BSC
VOPO
Communicatietraining

De 'geheime' internet tapkamer van de overheid. Hoe weet je als burger dat je internetverkeer afgetapt wordt?

Het Directoraat-Generaal Telecommunicatie en Post (DGTP) wist te vertellen dat de TIIT specificatie als openbaar document bedoeld was, maar dat het Ministerie van Justitie en de Binnenlandse Veiligheidsdienst (BVD) te bang waren voor denial of service" aanvallen op hun apparatuur. Daarom werd de OPTA-registratie-norm als eis voor het opvragen van de specificatie gebruikt om zo een mate van geheimhouding te creeren.

Ook de aftapmachine moest geheim blijven. Een beetje naïef. Zo'n snelle internet verbinding verbergen? Niet dus! De aftapgegevens gaan van de provider gewoon (versleuteld) via de Amsterdam Internet Exchange (AMS-IX), dat bij het NIKHEF op het terrein van het Wetenschappelijk Centrum Watergraafsmeer in Amsterdam ondergebracht is, naar een Cisco router van het ITO. Waarom voor deze locatie is gekozen is een raadsel. Het NIKHEF complex staat immers bekend als de slechtst beveiligde Europese Internet Exchange. Onze eigen foto van de Foundry BigIron, het apparaat waar alle megaproviders (en nu dus ook de tapkamer) op aangesloten zijn, levert onomstotelijk het bewijs. We hadden net zo goed even de ITO kabel er uit kunnen trekken...

Onlangs was nog in het nieuws dat het hele Nederlandse Internet extreem kwetsbaar is. Dat blijkt dus ook voor de digitale tapkamer te gelden.

Voor de hardcore techneuten onder ons, het ASN van ITO is AS16147. Ze hebben een Cisco router aan de AMS-IX met IP-adres 193.148.15.170 en MAC-adres 00:03:FE:47:14:00. De router heeft verder 217.75.32.253 als IP-adres op een loopback interface. Het zal de bedoeling zijn dat het ITO slechts bereikbaar zal zijn voor ISP's die tapdozen geïnstalleerd hebben. Het ligt in de lijn der verwachting dat het ITO private peeringi (een directe koppeling tussen twee verschillende netwerken) zal prefereren boven uitwisseling van verkeer over de infrastructuur van de AMS-IX om te verbergen van welke providers de tapkamer verkeer ontvangt. Momenteel is al zichtbaar dat minimaal Demon, EuroNet, InTouch, Planet Internet, SURFnet en Wirehub! reeds peering sessies met het ITO hebben opgezet waarbij verkeer wordt uitgewisseld

Als je straks dus wilt weten of je getapt wordt, hoef je alleen maar op de AMS-IX MRTG-statistieken te kijken en een herkenbaar verkeerspatroon te genereren in een periode van enkele dagen (MRTG heeft maar een 5 minuten nauwkeurigheid in zijn grafieken). Vervolgens gooi je er een Fourrier analyse overheen, en je weet het.

SDU Uitgevers publiceren het boek privacy, internet en samenleving van Volkskrant-journalist Theo Stielstra

Inhoudsopgave boek

Voorwoord

1. Surfen op het World Wide Web

• Hoe anoniem ben ik tijdens het surfen?

• Welke gegevens geef ik allemaal prijs?

• Wat is een 'IP-adres'?

• Wat is een 'referrer'?

• Wat doen beheerders van websites met de gegevens die ik prijsgeef?

• Kunnen beheerders die gegevens doorspelen aan derden?

• Zijn de gegevens die ik prijsgeef ook toegankelijk voor andere internetters?

• Maakt het uit welke browser ik gebruik?

• Maakt het uit wat voor computer ik heb?

• Kan ik ongestraft op reclamebanners klikken?

• Wat kan ik tegen reclamebanners doen?

• Hoe veilig is het downloaden van gratis software?

• Hoe herken ik spyware?

2. Cookies

• Wat zijn 'cookies'?

• Welke privacyrisico's zijn aan cookies verbonden?

• Hoe kan ik mijn cookies bekijken?

• Hoe kan ik cookies uitschakelen?

• Wat zijn de gevolgen als ik cookies uitschakel?

3. Anoniem surfen

• Kan ik helemaal anoniem surfen?

• Wat zijn anonymizers?

• Welke anonymizers zijn de beste?

• Wat is het Freedom Network?

4. E-mail

• Hoe veilig is e-mailverkeer?

• Genieten e-mails wettelijke bescherming?

• Maakt het uit wat voor e-mailprogramma ik gebruik?

