Why government and tech can't agree about encryption

By BREE FOWLER and TAMI ABDOLLAH

Associated Press

Posted:   11/24/2015 04:07:46 PM PST2 Comments

Updated:   11/24/2015 04:09:31 PM PST

FILE - In this July 30, 2014, file photo, Silicon Valley pioneer and Silent Circle co-founder Jon Callas holds up Blackphone with encryption apps displayed on it at the Computer History Museum in Mountain View, Calif. The Paris terrorist attacks have renewed the debate between law-enforcement officials and privacy advocates over whether there should be limits to encryption technology. (AP Photo/Eric Risberg, File) ( Eric Risberg )

NEW YORK -- Your phone is getting better and better at protecting your privacy. But Uncle Sam isn't totally comfortable with that, because it's also complicating the work of tracking criminals and potential national-security threats.

For decades, tech companies have steadily expanded the use of encryption -- a data-scrambling technology that shields information from prying eyes, whether it's sent over the Internet or stored on phones and computers. For almost as long, police and intelligence agencies have sought to poke holes in the security technology, which can thwart investigators even when they have a legal warrant for, say, possibly incriminating text messages stored on a phone.

The authorities haven't fared well; strong encryption now keeps strangers out of everything from your iMessages to app data stored on the latest Android phones. But in the wake of the Paris attacks, U.S. officials are again pushing for limits on encryption, even though there's still no evidence the extremists used it to safeguard their communications.

While various experts are exploring ways of resolving the impasse, none are making much headway. For now, the status quo favors civil libertarians and the tech industry, although that could change quickly -- for instance, should another attack lead to mass U.S. casualties. Such a scenario could stampede Congress into passing hasty and potentially counterproductive restrictions on encryption.

---

Advertisement

---

"There are completely reasonable concerns on both sides," said Yeshiva University law professor Deborah Pearlstein. The aftermath of an attack, however, "is the least practical time to have a rational discussion about these issues."

Encryption plays a little heralded, yet crucial role in the modern economy and daily life. It protects everything from corporate secrets to the credit-card numbers of online shoppers to the communications of democracy advocates fighting totalitarian regimes.

At the same time, recent decisions by Apple and Google to encrypt smartphone data by default have rankled law enforcement officials, who complain of growing difficulty in getting access to the data they feel they need to build criminal cases and prevent attacks. For months, the Obama administration -- which has steered away from legislative restrictions on encryption -- has been in talks with technology companies to brainstorm ways of giving investigators legal access to encrypted information.

But technology experts and their allies say there's no way to grant law enforcement such access without making everyone more vulnerable to cybercriminals and identity thieves. "It would put American bank accounts and their health records, and their phones, at a huge risk to hackers and foreign criminals and spies, while at the same time doing little or nothing to stop terrorists," Sen. Ron Wyden, D-Ore., said in an interview Monday.
Lawmakers on the U.S. Senate Select Committee on Intelligence remain on what they call an "exploratory" search for options that might expand access for law enforcement, although they're not necessarily looking at new legislation.
The FBI and police have other options even if they can't read encrypted files and messages. So-called metadata -- basically, a record of everyone an individual contacts via phone, email or text message -- isn't encrypted, and service providers will make it available when served with subpoenas. Data stored on remote computers in the cloud -- for instance, on Apple's iCloud service or Google's Drive -- is also often available to investigators with search warrants. (Apple and Google encrypt that data, but also hold the keys.)
Some security experts suggest that should be enough. Michael Moore, chief technology officer and co-founder of the Baltimore, Maryland-based data security firm Terbium Labs, noted that police have managed to take down online criminals even without shortcuts to encryption. He pointed to the 2013 take down of Silk Road, a massive online drug bazaar that operated on the "dark Web," essentially the underworld of the Internet.
"The way they figured that out was through good old-fashioned police work, not by breaking cryptography," Moore said. "I don't think there's a shortcut to good police work in that regard."
Others argue that the very notion of "compromise" makes no sense where encryption is concerned. "Encryption fundamentally is about math," said Mike McNerney, a fellow on the Truman National Security Project and a former cyber policy adviser to the Secretary of Defense. "How do you compromise on math?" He calls the idea of backdoors "silly."
Some in law enforcement have compromise ideas of their own. The Manhattan District Attorney's office, for instance, recently called for a federal law that would require smartphone companies to sell phones they could unlock for government searches -- in essence, forcing them to hold the keys to user data.
In a report on the subject, the office called its suggestion a "limited proposal" that would only apply to data stored on smartphones and restrict searches to devices that authorities had already seized. Privacy advocates and tech companies aren't sold, saying it would weaken security for phones that are already too vulnerable to attack.
Marcus Thomas, the chief technology officer at Subsentio and former assistant director of the FBI's operational technology division, argued that it's too late to turn back the clock on strong encryption, putting law enforcement in a "race against time" to obtain investigatory data whenever and wherever it can. But he urged security experts to find ways to help out investigators as they design next-generation encryption systems.
The idea of allowing law enforcement secure access to encrypted information doesn't faze Nathan Cardozo, a staff attorney for the San Francisco-based Electronic Frontier Foundation, provided a warrant is involved. Unfortunately, he says, cryptographers agree that the prospect is a "pure fantasy."

