ivo Opstelten van Veiligheid en Justitie met vergaande voorstellen om bevoegdheden uit te breiden.

Concreet stelt Opstelten voor:

1. op afstand onderzoek mogelijk maken in computers van vermeende criminelen en - indien nodig - gegevens overnemen of ontoegankelijk maken. Het zou beperkt moeten worden tot bestrijding van ‘ernstige delicten’ waarop minimaal vier jaar gevangenisstraf staat, maar ook als een ‘ernstige inbreuk op de rechtsorde’ dreigt. Dat mag dan louter met toestemming van een rechter-commissaris. De te gebruiken software moet vooraf goedkeuring verkrijgen.
2. Verruiming van de bevoegdheid van de officier van justitie om, met machtiging van de rechter-commissaris, online publicatie ontoegankelijk te maken. Opstelten wenst een “betere toepassing van de bestaande regeling, zodat de samenleving beter kan worden beschermd tegen strafbare feiten die op internet worden begaan.”
3. Versleuteling kunnen doorbreken en de mogelijkheid om te kunnen inbreken in computers. Nu is dat beperkt tot de mogelijkheid om in te breken op de verbinding. Ook moeten verdachten meewerken aan het openen van versleutelde bestanden op hun computer na een ‘decryptiebevel’ van de officier van justitie. Werken ze niet mee, dan riskeren ze maximaal drie jaar celstraf.
4. Ook wil Opstelten heling van data strafbaar maken; dat wil zeggen het publiceren van gehackte gegevens. Genoemd worden wachtwoorden en toegangscodes, maar het strekt zich ook uit tot privé foto’s en bestanden van de overheid die gehackt zijn en openbaargemaakt worden.

Kritiek van BoF

Het wetsvoorstel is naar instanties gestuurd, zoals het OM en de Raad voor de rechtspraak, en openbaar gemaakt voor publieke kritiek. Die was direct pittig, vooral van de kant van Bits of Freedom (BoF). De privacyclub vindt dat de voorstellen burgers kwetsbaar maken. Iedere burger,  van wie bijvoorbeeld de computer wordt gekraakt door criminelen, kan een doelwit worden van de politie gedurende opsporing.

Uit de toelichting van BoF: “Een voorbeeld uit het hackvoorstel: de politie wil op afstand software op een smartphone kunnen installeren, waardoor de GPS-functie kan worden geactiveerd en de locatie van de smartphone kan worden bepaald. Andere dingen die de politie met dit soort software kan doen is gesprekken afluisteren of toetsaanslagen registreren en wellicht zelfs de camera aanzetten.”

Een beetje ondoordacht, vindt Bits of Freedom, want de politie die zich crimineel gaat gedragen, wordt een risicofactor. Gebruikte software kan ook door criminelen worden gebruikt en hoe moet de antivirus bestrijding ermee omgaan? En wat het buitenland betreft: als wij gaan hacken,  zullen China en Iran hun aanvallen diplomatiek kunnen legitimeren.

Meer bevoegdheden zijn ook onnodig volgens BoF. De digitale recherche moet eerst eens op sterkte worden gebracht en het ‘gewone werk’ gaan doen, zoals voor het ontmantelen van de ruim 150 servers in Nederland gebruikt voor aansturing van botnets. Nederland is met dit aantal qua Ddos bronnen mondiaal een derde speler, na de VS en de Maagdeneilanden, maar vóór Rusland en China. Althans, volgens McAfee.

Propaganda met kinderporno

Justitie bepaalt of de bevoegdheden nodig zijn of niet, ook al wordt de huidige computermisdaad niet allemaal opgelost, zoals BoF als argument aanvoert. De politie lost ook niet alle autodiefstallen op maar heeft bevoegdheden om nodig om moordenaars op te sporen.

Anderzijds neemt met toename van bevoegdheden het risico op misbruik en privacyschending door digitale dienders toe en roept het gebruik van criminele methoden kwesties op.

De afwegingen zijn politiek, lobbies gaan aan de besluitvorming vooraf, ook door Justitie zelf. Het meningencircus vormt een strijdtoneel en staatspropaganda in persberichten hoort daar tegenwoordig bij. De motivatie kleden bewindslieden steeds vaker in met argumenten om het publiek snel te overtuigen. Uit het persbericht: “Politie en Justitie krijgen dan toegang tot afgeschermde gegevens en kunnen de vervaardiging, de verspreiding en het bezit van kinderpornografie effectiever bestrijden en hulp bieden aan de slachtoffers.”