• Hoe betrouwbaar zijn webmaildiensten?

• Kan ik een e-mail anoniem versturen?

• Hoe voorkom ik dat andere mensen dan de ontvanger mijn berichten kunnen lezen?

• Hoe werkt Pretty Good Privacy?

• Hoe kan ik een 'bulkmail' naar honderd mensen sturen, zonder dat ze elkaars namen zien?

5. Rondzendlijsten

• Wat zijn rondzendlijsten?

• Hoe vertrouwelijk zijn rondzendlijsten in het algemeen?

• Bestaan er rondzendlijsten waar mijn privacy wél gewaarborgd is?

• Hoe kom ik te weten wat het privacybeleid van een rondzendlijst is?

• Kan ik anoniem meedoen aan een rondzendlijst?

• Kan ik mijn bijdragen aan een rondzendlijst achteraf laten verwijderen?

6. Webdiensten en providers

• Wat voor webdiensten zijn er zoal?

• Hoe vertrouwelijk gaan webdiensten en providers om met mijn persoonsgegevens?

• Waar halen gratis webdiensten en providers hun inkomsten vandaan?

• Mogen mijn persoonsgegevens worden doorverkocht aan andere partijen?

• Hoe kan ik snel beoordelen of een bepaalde webdienst wel te vertrouwen is?

• Welke keurmerken zijn er voor webdiensten?

• Hoeveel zegt een keurmerk over de betrouwbaarheid van een webdienst?

• Is er ook een keurmerk voor providers?

• Ben ik eigenlijk wel verplicht om bij registratie al mijn gegevens in te vullen?

• Hoe vertrouwelijk zijn mijn persoonsgegevens als ik een eigen domein bezit?

7. Betalen via internet

• Hoe moet ik betalen als ik bij een webwinkel bestel?

• Wat is I-Pay?

• Wat is Bibit?

• Wat is een beveiligde verbinding?

• Hoe veilig zijn creditcards?

• Is het mogelijk om volledig anoniem te winkelen?

• Betekent vercommercialisering van internet het einde van de privacy?

8. Privacy op het werk

• Hoeveel recht op privacy heb ik op het werk?

• Werknemers horen toch gewoon te wérken op het werk?

• Kun je ontslagen worden als je voor privédoeleinden surft of e-mails stuurt?

• Kunnen werkgevers mijn e-mails en surfverkeer in de gaten houden?

• En mógen ze dat ook?

• Hoeveel privégebruik van internet is op het werk nog aanvaardbaar?

• Maakt het uit in welk land een werkgever is gevestigd?

• Ik werk bij een multinational, hoe vertrouwelijk zijn mijn e-mails naar buitenlandse collega's?

• Kan mijn werkgever mijn e-mail lezen die ik via mijn eigen provider verstuur?

9. Privacy thuis

• Thuis heb ik toch veel meer privacy dan op het werk?

• Wat kunnen huisgenoten over mijn surfgedrag te weten komen?

• Mijn kinderen surfen regelmatig, wat zijn daarvan de privacyrisico's?

• In hoeverre kun je de privacy van alle afzonderlijke medegebruikers van een pc waarborgen?

10. Zelf informatie publiceren

• Ik kan toch zelf bepalen welke persoonsgegevens ik via mijn homepage prijsgeef?

• Is het veilig om vertrouwelijke informatie op een geheim adres te zetten?

• Hoe voorkom ik dat anderen mijn webpagina's ontdekken en bezoeken?

• Hoe voorkom ik dat zoeksystemen mijn pagina's opnemen?

• Wat is het bestand 'robots.txt'?

• Wat voor baat heeft mijn privacy bij het buitensluiten van zoeksystemen?

• Hoe kan ik volledig anoniem publiceren op internet?

• Wat is Publius?

• Wat is Freenet?

11. Wat anderen over u publiceren

• Welke mensen en instanties kunnen via internet informatie over mij verspreiden?

• Hoe groot is het risico dat anderen over mij publiceren?

• Hoe kom ik erachter wie dat allemaal doen?

• Waarom brengen publicaties op internet meer privacyrisico's met zich mee dan via traditionele media?

• Wat is identiteitsfraude?

• Welke rol speelt internet bij identiteitsfraude?

• Hoeveel risico loop ik om slachtoffer te worden van identiteitsfraude?

• Mag ik persoonsgegevens over anderen publiceren op internet?

12. Publiceren via USENET

• Wat is USENET?

• Heeft iedereen toegang tot USENET?

• Hoe kan ik zelf bij USENET komen?

