1. Hoe wilde Justitie het openbreken van berichtendiensten bereiken?

Ofschoon diverse malen leek alsof Justitie de strijd tegen encryptie opgaf, ook met een expliciete verklaring van het kabinet in 2016, was dit schijn. Vorig jaar onthulde de NOS dat het eisen van achterdeurtjes op versleutelde diensten nog op het vuur stond, met steun van Grapperhaus’ partij CDA.

Die verklaring van 2016 was getekend door de ministers van Justitie Van der Steur en van Economische Zaken Kamp (beiden VVD). Maar juist dit weekend schrijft NRC (na een uitgebreide Wob-zaak met Lighthouse Reports) dat hun ministeries nadien een ‘hevige strijd’ voerden over versleuteling of encryptie: grote delen van justitie wilden deze kunnen openbreken voor opsporing van boeven. EZ vond dit een onmogelijke wens, ook na overleg met Meta/WhatsApp.

De inzet van Grapperhaus was een wijziging van de nationale Telecomwet. Daarin is geregeld dat telecomaanbieders bij een juridische vordering hun netten moeten openen voor het aftappen. Dit is enkel mogelijk voor telefonie en sms. Justitie wilde toevoegen dat chat- en andere ‘over-the-top’ diensten aftapbaar moeten maken met een verplichte achterdeur.

Een geheim was de wens van Grapperhaus niet. In een Kamerbrief van mei 2020 (‘Naar een veiliger samenleving’) schrijft hij over drie grote hobbels voor aftapbaarheid: ‘Hierbij moet aandacht worden besteed aan het feit dat veel OTT-diensten worden aangeboden door bedrijven die niet in Nederland gevestigd zijn. Dit zou een bevoegdheid tot grensoverschrijdend vorderen kunnen betekenen, waarbij ook aandacht moet worden besteed aan handhaving. Ook gebruiken meerdere OTT-diensten end-to-end versleuteling…’

Volgens EZK dreigde Meta WhatsApp niet meer toegankelijk te maken in Nederland als de dienst aftapbaar moet zijn, want het vertrouwen van gebruikers zou ernstig geschaad worden. Immers, deze diensten opereren mondiaal, de telecomnetten nationaal. Nederland telt zo’n 12 miljoen gebruikers, en ook bedrijven maken er vaak gebruik van. EZK verdedigt dus WhatsApp.

2. De AIVD hackte de telefoon van Taghi, vanwaar dan nog verbindingen willen tappen?

Met de intrede van de Wet Computercriminaliteit III ontstond een hackbevoegdheid voor opsporing oftewel ‘dat een daartoe aangewezen opsporingsambtenaar binnendringt in een geautomatiseerd werk dat bij de verdachte in gebruik is en, al dan niet met een technisch hulpmiddel, onderzoek doet’.

Eerder voerden we het debat hierover op Netkwesties, zoals in 2013 met het voorstel van toenmalig minister Opstelten van Justitie. De voornemens kregen weinig applaus van onze experts – die om meer controle op de uitvoering van bevoegdheden vroegen. Die controle ontbreekt.

Afgelopen week onthulde Huib Modderkolk dat De AIVD – die ook mag hacken, maar dan onder de WIV – de telefoon van verdachte Ridouan Taghi was binnengedrongen. Daartoe is gebruikgemaakt van Pegasus software van de NSO Group. Deze Israëlische leverancier is omstreden omdat Pegasus ingezet is voor democratie ondermijnende spionage, zoals bij journalisten en politici in EU-landen.

De AIVD stak de politie de helpende hand toe om de meest gezochte crimineel te traceren en af te luisteren. De grenzen tussen speurdiensten worden vloeibaarder, met de NCTV als trait-d’union tussen politie en inlichtingendiensten, en grensoverschrijdend via Europol.

