Je telefoon zit achter slot en grendel

Sinds Wikileaks worden nieuwe smartphones veel beter beveiligd. Vandaar dat de encryptieoorlog weer oplaait, ditmaal tussen Apple en FBI.

Privéfoto’s, medische dossiers, bankafschriften en geheime correspondentie: de spullen die je thuis zou opbergen in een kluis of een afgesloten kast, staan nu op je telefoon. Een smartphone kan dus nooit té goed beveiligd zijn.

De Amerikaanse opsporingsdienst FBI denkt daar anders over. De FBI wil Apple dwingen een iPhone 5c te helpen ontgrendelen. Dat toestel is gebruikt door Syed Rizwan Farook, een van de overleden schutters van de aanslag in San Bernardino waarbij in december 14 mensen omkwamen.

De zaak werd afgelopen week in een hoorzitting van het Amerikaanse Congres behandeld, omdat Apple weigert aangepaste software te bouwen – geen ‘achterdeurtje’ dat voorkomt dat de telefoon zichzelf na tien verkeerde inlogpogingen uitwist. FBI-directeur James Comey: „Het is geen achterdeur. Als Apple even zijn waakhond in het gareel houdt, dan kunnen wij even aan het slot van de voordeur morrelen.”

Techbedrijven, en zelfs de Verenigde Naties, scharen zich achter Apple. De gevraagde software zou in handen kunnen vallen van criminelen en vormt in theorie een gevaar voor alle iPhone-gebruikers. Een reëler gevaar is dat de FBI vaker gaat eisen iPhones te ontgrendelen. Ook Google, Microsoft, Samsung en andere technologiebedrijven zouden zulke verzoeken krijgen. James Comey gaf tijdens de hoorzitting toe dat de San Bernardino-zaak een precedentwerking kan hebben. Met andere woorden: geef ze een vinger, en ze nemen je hele land.

Wapentuig

Opsporingsdiensten klagen dat ze helemaal geen zicht meer hebben op terroristen en criminelen omdat ook hun apparaten té goed beveiligd zijn. En dat is niet de eerste keer. Eind jaren negentig verbood de Amerikaanse overheid de export van software met goede versleuteling. Encryptie werd gezien als wapentuig, omdat gebruik van versleuteling voor het internettijdperk alleen voor militaire toepassingen gebruikt werd.

Dit verbod bleek niet houdbaar omdat het web encryptie voor iedereen een noodzaak maakte. Anders kun je niet veilig online zaken doen of berichten versturen. Encryptie stond dus aan de basis van het commerciële succes van het web. Destijds ging het om pc’s en browsers als Internet Explorer, nu gaat het om draagbare computers met een mobiele verbinding: smartphones.

De encryptieoorlog is weer in volle gang. Na de onthullingen van Edward Snowden in 2013 hebben technologiebedrijven hun beveiligingsmaatregelen opgeschroefd. Daar was alle reden toe: geheime diensten NSA en GCHQ onderschepten op grote schaal datastromen en keken mee in onversleutelde webdiensten.

Niet alleen Apple breidt de beveiliging uit. Marktleider Samsung voegde beveiligingssoftware Knox toe aan zakelijke toestellen. KPN verkoopt een extra beveiligde Blackphone en BlackBerry ontwierp toestellen die mail nóg beter versleutelen. Daarvan profiteren politici, topmanagers en politieagenten, maar ook criminelen. Technologie kiest geen partij.

Veel chatnetwerken gebruiken sinds 2014 end-to-end encryptie: alleen de zender en ontvanger hebben de sleutel om de berichten te ontsleutelen. Er is geen master key, geen loper, meer om af te luisteren. Encryptie verbeterde: in de jaren negentig was een sleutel van 56 bit geavanceerd, nu is 256 bit de norm. Dat wordt onkraakbaar geacht, zelfs voor supercomputers.

Sinds iOS8 wordt de data op elke iPhone standaard versleuteld, Google voegde die functie toe aan de laatste Android-versie (6.0). Er is geen extra software of extra instelling om encryptie toe te passen. Dat is democratisering van technologie: elke gebruiker geniet dezelfde bescherming en kan veiliger inloggen bij webdiensten met dubbele authenticatie. Of met een kill switch een gestolen toestel op afstand blokkeren en wissen.

Tijdbom

Sinds de iPhone 6 rust Apple zijn toestellen uit met een beveiligde chip die belangrijke sleutels en gescande vingerafdrukken op een afgesloten plek bewaart. Samsung doet hetzelfde met de Galaxy S6. Zo’n vingerafdrukscanner beveiligt transacties en is met wat moeite voor de gek te houden. Maar hij werkt slechts 48 uur, daarna moet je toch weer een handmatige code invoeren.

De inlogprocedure werd ook strenger. Apples besturingssysteem iOS9 ondersteunt pincodes tot 6 cijfers (of nog veiliger: een code met een combinatie van letters en symbolen) en wist alle data zodra je tien keer verkeerd inlogt. Het is deze tijdbom die de FBI dwarszit. Na drie verkeerde pincodes kun je sowieso alleen met vertraging nieuwe codes invoeren. Inlogcodes gokken met een computer – de gebruikelijke manier om een toestel te kraken – is dus geen optie meer. Ook onder de motorkap steekt Apple er een stokje voor dat je onbeperkt pincodes kunt ‘afvuren’ op de telefoon.

Apple weigert software te maken om het pincodeslot te omzeilen. Maar blijkbaar kán het bedrijf dat wel – mits het genoeg mankracht en tijd daaraan spendeert. Apple wil van die verantwoordelijkheid af. In de reactie op het gerechtelijk bevel staat: „We zijn net zo verantwoordelijk voor deze telefoon als een autofabrikant verantwoordelijk is voor de leaseauto waarmee een oplichter naar zijn werk heen- en weer rijdt.”

Apple zal toekomstige toestellen dus nog strenger beveiligen, zodat het bedrijf zelf achteraf geen alternatief besturingssysteem kan installeren zonder toestemming (of pincode) van de gebruiker. Als de FBI dan de volgende keer vraagt om de waakhond onder controle te houden, dan is het geen kwestie meer van niet willen, maar van niet kunnen.