• Hoeveel privacy heb ik op USENET?

• Kan ik voorkomen dat mijn bijdragen worden gearchiveerd?

• Ik heb spijt van een bijdrage, kan ik die weer intrekken?

• Hoe kan ik een anoniem bericht plaatsen op USENET?

13. Privacy en recht

• Hoe kijken juristen tegen privacy aan?

• Wat zijn de juridische middelen om privacyschendingen aan te vechten?

• Is privacy een mensenrecht?

• Hoe verhouden anonimiteit en privacy zich tot elkaar?

• Welke wetten zijn relevant voor mijn privacy?

• Wat houdt de Wbp in?

• Waarin verschilt de Wbp van de Wpr?

• Wat is het College Bescherming Persoonsgegevens?

• Wat houdt de Telecommunicatiewet in?

• Wat houdt de Wet op de inlichtingen- en veiligheidsdiensten in?

• Wat zegt de Grondwet over privacy?

• Hoeveel gezag hebben Europese richtlijnen?

• Hoe staat het met privacybescherming in de VS?

• Hoe gaan Amerikaanse bedrijven nu met Europese klanten om?

14. Privacy versus opsporing: aftappen

• Is aftappen van internetverkeer wettelijk toegestaan?

• Worden álle internetgebruikers afgetapt?

• Wat is de rol van providers bij het aftappen?

• Welke gegevens worden afgetapt?

• Merkt de verdachte iets van het aftappen?

• Hoe gaat het aftappen nu in zijn werk?

• Waarom een centrale beheersorganisatie?

• Hoe vaak wordt er getapt?

• Wie betaalt dat aftappen?

15. Privacy versus inlichtingendiensten: Echelon

• Wat is Echelon?

• Wat is het doel van Echelon?

• Welke landen zitten achter Echelon?

• Maar Groot-Brittannië zit toch ook in de EU?

• Wat is de NSA?

• Wat wordt er precies afgetapt?

• Mag dat allemaal?

• Hoe speelt Echelon het klaar om zoveel verkeer in de gaten te houden?

• Kan ik nog ongestoord bellen?

• Of e-mailen?

• Hoe lang bestaat Echelon al?

• En hoe lang is het bestaan van Echelon al bekend?

• Wat vindt de Europese Unie hiervan?

• Zijn er nog andere landen die op grote schaal aftappen?

• En wat vindt de Nederlandse regering ervan?

• Heeft Echelon banden met de Nederlandse BVD?

• Is er democratische controle op Echelon?

• Wat kan ik hiertegen doen?

Bestrijding van strafbare feiten verbonden met elektronische netwerken ( Trb. 2002 nr 18) (Aanpassing aan het Cyber-crime Verdrag)

Artikel 138 b (‘spam bombing’) Na artikel 138a Wetboek van Strafrecht wordt een nieuw artikel 138b ingevoegd. Dit artikel is nodig om artikel 5 van het Cybercrime Verdrag uit te voeren en heeft betrekking op strafbaarstelling van de schending van de integriteit van computersystemen. Het gaat daarbij om “the serious hindering of the functioning of a computer system”. Een soortgelijke bepaling was reeds voorgesteld in het aanhangige wetsvoorstel Computercriminaliteit II. Het artikel stelt strafbaar het opzettelijk en wederrechtelijk belemmeren van de toegang of het gebruik van een geautomatiseerd werk door daaraan gegevens te zenden (bombarderen). De werking van het operationele systeem moet zodanig worden verstoord, dat de toegang of gebruik (voor korte tijd) niet langer mogelijk is. Het moet hierbij dus gaan om ernstige vormen van hinder voor de gebruiker. De commissie begrijpt dat het artikel zowel ziet op ‘bombarderen’ van servers en computers met e-mails als met virussen. Ten aanzien van ‘email-spam’ merkt de commissie op dat het voorgestelde artikel alleen bescherming biedt als de ‘spambomb’ bedoeld is om de server plat te leggen: opdringerige informatieverschaffing zal hiermee niet kunnen worden voorkomen.

266

ADVIES

inzake

Wijziging van het Wetboek van Strafrecht en van het Wetboek van Strafvordering met het oog op de goedkeuring van het Verdrag inzake bestrijding van strafbare feiten verbonden met elektronische netwerken ( Trb. 2002 nr 18) (Aanpassing aan het Cyber-crime Verdrag)

Inleiding
Bij brief van 20 februari 2004 heeft de Minister van Justitie aan de NVvR advies
verzocht inzake wijziging en aanvulling van het Wetboek van Strafrecht en het Wetboek van Strafvordering om de ratificatie van het Cybercrime Verdrag (Trb 2002, nr 18) mogelijk te maken.
Het advies is voorbereid door een werkgroep van de vereniging en vastgesteld door de wetenschappelijke commissie.