Is de laatste toevoeging realiteit of effectbejag van Opstelten en zijn apparaat? Een persbericht telt zwaar, want aan het lezen van de 90 pagina’s Memorie van Toelichting komen de meesten niet toe. We deden dat wel. Uit de Memorie van Toelichting:

Veiligheid versus privacy

We kennen de Wet computercriminaliteit (1993), de Wet computercriminaliteit II (2006) inclusief het Europese Cybercrime Verdrag, beide onderdeel van het Wetboek van Strafvordering en Wetboek van Strafrecht. Dat is niet genoeg, gezien de toename van misdaad met IT. In het Regeerakoord van VVD en PvdA staat al: “Er is sprake van toenemende bedreigingen en kwetsbaarheden op het terrein van cybersecurity. Die willen we het hoofd bieden door krachten te bundelen met alle belanghebbenden, de opsporingscapaciteit te versterken en het juridisch instrumentarium aan te passen aan de gewijzigde omstandigheden.”
Iets eerder staat ook in het akkoord het volgende cliché: “Bescherming van de persoonlijke levenssfeer van burgers is van groot belang. De overheid dient daarvoor borg te staan.”

De precaire afweging tussen de risico’s op privacyschending van eerbare burgers en de noodzaak om beter naar verdachten te kunnen speuren, krijgt uitgebreid aandacht in de Memorie van Toelichting. Het is de gebruikelijke afweging en een steeds vaker terugkerend politiek vraagstuk.
Zoals bij alle nieuwe wetgeving sinds 2002 vindt de regering dat, als je maar zorgvuldig genoeg bent, nieuwe bevoegdheden voor Justitie en politie louter boeven zullen treffen en de bevolking dus ten goede komen. Oftewel: de rechtsstaat werpt een dam op tegen misbruik van de nieuwe bevoegdheden. Erkend wordt dat hacken van verbindingen al een schending van artikel 8 EVRM is, dus het nu in te voeren inbreken in pc’s ook.
Volgens Opstelten zal praktische toepassing echter beperkt zijn. De Centrale Toetsingscommissie van het Openbaar Ministerie moet instemmen. De uitvoering zal beperkt zijn tot aangewezen, deskundige speurders. En, logisch, inbreken is niet mogelijk als de vermeende boef die weg heeft afgesloten.
De officier van justitie kan een bevel tot onderzoek in een computer alleen geven na een voorafgaande schriftelijke machtiging van de rechter-commissaris. “Het vereiste van een voorafgaande rechterlijke toetsing biedt de burger bescherming tegen willekeurige inmenging door de overheid in zijn privéleven”, beweert de minister. De politie/justitie moet een ‘dringend onderzoeksbelang’ hebben.

We gaan de punten na uit die toelichting van Opstelten. Justitie spreekt formeel van ‘geautomatiseerd werk’; we vertalen dat even met ‘computer’.

Ad 1 Inbraak en molest

• De AIVD en MIVD mogen al sinds 2002 computers binnendringen, data kopiëren en versleuteling blokkeren. Zonder gerechtelijke toestemming en daarmee een volstrekt ongecontroleerd fenomeen;
• Gebruik van apparaten en online diensten vervaagt. Nu kan justitie wel aftappen, dus online verkeer proberen te onderscheppen, maar op de apparatuur van gebruikers niet;
• Verbindingen aftappen is steeds vaker zinloos door encryptie, zoals met TrueCript, of standaard bij Gmail en Twitter, optioneel bij Facebook en Hotmail. Je moet dus op de pc zijn voor data, vóór en na versleuteling. Ook inzet van Tor en NAT-technologie maakt speuren op de verbinding vaker zinloos;
• Ook wifi-gebruik op verschillende verbindingen is buitengewoon lastig want achter een router met wifi zijn verschillende apparaten in gebruik (camping bijvoorbeeld). Ook heeft justitie vaak verschillende aftapbevelen nodig, en dan nog is het volgen van verkeer van één persoon moeilijk;
• Cloud computing met Dropbox, Gdrive etc. compliceert opsporing ook danig vanwege opslag van data in het buitenland, die ook vaak gefragmenteerd is over verschillende servers. Via de pc kan justitie wel bij die data van de verdachte komen;
• Anonieme hosting van bijvoorbeeld nagebouwde bankwebsites in een land waarmee Nederland niet of nauwelijks een rechtshulprelatie onderhoudt, is werkelijk problematisch. “De opsporing heeft behoefte aan de mogelijkheid om heimelijk toegang te kunnen verkrijgen tot gegevens die in de Cloud zijn opgeslagen, zonder dat de verdachte of de aanbieder daarbij betrokken is.”
• Inbeslagname van computers brengt de verdachte op de hoogte van onderzoek. Dat werkt te vaak averechts, dus stiekem inbreken is nodig.
•  niet enkel voor ernstige computermisdaad, maar ook voor onderzoek naar moord, handel in drugs, mensenhandel, omvangrijke milieudelicten, wapenhandel en ernstige fraude;
• Keyboard en mouse logging mag de politie offline al op pc’s aanbrengen, dus is het logisch dat dit online ook moet kunnen;
• Het plaatsen van een ‘richtmicrofoon’ wordt mogelijk evenals het op afstand aanzetten van een microfoon van een computer, bijvoorbeeld om Skype-gesprekken af te luisteren;
• Locatiebepaling van laptops en smartphones wordt veel beter mogelijk dan nu (via masten vervallen?), door op afstand GPS-software te installeren en te volgen. Ook gebruikte wifi-spots komen direct in beeld;
• Kennis bij de rechterlijke macht voor dit soort dingen schiet nu tekort. Officieren en rechters worden bijgeschoold en kennisuitwisseling wordt beter geregeld;
• De speurder gaat criminele methoden toepassen zoals plaatsing van malware, ondermeer met toepassing van phishing om die te kunnen installeren, en van social engineering om wachtwoorden te achterhalen;
• Het technische hulpmiddel moet zijn goedgekeurd en voldoen aan de normen in het Besluit technische hulpmiddelen strafvordering, dat in verband met de voorgestelde bevoegdheid wordt aangepast;
• Malware moet ook weer verwijderd worden, maar dat zal niet altijd gaan. Het criminele opsporingsgedrag moet nauwkeurig vastgelegd worden voor eventuele latere toetsing.

