News items for tag privacy - Koos van den Hout

Kom op, wat meer debat over privacy-kwesties zou zeer welkom zijn - Trouw

Inderdaad. De plannen waar naar verwezen worden klinken weer erg als het idee van precrime uit de film Minority Report.

Dat soort plannen heeft de Raad van Korpschefs wel vaker. Gelukkig heeft de Raad van Korpschefs helemaal niets te zeggen over het justitie beleid in Nederland. Al zouden ze dat graag willen dus doen ze soms maar vast alsof.

Maar het is aardig van die Raad dat ze er ons er weer eens op wijzen dat de Nederlandse politie graag verregaand de Nederlandse rechtsbeginsels zou overtreden. Niet alleen verkeersagenten op de weg vinden dat ze de wet alleen hoeven te handhaven en zich er niet aan houden. Rechercheurs grasduinen graag in CIOT gegevens. En ook korpschefs van politie vinden blijkbaar dat de Nederlandse grondwet en rechtsbeginsels niet op hun van toepassing zijn. Alleen is dat op een niveau wat een stuk gevaarlijker is voor de samenleving.

Het lijkt alleen maar erger te worden (of te zijn) met het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) blijkt uit de laatste gegevens opsporingsdiensten negeren privacyregels telecomdatabank stelselmatig - Bits of Freedom. Omdat er geen enkele controle is of opvragingen rechtmatig zijn en geen enkele werkende notificatie naar de mensen wiens gegevens opgevraagd zijn gebruiken de opsporingsdiensten dus de ciot databank als een soort enorme grabbelton. De enige manier waarop dit veilig zou kunnen werken is dat er niet alleen duidelijke en strenge regels zijn (wat mij betreft kunnen die zijn "opsporingsambtenaren mogen alleen gebruiks-gegevens opvragen van een verdachte die verzameld zijn nadat een rechter toestemming heeft gegeven specifiek gegevens van die verdachte te gaan onderzoeken") maar dat er ook sancties op misbruik zijn. En geen sancties van het type "stout hoor, niet meer doen!" maar geldboetes bij overtredingen en ontslag op staande voet bij herhaalde overtredingen, en aan de persoon wiens gegevens ten onrechte zijn ingezien de optie geven om ook schadevergoeding te eisen. Alleen als de controleurs goed gecotroleerd worden zullen ze zich zelf aan de wet houden.

Eindrapport Audit CIOT 2009 (19.04.10) (PDF)
Eindrapport Audit CIOT 2008 (PDF)
Bits of Freedom, 'Analyse: pratijk bevragingen CIOT bijzonder zorgwekkend' (06.11.2009)

Update 2010-07-27: Tweede kamerlid Jeanine Hennis-Plasschaert (VVD) heeft kamervragen gesteld over de herhalende privacy schendingen met als achtergrond dat de samenleving moet kunnen vertrouwen op het correct werken van justitie. Bron: Minister moet privacyschending CIOT verantwoorden - nu.nl.

Mijn persoonlijke visie is dat justitie in de uitvoering vaak de gedachte lijkt aan te hangen "We zijn er om de wet te handhaven en niet om ons er aan te houden" dus ik heb dat vertrouwen allang niet meer. Maar als zelfs VVDers hier kritisch naar gaan kijken is het eerdere vertrouwen wat soms gewoon overkwam als blind vertrouwen (bij bijvoorbeeld Fred Teeven) echt aan het afnemen.

A sort-of information leak showing the link between IPv4 and IPv6 addresses (if you had any hope the link between those might be a secret):

Jul  8 15:15:25 abaris named[5327]: client 2001:470:xxxx:xxxx::2#33086: received notify for zone 'ckts.info'
Jul  8 15:15:25 abaris named[5327]: zone ckts.info/IN: refused notify from non-master: 2001:470:xxxx:xxxx::2#33086
Jul  8 15:15:25 abaris named[5327]: client 68.178.91.34#33085: received notify for zone 'ckts.info'
Jul  8 15:15:25 abaris named[5327]: zone ckts.info/IN: refused notify from non-master: 68.178.91.34#33085

Timing and portnumbers make it quite visible that those addresses are in use by the same machine. Other protocols can probably give the same results, for example with http and cookies I could link IPv4 and IPv6 addresses.