Voorstel
Het Cybercrime Verdrag strekt ertoe, door middel van de totstandkoming van passende wetgeving en het versterken van internationale samenwerking te komen tot een gemeenschappelijk beleid, gericht op de bescherming van de samenleving tegen strafbare feiten verbonden met elektronische netwerken.
Overigens voldoet de Nederlandse wetgeving nu al voor een groot deel aan hetgeen waartoe het Verdrag verplicht. Voor een aantal van de thans voorgestelde wijzigingen waren reeds wetgevende initiatieven ontplooid, zoals het voorstel van wet ‘’Computercriminaliteit II’’ (26 671) en het voorstel van wet tot wijzigen van het Wetboek van Strafvordering e.a in verband met de bevoegdheden vorderen gegevens (29 441).
Het is het voornemen van de Minister van Justitie om de noodzakelijke wijzigingen en aanvullingen door middel van een nota van wijziging te verwerken in het bij de Tweede Kamer aanhangige wetsvoorstel “Computercriminaliteit II”.

Commentaar
De wetenschappelijke commissie heeft met belangstelling kennis genomen van het onderhavige wetsvoorstel. Zij staat in beginsel positief tegenover de gepresenteerde voorstellen. Wel bestaat enige zorg dat door de opeenstapeling van wijzigingen de overzichtelijkheid in het gedrang kan komen.

Over de volgende bepalingen wenst de wetenschappelijke commissie opmerkingen te maken.

Wijzigingen in het Wetboek van Strafrecht
Artikel 138 a eerste lid (computervredebreuk/‘hacken’) In het voorstel van wet “Compu-tercriminaliteit II” wordt artikel 138a, eerste lid, in redactioneel opzicht reeds gewijzigd. Deze redactionele wijziging is verwerkt in het onderhavige voorstel. Zij houdt in afwijking van de thans geldende tekst (‘’opzettelijk wederrechtelijk’’) in dat gesproken wordt over opzettelijk en wederrechtelijk. Het komt de commissie voor dat de vigerende tekst van de wet beter aansluit bij art. 2 van het Verdrag.

Het voorgestelde artikel 138a, eerste lid sub a, betekent een verruiming van de werking van deze strafbepaling. In de huidige wettekst is die werkingssfeer bewust beperkt door, onder meer, het opnemen van het vereiste dat sprake moet zijn van het doorbreken van enige beveiliging. Door het artikel te formuleren zoals in het voorstel wordt gedaan zullen in de toekomst meer gevallen dan thans onder de werking van dit artikel kunnen worden gebracht. De wetgever laat ruimte aan de jurisprudentie om hieraan nadere invulling te geven. De commissie onderkent het voordeel dat op deze wijze de nodige ruimte wordt gelaten voor nieuwe technologische ontwikkelingen.

Artikel 138 b (‘spam bombing’)
Na artikel 138a Wetboek van Strafrecht wordt een nieuw artikel 138b ingevoegd.
Dit artikel is nodig om artikel 5 van het Cybercrime Verdrag uit te voeren en heeft betrekking op strafbaarstelling van de schending van de integriteit van computersystemen. Het gaat daarbij om “the serious hindering of the functioning of a computer system”. Een soortgelijke bepaling was reeds voorgesteld in het aanhangige wetsvoorstel Computercriminaliteit II. Het artikel stelt strafbaar het opzettelijk en wederrechtelijk belemmeren van de toegang of het gebruik van een geautomatiseerd werk door daaraan gegevens te zenden (bombarderen). De werking van het operationele systeem moet zodanig worden verstoord, dat de toegang of gebruik (voor korte tijd) niet langer mogelijk is. Het moet hierbij dus gaan om ernstige vormen van hinder voor de gebruiker.
De commissie begrijpt dat het artikel zowel ziet op ‘bombarderen’ van servers en computers met e-mails als met virussen. Ten aanzien van ‘email-spam’ merkt de commissie op dat het voorgestelde artikel alleen bescherming biedt als de ‘spambomb’ bedoeld is om de server plat te leggen: opdringerige informatieverschaffing zal hiermee niet kunnen worden voorkomen.