Dell computer blijken opnieuw gevaarlijk certificaat te bevatten

Dell computer blijken opnieuw gevaarlijk certificaat te bevatten

25 november 2015   Nieuws

Opnieuw is een gevaarlijke certificaat opgedoken op Dell computers. Het certificaat DSDTestProvider wordt door ‘Dell System Detect’ geïnstalleerd op machines en installeert net als eDellRoot een rootcertificaat met bijbehorende privésleutel.
Het CERT Coordination Center (CERT/CC) van de Amerikaanse Carnegie Mellon Universiteit waarschuwt voor DSDTestProvider. Het certificaat wordt geïnstalleerd door de Dell System Detect, software die communiceert met de Dell Support website. De software is standaard geïnstalleerd op sommige Dell systemen, maar Dell gebruikers kunnen de software ook zelf installeren.

Certificaten met DSDTestProvider signeren

Net als het eDellRoot wordt DSDTestProvider als certificaat autoriteit geïnstalleerd. Het root-certificaat wordt inclusief bijbehorende privésleutel op machines geïnstalleerd. Deze kan door een aanvaller worden misbruikt om certificaten te genereren die door de DSDTestProvider zijn gesigneerd. Computers die DSDTestProvider vertrouwen, vertrouwen hierdoor ook certificaten die door deze CA zijn ondertekend.
Dit geeft aanvallers de mogelijkheid websites en andere diensten na te bootsen, software en e-mailberichten te ondertekenen of netwerkverkeer en andere data te ontsleutelen. Aanvallen die op dergelijke wijze kunnen worden opgezet zijn phishing aanvallen, man-in-the-middle aanvallen om HTTPS verkeer te ontsleutelen en het installeren van malafide software.

Certificaat intrekken

CERT/CC adviseert het DSDTestProvider certificaat in te trekken. Dit kan door gebruik te maken van Windows certificaat manager (certmgr.msg) en het het DSDTestProvider certificaat te verplaatsen van ‘Trusted Root Certificate Store’ naar ‘Untrusted Certificates’.

- See more at: http://infosecuritymagazine.nl/2015/11/25/dell-computer-blijken-opnieuw-gevaarlijk-certificaat-te-bevatten/#sthash.rIbqdv0Q.dpuf

Mattijs R. Koot: [Dutch] Kabinetsstandpunt over encryptie — pending

Matthijs R. Koot's notebook

Mattijs R. Koot

Hobbies: IT-engineering, privacy, digital conflict, democracy.

[Dutch] Kabinetsstandpunt over encryptie — pending

Posted on 2015-11-252015-11-26 by mrkoot

In de uitstelbrief van 23 november over de beloofde toezending van kabinetsstandpunt op het gebied van encryptie stelt minister Van der Steur dat ernaar wordt gestreefd dat standpunt nog dit jaar toe te sturen aan de Tweede Kamer:

“Op 8 oktober jl. tijdens het AO JBZ heb ik u toegezegd te komen met een kabinetsstandpunt op het gebied van encryptie. Het afronden van dit standpunt blijkt meer tijd te vergen dan de maand die ik had voorzien. De complexiteit van het vraagstuk, de dilemma’s en de afstemming die hiermee samenhangt vragen een zorgvuldige behandeling en weging.
Wij streven ernaar u voor het einde van dit jaar het kabinetsstandpunt toe te sturen.
Hiermee zal tevens aan de toezegging worden voldaan van de Minister van Economische Zaken, gedaan tijdens het AO Telecomraad op 10 juni jl., om te komen met een gezamenlijke notitie over de dilemma’s rondom encryptie (Kamerstuk 21 501-33, nr. 552).”