A problem? Not to me. Privacy by obscurity? Don't expect it.

You can now lose your privacy on facebook via IPv6 too! http://www.v6.facebook.com/. It won't make me visit facebook but it is good when such a popular service starts offering IPv6 connectivity. Facebook is also probably a big customer of load balancers and they can use that power to improve IPv6-capable load balancers. First spotted at Facebook over IPv6 - Fix6 IPv6 news and info.

Glenn Fleishman (wireless network expert) has taken the time to completely read and analyze the class-action suit against google for collecting public data from wi-fi networks and tears it to pieces:

You're broadcasting data in an unlicensed band. You have no reasonable expectation of privacy over openly broadcast data.

In my opinion google should not have collected this data. It still sounds like installing kismet and forgetting to configure it completely. Google should wipe this data immediately. Not hand it over to any law enforcement because law enforcement should not have this data either, it should be wiped thoroughly. But starting a stupid lawsuit with falsehoods and lies like:

9. In 2006, Google generated programming code that sampled and decoded all categories of publicly broadcast WiFi data. This type or class of program is commonly called a packet analyzer, also known as a network analyzer, protocol analyzer or packet sniffer, or for particular types of networks, an Ethernet sniffer or wireless sniffer ("wireless sniffer"). As data streams flow across the wireless network, the sniffer secretly captures each packet (or discreet package) of information, then decrypts / decodes and analyzes its content according to the appropriate specifications.

10. To view data secretly captured by a wireless sniffer in readable or viewable form, after being captured and stored on digital media, it must then be decoded using crypto-analysis or similar programming or technology. Because the data "as captured" by the wireless sniffer is typically not readable by the public absent sophisticated decoding or processing, it is reasonably considered and understood to be private, protected information by users and operators of home- based WiFi systems.

I get worked up just having to point out the lies and false acquisations in this part. I really hope this suit by Vicki van Valin and Neil Mertz backfires on them.

Running kismet from a wardriver-CD will yield you the same data unless kismet was configured (not the default!) to not save that data. So the above statements are false.

Zeven dagen lang week VVD-Kamerlid Fred Teeven geen moment van haar zijde en keek hij haar aan. Bij het opstaan, bij het naar school gaan, bij het avondeten, overal werd de 15-jarige havo-scholiere Chantal Linsen gevolgd door het politieke zwaargewicht. En ’s nachts sliep hij op een matje naast haar bed. Teeven wilde hiermee bewijzen dat iemand die niets te verbergen heeft, ook niet bang hoeft te zijn voor een gebrek aan privacy.

VVD-er Fred Teeven volgt een week lang 15-jarige scholiere

Het 'Uw adres' kader op de website van de hcc pc!gg netwerkgroep is nu aangepast om bij IPv6 adressen die afgeleid zijn van het netwerkkaart adres (EUI-64 adressen) ook weer te geven van welke leverancier die netwerkkaart is. Dit naar aanleiding van een discussie over IPv6 adressen en privacy extensies.

Enge teller bij Bits Of Freedom : Het aantal opvragingen bij het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT). Bewaarplicht telecomgegevens, Ciot opvragingen teller - Bits of Freedom.