Europese onenigheid

• Inbreken in pc’s voor opsporing mag al in België, Duitsland en Frankrijk. Belgische speurders mogen ook de grens al over. (Dus ook in onze computers snuffelen!)
• De Duitse rechter sprak zich er in 2008 over uit en beperkte de toestemming voor inbraak tot gevaar voor mensenlevens en rechtsgoed. De bevoegdheid mag slechts op verzoek van de voorzitter van de Duitse Bondsrecherchedienst en na toestemming van de rechtbank worden ingezet;
• Over grensoverschrijdende noodzaak:  de EU-landen, Japan en de VS konden in 2010 in cybercrime-overleg niet tot overeenstemming komen over voorwaarden waaronder vergaande grensoverschrijdende toegang tot gegevens mogelijk is. In het Cybercrime Verdrag ligt het accent dan ook op de wederzijdse bijstand. Dit werkt niet goed, want het is te traag of levert helemaal geen respons op;
• De Raad van Europa heeft recent in de zogenaamde Transborder Group al vastgesteld dat vaak al grensoverschrijdend data worden verkregen, al dan niet via inbraak. Dat wordt niet gedekt door het Cybercrime Verdrag, maar uitbreiding hiervan wordt toch niet aanbevolen. Steeds minder is de locatie van data in een bepaald land vast te stellen, omdat ‘cyberspace’ grenzeloos is. (zie rapport)

Voorbeelden inbraak

1. Het binnendringen van een router zodat kan worden achterhaald wat het identificerende kenmerk van de laptop van de verdachte is, waardoor de toepassing van onderzoekshandelingen (bijvoorbeeld het overnemen van gegevens) of de inzet van opsporingsbevoegdheden (bijvoorbeeld het aftappen en opnemen van communicatie) selectiever kan plaatsvinden.
2. Het binnendringen van een computer, waarvan alleen het Tor-adres bekend is, om het IP-adres vast te stellen teneinde een bevel tot het aftappen en opnemen van communicatie aan de aanbieder te kunnen afgeven.
3. Het binnendringen van een smartphone van een persoon, die criminele contacten onderhoudt met een verdachte, om zijn identiteit vast te kunnen stellen.

Voorbeelden data pikken:

1. De verdachte maakt veelvuldig gebruik van cryptocontainers of complete versleuteling van de harde schijf. Nadat is binnengedrongen kan het wachtwoord worden afgevangen zodat bij latere vastlegging van de gegevens de cryptocontainer kan worden geopend.
2. De verdachte heeft zijn gegevens via het Tor-netwerk in de Cloud opgeslagen. De aanbieder kan niet worden vastgesteld of bereikt. Het veiligstellen van de gegevens is uitsluitend mogelijk als de verbinding met de Clouddienst open is. Daarvoor is het noodzakelijk om aanwezig te zijn op de computer.

Ad 2. Ontoegankelijk maken

• Onder ontoegankelijkmaking van gegevens wordt verstaan het treffen van maatregelen om te voorkomen dat een computereigenaar nog misdaad kan plegen, bijvoorbeeld een botnet onderhouden of kinderporno verspreiden;
• Nu regeert de gedragscode “Notice and Take Down” (NTD-gedragscode). Providers die meldingen ontvangen over onrechtmatige en strafbare informatie op internet, moeten die na controle verwijderen. Dan nog kan de melder aangifte doen of een rechtszaak beginnen;
• Deze procedure wordt eveneens toegepast bij verzoeken van de politie als het gaat om het verwijderen van kinderporno, die in Nederland wordt “gehost”. Ook kan verwijdering via een rechter worden afgedwongen;
• Providers die een bevel van Justitie om een website af te sluiten niet nakomen, kunnen worden vervolgd als ze niet meewerken.
• Het ontoegankelijk maken van gegevens betreft een voorlopige maatregel. De definitieve beslissing over de vernietiging van de gegevens is voorbehouden aan de rechter