Dat een kabinetsstandpunt over encryptie wordt vastgesteld volgt op de agendering van het onderwerp tijdens de informele JBZ-Raad in Riga op 31 januari 2015, waar de EU-contraterrorismecoördinator dit onder de aandacht van lidstaten heeft gebracht. Hoewel in de geannoteerde agenda (.pdf) voor de JBZ-Raad van 8 & 9 oktober 2015 niet wordt gerefereerd aan encryptie, gebeurt dat wél in de begeleidende brief:

“Naar aanleiding van het verslag van de op 9 en 10 juli 2015 gehouden informele Raad Justitie en Binnenlandse Zaken heeft de vaste commissie voor Veiligheid en Justitie van uw Kamer verzocht om nader te worden geïnformeerd over wat wordt bedoeld met het in dat verslag genoemde probleem van encryptie.
Het gaat hier om encryptie van data, gebruikt en/of aangeboden door de industrie, over internet en in telecommunicatie. Die encryptie belemmert het werk van politie en diensten om gelegitimeerde toegang te krijgen tot communicatie van terroristen. Tijdens de informele JBZ-Raad in Riga op 29 en 30 januari 2015 is dit probleem nadrukkelijk door de EU-contraterrorisme coördinator onder de aandacht gebracht van de lidstaten.”

Volgens het verslag van het algemeen overleg op 7 oktober 2015 van de vaste cie-V&J en de vaste cie-Europese Zaken met minister Van der Steur stelde mevrouw Berndsen-Jansen (D66) hierover het volgende:

“(…) In een begeleidend briefje bij de geannoteerde agenda schrijft de minister dat encryptie van data, gebruikt en/of aangeboden door de industrie, over internet en in telecomcommunicatie het werk van politie en diensten belemmert om gelegitimeerde toegang te krijgen tot communicatie van terroristen. Dat heeft de aandacht van mijn fractie getrokken, want wat bedoelt de minister hier nu eigenlijk te zeggen? Bedoelt hij dat alle encryptie een achterdeur moet hebben voor politie en justitie? Is dat niet een herhaling van de discussie over de bewaarplicht telecomgegevens? Is het verder een nadrukkelijk thema op de cybersecurityconferentie die Nederland tijdens het voorzitterschap zal organiseren?”

Daarop antwoordde minister Van der Steur:

“(…) encryptie: is dat onderdeel van de cyberconferentie of een speerpunt tijdens het Nederlands voorzitterschap? Het onderwerp van de encryptie zal niet op de agenda van de cyberconferentie staan en is geen speerpunt van het kabinet en het voorzitterschap. Nationaal hebben we namelijk nog geen standpunt ingenomen over encryptie. Het is wel duidelijk dat de georganiseerde misdaad en terroristen in toenemende mate gebruikmaken van encryptie. Dat is een actueel probleem voor politie en de inlichtingen- en veiligheidsdiensten. Het debat daarover gaan we binnenkort voeren, maar er is nog geen kabinetsstandpunt over geformuleerd.”

We kijken met belangstelling uit naar het kabinetsstandpunt — met in het achterhoofd het concept-wetsvoorstel voor de Wiv20xx en het nog te verschijnen concept-wetsvoorstel voor de wet bestrijding cybercrime. Op 9 december 2015 vindt een algemeen overleg van de vaste cie-V&J plaats over terrorismebestrijding. Leestip voor de tussentijd: Who’s right on crypto: An American prosecutor or a Lebanese coder? (el Reg, 24 november 2015).
EOF


https://blog.cyberwar.nl/2015/11/dutch-kabinetsstandpunt-over-encryptie-pending/

The Data Breach Notification & the guidelines of the Data Protection Authority

Privacy - more than meets the eye

On January 1st 2016, the Dutch Data Breach Notification will come into effect. The new ‘privacy law’ can have serious consequences for organizations that fail to adequately protect the personal data they process. It will grant the Dutch DPA the right to impose a fine on organizations that do not notify a data breach – a fine that can amount to € 810,000.

November 3, 2015

Join us at Privacy With a View, November 6. 