Vanmorgen via het centrum met de bus, met de ov-chipkaart. Behalve het privacy aspect is het namenlijk verder een handig systeem, al zouden sommige dingen handiger kunnen voor de reiziger als een en ander vanuit het perspectief van de reiziger was ontworpen.
Maar op een bepaald moment vielen de ovchip kaartlezers in de bus uit. De chauffeur was naast het rijden bezig met een touchscreen waar een status op rood stond. Blijkbaar is er toch communicatie met de buitenwereld nodig voor werkende ovchip kaartlezers. Uit de originele verhalen begreep ik dat bussen genoeg hadden aan een gps ontvanger. Opvallend is ook dat de automatische halte-aankondigingen van de bus het toen niet meer deed. Toen kon ik dus ook niet meer uitchecken bij het uitstappen, of de kaartlezer van een andere gvu bus gebruiken om uit te checken, want ik zag overal rode ledjes. Bij een volgende busrit in een bus waar de ovchip automaat niet werkte zwaaide ik dus maar even met de ovchip kaart naar de chauffeur die me zo doorzwaaide.
Maar nu heb ik dus een uitcheck actie gemist. Kijken of de restitutie actie daar ook voor werkt.
Update 2010-01-13: Restitutie geprobeerd: volgens de ov chipkaart restitutieformulieren (afgrijselijke deeplink binnen een framesite) moet ik een bonnetje uitprinten met de laatste 10 transacties:

Let op: stuur uitdraai mee van laatste tien transacties. U kunt een overzicht van uw laatste tien transacties uitdraaien bij de oplaad- en verkoopautomaten op metrostations en bij Verkoop- en Informatiepunten.

Alleen: waar doe je dat. Op de ov-chipkaart adresvinder kan ik geen vinkje aanzetten 'transactie overzicht uitdraaien'. Die in de Uithof bij de bibliotheek kan het niet, de automaat bij de GVU klantenservice in het centrum kan het ook niet, dan maar in de rij voor het loket van de GVU klantenservice. Waar ze een stapje verder gingen: ze konden gelijk de mislukte transactie repareren, waardoor ik het hele formulier niet meer nodig had.

Google knows where your AP lives, and it's not that hard to query it! Geolocation API Network Protocol can work based on a query with one AP mac address. Testing it with a random access-point near work gives me: http://samy.pl/mapxss/?mac=00%3A1A%3A1E%3A15%3A90%3AE2. Found via Hacker pilfers browser GPS location via router attack - The Register where the user is not asked for permission to trace the location when a wireless router is used. And indeed: 'Scary how accurate it is'.

Sommige mensen blijven zo dom om het e-mail adres van een ander in te vullen op een site om zo van eventuele reclame af te komen. Maar soms kan dat vervelende effecten hebben. Zo kreeg ik net een wel heel duidelijk verdwaald mailtje:

   Beste klant,
   U hebt een opwaardeervoucher besteld bij Lebara NL WEB Reloads op 22
   december 2009 15:00:23 CET.
   Als u deze opwaardeervoucher wilt gebruiken, belt u gratis naar 1244
   met opwaardeercode 27964964967133.

Maar dat heb ik helemaal niet gedaan. Ik denk dat er iemand nu heel boos probeert de klantenservice van Lebara te bellen.

Met een folder over het tatoeëeren van je burgerservicenummer keurig in de stijl van andere folders van de overheid (PDF formaat) vraagt Het Nieuwe Rijk aandacht voor de opslag van vingerafdrukken.

Uit de beweegredenen van deze groep:

Het verbaast niet dat de aanleg en gebruik van deze vingerafdrukkendatabase op gespannen voet staat met het grondrecht op privacy, zoals vastgelegd in artikel 10 van de Nederlandse Grondwet en artikel 8 van het Europees Verdrag voor de Rechten van de Mens. Ook het College Bescherming Persoonsgegevens (CBP), verschillende onderzoekers, hoogleraren en deskundigen op het gebied van informatica, rechtspsychologie, computerbeveiliging en zelfs de Europese Toezichthouder voor Gegevensbescherming hebben zich zeer kritisch uitgelaten over deze ontwikkeling.

De Nederlandse regering wil het doen lijken alsof zij deze database op grond van Europese wetgeving aanlegt. Maar dat is niet het geval.

Opvallend is hoe in de reactie van het ministerie van binnenlandse zaken en koninkrijksrelaties alleen ingegaan wordt op de folder en de eventuele misleiding. Deze reactie is gepubliceerd toen de makers van de folder en het onderwerp waar aandacht voor gevraagd wordt nog onbekend waren, dus misschien komt daar nog verandering in.