Ad 3. Decryptiebevel aan de verdachte

• De sleutellengtes nemen toe, tot nu de nauwelijks te kraken 256 bits. Cryptografieprogramma’s specifiek gericht op het ondermijnen van  forensisch onderzoek maken het extra moeilijk, met bijvoorbeeld open source opslag in containers zoals met TrueCript;
• Het is vooral nodig in de strijd tegen kinderporno;
• Bij de invoering van de Wet Computercriminaliteit vond de toenmalige minister van Justitie het verplichten van de verdachte tot medewerking aan ontsleuteling een stap te ver vanwege diens verklaringsvrijheid en het zwijgrecht. Hij baseerde zich op onderzoek van Bert-Jaap Koops van Instituut Tilt van de Universiteit van Tilburg;
• Opstelten liet naar deze bepalingen van artikel 6 van het EVRM en nemo tenetur (geen gedwongen medewerking aan eigen veroordeling) opnieuw door Koops onderzoek doen. Dit is klaar en is als Decryptiebevel en artikel 6 EVRM’ aan de Tweede Kamer aangeboden;
• Opzienbarende conclusie van Koops: “Uit bovenstaande bevindingen blijkt dat een decryptiebevel aan verdachten niet onverenigbaar is met het nemo teneturbeginsel. Het hangt ervan af hoe het wettelijk wordt vormgegeven (bijvoorbeeld welke soort en mate van dwang kan worden gebruikt) en hoe het in een concreet geval wordt toegepast.”* De VS, Engeland, Australië en Frankrijk kennen de decryptieplicht ook, elk onder eigen voorwaarden. België niet;
• Werkbaar is een bevel waarbij de officier van justitie kan toezeggen de resultaten van de medewerking door verdachte niet als bewijs tegen hem te zullen gebruiken;
• Een decryptiebevel met strafbaarstelling van weigering krijgt de voorkeur van Opstelten, anders heeft het geen zin. Hij denkt aan deze machtsuitoefening bij verdenking van bepaalde zeer ernstige strafbare feiten;
• Dat zijn volgens de minister vervaardiging en/of verspreiding van kinderpornografie en het plegen van terroristische misdrijven;
• Weigering leidt tot maximaal drie jaar (extra) celstraf;
• In de toelichting: “Voor een adequate bestrijding van deze strafbare feiten is het van groot belang dat politie en justitie toegang kunnen krijgen tot versleutelde gegevens.”

Dat laatste kan niet getoetst worden, wat evenzeer geldt voor andere bevoegdheden die justitie wil hebben. Rapportage over de effectiviteit lijkt het minste dat het parlement kan eisen bij goedkeuring van de voorstellen.

Ad 4 De heling van gegevens

• Het wordt strafbaar om niet-openbare gegevens met een computer wederrechtelijk over te nemen;
• Het wordt ook strafbaar om niet-openbare gegevens die door misdrijf zijn verkregen voorhanden te hebben of bekend te maken;
• De beide voorgestelde strafbaarstellingen kwamen eerder al ter sprake in bijvoorbeeld de zaak van publicatie van naaktfoto's en -filmpjes van Manon Thomas door GeenStijl;
• Doel is te voorkomen dat vertrouwelijke gegevens snel voor grote groepen toegankelijk worden, waardoor ze nauwelijks meer te verwijderen zijn;
• Het gaat ook om data die niet door eigen inbraak zijn verkregen, maar van een kraak door anderen, zoals creditcardgegevens, wachtwoorden en zelfs virtuele goederen in spellen, zoals eerder de diefstal van een virtueel amulet en een virtueel masker uit het spel RunSape, veroordeeld door de Hoge Raad;
• Het door artikel 10 van het EVRM gewaarborgde recht op vrijheid van meningsuiting kan dwingen tot het maken van een uitzondering voor journalisten die data helen voor een maatschappelijk relevante publicatie, maar geldt zeker niet altijd;
• Strafbaarstelling van heling is geen verkapt downloadverbod.

Klinkt goed, doen dus?

Kortom, Justitie heeft goed nagedacht over de voorstellen, vergelijkingen getrokken met het buitenland en opnieuw onderzoek laten doen waarbij een privacygeleerde zijn mening over het decryptiebevel van 12 jaar geleden herzag . Snel invoeren dus? Of is het de volgende stap in het scheppen van nieuwe mogelijkheden, die in toekomstige staatsvormen en maatschappelijke stromingen misbruik en verregaande schending van burgerrechten in de hand zullen werken?

Het woord is aan onze experts.