More than meets the eye

For Deloitte, privacy is a key asset for organizations, regardless of fines and legislations. This is why, for the third time in a row, we organize Privacy with a View. The event is titled Privacy – More than meets the eye, and will take place on November 6. One of the keynote speakers will be the Head of the Supervision Private Sector Department of the Dutch Data Protection Authority (DPA), or the College bescherming persoonsgegevens. The Dutch DPA supervises processing of personal data in order to ensure compliance with the provisions of the law on personal data protection. It also advises on new regulations. Speaker Udo Oelen will be addressing different aspects of the Data Breach Notification.

Security measures

According to Oelen, companies need to take both organizational and technical measures to make sure personal data are not being processed illegitimately or become prey to hackers. Examples of breaches in security are USB sticks getting lost, client data that are hacked or medical files ending up in the recycling bin. The DPA needs to be notified when there is a considerable chance of serious negative consequences as a result of such a data breach. These consequences can be materialistic or non-materialistic, e.g. identity fraud.

Innovate? Remember the data!

Personal data represent a tremendous value. Therefore, companies need to secure them according to the latest technological insights. As the practical experience of the DPA confirms, that still doesn’t happen often enough. For example, it’s very easy to start a web shop. But anyone that handles personal data needs to think about a secured line beforehand. When you innovate, you also need to take data into account from day one. The new legislation is meant to enhance the privacy awareness of companies, to make sure that there is an increase of transparency around data breaches, and to discourage organizations from sweeping incidents under the rug for fear of reputational damage.

Prepare and be alert

Organizations can prepare themselves by having their security in order, analyzing the kind of data they work with, and knowing the risks that can occur. They need to check regularly with which data they are still dealing and what the new techniques in security are. They also need to prepare for a scenario where a data breach does happen, and to answer the multitude of questions they will face. How do you handle such an event internally? Have you appointed one specific individual to judge whether the breach needs to be notified? Have you made sure the incident will be registered? Have you thought about the way you will interact with the press? And how can you be sure you keep an open eye for signals from the outside world that might suggest a security breach?

The new green

Today, a number of technologies are being developed that will make all our lives a whole lot easier. But meanwhile – as with the Internet of Things – we will be gathering more and more personal data. People are worrying what is being done with these data and what effect this will have on their freedom of choice. As an organization, you can probably distinguish yourself in the future by treating personal data with care and accuracy.
The importance of privacy will grow in the coming years. Oelen even calls privacy ‘the new green’. Would you like to hear more? Please join us at Privacy with a view on November 6.


http://www2.deloitte.com/nl/nl/pages/risk/articles/data-breach-notification-guidelines-data-protection-authority.html?id=nl:2sm:3tw:eng_pwav_6nov:blog#

Ernstig lek gevonden in beveiliging Amazon-cloud

25 november 2015 11:01 Thijs Doorenbosch NIEUWS

Software bedoeld voor de bescherming van het datatransport van en naar Amazon Web Services (AWS), bleek een oude kwetsbaarheid te bevatten.
De lekke software, genaamd s2n, was nog niet in productie genomen. Het ging echter om afgeronde software die ook al door drie externe partijen was gecontroleerd en aan hackpogingen was blootgesteld.  S2n, een afkorting van Signal to noise, was juist bedoeld om de snelheid van het datatransport te verbeteren en tegelijk ook de veiligheid te verhogen. Het standaard protocol voor beveiligd datatransport  - TLS of Transport Security Layer - maakt gebruik van de OpenSSL library die zo'n 70.000 regels code nodig heeft om TLS uit te voeren. Amazons doel is om s2n datzelfde te laten doen met slechts 6000 regels code.
Amazon had net de komst van s2n aangekondigd in juni, toen hoogleraar Kenny Paterson en zijn onderzoeksgroep van de University of London het bedrijf confronteerde met het lek. In de code waren fouten ontdekt die de software kwetsbaar maken voor 'Lucky 13', een aanvalsmethode op TLS die al in 2013 aan het licht kwam, meldt Ars Technica.
De s2n-software is daarop onmiddellijk aangepast. Begin deze week gaf Colm MacCarthaigh, hoofd engineer bij AWS in een blog een uitgebreide uitleg van het probleem.

Public, Private & Hybrid Cloud: Why Compliance (Done Right) is the Easy Part


Presented by CloudPassage                                                                   

There is a common perception among organizations that compliance with industry regulations, especially when using a public cloud model - is a shared responsibility model.