Ik hoop dat de ophef over de verwijzing naar de holocaust niet teveel af zal leiden (of misbruikt zal worden om af te leiden) van het onderwerp waar het over gaat: de ongeoorloofde opslag van vingerafdrukken.
Update : Ook in de tweede reactie van het ministerie van binnenlandse zaken en koninkrijksrelaties wordt absoluut voorbijgegaan aan het doel van de actie. Op zijn minst is het jammer dat ze daar niet op ingaan. Ondertussen stromen de ondertekeningen van de petitie tegen de opslag van de vingerafdrukken binnen.

Er wordt best nagedacht over privacy in Nederland, er wordt alleen niets gedaan met dat nadenken! Twee artikelen gisteren: Zeg uw privacy maar gedag - DePers.nl. Met als afsluiter Bart Jacobs die het eens goed uitlegt:

‘We zijn’, zegt hoogleraar Bart Jacobs samenvattend, ‘databases aan het aanleggen waar de Stasi (de gevreesde veiligheidsdienst van de voormalige DDR, red.) jaloers op zou zijn. De OV-chipkaart, de paspoorten, het EPD, ga zo maar door. Die vingerafdrukkendatabase wordt een kentekenregister voor burgers. Aangelegd voor doel A, maar gebruikt voor doel B, C, D, en E. Het argument van publieke veiligheid wordt gebruikt, terwijl de individuele veiligheid er onder te lijden heeft. En waarom er zo weinig mensen tegen protesteren? Waarom onderzocht niemand de veiligheid van de cafés in Volendam, voordat ze afbrandden? Het moet eerst een keer heel erg mis gaan, vrees ik.’

Zelfs Amnesty International gaat zich nu zorgen maken over de vrijheid in Nederland, specifiek over de bewaarplicht: Staat van bewaring - Maarten Reijnders - Uit Wordt Vervolgd, oktober 2009. Het werk van Amnesty International wordt ook moeilijker door de bewaarplicht:

De bewaarplicht is een bedreiging voor de persvrijheid. Journalisten die misstanden aan de kaak stellen, kunnen vaak niet zonder goed ingevoerde bronnen die op voorwaarde van anonimiteit hun verhaal willen doen. Door de bewaarplicht zouden klokkenluiders zich wel eens twee keer kunnen bedenken voordat ze hun verhaal aan een journalist vertellen, vreest internetjournalist en privacyvoorvechter Brenno de Winter. Als internet- en telefonieaanbieders moeten bijhouden wie met wie contact heeft gehad, wordt het immers wel erg makkelijk voor de overheid om te achterhalen welke ambtenaar vertrouwelijke informatie heeft gelekt.

Blijkbaar is 'verdacht zijn van het getuige geweest kunnen zijn' al voldoende om afgeluisterd te worden door justitie: Gegevens anonieme beller tiplijn op straat.

Haar toestel werd op het moment dat ze naar de tiplijn belde afgeluisterd, omdat het Openbaar Ministerie haar zag als belangrijke getuige van de steekpartij.

Ik vraag me af waar we gegaan zijn van 'verdacht van een zwaar genoeg misdrijf' als reden om inbreuken op de privacy te plegen tot het excuus 'verdacht van getuige geweest te zijn'.

Vandaag reisde ik met de bus naar huis, en de GVU bussen accepteren nu ook de ov-chipkaart dus heb ik dat eens getest. Op zich een goede ervaring en een mooi systeem, alleen het grote bezwaar blijft de privacy van het systeem.
Bij de eerste keer inchecken vroeg ik me bij de tekst goede reis nog af of het verschil met uitchecken wel zichtbaar zou zijn. Maar gerekend vanuit een vervoersaanbieder wens je natuurlijk iemand die instapt een positieve ervaring en is iemand die uitstapt klaar met reizen.
Bij het uitchecken is de tekst tot ziens en de kosten van de reis linksonder en het overgebleven saldo rechtsonder.
Bij de tweede bus zag ik overstap bij het inchecken bij instappen. De chauffeur leek nog wat onwennig te kijken. Communicatie met de chauffeur is nu helemaal niet meer nodig. Voor de meeste buschauffeurs zal dat minder gezellig zijn, gezien de reacties van Amsterdamse buschauffeurs op een "goedemorgen" of "goedemiddag" voor hun juist een vooruitgang.