3. Biedt aanpassing van de Telecomwet soelaas?

Ook is met Computercriminaliteit III aan het Wetboek van Strafvordering artikel 126zp toegevoegd, dat een officier van justitie verdachten kan dwingen om versleuteling ongedaan te maken. Dit werkt niet, en telefoons hacken maar beperkt. Vandaar dat speurdiensten ook alle berichtenverkeer op verbindingen wil kunnen aftappen.

Lang verhaal kort: eind 2020 laten Grapperhaus en speurdiensten de eis voor aftapbaarheid van communicatiediensten in de Telecomwet vallen, nadat de NCTV en het Nationaal Cybersecurity Centrum (NCSC) van Justitie dit als onhaalbaar schetsen. De wens blijft echter voor een technische oplossing die de encryptie intact laat, maar een achterdeur creëert voor opsporing.

Dat stelt ook de huidige minister van Justitie Dilan Yesilgöz-Zegerius (VVD). Echter de wens leeft voort om de digitale communicatie te kunnen aftappen, liefst met behoud van encryptie. Dat schreef ze recent ook in een toelichting op een vacature op haar departement voor een persoon die dit dilemma moet onderzoeken, zo antwoordde ze uitvoerig. De vragen waren van Kamerlid Queeny Rajkowski, eveneens van de VVD, die ervaraing heeft in het digitale domein.

4. Wat doet het buitenland met aftappen van OTT-diensten zoals WhatsApp?

In Groot-Brittannië was er een open politieke strijd voor aftappen van berichtendiensten, met bestrijding van terrorisme als inzet. De regering verloor het pleit steeds, dus begon recent uit arren moede een campagne No Place To Hide om gebruik van versleutelde diensten af te raden.

De Britse regering raadt burgers het gebruik van versleutelde diensten nu af met een beroep op bestrijding van kindermisbruik. Waarop de toezichthouder op privacy ICO negatief reageert: encryptie van WhatsApp beschermt kinderen juist tegen indringers.

Deze kwestie leidde ook tot een heftig debat in de VS tussen beveiligingsexperts en juristen over de wenselijkheid, haalbaarheid en effectiviteit van een oplossing om verkeer te kunnen aftappen. Alle drie staan ter discussie. Grapperhaus besprak het dilemma met William Barr, minister van Justitie in de regering-Trump.

Ook in Duitsland speelt een intensieve discussie over toegang tot OTT-berichtenverkeer. De huidige minister van Digitale Zaken in Duitsland, de liberaal Volker Wissing, sprak zich recent uit tegen het inbreken op versleuteling.

In zijn verklaring zegt hij dat dit tegen principiële vrijheid van communicatie indruist. Wissing stelt zich op tegenover de Duitse minister van Binnenlandse Zaken, de sociaal-democraat Nancy Faeser (SPD). Dus net als in Nederland en andere landen is er binnen regeringen onenigheid over een aftapplicht voor WhatsApp c.s. Natuurlijk lobbyen de bedrijven flink in alle landen

5. Welke rol vervult Europa?

Nu wordt het interessant. Geen van de politieke pleitbezorgers slaagt erin om in eigen land een aftapplicht tot stand te brengen. Voor het afdwingen van beleid is de Europese Unie soms een handig breekijzer, ook in dit geval.

In Europa wordt eerst principieel afgesproken om te komen tot verruiming van mogelijkheden voor ‘E-evidence’, bewijzen uit digitale communicatie. Dat meldt Grapperhaus in december 2020 aan de Tweede Kamer. De inzet is behoud van encryptie, met mogelijkheden voor snelle decryptie indien noodzakelijk geacht voor opsporing. Hij zegt daarmee de aangenomen motie-Baudet van november 2020, gericht tegen een verbod op versleuteling, te respecteren. Versleuteling is een goed recht, maar niet absoluut.

Brussel komt tot een ‘slimme’ oplossing: geen verplichte achterdeur, maar een EU-voorstel om monitoring van berichtenverkeer door aanbieders zelf verplicht te stellen. Ze moeten kindermisbruik bestrijden, en zoeken zelf maar uit hoe ze dat doen. Dus via een omweg komen de Europese landen tot een voorstel dat ze nationaal niet voor elkaar kunnen boksen.