Regardless of the provider, all providers operate under the following model - the provider is responsible for the physical infrastructure, the shared networking, the computing, storage and the hypervisor. Everything that sits on top of a basically virtual machine and the guest instance is the responsibility of the customer. This includes securing data, the application code, the application framework and the Operating Systems that is sitting on top of the infrastructure itself.
Depends on how an organization views this - it provides the flexibility to enforce consistency and a similar level of controls as the organization does in its other environments, including in its data centers. However, it's extremely challenging to achieve this using the traditional network and system security controls. And compliance with industry regulations - such as SOX404, PCI DSS, GLBA - is still an organization's responsibility.
All of this requires a new way of thinking.
In this informative webinar we will deliver practical advice on achieving and continually maintaining compliance with industry regulations when operating under any type of distributed computing environment, including private, public and hybrid-cloud environment.
Viewers will learn:

• The compliance challenges organizations face integrating cloud services with their data centers
• How to assess the compliance posture of your infrastructure, even if it's distributed across the data center, public cloud services, offsite facilities, IaaS and PaaS installs and hosted applications
• How compliance automation works to integrate legacy infrastructures with cloud-based ones - and ensure compliance requirements aren't overlooked
• Why focusing on security across your hybrid IT infrastructure is the best way to alleviate many compliance headaches

    


Background

According to one of the largest cloud services provider, Amazon Web Services "...the customer should assume responsibility and management of, but not limited to, the guest operating system...and associated application software..." It further adds "..it is possible for customers to enhance security and/or meet more stringent compliance requirements with the addition of..host based firewalls, host based intrusion detection/prevention, encryption and key management."
Regardless of the provider, all providers operate under this model.
The security and compliance requirements in any form of cloud environment haven't changed. We still need - strong access controls, privileged accounts monitoring, multi-factor authentication, user auditing, device verification, file integrity monitoring etc. We need to reduce the attack surface on a continual basis and find ways to implement corporate policies and ensure compliance in a consistent manner. All of this - basically anything that sits on top of a virtual machine and the guest instance is the responsibility of the customer.

Totale oorlog tegen encryptie uitgebroken

Het einde van versleuteling nadert nu snel. Want terrorisme.

Versleuteling van internetverkeer nadert nu snel het einde. Overheden, media en politici hebben de totale oorlog verklaard aan vooral encryptie op berichtenverkeer.

Totale oorlog tegen encryptie uitgebroken

Versleuteling van internetverkeer nadert nu snel het einde. Overheden, media en politici hebben de totale oorlog verklaard aan vooral encryptie op berichtenverkeer.

René Schoemaker                                

Het grote framen is begonnen. Volgens Amerikaanse politici heeft Snowden indirect schuld aan de aanslagen in Parijs omdat hij met zijn onthullingen het moeilijker heeft gemaakt voor veiligheidsdiensten in goed fatsoen stiekem al ons internetverkeer af te luisteren, waardoor terroristen nu gewoon hun iPhone kunnen gebruiken om elkaar berichtjes te sturen.

En dat niet alleen: alle technologiebedrijven zijn eveneens schuldig aan het bloedbad, zo vindt de Amerikaanse senator Dianne Feinstein, het hoofd van de commissie Stiekem aldaar. "Ik heb met de meeste bazen van de technologiebedrijven ontmoetingen gehad waarin ik hen om hulp heb gevraagd, en ik heb niks gekregen", meldt ze volgens ABC7 News. De hulp die ze wilde was het ontsleutelen van berichtenverkeer via onder meer sociale media.

Ook de Amerikaanse zender NBC News doet een duit in het zakje, hier geciteerd door NU.nl. Europese anonieme functionarissen zeggen tegen NBC dat de terroristen gebruik maken van "geavanceerde communicatietechnieken", waarmee wordt bedoeld dat ISIS onder meer Whatsapp en Telegram gebruikt om elkaar te berichten. Ook Tor en het netwerk van Playstation zouden worden gebruikt.
Technologie dus die jij en ik ook dagelijks gebruiken, dus vreemd is het niet. Maar in tegenstelling tot ons gebruik ervan heeft ISIS daar wel een Jihadi Help Desk voor nodig, volgens NBC.
In ieder geval wordt de druk nu groter op de technologiebedrijven om alsnog end-to-end encryptie op een of andere manier open te gooien voor overheden, zoals onder meer het Verenigd Koninkrijk in een nieuwe wet wil forceren.