Maar, de privacy. In de bestanden van Trans Link Systems staat nu de volgende 7 jaar, dus tot 4 september 2016, dat 'mijn' ov-chipkaart op 4 september 2009 gebruikt is om van halte Padualaan naar halte Centraal Station Utrecht stadsbussen te reizen en van Centraal Station Utrecht stadsbussen naar Taagdreef te reizen. Vast met de tijden tot op de seconde er bij. Volgens het privacybeleid van trans-link systems (pdf) gaat het GVU niet zomaar er achter komen wat mijn naam en adres zijn. En volgens de ov-chipkaart veelgestelde vragen:

Trans Link Systems B.V. heeft in haar systemen en organisatie een veelheid aan maatregelen getroffen om de privacy van persoonsgegevens te waarborgen. Zo ook hoe moet worden omgegaan met vorderingen van Jusitie en politie. Uw persoonsgegevens kunnen alleen doorgegeven worden wanneer er sprake is van een officiële vordering van Justitie en/of politie.

Dus het is niet zoals bij het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT) dat elke politie-agent en boswachter ongestoord in die gegevens kan gaan zitten neuzen. Brenno de Winter heeft ontdekt dat Trans Link Systems dit nog lijkt te menen ook: Mag je foto’s van de OV-chipkaart opvragen? - Bigwobber: wie vraagt, krijgt meer. Justitie blijkt dus wel de gegevensverzameling van TLS te zien als aquarium waarin ze uitgebreid mogen vissen, maar TLS was op de hoogte van het verschil tussen een niet-gevoelig persoonsgegeven (naam, adres) en een gevoelig persoonsgegeven (foto). Ik zou aanwezigheid op een bepaalde locatie op een bepaalde tijd ook een gevoelig persoonsgegeven willen noemen wat justitie niet mag opvragen.
Geen woord tussen de veelgestelde vragen over de ov-chipkaart over de toegang door veiligheidsdiensten dus ik neem maar even aan dat die hetzelfde behandeld worden als justitie maar dat daar nooit over gepubliceerd mag worden vanwege de 'staatsveiligheid'.

De gegevensverzameling van de reisbewegingen is natuurlijk een database die alleen maar te beveiligen is tegen misbruik door hem niet aan te leggen en de bestaande gegevens te vernietigen. Er gaan gevallen komen van misbruik. Vissen door justitie wie er ergens geweest is is een eerste misbruik maar er komt vast meer. Want altijd krijg je 'maar die gegevens zijn er toch' voor justitie. Of iemand met toegang tot de gegevens die niet zo integer blijkt te zijn. Wat zou de sanctie zijn voor een beheerder van Translink die een eigen query doet op de database?

Eigenlijk is het helemaal niet mijn ov-chipkaart: het is een verlopen NS-abonnement van iemand anders. Volgens de algemene voorwaarden van de ov-chipkaart (pdf) mag dat helemaal niet:

21. Alleen de Kaarthouder van een Persoonlijke OV-chipkaart mag die OV-chipkaart gebruiken.

maar zolang ik reizen maak waarvoor ik betaal voldoe ik volgens mij aan de wet. En dan hoef ik niet nog een keer voor een ov-chipkaart te betalen.

Je mag van translink systems altijd je ov-chipkaart beëindigen als je het niet eens bent met hun voorwaarden, dan krijg je zelfs het resterende saldo nog terug. Wat ze er alleen niet bij vertellen is hoe je na de volledige invoering van de ov-chipkaart dan nog het openbaar vervoer in Nederland kan gebruiken.