In het stuk zelf stelt de Europese Commissie dat bij het kiezen tussen twee kwaden de encryptie er aan moet geloven om kindermisbruik effectief te kunnen bestrijden. ‘Encryptie is een essentieel instrument voor cyberbeveiliging en de bescherming van de grondrechten van gebruikers, zoals de vrijheid van vrijheid van meningsuiting, privacy en persoonsgegevens, maar maakt tegelijkertijd de opsporing van kindermisbruik online (en dus de bescherming van de grondrechten van het kind) veel moeilijker, zo niet zo niet onmogelijk.’

Het is volgens Brussel onwaarschijnlijk dat aanbieders van digitale communicatie vrijwillig ingrijpen, integendeel, steeds meer diensten bieden end-to-end encryptie van het verkeer. Dus moeten ze maar worden gedwongen tot medewerking en zelf op kindermisbruik gaan controleren. Rejo Zenger van Bits of Freedom stelt dat dit een plicht inhoudt om encryptie te breken.

6. Kun je technisch nog optimaal beveiligen en toch monitoren?

Veiligheid versus privacy vormt een niet aflatende belangenstrijd. Sommige experts, Jaap-Henk Hoepman voorop, menen dat de tegenstelling kunstmatig is: je kunt zowel veiligheid als privacy bieden, als je beide principes evenwichtig toepast in je systeemontwerp. Dat is met de huidige berichtendiensten niet gebeurd. Hoepman schreef eerder uitgebreid over deze kwestie.

Thijs Niks, werkzaam voor Whatapp, spreekt van beleidsambtenaren die van technologie en wiskunde niets begrijpen. Beveiligingsexpert – en wiskundige Ronald Prins is genuanceerder: ‘Je kunt niet tegelijkertijd een echt veilig systeem bouwen en toch access verlenen aan law enforcement om mee te kunnen lezen.

Privacy is echter geen absoluut recht. De politie mag ook (onder voorwaarden) mijn huis doorzoeken. Hoeveel sloten ik op de deur hang, ze komen uiteindelijk toch wel binnen. Ik heb sympathie voor de gedachte ze ook zich digitaal toegang moeten kunnen verschaffen.

Ik zou alleen niet weten hoe je dat moet regelen zonder de encryptie te verzwakken voor ons allemaal. Technisch creëer je risico's doordat 'superkeys' die de Facebooks moeten bewaren kunnen lekken, en procedureel blijft het grote vraagstuk wie en in welk geval toegang kan krijgen tot sleutels.

Expert in beveiliging en aftappen Chefren Hagens opperde niettemin op Netkwesties de mogelijkheid om een systeem met reservesleutels in te voeren, niet één ‘supersleutel’ waarmee direct de hele dienst wordt geopend: beveiligd opgeslagen sleutels om ingeval van nood per account bij te kunnen, dus bij verdenking van misdaad of voor nabestaanden na overlijden.

Brussel wijst in genoemd voorstel op een mogelijke oplossing van Apple om kindermisbruik op de apparaten van gebruikers te detecteren, voordat ze deze versleuteld gaan versturen. Elke verboden afbeelding krijgt dan een code of hash, en al die hashes staan in een databank. Bij het versturen wordt dan gekeken of de afbeelding een hash heeft.

Dit gebeurt op het toestel van de gebruiker voordat het beeld wordt versleuteld. Het gaat om ‘geverifieerd kindermisbruik’ zoals die door bestrijders al wordt gebruikt. We hebben dit eerder beschreven voor een Nederlands systeem om hosters van beelden van kindermisbruik aan te pakken.

De paradox volgens Brussel, in het kort: ‘Om deze redenen beoogt de inventarisatie naar technische oplossingen de beschermende waarde van versleuteling hoog te houden, terwijl de negatieve effecten voor opsporings- en inlichten en veiligheidsdiensten worden verminderd.’

Is dit zo? Goed voor een volgend debat en vragen aan onze experts…