90% PGP telefoons schiet doel voorbij

-
PGP telefoon als modeartikel in crimineel circuit

De twee belangrijkste redenen om een PGP telefoon bij je te dragen zijn anonimiteit en veiligheid. Negen van de tien PGP gebruikers die we zien krijgen dit echter niet.

De meeste pgp telefoons in het veld zijn nog steeds op basis van BlackBerry toestellen. Naast her en der een verdwaalde verwaarloosde 3-jarige die de telefoon van zijn grootouders heeft gekregen is er geen gebruikersgroep meer voor deze toestellen, behalve dan de PGP gebruikers. Met andere woorden: elke politiefeut reageert als een Pavlov-hondje op de niet te missen notificatie-sound van BlackBerry als hij langs het terras loopt waar je zit (die je kan veranderen natuurlijk, maar niemand doet dat). Heb je toevallig ook je sleutels op tafel liggen dan hoop ik voor je dat je niet de enige auto van dat merk op het parkeerterrein bent, anders heb je net je kenteken verbonden aan "potentieel criminele activiteiten".

Make no mistake, de zaak Ennetcom bewijst dat het Nederlands justitieel en uitvoerend politie-apparaat zo denken: PGP is onlosmakelijk verbonden met criminaliteit. Hoe anders mag een OM de inboedel roven van een club die privacy 'garandeert' met betrekking tot communicatie. Het is dus geenzins vergezocht dat je jezelf onder de aandacht brengt door met een BlackBerry te lopen.

Veiligheid PGP

PGP is veilig. Punt. BlackBerry is meer dan tien jaar geleden begonnen om PGP toe te passen in hun telefoons en we komen nog steeds implementaties tegen op telefoons van actuele (en grote) aanbieders die deze verouderde implementatie gebruiken. Dit betekent dat je geen Modification Detection hebt (die techniek zorgt ervoor dat je 100% zeker weet dat het bericht onderweg niet is aangepast), maar ach, als je replied zonder het originele bericht is het risico op een aanval op die basis eigenlijk best klein. De techniek is het probleem dus niet, maar wat dan wel?

Het gros van de gebruikers krijgt een BlackBerry van een reseller en gebruikt deze as-is. De keys zijn van te voren gegenereerd, staan niet zelden op servers in het geval er een restore van een private key plaats zou moeten vinden en de wachtwoorden waarmee deze versleuteld zijn zijn zwak tot hooguit matig te noemen. Is dat de schuld van de leverancier? Nee. De reseller: een beetje misschien. De gebruiker: JA! In de meeste gevallen kan de gebruiker minstens het wachtwoord aanpassen en een aantal leveranciers en resellers hebben uitgebreide instructies hiervoor op papier en / of op de website. De gebruikers doen hier vaak niets mee en worden niet of nauwelijks begeleid door de resellers.

PGP telefoon onveilig

Gebruikersgemak als functie van veiligheid

Het volgende probleem is dat gebruikers gemak willen en niet accepteren dat dat ten koste gaat van veiligheid. Harder gezegd: gemak is proportioneel variabel aan onveiligheid. Meer gemak, is minder veiligheid. En toch zien we vrijwel alle gebruikers van BlackBerries het wachtwoord van hun mail op "niet elke keer vragen" zetten (unlocken private key cachen). Tegenwerpingen als "ja, het is maar voor een uurtje" zijn aan de orde van de dag. Als agent zouden wij best vrolijker worden van een uit iemands handen gerukte BlackBerry waar je nog een uur vrij in kan lezen. Van een tweede factor authenticatie (YubiKey, zoals geleverd bij de PGP telefoons van CBSEC) die dit probleem verhelpt heeft al helemaal niemand gehoord.

Weinig problemen

Het is een wonder dat er relatief weinig problemen zijn door bovengenoemde tekortkomingen. Gebrek aan geld, resources en kennis bij de Nederlandse opsporingsinstaties en andere belanghebbenden zouden haast wel een veroorzaker moeten zijn. Dat het NFI af en toe stoer mag doen met een "gekraakte" BlackBerry ligt ons inziens eveneens aan de bovengenoemde perikelen. Als gebruiker doe je er dus goed aan om minstens je standaard ringtones, keys en wachtwoorden te vervangen of om over te stappen naar een PGP aanbieder die niet te kampen heeft met deze tekortkomingen. En owjah, hou je autosleutel en je telefoon in je zak.

Patrick Neeteson foto klein

CTO CBSEC

Contact opnemen