Artikelen 139a, 139b en 139c (strafrechtelijke interceptiebepalingen)
In genoemde artikelen worden gegevens die worden verwerkt of overgedragen door middel van telecommunicatie of door middel van een geautomatiseerd werk beschermd. In de toe-
lichting bij het wetsvoorstel wordt gesproken over bescherming van gegevensoverdracht, waarbij gedoeld wordt op de feitelijke verplaatsing van gegevens. Uit de redactie lijkt het louter om communicatiegegevens (‘niet-publieke gegevens’) te gaan, terwijl ook gegevensoverdracht en verwerking kan plaatsvinden zonder dat van communicatie sprake is. Het verdient aanbeveling in de memorie van toelichting nader in te gaan op de begrippen ‘communicatie’ en ‘gegevensoverdracht’. Voorts lijkt een nadere toelichting wenselijk op het onderscheid tussen verwerken en overdragen.

Wijzigingen van het Wetboek van Strafvordering

Artikel 126 m opsporingsgericht aftappen
In de huidige tekst van artikel 126 m is het de officier van justitie die aan een opsporingsambtenaar het bevel geeft om telecommunicatie op te nemen. Deze wendt zich tot de provider om medewerking. Op grond van (art. 13.2 van) de Telecommunicatiewet is deze tot medewerking verplicht. In de thans voorgestelde tekst wordt de vordering rechtstreeks gericht tot de medewerkers van het telecommunicatiebedrijf. In de toelichting op het wetsvoorstel staat dat het altijd de bedoeling geweest is dat de opdracht wordt gericht tot de telecommunicatieaanbieder. De voorgestelde redactie is echter niet duidelijk ten aanzien van de rol die de opsporingsambtenaar heeft. Voor zover bedoeld is dat het aftappen, dat tot nog toe geschiedt door opsporingsambtenaren, wordt overgelaten aan de private sector acht de commissie dit om een principiële reden ongewenst: opsporing hoort te geschieden door opsporingsambtenaren.

De commissie wijst verder erop dat in het voorgestelde artikel 126 m lid 4 de officier van justitie bij een vordering aan de provider(s) een proces-verbaal opmaakt waarin worden vermeld: het misdrijf en (indien bekend) de naam van de verdachte, alsmede feiten en omstandigheden waaruit blijkt dat sprake is van de voorwaarden als bedoeld in lid 1 (verdenking van een misdrijf als omschreven in artikel 67, eerste lid, Wetboek van Strafvordering dat gezien zijn aard of de samenhang met andere door verdachte begane misdrijven een ernstige inbreuk op de rechtsorde oplevert). In de huidige bepaling zijn deze gegevens in het bevel zelf vermeld; dat is zinvol, nu degene tot wie het bevel wordt gericht een opsporingsambtenaar is. De commissie veronderstelt dat het de bedoeling van de voorgestelde wijziging is, dat de gegevens in de toekomst worden vastgelegd in een proces-verbaal dat niet wordt meegezonden aan de provider aan wie de vordering wordt gedaan. Het komt de commissie voor dat de bescherming van de persoonlijke levenssfeer van verdachten en andere getapte personen, maar zeker ook die van het opsporingsbelang, ertoe zou moeten leiden dat aan een provider slechts die gegevens worden verstrekt die noodzakelijk zijn om aan de vordering van de officier medewerking te verlenen. Indien deze veronderstelling juist is, beveelt de commissie aan, dit in (de toelichting op) de bepaling tot uitdrukking te brengen.

De vordering tot medewerking aan ontsleuteling (leden 9 tot en met 12) zal in de huidige redactie van de voorgestelde artikelen een beperkte werking hebben omdat slechts degene die kennis draagt van de wijze van versleuteling tot medewerking kan worden gedwongen. Kennis van de versleuteling in de vorm van toegangscodes en wachtwoorden zal doorgaans alleen de gebruiker (verdachte) hebben. Daarnaast valt te denken aan de makers van cryptografische programma’s en apparatuur die kennis dragen van de wijze van versleuteling. De provider staat daar veelal buiten. De wetenschappelijke commissie geeft dan ook in overweging op de voet van het voorstel van A.H.H. Smits (Gegronde angst of cryptofobie, NJB 2004 p. 376-379) aan te sluiten bij artikel 2 sub e van het Aftapbesluit 2001, dat spreekt over het ‘aanwenden door telecommunicatieaanbieders'.

Conclusie
In grote lijnen kan de wetenschappelijke commissie zich vinden in het wetsvoorstel. Op de aangegeven punten verzoekt zij om een verduidelijking in de memorie van toelichting.

Den Haag, 26 april 2004

Namens het hoofdbestuur van de Nederlandse Vereniging voor Rechtspraak,
de wetenschappelijke commissie