Vandaag in het nieuws: Privacy ondergeschikt in paspoortwet - De Volkskrant : er is een nieuwe paspoortwet geaccepteerd door zowel de tweede als eerste kamer die enorme gevolgen heeft voor de privacy zonder dat het Malieveld heeft volgestaan met demonstranten. Terwijl de inhoud van dit wetsvoorstel volgens mij wel alle aanleiding geeft tot demonstraties aan de ene kant en serieuze vragen waarom de Nederlandse wetgever zich niet aan de Nederlandse grondwet wil houden aan de andere kant. Helaas hebben we in Nederland (nog) geen constitutioneel hof wat de wetgever op de vingers kan slaan. Uit het artikel

Alle Nederlanders boven de 14 jaar komen met hun vingerafdrukken, foto, sofi- of BSN-nummer in één databestand. Een bestand dat vrij toegankelijk is voor de inlichtingendienst en onder voorwaarden kan worden ingezien door justitie en politie.

Onder voorwaarden is natuurlijk waar het eerste aan getrokken gaat worden. Binnen de kortste keren zit elke rechercheur er ongestoord in te grasduinen.

Juist op de 80e geboortedag van Anne Frank moet iedereen zich toch realiseren wat een enorme gevaren voor de vrijheid van iedere Nederlander uitgaan van een dergelijk databestand. De enige manier om zo'n bestand te beschermen tegen misbruik is het niet aan te willen leggen.

De vraag is: als het gaat om veiligheid in Nederland, wie beschermt ons tegen de overheid?

Wat perl code om met Chipcard::PCSC het saldo en de laatste 5 transacties van een chipknip uit te lezen. Altijd handig als je toevallig een laptop met chipcard slot hebt. Het leuke is dat je ook kan zien wat het eigen nummer was van de chipautomaat waar je de transactie deed (SAM_ID) en het volgnummer (SAM_STAN) waarmee je kan zien waar je chipknip geweest is en kan zien hoeveel transacties automaten te verwerken krijgen. Perl code om een chipknip saldo te lezen en de laatste transacties.

Commentaar Here's proof. The innocent do have something to fear / Simon Jenkins - The Guardian (engelstalig) over een kwestie waarin MP (Member of Parliament, vergelijkbaar met een kamerlid) Jacqui Smith die altijd erg voor het verzamelen van gegevens over burgers is, met natuurlijk het bekende argument dat mensen die niet schuldig zijn niets te verbergen hebben. Toen declaraties door Jacqui Smith onderzocht werden dook een rekening op voor 5 pay-per-view films, waarvan 2 porno films. Mooi commentaar: Hoe vaak zal Jacqui Smith niet te horen gekregen hebben dat een of andere 'oplossing' voor data-opslag door de overheid 'totaal veilig' zou zijn.
Ik kan haast niet wachten tot een Nederlandse politicus die altijd roept over bewaarplicht een vergelijkbare actie uithaalt.

'Internetgebruiker moet beter beschermd worden' - nu.nl/Internet met een voorstel:

De Europese Commissie moet snel met wetgeving komen om internetgebruikers beter te beschermen. Nieuwe wetgeving moet aantasting van de persoonlijke levenssfeer door bedrijven en overheden tegengaan.

Mijn voorstel: ga eens praten met de mensen in het Europese parlement die over de bewaarplicht gaan, een serieuze aantasting van de persoonlijke levenssfeer door overheden.

Het panopticon dook vandaag op voor het gebouw waar ik werk: bewakings camera's gemonteerd aan een lantaarnpaal met spanbanden en duct-tape. Twee standaard camera's in tegenovergestelde richtingen over de bus baan (met op het oog infrarood schijnwerpers) en twee dome camera's (die dus rond kunnen draaien). Ik vroeg aan de man die bezig was met de installatie of de camera's van de gemeente waren en het bleek om een stiptheidsmeting van de bussen te gaan. Ik vraag me af hoe effectief een stiptheidsmeting is als er een stel zeer zichtbare camera's voor geinstalleerd worden. En ik vraag me ook af of dome camera's daarvoor helpen.